Netfilter内核模块开发与连接跟踪系统实战 - 第4节

4.1 Netfilter 内核模块的基本结构

Netfilter 是 Linux 内核中用于数据包过滤、网络地址转换（NAT）和数据包修改的框架。编写 Netfilter 内核模块，首先需要理解内核模块的基本骨架。一个标准的 Netfilter 模块通常包含以下核心部分：模块入口/出口函数、钩子函数定义、钩子注册与注销逻辑。

4.1.1 模块入口与出口

每个内核模块都必须包含两个宏：module_init() 和 module_exit()。它们分别指定模块加载和卸载时执行的函数。

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>

static int __init nf_module_init(void)
{
    printk(KERN_INFO "Netfilter 模块已加载\n");
    return 0;
}

static void __exit nf_module_exit(void)
{
    printk(KERN_INFO "Netfilter 模块已卸载\n");
}

module_init(nf_module_init);
module_exit(nf_module_exit);

MODULE_LICENSE("GPL");
MODULE_AUTHOR("Your Name");
MODULE_DESCRIPTION("第一个 Netfilter 内核模块");

4.1.2 模块信息与许可证

使用 MODULE_* 宏声明模块的元数据，这些信息可以通过 modinfo 命令查看。

4.2 注册 Netfilter 钩子函数

Netfilter 钩子函数是模块的核心。它接收一个 struct sk_buff *（套接字缓冲区）指针，并返回一个判决结果，告诉内核如何处理该数据包。

4.2.1 钩子函数原型

static unsigned int hook_func(
    void *priv,
    struct sk_buff *skb,
    const struct nf_hook_state *state)
{
    printk(KERN_INFO "数据包被捕获: %p\n", skb);
    return NF_ACCEPT;  // 放行数据包
}

4.2.2 钩子注册结构体

使用 struct nf_hook_ops 描述钩子的挂载点、优先级和回调函数。

static struct nf_hook_ops nf_hook_ops_in = {
    .hook     = hook_func,
    .pf       = NFPROTO_IPV4,      // IPv4 协议族
    .hooknum  = NF_INET_PRE_ROUTING, // 挂载点：预路由
    .priority = NF_IP_PRI_FIRST,    // 最高优先级
};

4.2.3 注册与注销钩子

在模块初始化函数中注册钩子，在退出函数中注销钩子。

static int __init nf_module_init(void)
{
    int ret;
    ret = nf_register_net_hook(&init_net, &nf_hook_ops_in);
    if (ret) {
        printk(KERN_ERR "钩子注册失败: %d\n", ret);
        return ret;
    }
    printk(KERN_INFO "Netfilter 钩子已注册\n");
    return 0;
}

static void __exit nf_module_exit(void)
{
    nf_unregister_net_hook(&init_net, &nf_hook_ops_in);
    printk(KERN_INFO "Netfilter 钩子已注销\n");
}

4.3 完整的 Netfilter 钩子模块代码

将上述组件整合，形成一个完整的、可编译的 Netfilter 内核模块。

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>

static unsigned int hook_func(
    void *priv,
    struct sk_buff *skb,
    const struct nf_hook_state *state)
{
    printk(KERN_INFO "捕获数据包: skb=%p, hook=%d\n",
           skb, state->hook);
    return NF_ACCEPT;
}

static struct nf_hook_ops nf_hook_ops_in = {
    .hook     = hook_func,
    .pf       = NFPROTO_IPV4,
    .hooknum  = NF_INET_PRE_ROUTING,
    .priority = NF_IP_PRI_FIRST,
};

static int __init nf_module_init(void)
{
    int ret = nf_register_net_hook(&init_net, &nf_hook_ops_in);
    if (ret) {
        printk(KERN_ERR "注册失败: %d\n", ret);
        return ret;
    }
    printk(KERN_INFO "模块加载成功\n");
    return 0;
}

static void __exit nf_module_exit(void)
{
    nf_unregister_net_hook(&init_net, &nf_hook_ops_in);
    printk(KERN_INFO "模块卸载成功\n");
}

module_init(nf_module_init);
module_exit(nf_module_exit);

MODULE_LICENSE("GPL");
MODULE_AUTHOR("Netfilter Expert");
MODULE_DESCRIPTION("第一个 Netfilter 钩子模块");
MODULE_VERSION("1.0");

4.4 编译与加载模块

4.4.1 Makefile 编写

内核模块的编译依赖内核源码树或内核头文件包。以下 Makefile 适用于大多数环境。

obj-m += nf_hook.o

KDIR := /lib/modules/$(shell uname -r)/build
PWD  := $(shell pwd)

all:
	$(MAKE) -C $(KDIR) M=$(PWD) modules

clean:
	$(MAKE) -C $(KDIR) M=$(PWD) clean

4.4.2 编译步骤

1. 将模块源码保存为 nf_hook.c，Makefile 保存为 Makefile。
2. 在终端执行 make 命令。
3. 编译成功后生成 nf_hook.ko 内核模块文件。

4.4.3 加载与卸载命令

4.5 打印日志与调试

4.5.1 使用 printk 输出调试信息

printk() 是内核模块中最常用的调试手段。它类似于用户空间的 printf()，但增加了日志级别。

// 不同日志级别的使用
printk(KERN_EMERG   "系统崩溃级别\n");   // 0
printk(KERN_ALERT   "需要立即处理\n");    // 1
printk(KERN_CRIT    "严重情况\n");        // 2
printk(KERN_ERR     "错误情况\n");        // 3
printk(KERN_WARNING "警告信息\n");        // 4
printk(KERN_NOTICE  "正常但重要\n");      // 5
printk(KERN_INFO    "信息性消息\n");      // 6
printk(KERN_DEBUG   "调试信息\n");        // 7

4.5.2 查看内核日志

内核日志可以通过 dmesg 命令查看，也可以直接查看 /var/log/kern.log 文件。

# 实时查看内核日志
sudo dmesg -w

# 查看最近 10 条日志
sudo dmesg | tail -10

# 清空日志缓冲区
sudo dmesg -c

4.5.3 调试技巧

• 打印 skb 信息： 使用 printk 输出 skb->len、skb->dev->name 等字段，了解数据包特征。
• 使用 procfs 或 sysfs： 创建虚拟文件系统接口，动态读取模块状态。
• 启用动态调试： 如果内核配置了 CONFIG_DYNAMIC_DEBUG，可以使用 pr_debug() 并通过 debugfs 控制输出。
• 使用 ftrace： 跟踪内核函数调用，分析钩子执行路径。

4.6 Netfilter 钩子挂载点与数据包流向

理解 Netfilter 的五个主要钩子挂载点，是编写正确钩子函数的前提。下图展示了 IPv4 数据包在协议栈中的流向及钩子位置。

4.7 钩子函数返回值详解

钩子函数的返回值决定了数据包的命运。Netfilter 定义了以下标准返回值：

4.8 常见问题与排查

• 模块加载失败： 检查内核版本是否匹配，使用 modinfo nf_hook.ko 查看模块信息，确认依赖符号是否存在。
• 钩子未生效： 确认钩子注册函数返回成功，检查 dmesg 中是否有注册成功的日志。
• 系统崩溃或死锁： 钩子函数中禁止调用可能导致睡眠的函数（如 kmalloc(GFP_KERNEL)），使用 GFP_ATOMIC 标志。
• 日志不输出： 检查 printk 的日志级别是否高于 /proc/sys/kernel/printk 中的控制台日志级别。

通过本章的学习，你已经掌握了 Netfilter 内核模块的完整开发流程：从模块骨架搭建、钩子函数编写、编译加载到日志调试。这是后续开发连接跟踪系统、状态防火墙和 NAT 模块的坚实基础。