web-dev-qa-db-ja.com

2つのネットワークインターフェイス上の個別のネットワークトラフィック

2つのネットワークインターフェイスでネットワークトラフィックの分離を構成する方法を理解するための専門知識を貸していただけませんか？

これまでのところ理解しているように、デフォルトルートを使用するように設計されていないネットワークトラフィックには静的ルートが使用されます。デフォルトゲートウェイは、ローカルネットワーク宛ではなく、ルーティングテーブルで優先ルートが指定されていないすべてのトラフィックに使用されます。

シナリオは次のとおりです。

  • ネットワーク内の各コンピューターには、2つのネットワークカードがあります。
  • それぞれのプロダクションインターフェイスはeth0（GW = 10.10.10.1）です。
  • それぞれの管理インターフェースはeth1（GW = 192.168.100.1）です。
  • 生産と管理のトラフィックは完全に分離する必要があります。

以下に、Debian Wheezyで何を試したかを投稿しました。そして、私の問題は、両方のインターフェースで通信するようにホストをセットアップしているにもかかわらず、個々のホストが間違ったインターフェースでトラフィックを「聞く」ように見えることです。例えば：

ホスト140

eth0      Link encap:Ethernet  HWaddr 08:00:27:d1:b6:8f
          inet addr:10.10.10.140  Bcast:10.10.10.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fed1:b68f/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1341 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2530 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:641481 (626.4 KiB)  TX bytes:241124 (235.4 KiB)

eth1      Link encap:Ethernet  HWaddr 08:00:27:ad:14:b6
          inet addr:192.168.100.140  Bcast:192.168.100.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fead:14b6/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:7220 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5257 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:602485 (588.3 KiB)  TX bytes:1022906 (998.9 KiB)

ホスト140から、次のコマンドを実行します：tcpdump -i eth0。ホスト140の別のセッションで、ping 192.168.100.50を実行します。

19:17:29.301565 IP 192.168.100.140 > 192.168.100.50: ICMP echo request, id 1400, seq 10, length 64
19:17:30.301561 IP 192.168.100.140 > 192.168.100.50: ICMP echo request, id 1400, seq 11, length 64
19:17:31.301570 IP 192.168.100.140 > 192.168.100.50: ICMP echo request, id 1400, seq 12, length 64
19:17:32.301580 IP 192.168.100.140 > 192.168.100.50: ICMP echo request, id 1400, seq 13, length 64

上記の出力がeth0に表示されるのはなぜですか？ 10.10.10.140のトラフィックのみが表示されるはずです。予想どおり、これもeth1で確認できます。

19:18:47.805408 IP 192.168.100.50 > 192.168.100.140: ICMP echo request, id 1605, seq 247, length 64

ホスト50からpingを実行した場合（同じifconfig結果-異なる最後のクワッド）、eth0はサイレントになり、予想どおりeth1でICMPエコーが表示されます。

2つの主要なLinuxの種類で責任があるトラフィックのみを処理するように各インターフェイスを構成する方法を理解したいと思います。もうすぐ到着すると思いますが、見つからないようです。

  • Debian Wheezy（7.x）またはDebian Jessie（8.x）
  • Enterprise Linux（6.x）（RedHat/CentOS/Scientific/Oracle）。

DebianのソリューションはWheezyとJessieの両方に適していること、ELのソリューションはすべてのEL 6.xバージョンで同じであることを知っています。 RCスクリプトを使用してコマンドを実行することは避け、代わりに構成ファイルを使用することを選択します。

Debianで私が知っている関連する構成ファイルは次のとおりです。

  • /etc/network/interfaces

EL 6.xでは、私が知っている関連する構成ファイルは次のとおりです。

  • /etc/sysconfig/network
  • /etc/sysconfig/network-scripts/ifcfg-eth0
  • /etc/sysconfig/network-scripts/ifcfg-eth1
  • /etc/sysconfig/network-scripts/route-eth0
  • /etc/sysconfig/network-scripts/route-eth1
  • /etc/sysconfig/network-scripts/rule-eth0
  • /etc/sysconfig/network-scripts/rule-eth1

私のDebian 8 "Jessie" /etc/network/interfacesファイル：

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# Production interface
auto eth0
allow-hotplug eth0
iface eth0 inet static
  address 10.10.10.140
  netmask 255.255.255.0
  gateway 10.10.10.1

# Management interface
auto eth1
allow-hotplug eth1
iface eth1 inet static
  address 192.168.100.140
  netmask 255.255.255.0

netstat -anrが問題を説明していると思います：

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         10.10.10.1      0.0.0.0         UG        0 0          0 eth0
10.10.10.0      0.0.0.0         255.255.255.0   U         0 0          0 eth0
192.168.100.0   0.0.0.0         255.255.255.0   U         0 0          0 eth0
192.168.100.0   0.0.0.0         255.255.255.0   U         0 0          0 eth1
debiancentosrhelrouting
11
Christopher

このトピックについて詳しく知り、構成を可能な限り最適化するように調整したいのですが、ここまでのところです。すべてのネットワークインターフェイスでARPフィルタリングを有効にしなくても（net.ipv4.conf.all.arp_filter = 0）、@ spukで言及されているように、この構成ではトラフィックが完全に分離されているようです。

ファイル、 /etc/iproute2/rt_tablesは、少なくともEL 6.xとDEB 7/8で同じです。これは、静的ルートの名前付きルーティングテーブルを作成するファイルです。

#
# reserved values
#
255     local
254     main
253     default
0       unspec
#
# local
#
1 mgmt

上記では、名前付きの静的ルートの数1は基本的に任意です。または、各スタティックルートは、1〜252の固有の番号を取得します。

ファイル、 /etc/network/interfaces DEB 7/8では、少なくとも：

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
  iface lo inet loopback

# The production network interface
# The 'gateway' directive is the default route.
# Were eth0 configured via DHCP, the default route would also be here.
auto eth0
allow-hotplug eth0
iface eth0 inet static
  address 10.10.10.140
  netmask 255.255.255.0
  gateway 10.10.10.1

# The management network interface
# The 'gateway' directive cannot be used again because there can be
# one, and only one, default route. Instead, the 'post-up' directives
# use the `mgmt` static route.
auto eth1
allow-hotplug eth1
iface eth1 inet static
  address 192.168.100.140
  netmask 255.255.255.0
  post-up ip route add 192.168.100.0/24 dev eth1 src 192.168.100.140 table mgmt
  post-up ip route add default via 192.168.100.1 dev eth1 table mgmt
  post-up ip rule add from 192.168.100.140/32 table mgmt
  post-up ip rule add to 192.168.100.140/32 table mgmt

結果として ip route show Debian：

default via 10.10.10.1 dev eth0
10.10.10.0/24 dev eth0  proto kernel  scope link  src 10.10.10.140
192.168.100.0/24 dev eth1  proto kernel  scope link  src 192.168.100.140

EL 6.x /etc/sysconfig/networkファイル：

NETWORKING=yes
HOSTNAME=localhost.localdomain
GATEWAY=10.10.10.1

上記では、GATEWAYがデフォルトのルートです。以下では、BOOTPROTOCOLをDHCPに設定した場合、デフォルトルートはDHCPから取得されます。

EL 6.x /etc/sysconfig/network-scripts/ifcfg-eth0ファイル、「HWADDR」と「UUID」なし：

DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=no
BOOTPROTOCOL=none
IPADDR=10.10.10.140
NETMASK=255.255.255.0
NETWORK=10.10.10.0
BROADCAST=10.10.10.255

EL 6.x /etc/sysconfig/network-scripts/ifcfg-eth1ファイル、「HWADDR」と「UUID」なし：

DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=no
BOOTPROTOCOL=none
IPADDR=192.168.100.140
NETMASK=255.255.255.0
NETWORK=192.168.100.0
BROADCAST=192.168.100.255

EL 6.x /etc/sysconfig/network-scripts/route-eth1ファイル：

192.168.100.0/24 dev eth1 table mgmt
default via 192.168.100.1 dev eth1 table mgmt

EL 6.x /etc/sysconfig/network-scripts/rule-eth1ファイル：

from 192.168.100.0/24 lookup mgmt

結果として ip route show EL 6.xの場合：

192.168.100.0/24 dev eth1  proto kernel  scope link  src 192.168.100.160
10.10.10.0/24 dev eth0  proto kernel  scope link  src 10.10.10.160
169.254.0.0/16 dev eth0  scope link  metric 1002
169.254.0.0/16 dev eth1  scope link  metric 1003
default via 10.10.10.1 dev eth0
7
Christopher

私はあなたの投稿を完全に読んではいませんが（申し訳ありませんが、今は本当に時間を費やすことができません）、Linuxが IPホストモデルを実装する方法に関連している可能性があります ：

... LinuxのIPv4実装は、デフォルトで弱いホストモデルになります。 ...

同じページから：

... IPスタックが弱いホストモデルで実装されている場合、パケットが受信されたネットワークインターフェイスに関係なく、ローカルに宛てられたパケットを受け入れます。 ...

つまり、Linuxでは、デフォルトで、IPアドレスは厳密に「インターフェースへ」ではなく、「ホストに属している」ことになります。この動作は、arp_filter、rp_filter、arp_announce、arp_ignore sysctls（ LVSから取得）：ARP問題 、見られます こちら ）。また、 ip-sysctl.txt も参照してください。

4
spuk