如何通过Netfilter Queue的NFQA_HWADDR或L2HW获取MAC地址？

• 已初步了解Netfilter Queue相关知识，配置了nft规则捕获ICMP数据包：

  nft add rule ip filter OUTPUT ip protocol icmp counter queue num 1
  

• 问题：如何获取硬件源地址（MAC）？

要通过Netfilter Queue获取数据包的硬件源MAC地址，核心是让内核传递包含链路层头部的完整数据包，再通过解析链路层帧头提取地址，具体可按以下方式实现：

1. 调整nft规则确保传递链路层数据 #

默认IP层钩子的Netfilter Queue可能只传递IP层及以上的数据，需要把规则调整到链路层表，让内核推送完整以太网帧：

nft add rule ip link OUTPUT ether type ip ip protocol icmp counter queue num 1

2. 通过libnetfilter_queue解析链路层头部 #

如果使用libnetfilter_queue开发，按以下步骤提取MAC：

• 创建队列句柄时，设置NFQNL_CFG_F_COPY_PACKET标志，确保获取完整数据包
• 调用nfq_get_payload()拿到数据包后，直接解析以太网帧头：

  #include <linux/if_ether.h>
  
  // payload为nfq_get_payload返回的数据包起始指针
  struct ethhdr *eth_header = (struct ethhdr *)payload;
  // eth_header->h_source 即为硬件源MAC地址，可按格式打印
  for (int i = 0; i < ETH_ALEN; i++) {
      printf("%02x%s", eth_header->h_source[i], (i == ETH_ALEN - 1) ? "\n" : ":");
  }
  

注意事项 #

• 只有当Netfilter Queue工作在链路层钩子点，或通过规则配置让内核传递完整帧时，才能拿到链路层头部
• 若无法调整钩子点，也可通过绑定到对应网卡的原始套接字，结合IP信息反向查询链路层地址，但这种方式效率和可靠性远低于直接解析完整帧

内容的提问来源于stack exchange，提问作者Ruslan R. Laishev