iptables -L、iprule show（ポリシーベースのルーティング）、複数のテーブルを持つiprouteの出力を理解する

Question

でもここパーティーにはかなり遅かったです。 AOSPコードを見なくてもAndroidルーティングを理解するのは難しいです。あなたはそれを把握することができます何これは本当ですが、なぜ確かに、本当に難しいです。 Androidのルールは同時に多くのネットワークに接続することが多いため、通常のUNIXシステムのルールよりもはるかに複雑です。一部のプロセスは特定のネットワークにアクセスでき、他のプロセスは各UIDが異なるプライマリネットワークにアクセスできます。複数を使用した基本ネットワークに加えて、他のネットワーク要求アプリケーションプログラミングインターフェース。 Unixサーバーやデスクトップコンピュータはこれらの複雑さを処理する必要はなく、より簡単なルーティングを介して実行できます。

ルールの仕組みに興味がある場合は、始めてください。ここ最新のコードを入手してください（興味のある特定のAndroidバージョンの前の四半期を確認できます）。これに加えて、デバイスメーカーは変更することができ、しばしば変更する可能性があるため、特定のデバイスの詳細が異なる場合があります。

一般的なアイデアは、ルーティングが最初に各ルールを優先順位（低から低）まで調べることです。パケットがルールと一致すると、カーネルは接続テーブルを検索します。そこで目的地を見つけたら、そこからパケットを送信し、そうでない場合は戻って次の規則を評価します。

このようなルール

10500:  from all iif lo oif rmnet_data0 uidrange 0-0 lookup rmnet_data0

man ip-ruleで説明されています。簡単に言うと：

10500最優先事項です。パスはルールを昇順で評価します。同じ優先順位を持つ2つのルールの順序は定義されていません。
from all iif lo oif rmnet_data0 uidrange 0-0フィルターです。それぞれは2つの単語です。
- from allすべてのソースが一致することを意味します。
- iif lo（ローカル入力インターフェイスの場合）ローカルで生成されたトラフィックのみが一致します（転送されたトラフィックは一致しません）。
- oif rmnet_data0（出力インターフェイスの場合）そのrmnet_data0インターフェイスに向かうトラフィックのみが一致します。
- uidrange 0-00と0の間のUIDから発生するトラフィックのみを一致させます（したがって、この例ではUID 0のみ）。 Androidのすべてのアプリケーションには異なるUIDがあります。
lookup rmnet_data0簡単に言えば、パケットがすべてのフィルタと一致する場合は、rmnet_data0テーブルを検索してパスを見つける必要があります。ある場合はそれに従い、そうでない場合は次の規則に進みます。

マーキングの場合、ここあなたが始めたい場所です。 Androidはファイアウォールフラグを使用して、ネットワーク権限とアプリケーションの明示的な要求を管理します。コードが示すように、ファイアウォールタグの下部の16ビットはネットワークIDです（Androidは各ネットワークに16ビットネットワークIDを割り当てます）。高いビットは権限、会計などに使用されます。

このようなフィルタを見ると、fwmark 0xd0001/0xdffffソケットの表示を右部分（ここでは0xdffff）にマスキングし、これを左部分（ここでは0xd0001）と比較するという意味です。この場合、コードを再検索すると、0xdffffはビット0〜15（netId）、ビット16（「明示的選択」）、ビット18、および19（権限）を予約します。ブロック後にソケットタグ0xd0001を持つトラフィックはこのルールと一致するため、netId 1は明示的に選択されたネットワークにバインドする必要があります（これは、アプリケーションがデフォルトネットワークではなく一部のAPIを使用してこのネットワークを要求したことを意味します）。 2つの特権ビットがあります（したがって、Android特権を持つ特権アプリケーションである必要がありますUSE_RESTRICTED_NETWORKS）。

ソケットの表示方法は別の話です。ただし、簡単に言えば、connectネットワークを選択できるいくつかのAndroid APIを呼び出すと、Androidはシステムコールのフックを使用してソケットを次の場所に送信します（Androidのみ）。 netdデーモンを使用すると、netdはソケットを表示します。論理を見ることができるこのコードでは詳細に興味があれば。また、許可されたソケットを表示するためのいくつかのiptablesルールと、詳細を知りたい場合は、コードで見つけることができる多くの技術的な詳細もあります。

役に立つことを願って、

Answer 1