thế nào để tránh định tuyến thông qua đống địa phương trong Linux

Question

Tôi có môi trường sau đây: 2 host, mỗi với 2 giao diện Ethernet kết nối với eachother (như trên sơ đồ dưới đây):

+---------+    +---------+      
|  (1)+---------------+(2)  |  
| host1 |    | host2 | 
|   |    |   | 
|  (3)+---------------+(4)  | 
+---------+    +---------+ 

Tôi muốn viết client/công cụ socket máy chủ sẽ mở cả ổ cắm máy khách và máy chủ trên host1. Tôi muốn khách hàng gửi gói TCP thông qua giao diện (1) và máy chủ để nghe trên giao diện (3), gói đó sẽ đi qua host2.

Thông thường, ngăn xếp Linux sẽ định tuyến các gói này thông qua ngăn xếp TCP/IP cục bộ mà không gửi chúng đến host2.

Tôi đã cố gắng sử dụng SO_BINDTODEVICE tùy chọn cho cả máy chủ và máy khách và có vẻ như máy chủ thực sự được liên kết với giao diện (3) và không nghe lưu lượng cục bộ. Tôi đã kiểm tra client đó từ host1 không thể chấp nhận được trong khi client từ host2 thực hiện.

Thật không may là các gói tin của khách hàng không được gửi đi (thậm chí tcpdump trên giao diện (1) không thấy các gói) thông qua giao diện (1) đến giao diện (2). Định tuyến của khóa học là chính xác (tôi có thể ping (2) từ (1), (4) từ (1), (4) từ (3) vv).

Câu hỏi của tôi là liệu điều này có thể được triển khai mà không sử dụng ngăn xếp TCP/IP tùy chỉnh không?

Có lẽ tôi nên cố gắng thay đổi địa chỉ IP đích (từ máy khách) thành mạng bên ngoài (và sau đó sẽ được gửi bằng cổng mặc định từ giao diện (1) - giao diện (2)) và sau đó đăng lại thay đổi lại bản gốc? Giải pháp đó có thể hoạt động không?

Tôi đang viết đơn đăng ký của mình bằng C dưới Debian.

Thêm một số chi tiết và làm rõ:

1. tất nhiên cả cặp (1) - (2) và (3) - (4) là mạng con khác nhau
2. những gì tôi muốn đạt được là (1) -> (2) -> (4) -> (3)
3. host2 là hộp đen vì vậy tôi không thể cài đặt ở đó bất kỳ gói chuyển tiếp nào (sẽ mở ổ cắm nghe trên giao diện (2) và chuyển tiếp đến (3) đến (4)) - đây chính là điều tôi muốn tránh

T vấn đề chính của ông dường như là giao hàng địa phương. Khi tôi mở socket trên host1 và muốn kết nối với socket, đó là lắng nghe trên địa chỉ khác của cùng một máy chủ hạt nhân chỉ sử dụng stack địa phương để cung cấp các gói tin. Xem sơ đồ netfilter dưới đây:

--->[1]--->[ROUTE]--->[3]--->[4]---> 
      |   ^
      |   | 
      |   [ROUTE] 
      v   | 
      [2]   [5] 
      |   ^
      |   | 
      v   | 

gói đang trải qua [5] NF_IP_LOCAL_OUT và [2] NF_IP_LOCAL_IN trong khi tôi muốn buộc họ phải đi qua [4].

Answer 1

Bạn có thể gán các mạng con khác nhau cho (1) - (2) và (3) - (4) cặp và host2 chuyển tiếp các gói từ (2) đến (3). Máy khách trên host1 sẽ kết nối đến địa chỉ của (2), vì vậy ngăn xếp mạng cục bộ sẽ không biết rằng máy chủ đích thực sự đang chạy cục bộ.

Answer 2

chưa được kiểm tra (nên làm việc, nhưng tôi có thể có một cái gì đó bỏ lỡ):

Linux có một số bảng định tuyến.Bảng local chứa một số tuyến đường mà hạt nhân tự động thêm cho mọi địa chỉ IP được thêm vào máy chủ lưu trữ. Bạn có thể xem chúng với ip route show table local. Các tuyến đường được gắn nhãn là địa phương cho biết các tuyến đường địa phương đi qua giao diện vòng lặp. Bạn có thể xóa con đường đó và thêm một bình thường unicast lộ trình để thay thế nó:

ip route del table local <ip> dev <NIC> 
ip route add table local <ip> dev <NIC> 
ip route flush cache 

Lúc này cái hộp 1 của bạn sẽ cố gắng gửi IP datagram đến địa chỉ IP như thể nó là một địa chỉ từ xa, ví dụ như: nó sẽ sử dụng ARP. Vì vậy, hộp thứ 2 bạn sẽ phải hoặc là trả lời các yêu cầu ARP nếu nó được hoạt động như một router hoặc đang làm proxy ARP, hoặc bạn sẽ có thêm một hiệp hội để bộ nhớ cache ARP:

arp -s <ip> <MAC> 

Sau đó, có thể bạn sẽ phải vô hiệu hóa rp_filter trên giao diện:

echo 0 > /proc/sys/net/ipv4/conf/<NIC>/rp_filter 

Them một lần nữa, nếu điều này không làm việc, bạn có thể có thể thiết lập một cái gì đó với L2 NAT, sử dụng ebtables.

Answer 3

Đối với một nhiệm vụ rất giống tôi đang sử dụng kịch bản như:

ip rule add from all lookup local # add one more local table lookup rule with high pref 
ip rule del pref 0 # delete default local table lookup rule 
ip rout add ${ip3} via ${ip2} src ${ip1} table 100 # add correct route to some table 
ip rule add from all lookup 100 pref 1000 # add rule to lookup new table before local table