应用了数据包元类别,但捕获的 VLAN 优先级错误

应用了数据包元类别,但捕获的 VLAN 优先级错误

我的 Linux 家庭路由器位于我的 ISP(橙色)和我的家庭网络之间。在 WAN 端,Orange 在标记为 832 的 VLAN 中提供互联网。

某些控制消息(ARP、DHCP、ICMPv6“路由器发现”类型、DHCPv6)需要通过以下方式回复 Orange: - VLAN 优先级 = 6 - IPv4 或 IPv6 DSCP =“CS6”(6 位 0x30,或十进制表示的 48)

第一个问题,对于启动顺序 DHCP v4 消息,isc-dhclient 需要使用原始以太网数据包套接字,该套接字在设计上绕过了 Linux 内核 IP 堆栈。因此,无法使用 netfilter 来分配 IPv4 DSCP 或元类,但我们暂时将其放在一边。

这是我的 nftables 配置的转储,与 IP DSCP 和元优先级的更改相关: me@debox:~$ sudo /usr/sbin/nft list 规则集

table inet fltr46 {
    chain assign-orange-prio {
        ip version 4 udp sport { bootps, bootpc} ip dscp set cs6 meta priority set 0:6 counter packets 0 bytes 0 comment "isc-dhclient LPF socket bypass netfilter"
        icmpv6 type { nd-neighbor-solicit, nd-router-solicit} ip6 dscp set cs6 meta priority set 0:6 counter packets 8 bytes 480
        udp sport { dhcpv6-client, dhcpv6-server} ip6 dscp set cs6 meta priority set 0:6 counter packets 4 bytes 1180
    }

    chain postrouting {
        type filter hook postrouting priority 0; policy accept;
        oifname vmap { "enp1s0.832" : goto assign-orange-prio}
    }

    chain output {
        type filter hook output priority 0; policy accept;
        oifname vmap { "enp1s0.832" : goto assign-orange-prio }
    }
}
table arp arp4 {
    chain output {
        type filter hook output priority 0; policy accept;
        oifname ! "enp1s0.832" accept
        meta priority set 0:6 counter packets 851 bytes 35742
    }
}

我的vlan 832配置如下:

me@debox:~$ sudo cat /proc/net/vlan/enp1s0.832 
enp1s0.832  VID: 832     REORDER_HDR: 1  dev->priv_flags: 1001
Device: enp1s0
INGRESS priority mappings: 0:0  1:0  2:0  3:0  4:0  5:0  6:0 7:0
 EGRESS priority mappings: 6:6

这意味着,对于出口,6 类数据包 -> VLAN prio 6。

DHCPv6、ICMPv6“路由器”和 ARP 的 nftables 计数器按预期递增。然而,我注意到我的 Wire Shark 捕获存在问题(通过交换端口镜像完成):

  • DHCPv6:好的。 DSCP = CS6 且 VLAN 优先级 = 6
  • ICMPv6:不行。 DSCP = CS6 但 VLAN 优先级 = 0
  • ARP:不行。 VLAN 优先级 = 0
  • 通过常规 UDP 套接字发送的 IPv4 DHCP 租约更新数据包也可以(DSCP+VLAN prio)。

VLAN 优先级未正确应用于 ARP 和 ICMPv6 数据包。对于 Linux 内核生成的 ARP 和 ICMPv6 消息,有没有办法进一步调试为什么元类不能正确转换为 VLAN prio?

答案1

源问题是有关 VLAN 接口的简单排序问题。我的网络接口持久性文件最初配置错误:

# WAN vlan 832 internet
auto enp1s0.832
iface enp1s0.832 inet dhcp
  up ip link set enp1s0.832 type vlan egress 0:0 1:0 2:0 3:0 4:0 5:0 6:6 7:0
iface enp1s0.832 inet6 dhcp
  up ip link set enp1s0.832 type vlan egress 0:0 1:0 2:0 3:0 4:0 5:0 6:6 7:0
  request_prefix 1
  accept_ra 2

不好的部分是“向上”指令。当初始 ARP / DHCP / NDP 已经发生时,出口映射完成得太晚了。修复方法非常简单,只需使用 pre-up 即可:

# WAN vlan 832 internet
auto enp1s0.832
iface enp1s0.832 inet dhcp
  pre-up ip link set enp1s0.832 type vlan egress 0:0 1:0 2:0 3:0 4:0 5:0 6:6 7:0
iface enp1s0.832 inet6 dhcp
  pre-up ip link set enp1s0.832 type vlan egress 0:0 1:0 2:0 3:0 4:0 5:0 6:6 7:0
  request_prefix 1
  accept_ra 2

这样,初始 ARP/DHCP/NDP 握手就以正确的 QoS 优先级完成。

相关内容