it-swarm-pt.tech

Responder na mesma interface que a entrada?

Eu tenho um sistema com duas interfaces. Ambas as interfaces estão conectadas à Internet. Um deles é definido como a rota padrão; um efeito colateral disso é que, se um pacote chegar na interface de rota não padrão, a resposta será enviada de volta através da interface de rota padrão. Existe uma maneira de usar o iptables (ou algo mais) para rastrear a conexão e enviar a resposta de volta pela interface de origem?

linuxiptablesrouting
54
Shawn J. Goff
echo 200 isp2 >> /etc/iproute2/rt_tables
ip rule add from <interface_IP> dev <interface> table isp2
ip route add default via <gateway_IP> dev <interface> table isp2

O acima exposto não requer nenhuma marcação de pacote com o ipfilter. Funciona porque os pacotes de saída (resposta) terão o endereço IP que foi originalmente usado para conectar-se à 2ª interface como o endereço de origem (no) no pacote de saída.

64
Peter

Os comandos a seguir criam uma tabela de roteamento alternativa via eth1 para pacotes com a marca 1 (exceto pacotes para o host local). O comando ip é do conjunto iproute2 (Ubuntu: iprouteInstale o iproute http://bit.ly/software-small =, iproute-docInstale o iproute-doc http://bit.ly/software-small ).

ip rule add fwmark 1 table 1
ip route add 127.0.0.0/0 table 1 dev lo
ip route add 0.0.0.0/0 table 1 dev eth1

A outra metade do trabalho é reconhecer pacotes que devem receber a marca 1; então use iptables -t mangle -A OUTPUT … -j MARK --set-mark 1 nesses pacotes para que sejam roteados pela tabela de roteamento 1. Acho que o seguinte deve ser feito (substitua 1.2.3.4 pelo endereço da interface de rota não padrão):

iptables -t mangle -A OUTPUT -m conntrack --ctorigdst 1.2.3.4 -j MARK --set-mark 1

Não tenho certeza se isso é suficiente, talvez outra regra seja necessária nos pacotes recebidos para dizer ao módulo conntrack para rastreá-los.

6
Gilles 'SO- stop being evil'

Eu tive problemas com os pacotes gerados localmente com a solução sugerida por Peter. Descobri que o seguinte corrige isso:

echo 200 isp2 >> /etc/iproute2/rt_tables
ip rule add from <interface_IP> table isp2 priority 900
ip rule add from dev <interface> table isp2 priority 1000
ip route add default via <gateway_IP> dev <interface> table isp2
ip route add <interface_prefix> dev <interface> proto static scope link src <interface_IP> table isp2

NOTA: Você pode ter problemas de sintaxe com a quarta linha acima. Nesses casos, a sintaxe do 4º comando pode ser agora:

ip rule add iif <interface> table isp2 priority 1000
5
Héctor Sánchez

Suponho que você esteja executando o Linux e, além disso, que esteja utilizando uma distribuição baseada no RedHat/CentOS. Outras Unix e distribuições exigirão etapas semelhantes - mas os detalhes serão diferentes.

Comece testando (observe que isso é muito semelhante à resposta de @ Peter. Estou assumindo o seguinte:

  • eno0 é isp0 e possui o gateway padrão geral
  • eno1 é isp1 e possui o intervalo IP/192.168.1.2/24 com gateway 192.168.1.1

Os comandos são os seguintes:

$ echo 200 isp1 >> /etc/iproute2/rt_tables
$ ip rule add from eno1 table isp1
$ ip route add default via 192.168.1.1 dev eno1 table isp1

O firewall não está envolvido de forma alguma. Os pacotes de resposta sempre eram enviados do IP correto - mas anteriormente eram enviados pela interface errada. Agora, esses pacotes do IP correto serão enviados pela interface correta.

Supondo que o procedimento acima funcionou, agora você pode tornar a regra e as alterações de rota permanentes. Isso depende de qual versão do Unix você está usando. Como antes, estou assumindo uma distribuição Linux baseada em RH/CentOS.

$ echo "from eno1 table isp1" > /etc/sysconfig/network-scripts/rule-eno1
$ echo "default via 192.168.1.1 dev eno1 table isp1" > /etc/sysconfig/network-scripts/route-eno1

Teste se a alteração de rede é permanente:

$ ifdown eno1 ; ifup eno1

Se isso não funcionou, nas versões posteriores do RH/CentOS você também precisa seguir uma das duas opções:

  • Não use o padrão NetworkManager.service; Use network.service em vez disso. Eu não explorei as etapas exatas necessárias para isso. Eu imagino que envolve os comandos chkconfig ou systemctl padrão para ativar/desativar serviços.
  • Instale o pacote NetworkManager-dispatcher-routing-rules

Pessoalmente, prefiro instalar o pacote de regras, pois é a abordagem mais simples e com suporte:

$ yum install NetworkManager-dispatcher-routing-rules

Outra forte recomendação é habilitar a filtragem arp, pois isso evita outros problemas relacionados às configurações de rede dupla. Com o RH/CentOS, adicione o seguinte conteúdo ao arquivo /etc/sysctl.conf:

net.ipv4.conf.default.arp_filter=1
net.ipv4.conf.all.arp_filter=1
3
zaTricky