full nat

　　在餐馆吃饭时，连接无线网络后访问某网页会自动弹出一个认证页面，我想大家都经历过。。。。。　　

　　其网络拓扑如下：

　　sta-------------网络设备--------------公网

比如sta 终端ip 是100.100.100.100 访问百度，但是按道理应该返回百度啊？那怎么返回的是认真页面呢？这里面涉及到报文拦截。

当sta 的报文经过网络设备时，网络设备会将报文copy到网络设备自身处理，而不是转发出去。但是报文的目的ip 指向的是baidu.com ，到了网络设备cpu 处理时，其协议栈也会forward啊？

所以为了防止报文forward出去，协议栈会读报文进行双向nat处理。

比如100.100.100.100-------->baidu.com -------------经过perrouting---dnat-------local_in---- sant 后会变成 3.3.3.1----------------->3.3.3.2 此时3.3.3.2 正好是网络设备本机接口ip ，所以本机设备就会收取次报文然后回复http 报文

但是内核协议栈的nat 模块有个奇怪的地方就是：

local_out出去的报文经过dnat后，又会重新路由，这就会导致网络设备回复报文时，出接口错误。可以看到如下代码：可能调用ip_route_me_harder 重新路由

nf_nat_local_fn(unsigned int hooknum,

        struct sk_buff *skb,

        const struct net_device *in,

        const struct net_device *out,

        int (*okfn)(struct sk_buff *))

{

    const struct nf_conn *ct;

    enum ip_conntrack_info ctinfo;

    unsigned int ret;

    /* root is playing with raw sockets. */

    if (skb->len < sizeof(struct iphdr) ||

        ip_hdrlen(skb) < sizeof(struct iphdr))

        return NF_ACCEPT;

    ret = nf_nat_fn(hooknum, skb, in, out, okfn);

    if (ret != NF_DROP && ret != NF_STOLEN &&

        (ct = nf_ct_get(skb, &ctinfo)) != NULL) {

        enum ip_conntrack_dir dir = CTINFO2DIR(ctinfo);

        if (ct->tuplehash[dir].tuple.dst.u3.ip !=

            ct->tuplehash[!dir].tuple.src.u3.ip) {

            if (ip_route_me_harder(skb, RTN_UNSPEC))

                ret = NF_DROP;

        }

    }

    return ret;

}

所以一般 portal 认证的双向nat 不会用内核协议栈本身的逻辑实现。一般都会自身写一个conn-nat----也就是直接full nat

一般都会使用conntrack 的扩展功能实现。具体就不讲了

/* We must be after connection tracking and before packet filtering. */

static struct nf_hook_ops nf_nat_ops[] __read_mostly = {

    /* Before packet filtering, change destination */

    {

        .hook        = nf_test_nat_in,

        .owner        = THIS_MODULE,

        .pf        = NFPROTO_IPV4,

        .hooknum    = NF_INET_PRE_ROUTING,

        .priority    = NF_IP_PRI_CONNTRACK + 1,

    },

    /* After packet filtering, change source */

    {

        .hook        = nf_test_nat_out,

        .owner        = THIS_MODULE,

        .pf        = NFPROTO_IPV4,

        .hooknum    = NF_INET_LOCAL_OUT,

        .priority    = NF_IP_PRI_CONNTRACK + 1,

    },

};

也就是在PRE_ROUTING 直接替换源ip 目的ip 将报文直接送到本机出来

 　　　　iph->saddr =  htonl(3.3);

        iph->daddr =  htonl(3.1);

        tcph->source = htons(auth_info->alloc_port);

        ct->tuplehash[IP_CT_DIR_REPLY].tuple.src.u3.ip = htonl(3.1);

        ct->tuplehash[IP_CT_DIR_REPLY].tuple.dst.u3.ip = htonl(3.3);

        ct->tuplehash[IP_CT_DIR_REPLY].tuple.dst.u.tcp.port = htons(auth_info->alloc_port);
original方向在 conntrack 完成

/* 将数据包转换成tuple */

/* 由skb得出一个original方向的tuple，赋值给tuple，这是一个struct nf_conntrack_tuple结构，这里给其所有成员都赋值了，

以TCP包为例：

tuple->src.l3num = l3num;

tuple->src.u3.ip = srcip;

tuple->dst.u3.ip = dstip;

tuple->dst.protonum = protonum;

tuple->dst.dir = IP_CT_DIR_ORIGINAL;

tuple->src.u.tcp.port = srcport;

tuple->dst.u.tcp.port = destport;

调用L3proto->pkt_to_tuple() 以及 L4proto->pkt_to_tuple() 设置L3 L4信息

*/

在LOCAL_OUT直接反向替换源ip 目的ip 然后将报文dev_xmit到设备

auth_info = nf_ct_ext_find(ct, NF_CT_EXT_TEST);

    if (auth_info == NULL ){

        return NF_ACCEPT;

    }

    --------------

  iph->saddr =  auth_info->org_dip;

    iph->daddr =  auth_info->org_sip;

    tcph->dest = auth_info->org_port;

--------------------------

nat_output_with_info（）

巴特西

full nat

最新文章

热门文章