netfilter学习总结：规则结构表示和内存布局

近期针对netfilter进行了深入探讨，现已基本掌握其整体架构、运行机制，以及与iptables之间的交互流程，包括规则配置等内容。在此基础上，逐步整理所学知识并进行记录，以加深理解并防止遗忘。

此外，尽管本文仅作为个人学习过程的记录，并未形成系统性的内容，但其中对字段的说明补充了结构体中关键字段在程序中的使用时机，这是网络上现有资料所未涉及的部分。现有的资料通常只解释字段的含义，却很少提及具体在何时使用、何时赋值以及赋值的位置。而这些信息对于理解功能实现和源码逻辑至关重要。

1. netfilter规则构成

netfilter中的每条规则均由结构体struct ipt_entry进行定义。规则主要包括三个组成部分：

• ip头部信息及控制信息 struct ipt_ip，用于标准匹配操作
• 匹配相关扩展信息 struct xt_entry_match，属于可选的扩展匹配项
• 匹配成功后执行操作的相关信息 struct xt_entry_target，为可选的扩展目标项。不过，在netfilter初始化过程中会设置默认策略，默认策略包含标准target，因此target至少需要一个以确定数据包的默认处理方向。关于默认策略设置的具体代码仍需进一步研究。

2. 规则匹配相关的结构体

头文件 linux/netfilter_ipv4/ip_tables.h