☰

Debian：2 个接口，2 个网关

tag-icon • tag-icon debian networking bridge
Debian：2 个接口，2 个网关

我的目标是：系统上有两个网络接口eth0和tap0，并且它们都有可用的互联网连接。我应该能够有选择地绑定两者中的服务/程序。

阿帕奇示例：我想创建以下虚拟主机：

  • site1.example.com绑定到85.xxx.49.100可在eth0
  • site2.example.com绑定到89.xxx.xxx.5可在tap0
  • site3.example.com绑定到89.xxx.xxx.4可在tap0

eth0系统中的程序默认使用以下方式与外界通信但还能够绑定到 IP tap0（如果需要）并将其用于传入和传出流量。例子：我应该能够运行speedtest-cli --source="85.xxx.49.100"(IP at eth0) 和speedtest-cli --source="89.xxx.xxx.4"(IP at tap0)。

我有一台具有物理以太网接口的 Debian 机器eth0，该接口从 DHCPd 服务器获取 IP、网关和 DNS 服务器。其/etc/network/interfaces具有：

allow-hotplug eth0
no-auto-down eth0
iface eth0 inet dhcp

当网络上线时，我的路由表如下所示：

$ route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         85.xxx.xxx.1    0.0.0.0         UG    0      0        0 eth0
85.xxx.49.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
link-local      0.0.0.0         255.255.0.0     U     1000   0        0 eth0

现在，我tap向这台机器添加了一个设备（使用 OpenVPN）。这OpenVPN 客户端和服务器不分配任何IP地址。这个想法是在机器之间只设置第 2 层。这是 OpenVPN 服务器配置：

local 89.xxx.xxx.8
port xxxx
proto udp
dev tap0
mode server
tls-server
user nobody
group nogroup
tls-version-min 1.2
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
script-security 1
client-to-client
keepalive 10 60
compress
max-clients 10
cipher AES-256-CBC
persist-key
persist-tun

服务器上的网络配置为：

10-静态-eth0.network

[Match]
Name=eth0

[Network]
Bridge=br0

25-br0.netdev

[NetDev]
Name=br0
Kind=bridge

25-br0.网络

[Match]
Name=br0

[Network]
DHCP=no
Address=89.xxx.xxx.8/24
Address=89.xxx.xxx.7/24
Address=89.xxx.xxx.6/24
Gateway=89.xxx.xxx.1

DNS=1.1.1.1
DNS=8.8.8.8

30-tap.网络

[Match]
Name=tap0

[Network]
Bridge=br0

启动 OpenVPN 后，任何进入客户端设备的以太网帧都会从服务器tap0发出。br0理论上这会意思是我可以将为服务器保留的任何 IP 地址分配给tap0客户端上的设备。我尝试将 IP 添加到客户端tap设备：

ip addr add 89.xxx.xxx.5/24 broadcast 89.xxx.xxx.255 dev tap0
ip link set tap0 up
route add default gw 89.xxx.xxx.1 metric 200
ip route add 89.xxx.xxx.8 via 85.xxx.xxx.1 dev eth0

IP 就在那里，我可以使用以下命令 ping google：ping -I eth0 google.com和ping -I tap0 google.com，但是我不能，例如，使用wget源设置为89.xxx.xxx.5- 它只是超时。

我应该如何进行？谢谢。

答案1

在这个问题中，网络的工作原理有多种与现实不符的假设。

我向这台机器添加了一个分接设备，该设备桥接到远程服务器的网络。

您无法“将分路设备桥接到远程服务器的网络”。 Tap 设备是一种让某种应用程序控制网络接口的方法。如果没有连接到该 Tap 设备的应用程序，则 Tap 设备将不会执行任何操作。

根据我的理解，进入 Debian 机器上的设备的任何以太网帧都应该在服务器的tap网桥上发出。br0

不。

您可以做的是使用某种隧道（OpenVPN、tinc、wirdeguard；有很多选择）。此隧道将在您的 Debian 计算机（tap 或其他）上创建一个网络接口，并在服务器上创建一个网络接口。在服务器上，您可以将此设备桥接到向外的网络接口。在 debian 机器上，您可以为此设备提供两个 IP 地址（89.xxx.xxx.5和89.xxx.xxx.6），假设面向外的网络在服务器上也可以分配这些。

不要使用两条默认路由。使用单个默认路由，并将您的 apache 绑定到 Debian 计算机上的三个互联网地址中的每一个。

编辑

您已经有了一个可行的解决方案，如其他答案中详述，但仅供参考：

答案2

看完之后http://www.tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.netfilter.htmliptables我对and很有创意iproute2，这似乎适合我的用例：

  1. 启动 OpenVPN 客户端以确保tap0已创建并且 L2 正在工作；
  2. 分配89.xxx.xxx.5给设备并设置链接：
ip addr add 89.xxx.xxx.5/24 broadcast 89.xxx.xxx.255 dev tap0
ip link set tap0 up
  1. 创建辅助路由表和与 IP 地址一起使用的标记tap0并添加路由：
echo "1 BRIDGESERVER" >> /etc/iproute2/rt_tables

ip route add default via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER

ip route add 89.xxx.xxx.8 via 85.xxx.xxx.1 dev eth0 # xxx.8 is the VPN server  and xxx.1 is the local gateway
ip route add 0.0.0.0/1 via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER
ip route add 128.0.0.0/1 via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER

ip route show table BRIDGESERVER
ip rule add from all fwmark 0x1 lookup BRIDGESERVER
  1. 用于iptables标记来自/到我们分配的 IP ( 89.xxx.xxx.5) 的所有 tcp/udp 流量，以便它将使用辅助路由表/默认网关：
iptables -t mangle -I PREROUTING -p tcp --destination 89.xxx.xxx.5 -j MARK --set-mark 1
iptables -t mangle -I OUTPUT -p tcp --source 89.xxx.xxx.5 -j MARK --set-mark 1

iptables -t mangle -I PREROUTING -p udp --destination 89.xxx.xxx.5 -j MARK --set-mark 1
iptables -t mangle -I OUTPUT -p udp --source 89.xxx.xxx.5 -j MARK --set-mark 1

一些测试:

  • 如果不设置要绑定的源 IP - 将默认为以下 IP eth0：
speedtest
Retrieving speedtest.net configuration...
Testing from xyz (85.xxx.49.100)...
  • 绑定到先前分配给的IP tap0：
speedtest --source=89.xxx.xxx.5
Retrieving speedtest.net configuration...
Testing from cpv (89.xxx.xxx.5)...

相关内容