☰

将传出连接重定向到伪装的 IP 地址而不是其他 IP

tag-icon • tag-icon linux iptables routing
将传出连接重定向到伪装的 IP 地址而不是其他 IP

让我试着解释一下我的情况。我有一个负载平衡器服务器，它可以在一组预定义的 SMTP 服务器上平衡流量。

主机 A（客户端）连接到平衡器 B，平衡器 B 将请求发送到集群节点 C。由于平衡器 B 使用 IP 伪装，因此对于集群节点 C 来说，它好像请求直接来自主机 A，因此它将答复发送到主机 A。

Host A -> Balancer B: clients makes a request on port 25 to the load balancer
Balancer B -> Cluster-Node C: load balancer connects the client to the actual node
Cluster-Node C -> Host A: the node connects back, directly to the client

集群节点 C 的答案实际上应该回到平衡器 B，而不是主机 A。

这是棘手的部分：所有服务器都位于同一子网中。如果我将 Cluster-Nodes 更改为新子网，我可以为它们提供 Balancer B 的网关，这样它就可以正常工作，因为请求是通过网关发送的。

主机 A：10.0.0.10 平衡器 B：10.0.0.20 集群节点 C：10.0.0.30

有没有办法强制将集群节点 C（10.0.0.30）上的所有传出连接发送到平衡器 B（10.0.0.20），无论原始 IP（在本例中为伪装的）是什么？

答案1

首先，您的初步评估是错误的。伪装实际上是用路由器的 IP 地址替换原始发送者的 IP 地址。这会导致目标主机（在您的情况下是集群节点）将响应该地址的情况。路由器将解除数据包的伪装（即用原始 IP 地址替换其自己的 IP 地址）并将数据包反馈给其路由引擎。这也称为 SNAT，通常用于为 LAN 上的计算机提供对 Internet 的访问。

或者，直接这样说：集群节点 C 执行不是将答复发送回主机 A，它将其答复发送到 Balancer B（也就是说，如果您的 SNAT 或伪装配置正确）。

在所有主机都直接连接到同一子网的子网中（您所描述的情况），没有办法强制所有传出连接从一个主机到特定的其他主机。本质上，这会违反子网的定义（无需路由即可访问子网中的所有主机）。

如果您的特定设置不起作用，那么最可能的原因是您的路由设置不正确。很多人忘记了，他们不仅需要为前向流量提供路由，还需要确保返回流量有一条有效的路由。

但是，您应该能够使用 tcpdump 轻松解决所有这些问题。

相关内容