Linux之ip_conntrack容易混淆的问题点滴

《再次深入到ip_conntrack的conntrack full问题》最后的一个问题提示ip_conntrack有一个event机制，可以主动通报ip_conntrack的一些事件，包括追踪信息到期删除等事件，通知给谁呢？当然是通知给所有感兴趣的模块了，其中之一就是用户态进程，这样用户态进程得知可以采取一些措施，比如防火墙上设置一些放过规则等，这个通知机制使用了观察者设计模式。

Linux ip_conntrack的一些细节问题由于Linux的ip_conntrack具有大量的状态，而每一种状态都有一定的超时时间，这些状态中的个别可以和网络协议的不同状态建立映射关系，另一些则不能。如果协议本身是有状态的，那么就很方便建立一种映射关系，反之如果协议没有状态，那么就不能建立映射关系。有时候，对于无状态的协议而言，ip_conntrack的状态超时时间会带来一些令人郁闷的问题。

总之，Linux的ip_conntrack机制如果深究起来还真的看点，如果搞防火墙开发，实属不可不察也。下面就举几个例子。

对于UDP而言，它本身没有状态，无需建立连接，无需确认，纯粹就是一个数据报协议，因此ip_conntrack使用经验值来设定各个状态的超时时间，但是如果双方有一段时间没有发包，那么当初始接收端再发起一个数据包时，就会给防火墙上的基于ctstate的过滤规则带来影响，具体参见《再次深入到ip_conntrack的conntrack full问题》。

1. if (set_reply)  


2.     set_bit(IPS_SEEN_REPLY_BIT, &ct->status);  

1. //只要收到反向的包，就会设置IP_CT_ESTABLISHED，且把set_reply设置为1，然后返回到ip_conntrack_in的时候，就会导致ct->status的IPS_SEEN_REPLY_BIT的设置   


2. if (DIRECTION(h) == IP_CT_DIR_REPLY) {  


3.     *ctinfo = IP_CT_ESTABLISHED + IP_CT_IS_REPLY;  


4.     /* Please set reply bit if this packet OK */  


5.     *set_reply = 1;  


6. } else {  


7.     /* Once we’ve had two way comms, always ESTABLISHED. */  


8.     //只要有IPS_SEEN_REPLY_BIT位被置位，那么就是IP_CT_ESTABLISHED   


9.     if (test_bit(IPS_SEEN_REPLY_BIT, &h->ctrack->status)) {  


10.         DEBUGP(“ip_conntrack_in: normal packet for %p\n”, h->ctrack);  


11.         *ctinfo = IP_CT_ESTABLISHED;  


12. …  

1. static int icmp_packet(struct ip_conntrack *ct,  


2.                const struct sk_buff *skb,  


3.                enum ip_conntrack_info ctinfo)  


4. {  


5.     /* Try to delete connection immediately after all replies: 


6.            won’t actually vanish as we still have skb, and del_timer 


7.            means this will only run once even if count hits zero twice 


8.            (theoretically possible with SMP) */  


9.     //只要有包返回，则递减icmp流的引用计数，如果是0，则释放ip_conntrack连接。实际上非SMP情况下在resolve_normal_ct中总会将找到的ip_conntrack的引用计数加1的，如果此时到达以下语句，即使icmp.count为0，调用了timeout.function，也不会释放ip_conntrack，进而在filter表中仍然可以使用ctsate或者state这些match，直到相关联的skb被free之后才会调用ip_conntrack_put进而将连接追踪的引用计数变为0从而删除之。   


10.     if (CTINFO2DIR(ctinfo) == IP_CT_DIR_REPLY) {  


11.         //如果有同一个源到同一个目的的icmp包或者其返回包经过则递增icmp.count字段。   


12.         if (atomic_dec_and_test(&ct->proto.icmp.count)  


13.             && del_timer(&ct->timeout))  


14.             ct->timeout.function((unsigned long)ct);  


15.     } else {  


16.         atomic_inc(&ct->proto.icmp.count);  


17.         ip_ct_refresh_acct(ct, ctinfo, skb, ip_ct_icmp_timeout);  


18.     }  


19.   


20.     return NF_ACCEPT;  


21. }