Netfilter 之 钩子函数调用

本篇主要从三层协议栈调用函数NF_HOOK说起，不断深入，分析某个钩子点中所有钩子函数的调用流程，但是本文不包含规则介绍和核心的规则匹配流程，后续文章将继续分析；

NF_HOOK函数先调用了nf_hook继续执行调用钩子函数处理，处理之后，如果接受，则调用输入的回调函数okfn，继续数据包的下一步处理；

 static inline int
 NF_HOOK(uint8_t pf, unsigned int hook, struct net *net, struct sock *sk, struct sk_buff *skb,
     struct net_device *in, struct net_device *out,
     int (*okfn)(struct net *, struct sock *, struct sk_buff *))
 {
     /* 先执行钩子函数 */
     int ret = nf_hook(pf, hook, net, sk, skb, in, out, okfn);
 
     /* 返回成功，则继续执行成功回调 */
     if (ret == )
         ret = okfn(net, sk, skb);
     return ret;
 }

NF_HOOK_COND增加了一个输入掉价cond，当不满足条件的时候，直接调用okfn，满足条件的时候，才会继续调用nf_hook进行后续的钩子函数调用流程，如果nf_hook返回1，则调用okfn；

 static inline int
 NF_HOOK_COND(uint8_t pf, unsigned int hook, struct net *net, struct sock *sk,
          struct sk_buff *skb, struct net_device *in, struct net_device *out,
          int (*okfn)(struct net *, struct sock *, struct sk_buff *),
          bool cond)
 {
     int ret;
 
     if (!cond ||
         ((ret = nf_hook(pf, hook, net, sk, skb, in, out, okfn)) == ))
         ret = okfn(net, sk, skb);
     return ret;
 }

nf_hook函数首先找到钩子点函数入口，如果有钩子函数，则进一步初始化nf_hook_state结构，然后调用nf_hook_slow进入钩子函数调用流程；

 static inline int nf_hook(u_int8_t pf, unsigned int hook, struct net *net,
               struct sock *sk, struct sk_buff *skb,
               struct net_device *indev, struct net_device *outdev,
               int (*okfn)(struct net *, struct sock *, struct sk_buff *))
 {
     struct nf_hook_entry *hook_head;
     int ret = ;
 
 #ifdef HAVE_JUMP_LABEL
     if (__builtin_constant_p(pf) &&
         __builtin_constant_p(hook) &&
         !static_key_false(&nf_hooks_needed[pf][hook]))
         return ;
 #endif
 
     rcu_read_lock();
     /* 找到钩子点 */
     hook_head = rcu_dereference(net->nf.hooks[pf][hook]);
     if (hook_head) {
         struct nf_hook_state state;
 
         /* 初始化nf_hook_state结构 */
         nf_hook_state_init(&state, hook, pf, indev, outdev,
                    sk, net, okfn);
 
         /* 执行钩子函数 */
         ret = nf_hook_slow(skb, &state, hook_head);
     }
     rcu_read_unlock();
 
     return ret;
 }

在分析nf_hook_slow之前，我们先看下该函数中涉及到的钩子函数执行结果的返回值字段的含义；

 /* Responses from hook functions. */
 #define NF_DROP 0 /* 丢包，不再传输 */
 #define NF_ACCEPT 1 /* 接受数据包，继续正常传输 */
 #define NF_STOLEN 2 /* 数据包已经被接管，回调函数处理该包，NF不再处理 */
 #define NF_QUEUE 3 /* 将数据包交给用户空间的进程处理 */
 #define NF_REPEAT 4 /* 再次调用钩子函数 */
 #define NF_STOP 5    /* Deprecated, for userspace nf_queue compatibility. */
 #define NF_MAX_VERDICT NF_STOP

nf_hook_slow会遍历当前钩子点上的钩子函数，通过函数nf_hook_entry_hookfn调用钩子函数，并根据返回值判断如何进行下一步处理；

 int nf_hook_slow(struct sk_buff *skb, struct nf_hook_state *state,
          struct nf_hook_entry *entry)
 {
     unsigned int verdict;
     int ret;
 
     do {
         /* 调用钩子函数 */
         verdict = nf_hook_entry_hookfn(entry, skb, state);
         switch (verdict & NF_VERDICT_MASK) {
         case NF_ACCEPT:
             /* 获取下一个钩子函数 */
             entry = rcu_dereference(entry->next);
             break;
         case NF_DROP:
             /* 丢包 */
             kfree_skb(skb);
             ret = NF_DROP_GETERR(verdict);
             if (ret == )
                 ret = -EPERM;
             return ret;
         case NF_QUEUE:
             /* 通过netfilter_queue交给应用层nf_queue处理 */
             ret = nf_queue(skb, state, &entry, verdict);
             if (ret ==  && entry)
                 continue;
             return ret;
         default:
             /* Implicit handling for NF_STOLEN, as well as any other
              * non conventional verdicts.
              */
             return ;
         }
 
         /* 继续执行下一个钩子函数 */
     } while (entry);
 
     return ;
 }

nf_hook_entry_hookfn函数调用当前钩子函数结构entry中的钩子函数hook，返回执行结果；

 static inline int
 nf_hook_entry_hookfn(const struct nf_hook_entry *entry, struct sk_buff *skb,
              struct nf_hook_state *state)
 {
     return entry->hook(entry->priv, skb, state);
 }

我们暂且看一下filter表的钩子函数，可见，其核心流程为ipt_do_table，也就是进入filter表的规则匹配流程，ipt_do_table函数后续文章我们单独分析；

 static unsigned int
 iptable_filter_hook(void *priv, struct sk_buff *skb,
             const struct nf_hook_state *state)
 {
     /* LOCAL_OUT && (数据长度不足ip头 || 实际ip头部长度不足最小ip头)，在使用raw socket */
     if (state->hook == NF_INET_LOCAL_OUT &&
         (skb->len < sizeof(struct iphdr) ||
          ip_hdrlen(skb) < sizeof(struct iphdr)))
         /* root is playing with raw sockets. */
         return NF_ACCEPT;
 
     /* 核心规则匹配流程 */
     return ipt_do_table(skb, state, state->net->ipv4.iptable_filter);
 }