問題現象：使用ip6tables?添加端口過濾規則，只允許指定端口IPv6報文進來，測試結果顯示如果是分片報文，只有第一個分片報文能夠收到，后續分片會被丟棄。

內核版本：3.4.39

問題原因:?因為同樣的規則如果是IPv4分片報文則能夠生效，通過分析內核源碼，發現問題出在netfilter IPv6連接跟蹤模塊。

netfilter IPv4?連接跟蹤模塊會對分片報文進行重組處理使得系統網絡協議棧處理的是重組報文，因為iptables添加的規則優先級在連接跟蹤后面，所以IPv4?的端口過濾能夠生效，因為處理的是重組報文。IPv6的連接跟蹤功能同樣會出重組分片報文，不過重組后的報文只有netfilter?連接跟蹤自己可見，網絡協議棧處理的仍然是分片報文，這就使得ip6tables?規則處理的是分片報文。

解決方法：在Linux內核官網上查找更高的版本發現，在3.12.4版本上有一個補丁，這個補丁的作用就是使得IPv6?連接跟蹤模塊重組報文后直接傳遞給網絡協議棧使用，這樣ip6tables就能夠基于端口過濾分片報文了。

補丁地址：https://github.com/torvalds/linux/commit/6aafeef03b9d9ecf255f3a80ed85ee070260e1ae#diff-4ee79b665234e6518f6f34a107032118

注意事項：該補丁修改了skbuff.h和skbuff.c文件，為了和現有內核版本兼容，不能夠直接拿來使用，只需要將連接跟蹤模塊相關的處理去掉就ok了。

author Jiri Pirko <jiri@resnulli.us> 2013-11-06 17:52:20 +0100 committer David S. Miller <davem@davemloft.net> 2013-11-11 00:19:35 -0500 commit 6aafeef03b9d9ecf255f3a80ed85ee070260e1ae (patch) tree 48c7f8ff1709c9874342c02c7039d4431a00b333 parent 9037c3579a277f3a23ba476664629fda8c35f7c4 (diff) download linux-6aafeef03b9d9ecf255f3a80ed85ee070260e1ae.tar.gz netfilter: push reasm skb through instead of original frag skbs

?

《新程序員》：云原生和全面數字化實踐50位技術專家共同創作，文字、視頻、音頻交互閱讀

總結

以上是生活随笔為你收集整理的ip6tables 无法基于端口过滤IPv6 分片报文问题解决的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。