☰

在与传入相同的界面上回复？

tag-icon • tag-icon linux iptables routing
在与传入相同的界面上回复？

我有一个有两个接口的系统。两个接口都连接到互联网。其中之一设置为默认路由；这样做的副作用是，如果数据包进入非默认路由接口，则回复将通过默认路由接口发回。有没有办法使用 iptables （或其他东西）来跟踪连接并通过它来自的接口发回回复？

答案1

echo 200 isp2 >> /etc/iproute2/rt_tables
ip rule add from <interface_IP> table isp2 prio 1
ip route add default via <gateway_IP> dev <interface> table isp2

以上不需要使用 ipfilter 进行任何数据包标记。它之所以有效，是因为传出（回复）数据包将具有最初用于连接到第二个接口的 IP 地址作为传出数据包的源（发件人）地址。

答案2

以下命令eth1为具有标记 1 的数据包创建备用路由表 via（发送至 localhost 的数据包除外）。该ip命令来自ip路由2套件（Ubuntu：ip路由 安装 iproute http://bit.ly/software-small,iproute 文档 安装 iproute-doc http://bit.ly/software-small）。

ip rule add fwmark 1 table 1
ip route add 127.0.0.0/0 table 1 dev lo
ip route add 0.0.0.0/0 table 1 dev eth1

工作的另一半是识别必须获得标记 1 的数据包；然后对这些数据包使用iptables -t mangle -A OUTPUT … -j MARK --set-mark 1，让它们通过路由表 1 进行路由。我认为应该执行以下操作（将 1.2.3.4 替换为非默认路由接口的地址）：

iptables -t mangle -A OUTPUT -m conntrack --ctorigdst 1.2.3.4 -j MARK --set-mark 1

我不确定这是否足够，也许传入数据包需要另一个规则来告诉 conntrack 模块跟踪它们。

答案3

我在使用 Peter 建议的解决方案时遇到了本地生成的数据包的问题，​​我发现以下内容可以纠正该问题：

echo 200 isp2 >> /etc/iproute2/rt_tables
ip rule add from <interface_IP> table isp2 priority 900
ip rule add from dev <interface> table isp2 priority 1000
ip route add default via <gateway_IP> dev <interface> table isp2
ip route add <interface_prefix> dev <interface> proto static scope link src <interface_IP> table isp2

笔记：您可能会遇到上面第四行的语法问题。在这种情况下，第四个命令的语法现在可能是这样的：

ip rule add iif <interface> table isp2 priority 1000

答案4

我假设您正在运行 Linux，并且您正在使用基于 RedHat/CentOS 的发行版。其他 Unix 和发行版将需要类似的步骤 - 但细节会有所不同。

从测试开始（请注意，这与@Peter 的答案非常相似。我假设以下内容：

  • eno0 是 isp0 并且具有整体默认网关
  • eno1 是 isp1，IP/范围 192.168.1.2/24，网关 192.168.1.1

命令如下：

$ echo 200 isp1 >> /etc/iproute2/rt_tables
$ ip rule add from eno1 table isp1
$ ip route add default via 192.168.1.1 dev eno1 table isp1

防火墙不以任何方式参与。回复数据包始终是从正确的 IP 发送的 - 但之前是通过错误的接口发送的。现在，来自正确 IP 的这些数据包将通过正确的接口发送。

假设上述方法有效，您现在可以使规则和路线更改永久化。这取决于您使用的 Unix 版本。和以前一样，我假设使用基于 RH/CentOS 的 Linux 发行版。

$ echo "from eno1 table isp1" > /etc/sysconfig/network-scripts/rule-eno1
$ echo "default via 192.168.1.1 dev eno1 table isp1" > /etc/sysconfig/network-scripts/route-eno1

测试网络更改是否永久：

$ ifdown eno1 ; ifup eno1

如果这不起作用，在更高版本的 RH/CentOS 上，您还需要选择以下两个选项之一：

  1. 不要使用默认值网络管理器.service;使用网络服务反而。我还没有探索为此所需的确切步骤。我想这涉及标准检查配置或者系统控制用于启用/禁用服务的命令。

或者

  1. 安装 NetworkManager-dispatcher-routing-rules 包

就我个人而言，我更喜欢安装规则包，因为它是更简单、更受支持的方法：

$ yum install NetworkManager-dispatcher-routing-rules

另一个强烈建议是启用 arp 过滤，因为这可以防止双网络配置的其他相关问题。对于 RH/CentOS，将以下内容添加到 /etc/sysctl.conf 文件中：

net.ipv4.conf.default.arp_filter=1
net.ipv4.conf.all.arp_filter=1

相关内容