ip6tables 无法基于端口过滤IPv6 分片报文问题解决

问题现象：使用ip6tables 添加端口过滤规则，只允许指定端口IPv6报文进来，测试结果显示如果是分片报文，只有第一个分片报文能够收到，后续分片会被丢弃。

内核版本：3.4.39

问题原因: 因为同样的规则如果是IPv4分片报文则能够生效，通过分析内核源码，发现问题出在netfilter IPv6连接跟踪模块。

netfilter IPv4 连接跟踪模块会对分片报文进行重组处理使得系统网络协议栈处理的是重组报文，因为iptables添加的规则优先级在连接跟踪后面，所以IPv4 的端口过滤能够生效，因为处理的是重组报文。IPv6的连接跟踪功能同样会出重组分片报文，不过重组后的报文只有netfilter 连接跟踪自己可见，网络协议栈处理的仍然是分片报文，这就使得ip6tables 规则处理的是分片报文。

解决方法：在Linux内核官网上查找更高的版本发现，在3.12.4版本上有一个补丁，这个补丁的作用就是使得IPv6 连接跟踪模块重组报文后直接传递给网络协议栈使用，这样ip6tables就能够基于端口过滤分片报文了。

补丁地址：https://github.com/torvalds/linux/commit/6aafeef03b9d9ecf255f3a80ed85ee070260e1ae#diff-4ee79b665234e6518f6f34a107032118

注意事项：该补丁修改了skbuff.h和skbuff.c文件，为了和现有内核版本兼容，不能够直接拿来使用，只需要将连接跟踪模块相关的处理去掉就ok了。

author  Jiri Pirko <jiri@resnulli.us>    2013-11-06 17:52:20 +0100
committer   David S. Miller <davem@davemloft.net>    2013-11-11 00:19:35 -0500
commit  6aafeef03b9d9ecf255f3a80ed85ee070260e1ae (patch)
tree    48c7f8ff1709c9874342c02c7039d4431a00b333
parent  9037c3579a277f3a23ba476664629fda8c35f7c4 (diff)
download    linux-6aafeef03b9d9ecf255f3a80ed85ee070260e1ae.tar.gz
netfilter: push reasm skb through instead of original frag skbs

ip6tables 无法基于端口过滤IPv6 分片报文问题解决相关推荐

tcp/ip 协议栈Linux源码分析五 IPv6分片报文重组分析一
做防火墙模块的时候遇到过IPv6分片报文处理的问题是,当时的问题是netfilter无法基于传输层的端口拦截IPv6分片报文,但是IPv4的分片报文可以.分析了内核源码得知是因为netfilter的连 ...
tcp/ip 协议栈Linux内核源码分析九 IPv6分片ip6_fragment 分析
内核版本:3.4.39 IPv6的分片流程和IPv4基本一致,这一点内核源码作者也说了.流程比较简单,分片的时候判断是否满足快速分片,满足的话直接一个接一个加上分片扩展选项发送出去,不满足的话就只能走 ...
BPF高阶 - 使用BPF过滤固定特征报文
这篇文章主要介绍如何使用BPF过滤固定特征报文参考文章:https://www.freebsd.org/cgi/man.cgi?query=bpf&sektion=4&manpath ...
技术干货 | 人大金仓KFS基于分区索引的分片入库技术解析
在之前的文章<技术干货:人大金仓KFS精准过滤和分片并行入库技术解析>中,KFS利用分片并行入库技术,解决了某金融POC数据同步项目中数据入库持续积压问题.经过优化后,在200并发的压测场 ...
MySQL 基于MyCAT配置数据分片
目录 MySQL 基于MyCAT配置数据分片相关概念分库/分表垂直分割水平分割 MyCAT介绍软件介绍分片规则工作过程部署MyCAT服务环境部署拓部结构 IP规划部署MyCAT服 ...
IP分片报文的接收与重组
对于长度超过接口MTU的数据包,需要进行分片处理,IP报头中与分片相关的字段有如下几个: Identification - 用来确认不同的分片是否属于同一个IP报文: Flags ...
linux查找数据包contr,基于Linux防火墙的P2P报文识别研究-计算机技术专业论文.docx...
基于Linux防火墙的P2P报文识别研究-计算机技术专业论文掣哪炒I掣j!:|l哕必磐掣哪炒I掣j!:|l哕必磐Y1 9 1 7709 原创性声明本人声明,所呈交的学位论文是本人在导师指导下进行 ...
思科服务器查看生成树协议,思科基于端口的生成树协议命令
思科基于端口的生成树协议命令 [命令格式]set port [portlist|all] spanning-tree enable [使用指南]该命令用于使能基于端口的生成树协议.参数为交换机物理端口 ...
技术干货 | 人大金仓KFS精准过滤和分片并行入库技术解析
"技术干货"是人大金仓推出的系列主题内容.本期展示的是人大金仓KFS V2.0通过精准过滤和基于表的分片并行入库特性来提升数据的入库效率,打破传统数据同步性能瓶颈,为用户提供极致高 ...

ip6tables 无法基于端口过滤IPv6 分片报文问题解决

ip6tables 无法基于端口过滤IPv6 分片报文问题解决相关推荐

最新文章

热门文章