c - Linux NFQUEUE 処理の問題

Question

カーネルモジュールが着信パケットを転送する NFQUEUE ソケットにバインドするユーザー空間アプリケーションを作成しようとしています (NF_QUEUE にタグを付けることにより)。これは、次のような iptables ルールを使用して達成されます。

iptables -A INPUT -j NFQUEUE --queue-num 0

iptables ACCEPT チェーンは次のようになります。

iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination        
ACCEPT     all  --  anywhere             anywhere            state    RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere           
ACCEPT     all  --  anywhere             anywhere           
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited
NFQUEUE    all  --  anywhere             anywhere            NFQUEUE num 0

これは、NFQUEUE ソケット (QNUM は 0) をポーリングするコードです。

printf("binding nfnetlink_queue as nf_queue handler for AF_INET\n");
if (nfq_bind_pf(h, AF_INET) < 0)
{   
    fprintf(stderr, "error during nfq_bind_pf()\n");
    return 1;
}   

/* Register a  callback function for our queue number */
qh = nfq_create_queue(h, QNUM, &cb_func, NULL);

if (!qh)
{   
    fprintf(stderr, "error during creating nf_queue\n");
    return 1;
}   

/* See if we have received a packet and send it to our cb func */
fd = nfq_fd(h);
if (fd < 0)
   return 1;

#if 1    
for (;;)
{
    if ((rv = recv(fd, buf, sizeof(buf), 0)) >= 0) {
        nfq_handle_packet(h, buf, sizeof(buf)); /* send packet to callback */
        continue;
    }
}
#endif

問題は、/proc/net/netfilter/nf_queue が使用中のキュー番号 0 ではなく 2 をリストしているため、ユーザー空間プログラムが関連するソケットで着信パケットを検出しないことです。何故ですか？

cat /proc/net/netfilter/nf_queue
0 NONE
1 NONE
2 nf_queue
3 NONE
4 NONE
5 NONE
6 NONE
7 NONE
8 NONE
9 NONE
10 NONE
11 NONE
12 NONE

c - Linux NFQUEUE 処理の問題

2 に答える 2

Related

Reference