C 是否可以使用libnetfilter_队列访问ip片段

我用C语言捕获数据包。我正在设置一个iptable规则来对传入的数据包进行排队，这些数据包稍后将由用户空间实现进行如下处理：

iptables-A INPUT-j NFQUEUE-queue num 0

。我使用示例作为实现捕获的框架。一切正常。但是，我注意到不可能在ip片段级别上检查队列。也就是说，如果一个数据包是以片段形式出现的，那么它在放入队列之前首先被重新组装。但我想处理碎片。那么有没有办法强制执行这种行为呢？我想要的是一个队列，在这个队列中，我可以观察原始的传入数据包（碎片化和非碎片化），这样我就能够相应地对它们采取行动

我读到重组确实发生过。另一方面，对于iptables，有可用的

-f

标志，因此应该有我正在寻找的“碎片粒度”。我还尝试调整iptable规则（例如，

iptables-t raw-D PREROUTING-I eth0-j NFQUEUE-queue num 0

），但结果仍然相同。我只能观察到已经重新组装好的包裹，我知道它是以碎片的形式到达的

---

非常感谢您的帮助。

在进行任何其他操作之前，请确保您的网卡不是进行重新组装的网卡

---

由现代网卡执行的各种卸载技术，例如，和其他可以重新组装IP级碎片的技术。我建议使用

ethtool-k

检查相关界面上哪些卸载处于活动状态，然后使用

ethtool-k

逐个关闭这些卸载，因此我找到了问题的解决方案，并在这里分享，以防有人感兴趣。这要归功于netfilter邮件列表中的Adel，他提出了可能的解决方法。基本上，解决方案是使用nftables并设置一个优先级低于碎片整理优先级的链。我用C代码测试了这个设置，它似乎运行得很好（我没有注意到任何副作用）。然而，我必须提到，我只使用它来观察IP片段，并没有篡改它们

下面有两个函数用于设置nftables，然后删除它们

void set_nftable() {

    int status = 0;

    // Create a nftable 
    status = system("nft add table ip filter");

    // Add a chain to the nftable called "predefrag" which has lower priority than the defragmentation -450 < -400
    status = system("nft add chain ip filter predefrag { type filter hook prerouting priority -- -450 \\; }");

    // Set the nftable rule (queue packets to be accessed by a user-space application)
    status = system("nft add filter predefrag meta iif eth0 counter queue num 0 bypass"); 
}

void remove_nftable() {

    int status = 0;

    // Flush the rules that are stored in the chains that belong to the nftable
    status = system("nft flush table ip filter");

    // Delete the chain from the nftable
    status = system("nft delete chain ip filter predefrag");

    // Delete the nftable
    status = system("nft delete table ip filter");
}

void set\u nftable（）{
int status=0；
//创建一个表
状态=系统（“nft添加表ip筛选器”）；
//将一个名为“predefrag”的链添加到nftable中，该链的优先级低于碎片整理-450<-400
状态=系统（“nft add chain ip filter predefrag{type filter hook prerouting priority--450\\；}”）；
//设置nftable规则（用户空间应用程序访问的队列数据包）
状态=系统（“nft add filter predefrag meta iif eth0计数器队列编号0旁路”）；
}
void remove\u nftable（）{
int status=0；
//刷新存储在属于nftable的链中的规则
状态=系统（“nft冲洗表ip过滤器”）；
//从表中删除链
状态=系统（“nft删除链ip过滤器预折射”）；
//删除表
状态=系统（“nft删除表ip筛选器”）；
}

通过这些函数，代码可以用来捕获IP片段。下面有一些有用的链接，用于设置nftables并了解它们的工作原理（一旦熟悉nftables手册，函数中的注释就很容易解释）