当目标接口为本地时强制 Ping 到出口（Debian）

Question 1

（由于评论，我将保留其他答案）。

任务描述：给定一个 LXC 容器中的单个虚拟主机，该主机具有两个网络接口eth1和eth3，它们位于不同的 LAN 段上并通过路由器外部连接，如何实现从离开eth3并返回eth1（或反之亦然）的“回旋镖” ping？

这里的问题在于，Linux 内核会检测到目标地址被分配到eth1，并且会尝试直接将数据包传送到eth1，即使路由表规定数据包应通过进行路由eth3。

无法直接删除 IP 地址eth1，因为必须应答 ping。因此，唯一的解决方案是以某种方式使用两个不同的地址（或将eth1和eth3分开）。

其中一种方法是使用iptables，例如这个答案由 harrymc 在评论中链接。

我已经在我的计算机上测试了另一种方法，其设置如下，使用一个网络命名空间来模拟外部网络，并使用两个网络命名空间来分隔目标 IP 地址：

Routing NS     Main NS      Two NS's

+----------+                   +----------+
|   veth0b |--- veth0a ....... | ipvl0    |
| 10.0.0.1 |    10.0.0.254     | 10.0.0.2 |
|          |                   +----------+
|          |                   +----------+
|   veth1b |--- veth1a ....... | ipvl1    |
| 10.0.1.1 |    10.0.1.254     | 10.0.1.2 |
+----------+                   +----------+

已Routing NS启用转发。附加10.0.*.2地址分配给IPVLAN设备，可以将其视为分配给所连接主接口的额外 IP 地址。有关 IPVLAN 的更多详细信息，例如这里. 创造像

ip link add ipvl0 link veth0a type ipvlan mode l2
ip link set ipvl0 netns nsx

nsx新的网络命名空间在哪里，那么在该命名空间中，

ip netns exec nsx ip addr add 10.0.0.2/24 dev ipvl0
ip netns exec nsx ip link set ipvl0 up
ip netns exec nsx ip route add default via 10.0.0.1 dev ipvl0

Main NS除了默认规则外，还有以下路由规则

ip route add 10.0.0.2/32 via 10.0.1.1 dev veth1a
ip route add 10.0.1.2/32 via 10.0.0.1 dev veth0a

然后ping 10.0.0.2将进行“回旋镖”往返，如在和上所见。tcpdump因此，使用此设置，就 ping 等而言，所有日志记录都可以从进行，但更复杂的测试等可能需要其他命名空间至少提供接收器等。veth0aveth1aMain NSnc

LXC 容器使用网络命名空间（和其他命名空间）。我对 LXC 容器不太熟悉，但如果在容器内创建新的网络命名空间被阻止，请从容器外部进行操作。首先使用

ip netns list

然后ip netns exec NAME_OF_LXC_NS ...按上述操作。您也可以延迟将eth1和eth3移入 LXC 容器，并首先创建两个 IPVLAN，然后然后将其移入容器。根据需要编写脚本。

编辑

还有第三种变体，无需网络命名空间即可工作。诀窍是使用策略路由，并赋予本地查找比正常情况更高（“更差”）的优先级，并以不同的方式处理来自绑定到特定接口的套接字的数据包。这可以防止向本地地址传递数据包，而这正是问题的主要根源。

使用与上述相同的模拟设置（减去 IPVLAN），

ip rule add pref 1000 lookup local
ip rule del pref 0
ip rule add pref 100 oif veth0a lookup 100
ip rule add pref 100 oif veth1a lookup 101
ip route add default dev veth0a via 10.0.0.1 table 100
ip route add default dev veth1a via 10.0.1.1 table 101

命令

ping 10.0.1.254 -I veth0a
ping 10.0.0.254 -I veth1a

正确发出 ping 请求。要获得 ping 回复，必须禁用针对源欺骗的测试：

echo "0" > /proc/sys/net/ipv4/conf/veth{0,1}a/rp_filter
echo "1" > /proc/sys/net/ipv4/conf/veth{0,1}a/accept_local

我也尝试了nc或socat，但无法让它们工作，因为没有选项可以nc强制听众在特定设备上回答，虽然有这样的选项socat，但似乎没有效果。

因此，使用此设置进行除 ping 之外的网络测试会受到一定限制。

Answer

（由于评论，我将保留其他答案）。

任务描述：给定一个 LXC 容器中的单个虚拟主机，该主机具有两个网络接口eth1和eth3，它们位于不同的 LAN 段上并通过路由器外部连接，如何实现从离开eth3并返回eth1（或反之亦然）的“回旋镖” ping？

这里的问题在于，Linux 内核会检测到目标地址被分配到eth1，并且会尝试直接将数据包传送到eth1，即使路由表规定数据包应通过进行路由eth3。

无法直接删除 IP 地址eth1，因为必须应答 ping。因此，唯一的解决方案是以某种方式使用两个不同的地址（或将eth1和eth3分开）。

其中一种方法是使用iptables，例如这个答案由 harrymc 在评论中链接。

我已经在我的计算机上测试了另一种方法，其设置如下，使用一个网络命名空间来模拟外部网络，并使用两个网络命名空间来分隔目标 IP 地址：

Routing NS     Main NS      Two NS's

+----------+                   +----------+
|   veth0b |--- veth0a ....... | ipvl0    |
| 10.0.0.1 |    10.0.0.254     | 10.0.0.2 |
|          |                   +----------+
|          |                   +----------+
|   veth1b |--- veth1a ....... | ipvl1    |
| 10.0.1.1 |    10.0.1.254     | 10.0.1.2 |
+----------+                   +----------+

已Routing NS启用转发。附加10.0.*.2地址分配给IPVLAN设备，可以将其视为分配给所连接主接口的额外 IP 地址。有关 IPVLAN 的更多详细信息，例如这里. 创造像

ip link add ipvl0 link veth0a type ipvlan mode l2
ip link set ipvl0 netns nsx

nsx新的网络命名空间在哪里，那么在该命名空间中，

ip netns exec nsx ip addr add 10.0.0.2/24 dev ipvl0
ip netns exec nsx ip link set ipvl0 up
ip netns exec nsx ip route add default via 10.0.0.1 dev ipvl0

Main NS除了默认规则外，还有以下路由规则

ip route add 10.0.0.2/32 via 10.0.1.1 dev veth1a
ip route add 10.0.1.2/32 via 10.0.0.1 dev veth0a

然后ping 10.0.0.2将进行“回旋镖”往返，如在和上所见。tcpdump因此，使用此设置，就 ping 等而言，所有日志记录都可以从进行，但更复杂的测试等可能需要其他命名空间至少提供接收器等。veth0aveth1aMain NSnc

LXC 容器使用网络命名空间（和其他命名空间）。我对 LXC 容器不太熟悉，但如果在容器内创建新的网络命名空间被阻止，请从容器外部进行操作。首先使用

ip netns list

然后ip netns exec NAME_OF_LXC_NS ...按上述操作。您也可以延迟将eth1和eth3移入 LXC 容器，并首先创建两个 IPVLAN，然后然后将其移入容器。根据需要编写脚本。

编辑

还有第三种变体，无需网络命名空间即可工作。诀窍是使用策略路由，并赋予本地查找比正常情况更高（“更差”）的优先级，并以不同的方式处理来自绑定到特定接口的套接字的数据包。这可以防止向本地地址传递数据包，而这正是问题的主要根源。

使用与上述相同的模拟设置（减去 IPVLAN），

ip rule add pref 1000 lookup local
ip rule del pref 0
ip rule add pref 100 oif veth0a lookup 100
ip rule add pref 100 oif veth1a lookup 101
ip route add default dev veth0a via 10.0.0.1 table 100
ip route add default dev veth1a via 10.0.1.1 table 101

命令

ping 10.0.1.254 -I veth0a
ping 10.0.0.254 -I veth1a

正确发出 ping 请求。要获得 ping 回复，必须禁用针对源欺骗的测试：

echo "0" > /proc/sys/net/ipv4/conf/veth{0,1}a/rp_filter
echo "1" > /proc/sys/net/ipv4/conf/veth{0,1}a/accept_local

我也尝试了nc或socat，但无法让它们工作，因为没有选项可以nc强制听众在特定设备上回答，虽然有这样的选项socat，但似乎没有效果。

因此，使用此设置进行除 ping 之外的网络测试会受到一定限制。

Question 2

总而言之，您有以下配置：

Host 1           Main Host            Host 2
  ethX -------- eth1   eth3 --------- ethY
       128.66.200.10   128.66.100.10

在主主机中，/proc/sys/net/ipv4/ip_forward已启用，并且您想要测试主机 1 和主机 2 之间的连接是否正常。

快速提醒一下 Linux 如何处理每个接口的 IP 数据包：

因此，来自物理层的传入数据包会穿过PREROUTING传入接口，然后按目的地路由，然后穿过POSTROUTING传出接口，最后传出到物理层。相反，应用程序会将ping数据包发送到OUTPUT链，然后进行路由（图中未显示），然后穿过链POSTROUTING，最后传出。

在这里我使用入口“进入物理层”，出口意思是“离开物理层”。

您尝试做的是以某种方式告诉 Linux 内核不要以这种方式处理数据包，而是模拟一个数据包侵入使用eth3该应用程序ping，然后应该路由到eth1，在那里出口。

但那只是不起作用：应用程序通过OUTPUT链发送数据包。如果您使用此选项强制ping绑定到，Linux 将简单地决定这是数据包的错误接口并丢弃数据包。它永远不会尝试将数据包视为eth3-I侵入进入eth3。

所以正常方式处理这个问题的方法是只需从主机 1 发送 ping，然后验证它是否到达主机 2（以及另一个方向）。简单易行，无需费心。

由于“主主机”是虚拟的，eth1很eth3可能不是真实的接口（您没说）。如果它们只是 veth 对的一端，则很容易抓住另一端，然后只需在ping该端生成（无论它在哪里）。

如果你坚持出于某些原因，在“主主机”上测试所有内容时，您还可以通过一些扭曲并桥eth3接到其他接口 veth 对，然后ping在另一端那veth-pair。由于数据包是从 veth 桥接过来的，因此它将被视为侵入变成eth3，这样就可以了。但这确实不必要地复杂。

我不知道还有其他方法可以模拟侵入郵件。

你可以尝试一些iptable魔法，但如果你试图测试您的网络连接，这是一个坏主意：您永远不会知道您的iptables规则是否也适用于实际流量，因为这不是您测试的。

Answer