写入VpnService输出流不提供响应

Question

我的应用程序实现了VpnService来拦截流量并提供量身定制的响应。目标是处理到特定地址的流量，并丢弃其他请求。

目前，我成功地解析了传入的请求，构建并发送了响应。然而，问题是这些响应并不是对原始请求的实际响应；使用套接字连接进行测试只是超时。

为了进行这一区分，我目前正在解析VPN服务输入流中的原始IP数据包，如下所示：

VpnService.Builder b = new VpnService.Builder();
b.addAddress("10.2.3.4", 28);
b.addRoute("0.0.0.0", 0);
b.setMtu(1500);
...
ParcelFileDescriptor vpnInterface = b.establish();
final FileInputStream in = new FileInputStream(
        vpnInterface.getFileDescriptor());
final FileOutputStream out = new FileOutputStream(
        vpnInterface.getFileDescriptor());

// Allocate the buffer for a single packet.
ByteBuffer packet = ByteBuffer.allocate(32767);

// We keep forwarding packets till something goes wrong.
try {
    while (vpnInterface != null && vpnInterface.getFileDescriptor() != null
            && vpnInterface.getFileDescriptor().valid()) {
        packet.clear();
        SystemClock.sleep(10);
        // Read the outgoing packet from the input html" target="_blank">stream.
        final byte[] data = packet.array();
        int length = in.read(data);
        if (length > 0) {
            packet.limit(length);
        /*
         1. Parse the TCP/UDP header
         2. Create an own socket with the same src/dest port/ip
         3. Use protect() on this socket so it not routed over tun0
         4. Send the packet body (excluding the header)
         5. Obtain the response
         6. Add the TCP header to the response and forward it
         */
        final IpDatagram ip = IpDatagram.create(packet);
        ...
    }
}

IpDatagram是一个类，通过它可以将字节数组解析为IP数据包的表示形式，其中包含IP标头、选项和正文。我继续根据协议类型解析正文的字节数组。在本例中，我只对具有TCP负载的IPv4感兴趣，这里我创建了TCP头、选项和主体的表示。

获取IpDatagram实例后，我可以确定源和目标IP（从IP标头）和端口（从TCP标头）。我还确认请求TCP的标志（例如SYN、确认字符和PSH）和序列号。在应用程序中：

随后，我构建了一个新的IpDatagram作为响应，其中：

• 源和目标IP与传入请求相反
• 源端口和目标端口与传入请求相反
• TCP确认号设置为传入请求的序列号
• 提供了一个虚拟HTTP/1.1负载作为TCP的主体

我将生成的IpDatagram转换为字节数组并将其写入VpnServer的输出流：

TcpDatagram tcp = new TcpDatagram(tcpHeader, tcpOptions, tcpBody);
IpDatagram ip = new Ip4Datagram(ipHeader, ipOptions, tcp);
out.write(ip.toBytes());

我的应用程序按原样显示传出数据报，但所有连接仍在超时。

以下是十六进制的传入TCP/IP数据包示例：

4500003c7de04000400605f10a0203044faa5a3bb9240050858bc52b00000000a00239089a570000020405b40402080a00bfb8cb0000000001030306

以及生成的十六进制传出TCP/IP数据包：

450000BB30394000800613194FAA5A3B0A0203040050B92400A00000858BC52B501820001FAB00004854502F312E3120323030204F4B0A446174653A2054752C2C303139204E6F762032303133203132A303320474D540A436F6E74656E742D547970653A20746742F68746D6C0A436E74656E742D64C6656E677683A2031320A457870697265733A20323A203139204E6F7620323031332031323A332333A303320474D540A0A48656C6C6F20776F726C6421

然而，一个简单的测试只是超时；我创建了一个新的套接字并将其连接到上面的IP，但上面提供的响应从未到达。

可能出了什么问题？有什么方法可以解决为什么我的回复没有到达的问题吗？

Answer 1

此TCP/IP响应不包含有效的TCP标头校验和：

450000BB30394000800613194FAA5A3B0A0203040500B92400A00000858BC52B501820001AB000048554502F312E3120323030204F4B0A446174653A2054752C203139204E6F7620331332031323A332333A303320474D540A436E74656E74656E742D6C0436E74656E742D6D6C656E677446E774683A2031320A45787065733A205475A45787065733A205475D6A2C203139204E6F7620323031332031323A332333A303320474D540A0A48656C6C6F20776F726C6421

一般来说，请求和响应机制非常挑剔。当然，这是由于网络的本质，并且由于内核负责确保响应良好以及响应应该发送到哪个端口，任何不计算的内容都将作为坏数据包被丢弃。当您在网络层上操作时，从VPN服务的输出流响应时，这也是正确的。

返回到上面的特定情况：IP数据包正确（包括校验和），但TCP数据包不正确。您不仅需要在TCP数据包上计算TCP报头校验和，还需要以伪报头为前缀，如下所示：

然后应计算以下字节：