多个上行链路/提供商的路由

Question 1

我的配置稍微复杂一些，其中还包括机器上的 NAT 和动态（内部）路由。

它有几个部分。让我们从规则开始：

Maginot:~# ip rule ls
0:      from all lookup local 
1000:   from all lookup main 
1500:   from 173.167.51.136/29 lookup comcast 
1501:   from 76.160.165.106/29 lookup cavtel 
1502:   from 151.200.251.90/31 lookup vzdsl 
1502:   from 151.200.251.92/31 lookup vzdsl 
1502:   from 151.200.251.94 lookup vzdsl 
2000:   from all fwmark 0x1 lookup comcast 
2001:   from all fwmark 0x2 lookup cavtel 
2002:   from all fwmark 0x3 lookup vzdsl 
2500:   from all lookup comcast 
2501:   from all lookup cavtel 
2502:   from all lookup vzdsl 
32767:  from all lookup default

（这些表的名称在中/etc/iproute2/rt_tables）

正如您所看到的，我们目前有三个 ISP，每个 ISP 都有几个静态 IP 地址。规则 1500–1502 将来自这些源 IP 地址的流量发送到适当的接口。规则 2000–2002 将具有给定防火墙标记（我们将对此进行说明）的流量发送到适当的接口。规则 2500–2502 给出了我们的 ISP 对于尚未分配给 ISP 的流量的优先顺序。如果其中一个出现故障，您可以删除它的规则，然后使用列表中的下一个。

每个路由表都相当简单：

Maginot:~# ip route ls table comcast
default via 173.167.51.142 dev comcast

（本地和主要有更多的内容，但分别是直接连接和内部路线。表格默认为空）。

接下来，重要的是，一旦连接被分配给 ISP，它就会保留在那里（包括传入连接）。尝试移动它是不可能的，因为我们每个接口上都有不同的 IP 地址，而且我们的 ISP 实际上有反向路径过滤。我们将它们保留在具有防火墙规则的同一 ISP 上。

请记住 SNAT 已完成后路由，所以ip rule策略不会有帮助。你必须使用其他东西（也许这是你的问题？）

iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j RETURN # if already set, we're done
iptables -t mangle -A PREROUTING -i wan                                       -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A PREROUTING -i comcast                                   -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A PREROUTING -i vz-dsl                                    -j MARK --set-mark $MARK_VZDSL

iptables -t mangle -A POSTROUTING -o wan     -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A POSTROUTING -o comcast -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A POSTROUTING -o vz-dsl  -j MARK --set-mark $MARK_VZDSL
iptables -t mangle -A POSTROUTING -j CONNMARK --save-mark

这是来自设置它的 shell 脚本；变量$MARK_…与您在上述规则中看到的标记相匹配。相当简单：恢复连接标记（记住，标记是针对每个数据包的）；如果现在有一个标记（来自连接标记），那么我们就完成了。否则，根据涉及的接口设置标记。

注意它会恢复标记前路由，并且只在事后保存它。并且无论如何，该标记都设置为传出接口（这是有争议的）。

最后，还有实际的 NAT 规则。我们有几个本地前缀，此代码在 for 循环中运行，并$local设置为每个前缀：

iptables -t nat -A POSTROUTING -s $local -o wan     -j SNAT --to-source 76.160.165.106
iptables -t nat -A POSTROUTING -s $local -o comcast -j SNAT --to-source 173.167.51.137
iptables -t nat -A POSTROUTING -s $local -o vz-dsl  -j SNAT --to-source 151.200.251.90

（注意：还有很多规则，包括一些 DMZ 服务器的 DNAT 等......我想我已经复制了所有相关的规则。）

Answer