解码IPv4数据

IPv4数据报头由普通IPv4数据报和选项构成，普通IPv4数据头的长度为20字节，选项长度可由字段中的头长与普通IPv4头长(20)相减计算得到。

解码

在链路层数据帧中有相关字段确定了上层协议的类型，而在IPv4数据报的第一个字节的前4位也做了版本标记用于校验，该字节后四位为该数据报IPv4头的长度。数据报IPv4头的长度有普通头长(20)和选项长度组成。在IPv4头中有个服务类型的标志(就是第2个字节)，可用来表示数据报的紧急程度，但是该字段在我国并不解析。
下面是普通IPv4协议的头部分字段的结构体：

typedef struct IPV4Hdr_
{
    uint8_t ip_verhl;     /**< 版本 & 头长(头长=普通首部20 + 选项长度) */
    uint8_t ip_tos;       /**< 服务类型 */
    uint16_t ip_len;      /**< IP 数据报的长度 */
    uint16_t ip_id;       /**< id */
    uint16_t ip_off;      /**< 3位标志 + 13位片偏移 */
    uint8_t ip_ttl;       /**< time to live */
    uint8_t ip_proto;     /**< 上层协议 (tcp, udp, etc) */
    uint16_t ip_csum;     /**< 校验和 */
    union {
        struct {
            struct in_addr ip_src;/**< 源IP地址 */
            struct in_addr ip_dst;/**< 目标IP地址 */
        } ip4_un1;
        uint16_t ip_addrs[4];
    } ip4_hdrun1;
} __attribute__((__packed__)) IPV4Hdr;

转码的实现如下：

/* 做实际的转码 */
if (unlikely(DecodeIPV4Packet (p, pkt, len) < 0)) {
    SCLogDebug("decoding IPv4 packet failed");
    p->ip4h = NULL;
    return TM_ECODE_FAILED;
}

分段的处理

在通讯中如果发送的IP数据报超过MTU值就会将IP包拆分成多个包发送，我们可以通过ip_off自字段的偏移量和该字段的3位标记位中第三位mf(More fragments)标记确定该数据报是否分包，其中mf标记为除最后一个分片包该标记为0其余都为1。

/* 如果是分片，就重组. */
// 检查偏移和mf标记(第一个分片包偏移量为0，除最后一个分片包mf标记为0其余都为1)
if (unlikely(IPV4_GET_IPOFFSET(p) > 0 || IPV4_GET_MF(p) == 1)) {
    Packet *rp = Defrag(tv, dtv, p, pq);
    if (rp != NULL) {
        PacketEnqueue(pq, rp);
    }
    p->flags |= PKT_IS_FRAGMENT;
    return TM_ECODE_OK;
}

这就是专门用来处理IP分片数据包的了。
IPV4_GET_IPOFFSET(p) > 0 是判断p中的偏移是否大于0（除第一个分片包的offset为0外其余的offset都会大于0）。
IPV4_GET_MF(p) == 1 是判断p中的mf标志是否为1 （除最后一个分片包mf为0外其余的mf都为1）。
用逻辑或来判断，保证了只要是分片包就会进入分片处理的逻辑。
处理分段的主要逻辑在Defrag()函数中：

// 返回锁定的跟踪器或NULL
tracker = DefragGetTracker(tv, dtv, p);
if (tracker == NULL)
    return NULL;

Packet *rp = DefragInsertFrag(tv, dtv, tracker, p, pq);
DefragTrackerRelease(tracker);

使用DefragGetTracker()通过调用DefragGetTrackerFromHash()来获取一个追踪器，DefragGetTrackerFromHash()只与Packet有关，通过源IP与目的IP以及Identification和VLAN_ID等计算hash进而得到流是否属于同一IP数据包。

上层协议解码

在DecodeIPV4的最后通过对上层协议字段进行解析，选择数据后面数据解码的函数。

switch (IPV4_GET_IPPROTO(p)) {
    case IPPROTO_TCP:
        DecodeTCP(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
                  IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
        break;
    case IPPROTO_UDP:
        DecodeUDP(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
                  IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
        break;
    case IPPROTO_ICMP:
        DecodeICMPV4(tv, dtv, p, pkt + IPV4_GET_HLEN(p),
                     IPV4_GET_IPLEN(p) - IPV4_GET_HLEN(p), pq);
        break;
    // ......
}