關於NetfilterNF_HOOK宏的outdev參數bug

1.首先指出，NF_HOOK系列宏的outdev參數的傳遞方式(直接傳遞一個net_device結構體指標)是不正確的正確的方式要麼是不傳遞，要麼是傳遞指標的地址，即地址的地址。

2.接下來指出，僅僅傳遞一個地址為何不對

因為在該HOOK點可能存在多個HOOK函數，每一個函數都有可能改變skb的路由，即調用reroute，比如NAT，比如IP Mark等，這樣後續的HOOK函數看到的依然是舊的outdev參數，而不是reroute之後的skb_dst(skb)->dev。

3.然後看一個實際出錯例子

設定預設路由

0.0.0.0/0 via 192.168.1.1 eth0
iptables -t mangle -A OUTPUT -d 1.1.1.1 -j MARK --set-mark 100
防止mark 100的資料包從eth0出去(這實際上只是為了展現問題而添加的多餘的一條規則)
iptables -A OUTPUT -d 1.1.1.1 -o eth0 -j DROP

4.怎麼修正

辦法很多，依次介紹：

a.使用setsockopt打mark而不是iptables打mark，繞開OUTPUT和路由的曖昧關係；

很簡單，在ipt_do_table的開頭位置，即變數聲明的完結處，加入下面的代碼：

struct xt_target_param tgpar; #if 1 struct dst_entry *dst_e = skb_dst(skb); if (dst_e) { out = dst_e->dev; } #endif

5.徹底模擬世界

一個實體只能同時存在於一個位置！就像人一樣，進入了一個房間，外面就沒有這個人了，可惜程式設計語言不是這樣的。