Rust网络过滤库nftnl-sys的使用指南

简介

nftnl-sys是Rust对Linux netfilter用户空间库(libnftnl)的低级绑定，允许开发者高效操作Linux netfilter规则集。它提供了与Linux内核网络过滤子系统交互的能力，是构建防火墙、NAT等网络工具的基础。

主要特性

• 提供对nftables规则的完全控制
• 支持创建、修改和删除规则集
• 低开销、高性能的网络过滤操作
• 与Linux内核netfilter子系统直接交互

使用方法

添加依赖

在Cargo.toml中添加：

[dependencies]
nftnl-sys = "0.1"
libc = "0.2"

基本示例

use nftnl_sys as nftnl;
use libc::{c_void, c_char, size_t};

fn main() {
    // 创建新的规则集
    let batch = unsafe { nftnl::nftnl_batch_alloc() };
    
    // 创建新表
    let table = unsafe { nftnl::nftnl_table_alloc() };
    unsafe {
        nftnl::nftnl_table_set_u8(table, nftnl::NFTNL_TABLE_FAMILY as u16, libc::AF_INET as u8);
        nftnl::nftnl_table_set_str(table, nftnl::NFTNL_TABLE_NAME as u16, b"mytable\0".as_ptr() as *const c_char);
    }
    
    // 将表添加到batch
    unsafe {
        nftnl::nftnl_batch_begin(batch, nftnl::NFTNL_MSG_NEWTABLE as i32);
        nftnl::nftnl_batch_table_add(batch, nftnl::NFTNL_MSG_NEWTABLE as i32, table);
        nftnl::nftnl_batch_end(batch, nftnl::NFTNL_MSG_NEWTABLE as i32);
    }
    
    // 清理资源
    unsafe {
        nftnl::nftnl_table_free(table);
        nftnl::nftnl_batch_free(batch);
    }
}

创建规则链示例

fn create_chain() {
    let batch = unsafe { nftnl::nftnl_batch_alloc() };
    let chain = unsafe { nftnl::nftnl_chain_alloc() };
    
    unsafe {
        // 设置链属性
        nftnl::nftnl_chain_set_u8(chain, nftnl::NFTNL_CHAIN_FAMILY as u16, libc::AF_INET as u8);
        nftnl::nftnl_chain_set_str(chain, nftnl::NFTNL_CHAIN_TABLE as u16, b"mytable\0".as_ptr() as *const c_char);
        nftnl::nftnl_chain_set_str(chain, nftnl::NFTNL_CHAIN_NAME as u16, b"input\0".as_ptr() as *const c_char);
        
        // 添加到batch
        nftnl::nftnl_batch_begin(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32);
        nftnl::nftnl_batch_chain_add(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32, chain);
        nftnl::nftnl_batch_end(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32);
    }
    
    // 发送到内核netlink接口
    // 这里需要实现netlink通信代码
    
    unsafe {
        nftnl::nftnl_chain_free(chain);
        nftnl::nftnl_batch_free(batch);
    }
}

高级用法

创建过滤规则

fn create_filter_rule() {
    let rule = unsafe { nftnl::nftnl_rule_alloc() };
    
    unsafe {
        // 设置规则基本属性
        nftnl::nftnl_rule_set_u8(rule, nftnl::NFTNL_RULE_FAMILY as u16, libc::AF_INET as u8);
        nftnl::nftnl_rule_set_str(rule, nftnl::NFTNL_RULE_TABLE as u16, b"mytable\0".as_ptr() as *const c_char);
        nftnl::nftnl_rule_set_str(rule, nftnl::NFTNL_RULE_CHAIN as u16, b"input\0".as_ptr() as *const c_char);
        
        // 添加匹配条件 (例如匹配TCP端口80)
        let expr = nftnl::nftnl_expr_alloc("match");
        // 这里需要设置expr的具体参数...
        
        // 添加动作 (例如接受数据包)
        let expr_action = nftnl::nftnl_expr_alloc("target");
        // 这里需要设置expr_action的具体参数...
        
        // 将表达式添加到规则
        nftnl::nftnl_rule_add_expr(rule, expr);
        nftnl::nftnl_rule_add_expr(rule, expr_action);
    }
    
    // 将规则添加到batch并发送到内核...
    
    unsafe {
        nftnl::nftnl_rule_free(rule);
    }
}

完整示例demo

以下是一个完整的nftnl-sys使用示例，展示了如何创建表、链和规则：

use nftnl_sys as nftnl;
use libc::{c_char, c_void, AF_INET};

fn main() -> Result<(), String> {
    // 1. 创建batch对象
    let batch = unsafe { nftnl::nftnl_batch_alloc() };
    if batch.is_null() {
        return Err("Failed to allocate batch".to_string());
    }

    // 2. 创建并配置表
    let table = unsafe { nftnl::nftnl_table_alloc() };
    if table.is_null() {
        unsafe { nftnl::nftnl_batch_free(batch) };
        return Err("Failed to allocate table".to_string());
    }

    unsafe {
        nftnl::nftnl_table_set_u8(table, nftnl::NFTNL_TABLE_FAMILY as u16, AF_INET as u8);
        nftnl::nftnl_table_set_str(table, nftnl::NFTNL_TABLE_NAME as u16, b"mytable\0".as_ptr() as *const c_char);
    }

    // 3. 创建并配置链
    let chain = unsafe { nftnl::nftnl_chain_alloc() };
    if chain.is_null() {
        unsafe {
            nftnl::nftnl_table_free(table);
            nftnl::nftnl_batch_free(batch);
        }
        return Err("Failed to allocate chain".to_string());
    }

    unsafe {
        nftnl::nftnl_chain_set_u8(chain, nftnl::NFTNL_CHAIN_FAMILY as u16, AF_INET as u8);
        nftnl::nftnl_chain_set_str(chain, nftnl::NFTNL_CHAIN_TABLE as u16, b"mytable\0".as_ptr() as *const c_char);
        nftnl::nftnl_chain_set_str(chain, nftnl::NFTNL_CHAIN_NAME as u16, b"input\0".as_ptr() as *const c_char);
    }

    // 4. 创建并配置规则
    let rule = unsafe { nftnl::nftnl_rule_alloc() };
    if rule.is_null() {
        unsafe {
            nftnl::nftnl_chain_free(chain);
            nftnl::nftnl_table_free(table);
            nftnl::nftnl_batch_free(batch);
        }
        return Err("Failed to allocate rule".to_string());
    }

    unsafe {
        nftnl::nftnl_rule_set_u8(rule, nftnl::NFTNL_RULE_FAMILY as u16, AF_INET as u8);
        nftnl::nftnl_rule_set_str(rule, nftnl::NFTNL_RULE_TABLE as u16, b"mytable\0".as_ptr() as *const c_char);
        nftnl::nftnl_rule_set_str(rule, nftnl::NFTNL_RULE_CHAIN as u16, b"input\0".as_ptr() as *const c_char);

        // 添加匹配TCP端口80的表达式
        let expr = nftnl::nftnl_expr_alloc(b"match\0".as_ptr() as *const c_char);
        if expr.is_null() {
            nftnl::nftnl_rule_free(rule);
            nftnl::nftnl_chain_free(chain);
            nftnl::nftnl_table_free(table);
            nftnl::nftnl_batch_free(batch);
            return Err("Failed to allocate match expression".to_string());
        }
        
        // 这里需要配置具体的匹配参数
        // ...

        // 添加接受数据包的动作
        let expr_action = nftnl::nftnl_expr_alloc(b"target\0".as_ptr() as *const c_char);
        if expr_action.is_null() {
            nftnl::nftnl_expr_free(expr);
            nftnl::nftnl_rule_free(rule);
            nftnl::nftnl_chain_free(chain);
            nftnl::nftnl_table_free(table);
            nftnl::nftnl_batch_free(batch);
            return Err("Failed to allocate target expression".to_string());
        }
        
        // 这里需要配置具体的动作参数
        // ...

        nftnl::nftnl_rule_add_expr(rule, expr);
        nftnl::nftnl_rule_add_expr(rule, expr_action);
    }

    // 5. 将所有对象添加到batch
    unsafe {
        // 添加表
        nftnl::nftnl_batch_begin(batch, nftnl::NFTNL_MSG_NEWTABLE as i32);
        nftnl::nftnl_batch_table_add(batch, nftnl::NFTNL_MSG_NEWTABLE as i32, table);
        nftnl::nftnl_batch_end(batch, nftnl::NFTNL_MSG_NEWTABLE as i32);

        // 添加链
        nftnl::nftnl_batch_begin(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32);
        nftnl::nftnl_batch_chain_add(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32, chain);
        nftnl::nftnl_batch_end(batch, nftnl::NFTNL_MSG_NEWCHAIN as i32);

        // 添加规则
        nftnl::nftnl_batch_begin(batch, nftnl::NFTNL_MSG_NEWRULE as i32);
        nftnl::nftnl_batch_rule_add(batch, nftnl::NFTNL_MSG_NEWRULE as i32, rule);
        nftnl::nftnl_batch_end(batch, nftnl::NFTNL_MSG_NEWRULE as i32);
    }

    // 6. 这里应该添加将batch发送到内核的代码
    // 通常使用netlink socket发送

    // 7. 清理资源
    unsafe {
        nftnl::nftnl_rule_free(rule);
        nftnl::nftnl_chain_free(chain);
        nftnl::nftnl_table_free(table);
        nftnl::nftnl_batch_free(batch);
    }

    Ok(())
}

注意事项

1. nftnl-sys是低级绑定，使用时需要熟悉Linux netfilter的工作原理
2. 所有操作都需要unsafe块
3. 需要正确处理内存管理，避免内存泄漏
4. 需要root权限才能修改netfilter规则集
5. 错误处理非常重要，应检查每个API调用的返回值

性能建议

• 使用batch操作减少内核上下文切换
• 复用已分配的nftnl对象
• 尽量减少规则更新频率
• 使用nftnl提供的批处理接口