防止内核处理绑定到原始套接字的 TCP 段

Question

根据http://linux.die.net/man/7/raw， raw_socket = socket(AF_INET, SOCK_RAW, int protocol); 是创建原始套接字的方式。

1. 我假设原始套接字是在第 3 层创建的，因此协议不应该是 IPPROTO_TCP / IPPROTO_UDP，而应该是 IPPROTO_IP。这种理解正确吗？

2. 但是当我使用协议为IPPROTO_IP (*socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_IP);) 创建原始套接字时，套接字创建失败并出现错误不支持协议

3. 当我使用IPPROTO_RAW (*socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_RAW);) 协议创建原始套接字时，我的应用程序没有收到任何数据包

4. 当我使用IPPROTO_TCP (socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_TCP);) 协议创建原始套接字时，我的应用程序会收到 TCP 数据包，但内核也会响应这些数据包（在我的情况下，它会 RST 链接）。我认为这是因为内核认为没有人在监听该数据包的目标端口。

我的意图只是用虚假的 IP 和 TCP 标头发送对到达我的应用程序的消息的响应。由于上述尝试都不适合我，我应该如何创建原始套接字并使内核 TCP 层仅针对该连接保持安静？

编辑： 请跳过问题 1-3。 Filipe 已经回答了他们。对于问题 4，我们确实有一个解决方法。但是，如果这里有人有答案并愿意回答，请保持问题的开放性。

Answer 1

我假设原始套接字是在第 3 层和协议上创建的 不应该是 IPPROTO_TCP / IPPROTO_UDP 但它应该是 IPPROTO_IP。是 这种理解正确吗？

没有。你是对的，原始套接字基本上是第 3 层数据包，但协议不应该是IPPROTO_IP。原始套接字情况下的协议参数指示您有兴趣在该套接字上接收哪种类型的数据包。请记住，协议本质上执行传输级解复用，因此您需要指定原始套接字感兴趣的协议类型。man 7 raw 中明确说明了这一点：

与指定的协议号匹配的所有数据包或错误 原始套接字被传递给这个套接字。对于允许的列表 协议参见 RFC 1700 分配的编号和 getprotobyname(3)。

由于您有兴趣接收 TCP 连接的 IP 数据包，您应该使用IPPROTO_TCP。

但是当我创建原始套接字时，协议为 IPPROTO_IP (*socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_IP);), 套接字创建 失败，错误协议不受支持。

是的，这是可以预料的：IP 协议不是第 4 层协议。正如我所说，协议字段用于传输层解复用，因此使用IPPROTO_IP 没有什么意义。

当我创建原始套接字时，协议为 IPPROTO_RAW (*socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_RAW);)，我的应用程序没有 接收任何数据包

那是因为IPPROTO_RAW 表示您有兴趣发送所有类型的协议数据包（TCP、UDP 或任何其他协议）。但是使用IPPROTO_RAW 你不能做相反的事情：IPPROTO_RAW 意味着你可以在这个原始套接字中接收任何协议，这是不受支持的。这在man 7 raw中也有明确说明：

IPPROTO_RAW 协议意味着启用 IP_HDRINCL 并且能够 发送在传递的标头中指定的任何 IP 协议。接收 使用原始套接字无法通过 IPPROTO_RAW 实现所有 IP 协议。

换句话说，IPPROTO_RAW 使您能够发送匹配任何协议的数据包，但代价是您永远无法得到回复。您可以创建与协议绑定的其他特定原始套接字以获取回复作为解决方法，但这会使设计复杂化，因为您必须管理原始套接字池，而且这绝对不是您想要在这里做的。

当我创建原始套接字时，协议为 IPPROTO_TCP (socketFd = socket(AF_INET, SOCK_RAW, IPPROTO_TCP);)，我的应用程序接收到 TCP 数据包，但内核也响应这些数据包（在我的情况下 它RSTs链接）。我认为这是因为内核认为没有 任何监听该数据包的端口的人。

你不能阻止内核完成它的工作。从原始套接字手册页：

当接收到一个数据包时，它会被传递到任何具有 在传递给其他协议之前已绑定到其协议 处理程序（例如，内核协议模块）。

所以内核发送RST 数据包是正确的，因为它不知道指定端口上的活动TCP 套接字或连接。正如我所说，你不能阻止内核完成它的工作，但是一个相对快速（也许是丑陋）的 hack 是使用 iptables 丢弃 RST 数据包：

iptables -A OUTPUT -p tcp --tcp-flags RST RST -j DROP

是的，不是很优雅，但我认为我们在这里无能为力。

按照 cmets 中的建议，您还可以创建一个虚拟 TCP 套接字，该套接字绑定到您刚刚接收和丢弃消息的相同端口和地址。这样内核就不会发送RST 回复，你也不需要乱用 iptables。

还请记住，由于您需要为原始套接字指定IPPROTO_TCP，因此您应该在带有setsockopts(2) 的套接字上设置IP_HDRINCL，以便您可以构建自定义IP 标头。

最后，确保运行它的进程的有效用户 ID 为 0 或 CAP_NET_RAW 能力（实际上：以 root 身份运行）。

Answer 2

[这是对 Jonathon Reinhart 评论的评论，但我没有足够的声誉]

关于 AF-PACKET 插座

man packet 中描述了使用 AF_PACKET 创建原始套接字。 “protocol”变量的值应该是网络字节顺序中的 ethertype 值。这些值在<linux/if_ether.h> 中定义（按主机字节顺序）。所以要打开一个原始套接字

socketFd = socket ( AF_PACKET , SOCK_RAW , htons ( ETH_P_IP ) );

如果您需要 AF_PACKET 套接字，您也可以使用 libpcap/tcpdump。它将允许您捕获以太网帧并发送原始以太网帧。对于捕获，您可以对想要的帧设置过滤器（例如，TCP 端口 X）。 （基本上使用 libpcap，您可以做与使用 AF_PACKET 套接字相同的事情，但更简单）

链接到guide for capturing 和man page for sending

Answer 3

以下链接在这里 http://www.tenouk.com/Module43a.html 是从这个问题的答案中检索到的 Simple raw socket server in C/C++ on Linux 它建议您必须是 root 或以 setuid0 身份运行才能使用原始套接字

/* Must be root or SUID 0 to open RAW socket */
...
 /* Create RAW socket */

   if((s = socket(AF_INET, SOCK_RAW, IPPROTO_RAW)) < 0)

   {

    perror("socket() error");

    /* If something wrong, just exit */

    exit(1);

   }