]> git.proxmox.com Git - mirror_ubuntu-zesty-kernel.git/commit
netfilter: nf_conntrack: per netns nf_conntrack_cachep
authorEric Dumazet <eric.dumazet@gmail.com>
Mon, 8 Feb 2010 19:16:56 +0000 (11:16 -0800)
committerDavid S. Miller <davem@davemloft.net>
Mon, 8 Feb 2010 19:16:56 +0000 (11:16 -0800)
commit5b3501faa8741d50617ce4191c20061c6ef36cb3
treefd3ac41baea9db5d795144da48cef46aca3e01f6
parent9edd7ca0a3e3999c260642c92fa008892d82ca6e
netfilter: nf_conntrack: per netns nf_conntrack_cachep

nf_conntrack_cachep is currently shared by all netns instances, but
because of SLAB_DESTROY_BY_RCU special semantics, this is wrong.

If we use a shared slab cache, one object can instantly flight between
one hash table (netns ONE) to another one (netns TWO), and concurrent
reader (doing a lookup in netns ONE, 'finding' an object of netns TWO)
can be fooled without notice, because no RCU grace period has to be
observed between object freeing and its reuse.

We dont have this problem with UDP/TCP slab caches because TCP/UDP
hashtables are global to the machine (and each object has a pointer to
its netns).

If we use per netns conntrack hash tables, we also *must* use per netns
conntrack slab caches, to guarantee an object can not escape from one
namespace to another one.

Signed-off-by: Eric Dumazet <eric.dumazet@gmail.com>
[Patrick: added unique slab name allocation]
Cc: stable@kernel.org
Signed-off-by: Patrick McHardy <kaber@trash.net>
include/net/netns/conntrack.h
net/netfilter/nf_conntrack_core.c