임의의 TCP 응답 패킷에 fwmark 반영을 강제로 적용할 수 있습니까?

Question

내 의견에 따르면 이것이 예상대로 작동하는 솔루션이라고 생각합니다. 예제와 순서가 반대라는 점에 유의하세요.넷필터 코맥그러나 나가는 패킷이 아닌 들어오는 패킷을 기준으로 결정이 내려지므로 이것이 올바른 순서입니다. 따라서 이전 두 개의 MARK 규칙을 삭제하고(여기에 다시 넣었습니다) 다음으로 바꿉니다.

# iptables -t mangle -A INPUT -i ens3 -j MARK --set-mark 1
# iptables -t mangle -A INPUT -i ens4 -j MARK --set-mark 2    
# iptables -t mangle -A INPUT -j CONNMARK --save-mark

# iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark

대칭성과 명확성을 위해 INPUT(PREROUTING 이후에 호출되지만 로컬 스트림에만 해당)을 사용합니다. 이는 전달이 아닌 로컬 연결용입니다. INPUT 대신 PREROUTING을 사용하면(OUTPUT은 유지) 동일한 결과를 얻을 수 있습니다.

이는 모든 흐름을 추적하는 conntrack을 사용하여 태그를 기억하고 이를 로컬로 생성된 나가는 패킷에 다시 넣습니다. 왜냐하면 conntrack은 태그가 동일한 흐름의 일부임을 알고 있기 때문입니다.

맹글 테이블에서 OUTPUT 규칙을 사용하면 경로 재지정 검사가 시작됩니다(이 내용 참조).Linux 라우팅 및 netfilter 회로도), 이것이 표시에 따라 추적을 라우팅하는 데 필요한 것입니다.

다른 규칙을 사용하거나 -t mangle서버도 전달하는 경우 규칙을 변경해야 합니다. 그럼에도 불구하고 아마도 INPUT에서는 마지막에 있어야 하고 OUTPUT에서는 첫 번째여야 --save-mark합니다 .--restore-mark

이 플래그는 사용자가 아닌 응답 패킷(예: TCP RST)에도 설정되므로 fwmark_reflect더 이상 필요하지 않거나 간섭할 수 있으므로 테스트해야 합니다.

Answer 1

내 의견에 따르면 이것이 예상대로 작동하는 솔루션이라고 생각합니다. 예제와 순서가 반대라는 점에 유의하세요.넷필터 코맥그러나 나가는 패킷이 아닌 들어오는 패킷을 기준으로 결정이 내려지므로 이것이 올바른 순서입니다. 따라서 이전 두 개의 MARK 규칙을 삭제하고(여기에 다시 넣었습니다) 다음으로 바꿉니다.

# iptables -t mangle -A INPUT -i ens3 -j MARK --set-mark 1
# iptables -t mangle -A INPUT -i ens4 -j MARK --set-mark 2    
# iptables -t mangle -A INPUT -j CONNMARK --save-mark

# iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark