了解 iptables -L、iprule show（基于策略的路由）和具有多个表的 iproute 的输出

Question

这里的聚会相当晚了，但是。如果不查看 AOSP 代码，就很难理解 Android 路由，这将帮助您了解很多内容。你可以弄清楚什么确实如此，但是为什么确实如此，这真的很难。 Android 的规则比普通的 UNIX 机器复杂得多，因为它通常同时连接到许多网络；有些进程可以访问某些网络，而其他进程则不能；每个 UID 可能有不同的默认网络；应用程序可以通过使用多个来请求默认网络之外的另一个网络应用程序编程接口。 Unix 服务器或桌面计算机不需要处理任何这种复杂性，并且可以通过更简单的路由来完成。

如果您对规则如何运作感兴趣，请开始这里获取最新代码（您可以查看旧分支，了解您感兴趣的特定 Android 版本）。除此之外，设备制造商可能会（并且经常）进行更改，因此任何特定设备的详细信息可能会有所不同。

通常的想法是，路由首先按优先级顺序（从低到低的顺序）查看每个规则。如果数据包符合规则，则内核将查找关联表；如果它在那里找到目的地，那就是它发送数据包的地方，否则它会返回并评估下一条规则。

像这样的规则

10500:  from all iif lo oif rmnet_data0 uidrange 0-0 lookup rmnet_data0

在 man ip-rule 中有描述。简而言之：

10500是首要任务。路由按升序评估规则。具有相同优先级的两个规则的顺序未定义。
from all iif lo oif rmnet_data0 uidrange 0-0是过滤器。每个都是两个词：
- from all意味着任何来源都会匹配
- iif lo（对于本地输入接口）仅匹配本地生成的流量（不匹配转发的流量）
- oif rmnet_data0（对于输出接口）仅匹配发往该rmnet_data0接口的流量
- uidrange 0-0仅匹配来自 0 到 0 之间的 UID 的流量（因此在本例中仅匹配 UID 0）。 Android 的每个应用程序都有不同的 UID。
lookup rmnet_data0简单地说，如果数据包与所有过滤器匹配，那么您应该查找表 rmnet_data0 来尝试查找路由。如果有，则遵循它，否则转到下一条规则。

至于标记，这里是您想要开始的地方。 Android 使用防火墙标记来管理网络权限和来自应用程序的显式请求。从代码中可以看到，防火墙标记中的底部16位是网络的ID（Android为每个网络分配一个16位的网络ID）。高位用于权限、记帐...

当您看到类似的过滤器时fwmark 0xd0001/0xdffff，这意味着用右侧部分（此处为 0xdffff）掩盖套接字上的标记，并将其与左侧部分（此处为 0xd0001）进行比较。在这种情况下，再次查找该代码，0xdffff 将保留位 0~15（netId）、位 16（“显式选择”）以及位 18 和 19（权限）。屏蔽之后，套接字标记为 0xd0001 的流量将匹配此规则，因此它必须绑定到 netId 1 的网络，明确选择（这意味着应用程序已使用某些 API 来请求此网络，而不是默认的），它必须具有两个权限位（因此它必须是持有 android 权限的特权应用程序USE_RESTRICTED_NETWORKS）。

至于如何标记套接字，这是另一个故事，但为了简短起见，当您调用connect或某些允许您选择网络的 Android API时，Android 使用系统调用中的挂钩将套接字发送到（仅限 Android）netd 守护程序，netd 将为您标记该套接字。你可以看到逻辑在这段代码中如果您对细节感兴趣。还有一些 iptables 规则来标记接受的套接字以及大量技术细节，如果您想了解更多信息，可以在代码中查找。

希望这可以帮助，

Answer 1