C 语言实现操作 tcp 数据包？

[calisto]

想法是这样的，在 linux 上创建一个网桥，数据包从 eth0 入， eth1 出， br0 绑定这两个网口。把从 eth0 进来的流量导到本地的 9001 端口，对 9001 端口的包分析里面的请求，完了之后重 eth1 出去

[paw]

为啥要导到 9001 上？
如果只是要分析数据包，不做修改，直接 libpcap 抓包就是了。
eth0 转到 eth1 ，用 iptables 规则应该可以实现。

[redsonic]

用内核的 netfilter 框架可以随便搞

[julyclyde]

首先， TCP 是流

[jedihy]

@julyclyde 流就没有数据包了？

[calisto]

@paw 分析数据包，要按规则拒绝某些请求

[paw]

@calisto 好说啊，分析发现需要拒绝的了，直接往两个方向都扔一个 RST ，完事......学学 GFW ，依然不需要导流什么的

等等，你是在自己实现 GFW 吗？

如果你是要实现硬件防火墙、 DDOS 流量清洗之类的功能，只能上 Kernel bypass 了， https://blog.cloudflare.com/kernel-bypass/ 脱离内核协议栈，直接从网卡拿原始包，然后数据包怎么转 /去或留都是你说的算了。

[calisto]

@redsonic freebsd 也有 netfilter ？

[calisto]

@paw 类似！可是要审计到 7 层

[calisto]

@paw 实现 waf ，网桥透传

[paw]

@calisto 那就用 DPDK 开发呗，我现在做的东西也是类似的，可行性不用担心肯定可以

[julyclyde]

@jedihy 你按包来改回导致后续的序列号、长度匹配不上，然后就被 DROP 了

[calisto]

@paw 有资料么？借我参考一下 [e-mail]

[paw]

@calisto http://dpdk.org/doc/

[jedihy]

@julyclyde 压根都不会改那些东西，只要做重定向

[calisto]

@paw THX