Добрый день.
Есть сервер (FreeBSD 5.1)с двумя сетевыми интерфейсами подключённый к двум сетям от разных провайдеров ISP1 и ISP2 (сети ISP1 - x.x.x.x/28 и ISP2 - y.y.y.y/29). На сервере шлюзом по умолчанию указан адрес маршрутизатора провайдера ISP1. В этой ситуации получается, что на пакет поступивший через второго провайдера ISP2 ответ уходит через первого провайдера ISP1 (срабатывает defaultrouter="IP-address ISP1"). Подскажите как можно настроить чтобы на запросы пришедшие от второго провайдера ISP2 ответные пакеты уходили бы также через него ISP2, а на пакеты поступившие от первого провайдера ISP1 ответы уходили через ISP1?
Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз.
Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще.
>Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз.
>Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще.Люблю бред на опеннет (с)
Посмотри мое сообщение в теме
http://www.opennet.me/openforum/vsluhforumID1/77632.htmlможет быть поможет :)
>Люблю бред на опеннет (с)
>
>Посмотри мое сообщение в теме
>http://www.opennet.me/openforum/vsluhforumID1/77632.htmlЕсли у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или второго. И рутер тоже не станет вспоминать на какой пакет он ответ шлёт, так что не катит ситуация
>Если у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда
>этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или
>второго. И рутер тоже не станет вспоминать на какой пакет он
>ответ шлёт, так что не катит ситуацияНа форуме часто задается вопрос, по поводу маршрутизации сети, подключенной к двум провайдерам.
В частном случае проблема расширяется тем, что нужно осуществлять проброс соединений к сервисам, расположенным в локальной сети.
Это делается с помощью DNAT, и при этом снова возникает проблема - по каналу какого провайдера отправлять ответ.
Проблема усугубляется тем, что обратное преобразование адресов выполняется уже после принятия решения о маршрутизации,
т.е. примерно в районе цепочки POSTROUTING, но скрытно от пользователя (в отличие от явного заворота на диверт в ipfw@freebsd).Решить эту нерешаемую проблему поможет модуль CONNMARK. Принцип работы маршрутизатора для решения описанной задачи будет выглядеть примерно так:
Входящие соединения маркируются определенным флажком, после чего делается их проброс в нужное назначение.
Каждый обратный пакет соединения _до принятия решения о маршрутизации_ маркируется флажком соответствующего ему соединения (флажок восстанавливается).
На основании флажков принимается решение о маршрутизации пакета в соответствующую сеть.
В нижеописанном примере обеспечение доступности сервиса по двум каналам/провайдерам делалось для локального сервиса маршрутизатора.
В связи с этим маркировка исходящих пакетов делается в цепочке OUTPUT таблицы mangle. Для проброса порта к серверу в локальной сети
(в DMZ) проверку и восстановление маркера надо делать в цепочке PREROUTING.
Таким образом, "обратный DNAT" будет происходить когда пакет уже будет идти по нужному маршруту.Все не маркированные пакеты будут идти по маршруту по умолчанию. В моем случае это первый провайдер first и айпи интерфейса first_ip.
Входящие пакеты/соединения с порта второго провайдера (destination <second_ip>) будут помечены маркером и к ним будет применен DNAT.
Все исходящие (обратные) пакеты будут промаркированы значением маркера соединения в цепочке OUTPUT таблицы mangle.Более корректным вариантом, не зависящим от значения шлюза по умолчанию, является обязательная маркировка пакетов для соединений
от любого провадера и создание соответствующих правил маршрутизации.
[root@test z]# iptables -t nat -nvL PREROUTING
Chain PREROUTING (policy ACCEPT 144M packets, 9659M bytes)
pkts bytes target prot opt in out source destination
1 52 CONNMARK tcp -- * * 0.0.0.0/0 <second_ip> tcp dpt:<port> CONNMARK set 0x1
1 52 DNAT tcp -- * * 0.0.0.0/0 <second_ip> tcp dpt:<port> to:<first_ip>:<port>
[root@test z]# iptables -t mangle -nvL OUTPUT
Chain OUTPUT (policy ACCEPT 6745M packets, 7048G bytes)
pkts bytes target prot opt in out source destination
65915 8600K CONNMARK tcp -- * * <first_ip> 0.0.0.0/0 tcp spt:<port> CONNMARK restore
[root@test z]# ip ru sh
0: from all lookup local
1000: from all lookup main
3300: from all fwmark 0x1 lookup <second>
5000: from <first_ip> lookup <first>
5500: from <second_ip> lookup <second>
10000: from all lookup default
32766: from all lookup main
32767: from all lookup default