IProute2 का उपयोग करके लिनक्स पर रूटिंग और पॉलिसी-राउटिंग

यह लेख लिनक्स में नेटवर्क पैकेट को रूट करने पर केंद्रित होगा। विशेष रूप से, रूटिंग के प्रकार के बारे में जिसे पॉलिसी-रूटिंग ( नीति-आधारित रूटिंग ) कहा जाता है। इस प्रकार की रूटिंग क्लासिक गंतव्य-राउटिंग रूटिंग तंत्र (गंतव्य पते पर आधारित मार्ग) के विपरीत, पैकेट को काफी लचीले नियमों के आधार पर रूट करने की अनुमति देता है। यदि कई नेटवर्क इंटरफेस हैं और आपको एक विशिष्ट इंटरफ़ेस के लिए विशिष्ट पैकेट भेजने की आवश्यकता है, तो नीति-रूटिंग लागू किया जाता है, और पैकेट केवल गंतव्य पते से निर्धारित नहीं होते हैं। उदाहरण के लिए, पॉलिसी-रूटिंग का उपयोग किया जा सकता है: कई बाहरी चैनलों (अपलिंक) के बीच ट्रैफ़िक को संतुलित करना, कई अपलिंक के मामले में सर्वर तक पहुँच प्रदान करना, विभिन्न आंतरिक पतों के माध्यम से विभिन्न आंतरिक पतों से पैकेट भेजना, यदि आवश्यक हो, तो अलग-अलग टीसीपी पोर्ट पर भी भेजने के लिए। विभिन्न इंटरफेस आदि के माध्यम से।

लिनक्स में नेटवर्क इंटरफेस, रूटिंग और शेपिंग का प्रबंधन करने के लिए iproute2 यूटिलिटी पैकेज का उपयोग करें।



उपयोगिताओं का यह सेट केवल सेटिंग्स सेट करता है, वास्तव में, सभी काम लिनक्स कर्नेल द्वारा किया जाता है। कर्नेल द्वारा पॉलिसी-रूटिंग का समर्थन करने के लिए, इसे IP: उन्नत राउटर ( CONFIG_IP_ADVANCED_ROUTER ) और IP: नीति रूटिंग ( CONFIG_IP_MULTIPLEABABLES ) विकल्पों के साथ संकलित करना चाहिए , जो नेटवर्किंग समर्थन -> नेटवर्किंग विकल्प -> टीसीपी / आईपी नेटवर्किंग के तहत स्थित हैं।

आईपी ​​मार्ग

रूटिंग को कॉन्फ़िगर करने के लिए, आईपी मार्ग कमांड का उपयोग करें। मापदंडों के बिना निष्पादित, यह वर्तमान रूटिंग नियमों की सूची दिखाएगा (सभी नियम नहीं, बाद में उस पर अधिक)

  # आईपी मार्ग
 192.168.12.0/24 देव eth0 प्रोटो कर्नेल स्कोप लिंक src 192.168.12.101
 192.168.12.1 देव eth0 के माध्यम से डिफ़ॉल्ट 

यह आईपी एड्रेस 192.168.12.101 सबनेट मास्क 255.255.255.0 के साथ और eth0 इंटरफेस पर डिफ़ॉल्ट गेटवे 192.168.12.1 का उपयोग करते समय रूटिंग जैसा दिखेगा।

हम देखते हैं कि 192.168.12.0/24 सबनेट पर ट्रैफ़िक eth0 इंटरफ़ेस से होकर जाता है। proto kernel



अर्थ है कि आईपी इंटरफ़ेस सेट करते समय कर्नेल द्वारा स्वचालित रूप से रूट किया गया था। scope link



मतलब है कि यह प्रविष्टि केवल इस इंटरफ़ेस (eth0) के लिए मान्य है। src 192.168.12.101



पैकेट के लिए प्रेषक का आईपी पता सेट करता है जो इस रूटिंग नियम के अंतर्गत आता है।

192.168.12.0/24 सबनेट में न आने वाले किसी भी अन्य होस्ट का ट्रैफ़िक, eth0 इंटरफ़ेस के माध्यम से 192.168.12.1 गेटवे ( default via 192.168.12.1 dev eth0



) तक जाएगा। वैसे, जब गेटवे पर पैकेट भेजते हैं, तो गंतव्य आईपी पता नहीं बदलता है, बस ईथरनेट फ्रेम में गेटवे के मैक पते को प्राप्तकर्ता के मैक पते के रूप में इंगित किया जाएगा (अक्सर अनुभव वाले विशेषज्ञ भी इस बिंदु पर भ्रमित होते हैं)। गेटवे, बदले में, प्रेषक के आईपी पते को बदल देता है यदि NAT का उपयोग किया जाता है, या बस पैकेट को आगे भेजता है। इस मामले में, एक निजी पते (192.168.12.101) का उपयोग किया जाता है, इसलिए गेटवे सबसे अधिक संभावना एनएटी करता है।

और अब हम रूटिंग में गहराई से जाएंगे। वास्तव में, कई रूटिंग टेबल हैं, और आप अपनी रूटिंग टेबल भी बना सकते हैं। स्थानीय , मुख्य और डिफ़ॉल्ट तालिकाएँ प्रारंभ में पूर्वनिर्धारित हैं। कर्नेल स्थानीय IP पतों के लिए स्थानीय तालिका में प्रविष्टियाँ लिखता है (ताकि इन IP पतों पर ट्रैफ़िक स्थानीय रहे और बाहरी नेटवर्क पर जाने की कोशिश न करे), साथ ही ब्रॉडकास्टके लिए भी। मुख्य तालिका मुख्य तालिका है और इसका उपयोग तब किया जाता है यदि कमांड यह इंगित नहीं करती है कि किस तालिका का उपयोग करना है (यानी, हमने ऊपर की मुख्य तालिका देखी)। डिफ़ॉल्ट तालिका प्रारंभ में रिक्त है। आइए स्थानीय तालिका की सामग्री पर एक नज़र डालें:

  # आईपी रूट शो टेबल लोकल
 127.255.255.255 देव लो प्रोटो कर्नेल स्कोप लिंक src 127.0.0.1 प्रसारित करें
 प्रसारण 192.168.12.255 देव एथो प्रोटो कर्नेल स्कोप लिंक src 192.168.12.101
 प्रसारण 192.168.12.0 देव एथ0 प्रोटो कर्नेल स्कोप लिंक src 192.168.12.101
 स्थानीय 192.168.12.101 देव एथ 0 प्रोटो कर्नेल स्कोप होस्ट src 192.168.12.101
 127.0.0.0 देव लो प्रोटो कर्नेल स्कोप लिंक src 127.0.0.1 प्रसारित करें
 स्थानीय 127.0.0.1 देव लो प्रोटो कर्नेल स्कोप होस्ट src 127.0.0.1
 स्थानीय 127.0.0.0/8 देव लो प्रोटो कर्नेल स्कोप होस्ट src 127.0.0.1 

broadcast



और local



रिकॉर्डिंग के प्रकारों को निर्धारित करते हैं (हमने ऊपर default



प्रकार को देखा)। प्रकार broadcast



मतलब है कि इस रिकॉर्ड के अनुरूप पैकेट को इंटरफ़ेस सेटिंग्स के अनुसार प्रसारण पैकेट के रूप में भेजा जाएगा। local



- पैकेट स्थानीय रूप से भेजे जाएंगे। scope host



इंगित करता है कि यह प्रविष्टि केवल इस होस्ट के लिए मान्य है।

किसी विशिष्ट तालिका की सामग्री को देखने के लिए ip route show table TABLE_NAME



कमांड का उपयोग करें। सभी तालिकाओं की सामग्री को देखने के लिए, unspec



all



, unspec



या 0



unspec



निर्दिष्ट करें। सभी तालिकाओं में वास्तव में डिजिटल पहचानकर्ता होते हैं, उनके प्रतीकात्मक नाम फ़ाइल / etc / iproute2 / rt_tables में सेट किए जाते हैं और केवल सुविधा के लिए उपयोग किए जाते हैं।

आईपी ​​नियम

कर्नेल पैकेट को भेजने के लिए किस तालिका का चयन करता है? सब कुछ तार्किक है - इसके लिए नियम हैं। हमारे मामले में:

  # आईपी नियम
 0: सभी लुकअप लोकल से
 32766: सभी मुख्य लुकअप से
 32767: सभी लुकअप डिफ़ॉल्ट से 

पंक्ति की शुरुआत में संख्या नियम का पहचानकर्ता है, from all



से स्थिति है, किसी भी पते से पैकेट का मतलब है, lookup



इंगित करता है कि पैकेट किस तालिका को भेजा जाए। यदि एक पैकेट कई नियमों के तहत आता है, तो यह उन सभी के माध्यम से पहचानकर्ता के आरोही क्रम में जाता है। बेशक, यदि कोई पैकेट किसी रूटिंग रिकॉर्ड से मेल खाता है, तो यह बाद के राउटिंग रिकॉर्ड और बाद के नियमों को पारित नहीं करेगा।

संभावित स्थितियां:

• from
  
  
  
  - हमने पहले ही ऊपर विचार किया है, यह पैकेट भेजने वाले का एक चेक है।
• पैकेट का रिसीवर है।
• iif
  
  
  
  उस इंटरफेस का नाम है जिस पर पैकेट आया था।
• oif
  
  
  
  - इंटरफ़ेस का नाम जिसमें से पैकेट निकलता है। यह स्थिति केवल एक विशिष्ट इंटरफ़ेस से बंधे स्थानीय सॉकेट से उत्पन्न पैकेट पर लागू होती है।
• आईपी ​​पैकेट के टीओएस फ़ील्ड का मान है।
• fwmark
  
  
  
  - FWMARK पैकेट के मूल्य की जाँच करें। यह स्थिति नियमों का जबरदस्त लचीलापन देती है। iptables
  
  
  
  नियमों का उपयोग करके, आप बड़ी संख्या में संकेतों द्वारा पैकेट फ़िल्टर कर सकते हैं और कुछ FWMARK मान सेट कर सकते हैं। और फिर रूट करते समय इन मूल्यों को ध्यान में रखें।

शर्तों को जोड़ा जा सकता है, उदाहरण के लिए, from 192.168.1.0/24 to 10.0.0.0/8



, और आप उपसर्ग c not



का भी उपयोग कर सकते हैं, जो इंगित करता है कि पैकेज को इस नियम के तहत आने के लिए शर्त को पूरा नहीं करना चाहिए।

इसलिए, हमने पता लगाया कि रूटिंग टेबल और रूटिंग नियम क्या हैं। और अपने स्वयं के तालिकाओं और रूटिंग नियमों को बनाना नीति-मार्ग है , यह PBR (नीति आधारित रूटिंग) भी है। वैसे, लिनक्स में एसबीआर (स्रोत आधारित रूटिंग) या स्रोत-राउटिंग नीति-मार्ग का एक विशेष मामला है, यह रूटिंग नियम में क्लॉज from



उपयोग है।

सरल उदाहरण है

अब एक साधारण उदाहरण पर विचार करें। हमारे पास एक निश्चित प्रवेश द्वार है, आईपी 192.168.1.20 वाले पैकेट इसके पास आते हैं। इस आईपी से पैकेट 10.1.0.1 गेटवे पर भेजा जाना चाहिए। इसे लागू करने के लिए, निम्नलिखित करें:

एक नियम के साथ एक तालिका बनाएँ:

  # आईपी मार्ग 10.1.0.1 तालिका 120 के माध्यम से डिफ़ॉल्ट जोड़ें 

हम एक नियम बनाते हैं जो वांछित टेबल पर आवश्यक पैकेट भेजता है:

  # आईपी नियम 192.168.1.20 टेबल 120 से जोड़ें 

जैसा कि आप देख सकते हैं, सब कुछ सरल है।

कई अपलिंक के माध्यम से सर्वर की उपलब्धता

अब एक और अधिक यथार्थवादी उदाहरण। दो प्रदाताओं के लिए दो अपलिंक हैं, दोनों चैनलों से सर्वर उपलब्धता सुनिश्चित करना आवश्यक है:



प्रदाताओं में से एक को डिफ़ॉल्ट मार्ग के रूप में उपयोग किया जाता है, चाहे वह कोई भी हो। इस स्थिति में, वेब सर्वर केवल इस प्रदाता के नेटवर्क के माध्यम से उपलब्ध होगा। किसी अन्य प्रदाता के नेटवर्क के माध्यम से अनुरोध आएंगे, लेकिन प्रतिक्रिया पैकेट डिफ़ॉल्ट गेटवे पर जाएंगे और इसका कुछ भी नहीं आएगा।

यह काफी सरलता से हल किया गया है:

तालिकाओं को परिभाषित करें:

  # आईपी मार्ग 11.22.33.1 तालिका 101 के माध्यम से डिफ़ॉल्ट जोड़ें
 # आईपी मार्ग 55.66.77.1 तालिका 102 के माध्यम से डिफ़ॉल्ट जोड़ें 

नियमों को परिभाषित करें:

  # आईपी नियम 11.22.33.44 तालिका 101 से जोड़ें
 # आईपी नियम 55.66.77.88 तालिका 102 से जोड़ें 

मुझे लगता है कि अब इन पंक्तियों का अर्थ स्पष्ट करना आवश्यक नहीं है। इसी तरह, आप दो से अधिक अपलिंक के लिए सर्वर उपलब्धता बना सकते हैं।

अपलिंक के बीच ट्रैफिक को संतुलित करना

यह एक सुंदर टीम द्वारा किया जाता है:

  # आईपी मार्ग डिफ़ॉल्ट स्कोप ग्लोबल को प्रतिस्थापित करता है
   nexthop 11.22.33.1 देव eth0 वजन 1 \ के माध्यम से
   नेक्सथॉप 55.66.77.1 देव एथ 1 वजन 1 के माध्यम से 

यह प्रविष्टि मुख्य तालिका में मौजूदा डिफ़ॉल्ट रूटिंग को बदल देगी। इस मामले में, मार्ग का चयन गेटवे ( weight



) के वजन के आधार पर किया जाएगा। उदाहरण के लिए, यदि आप 7 और 3 वज़न निर्दिष्ट करते हैं, तो 70% कनेक्शन पहले गेटवे के माध्यम से जाएंगे, और दूसरे के माध्यम से 30%। एक बिंदु है जिसे ध्यान में रखा जाना चाहिए: कर्नेल कैश रूट, और एक निश्चित गेटवे के माध्यम से किसी भी होस्ट के लिए मार्ग इस रिकॉर्ड तक अंतिम पहुंच के बाद कुछ समय के लिए तालिका में लटकाएगा। और अक्सर उपयोग किए जाने वाले मेजबानों का मार्ग रीसेट होने में समय नहीं हो सकता है और कैश में लगातार अपडेट किया जाएगा, उसी गेटवे पर शेष। यदि यह एक समस्या है, तो आप कभी-कभी कैश को मैन्युअल रूप से ip route flush cache



कमांड से साफ़ कर सकते हैं।

पैकेट लेबलिंग का उपयोग iptables के साथ करें

मान लीजिए हमें केवल 11.22.33.1 के माध्यम से छोड़ने के लिए पोर्ट 80 पर पैकेट की आवश्यकता है। ऐसा करने के लिए, निम्न कार्य करें:

  # iptables -t mangle -A OUTPUT -p tcp -m tcp --dport 80 -j MARK --set-mark 0x2

 # आईपी मार्ग 11.22.33.1 देव eth0 तालिका 102 के माध्यम से डिफ़ॉल्ट जोड़ें

 # आईपी नियम fwmark 0x2 / 0x2 लुकअप 102 जोड़ें 

पहले कमांड में 80 के पोर्ट पर जाने वाले सभी पैकेट के निशान हैं। दूसरी कमांड राउटिंग टेबल बनाती है। तीसरी टीम वांछित तालिका में संकेतित चिह्नों के साथ सभी पैकेज लपेटती है।

फिर, सब कुछ सरल है। Iptables CONNMARK मॉड्यूल का उपयोग करने पर भी विचार करें। यह आपको किसी विशेष कनेक्शन से संबंधित सभी पैकेटों को ट्रैक और चिह्नित करने की अनुमति देता है। उदाहरण के लिए, आप INPUT श्रृंखला में एक निश्चित विशेषता के अनुसार पैकेट को चिह्नित कर सकते हैं, और फिर इन कनेक्शन से संबंधित और OUTPUT श्रृंखला में स्वचालित रूप से पैकेट को चिह्नित कर सकते हैं। यह इस तरह प्रयोग किया जाता है:

  # iptables -t mangle -एक INPUT -i eth0 -j CONNMARK --सेट-मार्क 0x2
 # iptables -t mangle -एक INPUT -i eth1 -j CONNMARK --सेट-मार्क 0x4
 # iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark 

Eth0 के साथ आने वाले पैकेटों को 2 लेबल दिया जाता है, और eth1 - 4 (1 और 2 लाइनों) के साथ। तीसरी पंक्ति पर नियम यह जांचता है कि क्या पैकेट एक विशेष कनेक्शन से संबंधित है और आउटगोइंग पैकेट के लिए चिह्नों (जो आने वाले पैकेट के लिए निर्धारित थे) को पुनर्स्थापित करता है।

मुझे उम्मीद है कि प्रस्तुत सामग्री आपको लिनक्स में रूटिंग के पूर्ण लचीलेपन का मूल्यांकन करने में मदद करेगी। आपका ध्यान के लिए धन्यवाद :)