如何从TCP程序(特别是TCP堆栈)截获(不仅仅是捕获)传出数据包？

Question

我有一个运行在主机上的web服务器，我希望拦截由web服务器发送的所有数据包(包括IP/TCP报头)，因此这些数据包不会被web服务器直接发送到Internet。

最初，我的计划是使用iptable过滤web服务器发送的数据包，并使用libpcap捕获数据包。但我得知道包流是：

  Wire----NIC----libpcap----INPUT CHAIN---TCP STACK
  Wire----NIC----libpcap----OUTPUT CHAIN---TCP STACK

这意味着对于传入的数据包，我可以使用libpcap和iptables来实现拦截:使用libpcap来捕获数据包，使用iptables来阻止数据包传递到TCP堆栈。但是对于从web服务器截取出的数据包，libpcap和iptables的组合似乎不起作用。因为如果我过滤出的数据包，我的libpcap无法捕获这些数据包。如果我不使用iptable来过滤，尽管我可以使用libpcap捕获数据包，原始数据包将到达Internet。

我的目标是拦截从are服务器发送的所有数据包(包括TCP/IP报头)，有什么解决方案吗？谢谢!

注意:我不是在问如何修改数据包TCP/IP报头，我只是让您知道我为什么要拦截数据包(包括IP/TCP报头)。我在问如何截取数据包。

Answer 1

使用libpcap来抓取包进行修改是错误的。您几乎可以肯定地看到了内置在netfilter中的一种方法，用于处理用户空间中的数据包。

如果您希望以未内置于netfilter中的方式修改或滥用数据包，那么您可能需要对NFQUEUE目标进行强检查。

这允许您设置规则，以便将数据包传递到用户空间。然后你可以做你想做的事，然后再注射。

如果您实际上不需要对数据包做任何事情，然后接受它，那么ULOG目标可能会提供您想要的东西。ULOG将整个数据包转发给用于日志记录的用户空间进程。

当然，您的另一个选项可能是构建您自己的netfilter模块来进行任何不寻常的数据包更改，如果没有一个内置的方法提供您所需要的。

Answer 2

您可能希望将代理(如nginx或want )放在Apache前面。

这样就可以以适当的方式对Apache的响应进行按摩，而且这比在网络级别上做要容易得多。