Netfilter的LOCAL_IN和LOCAL_OUT中怎么获取接受或发送网络数据包相关联的进程pid?

kenshinwolf 2013-07-11 08:34:04

比如说外部到达本机的数据包要经过LOCAL_IN钩子点，那么在这个钩子点中，怎么知道这个数据是哪个进程接收的，在LOCAL_OUT钩子点中，怎么知道发出去的数据包是本机哪个进程发的？对TCP/UDP来说，监听端口和进程是有对应关系，那么有没有某个函数或者一组函数能通过port找到对应进程？这些都必须在内核模块中完成！求大神指点

...全文

272 回复打赏收藏举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

网络命名空间是Linux容器技术栈中最精妙的设计之一。它通过struct net数据结构实现了零成本的网络栈隔离，每个命名空间拥有独立的路由、netfilter规则和连接跟踪表。理解数据包在跨越命名空间边界时的netfilter双重遍历机制，是排查容器网络问题的关键。在生产环境中管理网络命名空间时，建议遵循以下原则：使用veth pair连接容器与宿主机时，务必确认两端命名空间中的iptables规则配置正确；高并发场景下监控conntrack表使用率，避免因表满导致的丢包；

【代码】php方案 Netfilter Hook 联动。

Netfilter是Linux内核实现包过滤、网络地址转换（NAT）和连接跟踪（conntrack）的核心框架，其通过预设的五个hook点（PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING）嵌入协议栈，实现数据包全生命周期管控。其设计遵循内核态与用户态分离原则：Netfilter提供确定性钩子机制，iptables仅负责规则编译与提交。四表（raw/mangle/nat/filter）并非独立存储，而是按处理阶段逻辑分区，执行顺序由hook物理位置固化。技术价值在于支撑

本文介绍了两种实现网卡流量过滤的方案：cgroup+iptables和netfilter内核模块。第一种方案通过创建cgroup并标记进程，结合iptables规则丢弃非授权流量，操作简单但存在权限风险。第二种方案利用netfilter钩子在内核层实现精细过滤，支持动态配置允许的进程名和PID，安全性更高但开发复杂。文中详细展示了两种方案的实现代码，包括cgroup配置、iptables规则设置以及内核模块的关键过滤逻辑，特别处理了DNS流量和进程权限检查。内核模块方案还提供了proc文件系统接口用于动态管

Kubernetes网络并非单一技术，而是基于Linux内核网络栈构建的标准化协同体系。其核心在于CNI插件实现Pod IP分配与veth虚拟设备绑定，iptables或eBPF在netfilter或socket层完成ClusterIP的透明代理与负载均衡，而CoreDNS则提供与Service生命周期同步的集群内服务发现。该架构支撑了Pod间直通通信、跨节点路由、无NAT服务访问等关键能力，广泛应用于云原生微服务、混合云组网及边缘计算场景。本文深入拆解Ubuntu 22.04环境下CNI配置、iptabl

4,469

社区成员

17,458

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章