没有SYN | ACK的Linux TCP接受

Question

我正在尝试编写一个TCP透明代理以在Linux上运行。

我希望在收到传入连接后启动相应的传出连接，但是如果传出连接成功，则仅接受（SYN | ACK）传入连接。

TCP_DEFERRED_ACCEPT不执行我想要的操作-它始终发送SYN | ACK。

问题是：如何使用Linux套接字API接受TCP连接，但推迟SYN | ACK？

Answer 1

您可以在Linux上执行此操作，但不能通过套接字API。 您将使用NFQUEUE目标，该目标允许您将一些数据包重定向到用户空间，并从程序中确定它们的命运。

令人费解的是，您仍然必须在用户空间中解析数据包，但是搜索一些TCP标志并不难，也不需要完整的TCP堆栈。 这样，Linux仍然可以完成整个网络工作。

在您的情况下，似乎同时使用NFQUEUE和传统套接字API。 前者将给您早期的决定，后者将访问TCP流数据。 虽然我从未尝试过。

例如，请参阅https://home.regit.org/netfilter-zh/using-nfqueue-and-libnetfilter_queue/ 。