网络过滤器挂钩看不到所有数据包

Question

我编写了一个内核模块，它使用netfilter钩子来转储多播DNS数据包。

static uint32_t myhook(uint32_t hooknum, struct sk_buff *skb, const struct net_device *in,  const struct net_device *out, int (*okfn) (struct sk_buff *))
{
struct iphdr *ip_header;
uint8_t proto;
struct udphdr *udp_header;
unsigned int sip, dip, sport = 0, dport = 0;
if(!skb)
return NF_ACCEPT;
if(ntohs(skb->protocol) != ETH_P_IP)
return NF_ACCEPT;
ip_header = (struct iphdr *)skb_network_header(skb);
proto = ip_header->protocol;
if (proto != IPPROTO_UDP)
return NF_ACCEPT;
udp_header = (struct udphdr *)skb_transport_header(skb);
sip = (unsigned int)ntohl(ip_header->saddr);
dip = (unsigned int)ntohl(ip_header->daddr);
sport = (unsigned int)ntohs(udp_header->source);
dport = (unsigned int)ntohs(udp_header->dest);
if (dport == 5353)
pr_err("sip: %pI4h, sport: %u; dip: %pI4h, dport: %un", &sip, sport, &dip, dport);
return NF_ACCEPT;
}
/*
pre_routing_hook_ops.hooknum = NF_INET_PRE_ROUTING;
pre_routing_hook_ops.pf = PF_INET;
pre_routing_hook_ops.priority = NF_IP_PRI_FIRST;
pre_routing_hook_ops.hook = (nf_hookfn *) myhook;
*/

此内核模块不会记录所有多播dns数据包的信息。但是，当我添加这个iptables日志规则时：

iptables -t mangle -I PREROUTING 1 -j LOG --log-prefix="mylog" --log-level 4 --ipv4 -p udp --sport 5353

此iptables规则查看/记录所有多播dns数据包。我认为iptables也使用了netfilter挂钩。我不知道为什么它看到所有的mdns数据包，却没有看到我的内核模块。有什么想法吗？提前谢谢。

Answer 1

您的iptables规则正在检查源端口5353，而您的netfilter代码正在检查目标港口5353。虽然大多数mDNS数据包都具有5353的源端口和目的端口，但RFC 6762实际上并不要求这样做。

祝你好运！