Linux系统如何将入站IP数据包的Don't Fragment(DF)位设置为0？

1. 能否用iptables、nftables等用户空间工具实现？ #

可以直接用iptables或nftables完成，无需复杂的内核级开发。

iptables实现方式 #

利用mangle表的PREROUTING链（处理入站数据包），通过--set-df选项将DF位设为0：

# 清除所有入站数据包的DF位
iptables -t mangle -A PREROUTING -j IPOPT --set-df 0

如果需要针对特定IP/端口过滤，可添加匹配条件，比如只处理来自192.168.1.0/24段的数据包：

iptables -t mangle -A PREROUTING -s 192.168.1.0/24 -j IPOPT --set-df 0

nftables实现方式 #

nftables支持直接修改IP报头的df字段，配置示例如下：

# 创建mangle表及prerouting链
nft add table ip mangle
nft add chain ip mangle prerouting { type filter hook prerouting priority -150; policy accept; }
# 添加规则清除DF位
nft add rule ip mangle prerouting ip df set 0

同样可以添加匹配条件，比如针对特定协议或端口：

nft add rule ip mangle prerouting tcp dport 80 ip df set 0

2. 是否需要内核模块或eBPF/XDP？ #

不需要。上述用户空间工具已经能满足常规需求。但如果你的场景需要极高性能（比如每秒数百万级数据包处理），或者需要更复杂的自定义逻辑，eBPF/XDP是更优的选择。内核模块则不推荐，因为维护成本高，且存在稳定性风险。

3. 示例脚本 #

iptables持久化脚本（保存规则） #

#!/bin/bash
# 清除现有mangle表PREROUTING链中相关规则
iptables -t mangle -D PREROUTING -j IPOPT --set-df 0 2>/dev/null
# 添加新规则
iptables -t mangle -A PREROUTING -j IPOPT --set-df 0
# 保存规则（根据发行版选择命令）
# Debian/Ubuntu:
iptables-save > /etc/iptables/rules.v4
# RHEL/CentOS:
service iptables save

nftables配置文件示例（/etc/nftables.conf） #

#!/usr/sbin/nft -f

flush ruleset

table ip mangle {
    chain prerouting {
        type filter hook prerouting priority -150; policy accept;
        # 清除所有入站数据包DF位
        ip df set 0
        # 可选：针对特定IP段的规则
        # ip saddr 192.168.1.0/24 ip df set 0
    }
}

启用配置：

nft -f /etc/nftables.conf

eBPF/XDP简单示例（基于bpftool） #

如果需要高性能场景，以下是一个极简的XDP程序，清除IP报头的DF位：

// xdp_clear_df.c
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <bpf/bpf_helpers.h>

SEC("xdp")
int xdp_clear_df(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    struct ethhdr *eth = data;
    if (data + sizeof(struct ethhdr) > data_end)
        return XDP_PASS;

    // 只处理IPv4数据包
    if (eth->h_proto != __constant_htons(ETH_P_IP))
        return XDP_PASS;

    struct iphdr *ip = data + sizeof(struct ethhdr);
    if ((void *)ip + sizeof(struct iphdr) > data_end)
        return XDP_PASS;

    // 清除DF位（IP_DF是0x4000）
    ip->frag_off &= ~htons(IP_DF);

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

编译并加载：

# 编译
clang -O2 -target bpf -c xdp_clear_df.c -o xdp_clear_df.o
# 加载到指定网卡（比如eth0）
bpftool net attach xdp obj xdp_clear_df.o dev eth0

卸载：

bpftool net detach xdp dev eth0

内容的提问来源于stack exchange，提问作者Kefi