質問編集履歴

13

みやすくしました。

2019/09/15 16:20

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -168,8 +168,10 @@
168
168
 
169
169
  以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのpacketはなくなりました。
170
170
 
171
+
172
+
171
173
  ```
172
174
 
173
175
  [root@host ~]# ip route add 150.22.10.3/32 dev eth1
174
176
 
175
- ``
177
+ ```

12

追記2を削除しました。routeのcacheが消えていませんでした。

2019/09/15 16:20

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -172,18 +172,4 @@
172
172
 
173
173
  [root@host ~]# ip route add 150.22.10.3/32 dev eth1
174
174
 
175
- ```
175
+ ``
176
-
177
- ### 追記2
178
-
179
- コメントを受けまして、
180
-
181
- 以下のようにiptablesを設定してもeth0(WAN)へのpacketはなくなりました。
182
-
183
- ```
184
-
185
- [root@host ~]# iptables -A OUTPUT -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
186
-
187
- [root@host ~]# iptables -A FORWARD -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
188
-
189
- ```

11

追記

2019/09/15 16:20

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -166,10 +166,24 @@
166
166
 
167
167
  コメントを受けまして、
168
168
 
169
- 以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのパケットはなくなりました。
169
+ 以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのpacketはなくなりました。
170
170
 
171
171
  ```
172
172
 
173
173
  [root@host ~]# ip route add 150.22.10.3/32 dev eth1
174
174
 
175
175
  ```
176
+
177
+ ### 追記2
178
+
179
+ コメントを受けまして、
180
+
181
+ 以下のようにiptablesを設定してもeth0(WAN)へのpacketはなくなりました。
182
+
183
+ ```
184
+
185
+ [root@host ~]# iptables -A OUTPUT -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
186
+
187
+ [root@host ~]# iptables -A FORWARD -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
188
+
189
+ ```

10

修正

2019/09/15 16:12

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -166,7 +166,7 @@
166
166
 
167
167
  コメントを受けまして、
168
168
 
169
- 以下のようにeth1にrouteを追加するとeth0へのパケットはなくなりました。
169
+ 以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのパケットはなくなりました。
170
170
 
171
171
  ```
172
172
 

9

追記

2019/09/15 15:51

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -159,3 +159,17 @@
159
159
  150.22.0.0/16はお借りしているvpsサーバーのもつaddressです。
160
160
 
161
161
  srcで指定している150.22.13.3は、iptablesやrouteが設定されている対象のhostです。
162
+
163
+
164
+
165
+ ### 追記1
166
+
167
+ コメントを受けまして、
168
+
169
+ 以下のようにeth1にrouteを追加するとeth0へのパケットはなくなりました。
170
+
171
+ ```
172
+
173
+ [root@host ~]# ip route add 150.22.10.3/32 dev eth1
174
+
175
+ ```

8

タグを追加

2019/09/15 15:50

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
File without changes

7

メッセージを追記

2019/09/15 07:42

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -9,6 +9,8 @@
9
9
  ### わからないこと
10
10
 
11
11
  クラスターを組んでいるサーバー同士で、global ip addressを使ってWANで通信するところを、LANのinterfaceの経路に変更したのですが、一部WANのinterfaceを使う通信が起きるのはなぜでしょうか。
12
+
13
+ iptablesではLANに向かわせたいpacketを完全に捕捉できていると思うのですが、なぜかWANになってしまいます。
12
14
 
13
15
 
14
16
 

6

MARKの削除を修正

2019/09/15 07:35

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -102,6 +102,14 @@
102
102
 
103
103
  0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
104
104
 
105
+ [root@host ~]# iptables -t filter -L | grep MARK -B2
106
+
107
+ [root@host ~]# iptables -t nat -L | grep MARK -B2
108
+
109
+ [root@host ~]# iptables -t raw -L | grep MARK -B2
110
+
111
+ [root@host ~]
112
+
105
113
  ```
106
114
 
107
115
 

5

iptables 追記

2019/09/15 07:29

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -78,29 +78,29 @@
78
78
 
79
79
  ```
80
80
 
81
- [root@host ~]# iptables -t mangle -L | grep MARK -B2
81
+ [root@host ~]# iptables -t mangle -nvL | grep MARK -B2 -A2
82
82
 
83
- Chain FORWARD (policy ACCEPT)
83
+ Chain FORWARD (policy ACCEPT 11083 packets, 3982K bytes)
84
84
 
85
- target prot opt source destination
85
+ pkts bytes target prot opt in out source destination
86
86
 
87
- MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
87
+ 434K 154M MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
88
+
89
+ 0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match ! 0x100000/0x100000
90
+
91
+ 1200 251K ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
88
92
 
89
93
  --
90
94
 
91
- Chain OUTPUT (policy ACCEPT)
95
+ Chain OUTPUT (policy ACCEPT 104 packets, 11776 bytes)
92
96
 
93
- target prot opt source destination
97
+ pkts bytes target prot opt in out source destination
94
98
 
95
- MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
99
+ 102 4576 MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
96
100
 
97
- [root@host ~]# iptables -t filter -L | grep MARK -B2
101
+ 0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match ! 0x100000/0x100000
98
102
 
99
- [root@host ~]# iptables -t nat -L | grep MARK -B2
103
+ 0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
100
-
101
- [root@host ~]# iptables -t raw -L | grep MARK -B2
102
-
103
- [root@host ~]
104
104
 
105
105
  ```
106
106
 

4

MARKを追記

2019/09/15 07:27

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -78,21 +78,29 @@
78
78
 
79
79
  ```
80
80
 
81
- [root@host ~]# iptables -nvL OUTPUT -t mangle
81
+ [root@host ~]# iptables -t mangle -L | grep MARK -B2
82
82
 
83
- Chain OUTPUT (policy ACCEPT 1317 packets, 389K bytes)
83
+ Chain FORWARD (policy ACCEPT)
84
84
 
85
- pkts bytes target prot opt in out source destination
85
+ target prot opt source destination
86
86
 
87
- 102 4576 MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
87
+ MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
88
88
 
89
- [root@host ~]# iptables -nvL FORWARD -t mangle
89
+ --
90
90
 
91
- Chain FORWARD (policy ACCEPT 211K packets, 74M bytes)
91
+ Chain OUTPUT (policy ACCEPT)
92
92
 
93
- pkts bytes target prot opt in out source destination
93
+ target prot opt source destination
94
94
 
95
- 103K 37M MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
95
+ MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
96
+
97
+ [root@host ~]# iptables -t filter -L | grep MARK -B2
98
+
99
+ [root@host ~]# iptables -t nat -L | grep MARK -B2
100
+
101
+ [root@host ~]# iptables -t raw -L | grep MARK -B2
102
+
103
+ [root@host ~]
96
104
 
97
105
  ```
98
106
 

3

追記

2019/09/15 07:15

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -137,3 +137,7 @@
137
137
  nexthop dev eth5 weight 1
138
138
 
139
139
  ```
140
+
141
+ 150.22.0.0/16はお借りしているvpsサーバーのもつaddressです。
142
+
143
+ srcで指定している150.22.13.3は、iptablesやrouteが設定されている対象のhostです。

2

修正

2019/09/15 06:52

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
@@ -1 +1 @@
1
- パケットの経路変更ができません
1
+ packetの経路変更ができません
test CHANGED
@@ -27,6 +27,10 @@
27
27
  15:38:28.418688 IP 150.22.13.3.sun-sr-https > 150.22.10.3.48112: Flags [.], ack 4010106138, win 270, options [nop,nop,TS val 1732446 ecr 44156350], length 0
28
28
 
29
29
  ```
30
+
31
+
32
+
33
+ 150.22.13.3と150.22.10.3が内部のhostです。これをWAN用のeth0を使うことなく、eth1以降のLAN用のinterfaceを使って通信をしたいです。
30
34
 
31
35
 
32
36
 

1

修正

2019/09/15 06:49

投稿

urbainleverrier
urbainleverrier

スコア200

test CHANGED
File without changes
test CHANGED
@@ -1,6 +1,6 @@
1
1
  ### 実現したいこと
2
2
 
3
- - 内部のサーバー同士をプライベートな通信にさせたいです
3
+ - 内部のサーバー同士をprivateな通信にさせたいです
4
4
 
5
5
  - globalなnetworkの帯域を消費させたくないと思っています
6
6
 
@@ -32,9 +32,9 @@
32
32
 
33
33
  ### 設定した内容
34
34
 
35
- ipsetでホストアドレスを登録し、iptablesでOUTPUT CHAINとFORWARD CHAINで宛先がipsetに合致するものをMARKしました。
35
+ ipsetでhostaddressを登録し、iptablesでOUTPUT CHAINとFORWARD CHAINで宛先がipsetに合致するものをMARKしました。
36
36
 
37
- policy based routingでMARKされたパケットをLANのインターフェースに流すといった具合に行いました。
37
+ policy based routingでMARKされたpacketをLANのinterfaceに流すといった具合に行いました。
38
38
 
39
39
 
40
40