質問編集履歴
13
みやすくしました。
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -168,8 +168,10 @@
|
|
|
168
168
|
|
|
169
169
|
以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのpacketはなくなりました。
|
|
170
170
|
|
|
171
|
+
|
|
172
|
+
|
|
171
173
|
```
|
|
172
174
|
|
|
173
175
|
[root@host ~]# ip route add 150.22.10.3/32 dev eth1
|
|
174
176
|
|
|
175
|
-
``
|
|
177
|
+
```
|
12
追記2を削除しました。routeのcacheが消えていませんでした。
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -172,18 +172,4 @@
|
|
|
172
172
|
|
|
173
173
|
[root@host ~]# ip route add 150.22.10.3/32 dev eth1
|
|
174
174
|
|
|
175
|
-
``
|
|
175
|
+
``
|
|
176
|
-
|
|
177
|
-
### 追記2
|
|
178
|
-
|
|
179
|
-
コメントを受けまして、
|
|
180
|
-
|
|
181
|
-
以下のようにiptablesを設定してもeth0(WAN)へのpacketはなくなりました。
|
|
182
|
-
|
|
183
|
-
```
|
|
184
|
-
|
|
185
|
-
[root@host ~]# iptables -A OUTPUT -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
|
|
186
|
-
|
|
187
|
-
[root@host ~]# iptables -A FORWARD -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
|
|
188
|
-
|
|
189
|
-
```
|
11
追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -166,10 +166,24 @@
|
|
|
166
166
|
|
|
167
167
|
コメントを受けまして、
|
|
168
168
|
|
|
169
|
-
以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)への
|
|
169
|
+
以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのpacketはなくなりました。
|
|
170
170
|
|
|
171
171
|
```
|
|
172
172
|
|
|
173
173
|
[root@host ~]# ip route add 150.22.10.3/32 dev eth1
|
|
174
174
|
|
|
175
175
|
```
|
|
176
|
+
|
|
177
|
+
### 追記2
|
|
178
|
+
|
|
179
|
+
コメントを受けまして、
|
|
180
|
+
|
|
181
|
+
以下のようにiptablesを設定してもeth0(WAN)へのpacketはなくなりました。
|
|
182
|
+
|
|
183
|
+
```
|
|
184
|
+
|
|
185
|
+
[root@host ~]# iptables -A OUTPUT -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
|
|
186
|
+
|
|
187
|
+
[root@host ~]# iptables -A FORWARD -t mangle -d 150.22.10.3 -j MARK --set-mark 0x100000
|
|
188
|
+
|
|
189
|
+
```
|
10
修正
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -166,7 +166,7 @@
|
|
|
166
166
|
|
|
167
167
|
コメントを受けまして、
|
|
168
168
|
|
|
169
|
-
以下のようにeth1にrouteを追加するとeth0へのパケットはなくなりました。
|
|
169
|
+
以下のようにeth1(LAN)にrouteを追加するとeth0(WAN)へのパケットはなくなりました。
|
|
170
170
|
|
|
171
171
|
```
|
|
172
172
|
|
9
追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -159,3 +159,17 @@
|
|
|
159
159
|
150.22.0.0/16はお借りしているvpsサーバーのもつaddressです。
|
|
160
160
|
|
|
161
161
|
srcで指定している150.22.13.3は、iptablesやrouteが設定されている対象のhostです。
|
|
162
|
+
|
|
163
|
+
|
|
164
|
+
|
|
165
|
+
### 追記1
|
|
166
|
+
|
|
167
|
+
コメントを受けまして、
|
|
168
|
+
|
|
169
|
+
以下のようにeth1にrouteを追加するとeth0へのパケットはなくなりました。
|
|
170
|
+
|
|
171
|
+
```
|
|
172
|
+
|
|
173
|
+
[root@host ~]# ip route add 150.22.10.3/32 dev eth1
|
|
174
|
+
|
|
175
|
+
```
|
8
タグを追加
test
CHANGED
|
File without changes
|
test
CHANGED
|
File without changes
|
7
メッセージを追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -9,6 +9,8 @@
|
|
|
9
9
|
### わからないこと
|
|
10
10
|
|
|
11
11
|
クラスターを組んでいるサーバー同士で、global ip addressを使ってWANで通信するところを、LANのinterfaceの経路に変更したのですが、一部WANのinterfaceを使う通信が起きるのはなぜでしょうか。
|
|
12
|
+
|
|
13
|
+
iptablesではLANに向かわせたいpacketを完全に捕捉できていると思うのですが、なぜかWANになってしまいます。
|
|
12
14
|
|
|
13
15
|
|
|
14
16
|
|
6
MARKの削除を修正
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -102,6 +102,14 @@
|
|
|
102
102
|
|
|
103
103
|
0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
|
|
104
104
|
|
|
105
|
+
[root@host ~]# iptables -t filter -L | grep MARK -B2
|
|
106
|
+
|
|
107
|
+
[root@host ~]# iptables -t nat -L | grep MARK -B2
|
|
108
|
+
|
|
109
|
+
[root@host ~]# iptables -t raw -L | grep MARK -B2
|
|
110
|
+
|
|
111
|
+
[root@host ~]
|
|
112
|
+
|
|
105
113
|
```
|
|
106
114
|
|
|
107
115
|
|
5
iptables 追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -78,29 +78,29 @@
|
|
|
78
78
|
|
|
79
79
|
```
|
|
80
80
|
|
|
81
|
-
[root@host ~]# iptables -t mangle -L | grep MARK -B2
|
|
81
|
+
[root@host ~]# iptables -t mangle -nvL | grep MARK -B2 -A2
|
|
82
82
|
|
|
83
|
-
Chain FORWARD (policy ACCEPT)
|
|
83
|
+
Chain FORWARD (policy ACCEPT 11083 packets, 3982K bytes)
|
|
84
84
|
|
|
85
|
-
target prot opt source destination
|
|
85
|
+
pkts bytes target prot opt in out source destination
|
|
86
86
|
|
|
87
|
-
MARK all --
|
|
87
|
+
434K 154M MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
|
|
88
|
+
|
|
89
|
+
0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match ! 0x100000/0x100000
|
|
90
|
+
|
|
91
|
+
1200 251K ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
|
|
88
92
|
|
|
89
93
|
--
|
|
90
94
|
|
|
91
|
-
Chain OUTPUT (policy ACCEPT)
|
|
95
|
+
Chain OUTPUT (policy ACCEPT 104 packets, 11776 bytes)
|
|
92
96
|
|
|
93
|
-
target prot opt source destination
|
|
97
|
+
pkts bytes target prot opt in out source destination
|
|
94
98
|
|
|
95
|
-
MARK all --
|
|
99
|
+
102 4576 MARK all -- * * 0.0.0.0/0 0.0.0.0/0 match-set internal-hosts dst MARK set 0x100000
|
|
96
100
|
|
|
97
|
-
|
|
101
|
+
0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match ! 0x100000/0x100000
|
|
98
102
|
|
|
99
|
-
|
|
103
|
+
0 0 ACCEPT all -- * * 0.0.0.0/0 150.22.10.3 mark match 0x100000/0x100000
|
|
100
|
-
|
|
101
|
-
[root@host ~]# iptables -t raw -L | grep MARK -B2
|
|
102
|
-
|
|
103
|
-
[root@host ~]
|
|
104
104
|
|
|
105
105
|
```
|
|
106
106
|
|
4
MARKを追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -78,21 +78,29 @@
|
|
|
78
78
|
|
|
79
79
|
```
|
|
80
80
|
|
|
81
|
-
[root@host ~]# iptables -
|
|
81
|
+
[root@host ~]# iptables -t mangle -L | grep MARK -B2
|
|
82
82
|
|
|
83
|
-
Chain O
|
|
83
|
+
Chain FORWARD (policy ACCEPT)
|
|
84
84
|
|
|
85
|
-
|
|
85
|
+
target prot opt source destination
|
|
86
86
|
|
|
87
|
-
|
|
87
|
+
MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
|
|
88
88
|
|
|
89
|
-
|
|
89
|
+
--
|
|
90
90
|
|
|
91
|
-
Chain
|
|
91
|
+
Chain OUTPUT (policy ACCEPT)
|
|
92
92
|
|
|
93
|
-
|
|
93
|
+
target prot opt source destination
|
|
94
94
|
|
|
95
|
-
|
|
95
|
+
MARK all -- anywhere anywhere match-set internal-hosts dst MARK set 0x100000
|
|
96
|
+
|
|
97
|
+
[root@host ~]# iptables -t filter -L | grep MARK -B2
|
|
98
|
+
|
|
99
|
+
[root@host ~]# iptables -t nat -L | grep MARK -B2
|
|
100
|
+
|
|
101
|
+
[root@host ~]# iptables -t raw -L | grep MARK -B2
|
|
102
|
+
|
|
103
|
+
[root@host ~]
|
|
96
104
|
|
|
97
105
|
```
|
|
98
106
|
|
3
追記
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -137,3 +137,7 @@
|
|
|
137
137
|
nexthop dev eth5 weight 1
|
|
138
138
|
|
|
139
139
|
```
|
|
140
|
+
|
|
141
|
+
150.22.0.0/16はお借りしているvpsサーバーのもつaddressです。
|
|
142
|
+
|
|
143
|
+
srcで指定している150.22.13.3は、iptablesやrouteが設定されている対象のhostです。
|
2
修正
test
CHANGED
|
@@ -1 +1 @@
|
|
|
1
|
-
|
|
1
|
+
packetの経路変更ができません
|
test
CHANGED
|
@@ -27,6 +27,10 @@
|
|
|
27
27
|
15:38:28.418688 IP 150.22.13.3.sun-sr-https > 150.22.10.3.48112: Flags [.], ack 4010106138, win 270, options [nop,nop,TS val 1732446 ecr 44156350], length 0
|
|
28
28
|
|
|
29
29
|
```
|
|
30
|
+
|
|
31
|
+
|
|
32
|
+
|
|
33
|
+
150.22.13.3と150.22.10.3が内部のhostです。これをWAN用のeth0を使うことなく、eth1以降のLAN用のinterfaceを使って通信をしたいです。
|
|
30
34
|
|
|
31
35
|
|
|
32
36
|
|
1
修正
test
CHANGED
|
File without changes
|
test
CHANGED
|
@@ -1,6 +1,6 @@
|
|
|
1
1
|
### 実現したいこと
|
|
2
2
|
|
|
3
|
-
- 内部のサーバー同士を
|
|
3
|
+
- 内部のサーバー同士をprivateな通信にさせたいです
|
|
4
4
|
|
|
5
5
|
- globalなnetworkの帯域を消費させたくないと思っています
|
|
6
6
|
|
|
@@ -32,9 +32,9 @@
|
|
|
32
32
|
|
|
33
33
|
### 設定した内容
|
|
34
34
|
|
|
35
|
-
ipsetで
|
|
35
|
+
ipsetでhostのaddressを登録し、iptablesでOUTPUT CHAINとFORWARD CHAINで宛先がipsetに合致するものをMARKしました。
|
|
36
36
|
|
|
37
|
-
policy based routingでMARKされた
|
|
37
|
+
policy based routingでMARKされたpacketをLANのinterfaceに流すといった具合に行いました。
|
|
38
38
|
|
|
39
39
|
|
|
40
40
|
|