Netfilter是linux2.4內(nèi)核實(shí)現(xiàn)數(shù)據(jù)包過(guò)濾/數(shù)據(jù)包處理/NAT等的功能框架。該文討論了linux 2.4內(nèi)核的netfilter功能框架，還對(duì)基于netfilter框架上的包過(guò)濾，NAT和數(shù)據(jù)包處理(packet mangling)進(jìn)行了討論。閱讀本文需要了解2.2內(nèi)核中ipchains的原理和使用方法作為預(yù)備知識(shí)，若你沒(méi)有這方面的知識(shí)，請(qǐng)閱讀IPCHAINS-HOWTO。

第一部分：Netfilter基礎(chǔ)和概念

一、什么是Netfilter

Netfilter比以前任何一版Linux內(nèi)核的防火墻子系統(tǒng)都要完善強(qiáng)大。Netfilter提供了一個(gè)抽象、通用化的框架，該框架定義的一個(gè)子功能的實(shí)現(xiàn)就是包過(guò)濾子系統(tǒng)。因此不要在2.4中期望討論諸如"如何在2.4中架設(shè)一個(gè)防火墻或者偽裝網(wǎng)關(guān)"這樣的話題，這些只是Netfilter功能的一部分。Netfilter框架包含以下三部分：

1 為每種網(wǎng)絡(luò)協(xié)議(IPv4、IPv6等)定義一套鉤子函數(shù)（IPv4定義了5個(gè)鉤子函數(shù)),這些鉤子函數(shù)在數(shù)據(jù)報(bào)流過(guò)協(xié)議棧的幾個(gè)關(guān)鍵點(diǎn)被調(diào)用。在這幾個(gè)點(diǎn)中，協(xié)議棧將把數(shù)據(jù)報(bào)及鉤子函數(shù)標(biāo)號(hào)作為參數(shù)調(diào)用netfilter框架。

2 內(nèi)核的任何模塊可以對(duì)每種協(xié)議的一個(gè)或多個(gè)鉤子進(jìn)行注冊(cè)，實(shí)現(xiàn)掛接，這樣當(dāng)某個(gè)數(shù)據(jù)包被傳遞給netfilter框架時(shí)，內(nèi)核能檢測(cè)是否有任何模塊對(duì)該協(xié)議和鉤子函數(shù)進(jìn)行了注冊(cè)。若注冊(cè)了，則調(diào)用該模塊的注冊(cè)時(shí)使用的回調(diào)函數(shù)，這樣這些模塊就有機(jī)會(huì)檢查(可能還會(huì)修改)該數(shù)據(jù)包、丟棄該數(shù)據(jù)包及指示netfilter將該數(shù)據(jù)包傳入用戶空間的隊(duì)列。

3 那些排隊(duì)的數(shù)據(jù)包是被傳遞給用戶空間的異步地進(jìn)行處理。一個(gè)用戶進(jìn)程能檢查數(shù)據(jù)包，修改數(shù)據(jù)包，甚至可以重新將該數(shù)據(jù)包通過(guò)離開(kāi)內(nèi)核的同一個(gè)鉤子函數(shù)中注入到內(nèi)核中。

所有的包過(guò)濾/NAT等等都基于該框架。內(nèi)核網(wǎng)絡(luò)代碼中不再有到處都是的、混亂的修改數(shù)據(jù)包的代碼了。當(dāng)前netfilter框架在IPv4、IPv6及Decnet網(wǎng)絡(luò)棧中被實(shí)現(xiàn)。

二、為什么需要Netfilter?

其實(shí)這個(gè)問(wèn)題也可以變?yōu)閕pchains有什么缺點(diǎn)導(dǎo)致被拋棄？下面只是其中的幾個(gè)原因：

因?yàn)榛?.2內(nèi)核的ipchains沒(méi)有提供傳遞數(shù)據(jù)包到用戶空間的框架，所以任何需要對(duì)數(shù)據(jù)包進(jìn)行處理的代碼都必須運(yùn)行在內(nèi)核空間，而內(nèi)核編程卻非常復(fù)雜，而且只能用C語(yǔ)言實(shí)現(xiàn)，并且容易出現(xiàn)錯(cuò)誤并對(duì)內(nèi)核穩(wěn)定性造成威脅。


透明代理實(shí)現(xiàn)非常復(fù)雜，必須查看每個(gè)數(shù)據(jù)包來(lái)判斷是否有專門(mén)處理該地址的socket。網(wǎng)絡(luò)棧代碼中在11個(gè)文件中共出現(xiàn)了34個(gè)"#ifdef"條件編譯。


創(chuàng)建一個(gè)不依賴于接口地址的數(shù)據(jù)報(bào)過(guò)濾規(guī)則是不可能實(shí)現(xiàn)的。我們必須利用本地接口地址來(lái)判斷數(shù)據(jù)報(bào)是本地發(fā)出、還是發(fā)給本地的或是轉(zhuǎn)發(fā)的。轉(zhuǎn)發(fā)鏈只有輸出接口的信息，因此管理員必需考慮數(shù)據(jù)報(bào)的源。


偽裝和數(shù)據(jù)包過(guò)濾都在同一個(gè)模塊內(nèi)實(shí)現(xiàn)，導(dǎo)致防火墻代碼過(guò)于復(fù)雜。


IPchains代碼即不模塊化又不易于擴(kuò)展(例如對(duì)mac地址的過(guò)濾)

三、Netfilter的作者

Netfilter框架的概念的提出及主要實(shí)現(xiàn)是由Rusty Russell完成的，他是ipchains的合作完成者及當(dāng)前l(fā)inux內(nèi)核IP防火墻的維護(hù)者。還有Marc Boucher、James Morris、Harald Welte等都參與了Netfilter項(xiàng)目。

四、Netfilter在IPv4中的結(jié)構(gòu)

一個(gè)數(shù)據(jù)包按照如下圖所示的過(guò)程通過(guò)Netfilter系統(tǒng)：


--->[1]--->[ROUTE]--->[3]--->[4]--->
| ^
local| |
| [ROUTE]
v |
[2] [5]
| ^

v |

從圖中可以看到IPv4一共有5個(gè)鉤子函數(shù)，分別為：

1 NF_IP_PRE_ROUTING
2 NF_IP_LOCAL_IN
3 NF_IP_FORWARD
4 NF_IP_POST_ROUTING
5 NF_IP_LOCAL_OUT

數(shù)據(jù)報(bào)從左邊進(jìn)入系統(tǒng)，進(jìn)行IP校驗(yàn)以后，數(shù)據(jù)報(bào)經(jīng)過(guò)第一個(gè)鉤子函數(shù)NF_IP_PRE_ROUTING[1]進(jìn)行處理；然后就進(jìn)入路由代碼，其決定該數(shù)據(jù)包是需要轉(zhuǎn)發(fā)還是發(fā)給本機(jī)的；若該數(shù)據(jù)包是發(fā)被本機(jī)的，則該數(shù)據(jù)經(jīng)過(guò)鉤子函數(shù)NF_IP_LOCAL_IN[2]處理以后然后傳遞給上層協(xié)議；若該數(shù)據(jù)包應(yīng)該被轉(zhuǎn)發(fā)則它被NF_IP_FORWARD[3]處理；經(jīng)過(guò)轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)經(jīng)過(guò)最后一個(gè)鉤子函數(shù)NF_IP_POST_ROUTING[4]處理以后，再傳輸?shù)骄W(wǎng)絡(luò)上。

本地產(chǎn)生的數(shù)據(jù)經(jīng)過(guò)鉤子函數(shù)NF_IP_LOCAL_OUT [5]處理可以后，進(jìn)行路由選擇處理，然后經(jīng)過(guò)NF_IP_POST_ROUTING[4]處理以后發(fā)送到網(wǎng)絡(luò)上。

五、Netfilter基礎(chǔ)

從上面關(guān)于IPv4的netfilter的例子討論，可以看到鉤子函數(shù)是如何被激活的。

內(nèi)核模塊可以對(duì)一個(gè)或多個(gè)這樣的鉤子函數(shù)進(jìn)行注冊(cè)掛接，并且在數(shù)據(jù)報(bào)經(jīng)過(guò)這些鉤子函數(shù)時(shí)被調(diào)用，從而模塊可以修改這些數(shù)據(jù)報(bào)，并向netfilter返回如下值：

NF_ACCEPT 繼續(xù)正常傳輸數(shù)據(jù)報(bào)
NF_DROP 丟棄該數(shù)據(jù)報(bào)，不再傳輸
NF_STOLEN 模塊接管該數(shù)據(jù)報(bào)，不要繼續(xù)傳輸該數(shù)據(jù)報(bào)
NF_QUEUE 對(duì)該數(shù)據(jù)報(bào)進(jìn)行排隊(duì)(通常用于將數(shù)據(jù)報(bào)給用戶空間的進(jìn)程進(jìn)行處理)
NF_REPEAT 再次調(diào)用該鉤子函數(shù)

六、使用iptables進(jìn)行數(shù)據(jù)報(bào)選擇

一個(gè)基于Netfilter框架的、稱為iptables的數(shù)據(jù)報(bào)選擇系統(tǒng)在Linux2.4內(nèi)核中被應(yīng)用，其實(shí)它就是ipchains的后繼工具，但卻有更強(qiáng)的可擴(kuò)展性。

內(nèi)核模塊可以注冊(cè)一個(gè)新的規(guī)則表(table)，并要求數(shù)據(jù)報(bào)流經(jīng)指定的規(guī)則表。這種數(shù)據(jù)報(bào)選擇用于實(shí)現(xiàn)數(shù)據(jù)報(bào)過(guò)濾(filter表)，網(wǎng)絡(luò)地址轉(zhuǎn)換(Nat表)及數(shù)據(jù)報(bào)處理(mangle表)。

Linux2.4內(nèi)核提供的這三種數(shù)據(jù)報(bào)處理功能都基于netfilter的鉤子函數(shù)和IP表。它們是獨(dú)立的模塊，相互之間是獨(dú)立的。它們都完美的集成到由Netfileter提供的框架中。

包過(guò)濾
filter表格不會(huì)對(duì)數(shù)據(jù)報(bào)進(jìn)行修改，而只對(duì)數(shù)據(jù)報(bào)進(jìn)行過(guò)濾。iptables優(yōu)于ipchains的一個(gè)方面就是它更為小巧和快速。它是通過(guò)鉤子函數(shù)NF_IP_LOCAL_IN, NF_IP_FORWARD及NF_IP_LOCAL_OUT接入netfilter框架的。因此對(duì)于任何一個(gè)數(shù)據(jù)報(bào)只有一個(gè)地方對(duì)其進(jìn)行過(guò)濾。這相對(duì)ipchains來(lái)說(shuō)是一個(gè)巨大的改進(jìn)，因?yàn)樵趇pchains中一個(gè)被轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)會(huì)遍歷三條鏈。


NAT
NAT表格監(jiān)聽(tīng)三個(gè)Netfilter鉤子函數(shù)：NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING及NF_IP_LOCAL_OUT。 NF_IP_PRE_ROUTING實(shí)現(xiàn)對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)的源地址進(jìn)行地址轉(zhuǎn)換而NF_IP_POST_ROUTING則對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)包的目的地址進(jìn)行地址轉(zhuǎn)換。對(duì)于本地?cái)?shù)據(jù)報(bào)的目的地址的轉(zhuǎn)換則由NF_IP_LOCAL_OUT來(lái)實(shí)現(xiàn)。

NAT表格不同于filter表格，因?yàn)橹挥行逻B接的第一個(gè)數(shù)據(jù)報(bào)將遍歷表格，而隨后的數(shù)據(jù)報(bào)將根據(jù)第一個(gè)數(shù)據(jù)報(bào)的結(jié)果進(jìn)行同樣的轉(zhuǎn)換處理。

NAT表格被用在源NAT,目的NAT，偽裝(其是源NAT的一個(gè)特例)及透明代理(其是目的NAT的一個(gè)特例)。


數(shù)據(jù)報(bào)處理(Packet mangling)
mangle表格在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT鉤子中進(jìn)行注冊(cè)。使用mangle表，可以實(shí)現(xiàn)對(duì)數(shù)據(jù)報(bào)的修改或給數(shù)據(jù)報(bào)附上一些帶外數(shù)據(jù)。當(dāng)前mangle表支持修改TOS位及設(shè)置skb的nfmard字段。

七、連接跟蹤

連接跟蹤是NAT的基礎(chǔ)，但是已經(jīng)作為一個(gè)單獨(dú)的模塊被實(shí)現(xiàn)。該功能用于對(duì)包過(guò)濾功能的一個(gè)擴(kuò)展，使用連接跟蹤來(lái)實(shí)現(xiàn)“基于狀態(tài)”的防火墻。

第二部分 使用iptables及netfilter進(jìn)行數(shù)據(jù)包過(guò)濾

一、概述

下面的內(nèi)容要求具有對(duì)TCP/IP，路由，防火墻及包過(guò)濾的基本概念的了解。

在第一部分已經(jīng)解釋過(guò)，filter表和三個(gè)鉤子進(jìn)行了掛接，因此提供了三條鏈進(jìn)行數(shù)據(jù)過(guò)濾。所有來(lái)自于網(wǎng)絡(luò)，并且發(fā)給本機(jī)的數(shù)據(jù)報(bào)會(huì)遍歷INPUT規(guī)則鏈。所有被轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)將僅僅遍歷FORWARD規(guī)則鏈。最后，本地發(fā)出的數(shù)據(jù)報(bào)將遍歷OUTPUT鏈。

二、向規(guī)則鏈中插入規(guī)則

Linux2.4提供了一個(gè)簡(jiǎn)潔強(qiáng)大的工具"iptables"來(lái)插入/刪除/修改規(guī)則鏈中的規(guī)則。這里并不對(duì)iptalbes進(jìn)行詳細(xì)的介紹，而只是討論它的主要的一些特性：

該命令實(shí)現(xiàn)對(duì)所有的ip表進(jìn)行處理，當(dāng)前包括filter，nat及mangle三個(gè)表格，及以后擴(kuò)展的表模塊。
該命令支持插件來(lái)支持新的匹配參數(shù)和目標(biāo)動(dòng)作。因此對(duì)netfilter的任何擴(kuò)展都非常的簡(jiǎn)單。僅僅需要編寫(xiě)一個(gè)完成實(shí)際目標(biāo)動(dòng)作處理的模塊和iptalbes插件(動(dòng)態(tài)連接庫(kù))來(lái)添加所需要的一切。
它有兩個(gè)實(shí)現(xiàn)：iptables(IPV4)及ip6tables。兩者都基于相同的庫(kù)和基本上相同的代碼。
基本的iptables命令
一個(gè)iptables命令基本上包含如下五部分：

希望工作在哪個(gè)表上
希望使用該表的哪個(gè)鏈
進(jìn)行的操作(插入，添加，刪除，修改)
對(duì)特定規(guī)則的目標(biāo)動(dòng)作
匹配數(shù)據(jù)報(bào)條件
基本的語(yǔ)法為：

iptables -t table -Operation chain -j target match(es)
例如希望添加一個(gè)規(guī)則，允許所有從任何地方到本地smtp端口的連接：

iptables -t filter -A INPUT -j ACCEPT -p tcp --dport smtp

當(dāng)然，還有其他的對(duì)規(guī)則進(jìn)行操作的命令如：清空鏈表，設(shè)置鏈缺省策略，添加一個(gè)用戶自定義的鏈....

基本操作：

-A 在鏈尾添加一條規(guī)則
-I 插入規(guī)則
-D 刪除規(guī)則
-R 替代一條規(guī)則
-L 列出規(guī)則

基本目標(biāo)動(dòng)作，適用于所有的鏈

ACCEPT 接收該數(shù)據(jù)報(bào)
DROP 丟棄該數(shù)據(jù)報(bào)
QUEUE 排隊(duì)該數(shù)據(jù)報(bào)到用戶空間
RETURN 返回到前面調(diào)用的鏈
foobar 用戶自定義鏈
基本匹配條件，適用于所有的鏈

-p 指定協(xié)議(tcp/icmp/udp/...)
-s 源地址(ip address/masklen)
-d 目的地址(ip address/masklen)
-i 數(shù)據(jù)報(bào)輸入接口
-o 數(shù)據(jù)報(bào)輸出接口
出了基本的操作，匹配和目標(biāo)還具有各種擴(kuò)展。

三、iptables的數(shù)據(jù)報(bào)過(guò)濾匹配條件擴(kuò)展

有各種各樣的數(shù)據(jù)包選擇匹配條件擴(kuò)展用于數(shù)據(jù)包過(guò)濾。這里僅僅簡(jiǎn)單的說(shuō)明來(lái)讓你感受擴(kuò)展匹配的強(qiáng)大之處。

這些匹配擴(kuò)展給了我們強(qiáng)大的數(shù)據(jù)報(bào)匹配手段：

TCP匹配擴(kuò)展能匹配源端口，目的端口，及tcp標(biāo)記的任意組合，tcp選項(xiàng)等。
UPD匹配擴(kuò)展能匹配源端口和目的端口
ICMP匹配擴(kuò)展能匹配ICMP類型
MAC匹配擴(kuò)展能匹配接收到的數(shù)據(jù)的mac地址
MARK匹配擴(kuò)展能匹配nfmark
OWNE匹配擴(kuò)展(僅僅應(yīng)用于本地產(chǎn)生的數(shù)據(jù)報(bào))來(lái)匹配用戶ID，組ID，進(jìn)程ID及會(huì)話ID
LIMIT擴(kuò)展匹配用來(lái)匹配特定時(shí)間段內(nèi)的數(shù)據(jù)報(bào)限制。這個(gè)擴(kuò)展匹配對(duì)于限制dos攻擊數(shù)據(jù)流非常有用。
STATE匹配擴(kuò)展用來(lái)匹配特定狀態(tài)下的數(shù)據(jù)報(bào)(由連接跟蹤子系統(tǒng)來(lái)決定狀態(tài))，可能的狀態(tài)包括：
INVALID (不匹配于任何連接)
ESTABLISHED (屬于某個(gè)已經(jīng)建立的鏈接的數(shù)據(jù)報(bào))
NEW (建立連接的數(shù)據(jù)報(bào))
RELATED (和某個(gè)已經(jīng)建立的連接有一定相關(guān)的數(shù)據(jù)報(bào)，例如一個(gè)ICMP錯(cuò)誤消息或ftp數(shù)據(jù)連接)
TOS匹配擴(kuò)展用來(lái)匹配IP頭的TOS字段的值。

四、iptables的數(shù)據(jù)報(bào)過(guò)濾目標(biāo)動(dòng)作擴(kuò)展

LOG 將匹配的數(shù)據(jù)報(bào)傳遞給syslog()進(jìn)行記錄
ULOG 將匹配的數(shù)據(jù)適用用戶空間的log進(jìn)程進(jìn)行記錄
REJECT 不僅僅丟棄數(shù)據(jù)報(bào)，同時(shí)返回給發(fā)送者一個(gè)可配置的錯(cuò)誤信息
MIRROR 互換源和目的地址以后重新傳輸該數(shù)據(jù)報(bào)

第三部分 利用iptables和netfilter進(jìn)行NAT

linux以前的內(nèi)核僅僅支持有限的NAT功能，被稱為偽裝。Netfilter則支持任何一種NAT。一般來(lái)講NAT可以分為源NAT和目的NAT。

源NAT在數(shù)據(jù)報(bào)經(jīng)過(guò)NF_IP_POST_ROUTING時(shí)修改數(shù)據(jù)報(bào)的源地址。偽裝是一個(gè)特殊的SNAT。

目的NAT在數(shù)據(jù)報(bào)經(jīng)過(guò)NF_IP_LOCAL_OUT或NF_IP_PRE_ROUTING 時(shí)修改數(shù)據(jù)報(bào)目的地址。端口轉(zhuǎn)發(fā)和透明代理都是DNAT。

一、iptables的NAT目標(biāo)動(dòng)作擴(kuò)展

SNAT
變換數(shù)據(jù)包的源地址。

例:

iptables -t nat -A POSTROUTING -j SNAT --to-source 1.2.3.4


MASQUERADE
用于具有動(dòng)態(tài)IP地址的撥號(hào)連接的SNAT，類似于SNAT，但是如果連接斷開(kāi)，所有的連接跟蹤信息將被丟棄，而去使用重新連接以后的IP地址進(jìn)行IP偽裝。

例:

iptables -t nat -A POSTROUTING -j MASQUERADE -o ppp0
DNAT
轉(zhuǎn)換數(shù)據(jù)報(bào)的目的地址，這是在PREROUTING鉤子鏈中處理的，也就是在數(shù)據(jù)報(bào)剛剛進(jìn)入時(shí)。因此Linux隨后的處理得到的都是新的目的地址。

例:

iptables -t nat -A PREROUTING -j DNAT --to-destination 1.2.3.4:8080 -p tcp --dport 80 -i eth1


REDIRECT
重定向數(shù)據(jù)報(bào)為目的為本地，和DNAT將目的地址修改為接到數(shù)據(jù)報(bào)的接口地址情況完全一樣。

例：

iptables -t nat -A PREROUTING -j REDIRECT --to-port 3128 -i eth1 -p tcp --dport 80

第四部分 利用iptables和netfilter進(jìn)行數(shù)據(jù)報(bào)處理(Packet mangling)

mangle表提供了修改數(shù)據(jù)報(bào)各個(gè)字段的值的方法。

一、針對(duì)數(shù)據(jù)包處理的目標(biāo)擴(kuò)展

MARK
設(shè)置nfmark字段的值。我們可以修改nfmark字段的值。nfmark僅僅是一個(gè)用戶定義的數(shù)據(jù)報(bào)的標(biāo)記(可以是無(wú)符號(hào)長(zhǎng)整數(shù)范圍內(nèi)的任何值)。該標(biāo)記值用于基于策略的路由，通知ipqmpd (運(yùn)行在用戶空間的隊(duì)列分撿器守護(hù)進(jìn)程)將該數(shù)據(jù)報(bào)排隊(duì)給哪個(gè)哪個(gè)進(jìn)程等信息。

例: iptables -t mangle -A PREROUTING -j MARK --set-mark 0x0a -p tcp

TOS
設(shè)置數(shù)據(jù)報(bào)的IP頭的TOS字段值。若希望適用基于TOS的數(shù)據(jù)報(bào)調(diào)度及路由，這個(gè)功能是非常有用處的。

例: iptables -t mangle -A PREROUTING -j TOS --set-tos 0x10 -p tcp --dport ssh

第五部分 排隊(duì)數(shù)據(jù)報(bào)到用戶空間

前面已經(jīng)提到，任何時(shí)候在任何nefilter規(guī)則鏈中，數(shù)據(jù)報(bào)都可以被排隊(duì)轉(zhuǎn)發(fā)到用戶空間去。實(shí)際的排隊(duì)是由內(nèi)核模塊來(lái)完成的(ip_queue.o)。

數(shù)據(jù)報(bào)(包括數(shù)據(jù)報(bào)的原[meta]數(shù)據(jù)如nfmark和mac地址)通過(guò)netlink socket被發(fā)送給用戶空間進(jìn)程.該進(jìn)程能對(duì)數(shù)據(jù)報(bào)進(jìn)行任何處理。處理結(jié)束以后，用戶進(jìn)程可以將該數(shù)據(jù)報(bào)重新注入內(nèi)核或者設(shè)置一個(gè)對(duì)數(shù)據(jù)報(bào)的目標(biāo)動(dòng)作(如丟棄等)。

這是netfilter的一個(gè)關(guān)鍵技術(shù)，使用戶進(jìn)程可以進(jìn)行復(fù)雜的數(shù)據(jù)報(bào)操作。從而減輕了內(nèi)核空間的復(fù)雜度。用戶空間的數(shù)據(jù)報(bào)操作進(jìn)程能很容易的適用ntfilter提供的稱為libipq的庫(kù)來(lái)進(jìn)行開(kāi)發(fā)。

參考文獻(xiàn)：

LaForges talk about Netfilter
http://www.lisoleg.org/forum-source/messages/1410.html

The netfilter framework in Linux 2.4
http://www.gnumonks.org/papers/netfilter-lk2000/presentation.html

Linux 2.4 Packet Filtering HOWTO
http://netfilter.kernelnotes.org/unreliable-guides/packet-filtering-HOWTO/index.html

Linux 2.4 NAT HOWTO
http://netfilter.kernelnotes.org/unreliable-guides/NAT-HOWTO/index.html

netfilter hacking HOWTO
http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO/index.html

（出處：viphot）