IP 전달 활성화 시 라우팅 문제

Question 1

현재 설정의 영향과 결과를 요약하려면 다음을 수행하세요.

귀하의 시스템고객 1표준 구성에서는 192.168.2.0/24에 대한 특정 정보를 알 수 없습니다. 이것은 실제로라우터 1192.168.2.0/24에 대한 특정 경로는 다음과 같이 정의됩니다.라우터 3. 그렇게 할 때고객 1192.168.2.20에 액세스하려고 시도하면 라우팅 테이블을 살펴보지만 구체적인 내용은 찾지 못하고 기본 경로를 사용합니다.라우터 1.라우터 1자신의 경로가 동일한 LAN에 있음을 감지하여 라우팅 대신에 알려줍니다.고객 1,사용하여ICMP 리디렉션, 사용라우터 3(192.168.1.10 게이트웨이 IP) 직접.고객 1기본적으로 단순 호스트로서 ICMP 리디렉션 메시지를 수락하고 현재 대상 192.168.2.20에 대한 경로를 변경하여 192.168.1.1 대신 192.168.1.10을 통과합니다.

왜냐하면 귀하의 시스템고객 1이제 10.0.0.0/24의 노드와 192.168.1.0/24의 노드 사이에서 라우터 역할을 하므로 라우터로도 설정해야 합니다(예: 다음을 사용하여).net.ipv4.ip_forward=1).

문제는 사이의 기본 상호 작용입니다IP 포워딩그리고리디렉션 수락:

accept_redirects - BOOLEAN
  Accept Redirects.

  Functional default: enabled if local forwarding is disabled.
              disabled if local forwarding is enabled.

이제 이것이 현재 문제입니다. 전달이 활성화되었으므로 리디렉션 허용이 비활성화됩니다. 따라서 ICMP 리디렉션을 무시하고 더 이상 192.168.1.10을 사용하지 않습니다. 이를 방지하는 방법에는 두 가지가 있습니다.

하고 싶지 않은 일(하지만 어쨌든 먼저 제안하고 싶습니다): 왜냐면고객 1어쨌든 이제 특정 구성이 있는 라우터(VPN...)에서 특정 구성을 완료합니다. 192.168.2.0/24에 올바른 특정 경로를 추가합니다.
```
# ip route add 192.168.2.0/24 via 192.168.1.10
```
만약에고객 1다음과 같이 구성됨위 아래라면, 올바른 내용을 추가할 수 있습니다.상호 작용다음 추가 줄이 있는 섹션:
```
    up ip route add 192.168.2.0/24 via 192.168.1.10
```
다른 방법의 경우 동등한 방법을 검색하십시오(예: GUI 애플릿을 사용하여 NetworkManager를 구성할 수도 있음).

이제 라우터 역할을 하는 시스템은 리디렉션이 필요하지 않고 리디렉션 수신을 트리거하지 않기 때문에 자유롭게 ICMP 리디렉션을 무시할 수 있습니다.
또는 전달 중에도 ICMP 리디렉션이 무시되지 않도록 특정 인터페이스의 특정 동작을 조정할 수 있습니다.

이것인터페이스 특정변형 세부 설명은 추가 옵션을 제공합니다.
```
accept_redirects - BOOLEAN
  Accept ICMP redirect messages.
  accept_redirects for the interface will be enabled if:
  - both conf/{all,interface}/accept_redirects are TRUE in the case
    forwarding for the interface is enabled
  or
  - at least one of conf/{all,interface}/accept_redirects is TRUE in the
    case forwarding for the interface is disabled
  accept_redirects for the interface will be disabled otherwise
  default TRUE (host)
      FALSE (router)
```
기본 설정net.ipv4.ip_forward=1설정에 부작용이 있을 수 있음net.ipv4.conf.all.accept_redirects=0(그리고 다시 설정ip_forward=0다시 재설정됩니다net.ipv4.conf.all.accept_redirects=1! ) 첫 번째 인용문에 언급된 바와 같습니다. 이제 다음과 같이 표시됩니다.
```
# sysctl net.ipv4.conf.all.accept_redirects net.ipv4.conf.default.accept_redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 1
```
따라서 모든 인터페이스는 상속됩니다.기본값은 1이지만 전역적으로 전환됩니다.모두(이 특정 설정의 경우 인터페이스 값이 적용되지 않습니다.) 설정되지 않았습니다. 이 값을 거의 뒤집어야 합니다.모두1로,기본연결된 인터페이스를 제외한 모든 인터페이스에 대해 0입니다.서브넷 1(라고 가정하면이더넷 0)도 1로 설정됩니다. ICMP 리디렉션은 보안상의 이유로 또는 잘못 구성된 여러 라우터 간의 루프 트리거를 방지하기 위해 종종 무시되므로 필요하지 않은 경우 무시하는 것이 가장 좋습니다. 어쨌든 여기서는 필요한 것만 활성화하고 아무것도 비활성화하지 않을 것입니다(주로 다른 인터페이스 이름을 모르기 때문에). 자유롭게 그렇게 하십시오. 인터페이스에 대해 다시 생각해보세요서브넷 1~라고 불리는이더넷 0:
```
# sysctl -w net.ipv4.conf.all.accept_redirects=1 # must be done AFTER net.ipv4.ip_forward=1
# sysctl -w net.ipv4.conf.eth0.accept_redirects=1 # which should be already set
```
시작 시 구성할 수 있습니다.sysctl.d설정뒤쪽에이전 설정.

이제 왜 핑이 계속 작동하고 연결이 실패하기 전에 작동하기 시작하는지 정말 모르겠습니다.

두 경우 모두 참고: 10.0.0.0/24의 시스템은 이제 192.168.2.0/24에 부분적으로 액세스할 수 있습니다(아마도 자체 VPN 구성을 조정하여). 그 이유 중 하나는 10.0.0.0/24로 돌아가는 경로를 아는 사람이 아무도 없기 때문입니다.고객 1NAT를 수행 중입니다. 안전 효과를 반드시 고려하십시오. 방화벽 설정을 추가해야 할 수도 있습니다(예:iptables) 라우팅을 비활성화합니다.

Answer

현재 설정의 영향과 결과를 요약하려면 다음을 수행하세요.