我使用C中的libnetfilter_queue来捕获数据包。 我正在设置一个iptable规则来排队传入的数据包，稍后将由用户空间实现像这样处理： iptables -A INPUT -j NFQUEUE --queue-num 0 。 我使用nfqnl_test作为框架来实现捕获。 一切都按预期工作。 但是，我注意到在ip碎片级别检查队列是不可能的。 也就是说，如果一个数据包以碎片forms出现，它首先在被放入队列之前被重新组合。 但我想用碎片工作。 那么是否有办法强制这种行为呢？ 我想要的是一个队列，我可以观察原始传入数据包（碎片和未碎片），所以我将能够相应地采取行动。
我读到，重组确实发生在之前。 另一方面，使用iptables有-f标志可用，所以应该有我正在寻找的“碎片粒度”。 我也试着调整iptable规则（例如iptables -t raw -D PREROUTING -i eth0 -j NFQUEUE --queue-num 0 ），但结果仍然是一样的。 我只能观察到已经重新组装的数据包，我当然知道这个数据包到达了碎片。
任何帮助真的很感激。
所以我找到了解决问题的办法，我在这里分享，以防有些人感兴趣。 信用从netfilter邮件列表的Adel谁建议可能的解决方法。 基本上，解决方法是使用nftables，并建立一个优先级低于碎片整理的链。 我用C代码测试了这个设置，它似乎工作得很好（我没有注意到任何副作用）。 但是，我不得不提到，我只是用它来观察IP碎片，我没有篡改它们。
下面有两个函数来设置nftables，然后删除它们。
void set_nftable() { int status = 0; // Create a nftable status = system("nft add table ip filter"); // Add a chain to the nftable called "predefrag" which has lower priority than the defragmentation -450 < -400 status = system("nft add chain ip filter predefrag { type filter hook prerouting priority -- -450 \\; }"); // Set the nftable rule (queue packets to be accessed by a user-space application) status = system("nft add filter predefrag meta iif eth0 counter queue num 0 bypass"); } void remove_nftable() { int status = 0; // Flush the rules that are stored in the chains that belong to the nftable status = system("nft flush table ip filter"); // Delete the chain from the nftable status = system("nft delete chain ip filter predefrag"); // Delete the nftable status = system("nft delete table ip filter"); }
通过这些函数， nfqnl_test代码可以用来捕获IP碎片。 下面有一些有用的链接来设置nftables，并且说明它们是如何工作的（一旦熟悉了nftables手册，函数中的注释就不言自明）。
http://wiki.nftables.org/wiki-nftables/index.php/Building_and_installing_nftables_from_sources
http://wiki.nftables.org/wiki-nftables/index.php/Configuring_tables
http://wiki.nftables.org/wiki-nftables/index.php/Configuring_chains
http://wiki.nftables.org/wiki-nftables/index.php/Simple_rule_management
http://wiki.nftables.org/wiki-nftables/index.php/Queueing_to_userspace
在别的之前，确保你的网卡不是重装的那个。
由现代网卡（例如LRO ， UFO等）执行的各种卸载技术可以重新组装IP级别的碎片。 我建议使用ethtool -k来检查相关接口上的哪些卸载处于活动状态，然后使用ethtool -K逐个关闭它们。