1. Netfilter 概述：框架历史、协议栈位置与核心设计思想
Netfilter 是 Linux 内核中负责数据包过滤、网络地址转换（NAT）以及数据包修改的核心框架。自 Linux 内核 2.4.x 系列引入以来，它已成为构建防火墙、入侵检测系统（IDS）、VPN 网关和流量控制工具的事实标准。理解 Netfilter 的历史演进、在协议栈中的精确位置以及其钩子（Hook）驱动的设计哲学，是掌握内核防火墙规则开发的基石。
1.1 Netfilter 框架发展简史
Netfilter 的诞生源于对早期 Linux 防火墙工具 ipchains（2.2 内核）和 ipfwadm（2.0 内核）的彻底重构。下表总结了关键里程碑：
| 内核版本 | 防火墙框架 | 关键特性与局限 |
|---|---|---|
| 2.0.x | ipfwadm | 基于 ipfw 的早期实现，仅支持 IPv4，规则链固定，扩展性差。 |
| 2.2.x | ipchains | 引入链式规则，支持 FORWARD 链，但无状态检测，NAT 实现笨重。 |
| 2.4.x | Netfilter + iptables | 全新钩子框架，支持有状态过滤、NAT、数据包修改，模块化设计，成为内核标准。 |
| 2.6.x / 3.x | Netfilter + iptables / nftables | 引入 nftables 作为 iptables 的下一代替代，统一 IPv4/IPv6 处理，性能优化。 |
| 4.x / 5.x / 6.x | Netfilter + nftables | nftables 成为默认配置工具，Netfilter 框架持续优化，支持 eBPF 交互，多核扩展。 |
1.2 在 Linux 网络协议栈中的位置
Netfilter 钩子并非独立于协议栈之外，而是以内联方式嵌入在 Linux 网络协议栈的关键路径上。数据包从网卡驱动到用户态 socket，或从 socket 到网卡驱动，会依次经过多个协议层。Netfilter 在以下五个关键点插入钩子函数：
- NF_INET_PRE_ROUTING： 数据包进入协议栈后，路由决策之前。用于 DNAT、数据包过滤。
- NF_INET_LOCAL_IN： 路由决策后，数据包目的地为本机。用于输入过滤。
- NF_INET_FORWARD： 路由决策后，数据包需要转发到其他主机。用于转发过滤。
- NF_INET_LOCAL_OUT： 本机进程发出的数据包，路由决策之前。用于 SNAT、输出过滤。
- NF_INET_POST_ROUTING： 数据包即将离开本机，路由决策之后。用于 SNAT、数据包修改。
NF_INET_PRE_ROUTING 是数据包进入协议栈后第一个可编程的拦截点，常用于执行 DNAT 或丢弃非法源地址的数据包。开发者注册的钩子函数将在这些精确位置被内核调用。
1.3 核心设计思想：钩子驱动的模块化架构
Netfilter 的核心设计思想可以概括为 “钩子（Hook） + 优先级（Priority） + 判决（Verdict）” 三元模型。这一设计使得内核网络功能可以像搭积木一样灵活组合。
1.3.1 钩子注册与优先级
内核模块通过 nf_register_net_hook() 在指定钩子点注册一个回调函数。每个钩子点可以挂载多个回调函数，它们按照优先级顺序执行。优先级数值越小，执行优先级越高。Netfilter 预定义了若干标准优先级，例如 NF_IP_PRI_FIRST、NF_IP_PRI_CONNTRACK、NF_IP_PRI_MANGLE、NF_IP_PRI_LAST 等。
1.3.2 判决机制（Verdict）
每个钩子函数必须返回一个判决结果，告知内核如何处理当前数据包。核心判决值包括：
| 判决常量 | 数值 | 含义 |
|---|---|---|
NF_DROP |
0 | 丢弃数据包，不再进行后续处理。 |
NF_ACCEPT |
1 | 接受数据包，继续沿协议栈路径传递。 |
NF_STOLEN |
2 | “偷走”数据包，框架不再管理该 skb，由钩子函数负责后续处理。 |
NF_QUEUE |
3 | 将数据包排队到用户态进程处理（如通过 libnetfilter_queue）。 |
NF_REPEAT |
4 | 让当前钩子点重新处理该数据包（用于规则修改后的重新匹配）。 |
1.3.3 连接跟踪（Connection Tracking）
Netfilter 的另一核心设计是连接跟踪子系统（conntrack）。它使得防火墙能够识别数据包所属的连接状态（如 NEW、ESTABLISHED、RELATED、INVALID），从而实现有状态过滤。conntrack 在 NF_INET_PRE_ROUTING 和 NF_INET_LOCAL_OUT 钩子点以较高优先级运行，为后续的过滤和 NAT 规则提供状态信息。
NF_REPEAT 判决，避免造成无限循环。同时，在钩子函数中修改数据包内容（如修改 IP 头或 TCP 头）后，需要重新计算校验和，否则可能导致协议栈校验失败。
1.4 小结：Netfilter 设计哲学
Netfilter 的成功源于其简洁而强大的抽象：
- 模块化： 功能通过内核模块动态加载，无需重新编译内核。
- 可扩展： 开发者可以注册自定义钩子，实现任意数据包处理逻辑。
- 标准化： 统一的钩子点和判决接口，使得 iptables、nftables、conntrack、NAT 等子系统能够协同工作。
- 性能优先： 钩子函数在内核态运行，避免了用户态与内核态之间的上下文切换开销。