netfilter机制就不详述了,只想纪录一下做netfilter实验时,一些迷惑、不太确定答案的地方。
1.通过tun虚设备通信
虚拟设备肯定得依靠内核,也会被内核模块hook到。
2.通过raw_socket发包
int sockfd = socket(PF_INET, SOCK_PACKET, htons(ETH_P_ALL));
通过上述类型的创建的socket,调用sendto()向物理网卡发包,
即便挂载到NF_INET_LOCAL_OUT, NF_INET_POST_ROUTING,也是hook不到包的。
3.无IP/无协议栈模式
物理网卡不设IP地址,不启用协议栈,使用libpcap、tcpdump等工具可以收到数据包。
这又分为几种情况:
3.1 目标MAC是本机MAC
在NF_INET_PRE_ROUTING可以hook到数据包,但在NF_INET_LOCAL_IN不可以。
3.2 目标MAC不是本机MAC
在任意hook点都获取不到数据包。