nftables: 세그먼트 간 중복된 브로드캐스트 패킷

nftables를 여전히 사용할 수 있습니다.웹 개발자가족(대신아이피가족) 이 경우에만입구필수(nftables에는 아직출구쓸 수 있는). dup조화 fwd로운 행동입구와 연결하다TC 거울' mirror모래 redirect.

또한 작은 세부 사항에 대해서도 논의했습니다. 이더넷 소스 주소를 새로운 이더넷 발신 인터페이스의 MAC 주소로 다시 쓰는 것입니다. 마치 실제로 라우팅된 패킷을 사용하는 것처럼 패킷 없이도 작동합니다. 따라서 인터페이스의 MAC 주소를 미리 알고 있어야 합니다. 나는 필요한 두 개를 넣었습니다 (이더넷 0'모래이더넷 1's)의 변수/매크로 정의를 올바른 값으로 편집해야 합니다.

define eth0mac = 02:0a:00:00:00:01
define eth1mac = 02:0b:00:00:00:01

table netdev statelessnat
delete table netdev statelessnat

table netdev statelessnat {
    chain b { type filter hook ingress device eth1 priority 0;
        pkttype broadcast ether type ip ip daddr 192.168.1.255 udp dport 21027 jump b-to-a
        
    }

    chain c { type filter hook ingress device eth2 priority 0;
        pkttype broadcast ether type ip ip daddr 192.168.2.255 udp dport 21027 counter jump c-to-b-a
    }

    chain b-to-a {
        ether saddr set $eth0mac ip daddr set 192.168.0.255 fwd to eth0
    }

    chain c-to-b-a {
        ether saddr set $eth1mac ip daddr set 192.168.1.255 dup to eth1 goto b-to-a
    }
}

편집: 나중에 이 질문을 찾는 사람을 위해 AB가 허용하는 답변은 순수한 nft 솔루션을 제공합니다.

AB의 제안 덕분에 이제 이는 순수한 nftables 규칙 대신 tc를 사용하여 작동합니다.

tc qdisc add dev eth2 ingress
tc filter add dev eth2 ingress \
    protocol ip u32 \
    match ip dst 192.168.2.255 \
    match ip protocol 17 0xff \
    match ip dport 21027 0xffff \
    action nat ingress 192.168.2.255/32 192.168.0.255 \
    pipe action mirred egress mirror dev eth0 \
    pipe action nat ingress 192.168.0.255/32 192.168.1.255 \
    pipe action mirred egress redirect dev eth1

tc qdisc add dev eth1 ingress
tc filter add dev eth1 ingress \
    protocol ip u32 \
    match ip dst 192.168.1.255 \
    match ip protocol 17 0xff \
    match ip dport 21027 0xffff \
    action nat ingress 192.168.1.255/32 192.168.0.255 \
    pipe action mirred egress redirect dev eth0

이러한 필터에 대한 제가 이해한 바는 UDP 포트 21027에 대해 들어오는 브로드캐스트 패킷을 일치시키고 이를 예상되는 다른 모든 서브넷의 브로드캐스트 주소로 NAT한 다음( 변경될 ingress소스 IP가 아닌 대상 IP 변경 nat egress) 복사/리디렉션이 NATed 전송을 보낸다는 것입니다. 패킷을 다른 인터페이스의 출력 대기열로 보냅니다.

tc를 처음 사용하는 경우 이것이 문제를 해결하는 가장 좋은 방법은 아닐 수 있지만 공지 브로드캐스트가 세그먼트 전체에 전파될 수 있습니다(Syncthing은 새로운 노드를 발견하게 되어 기쁘게 생각합니다).