3.6 sonrası çekirdeklerde çok yollu yönlendirme

Hepinizin bildiği gibi, ipv4 yol önbelleği, çok yollu yönlendirme üzerinde ciddi etkisi olan 3.6 Linux çekirdek serisinde kaldırılmıştır. IPv4 yönlendirme kodu (IPv6'dan farklı olarak) bir sonraki sekmeyi yuvarlak devir şeklinde seçer, bu nedenle verilen kaynak IP'den verilen hedef IP'ye kadar olan paketler her zaman aynı sonraki atlamadan geçmez. 3.6'dan önce yönlendirme önbelleği, bir sonraki seçildiğinde bir kez seçildiği gibi önbellekte kaldığı için durumu düzeltiyordu ve aynı kaynaktan aynı hedefe giden diğer tüm paketler bir sonraki sekmeden geçiyordu. Şimdi sonraki hop her paket için yeniden seçildi, bu da garip şeylere yol açıyor: yönlendirme tablosunda 2 eşit maliyetli varsayılan yolla, her biri bir internet sağlayıcısına işaret ediyor, TCP bağlantısı bile kuramıyorum, çünkü ilk SYN ve son ACK farklı yollardan geçebilir,

Çok yollu yönlendirme normal davranışını geri yüklemek için nispeten kolay bir yol var mı, böylece paket başına değil de akış başına bir sonraki atlama seçilir mi? IPv4'ün sonraki hop seçimini karma tabanlı hale getirmek için IPv6 için olduğu gibi yamalar var mı? Ya da bununla nasıl başa çıkıyorsunuz?

Mümkünse Linux Çekirdeği> = 4.4 .... 'e yükseltin.

Birçok yönden 3.6 öncesi davranıştan daha iyi olan karma tabanlı çok yollu yönlendirme getirilmiştir. Akış tabanlıdır, yolu ayrı bağlantılar için sabit tutmak için kaynak ve hedef IP'lerin bir karma değerini (bağlantı noktaları yoksayılır) alır. Bir dezavantajı, 3.6 öncesi kullanılabilir çeşitli algoritmalar / yapılandırma modları olduğuna inanıyorum, ama şimdi size verilen ne olsun !. weightYine de yol seçimini etkilemek için kullanabilirsiniz .

Eğer benim durumumda iseniz o zaman aslında istiyorsun 3.6 >= behaviour < 4.4ama artık desteklenmiyor.

> = 4.4 sürümüne yükseltirseniz, bu işlem diğer tüm komutlar olmadan da yapılmalıdır:

ip route add default  proto static scope global \
nexthop  via <gw_1> weight 1 \
nexthop  via <gw_2> weight 1

Alternatif olarak cihaza göre:

ip route add default  proto static scope global \
 nexthop  dev <if_1> weight 1 \
 nexthop  dev <if_2> weight 1

"Nispeten kolay" zor bir terimdir, ancak

1. her bağlantınız için yönlendirme tabloları ayarlama - tek bir varsayılan ağ geçidi ile bağlantı başına bir tablo
2. tek bir akışın tüm paketlerine aynı işaretleri damgalamak için netfilter kullanın
3. İşaretlere bağlı olarak paketleri farklı yönlendirme tabloları üzerinden yönlendirmek için ip kural tablosunu kullanın
4. oturumdaki ilk paketleri ağ geçitleriniz / bağlantılarınız arasında dengelemek için çok aşamalı ağırlıklı bir rota kullanın.

Bir olmamıştır netfilter posta listesinin en tartışma ben den listeleri çalıyorum bu konuda:

1. Yönlendirme kuralları (RPDB ve FIB)

ip route add default via <gw_1> lable link1
ip route add <net_gw1> dev <dev_gw1> table link1
ip route add default via <gw_2> table link2
ip route add <net_gw2> dev <dev_gw2> table link2

/sbin/ip route add default  proto static scope global table lb \
 nexthop  via <gw_1> weight 1 \
 nexthop  via <gw_2> weight 1

ip rule add prio 10 table main
ip rule add prio 20 from <net_gw1> table link1
ip rule add prio 21 from <net_gw2> table link2
ip rule add prio 50 fwmark 0x301 table link1
ip rule add prio 51 fwmark 0x302 table link2
ip rule add prio 100 table lb

ip route del default

2. Güvenlik duvarı kuralları ("flow" LB modunu zorlamak için ipset kullanarak)

ipset create lb_link1 hash:ip,port,ip timeout 1200
ipset create lb_link2 hash:ip,port,ip timeout 1200

# Set firewall marks and ipset hash
iptables -t mangle -N SETMARK
iptables -t mangle -A SETMARK -o <if_gw1> -j MARK --set-mark 0x301
iptables -t mangle -A SETMARK -m mark --mark 0x301 -m set !
--match-set lb_link1 src,dstport,dst -j SET \
          --add-set lb_link1 src,dstport,dst
iptables -t mangle -A SETMARK -o <if_gw2> -j MARK --set-mark 0x302
iptables -t mangle -A SETMARK -m mark --mark 0x302 -m set !
--match-set lb_link2 src,dstport,dst -j SET \
          --add-set lb_link2 src,dstport,dst

# Reload marks by ipset hash
iptables -t mangle -N GETMARK
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link1 src,dstport,dst -j MARK --set-mark 0x301
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link2 src,dstport,dst -j MARK --set-mark 0x302

# Defining and save firewall marks
iptables -t mangle -N CNTRACK
iptables -t mangle -A CNTRACK -o <if_gw1> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -o <if_gw2> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -m mark ! --mark 0x0 -j CONNMARK --save-mark
iptables -t mangle -A POSTROUTING -j CNTRACK

# Reload all firewall marks
# Use OUTPUT chain for local access (Squid proxy, for example)
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j GETMARK
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j GETMARK

Yukarıdakilerin bazı varyasyonları için netfilter posta listesi tartışmasını takip etmek isteyebilirsiniz.