suricata在netmap模式无法抓包的原因

偏执的太偏执、 2022-09-30 12:59 180阅读 0赞

### 问题描述 ###

suricata在很早就支持了netmap，但最近在用的时候却发现开启netmap抓包后总是获取不到数据包。  
使用netmap自带的pke-gen工具测试，结果证明不是netmap的问题。  
只能去suricata源码里查原因了。

### 问题定位 ###

问题出在source-netmap.c文件的NetmapOpen函数中，具体位置如下：

if (ioctl(pring->fd, NIOCREGIF, &nm_req) != 0) {
                SCLogError(SC_ERR_NETMAP_CREATE,
                           "Couldn't register %s with netmap: %s",
                           ifname, strerror(errno));
                break;
            }
    
    /*问题就在下面的条件判断中，这里面判断是否已经通过mmap设置了共享内存，如果已经设置了就跳过，不在重新设置。逻辑上本来没有问题，但这里将使用NETMAP_IF根据偏移量获取nif也一并跳过了，这就导致后续的ring都指向了最初的nif，无法获取网卡上全部的数据包*/
            if (pdev->mem == NULL) {
                pdev->mem = mmap(0, pdev->memsize, PROT_WRITE | PROT_READ,
                                 MAP_SHARED, pring->fd, 0);
                if (pdev->mem == MAP_FAILED) {
                    SCLogError(SC_ERR_NETMAP_CREATE,
                               "Couldn't mmap netmap device: %s",
                               strerror(errno));
                    break;
                }
                /*此处调用NETMAP_IF根据偏移量nm_req.nr_offset获取nif*/
                pdev->nif = NETMAP_IF(pdev->mem, nm_req.nr_offset);
            }
    
            if ((i < pdev->rx_rings_cnt) || (i == pdev->rings_cnt)) {
                pring->rx = NETMAP_RXRING(pdev->nif, i);
            }
            if ((i < pdev->tx_rings_cnt) || (i == pdev->rings_cnt)) {
                pring->tx = NETMAP_TXRING(pdev->nif, i);
            }

### 解决方法 ###

将‘pdev->nif = NETMAP\_IF(pdev->mem, nm\_req.nr\_offset);’这句放到条件判断外就可以了。

if (pdev->mem == NULL) {
                pdev->mem = mmap(0, pdev->memsize, PROT_WRITE | PROT_READ,
                                 MAP_SHARED, pring->fd, 0);
                if (pdev->mem == MAP_FAILED) {
                    SCLogError(SC_ERR_NETMAP_CREATE,
                               "Couldn't mmap netmap device: %s",
                               strerror(errno));
                    break;
                }
            }
            /*此处调用NETMAP_IF根据偏移量nm_req.nr_offset获取nif*/
            pdev->nif = NETMAP_IF(pdev->mem, nm_req.nr_offset);
    
            if ((i < pdev->rx_rings_cnt) || (i == pdev->rings_cnt)) {
                pring->rx = NETMAP_RXRING(pdev->nif, i);
            }