활성화된 터널 인터페이스를 사용하도록 DNS 트래픽만 리디렉션하려면 어떻게 해야 합니까?
다른 유형의 트래픽은 커널의 라우팅 테이블을 사용해야 합니다. 터널 인터페이스가 비활성화될 때마다 DNS 트래픽은 커널의 라우팅 테이블을 사용합니다. iptables를 사용하여 이를 달성할 수 있습니까?
참고: 저는 Strongswan 5.9.1을 사용하고 있으므로 Strongswan에서 이 기능을 구성할 수 있는 방법이 있다면 그렇게 하고 싶습니다. 그러나 나는 이 시스템을 경로 기반 전략으로 사용합니다. 또한 현재 Strongswan으로 패킷을 표시하고 있는데 이것이 관련이 있는지 확실하지 않습니다.
상호 작용:
# ip -br a
lo UNKNOWN 127.0.0.1/8 ::1/128
ens3 UP 192.168.0.15/24 fe80::e74:fcff:fe28:cb00/64
ens4 UP 2.2.1.2/30 fe80::e74:fcff:fe28:cb01/64
virbr0 DOWN 192.168.122.1/24
virbr0-nic DOWN
ip_vti0@NONE DOWN
vti01@NONE UNKNOWN 172.21.0.3/32 fe80::200:5efe:202:102/64
노선:
# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.0.1 0.0.0.0 UG 0 0 0 ens3
2.2.0.1 0.0.0.0 255.255.255.255 UH 101 0 0 ens4
2.2.1.0 0.0.0.0 255.255.255.252 U 101 0 0 ens4
3.3.0.0 2.2.0.1 255.255.255.252 UG 101 0 0 ens4
3.3.1.0 2.2.1.1 255.255.255.252 UG 101 0 0 ens4
10.212.134.0 192.168.0.1 255.255.255.0 UG 100 0 0 ens3
172.21.0.0 0.0.0.0 255.255.255.248 U 0 0 0 vti01
192.168.0.0 0.0.0.0 255.255.255.0 U 100 0 0 ens3
192.168.122.0 0.0.0.0 255.255.255.0 U 0 0 0 virbr0
나는 다음 규칙을 사용해 보았습니다.
# iptables -t mangle -A OUTPUT -p udp --dport 53 --out-interface vti01
규칙을 볼 수 있지만 관찰해 보면 동일한 호스트에서 마이닝 요청을 수행할 때 규칙에 패킷이 들어오지 않습니다.
# watch -n1 iptables -t mangle -nvL
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 udp -- * vti01 0.0.0.0/0 0.0.0.0/0 udp dpt:53
내가 무엇을 놓치고 있나요?
답변1
@AB 덕분에 내가 사용한 명령은 다음과 같습니다. (테이블의 ID를 DNS 프로토콜 번호 [53]와 동일하게 만들었습니다.)
ip route add table 53 0.0.0.0/0 dev vti01
ip rule add iif lo ipproto udp dport 53 lookup 53
sysctl -w net.ipv4.conf.vti01.rp_filter=2
상태를 확인하기 위해 다음 명령을 실행합니다.
ip route list table 53
ip rule list | grep 53
내 사용자 정의 _updown 스크립트에서 이를 구현할 수 있었으므로 Strongswan은 터널이 올라가거나 내려갈 때마다 이러한 항목을 구축하고 제거하며 작동합니다.
#!/bin/bash
set -o nounset
set -o errexit
VTI_IF="vti01"
PORT="53"
TABLE="53"
case "${PLUTO_VERB}" in
up-client)
ip tunnel add $VTI_IF local 2.2.1.2 remote 3.3.0.2 mode vti key 41
ip link set $VTI_IF up
ip addr add 172.21.0.3 dev $VTI_IF
ip route add 172.21.0.0/29 dev $VTI_IF
ip route add table $TABLE 0.0.0.0/0 dev $VTI_IF
ip rule add iif lo ipproto udp dport $PORT lookup $TABLE
sysctl -w "net.ipv4.conf.$VTI_IF.rp_filter=2"
sysctl -w "net.ipv4.conf.$VTI_IF.disable_policy=1"
sysctl -w "net.ipv4.conf.$VTI_IF.rp_filter=0"
sysctl -w "net.ipv4.conf.$VTI_IF.forwarding=1"
;;
down-client)
ip rule del iif lo ipproto udp dport $PORT lookup $TABLE
ip route del table $TABLE 0.0.0.0/0 dev $VTI_IF
ip tunnel del $VTI_IF
;;
esac
그런 다음 swanctl.conf 파일에서 스크립트를 호출하면 아래와 같이 연결됩니다. 하위 "updown=" 아래 부분은 스크립트를 호출하는 방법입니다.
connections {
remote-sa {
version = 2
local {
id = 2.2.1.2
}
local_addrs = 2.2.1.2
remote_addrs = 3.3.0.2
proposals = aes256-sha256-ecp384
local {
auth = psk
}
remote {
auth = psk
}
children {
remote-sa-child {
local_ts = 172.21.0.0/29
remote_ts = 0.0.0.0/0
mark_in = 41
mark_out = 41
esp_proposals = aes256-sha256-ecp384
updown = /opt/_updown_vti01 iptables
start_action = start
close_action = start
}
}
}
}