netfilter机制就不详述了，只想纪录一下做netfilter实验时，一些迷惑、不太确定答案的地方。
1.通过tun虚设备通信
虚拟设备肯定得依靠内核，也会被内核模块hook到。
2.通过raw_socket发包
int sockfd = socket(PF_INET, SOCK_PACKET, htons(ETH_P_ALL));
通过上述类型的创建的socket，调用sendto()向物理网卡发包，
即便挂载到NF_INET_LOCAL_OUT, NF_INET_POST_ROUTING，也是hook不到包的。
3.无IP/无协议栈模式
物理网卡不设IP地址，不启用协议栈，使用libpcap、tcpdump等工具可以收到数据包。
这又分为几种情况:
3.1 目标MAC是本机MAC
在NF_INET_PRE_ROUTING可以hook到数据包，但在NF_INET_LOCAL_IN不可以。
3.2 目标MAC不是本机MAC
在任意hook点都获取不到数据包。