複数のアップリンク/サプライヤーへのルーティング

Question 1

私の設定は少し複雑で、システムのNATと動的（内部）ルーティングも含みます。

いくつかの部分があります。ルールから始めましょう。

Maginot:~# ip rule ls
0:      from all lookup local 
1000:   from all lookup main 
1500:   from 173.167.51.136/29 lookup comcast 
1501:   from 76.160.165.106/29 lookup cavtel 
1502:   from 151.200.251.90/31 lookup vzdsl 
1502:   from 151.200.251.92/31 lookup vzdsl 
1502:   from 151.200.251.94 lookup vzdsl 
2000:   from all fwmark 0x1 lookup comcast 
2001:   from all fwmark 0x2 lookup cavtel 
2002:   from all fwmark 0x3 lookup vzdsl 
2500:   from all lookup comcast 
2501:   from all lookup cavtel 
2502:   from all lookup vzdsl 
32767:  from all lookup default

（このテーブルの名前はにあります/etc/iproute2/rt_tables。）

ご覧のとおり、現在、3つのISPがあり、各ISPには複数の静的IPアドレスがあります。規則1500-1502は、これらの送信元IPアドレスから適切なインターフェイスにトラフィックを送信します。規則2000-2002は、指定されたファイアウォールタグ（これについては説明します）を含むトラフィックを適切なインターフェイスに送信します。規則2500-2502は、ISPにまだ割り当てられていないトラフィックに対してISPの優先順位を付与します。いずれかが失敗した場合は、そのルールを削除してリスト内の次のルールを使用できます。

各ルーティングテーブルは非常に簡単です。

Maginot:~# ip route ls table comcast
default via 173.167.51.142 dev comcast

（ローカルとメインにはより多くのコンテンツがありますが、それぞれ直接接続と内部パスです。テーブルはデフォルトで空です。）

次に、接続がISPに割り当てられている場合は、その接続をそのまま維持することが重要です（受信接続を含む）。インターフェイスごとにIPアドレスが異なり、ISPが実際にリバースパスフィルタリングを備えているため、移動を試みることは不可能です。ファイアウォールルールを使用して同じISPに保存します。

SNATが完了したことを覚えておいてください後ろにルーティングのため、ip rule戦略は役に立ちません。他のものを使用する必要があります（多分それは問題ですか？）

iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j RETURN # if already set, we're done
iptables -t mangle -A PREROUTING -i wan                                       -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A PREROUTING -i comcast                                   -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A PREROUTING -i vz-dsl                                    -j MARK --set-mark $MARK_VZDSL

iptables -t mangle -A POSTROUTING -o wan     -j MARK --set-mark $MARK_CAVTEL
iptables -t mangle -A POSTROUTING -o comcast -j MARK --set-mark $MARK_COMCAST
iptables -t mangle -A POSTROUTING -o vz-dsl  -j MARK --set-mark $MARK_VZDSL
iptables -t mangle -A POSTROUTING -j CONNMARK --save-mark

これはこれを設定するシェルスクリプトからのものです。変数は$MARK_…上記のルールで見たタグと一致します。とても簡単です。接続タグを復元します（タグはパケット単位であることを忘れないでください）。これで（接続タグから）タグがあると、タスクは完了しました。それ以外の場合は、関連するインターフェイスに従ってフラグが設定されます。

マークが復元されます。今後パスを指定して後でのみ保存してください。とにかくフラグは発信インターフェイスに設定されます（議論の余地があります）。

最後に、実際のNATルールがあります。いくつかのローカルプレフィックスがあります。このコードは for ループで実行され、プレフィックスごと$localに設定されます。

iptables -t nat -A POSTROUTING -s $local -o wan     -j SNAT --to-source 76.160.165.106
iptables -t nat -A POSTROUTING -s $local -o comcast -j SNAT --to-source 173.167.51.137
iptables -t nat -A POSTROUTING -s $local -o vz-dsl  -j SNAT --to-source 151.200.251.90

（注：一部のDMZサーバーのDNATなど、より多くの規則があります。関連項目はすべてコピーしたようです。）

Answer