如何在Yocto Sumo中启用iptables的ipv4options匹配功能？

嘿，我来帮你梳理下解决这个问题的两个可行方向——要么搞定Yocto Sumo里的xtables-addons支持，要么直接通过内核netfilter来实现数据包丢弃，两种方案都给你详细说说：

因为Yocto Sumo官方层确实没有xtables-addons的recipe，你可以自己动手写一个，步骤如下：

• 编写自定义xtables-addons recipe
  参考OpenEmbedded社区的recipe结构，创建一个名为xtables-addons_<version>.bb的文件，放到你自己的定制layer里。核心内容示例：

  SUMMARY = "Extended iptables matches and targets"
  HOMEPAGE = "https://xtables-addons.sourceforge.net/"
  LICENSE = "GPL-2.0+"
  LICENSE_FILES_CHKSUM = "file://COPYING;md5=eb723b61539feef013de476e68b5c50a"
  
  PV = "3.2" # 选一个和Sumo内核（4.14左右）兼容的版本
  SRC_URI = "https://downloads.sourceforge.net/project/xtables-addons/xtables-addons/${PV}/xtables-addons-${PV}.tar.xz"
  SRC_URI[md5sum] = "xxx" # 替换成对应tar包的md5值
  
  DEPENDS = "iptables kernel"
  
  EXTRA_OEMAKE = "KERNEL_DIR=${STAGING_KERNEL_DIR}"
  
  do_install() {
      oe_runmake install DESTDIR=${D}
  }
  

• 配置内核选项
  确保内核配置中开启了IPv4选项匹配模块：CONFIG_NETFILTER_XT_MATCH_IPV4OPTIONS=m（可加载模块）或者=y（编译进内核）。你可以通过KERNEL_FEATURES或者自定义内核配置片段来实现。
• 添加到镜像构建
  在local.conf中追加：IMAGE_INSTALL_append = " xtables-addons"，之后构建镜像时就会包含这个组件。完成后就能用这条iptables规则丢弃所有带IPv4选项的数据包：

  iptables -A INPUT -m ipv4options --any -j DROP
  

如果不想折腾用户态组件，直接在内核层面写一个简单的netfilter钩子模块就能实现需求：

• 核心思路
  IPv4头部的ihl字段（头部长度）以4字节为单位，正常无选项的头部ihl值为5（对应20字节），如果ihl > 5就说明数据包带有选项字段，我们可以在netfilter的NF_INET_PRE_ROUTING钩子中检查这个值，直接丢弃符合条件的包。
• 内核模块示例代码

  #include <linux/netfilter.h>
  #include <linux/netfilter_ipv4.h>
  #include <linux/ip.h>
  #include <linux/module.h>
  
  static struct nf_hook_ops nf_drop_ipv4_options_hook;
  
  unsigned int drop_ipv4_options_handler(void *priv, struct sk_buff *skb, const struct nf_hook_state *state) {
      struct iphdr *iph;
      
      if (!skb)
          return NF_ACCEPT;
      
      iph = ip_hdr(skb);
      // 检查头部长度是否超过基础20字节（即存在选项）
      if (iph->ihl > 5) {
          return NF_DROP;
      }
      
      return NF_ACCEPT;
  }
  
  static int __init drop_ipv4_options_init(void) {
      nf_drop_ipv4_options_hook.hook = drop_ipv4_options_handler;
      nf_drop_ipv4_options_hook.hooknum = NF_INET_PRE_ROUTING;
      nf_drop_ipv4_options_hook.pf = PF_INET;
      nf_drop_ipv4_options_hook.priority = NF_IP_PRI_FIRST; // 确保优先处理
  
      return nf_register_net_hook(&init_net, &nf_drop_ipv4_options_hook);
  }
  
  static void __exit drop_ipv4_options_exit(void) {
      nf_unregister_net_hook(&init_net, &nf_drop_ipv4_options_hook);
  }
  
  module_init(drop_ipv4_options_init);
  module_exit(drop_ipv4_options_exit);
  MODULE_LICENSE("GPL");
  MODULE_DESCRIPTION("Drop IPv4 packets with any options");
  

• 将模块集成到Yocto
  为这个模块写一个简单的recipe，编译成可加载模块或者直接编译进内核。确保内核配置中开启了CONFIG_NETFILTER=y和CONFIG_NETFILTER_ADVANCED=y，这样netfilter钩子才能正常工作。

内容的提问来源于stack exchange，提问作者TabascoEye