लिनक्स + 2 आईएसपी। और दोनों प्रदाताओं के माध्यम से आंतरिक सर्वर उपलब्धता

एक महान लेख है जो बताता है कि यह सिस्को पर कैसे किया जाता है। लेकिन हम रूटर चेसिस पर मुद्रांकित सिस्को सिस्टम्स प्रिंट की खरीद पर $ 100,500 खर्च नहीं करना चाहते हैं।

समस्या का वर्णन

तो, समस्या का सार: दो अलग-अलग प्रदाताओं के माध्यम से दो NAT हैं, एक स्थानीय नेटवर्क जिसमें एक सर्वर है और जो दोनों NAT के माध्यम से सार्वजनिक और सुलभ होना चाहिए। प्रदाताओं की अलग-अलग प्राथमिकताएं हैं: पहला, पहला, फिर दूसरा।

यदि एक पैकेट पहले प्रदाता के माध्यम से आया, तो यह हमारे सर्वर के लिए नैट है, संसाधित, एक प्रतिक्रिया पैकेट बनता है, जो पहले प्रदाता के माध्यम से निकलता है और जहां पहला पैकेट आया था, वहां जाता है। सब ठीक है।

यदि एक पैकेट दूसरे प्रदाता के माध्यम से आता है, तो यह हमारे सर्वर पर NATed है, संसाधित होता है, एक प्रतिक्रिया पैकेट बनता है, जो पहले प्रदाता के माध्यम से निकलता है ... क्यों? क्योंकि पहली बार लिनक्स में रूटिंग होता है, और फिर एसएनएटी। इसलिए, पैकेट को रूट करते समय, अगला नोड असाइन किया जाता है - पहले प्रदाता का गेटवे (डिफ़ॉल्ट रूप से)। फिर कनेक्शन की निगरानी की जाती है - ध्यान दें कि यह पैकेट दूसरे के लिए एक प्रतिक्रिया है, और प्रेषक पते को उस पते से बदल देता है जो दूसरे प्रदाता ने हमें दिया था। और फिर पैकेट को पहले प्रदाता के इंटरफेस के माध्यम से इसके प्रवेश द्वार पर भेजा जाता है। एक नियम के रूप में, प्रदाता उन पैकेटों को अवरुद्ध करता है जिनके प्रेषक पते में उनके सबनेट से एक पता नहीं होता है। बहुत बुरा।

जैसा होना चाहिए

लेकिन क्या किसी तरह ऑर्डर को बदलना संभव है - पहले ट्रैक करें कि आपको किस प्रदाता की आवश्यकता है, और फिर, इसके आधार पर, अगला हॉप चुनें?

आप कर सकते हैं। इसके लिए, लिनक्स के पास अपने कनेक्शन ट्रैकर - कॉनट्रैक मैच और CONNTRACK लक्ष्य के लिए एक इंटरफ़ेस है। इनमें से पहली शर्त यह है कि पैकेट नियम का अनुपालन करता है, जिसके अनुसार केवल उन पैकेटों को संसाधित किया जाएगा जिसमें एक विशेष लेबल - कनेक्शन लेबल - का एक निश्चित मूल्य है। दूसरा एक कनेक्शन लेबल प्रबंधन उपकरण है।

कनेक्शन लेबल पारंपरिक पैकेट लेबल (MARK) से भिन्न होते हैं, जिसमें वे कंवर्टर मॉड्यूल द्वारा अतिरिक्त रूप से बनाए और समर्थित होते हैं। यदि हम किसी पैकेट को कनेक्शन लेबल देते हैं, तो भविष्य में यह लेबल उसी कनेक्शन से संबंधित सभी पैकेटों पर मिलेगा। कनेक्शन की ट्रैकिंग और लेबल बहाली कच्चे टेबल (PREROUTING या OUPTUT श्रृंखला) के प्रसंस्करण के बाद होती है, मेंटल टेबल की समान श्रृंखलाओं को संसाधित करने से पहले, और कनेक्शन तालिका को नेट टेबल के प्रसंस्करण के बाद POSTROUTING श्रृंखला में कनवर्टर में संग्रहीत किया जाता है।

शुरुआत से ही, हमारे DNAT के आंतरिक सर्वर पर आने से पहले ही, हम कनेक्शन के लिए एक लेबल असाइन कर सकते हैं, उदाहरण के लिए, उस इंटरफ़ेस पर निर्भर करता है जिसके माध्यम से यह पैकेट राउटर को मिला। उसके बाद, हम सभी बाद के पैकेट और प्रतिक्रियाओं को उसी लेबल के साथ देखेंगे - अर्थात किसी भी जवाब के लिए किसी भी क्षण में यह जानने के लिए कि किस इंटरफ़ेस से बाहर निकलना चाहिए।

लिनक्स में RPDB - रूटिंग पॉलिसी DataBase है - यह वही चीज है जिसे सिस्को रूट-मैप कहता है - रूटिंग नीतियों का एक डेटाबेस। उसी समय, हम कई अलग-अलग राउटिंग टेबल बनाते हैं, और जिस विकल्प से पैकेट को संसाधित किया जाएगा, वह नीतियों के आधार पर बनाया जाएगा। तालिका चुनने का मानदंड हो सकता है: वह इंटरफ़ेस जिसके माध्यम से हमारा पैकेज दर्ज किया गया; netfilter लेबल (nfmark); प्रेषक का पता; गंतव्य का पता और अन्य।

नेटफिल्टर लेबल (nfmark) इस मामले के लिए एक उपयुक्त मानदंड है। यह कनेक्शन लेबल (ctmark) के समान नहीं है, लेकिन क्या हमें ctmark के आधार पर nfmark स्थापित करने से रोकता है? इसके विपरीत, CONNTRACK के लक्ष्य में इसके लिए एक विशेष कमांड है।

समायोजन

आरंभ करने के लिए, RPDB कॉन्फ़िगर करें। मैं नामों के लिए तालिकाओं को निर्दिष्ट नहीं करूंगा - यह विषय के दायरे से परे है, खासकर जब से इस मामले में यह अधिक स्पष्ट रूप से संख्या होगी।
सशर्त रूटिंग नियम जोड़े जाते हैं; उन्हें तब सेट किया जाता है जब संबंधित इंटरफेस उठाए जाते हैं; जब वे रुक जाते हैं तो उन्हें मार दिया जाता है।

 आईपी ​​नियम fwmark 0x1 / 0x3 लुकअप 201 जोड़ें
 IP नियम {ppp1} लुकअप 201 से जुड़े आईपी पते से जोड़ें
 आईपी ​​नियम fwmark 0x2 / 0x3 लुकअप 202 जोड़ें
 IP नियम {ppp2} लुकिंग 202 से जुड़े आईपी पते से जोड़ें

IP रूल जोड़ने वाला fwmark बिल्कुल समान नियम है: यदि लेबल 1 है, तो 201 के माध्यम से मार्ग, यदि 2 - 202 के माध्यम से। अन्य दो नियम सामान्य विभाजन-पहुंच हैं (जैसा कि LARTC में वर्णित है)। यदि कोई भी मापदंड मैच नहीं करता है, रूटिंग डिफ़ॉल्ट तालिका पर जाएगी (यह स्थानीय नेटवर्क या राउटर पर शुरू किए गए प्रारंभिक कनेक्शन पैकेट के लिए सही है)।

रूटिंग टेबल में हम (गतिशील रूप से, जब इंटरफेस बढ़ाते हैं) नियम जोड़ते हैं:

 आईपी ​​मार्ग डिफ़ॉल्ट देव ppp2 तालिका 202 जोड़ते हैं
 आईपी ​​मार्ग डिफ़ॉल्ट देव ppp1 तालिका 201 जोड़ें
 आईपी ​​मार्ग डिफ़ॉल्ट देव ppp2 मीट्रिक 2000 को जोड़ता है
 आईपी ​​मार्ग डिफ़ॉल्ट देव ppp1 मीट्रिक 1000 जोड़ें

(यदि हमारे पास ppp नहीं है, तो नियम इस प्रकार होंगे: डिफ़ॉल्ट रूप से {nexthopN} तालिका 20N या मेटा 2000 के माध्यम से)
यह, वास्तव में, LARTC के अनुसार भी है। मीट्रिक प्रदाता की प्राथमिकता निर्धारित करता है (न्यूनतम मीट्रिक वाला एक मार्ग चुना जाएगा), लेकिन क्रमशः तालिका 201 और 202 को चिह्नित पैकेट के लिए संसाधित किया जाएगा, जिनमें से प्रत्येक में एक प्रदाता होगा।

यह पैकेट को टैग करना शुरू करने के लिए बना हुआ है।

 # कनेक्शन लेबल वाले सभी पैकेज - सीमांत पहचानकर्ता
 iptables -t mangle -N आउट-मार्किंग
 iptables -t mangle -एक PREROUTING -m कॉनमार्क!  -मार्क 0x0 / 0x3 -j आउट-मार्किंग
 # अगर कोई पैकेट किसी भी आंतरिक इंटरफ़ेस के माध्यम से दर्ज किया गया है - कनेक्शन लेबल को पैकेज लेबल पर कॉपी करें
 iptables -t mangle-a out-marking -i eth0 -j CONNMARK --restore-mark - -m 0 0 3
 iptables -t mangle-out-marking -i eth2 -j CONNMARK --restore-mark --m1 03

 # सभी नए कनेक्शन
 iptables -t mangle -N इन-मार्किंग
 iptables -t mangle -एक PREROUTING -m कॉनट्रैक --ctstate NEW -j इन-मार्किंग
 # पैकेट ppp1 के माध्यम से आया - लेबल 1 डालें ताकि किसी भी उत्तर का मार्ग तालिका 201 के अनुसार चला जाए
 iptables -t mangle -A-marking -i ppp1 -j CONNMARK --set-xmark 0x1 / 0x3
 # पैकेट को ppp2 के माध्यम से दर्ज किया गया - 2 का लेबल लगाएं ताकि किसी भी प्रतिक्रिया का मार्ग तालिका 202 के अनुसार चला जाए
 iptables -t mangle -A-marking -i ppp2 -j CONNMARK --set-xmark 0x2 / 0x3

ध्यान देने के लिए तीन बिंदु हैं।

सबसे पहले, सभी प्रसंस्करण मैनगल तालिका के PREROUTING श्रृंखला में होता है। ऐसा इसलिए है क्योंकि हम इन लेबल को रूट करने के दौरान संसाधित करने से पहले पैकेट (इसलिए mangle) लेबल करना चाहते हैं (इसलिए PREROUTING)।

दूसरे, कनेक्शन लेबल सेट करना केवल हेड पैकेट (-ststate NEW) के लिए होता है - दूसरों के पास पहले से ही है। यदि नए पैकेज में कनेक्शन लेबल नहीं है, तो इसे बिल्कुल सेवित करने की आवश्यकता नहीं है - यह डिफ़ॉल्ट तालिका पर जाएगा। यह लैन से शुरू किए गए सभी यौगिकों के लिए सही है।

"प्रदाता संख्या" के तहत 2 बिट शामिल हैं, अर्थात इस तरह हम 3 अपलिंक कर सकते हैं (0 हमेशा "अपरिभाषित प्रदाता" के अंतर्गत रहता है, ऐसे पैकेट के लिए डिफ़ॉल्ट मार्ग का उपयोग किया जाएगा)। इसलिए, हर जगह लेबल को मास्क / 0x3 के साथ लिखा जाता है - हमारे आदेश किसी भी तरह से लेबल के अन्य बिट्स को प्रभावित नहीं करेंगे, और उनका उपयोग अन्य उद्देश्यों के लिए किया जा सकता है। उदाहरण के लिए, ट्रैफ़िक को आकार देने के लिए मेरे पास अन्य बिट्स हैं।

और यह अलग हो सकता है

आंतरिक सर्वर के लिए दूसरा पता असाइन करें। Rpdb में इस पते के लिए हम दूसरे प्रदाता के माध्यम से आउटपुट असाइन करते हैं, और दूसरे प्रदाता के माध्यम से हमारे लिए आए पैकेट के लिए DNAT, हम यह दूसरा पता करते हैं।

आसान? एक तरह से, हाँ। लेकिन आपको एन पते पर आंतरिक सर्वर (प्रदाताओं की संख्या के अनुसार) और एन डीएनएटी नियमों पर काम करना होगा।