gfwleak/tsg-packetadapter
Archived
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

TSG-7784 PacketAdapter支持CI自动构建RPM; 修改代码结构

Browse Source
This commit is contained in:
卢文朋
2021-09-13 02:12:29 +00:00
committed by luwenpeng
parent aa887fd382
commit ba21a53bb7
35 changed files with 2878 additions and 915 deletions
Download Patch File Download Diff File Expand all files Collapse all files

87
README.md
View File

@@ -1,70 +1,73 @@
## 功能
# PacketAdapter -- Packet Filtering & Adaptation tools
并联环境下实现GTP路由封堵功能。
## 简介
**实现**
PacketAdapter 是一个基于 iptables 的数据包过滤，转换/适配工具。
PacketAdapter 并不会凭空产生数据包，而是将 iptables 过滤的数据包重新转换/适配后再回注到网络中。
可用于 Overlay networks 中 Packet encapsulation and decapsulation，屏蔽端到端协议层之间的差异。
将 “=> MAC => IPv4/IPv6 => UDP => GTP1 => IPv4/IPv6 => TCP/UDP“ 中的 "IPv4/IPv6 => UDP => GTP1" 协议层剥离。
## 应用 -- 实现 GTP Overlay 数据包的解封装
**例子**
PacketAdapter 通过 iptables 将 Firewall 发送的 GTP RST 包进行过滤，然后将 GTP 数据解封装后回注到网络中。
例如：将 “MAC/IPv4 or IPv6/UDP/GTP1/IPv4 or IPv6/TCP or UDP“ 中的 "/IPv4 or IPv6/UDP/GTP1" 协议层剥离。
原数据包为：
``` shel
Frame 1: 90 bytes on wire (720 bits), 90 bytes captured (720 bits)
Ethernet II, Src: JuniperN_4d:d3:51 (08:81:f4:4d:d3:51), Dst: c8:67:d9:18:80:c3 (c8:67:d9:18:80:c3)
Internet Protocol Version 4, Src: 10.166.20.10, Dst: 10.2.3.35
User Datagram Protocol, Src Port: 2152, Dst Port: 2152
GPRS Tunneling Protocol
Internet Protocol Version 4, Src: 10.58.121.62, Dst: 217.76.78.112
Transmission Control Protocol, Src Port: 52144, Dst Port: 443, Seq: 1, Ack: 1, Len: 0
```
+-----------+ +-----------+
| TCP/UDP | | TCP/UDP |
+-----------+ +-----------+
| IPv4/IPv6 | | IPv4/IPv6 |
+-----------+ +-----------+
| GTP1 | | |
+-----------+ | |
| UDP | ==> | |
+-----------+ | |
| IPv4/IPv6 | | |
+-----------+ | |
| MAC | | MAC |
+-----------+ +-----------+
```
经过 NFQ 过滤后变为：
注意：
* /MAC/IPv6 的 first next header 必须为 UDP。
* 目前不支持 GTP 扩展头。
``` shel
Frame 1: 90 bytes on wire (720 bits), 90 bytes captured (720 bits)
Ethernet II, Src: JuniperN_4d:d3:51 (08:81:f4:4d:d3:51), Dst: c8:67:d9:18:80:c3 (c8:67:d9:18:80:c3)
Internet Protocol Version 4, Src: 10.58.121.62, Dst: 217.76.78.112
Transmission Control Protocol, Src Port: 52144, Dst Port: 443, Seq: 1, Ack: 1, Len: 0
```
## 构造测试环境
## 运行环境
``` shell
# yum install --downloadonly --downloaddir=./ libnetfilter_queue.x86_64
# yum install --downloadonly --downloaddir=./ libnetfilter_queue-devel.x86_64
# 安装 libnetfilter_queue
yum install -y libnetfilter_queue
# 清空 iptables
iptables -F -t nat
iptables -F -t filter
iptables -F -t mangle
iptables -F -t raw
iptables -F -t nat
iptables -F -t filter
iptables -F -t mangle
iptables -F -t raw
ip6tables -F -t nat
ip6tables -F -t filter
ip6tables -F -t mangle
ip6tables -F -t raw
# 增加 iptables
/usr/sbin/iptables -A OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
/usr/sbin/iptables -A OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
/usr/sbin/ip6tables -A OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
# 删除 iptables
/usr/sbin/iptables -D OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
/usr/sbin/iptables -D OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
/usr/sbin/ip6tables -D OUTPUT -o eno2 -p udp --dport 2152 -j NFQUEUE --queue-num 1
# 调试 iptables
/usr/sbin/iptables -A OUTPUT -o eno2 -j LOG
/usr/sbin/ip6tables -A OUTPUT -o eno2 -j LOG
# /usr/sbin/iptables -A OUTPUT -o eno2 -j LOG
# /usr/sbin/ip6tables -A OUTPUT -o eno2 -j LOG
# make
yum install -y libnetfilter_queue-devel
make
./nfq_filter_gtp
# 启动服务
systemctl enable nfq_filter_gtp
systemctl start nfq_filter_gtp
```
## 局限
/MAC/IPv6 的 first next header 必须为 UDP，否则跳过。
## TODO
// support service
// support filestat
* support service
* support filestat