여러 업링크/공급업체에 대한 라우팅

Question 1

내 구성은 약간 더 복잡하며 시스템의 NAT 및 동적(내부) 라우팅도 포함합니다.

여러 부분이 있습니다. 규칙부터 시작해 보겠습니다.

Maginot:~# ip rule ls
0:      from all lookup local 
1000:   from all lookup main 
1500:   from 173.167.51.136/29 lookup comcast 
1501:   from 76.160.165.106/29 lookup cavtel 
1502:   from 151.200.251.90/31 lookup vzdsl 
1502:   from 151.200.251.92/31 lookup vzdsl 
1502:   from 151.200.251.94 lookup vzdsl 
2000:   from all fwmark 0x1 lookup comcast 
2001:   from all fwmark 0x2 lookup cavtel 
2002:   from all fwmark 0x3 lookup vzdsl 
2500:   from all lookup comcast 
2501:   from all lookup cavtel 
2502:   from all lookup vzdsl 
32767:  from all lookup default

(이 테이블의 이름은 에 있습니다 /etc/iproute2/rt_tables.)

보시다시피 현재 우리는 3개의 ISP를 보유하고 있으며 각 ISP에는 여러 개의 고정 IP 주소가 있습니다. 규칙 1500-1502는 이러한 소스 IP 주소에서 적절한 인터페이스로 트래픽을 보냅니다. 규칙 2000-2002는 지정된 방화벽 태그(이에 대해서는 설명하겠습니다)가 포함된 트래픽을 적절한 인터페이스로 보냅니다. 규칙 2500-2502는 아직 ISP에 할당되지 않은 트래픽에 대해 ISP의 우선순위를 부여합니다. 그 중 하나가 실패하면 해당 규칙을 삭제하고 목록의 다음 규칙을 사용할 수 있습니다.

각 라우팅 테이블은 매우 간단합니다.

Maginot:~# ip route ls table comcast
default via 173.167.51.142 dev comcast

(로컬과 메인에는 더 많은 콘텐츠가 있지만 각각 직접 연결과 내부 경로입니다. 테이블은 기본적으로 비어 있습니다.)

다음으로, 연결이 ISP에 할당되면 해당 연결이 그대로 유지되는 것이 중요합니다(수신 연결 포함). 각 인터페이스마다 IP 주소가 다르고 ISP가 실제로 역방향 경로 필터링을 갖추고 있기 때문에 이동을 시도하는 것은 불가능합니다. 방화벽 규칙을 사용하여 동일한 ISP에 유지합니다.

SNAT가 완료되었음을 기억하세요뒤쪽에라우팅하므로 ip rule전략이 도움이 되지 않습니다. 다른 것을 사용해야 합니다(어쩌면 그게 문제일까요?)

iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j RETURN # if already set, we're done
iptables -t mangle -A PREROUTING -i wan                                       -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A PREROUTING -i comcast                                   -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A PREROUTING -i vz-dsl                                    -j MARK --set-mark $MARK_VZDSL

iptables -t mangle -A POSTROUTING -o wan     -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A POSTROUTING -o comcast -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A POSTROUTING -o vz-dsl  -j MARK --set-mark $MARK_VZDSL
iptables -t mangle -A POSTROUTING -j CONNMARK --save-mark

이는 이를 설정하는 쉘 스크립트에서 가져온 것입니다. 변수는 $MARK_…위의 규칙에서 본 태그와 일치합니다. 매우 간단합니다. 연결 태그를 복원합니다(태그는 패킷 단위라는 점을 기억하세요). 이제 (연결 태그에서) 태그가 있으면 작업이 완료된 것입니다. 그렇지 않으면 관련된 인터페이스에 따라 플래그가 설정됩니다.

마크가 복원됩니다.앞으로경로를 지정하고 나중에만 저장하세요. 그리고 어쨌든 플래그는 나가는 인터페이스로 설정됩니다(논쟁의 여지가 있음).

마지막으로 실제 NAT 규칙이 있습니다. 여러 로컬 접두사가 있습니다. 이 코드는 for 루프에서 실행되고 $local각 접두사에 대해 설정됩니다.

iptables -t nat -A POSTROUTING -s $local -o wan     -j SNAT --to-source 76.160.165.106
iptables -t nat -A POSTROUTING -s $local -o comcast -j SNAT --to-source 173.167.51.137
iptables -t nat -A POSTROUTING -s $local -o vz-dsl  -j SNAT --to-source 151.200.251.90

(참고: 일부 DMZ 서버의 DNAT 등 더 많은 규칙이 있습니다. 관련 항목은 모두 복사한 것 같습니다.)

Answer