問(wèn)題現(xiàn)象：使用ip6tables?添加端口過(guò)濾規(guī)則，只允許指定端口IPv6報(bào)文進(jìn)來(lái)，測(cè)試結(jié)果顯示如果是分片報(bào)文，只有第一個(gè)分片報(bào)文能夠收到，后續(xù)分片會(huì)被丟棄。

內(nèi)核版本：3.4.39

問(wèn)題原因:?因?yàn)橥瑯拥囊?guī)則如果是IPv4分片報(bào)文則能夠生效，通過(guò)分析內(nèi)核源碼，發(fā)現(xiàn)問(wèn)題出在netfilter IPv6連接跟蹤模塊。

netfilter IPv4?連接跟蹤模塊會(huì)對(duì)分片報(bào)文進(jìn)行重組處理使得系統(tǒng)網(wǎng)絡(luò)協(xié)議棧處理的是重組報(bào)文，因?yàn)閕ptables添加的規(guī)則優(yōu)先級(jí)在連接跟蹤后面，所以IPv4?的端口過(guò)濾能夠生效，因?yàn)樘幚淼氖侵亟M報(bào)文。IPv6的連接跟蹤功能同樣會(huì)出重組分片報(bào)文，不過(guò)重組后的報(bào)文只有netfilter?連接跟蹤自己可見(jiàn)，網(wǎng)絡(luò)協(xié)議棧處理的仍然是分片報(bào)文，這就使得ip6tables?規(guī)則處理的是分片報(bào)文。

解決方法：在Linux內(nèi)核官網(wǎng)上查找更高的版本發(fā)現(xiàn)，在3.12.4版本上有一個(gè)補(bǔ)丁，這個(gè)補(bǔ)丁的作用就是使得IPv6?連接跟蹤模塊重組報(bào)文后直接傳遞給網(wǎng)絡(luò)協(xié)議棧使用，這樣ip6tables就能夠基于端口過(guò)濾分片報(bào)文了。

補(bǔ)丁地址：https://github.com/torvalds/linux/commit/6aafeef03b9d9ecf255f3a80ed85ee070260e1ae#diff-4ee79b665234e6518f6f34a107032118

注意事項(xiàng)：該補(bǔ)丁修改了skbuff.h和skbuff.c文件，為了和現(xiàn)有內(nèi)核版本兼容，不能夠直接拿來(lái)使用，只需要將連接跟蹤模塊相關(guān)的處理去掉就ok了。

author Jiri Pirko <jiri@resnulli.us> 2013-11-06 17:52:20 +0100 committer David S. Miller <davem@davemloft.net> 2013-11-11 00:19:35 -0500 commit 6aafeef03b9d9ecf255f3a80ed85ee070260e1ae (patch) tree 48c7f8ff1709c9874342c02c7039d4431a00b333 parent 9037c3579a277f3a23ba476664629fda8c35f7c4 (diff) download linux-6aafeef03b9d9ecf255f3a80ed85ee070260e1ae.tar.gz netfilter: push reasm skb through instead of original frag skbs

?

《新程序員》：云原生和全面數(shù)字化實(shí)踐50位技術(shù)專(zhuān)家共同創(chuàng)作，文字、視頻、音頻交互閱讀

總結(jié)

以上是生活随笔為你收集整理的ip6tables 无法基于端口过滤IPv6 分片报文问题解决的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。