如何使用 net_dev_add() API 过滤和拦截 Linux 数据包？

Question

我正在为 linux 编写以太网网络驱动程序。我想接收数据包，编辑并重新发送它们。 我知道如何在packet_interceptor 函数中编辑数据包，但是如何在此函数中丢弃传入的数据包？？

#include <linux/netdevice.h>
#include <linux/skbuff.h>
#include <linux/ip.h>
#include <net/sock.h>

struct packet_type my_proto;

int packet_interceptor(struct sk_buff *skb,
    struct net_device *dev,
    struct packet_type *pt,
    struct net_device *orig_dev) {

    // I dont want certain packets go to upper in net_devices for further processing.
    // How can I drop sk_buff here?!

  return 0;
}

static int hello_init( void ) {
    printk(KERN_INFO "Hello, world!\n");

    my_proto.type = htons(ETH_P_ALL);
    my_proto.dev = NULL;
    my_proto.func = packet_interceptor;

    dev_add_pack(&my_proto);
    return 0;
}    

static void hello_exit(void) {
  dev_remove_pack(&my_proto);
  printk(KERN_INFO "Bye, world\n");
}

module_init(hello_init);
module_exit(hello_exit);

Answer 1

您正在让您的模块处理所有以太网数据包。 Linux 会将数据包发送到所有匹配的协议处理程序。由于 IP 已经在您的内核中注册，因此您的模块和 ip_rcv 都将接收所有带有 IP 标头的 SKB。

如果不更改内核代码，您将无法更改此行为。一种可能性是创建一个 netfilter 模块。这样，您可以在 ip_rcv 函数之后拦截数据包，并根据需要丢弃它（在 Netfilters PREROUTING 钩子中）。

这是一个小的 Netfilter 模块，它是我从我已经编写的一些代码中提取的。本模块未完成，但主要内容已到位。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>

// Handler function
static unsigned int my_handler (
    unsigned int hook,
    struct sk_buff *skb,
    const struct net_device *in,
    const struct net_device *out,
    int (*okfn)(struct sk_buff *))
{
    return NF_ACCEPT;
// or
    return NF_DROP;
}

// Handler registering struct
static struct nf_hook_ops my_hook __read_mostly = {
    .hook = my_handler,
    .pf = NFPROTO_IPV4,
    .hooknum = (1 << NF_INET_PRE_ROUTING),
    .priority = NF_IP_PRI_FIRST // My hook will be run before any other netfilter hook
};

int my_init() {
    int err = nf_register_hook (&my_hook);
    if (err) {
            printk (KERN_ERR "Could not register hook\n");
    }
    return err;
}

Answer 2

我浏览了内核网络代码（自从我在里面做任何事情以来已经一年了），我认为你应该能够做到这一点而不会泄漏任何东西：

kfree_skb(skb);
return NET_RX_DROP;

编辑

这是在其他协议处理程序中完成的，例如 ip_rcv 和 arp_rcv（最后一个返回 0 而不是 NET_RX_DROP，但我认为返回值并不重要）。如果您删除 skb，请记住不要调用任何其他处理程序。

查看 ip.c 中ip_rcv 的代码（在底部）：http://lxr.free-electrons.com/source/net/ipv4/ip_input.c#L375

如果一切顺利，它会将 skb 传递给 Netfilter，然后调用 ip_rcv_finish（如果它没有丢弃它）。如果出现问题，它会释放 skb 并返回。

编辑

如果多个协议处理程序匹配一个 SKB，内核会将其发送给所有这些处理程序。当您在其中一个模块中kfree_skb() 时，SKB 仍将继续存在于其他处理程序中。