网桥的vlan filtering过滤功能

网桥的VLAN Filtering功能,顾名思义实现对入口与出口数据包依据VLAN信息的过滤。vlan filtering功能默认是关闭的,可通过如下命令开启:

echo 1 > /sys/class/net/brx/bridge/vlan_filtering
或者

ip link set brx type bridge vlan_filtering 1


初始化VLAN过滤

Linux网桥在初始化时,默认协议初始化为ETH_P_8021Q,默认接口vlan标识default_pvid为1,即vlan 1。


int br_vlan_init(struct net_bridge *br)
{
    br->vlan_proto = htons(ETH_P_8021Q);
    br->default_pvid = 1;
    return br_vlan_add(br, 1,
               BRIDGE_VLAN_INFO_PVID | BRIDGE_VLAN_INFO_UNTAGGED);
}


以下命令创建一个网桥,并显示网桥vlan配置信息,可见与br_vlan_init一致,初始化时配置了pvid等于1,并且数据包发出时不带vlan tag信息(Egress Untagged)。

root@localhost:~$ brctl addbr brx
root@localhost:~$ bridge vlan show
port    vlan ids
brx      1 PVID Egress Untagged

root@localhost:~$


配置Vlan过滤功能


可使用bridge(来自iproute2工具集)命令修改接口的vlan id、pvid以及tagged/untagged属性,如下所示。

root@localhost:~$ brctl addif brx ens160
root@localhost:~$ bridge vlan show
port    vlan ids
ens160   1 PVID Egress Untagged
brx      1 PVID Egress Untagged


root@localhost:~$ bridge vlan add dev brx vid 10 pvid self

root@localhost:~$ bridge vlan show
port    vlan ids
ens160   1 PVID Egress Untagged
brx      1 Egress Untagged
         10 PVID

root@localhost:~$

bridge工具通过netlink接口下发配置内核,br_vlan_info函数进行处理,可见nbp_vlan_add函数处理网桥子接口的vlan配置;br_vlan_add处理网桥本身的vlan配置。两者最终通过函数__vlan_add处理具体的设置。


static int br_vlan_info(struct net_bridge *br, struct net_bridge_port *p, int cmd, struct bridge_vlan_info *vinfo)
{
    if (p)
        err = nbp_vlan_add(p, vinfo->vid, vinfo->flags);
    else
        err = br_vlan_add(br, vinfo->vid, vinfo->flags);
}


来看__vlan_add函数的处理,设置vlan_bitmap中对于vid的位(在数据流程ingress中将判断此位)。如果是pvid的配置,将此vid赋值给net_port_vlans结构体成员pvid;如果配置了untagged选项,设置untagged_bitmap变量中对应vid的位(在数据流程egress中将判断此位)。


static void __vlan_add_flags(struct net_port_vlans *v, u16 vid, u16 flags)
{
    if (flags & BRIDGE_VLAN_INFO_PVID)
        __vlan_add_pvid(v, vid);

    if (flags & BRIDGE_VLAN_INFO_UNTAGGED)
        set_bit(vid, v->untagged_bitmap);
}
static int __vlan_add(struct net_port_vlans *v, u16 vid, u16 flags)
{
    set_bit(vid, v->vlan_bitmap);
    __vlan_add_flags(v, vid, flags);
}


入口数据包过滤


内核代码调用br_allowed_ingress进行ingress方向vlan filtering处理。ingress表示进入网桥的方向,所以过滤点有两类,一个是在外部数据包从网桥的子接口进入网桥时,在br_handle_frame_finish函数中做过滤;另一处是在本机发出的数据包直接进入网桥时,即br_dev_xmit函数中做过滤。但是两处的检查对象不同,一个是检查外部数据包的vlan与物理口的vlan规则,另一个是检查本机数据包与网桥本身的vlan设置规则。


有代码可见,两处检查传入的第二个参数的差别,一个是网桥子接口的net_port_vlans信息,一个是网桥本身的vlan信息。


int br_handle_frame_finish(struct sock *sk, struct sk_buff *skb)
{
	struct net_bridge_port *p = br_port_get_rcu(skb->dev);
	
    if (!br_allowed_ingress(p->br, nbp_get_vlan_info(p), skb, &vid))
        goto out;
}
netdev_tx_t br_dev_xmit(struct sk_buff *skb, struct net_device *dev)
{
   if (!br_allowed_ingress(br, br_get_vlan_info(br), skb, &vid))
       goto out;
}


来看函数br_allowed_ingress中的过滤,vlan过滤的具体实现分两种情况,第一如果数据包不是vlan数据包,没有vlan信息,或者是vlan数据包,但是其中的vlan id等于0,即仅表示vlan优先级的数据包。首先检查此接口是否支持pvid(不等于0),不支持丢弃此数据包;如果支持,将pvid的值赋给skb中的vlan_tci字段,此后数据包依据此pvid进行转发处理。

第二如果数据包中带有vlan信息,判断此接口vlan_bitmap中是否设置相应的vlan id位,如果设置接收此数据包,否则丢弃。


bool br_allowed_ingress(struct net_bridge *br, struct net_port_vlans *v,
            struct sk_buff *skb, u16 *vid)
{
    if (!*vid) {
        u16 pvid = br_get_pvid(v);
        if (!pvid)
            goto drop;

        *vid = pvid;
        if (likely(!tagged))
            __vlan_hwaccel_put_tag(skb, proto, pvid);
        else
            skb->vlan_tci |= pvid;

        return true;
    }
    if (test_bit(*vid, v->vlan_bitmap))
        return true;
}


出口数据包过滤


内核代码调用br_allowed_egress进行egress方向vlan filtering处理。egress表示网桥向外的方向,与ingress不同此时过滤点有三类,一是转发的数据包从网桥的子接口发出时,在br_forward函数中做过滤;二是本机产生的数据包从网桥发出时,在br_deliver函数中做过滤;另外,对于在转发forward与本地发出deliver报文时,在FDB中找不到目的MAC的情况,都需要泛洪处理,此时(单播和多播)分别在br_flood和br_multicast_flood函数中做规则过滤。


以下代码可见,规则过滤非常简单,即检查以下数据包(skb)中的vlan id是否是接口的vlan_bitmap中所允许的。


bool br_allowed_egress(struct net_bridge *br, const struct net_port_vlans *v, const struct sk_buff *skb)
{
    br_vlan_get_tag(skb, &vid);
    if (test_bit(vid, v->vlan_bitmap))
        return true;

    return false;
}


出口数据包的TAG处理


出口数据包是否要增加vlan id(tag)在函数br_handle_vlan中进行判断,如果接口的untagged_bitmap位图中含有vid比特位,说明不要加tag,清空数据包(skb)的vlan_tci字段,否则保留vlan_tci字段的值。

struct sk_buff *br_handle_vlan(struct net_bridge *br, const struct net_port_vlans *pv, struct sk_buff *skb)
{
    br_vlan_get_tag(skb, &vid);
    if (test_bit(vid, pv->untagged_bitmap))
        skb->vlan_tci = 0;
}


VLAN过滤的硬件加速


内核提供了接口函数可将vlan filtering功能卸载到网卡执行。如果网卡支持vlan_filtering,判断net_device的features字段是否置位NETIF_F_HW_VLAN_CTAG_FILTER和NETIF_F_HW_VLAN_STAG_FILTER,如果置位说明支持offload,这样在配置vlan的时候,同时将vlan下发到网卡,接口函数指针ndo_vlan_rx_add_vid,查看intel e1000e网卡驱动,对应的函数为e1000_vlan_rx_add_vid,硬件过滤开启之后,将自动过滤掉不符合vlan规则的数据包。


static int __vlan_vid_add(struct vlan_info *vlan_info, __be16 proto, u16 vid, struct vlan_vid_info **pvid_info)
{
    if (vlan_hw_filter_capable(dev, vid_info)) {
        if (netif_device_present(dev))
            err = ops->ndo_vlan_rx_add_vid(dev, proto, vid);
    }
}

./drivers/net/ethernet/intel/e1000e/netdev.c

.ndo_vlan_rx_add_vid    = e1000_vlan_rx_add_vid

但是有一点要注意,当接口处于混杂模式时,所有数据包都会上送。


内核版本

linux-3.10.0


已标记关键词 清除标记
©️2020 CSDN 皮肤主题: 编程工作室 设计师:CSDN官方博客 返回首页