Netfilter内核模块开发与连接跟踪系统实战 - 第1节

1.1 OSI模型与TCP/IP协议栈

网络协议栈是Netfilter内核模块工作的基础环境。理解数据包在协议栈中的流转路径，是开发高效连接跟踪系统的前提。本节从分层模型出发，逐步深入到Linux内核的实际实现。

1.1.1 OSI七层模型与TCP/IP四层模型对比

OSI模型是理论参考，TCP/IP模型是事实标准。两者在分层粒度上存在差异，但核心思想一致：每一层为上层提供服务，屏蔽下层实现细节。

1.1.2 数据包在内核协议栈中的穿行路径

一个从网卡到达用户空间的TCP数据包，依次经过以下内核路径：

1. 网卡接收：硬件中断 → 驱动NAPI轮询 → netif_receive_skb
2. 链路层处理：以太网类型判断 → ip_rcv（IPv4）
3. Netfilter钩子PREROUTING：连接跟踪查找、DNAT规则匹配
4. 路由决策：判断是本地交付还是转发
5. 本地交付：ip_local_deliver → Netfilter钩子LOCAL_IN
6. 传输层：tcp_v4_rcv → socket查找 → 放入接收队列
7. 用户空间：系统调用read/recvmsg读取数据

1.2 Linux网络设备驱动框架

Netfilter模块不直接操作硬件，但理解驱动框架有助于定位性能瓶颈和调试数据包丢失问题。Linux网络设备驱动遵循统一的NAPI框架。

1.2.1 驱动核心数据结构

1.2.2 数据接收流程：从硬件中断到sk_buff

1. 硬件中断：网卡收到数据包，触发IRQ。
2. NAPI调度：中断处理函数关闭中断，将napi_struct加入轮询队列。
3. 轮询回调：poll()函数从硬件DMA缓冲区读取数据，分配sk_buff，调用netif_receive_skb。
4. 协议栈入口：netif_receive_skb根据以太网类型分发到ip_rcv或arp_rcv。

1.3 sk_buff结构体详解

sk_buff是Linux网络内核中最核心的数据结构，Netfilter钩子函数接收和修改的就是它。理解其内存布局和操作函数，是编写正确内核模块的基础。

1.3.1 内存布局与指针

sk_buff使用一组指针来管理协议头和数据区域，避免数据拷贝：

当数据包从链路层上升到网络层时，data指针从以太网头部移动到IP头部起始位置，无需拷贝数据。

1.3.2 关键字段

struct sk_buff {
    /* 链表管理 */
    struct sk_buff      *next;
    struct sk_buff      *prev;
    struct sk_buff_head *list;

    /* 协议信息 */
    __u16               protocol;   /* 以太网协议类型: ETH_P_IP, ETH_P_ARP */
    __u16               mac_header; /* MAC头部偏移 */
    __u16               network_header; /* 网络层头部偏移 */
    __u16               transport_header; /* 传输层头部偏移 */

    /* 长度信息 */
    unsigned int        len;        /* 实际数据长度 */
    unsigned int        data_len;   /* 分片数据长度 */
    unsigned int        truesize;   /* 总内存占用 */

    /* 时间戳 */
    __u64               tstamp;     /* 接收/发送时间戳 */

    /* Netfilter相关 */
    __u32               mark;       /* 防火墙标记 */
    __u32               secmark;    /* SELinux安全标记 */
    __u32               hash;       /* 连接跟踪哈希 */

    /* 设备信息 */
    struct net_device   *dev;       /* 接收或发送设备 */
    struct net_device   *skb_iif;   /* 接收设备索引 */

    /* 数据区指针 */
    unsigned char       *head;
    unsigned char       *data;
    unsigned char       *tail;
    unsigned char       *end;
};

1.3.3 常用操作函数

1.4 本章小结

• OSI/TCP/IP模型：Netfilter工作在网络层，连接跟踪需要解析传输层头部。
• 网络设备驱动：NAPI框架是高性能收包的基础，Netfilter钩子不能阻塞轮询。
• sk_buff：是Netfilter模块操作的核心对象，理解指针布局和操作函数是开发前提。