主页 / unix / 问题 / 527677
Accepted
TCB13
Asked: 2019-06-30 12:56:45 +0800 CST

Debian：2 个接口，2 个网关

  • 772

我的目标是eth0：在一个系统上有两个网络接口tap0，并且它们都有一个有效的互联网连接。我应该能够有选择地在两者中绑定服务/程序。

Apache 示例：我想创建以下虚拟主机：

  • site1.example.com绑定到85.xxx.49.100可用eth0
  • site2.example.com绑定到89.xxx.xxx.5可用tap0
  • site3.example.com绑定到89.xxx.xxx.4可用tap0

eth0系统中的程序应默认使用与外部世界通信，但也能够绑定到 IP tap0（如果需要）并将它们用于传入和传出流量。示例：我应该能够运行speedtest-cli --source="85.xxx.49.100"(IP at eth0) 和speedtest-cli --source="89.xxx.xxx.4"(IP at tap0)。

我有一台具有物理以太网接口的 Debian 机器eth0，该接口从 DHCPd 服务器获取 IP、网关和 DNS 服务器。有/etc/network/interfaces：

allow-hotplug eth0
no-auto-down eth0
iface eth0 inet dhcp

当网络上线时，我的路由表如下所示：

$ route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         85.xxx.xxx.1    0.0.0.0         UG    0      0        0 eth0
85.xxx.49.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
link-local      0.0.0.0         255.255.0.0     U     1000   0        0 eth0

现在，我tap在这台机器上添加了一个设备（使用 OpenVPN）。OpenVPN 客户端和服务器不分配任何 IP 地址。这个想法是在机器之间只有第 2 层。这是 OpenVPN 服务器配置：

local 89.xxx.xxx.8
port xxxx
proto udp
dev tap0
mode server
tls-server
user nobody
group nogroup
tls-version-min 1.2
auth SHA512
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
script-security 1
client-to-client
keepalive 10 60
compress
max-clients 10
cipher AES-256-CBC
persist-key
persist-tun

服务器上的网络配置为：

10-静态-eth0.network

[Match]
Name=eth0

[Network]
Bridge=br0

25-br0.netdev

[NetDev]
Name=br0
Kind=bridge

25-br0.network

[Match]
Name=br0

[Network]
DHCP=no
Address=89.xxx.xxx.8/24
Address=89.xxx.xxx.7/24
Address=89.xxx.xxx.6/24
Gateway=89.xxx.xxx.1

DNS=1.1.1.1
DNS=8.8.8.8

30-tap.network

[Match]
Name=tap0

[Network]
Bridge=br0

启动 OpenVPN 后，任何进入tap0客户端设备的以太网帧都从br0服务器出来。从理论上讲，这意味着我可以将为服务器保留的任何 IP 地址分配给tap0客户端上的设备。我尝试将 IP 添加到客户端的tap设备：

ip addr add 89.xxx.xxx.5/24 broadcast 89.xxx.xxx.255 dev tap0
ip link set tap0 up
route add default gw 89.xxx.xxx.1 metric 200
ip route add 89.xxx.xxx.8 via 85.xxx.xxx.1 dev eth0

IP 在那里，我可以同时使用 :ping -I eth0 google.com和ping google ping -I tap0 google.com，但是，例如，我不能wget将源设置为89.xxx.xxx.5- 它只是超时。

我应该如何进行？谢谢你。

networking debian

2 个回答

  1. 在这个问题中，存在各种与现实不符的假设。

    我在这台机器上添加了一个 Tap 设备，该设备桥接到远程服务器的网络。

    您不能“将分接设备桥接到远程服务器的网络”。Tap 设备是一种让某种应用程序控制网络接口的方法。如果没有连接到该分接设备的应用程序，分接设备将什么也不做。

    据我了解，进入tapDebian 机器上的设备的任何以太网帧都应该br0在服务器的网桥上出现。

    不。

    你可以做的是使用某种隧道（OpenVPN、tinc、wirdeguard；有很多选择）。此隧道将在您的 debian 机器（tap 或其他）上创建一个网络接口，并在服务器上创建一个网络接口。在服务器上，您可以将此设备桥接到向外的网络接口。在 debian 机器上，你可以给这个设备两个 IP 地址（89.xxx.xxx.5和），假设服务器上89.xxx.xxx.6的外向网络也可以被分配。

    不要使用两条默认路由。使用单个默认路由，并将您的 apache 绑定到 Debian 机器上的三个 Internet 地址中的每一个。

    编辑

    您已经有了其他答案中详述的有效解决方案，但仅供参考：

    • 1
  2. Best Answer

    阅读http://www.tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.netfilter.html后，我有了创意，iptables这iproute2似乎适用于我的用例：

    1. 启动 OpenVPN 客户端以确保tap0已创建并且 L2 正在工作；
    2. 分配89.xxx.xxx.5给设备并设置链接：
    ip addr add 89.xxx.xxx.5/24 broadcast 89.xxx.xxx.255 dev tap0
ip link set tap0 up
    1. 创建一个辅助路由表和一个要与 IP 一起使用的标记，tap0并添加路由：
    echo "1 BRIDGESERVER" >> /etc/iproute2/rt_tables

ip route add default via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER

ip route add 89.xxx.xxx.8 via 85.xxx.xxx.1 dev eth0 # xxx.8 is the VPN server  and xxx.1 is the local gateway
ip route add 0.0.0.0/1 via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER
ip route add 128.0.0.0/1 via 89.xxx.xxx.1 dev tap0 table BRIDGESERVER

ip route show table BRIDGESERVER
ip rule add from all fwmark 0x1 lookup BRIDGESERVER
    1. 用于iptables标记来自/到我们分配的 IP () 的所有 tcp/udp 流量，89.xxx.xxx.5因此它将使用辅助路由表/默认网关：
    iptables -t mangle -I PREROUTING -p tcp --destination 89.xxx.xxx.5 -j MARK --set-mark 1
iptables -t mangle -I OUTPUT -p tcp --source 89.xxx.xxx.5 -j MARK --set-mark 1

iptables -t mangle -I PREROUTING -p udp --destination 89.xxx.xxx.5 -j MARK --set-mark 1
iptables -t mangle -I OUTPUT -p udp --source 89.xxx.xxx.5 -j MARK --set-mark 1

    一些测试：

    • 如果不设置要绑定到的源 IP - 将默认为以下 IP eth0：
    speedtest
Retrieving speedtest.net configuration...
Testing from xyz (85.xxx.49.100)...
    • 绑定到先前分配给的 IP tap0：
    speedtest --source=89.xxx.xxx.5
Retrieving speedtest.net configuration...
Testing from cpv (89.xxx.xxx.5)...
    • 0

相关问题