Linuxソースルーティング、強力なエンドシステムモデル/強力なホストモデル？

Question

これを行うには、ファイアウォールルールを追加するだけでは不十分です。同じハードウェアとプロセスを共有する2つの独立したシステムであるかのように、システムはトラフィックをルーティングしたいと思います。これが事実上強力なESモデルです。

目標がLinuxで強力なESモデルを実装することである場合は、まず次のsysctl設定が必要です。

net.ipv4.conf.all.arp_filter=1 
net.ipv4.conf.all.arp_ignore=1 # or even 2
net.ipv4.conf.all.arp_announce=2

これらの設定は、ARPの動作が強力なESモデルに従うようにします。つまり、ARP要求が受信されると、正確に要求されたアドレスを持つインターフェイスのみが応答し、元のアドレスに向けられたトラフィックだけが実際にその特定のアドレスを介して送信されます。住所相互作用。

その後、5つのインターフェイスがあるため、ルーティングの観点から異なる動作をしたいので、5つのカスタムルートテーブルを設定する必要があります。数字を使用して識別できますが、通常は名前を付けることがより明確です。したがって、各項目について、1から252までの数字と適切な名前を選択してください。（0、253、254、255番は予約されています。）

たとえば、100 = rtable0、101 = rtable1、102 = rtable2、103 = rtable3、104 = rtable4 を選択します。ファイルの末尾に次の番号と名前を追加してください/etc/iproute2/rt_tables。

# ...default stuff above...
100    rtable0
101    rtable1
102    rtable2
103    rtable3
104    rtable4

次に、各インターフェイスに適した最小パスエントリセットで各カスタムパステーブルを入力します。（実際の値を説明的に名前を付けたい環境変数名に置き換えました。）

ip route add $ETH0_NET dev eth0 proto static src $ETH0_IP table rtable0
ip route add default via $ETH0_GW dev eth0 proto static src $ETH0_IP table rtable0

ip route add $ETH1_NET dev eth1 proto static src $ETH1_IP table rtable1
ip route add default via $ETH1_GW dev eth1 proto static src $ETH1_IP table rtable1

# ... and so on, for all 5 interfaces

最後に、各パケットの送信元アドレスを確認し、それに応じて使用するルーティングテーブルを選択する高度なルーティングルールを追加します。

ip rule add from $ETH0_IP table rtable0
ip rule add from $ETH1_IP table rtable1
#...

再起動後もこれらの設定をすべて維持するには、Linux 配布ルールに合わせてカスタム起動スクリプト（またはスクリプト）をifup-pre作成する必要があります。ifup-post

セキュリティを強化するために、インターフェイス固有のiptablesルールを追加して、間違ったインターフェイスで受信される可能性があるすべての受信パケットを自動的にドロップできます。すべてが順調に進む場合、これらのパケットの数はゼロのままにする必要があります。パケットの数が増加し始めると、設定に何かがない可能性があります。

iptables -A INPUT -m addrtype --dst-type UNICAST -i eth0 ! -d $ETH0_IP -j DROP
iptables -A INPUT -m addrtype --dst-type UNICAST -i eth1 ! -d $ETH1_IP -j DROP
# ... and so on for each interface

メモ:私はRick Jonesと他のネットワーキングの専門家の古いインターネットの議論に基づいてこれらの設定を実装したことがあります。彼らは「すべてが明らかに見えますが、必要Linuxで強力なホストモデルの動作を達成するためにこれが可能であることを保証することはできません。適切利用可能なすべてのユースケースについて」。

警告する:この設定を設定するときは、システムへの一種のローカルまたはリモートコンソールアクセス権があることを確認してください。この設定はネットワークアクセスを完全に台無しにする可能性が高く、これは戦闘の半分にすぎません。

（N-1）カスタムルーティングテーブルのみを使用してNインターフェイスを設定することは可能ですが、個人的に好むのは、高度なルーティングを使用するときにすべてのルーティング設定をカスタムテーブルに移動することです。システムに明らかにネットワーク接続があるときに本質的に空白または空になるroute -nことはip route show、非常に特別なことが進行中であるという非常に重要な手がかりになります。それでも、このようなシステムを設定するときに/etc/motd高度なルーティングが適用され、それを設定する実際のスクリプトがどこにあるかを永続的な通知も設定します。

Answer 1