Question

我正在开发一个netfilter内核模块，我需要重新计算IP校验和。我用这个函数来计算IP校验和（在互联网上找到它）：

unsigned short ComputeIPChecksum(unsigned char *data, int len)
{
         long sum = 0;  /* assume 32 bit long, 16 bit short */
     unsigned short *temp = (unsigned short *)data;

         while(len > 1){
             sum += *temp++;
             if(sum & 0x80000000)   /* if high order bit set, fold */
               sum = (sum & 0xFFFF) + (sum >> 16);
             len -= 2;
         }

         if(len)       /* take care of left over byte */
             sum += (unsigned short) *((unsigned char *)temp);

         while(sum>>16)
             sum = (sum & 0xFFFF) + (sum >> 16);

        return ~sum;
}

通过查看wireshark，我可以看到传入的数据包已成功接收，但对于传出的数据包，wireshark显示错误的ip校验和。这是我的钩子函数：

static unsigned int hook_func(unsigned int hooknum,
                        struct sk_buff *skb,
                                const struct net_device *in,
                                const struct net_device *out,
                                int (*okfn)(struct sk_buff *))
{
    sock_buff = skb; 

    if (sock_buff)
    {
            ip_header = (struct iphdr *)skb_network_header(sock_buff);
            if (ip_header && ip_header->protocol == TCP)
            {
                ip_header->check = ComputeIPChecksum((unsigned char *)ip_header, ip_header->ihl*4);
            }
    }
    return NF_ACCEPT;
}

这是主要的，我已经将相同的钩子函数绑定到PRE_ROUTING和POST_ROUTING

static int __init init_main(void)
{
    nfho.hook     = hook_func;
    nfho.hooknum  = 0;
    nfho.pf       = PF_INET;
    nfho.priority = NF_IP_PRI_FIRST;

    nfho1.hook     = hook_func;
    nfho1.hooknum  = 4;
    nfho1.pf       = PF_INET;
    nfho1.priority = NF_IP_PRI_FIRST;

    nf_register_hook(&nfho);
    nf_register_hook(&nfho1);

    return 0;
}

为什么IP校验和因传出数据包而被破坏???

wireshark中显示的错误：

Header checksum: 0x0000 [incorrect, should be 0x85de (maybe caused by "IP checksum offload"?)]

Answer 1

你在哪里捕获数据包？

IP校验和（以及TCP / UDP校验和）可以由网卡本身计算。如果您的卡上出现这种情况（并且这是一个非常常见的功能）并且您正在机器上捕获，我希望看到0校验和。

Answer 2

如果你定义了这样的IP头：

struct iphdr *iph;

然后

iph = (struct iphdr *) skb_header_pointer(skb, 0, 0, NULL);

然后你可以重新计算校验和，如下所示。

/* Calculation of IP header checksum */
iph->check = 0;
ip_send_check (iph);

您可以查看我的问题：How to append data on a packet from kernel space? 在那里，您可以在底部找到给定答案的详细代码。我必须这样做重新计算IP和UDP标头校验和。

如何重新计算netfilter中的IP校验和？

2 个答案: