linux C 如何借助netfilter实现上网准入？-DPDK中文网

在 Linux C 中借助 Netfilter 实现上网准入（网络访问控制），可以通过以下步骤完成。Netfilter 是 Linux 内核提供的包过滤框架，结合 iptables/nftables 或直接通过内核模块编程，可以实现灵活的访问控制策略。

1. Netfilter 基本原理

Netfilter 在内核协议栈的关键位置设置了钩子（hooks），允许开发者注册回调函数来处理数据包。主要的钩子点包括：

NF_IP_PRE_ROUTING（刚到达的数据包）
NF_IP_LOCAL_IN（目标是本机的数据包）
NF_IP_FORWARD（需要转发的数据包）
NF_IP_LOCAL_OUT（本机发出的数据包）
NF_IP_POST_ROUTING（即将离开的数据包）

2. 实现上网准入的核心逻辑

要实现上网准入，通常需要在 NF_IP_LOCAL_OUT 和 NF_IP_FORWARD 钩子点拦截数据包，并根据规则决定是否放行。例如：

允许/拒绝特定 IP、端口或协议。
基于用户身份或进程权限控制（需结合其他内核机制如 netlink 或 eBPF）。
记录访问日志。

3. 示例代码：内核模块实现

以下是一个简单的内核模块示例，禁止所有对外发起的 HTTP（80端口）请求：

(1) 编写 Netfilter 钩子函数

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
#include <linux/tcp.h>

static unsigned int block_http_hook(void *priv, struct sk_buff *skb, const struct nf_hook_state *state) {
    struct iphdr *iph;
    struct tcphdr *tcph;

    if (!skb) return NF_ACCEPT;

    iph = ip_hdr(skb);
    if (iph->protocol != IPPROTO_TCP) return NF_ACCEPT; // 仅处理 TCP

    tcph = tcp_hdr(skb);
    if (ntohs(tcph->dest) == 80) { // 检查目标端口是否为 HTTP
        printk(KERN_INFO "Dropped HTTP packet to %pI4\n", &iph->daddr);
        return NF_DROP; // 丢弃数据包
    }

    return NF_ACCEPT;
}

// 声明钩子操作结构
static struct nf_hook_ops nfho = {
    .hook     = block_http_hook,
    .pf       = PF_INET,
    .hooknum  = NF_INET_LOCAL_OUT, // 拦截本机发出的流量
    .priority = NF_IP_PRI_FIRST,   // 最高优先级
};

(2) 注册和卸载钩子

static int __init http_block_init(void) {
    nf_register_net_hook(&init_net, &nfho); // Linux kernel >=4.13+
    printk(KERN_INFO "HTTP block module loaded\n");
    return 0;
}

static void __exit http_block_exit(void) {
    nf_unregister_net_hook(&init_net, &nfho);
    printk(KERN_INFO "HTTP block module unloaded\n");
}

module_init(http_block_init);
module_exit(http_block_exit);
MODULE_LICENSE("GPL");

(3) Makefile

obj-m := http_block.o
KDIR := /lib/modules/$(shell uname -r)/build
PWD := $(shell pwd)

all:
	make -C $(KDIR) M=$(PWD) modules

clean:
	make -C $(KDIR) M=$(PWD) clean

4. iptables/nftables方案

如果不想编写内核模块，可以直接用 iptables/nftables：

# 禁止所有HTTP流量
iptables -A OUTPUT -p tcp --dport 80 -j DROP

# （可选）基于用户ID限制（需root权限）
iptables -A OUTPUT -p tcp --dport 80 -m owner --uid-owner baduser -j DROP

# （可选）记录日志后再丢弃
iptables -A OUTPUT -p tcp --dport 80 -j LOG --log-prefix "[BLOCKED]"
iptables -A OUTPUT -p tcp --dport 80 -j DROP