激活IP转发时的路由问题

Question 1

总结当前设置的影响和后果：

你的系统客户1具有标准配置，它不知道有关 192.168.2.0/24 的任何具体信息。这其实是路由器1其中通过以下方式定义了到 192.168.2.0/24 的特定路由路由器3。所以当客户1尝试访问 192.168.2.20，它在其路由表中查找，没有找到任何具体内容，使用默认路由：via路由器1。路由器1检测到它自己的路由在同一个 LAN 上，因此不进行路由，而是告诉客户1，通过使用ICMP 重定向, 使用路由器3（的192.168.1.10网关IP）直接。客户1默认情况下，作为简单主机，接受 ICMP 重定向消息并将当前目标 192.168.2.20 的路由更改为经过 192.168.1.10 而不是 192.168.1.1。

由于您的系统客户1现在充当 10.0.0.0/24 中的节点和 192.168.1.0/24 中的节点之间的路由器，它还必须设置为路由器（例如通过使用net.ipv4.ip_forward=1）。

问题是之间的默认交互ip转发和接受重定向:

accept_redirects - BOOLEAN
  Accept Redirects.

  Functional default: enabled if local forwarding is disabled.
              disabled if local forwarding is enabled.

现在这就是您当前的问题：由于启用了转发，所以接受重定向被禁用。因此它将忽略 ICMP 重定向并且不再使用 192.168.1.10。有两种方法可以避免：

你不想做的事（但无论如何我会首先建议）：因为客户1无论如何，现在是一个具有特定配置的路由器（VPN...），完成特定配置：添加正确的特定路由到192.168.2.0/24：
```
# ip route add 192.168.2.0/24 via 192.168.1.10
```
如果客户1配置为如果向上向下，您可以添加正确的接口节这一附加行：
```
    up ip route add 192.168.2.0/24 via 192.168.1.10
```
对于其他方法，请搜索等效方法（例如：NetworkManager 甚至可以使用 GUI 小程序进行配置）。

现在，充当路由器的系统可以随意忽略 ICMP 重定向，因为它不需要任何重定向，也不会触发接收任何重定向。
或者，您可以调整特定接口上的特定行为，以便即使在转发时也不会忽略 ICMP 重定向：

这特定于接口的变体详细描述提供了更多选项：
```
accept_redirects - BOOLEAN
  Accept ICMP redirect messages.
  accept_redirects for the interface will be enabled if:
  - both conf/{all,interface}/accept_redirects are TRUE in the case
    forwarding for the interface is enabled
  or
  - at least one of conf/{all,interface}/accept_redirects is TRUE in the
    case forwarding for the interface is disabled
  accept_redirects for the interface will be disabled otherwise
  default TRUE (host)
      FALSE (router)
```
默认设置net.ipv4.ip_forward=1设置会有副作用net.ipv4.conf.all.accept_redirects=0（并设置回ip_forward=0会重置回来net.ipv4.conf.all.accept_redirects=1！）如第一段引文中所述。所以现在将出现：
```
# sysctl net.ipv4.conf.all.accept_redirects net.ipv4.conf.default.accept_redirects
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 1
```
所以所有接口都继承默认并且值为 1，但全局切换全部（对于此特定设置，不会强制接口值）未设置。您几乎必须反转这些值：设置全部至 1,默认并且每个接口都为 0，除了连接到的接口之外子网1（假设它被称为以太网0）也将设置为 1。忽略 ICMP 重定向通常是出于安全原因，或者可能是为了避免在多个配置错误的路由器之间触发循环，因此最好在不需要的地方忽略它。无论如何，在这里我将只激活所需的内容，而不停用任何内容（主要是因为我不知道其他接口名称），请随意完成。再次考虑接口子网1叫做以太网0:
```
# sysctl -w net.ipv4.conf.all.accept_redirects=1 # must be done AFTER net.ipv4.ip_forward=1
# sysctl -w net.ipv4.conf.eth0.accept_redirects=1 # which should be already set
```
这可以在启动时配置sysctl.d设置后您之前的设置。

现在为什么 ping 仍然有效并且连接在失败之前开始工作，我真的不知道。

在这两种情况下请注意：10.0.0.0/24 中的系统现在可能可以部分访问 192.168.2.0/24（可能通过调整自己的 VPN 配置）。部分原因是因为没有人知道返回 10.0.0.0/24 的路由，除非客户1正在做NAT。请务必考虑安全效果。您可能需要添加防火墙设置（例如iptables) 来禁止路由。

Answer

总结当前设置的影响和后果：