clear ip df kernel module

此模块比较简单, 主要目的在使用GRE隧道时强制对数据报文长度>GRE隧道MTU的IPv4 DF标志的报文进行分片. Linux默认丢弃此类报文并根据PMTUD是否响应ICMP报文, 而不是直接进行分片!
加载此模块后会对所有数据ipv4报文强制清除DF标志.
注:
未启用PMTUD功能;
Linux GRE 隧道默认MTU 1476, 默认对所有未设置DF标志报文进行分片后再ENCAP;

prepare

yum install gcc makc perl elfutils-libelf-devel kernel-devel kernel-headers

source

#ifdef    MODVERSIONS
#include  <linux/modversions.h>
#endif#include <linux/version.h>
#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/skbuff.h>
#include <linux/netdevice.h>
#include <linux/netfilter_ipv4/ip_tables.h>
#include <linux/types.h>
#include <linux/random.h>
#include <linux/vmalloc.h>
#include <linux/init.h>
#include <net/pkt_sched.h>
#include <net/ip.h>
#include <net/tcp.h>
#include <net/udp.h>
#include <net/icmp.h>
#include <linux/inet.h>
#include <linux/list.h>
#include <linux/mm.h>
#include <linux/sysctl.h>
#include <linux/fs.h>
#include <linux/kernel_stat.h>
#include <linux/if_vlan.h>
#include <linux/netfilter_bridge.h>
#include <linux/inetdevice.h>
#include <asm/uaccess.h>        /* for put_user */
#include <asm/atomic.h>        /* for put_user */#include "dbg.h"#define MTU_DST        1400#define MKIPV4(a,b,c,d) \(u32)(((__u8)d & 0xFF) << 24 | ((__u8)c & 0xFF) << 16 | ((__u8)b & 0xFF) << 8 | (a & 0xFF))#if LINUX_VERSION_CODE <= KERNEL_VERSION(4, 13, 0)
/*include/linux/netfilter.h
typedef unsigned int nf_hookfn(const struct nf_hook_ops *ops,struct sk_buff *skb,const struct net_device *in,const struct net_device *out,
#ifndef __GENKSYMS__const struct nf_hook_state *state
#elseint (*okfn)(struct sk_buff *)
#endif);*/
static unsigned int
nf_ip_input(const struct nf_hook_ops *ops,struct sk_buff *skb,const struct net_device *in,const struct net_device *out,
#ifndef __GENKSYMS__const struct nf_hook_state *state
#elseint (*okfn)(struct sk_buff *)
#endif
)
#else
/*typedef unsigned int nf_hookfn(void *priv,struct sk_buff *skb,const struct nf_hook_state *state);
*/static unsigned int
nf_ip_input(void *priv,struct sk_buff *skb,const struct nf_hook_state *state)
#endif
{struct iphdr *iph = NULL;iph = ip_hdr(skb);if (iph->frag_off & __constant_htons(IP_DF)) {iph->frag_off &= ~(__constant_htons(IP_DF));iph->check = 0;iph->check = ip_fast_csum((unsigned char *)iph, iph->ihl);}return NF_ACCEPT;
}static struct nf_hook_ops nf_hook_ops[] __read_mostly = {{.hook       = nf_ip_input,
#if LINUX_VERSION_CODE <= KERNEL_VERSION(3, 10, 0).owner      = THIS_MODULE,
#endif.pf         = PF_INET,.hooknum    = NF_INET_PRE_ROUTING,.priority   = NF_IP_PRI_FIRST,},
};int nf_ip_df_init( void )
{int err = 0;pr_notice( "nf_ip_df_init..\n" );
#if LINUX_VERSION_CODE >= KERNEL_VERSION(4,13,0) err = nf_register_net_hook(&init_net, nf_hook_ops);
#elseerr = nf_register_hooks(nf_hook_ops, ARRAY_SIZE(nf_hook_ops));
#endifif (err < 0) {pr_notice("nf_ip_df_init: can't register hooks.\n");}pr_emerg( "INT_MIN = %d\n", INT_MIN );pr_info( "ip_mtu: register hooks success.\n" );return err;
}void nf_ip_df_fini(void)
{pr_notice( "nf_ip_df_fini..\n" );
#if LINUX_VERSION_CODE >= KERNEL_VERSION(4,13,0) nf_unregister_net_hook(&init_net, nf_hook_ops);
#elsenf_unregister_hooks(nf_hook_ops, ARRAY_SIZE(nf_hook_ops));
#endif
}module_init(nf_ip_df_init);
module_exit(nf_ip_df_fini);
MODULE_LICENSE( "GPL" );

Makefile

ARCH := x86
KVER := $(shell uname -r)
KSP ?= /lib/modules/$(KVER)/build#EXTRA_CFLAGS +=-DTESTobj-m += ip_df.oall: cleanmake -C $(KSP) M=`pwd` modulesclean:make -C $(KSP) M=`pwd` cleanrm -f Module.symversrm -f modules.ordertest:insmod ip_df.ko

Linux下使用Netfilter强制清除IPv4 DF标志相关推荐

linux svn配置提交输入备注,linux下svn服务强制添加备注(注释)提交
标签: linux下svn服务强制添加备注(注释)提交 Linux版本: line-height: 26px; white-space: normal; background-color: rgb(2 ...
iptables命令_理解 Linux 下的 Netfilter/iptables
Netfilter/iptables 项目由 Rusty Russe 创建于1998年,并于 1999 年建立了 Netfilter Core team,并在此后负责维护此项目,同时也于2000年3月 ...
Linux 下Xorddos的木马清除
本次实验使用Xorddos的病毒,作为模拟应急响应 ,自己的一次小计. 病毒清理目录本次实验使用Xorddos的病毒,作为模拟应急响应 ,自己的一次小计. 病毒清理看到网上还有拓展知识还有一种 ...
Linux下使用Netfilter框架编写内核模块（统计协议层ping特定地址丢包数）
一.linux内核中neitfilter的处理过程 1.5个HOOK点的执行点说明: 数据包从进入系统,进行IP校验以后,首先经过第一个HOOK函数NF_IP_PRE_ROUTING进行处理: 然后就 ...
洞悉linux下的Netfilteriptables：什么是Netfilter？
转自:http://blog.chinaunix.net/uid-23069658-id-3160506.html (一)洞悉linux下的Netfilter&iptables:什么是Netf ...
linux下iptables和netfilter详解（4）：洞悉实现流程及协议栈分析
(一)洞悉linux下的Netfilter&iptables:什么是Netfilter? 很多人在接触iptables之后就会这么一种感觉:我通过iptables命令配下去的每一条规则,到底是 ...
洞悉linux下的Netfilteriptables
原网址:http://blog.chinaunix.net/uid-23069658-id-3160506.html (一)洞悉linux下的Netfilter&iptables:什么是Net ...
linux idea 权限,Linux下idea由于缺少相关权限导致的tomcat ERROR
昨天一天都在倒腾两个系统,也是醉了. 不过还好,系统修好了,在ubuntu下重新安装idea后,出现了这个错误: Intellij Idea Tmocat Error running Tomcat: ...
(十)洞悉linux下的Netfilteramp;iptables：网络地址转换原理之SNAT
源地址转换:SNAT SNAT 主要应用于下列场景: 这种情况下,我们只有一个公网地址A,而又有三台主机需要同时上网,这时就需要SNAT了.它的主要作用是将那些由私网发来的数据包skb的源地址改成防火 ...
Linux_linux基础命令（增删查，权限，Linux下的重要目录，重要命令（. du, df, top, free, pstack, su, sudo）.安装gcc/g++, gdb, vim ）
r:表示可读w:表示可写x:表示可执行也可以用数字表示这一点我们会在修改文件权限说明.对于文件夹的rwx表示:r表示可读及可以查看文件夹内容可以ls查看w表示可写及可以向文件夹中传送内容如文件x表示可 ...

Linux下使用Netfilter强制清除IPv4 DF标志

clear ip df kernel module

prepare

source

Makefile

Linux下使用Netfilter强制清除IPv4 DF标志相关推荐

最新文章

热门文章