解码IPv4数据
IPv4数据报头由普通IPv4数据报和选项构成，普通IPv4数据头的长度为20字节，选项长度可由字段中的头长与普通IPv4头长(20)相减计算得到。
解码
在链路层数据帧中有相关字段确定了上层协议的类型，而在IPv4数据报的第一个字节的前4位也做了版本标记用于校验，该字节后四位为该数据报IPv4头的长度。数据报IPv4头的长度有普通头长(20)和选项长度组成。在IPv4头中有个服务类型的标志(就是第2个字节)，可用来表示数据报的紧急程度，但是该字段在我国并不解析。
下面是普通IPv4协议的头部分字段的结构体：
typedef struct IPV4Hdr_
{
uint8_t ip_verhl; /**< 版本 & 头长(头长=普通首部20 + 选项长度) */
uint8_t ip_tos; /**< 服务类型 */
uint16_t ip_len; /**< IP 数据报的长度 */
uint16_t ip_id; /**< id */
uint16_t ip_off; /**< 3位标志 + 13位片偏移 */
uint8_t ip_ttl; /**< time to live */
uint8_t ip_proto; /**< 上层协议 (tcp, udp, etc) */
uint16_t ip_csum; /**< 校验和 */
union {
struct {
struct in_addr ip_src;/**< 源IP地址 */
struct in_addr ip_dst;/**< 目标IP地址 */
} ip4_un1;
uint16_t ip_addrs[4];
} ip4_hdrun1;
} __attribute__((__packed__)) IPV4Hdr;
转码的实现如下：
/* 做实际的转码 */
if (unlikely(DecodeIPV4Packet (p, pkt, len) < 0)) {
SCLogDebug("decoding IPv4 packet failed");
p->ip4h = NULL;
return TM_ECODE_FAILED;
}
分段的处理
在通讯中如果发送的IP数据报超过MTU值就会将IP包拆分成多个包发送，我们可以通过ip_off自字段的偏移量和该字段的3位标记位中第三位mf(More fragments)标记确定该数据报是否分包，其中mf标记为除最后一个分片包该标记为0其余都为1。
/* 如果是分片，就重组. */
// 检查偏移和mf标记(第一个分片包偏移量为0，除最后一个分片包mf标记为0其余都为1)
if (unlikely(IPV4_GET_IPOFFSET(p) > 0 || IPV4_GET_MF(p) == 1)) {
Packet *rp = Defrag(tv, dtv, p, pq);
if (rp != NULL) {
PacketEnqueue(pq, rp);
}
p->flags |= PKT_IS_FRAGMENT;
return TM_ECODE_OK;
}
这就是专门用来处理IP分片数据包的了。
IPV4_GET_IPOFFSET(p) > 0 是判断p中的偏移是否大于0（除第一个分片包的offset为0外其余的offset都会大于0）。
IPV4_GET_MF(p) == 1 是判断p中的mf标志是否为1 （除最后一个分片包mf为0外其余的mf都为1）。
用逻辑或来判断，保证了只要是分片包就会进入分片处理的逻辑。
处理分段的主要逻辑在Defrag()函数中：
// 返回锁定的跟踪器或NULL
tracker = DefragGetTracker(tv, dtv, p);
if (tracker == NULL)
return NULL;
Packet *rp = DefragInsertFrag(tv, dtv, tracker, p, pq);
DefragTrackerRelease(tracker);
使用DefragGetTracker()通过调用DefragGetTrackerFromHash()来获取一个追踪器，DefragGetTrackerFromHash()只与Packet有关，通过源IP与目的IP以及Identification和VLAN_ID等计算hash进而得到流是否属于同一IP数据包。
上层协议解码
在DecodeIPV4的最后通过对上层协议字段进行解析，选择数据后面数据解码的函数。
switch (IPV4_GET_IPPROTO(p)) {
case IPPROTO_TCP:
DecodeTCP(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
break;
case IPPROTO_UDP:
DecodeUDP(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
break;
case IPPROTO_ICMP:
DecodeICMPV4(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
break;
// ......
}
