特定端口范围的路由流量

Question 1

这是“基于策略的路由”的任务基于策略的路由允许您配置复杂的路由方案。例如，您可以根据各种标准（如源地址、数据包元数据和包括协议）路由数据包。

我不确定是否可以在 UDM 上完成 - 但这里是 USG 的链接：

https://help.ui.com/hc/en-us/articles/360005460813-UniFi-USG-Advanced-Policy-Based-Routing-

Answer

这是“基于策略的路由”的任务基于策略的路由允许您配置复杂的路由方案。例如，您可以根据各种标准（如源地址、数据包元数据和包括协议）路由数据包。

我不确定是否可以在 UDM 上完成 - 但这里是 USG 的链接：

https://help.ui.com/hc/en-us/articles/360005460813-UniFi-USG-Advanced-Policy-Based-Routing-

Question 2

我终于让它工作了，所以我将回答我自己的问题。以终端命令序列描述的解决方案不是永久性的，它不会在重启或升级后继续存在，但我想从教学角度关注路由解决方案（这是我的问题标题），并将永久性问题留给最后的脚本（更简要地解释，因为互联网上有其他地方可以帮助解决那问题）。

您是否应该像我一样使用此解决方案？可能不会。有一些“注意事项”，请参阅问题中的一些评论。我将尝试解释如何进行路由技巧，但我不一定推荐它用于其他情况...

创建新的路由表：

echo "74 myroutes" >> /etc/iproute2/rt_tables

检查

cat /etc/iproute2/rt_tables

将默认路由添加到新的路由表：

ip route add default via 10.0.10.10 dev br8 table myroutes

检查

ip route list table myroutes

请注意，我可以保持这个非常简单，因为只有少数非常特定的数据包会经过这里（仅到特定主机，通过特定端口）。因此，使用此表的内容可以全部朝着同一个方向前进，因为它已经通过iptables标记彻底“预先选择”，见下文。

标记选定的数据包`iptables`

iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK --set-mark 0x74

通过添加日志行来检查您的标准：

iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j LOG --log-prefix "I just marked a packet: "

（请记住随后删除该行。要删除iptablesmangle 规则，我先删除
iptables -L -t mangle -n -v --line-numbers它，然后使用规则编号执行类似操作 iptables -t mangle -D PREROUTING 2）

在继续之前请确保预期的数据包得到正确标记！

用于`ip rule`告诉内核使用新的路由表来处理这些标记的数据包

因此我从这些规则开始：

# ip rule list
0:      from all lookup local
32000:  from all lookup main
32500:  from 192.168.1.86 lookup 201
32766:  from all lookup 201
32767:  from all lookup default

我需要插入我的规则在第一个之前，这使得它比仅仅添加一条新规则要复杂一些（感谢@AB 对此的帮助使“ip 规则”的优先级高于“本地”）。

一句话警告，不要通过弄乱规则将自己锁定在服务器之外local，这会破坏您与 UDM 之间的所有网络连接。而网络连接是进入 UDM 的唯一途径 :-)... 因此命令以下命令很重要，只有local在新的“首选项”位置添加相同规则后才能进行删除：

ip rule add pref 10 lookup local
ip rule add pref 5 fwmark 0x74 lookup myroutes
ip rule delete pref 0

那么让我们检查一下现在有什么：

# ip rule list
5:      from all fwmark 0x74 lookup myroutes
10:     from all lookup local
32000:  from all lookup main
32500:  from 192.168.1.86 lookup 201
32766:  from all lookup 201
32767:  from all lookup default

通过对比这两个命令的结果来检查：

# ip route get 10.0.0.1
local 10.0.0.1 dev lo src 10.0.0.1
    cache <local>

# ip route get 10.0.0.1 mark 0x74
10.0.0.1 via 10.0.10.10 dev br8 src 10.0.10.1 mark 0x74
    cache

就是这样！尽管 Asterisk 服务器的配置存在错误，但现在一切都正常并且 RTP 流量再次流向正确的位置。

重启和升级后使更改永久生效

简要地讲一下（这不是这个问题的重点），如何在 Ubiquiti UDM 上永久保留这些更改。您必须先安装udm 实用程序并使用如下名称保存脚本

/mnt/data/on_boot.d/10-add-myroutes.sh

并使用使其可执行chmod 700。它将作为运行root。

下面的脚本在启动时执行上述命令。在需要时，有一些技巧可以确保它可以多次运行而不会创建重复的条目。

#!/bin/sh

# fail-safe mechanism in case our boot script is causing broken networking
# and we need to reboot and rescue by killing script before it runs:
sleep 180

grep -qxF '74 myroutes' /etc/iproute2/rt_tables || echo "74 myroutes" >> /etc/iproute2/rt_tables

ip route add default via 10.0.10.10 dev br8 table myroutes

iptables -t mangle -C PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK --set-mark 0x74 || iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK

ip rule list | grep $'10:\tfrom all lookup local' || ip rule add pref 10 lookup local
ip rule list | grep $'5:\tfrom all fwmark 0x74 lookup myroutes' || ip rule add pref 5 fwmark 0x74 lookup myroutes

# the following logic is a bit different: for safety, we want to ensure the delete only happens when the other "local" line is there
ip rule list | grep $'10:\tfrom all lookup local' && ip rule delete pref 0

如果进行更改，请特别小心，ip rule delete pref 0因为没有本地规则，您可能会失去对设备的访问权限。如果发生这种情况，请重新启动，在脚本处于开始时的 3 分钟休眠状态时快速重新登录，然后将其终止（出于自卫！）。

Answer

我终于让它工作了，所以我将回答我自己的问题。以终端命令序列描述的解决方案不是永久性的，它不会在重启或升级后继续存在，但我想从教学角度关注路由解决方案（这是我的问题标题），并将永久性问题留给最后的脚本（更简要地解释，因为互联网上有其他地方可以帮助解决那问题）。

您是否应该像我一样使用此解决方案？可能不会。有一些“注意事项”，请参阅问题中的一些评论。我将尝试解释如何进行路由技巧，但我不一定推荐它用于其他情况...

创建新的路由表：

echo "74 myroutes" >> /etc/iproute2/rt_tables

检查

cat /etc/iproute2/rt_tables

将默认路由添加到新的路由表：

ip route add default via 10.0.10.10 dev br8 table myroutes

检查

ip route list table myroutes

请注意，我可以保持这个非常简单，因为只有少数非常特定的数据包会经过这里（仅到特定主机，通过特定端口）。因此，使用此表的内容可以全部朝着同一个方向前进，因为它已经通过iptables标记彻底“预先选择”，见下文。

标记选定的数据包`iptables`

iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK --set-mark 0x74

通过添加日志行来检查您的标准：

iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j LOG --log-prefix "I just marked a packet: "

（请记住随后删除该行。要删除iptablesmangle 规则，我先删除
iptables -L -t mangle -n -v --line-numbers它，然后使用规则编号执行类似操作 iptables -t mangle -D PREROUTING 2）

在继续之前请确保预期的数据包得到正确标记！

用于`ip rule`告诉内核使用新的路由表来处理这些标记的数据包

因此我从这些规则开始：

# ip rule list
0:      from all lookup local
32000:  from all lookup main
32500:  from 192.168.1.86 lookup 201
32766:  from all lookup 201
32767:  from all lookup default

我需要插入我的规则在第一个之前，这使得它比仅仅添加一条新规则要复杂一些（感谢@AB 对此的帮助使“ip 规则”的优先级高于“本地”）。

一句话警告，不要通过弄乱规则将自己锁定在服务器之外local，这会破坏您与 UDM 之间的所有网络连接。而网络连接是进入 UDM 的唯一途径 :-)... 因此命令以下命令很重要，只有local在新的“首选项”位置添加相同规则后才能进行删除：

ip rule add pref 10 lookup local
ip rule add pref 5 fwmark 0x74 lookup myroutes
ip rule delete pref 0

那么让我们检查一下现在有什么：

# ip rule list
5:      from all fwmark 0x74 lookup myroutes
10:     from all lookup local
32000:  from all lookup main
32500:  from 192.168.1.86 lookup 201
32766:  from all lookup 201
32767:  from all lookup default

通过对比这两个命令的结果来检查：

# ip route get 10.0.0.1
local 10.0.0.1 dev lo src 10.0.0.1
    cache <local>

# ip route get 10.0.0.1 mark 0x74
10.0.0.1 via 10.0.10.10 dev br8 src 10.0.10.1 mark 0x74
    cache

就是这样！尽管 Asterisk 服务器的配置存在错误，但现在一切都正常并且 RTP 流量再次流向正确的位置。

重启和升级后使更改永久生效

简要地讲一下（这不是这个问题的重点），如何在 Ubiquiti UDM 上永久保留这些更改。您必须先安装udm 实用程序并使用如下名称保存脚本

/mnt/data/on_boot.d/10-add-myroutes.sh

并使用使其可执行chmod 700。它将作为运行root。

下面的脚本在启动时执行上述命令。在需要时，有一些技巧可以确保它可以多次运行而不会创建重复的条目。

#!/bin/sh

# fail-safe mechanism in case our boot script is causing broken networking
# and we need to reboot and rescue by killing script before it runs:
sleep 180

grep -qxF '74 myroutes' /etc/iproute2/rt_tables || echo "74 myroutes" >> /etc/iproute2/rt_tables

ip route add default via 10.0.10.10 dev br8 table myroutes

iptables -t mangle -C PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK --set-mark 0x74 || iptables -t mangle -I PREROUTING -p udp -m udp --dport 50000:55000 -d 10.0.0.1  -j MARK

ip rule list | grep $'10:\tfrom all lookup local' || ip rule add pref 10 lookup local
ip rule list | grep $'5:\tfrom all fwmark 0x74 lookup myroutes' || ip rule add pref 5 fwmark 0x74 lookup myroutes

# the following logic is a bit different: for safety, we want to ensure the delete only happens when the other "local" line is there
ip rule list | grep $'10:\tfrom all lookup local' && ip rule delete pref 0

如果进行更改，请特别小心，ip rule delete pref 0因为没有本地规则，您可能会失去对设备的访问权限。如果发生这种情况，请重新启动，在脚本处于开始时的 3 分钟休眠状态时快速重新登录，然后将其终止（出于自卫！）。

特定端口范围的路由流量

答案1

答案2

创建新的路由表：

将默认路由添加到新的路由表：

标记选定的数据包`iptables`

用于`ip rule`告诉内核使用新的路由表来处理这些标记的数据包

重启和升级后使更改永久生效

相关内容

答案1

答案2

创建新的路由表：

将默认路由添加到新的路由表：

标记选定的数据包iptables

用于ip rule告诉内核使用新的路由表来处理这些标记的数据包

重启和升级后使更改永久生效

相关内容

标记选定的数据包`iptables`

用于`ip rule`告诉内核使用新的路由表来处理这些标记的数据包