Netfilter注册nf_hook失败主因是hook点选错、优先级设置不当或未正确调用nf_register_net_hook；返回NF_ACCEPT后若修改skb头部却未重算校验和，会导致包被对端丢弃。
Linux 内核模块中注册 nf_hook 时为什么数据包没被拦截？
Netfilter 不是用户态库，必须写内核模块并在合适 hook 点注册回调函数才能介入数据流。常见错误是 hook 点选错（比如在 NF_INET_LOCAL_OUT 注册却想截获进来的 SYN 包），或优先级设为正数导致被其他模块（如 iptables）提前处理完就返回了。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 确认内核版本对应的 hook 类型：4.x/5.x 主要用
nf_hook_ops结构体，6.x 开始部分接口有调整，struct nf_hook_ops的hooknum字段必须匹配实际路径（如NF_INET_PRE_ROUTING对应刚进协议栈的包） - 注册前确保模块已调用
nf_register_net_hook(&init_net, &my_hook)，而不是裸指针传给nf_register_hook()（后者在较新内核中已被标记为废弃） - 返回值必须是
NF_ACCEPT、NF_DROP、NF_STOLEN或NF_QUEUE；返回NF_ACCEPT后若修改了 skb 数据但没重算校验和，会导致包被接收方丢弃
怎么安全地修改 skb 中的 IP 或 TCP 头字段？
直接写 ip_hdr(skb)->daddr 或 tcp_hdr(skb)->dest 很危险：skb 可能是线性 buffer 也可能是分片（frag list），且可能被多个 CPU 并发访问。更关键的是，修改后不更新校验和，网卡或对端会直接丢包。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 先调用
skb_make_writable(skb, len)确保要改的头部区域可写（它会触发 pskb_expand_head 如果需要） - 修改 IP 头后必须调用
ip_send_check(ip_hdr(skb))；修改 TCP 头后必须重新计算并填入tcp_hdr(skb)->check = 0，再调用tcp_v4_csum_init(skb)（注意：这个函数依赖 skb->ip_summed == CHECKSUM_NONE） - 不要手动 memcpy 修改 payload——用
skb_pull()/skb_push()调整长度，用skb_copy_from_linear_data_offset()安全读取，避免越界访问 frag list
重定向到本地 socket 时为什么 connect() 失败或收不到包？
Netfilter 层不能“把包发给某个 socket”，只能控制路由走向。所谓“重定向到本地”本质是让包走 LOCAL_IN 路径，这需要同时满足三个条件：目的地址改成 127.0.0.1、IP header 的 TTL 减 1（否则 loopback 接口会拒收）、且不能绕过 conntrack（否则 socket 层找不到对应连接）。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 用
nf_ct_kill_acct(ct, ctinfo, skb)主动删除旧 conntrack 条目，否则改 dst 后新连接无法建立 - 设置
skb->pkt_type = PACKET_HOST并调用ip_local_deliver_finish()手动送入本地协议栈（仅限 PRE_ROUTING 钩子）；但更稳妥的做法是只改 dst 和 port，靠内核路由表自动落到 lo 接口 - 如果目标是透明代理，推荐用
iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY+ip rule配合，比纯内核模块改包更稳定
编译 Netfilter 模块时遇到 “undefined symbol: nf_register_net_hook” 怎么办？
这是符号未导出问题。从 Linux 4.13 开始，nf_register_net_hook 等核心函数默认不再导出给 GPL-only 模块以外的模块使用。即使加了 MODULE_LICENSE("GPL")，也可能因 CONFIG_MODULE_UNLOAD=y 但 CONFIG_NETFILTER_XT_TARGET_REDIRECT=m 导致依赖链断裂。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 检查内核配置：
grep CONFIG_NETFILTER /boot/config-$(uname -r)，确保CONFIG_NETFILTER=y且相关子项（如CONFIG_NETFILTER_ADVANCED=y）已启用 - Makefile 中必须显式链接 netfilter 符号：
obj-m += my_nf_module.o，且my_nf_module-objs := main.o helper.o，避免单文件编译导致符号解析失败 - 加载前运行
depmod -a，并用dmesg | tail查看是否报"no symbol version for nf_register_net_hook"——若是，说明模块编译所用头文件与运行内核不一致
真正难的不是改几个字段，而是理解每个 hook 点的 skb 生命周期：PRE_ROUTING 还没做路由决策，LOCAL_IN 已经绑定了 socket，而 OUTPUT 钩子里的 skb 可能被克隆多次。一个 skb_clone() 调用就可能让你的指针失效，这点很容易被忽略。
