WFPドライバーのコールアウトで「パケットを送出するNIC」を変更したい

Question

WFPドライバーのコールアウトで「パケットを送出するNIC」を変更したい

Jay Robinson 20

■概要と経緯

私はWFPドライバーを開発しています。

WFPドライバーのコールアウトで「パケットを送出するNIC」を変更したいです。

色々と調査や実験を行った結果「TCPパケット」については下記の方法で実現できました。

・FWPS_LAYER_ALE_CONNECT_REDIRECT_V4/V6レイヤーでパケットをフック

・フックの際writableLayerDataとして存在しているFWPS_CONNECT_REQUEST0構造体の「localAddressAndPort」を書き換える

・書き換え内容は、パケットのSrcIP（IN_ADDR構造体）を、パケット送出させたいNICのIPアドレスに変更するというもの

■本題

しかし「UDPパケット」と「ICMP」については上記の方法では実現できませんでした。

おそらくTCPと違い、パケットの送信に「connect()」3WHS の手順が存在しないからではないかと私どもは思いました。

別のWFPのレイヤーでもよいので「UDP」「ICMP」もパケット送出するNICを変更するにはどうすればよいかご教示いただきたいです。

■調査状況

・FWPS_LAYER_OUTBOUND_TRANSPORT_V4/V6レイヤーでパケットをフックし、オリジナルのパケットを破棄した上で、

　SrcIPを物理NICのIPに書き換えた複製パケットを「再注入」すれば、「UDP」「ICMP」パケットも、

　VPNトンネルへ流さないことが出来るのではないか、との仮説のもとWFPドライバーを実装しているが、

　サンプルコード等の参考となる情報が見つからず、未だ成功には至っていない状況

gekka 14,551 評価のポイント MVP ボランティアモデレーター

2025-07-09T08:43:35.82+00:00

FWPM_LAYER_ALE_CONNECT_REDIRECT_V4/V6よりも前に発生するFWPM_LAYER_ALE_BIND_REDIRECT_V4/6のFWPS_BIND_REQUEST->localAddressAndPortでローカルアドレス変更できそうですが、そちらは試されているでしょうか

UDP パケットフロー

クライアント (送信者) がアクティブなオープンを実行する

bind: FWPM_LAYER_ALE_BIND_REDIRECT_V4 (Windows 7/ Windows Server 2008 R2 のみ)
bind: FWPM_LAYER_ALE_RESOURCE_ASSIGNMENT_V4
sendto: FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 (Windows 7/ Windows Server 2008 R2 のみ)
sendto: FWPM_LAYER_ALE_AUTH_CONNECT_V4
FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4
data: FWPM_LAYER_DATAGRAM_DATA_V4
UDP メッセージ: FWPM_LAYER_OUTBOUND_TRANSPORT_V4
IP データグラム: FWPM_LAYER_OUTBOUND_IPPACKET_V4

フィルタリングレイヤー識別子

FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 / FWPM_LAYER_ALE_CONNECT_REDIRECT_V6

This filtering layer allows for the modification of the remote address and/or port of an outgoing TCP connection, as well as for non-TCP traffic based on the first packet sent.
このフィルタリングレイヤーは、送信された最初のパケットに基づいて、TCPコネクションのリモートアドレスやポートを変更したり、TCP以外のトラフィックを変更したりすることができる。

FWPM_LAYER_ALE_BIND_REDIRECT_V4 / FWPM_LAYER_ALE_BIND_REDIRECT_V6

This filtering layer allows for the modification of the local address and/or port during the bind operation on a TCP or UDP socket.
このフィルタリングレイヤーは、TCPまたはUDPソケットのバインド操作中に、ローカルアドレスやポートの変更を許可する。
Jay Robinson 20 評価のポイント

2025-07-10T00:52:19.7766667+00:00
gekka様

■回答

ご回答ありがとうございます。

ご提案頂いたFWPM_LAYER_ALE_BIND_REDIRECT_V4/6レイヤーについてですが、私たちも以前検討はしました。しかし、このレイヤーでは、

・通信を行うアプリケーションは何か（~~~.exe）

という情報は参照できるものの、

・DstIP ・DstPort ・SrcPort

という情報は参照できませんでした（この段階ではまだ 0 になっている）

私どもは分類関数にて「DstIP」「DstPort」などを条件に、「UDP」「ICMP」パケットの送出NICを、変更する or 変更しないを分岐させたいので、FWPM_LAYER_ALE_BIND_REDIRECT_V4/6レイヤーは使えませんでした。。。。

FWPM_LAYER_OUTBOUND_TRANSPORT_V4/V6レイヤーならば「DstIP」「DstPort」なども参照できることは確認しました。下記の関数などを使って目的は実現できますでしょうか？

・FwpsAllocateCloneNetBufferList ... NET_BUFFER_LISTのコピー・FwpsConstructIpHeaderForTransportPacket ... IPヘッダの作成・FwpsInjectTransportSendAsync ... パケットの注入

■調査状況2

FWPM_LAYER_OUTBOUND_IPPACKET_V4/V6レイヤーについても調査しました。このレイヤーの方がSrcIPの書き換えに向いているのではないかと思ったからです。

しかし、このレイヤーでは「IP」の情報は参照できるものの、「Port」の情報は参照できませんでした。（TCP / UDP / ICMP といったプロトコルも参照できませんでした）

質問作成者が受け入れた回答

0 件の追加の回答

お客様の回答

gekka 14,551 評価のポイント MVP ボランティアモデレーター

2025-07-09T08:43:35.82+00:00

FWPM_LAYER_ALE_CONNECT_REDIRECT_V4/V6よりも前に発生するFWPM_LAYER_ALE_BIND_REDIRECT_V4/6のFWPS_BIND_REQUEST->localAddressAndPortでローカルアドレス変更できそうですが、そちらは試されているでしょうか

UDP パケットフロー

クライアント (送信者) がアクティブなオープンを実行する

bind: FWPM_LAYER_ALE_BIND_REDIRECT_V4 (Windows 7/ Windows Server 2008 R2 のみ)
bind: FWPM_LAYER_ALE_RESOURCE_ASSIGNMENT_V4
sendto: FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 (Windows 7/ Windows Server 2008 R2 のみ)
sendto: FWPM_LAYER_ALE_AUTH_CONNECT_V4
FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4
data: FWPM_LAYER_DATAGRAM_DATA_V4
UDP メッセージ: FWPM_LAYER_OUTBOUND_TRANSPORT_V4
IP データグラム: FWPM_LAYER_OUTBOUND_IPPACKET_V4

フィルタリングレイヤー識別子

FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 / FWPM_LAYER_ALE_CONNECT_REDIRECT_V6

This filtering layer allows for the modification of the remote address and/or port of an outgoing TCP connection, as well as for non-TCP traffic based on the first packet sent.
このフィルタリングレイヤーは、送信された最初のパケットに基づいて、TCPコネクションのリモートアドレスやポートを変更したり、TCP以外のトラフィックを変更したりすることができる。

FWPM_LAYER_ALE_BIND_REDIRECT_V4 / FWPM_LAYER_ALE_BIND_REDIRECT_V6

This filtering layer allows for the modification of the local address and/or port during the bind operation on a TCP or UDP socket.
このフィルタリングレイヤーは、TCPまたはUDPソケットのバインド操作中に、ローカルアドレスやポートの変更を許可する。
Jay Robinson 20 評価のポイント

2025-07-10T00:52:19.7766667+00:00

gekka様

■回答

ご回答ありがとうございます。

ご提案頂いたFWPM_LAYER_ALE_BIND_REDIRECT_V4/6レイヤーについてですが、私たちも以前検討はしました。しかし、このレイヤーでは、

・通信を行うアプリケーションは何か（~~~.exe）

という情報は参照できるものの、

・DstIP ・DstPort ・SrcPort

という情報は参照できませんでした（この段階ではまだ 0 になっている）

私どもは分類関数にて「DstIP」「DstPort」などを条件に、「UDP」「ICMP」パケットの送出NICを、変更する or 変更しないを分岐させたいので、FWPM_LAYER_ALE_BIND_REDIRECT_V4/6レイヤーは使えませんでした。。。。

FWPM_LAYER_OUTBOUND_TRANSPORT_V4/V6レイヤーならば「DstIP」「DstPort」なども参照できることは確認しました。下記の関数などを使って目的は実現できますでしょうか？

・FwpsAllocateCloneNetBufferList ... NET_BUFFER_LISTのコピー・FwpsConstructIpHeaderForTransportPacket ... IPヘッダの作成・FwpsInjectTransportSendAsync ... パケットの注入

■調査状況2

FWPM_LAYER_OUTBOUND_IPPACKET_V4/V6レイヤーについても調査しました。このレイヤーの方がSrcIPの書き換えに向いているのではないかと思ったからです。

しかし、このレイヤーでは「IP」の情報は参照できるものの、「Port」の情報は参照できませんでした。（TCP / UDP / ICMP といったプロトコルも参照できませんでした）

Answer 1

たとえば、ネットワークインターフェースが 169.254.121.246と169.254.238.193 の 2個あるとして

>ipconfig

Windows IP 構成

イーサネット アダプター イーサネット:

   接続固有の DNS サフィックス . . . . .:
   リンクローカル IPv6 アドレス. . . . .: fe80::a4db:20d0:acdb:6b06%14
   自動構成 IPv4 アドレス. . . . . . . .: 169.254.238.193
   サブネット マスク . . . . . . . . . .: 255.255.0.0
   デフォルト ゲートウェイ . . . . . . .:

イーサネット アダプター イーサネット 2:

   接続固有の DNS サフィックス . . . . .:
   リンクローカル IPv6 アドレス. . . . .: fe80::e876:ee45:c89e:9640%11
   自動構成 IPv4 アドレス. . . . . . . .: 169.254.121.246
   サブネット マスク . . . . . . . . . .: 255.255.0.0
   デフォルト ゲートウェイ . . . . . . .:

>arp -a

インターフェイス: 169.254.121.246 --- 0xb
  インターネット アドレス 物理アドレス           種類
  169.254.213.207       00-15-5d-01-b8-1a     動的
 
インターフェイス: 169.254.238.193 --- 0xe
  インターネット アドレス 物理アドレス           種類
  169.254.5.248         00-15-5d-01-b8-18     動的

以下のようなUDP送信があるとする。

UDP送信元
  宛先アドレス: 169.254.213.207
  宛先ポート  : 20090

そうすると、通常はARPのテーブルに宛先があるので到達可能として、169.254.121.246のインターフェースが選択されて送信される。

ここで、WDKのサンプルの一つであるWFPSamplerを使って、宛先を変更してやる。

wfpsampler -s BASIC_PACKET_MODIFICATION -l FWPM_LAYER_OUTBOUND_TRANSPORT_V4 -ipp UDP -iprp 20090 -mtdp 20090 -mida 169.254.5.248

そうすると、新しいアドレスに対応するインターフェースに切り替わって送信されました。

つぎに、

UDP送信元
  バインド    : 169.254.238.193 # バインドして強制
  宛先アドレス: 169.254.213.207
  宛先ポート  : 20090

のようにARPでは選ばれないインターフェースになるようにバインドしてやると、ARPが解決できなくてUDPの送信はされずに失敗します。

これの宛先IPアドレスを、バインドしているインターフェースからARPで解決されるインターフェース側にある宛先IPアドレスになるようにWFPで変更してやる

wfpsampler -s BASIC_PACKET_MODIFICATION -l FWPM_LAYER_OUTBOUND_TRANSPORT_V4 -ipp UDP -iprp 20090 -mtdp 20090 -mida 169.254.5.248

そうするとバインドされているインターフェースではなく変更されたインターフェースから送信されるようになりました。

つぎに、WIPパケットの送信元IPアドレスを別のインターフェースへ、さらにMACアドレスも変更先のインターフェースのにWFPで変更してみます。

wfpsampler -s BASIC_PACKET_MODIFICATION -l FWPM_LAYER_OUTBOUND_IPPACKET_V4 -ipp UDP -iprp 20090 -misa 169.254.238.193 -mmsa 00-15-5D-01-B8-18

ここまでやるとインターフェースが変更されたらしく変更先のインターフェース(169.254.238.193)にARPの問い合わせが発生しました。 ARP解決までできなかったので結局はUDPパケットは送信できてませんが。

結論としては、WFPSamplerのKrnlHlprIPHeaderModifySourceAddressやあたりを参考にして書き換えればインターフェースを変更して送信要求できそうだけど、ARPの宛先解決をできなければ送信まではできないのかも。

# これ以上の調査は大変すぎるのでおしまいです

追記:202507140830 最後に宛先が無くても送信できるマルチキャスト(224.0.0.0)でUDPを送信させた状態で上記の書き換えを行います。

wfpsampler -s BASIC_PACKET_MODIFICATION -l FWPM_LAYER_OUTBOUND_IPPACKET_V4 -ipp UDP -iprp 20090 -misa 169.254.238.193 -mmsa 00-15-5D-01-B8-18

このような宛先解決が必要でなければインターフェースを切り替えてUDPパケットが送信できました追記:202507151220

文章のおかしかった箇所を修正

Jay Robinson 20 評価のポイント

2025-07-15T02:28:27.42+00:00

gekka様

WFPSamplerでの実験までしていただき誠にありがとうございます!!

IPアドレスにのみ注目していて、ARP解決やMACアドレスのことまでは考えていませんでした。なるほど。

WFPSamplerのKrnlHlprIPHeaderModifySourceAddressを参考に、良い解決方法を探してみようと思います。

本当にありがとうございました。
gekka 14,551 評価のポイント MVP ボランティアモデレーター

2025-07-15T03:34:49.2866667+00:00

FWPM_LAYER_OUTBOUND_IPPACKET_V4/V6でプロトコルや宛先ポートが参照できないという件は、KrnlHlprIPHeaderModifySourceAddressにて、

status = KrnlHlprIPHeaderGet(pNetBufferList, &pIPHeader, &needToFree); HLPR_BAIL_ON_FAILURE(status); switch (pValue->type) { case FWP_UINT32: { IP_HEADER_V4* pIPv4Header = (IP_HEADER_V4*)pIPHeader; UINT32 sourceAddress = convertByteOrder ? htonl(pValue->uint32) : pValue->uint32; //IPヘッダのプロトコル番号で判定 if (pIPv4Header->protocol == 17) {//UDP BYTE* pData = 0; BOOLEAN needToFree2 = FALSE; NET_BUFFER_LIST* pNetBufferListUDP = pNetBufferList; //UDPとしてIPパケットのバイナリを取得できるかも status = KrnlHlprUDPHeaderGet(pNetBufferListUDP, (VOID**)&pData, &needToFree2); if (status == STATUS_SUCCESS) { //UDPヘッダ内にある送信元/宛先ポートを調べる UDP_HEADER* pUDPHeader = (UDP_HEADER*)(pData + sizeof(IP_HEADER_V4)); UINT16 portSrc = ntohs(pUDPHeader->sourcePort); UINT16 portDst = ntohs(pUDPHeader->destinationPort);

のようにバッファからバイナリをとって解析すると取得できました。(ただしやりかたが悪いのかブルースクリーンになった)