Linux如何做到将外来数据包DNAT到Loopback

前面写了篇文章《使用iptables为何不能将外部进入的包NAT到127.0.0.1》，牵扯到了很多知识，最终的结论就是不能那么做。这个结论让人有些不舒服，说了半天就是阐述它为何做不到，如果我非要将包NAT到loopback呢。比如为了不将端口以及地址暴露给外部，我就是想让代理服务侦听127.0.0.1这个地址，有没有什么办法做到呢？

因为你用的是Linux，答案无疑是肯定的，所要做的无非就是把路由时候的限制条件给去掉。我们知道，在进和出两个方向，有两个路由查找逻辑，一个是

1. ip_route_input_slow，另一个是ip_route_output_slow，其中前一个函数的限制在：  
   
2. if (ipv4_is_lbcast(daddr) || ipv4_is_zeronet(daddr) ||  
   
3.         ipv4_is_loopback(daddr))  
   
4.     goto martian_destination;  

而后一个函数限制在其调用的__mkroute_output中：

1. if (ipv4_is_loopback(fl->fl4_src) && !(dev_out->flags&IFF_LOOPBACK))  
   
2.     return -EINVAL;  

我们到底应该怎么绕过去呢？如今我们知道，NAT逻辑已经将目标地址改成了127.0.0.1，而源地址保持不变，这种数据包在进入的时候会被ip_route_input_slow拦截并且由于源地址非loopback而目标为loopback而丢弃，丢弃的时候注意还没有查找路由呢？现在我们假设这个包已经过去了，那么返回包能不能顺利通过ip_route_output_slow呢？答案无疑也是否定的，由于标准路由是基于目标地址的，对于返回包的目标地址其实就是正向包的源地址，路由查找无疑是可以通过的，但是路由前由于还不知道目标设备，因此不能简单地丢弃，只有到了路由之后确定目标设备非loopback之后才能丢弃。
        以上就是Linux协议栈路由模块对待“火星地址”的逻辑。总结一下就是：
1.对于进入包，若是loopback发来的包则不通过路由查找逻辑，凡是通过路由查找的，都是外来包，路由前知道源地址和目标地址，可以根据目标地址是否loopback而判断是否丢弃；
2.对于发出包，无条件(考虑下路由cache，意义是一样的)都要经过路由查找，路由前不一定知道源地址，即使知道源地址也不能确定目标设备是否是loopback设备，只有通过路由查找(local表命中的目标设备为loopback设备)才可以知道全部信息，因此在路由后，生成路由cache之前判断源地址是loopback地址而却是发往非loopback设备而决定丢弃之。

1. struct rtable *dummy_rth = (struct rtable*)kmalloc(sizeof(struct rtable), GFP_ATOMIC);  

1. struct dst_entry dst = dummy_rth->u.dst;  


2. memset(&dummy_rth->u.dst, 0, sizeof(struct dst_entry));  


3. dummy_rth->u.dst.ops = NULL;  


4. dummy_rth->u.dst.path = &dst;  


5. dummy_rth->u.dst.flags= DST_HOST;  


6. dummy_rth->u.dst.flags |= DST_NOXFRM;  


7. dummy_rth->u.dst.flags |= DST_NOPOLICY;  


8. dummy_rth->u.dst.dev = init_net.loopback_dev;  


9. dummy_rth->rt_iif = init_net.loopback_dev->ifindex;  


10.   


11. dummy_rth->rt_type = RTN_LOCAL;  


12. dummy_rth->u.dst.input = (int (*)(struct sk_buff*))0xffffffff812734eb;  //ip_local_deliver的地址  


13. atomic_set(&dummy_rth->u.dst.__refcnt, 1);  

1. static unsigned int  


2. nf_nat_in(unsigned int hooknum,  


3.           struct sk_buff *skb,  


4.           const struct net_device *in,  


5.           const struct net_device *out,  


6.           int (*okfn)(struct sk_buff *))  


7. {  


8.         unsigned int ret;  


9.         __be32 daddr = ip_hdr(skb)->daddr;  


10.   


11.         ret = nf_nat_fn(hooknum, skb, in, out, okfn);  


12.         if (ret != NF_DROP && ret != NF_STOLEN &&  


13.             daddr != ip_hdr(skb)->daddr)  


14.                 skb_dst_drop(skb);  


15.         if (daddr != ip_hdr(skb)->daddr && ipv4_is_loopback(ip_hdr(skb)->daddr)) {  


16.                 atomic_inc(&dummy_rth->u.dst.__refcnt);    //增加一个引用计数。  


17.                 skb_dst_set(skb, &dummy_rth->u.dst);      //将rtable的dst_entry附着到skb上。  


18.     }  


19.     return ret;  


20. }  

和第1点一样，我们也可以通过修改__mkroute_output的源码来做到这一点，然而这不是什么好方法，比较好的方法的思路和第1点类似，那就是通过增加一个rtable来绕开标准的路由查找，然而却比上述第1点要难很多，这是因为这个rtable不能上上面那样做一个dummy，毕竟来源地址可能是不同的，并且几乎所有rtable的字段都需要，这次它是真正被用作路由的，而不是仅仅将述举包导入本地，这就涉及更底层的诸如arp，neighbour等问题了，另外，这个rtable由于不唯一，不固定，因此最好将其纳入到系统的路由cache哈希表中管理。

具体来讲就是在nf_nat_in中再添加一个逻辑：

1. if (daddr != ip_hdr(skb)->daddr && ipv4_is_loopback(ip_hdr(skb)->daddr)) {  


2.     struct rtable *rev_dummy = dst_alloc(&ipv4_dst_ops);  


3.     int err;  


4.     unsigned hash;  


5.     atomic_inc(&dummy_rth->u.dst.__refcnt);    //增加一个引用计数。  


6.     skb_dst_set(skb, &dummy_rth->u.dst);      //将rtable的dst_entry附着到skb上。  


7.     //以下构造返回包使用的rtable，注意是反向的，源地址就是目标地址，目标地址成了源地址  


8.     atomic_set(&rev_dummy->u.dst.__refcnt, 1);  


9.     rev_dummy->u.dst.flags= DST_HOST;  


10.     rev_dummy->u.dst.flags |= DST_NOXFRM;  


11.     rev_dummy->u.dst.flags |= DST_NOPOLICY;  


12.     rev_dummy->fl.fl4_dst    = ip_hdr(skb)->saddr;  


13.     rev_dummy->fl.fl4_tos    = (u32)(RT_TOS(ip_hdr(skb)->tos) & (IPTOS_RT_MASK | RTO_ONLINK));;  


14.     rev_dummy->fl.fl4_src    = ip_hdr(skb)->daddr;  


15.     …  


16.     rev_dummy->rt_dst    = ip_hdr(skb)->saddr;  


17.     rev_dummy->rt_src    = ip_hdr(skb)->daddr;  


18.     hash = rt_hash(ip_hdr(skb)->saddr, ip_hdr(skb)->daddr, 0,  


19.                                rt_genid(dev_net(skb->dev)));  


20.     err = rt_intern_hash(hash, rev_dummy, rev_dummy, NULL);  


21. }  

即可。

        另外如果对Windows上做hack比较熟悉的话，还有一种更加高效的方式来处理上述第2点，那就是“二进制重置”，通过内核符号表找到__mkroute_output的地址，并且通过特征码找到：

1. if (ipv4_is_loopback(fl->fl4_src) && !(dev_out->flags&IFF_LOOPBACK))