一、前言
本文主要对 Linux 系统内核协议栈中网络层接收，发送以及转发数据包的流程进行简要介绍，同时对 Netfilter 数据包过滤框架的基本原理以及使用方式进行简单阐述。
二、 基础网络知识
2.1 网络分层模型
OSI 模型中将网络划分为七层，但在目前实际广泛使用的 TCP/IP 协议框架体系内，我们一般将网络划分为五层，从下到上依次为物理层，链路层，网络层，传输层以及应用层。两者的区别在于 OSI 模型在应用层对数据包做了更细致的划分。两者的关系如下图所示：
在 TCP/IP 协议框架体系的五层网络模型中，每一层负责处理的数据包协议或类型均存在差异，物理层主要负责在物理载体上的数据包传输，如 WiFi，以太网，光纤，电话线等；数据链路层主要负责链路层协议解析（主要为以太网帧，其他类型此处暂不考虑），网络层主要负责 IP 协议（包括 IPv4 和 IPv6）解析，传输层负责传输层协议解析（主要为 TCP，UDP 等），而传输层以上我们均归类为应用层，主要包括各类应用层协议，如我们常用的 HTTP，FTP，SMTP，DNS，DHCP 等。
2.2 数据包协议分层
在 TCP/IP 协议框架体系内，上层协议报文被作为下层协议的数据载荷（Data Payload），存储在下层协议的数据段区域中进行传输。结合这一特性，我们常见的几类网络协议嵌套关系如下图所示：
从上图我们可以清晰地看到各类协议之间的嵌套关系，如使用 HTTP 协议的应用 App1 在传输层封装在 TCP 协议中，TCP 协议在网络层又封装到 IP 协议中，最后交到数据链路层中。其他应用层 App 也类似。
网际报文控制协议（ICMP，使用该协议的 Ping 工具），以及网际组管理协议（IGMP，组播多播中的控制报文）是直接嵌套到 IP 数据包中，而不依赖于 TCP 或 UDP。
地址解析协议（ARP）和反解析协议（RARP）则是直接嵌套在数据链路层数据包中进行传输。由此，我们可以看出网络协议组包的关系，更利于理解协议。
2.3 收发数据流向
这里我们从客户端和服务端整体框架层面来看数据收发流程：
用户态（User Space）程序 Client 向另一台主机上的 Server 发送数据，需要通过调用内核态（Kernel Space）提供给用户态的 Socket 抽象层接口发送数据；
Socket 抽象层接口收到用户态数据后，向下交给传输层接口（TCP 或 UDP）；
传输层负责创建 sk_buff，并将用户数据（应用层数据）填充到缓冲区，做合法性检查后，添加传输层头部，并通过网络层注册的接口将数据包交给网络层处理；
网络层收到传输层数据包后，会查询路由表，决定数据包去向，如果是需要发出的数据包，会填充网络层头部，并交到内核虚拟网络接口设备的发送队列中；
虚拟网络接口从发送队列获取数据，调用对应网卡驱动发送数据；
Server 端接收数据时，按照相反的过程从网卡驱动中将数据包一层层上交，直到通过 Socket 抽象层接口将用户数据上交到用户态 Server 进程处理。
三、Netfilter 框架
Netfilter 是 Linux 内核中进行数据包过滤，连接跟踪（Connect Track），网络地址转换（NAT）等功能的主要实现框架；
该框架在网络协议栈处理数据包的关键流程中定义了一系列钩子点（Hook 点），并在这些钩子点中注册一系列函数对数据包进行处理。这些注册在钩子点的函数即为设置在网络协议栈内的数据包通行策略，也就意味着，这些函数可以决定内核是接受还是丢弃某个数据包。
下图左侧是ipv4数据接收流程，数据入口net_rx_action点；右侧是数据发送流程，数据入口是ip_local_out；
数据接收：
绿色方框内的IP_PRE_ROUTING为 Netfilter 框架的 Hook 点，该节点会根据预设的规则对数据包进行判决并根据判决结果做相关的处理，比如执行 NAT 转换；
IP_PRE_ROUTING节点处理完成后，数据包将交由ip_rcv_finish处理，该函数根据路由判决结果，决定数据包是交由本机上层应用处理，还是需要进行转发**(此处为路由分界区)**；
如果是交由本机处理，则会交由ip_local_deliver走本地上交流程；如果需要转发，则交由ip_forward函数走转发流程；
在数据包上交本地的流程中，IP_LOCAL_INPUT节点用于监控和检查上交到本地上层应用的数据包，该节点是 Linux 防火墙的重要生效节点之一；
在数据包转发流程中，Netfilter 框架的IP_FORWARD节点会对转发数据包进行检查过滤；
数据发送：
而对于本机上层发出的数据包，网络层通过注册到上层的ip_local_out函数接收数据处理，处理 OK 进一步交由IP_LOCAL_OUT节点检测；
对于即将发往下层的数据包，需要经过IP_POST_ROUTING节点处理；网络层处理结束，通过dev_queue_xmit函数将数据包交由 Linux 内核中虚拟网络设备做进一步处理，从这里数据包即离开网络层进入到下一层。