用户名: 密码: 忘记密码? 注册

Netfilter源码分析--6、NAT

作者:  时间: 2011-01-05

六、NAT

6.1、简介

网络地址转换源(NAT)分为(Source NATSNAT)和目的NAT(Destination NAT, DNAT)2种不同的类型。SNAT是指修改数据包的源地址(改变连接的源IP)SNAT会在数据包送出之前的最后一刻做好转工作。地址伪装 (Masquerading)SNAT的一种特殊形式。DNAT 是指修改数据包的目标地址(改变连接的目的IP)DNAT 总是在数据包进入以后立即转发,端口转发,负载平衡和透明代理都属于DNAT。下面介绍下NAT的流程:

6.1 NAT机制流程

这个流程需要说明的是,如果这是一个新的连接跟踪,那么hook操作会操作NAT表,寻找对应的规则进行处理,如果这个连接不是新的连接,即连接跟踪已经记录并且NAT已经更改过连接的源地址,那么hook操作会直接调用nf_nat_packet来修改报文的目的地址,这个不同于DNAT,它都是在SNAT中完成。也就是说netfilter中所有的NAT操作都可以通过一次NAT设置完成,也就是说NAT会自动帮我们判断另一个方向的报文。

进一步分析nf_nat_rule_find的工作流程如下:

 

6.2、重要数据结构

1、两种不同的对IP操作类型

enum nf_nat_manip_type

{

       IP_NAT_MANIP_SRC,//修改报文的源地址

       IP_NAT_MANIP_DST//修改报文的目的地址

};

1、  NAT的范围

主要是IP地址的范围和端口的范围。

struct nf_nat_range

{

       /* Set to OR of flags above. */

       unsigned int flags;

 

       /* Inclusive: network order. */

       __be32 min_ip, max_ip;//IP地址范围

 

       /* Inclusive: network order */

       union nf_conntrack_man_proto min, max;//端口范围

};

2、  内嵌在nf_conn的结构

此结构体内嵌在成员变量struct nf_ct_ext *ext中。

struct nf_conn_nat

{

       struct hlist_node bysource;

       struct nf_nat_seq seq[IP_CT_DIR_MAX];

       struct nf_conn *ct;

       union nf_conntrack_nat_help help;

#if defined(CONFIG_IP_NF_TARGET_MASQUERADE) || \

    defined(CONFIG_IP_NF_TARGET_MASQUERADE_MODULE)

       int masq_index;

#endif

};

 

3、  协议相关结构

与连接跟踪机制类似,NAT也定义了一些与协议相关的操作。

struct nf_nat_protocol

{

       /* 协议号 */

       unsigned int protonum;

       struct module *me;

       /* 根据sk_buffmaniptype来设定tuple.

          Return true if succeeded. */

       bool (*manip_pkt)(struct sk_buff *skb,

                       unsigned int iphdroff,

                       const struct nf_conntrack_tuple *tuple,

                       enum nf_nat_manip_type maniptype);

       /* 判断所操作部分的范围 */

       bool (*in_range)(const struct nf_conntrack_tuple *tuple,

                      enum nf_nat_manip_type maniptype,

                      const union nf_conntrack_man_proto *min,

                      const union nf_conntrack_man_proto *max);

       /* 将协议相关部分设置到tuple当中*/

       bool (*unique_tuple)(struct nf_conntrack_tuple *tuple,

                          const struct nf_nat_range *range,

                          enum nf_nat_manip_type maniptype,

                          const struct nf_conn *ct);

 

       int (*range_to_nlattr)(struct sk_buff *skb,

                            const struct nf_nat_range *range);

       int (*nlattr_to_range)(struct nlattr *tb[],

                            struct nf_nat_range *range);

};

6.3、重要函数分析

/*此函数的主要作用就是根据iptable的设置NAT信息,为连接跟踪选择合适的ip

*和端口,并更改NAT对应的连接跟踪

*/

static void

get_unique_tuple(struct nf_conntrack_tuple *tuple,

               const struct nf_conntrack_tuple *orig_tuple,

               const struct nf_nat_range *range,

               struct nf_conn *ct,

               enum nf_nat_manip_type maniptype)

{

       struct net *net = nf_ct_net(ct);

       const struct nf_nat_protocol *proto;

       /* 1) If this srcip/proto/src-proto-part is currently mapped,

          and that same mapping gives a unique tuple within the given

          range, use that.

          This is only required for source (ie. NAT/masq) mappings.

          So far, we don't do local source mappings, so multiple

          manips not an issue.  */

       if (maniptype == IP_NAT_MANIP_SRC &&

           !(range->flags & IP_NAT_RANGE_PROTO_RANDOM)) {

              if (find_appropriate_src(net, orig_tuple, tuple, range)) {

                     pr_debug("get_unique_tuple: Found current src map\n");

                     if (!nf_nat_used_tuple(tuple, ct))

                            return;

              }

       }

 

       /*在给定范围内选择合适的ip */

       *tuple = *orig_tuple;

       find_best_ips_proto(tuple, range, ct, maniptype);

 

       /* 3) The per-protocol part of the manip is made to map into

          the range to make a unique tuple. */

 

       rcu_read_lock();

/*选择相关协议,确定协议相关部分*/

       proto = __nf_nat_proto_find(orig_tuple->dst.protonum);

 

       /* 如果iptables设定了随机选择端口*/

       if (range->flags & IP_NAT_RANGE_PROTO_RANDOM) {

              proto->unique_tuple(tuple, range, maniptype, ct);

              goto out;

       }

 

       /* 如果IPTABLES指定了端口的范围*/

       if ((!(range->flags & IP_NAT_RANGE_PROTO_SPECIFIED) ||

            proto->in_range(tuple, maniptype, &range->min, &range->max)) &&

           !nf_nat_used_tuple(tuple, ct))

              goto out;

 

       /* 对端口没有做任何指定 */

       proto->unique_tuple(tuple, range, maniptype, ct);

out:

       rcu_read_unlock();

}

6.4、应用实例

我们假设应用层的iptables有如下的NAT设置:

       iptables –t nat –A POSTROUTING –o eth0 –s192.168.0.0/24 –j SNAT –to 11.11.11.11

这条命令的意义在于将私用ip段:192.168.0.0/24,封包的源地址都改为公用ip11.11.11.11,这个IPNAT主机的ip

现在我们假设有一台私用ip为:192.168.18.135的机器用临时端口45678来访问218.247.215.23880端口。则连接跟踪建立如下的连接

ORIGINAL: 192.168.18.135.45678->218.247.215.238.80

REPLY: 218.247.215.238.80->192.168.18.135.45678

设定了SNAT后,我在POSTROUTING进入NAThook操作,并用SNATtarget做相应的处理,进入6.1流程的nf_nat_fn后,我们发现这个连接是一个新的连接,则遍历NAT表,发现设置了如上描述的规则,并且此私用IP符合我们的设定的私用ip范围,故对此报文做SNAT处理,在流程图6.2nf_nat_setup_info

中,我们调用get_unique_tuple获得一个唯一的tuple(符合上面iptables所设定的),我们通过find_best_ips_proto在指定的ip范围内寻找合适的ip,本例中只使用了唯一的公用IP:11.11.11.11,则合适的IP就为这个。在协议相关的成员函数unique_tuple中我们找到一个端口,同时判断新的tuple是否在连接跟中存在,如果存在,在换另一个端口,这样一个新的tuple被建立起来了他为:

REPLY: 218.247.215.238.80-11.11.11.11.56789(这个端口为NAT主机上的端口)

同时我们更改连接跟踪的REPLY tuple为如上的tuple,这样连接跟踪建立的新连接如下:

ORIGINAL: 192.168.18.135.45678->218.247.215.238.80

REPLY: 218.247.215.238.80-11.11.11.11.56789

这个封包发送到主机218.247.215.238后,218.247.215.238后发送一个确认的数据包,连接为:

218.247.215.238.80-11.11.11.11.56789

NAT主机11.11.11.11收到这个封包后,连接跟踪发现这个连接已经被记录,不做新的记录,同时设定ctinfo为:IP_CT_RELATED+IP_CT_IS_REPLYNAT发现这个数据包的信息为这个时,直接调用nf_nat_packet,而不是去查NAT表所对应的规则,nf_nat_packet

中会有连接的相反方向,即本例中为REPLY封包,相反为ORINGAL,修改相应的报文。即将数据包中的11.11.11.11.56789再次替换成192.168.18.135.45678NAT主机将这个数据包转发给192.168.18.135,这就完成了一次SNAT操作。