Автор Тема: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu? (Прочитано 2233 раз)

VVXXS · « : 24 Января 2016, 19:02:53 »

Здравствуйте!
В Ubuntu нужно перенаправить локальный трафик с 80 порта (или например 143) на другой интерфейс, т. е. НЕ через дефолтный маршрут.

В системе: eth0: 192.168.15.20 подсеть 255.255.255.0 шлюз дефолтный 192.168.15.1
Нужно перенаправить на VPN-соединение PPP2: 192.168.50.2 шлюз 192.168.10.1

Пробовал так:
создал таблицу в /etc/iproute2/rt_tables "100 redir"

ip route add default via 192.168.10.1 dev ppp2 table 100
iptables -t mangle -A OUTPUT -p tcp -m tcp --dport 80 -j MARK --set-mark 0x2
ip rule add fwmark 0x2/0x2 lookup 100
(взято отсюда: https://habrahabr.ru/post/108690/)

Для теста использовал броузер - после применения вышенаписаного перестает открывать страницы.
Смотрел tcpdump -i ppp2 port 80 - пакеты уходят с интерфейса.
На получателя ничего не приходит(
Если прописать дефолтным маршрут "ip route add default via 192.168.10.1 dev ppp2" все работает отлично.

Спасибо за совет!

AnrDaemon · « **Ответ #1 :** 24 Января 2016, 22:08:31 »

Вы исходящий трафик со входящим не путаете?…

VVXXS · « **Ответ #2 :** 24 Января 2016, 23:03:03 »

Как раз нет. Трафик со всех приложений с моей машины (сгенерированый прилоениями на моем хосте) идет по стандартному маршруту. А обращение к внешнему почтовому среверу с моей машины, мне нужно перенаправить через VPN-канал PPP2. То есть трафик исходящий.

AnrDaemon · « **Ответ #3 :** 24 Января 2016, 23:36:45 »

А за VPN вообще есть интернет?…

fisher74 · « **Ответ #4 :** 25 Января 2016, 08:30:44 »

Судя по

Цитата: VVXXS от 24 Января 2016, 19:02:53

Если прописать дефолтным маршрут "ip route add default via 192.168.10.1 dev ppp2" все работает отлично.

да, хотя очень странно, не арбайтает.
Самое банальное - попробовать замаскарадить ppp2

VVXXS · « **Ответ #5 :** 25 Января 2016, 09:19:34 »

Пробовал маскарадить - делал вот так:

ip route add default via 192.168.10.1 dev ppp2 table 100
iptables -t mangle -A OUTPUT -p tcp -m tcp --dport 80 -j MARK --set-mark 0x2
ip rule add fwmark 0x2/0x2 lookup 100
iptables -t nat -A POSTROUTING -o ppp2 -j MASQUERADE
Не заработало $:-\$

Пользователь решил продолжить мысль [time]25 Январь 2016, 14:02:31[/time]:

Сделал:
ip route add default via 192.168.10.1 dev ppp2 table 100
iptables -t mangle -A OUTPUT -p tcp --dport 443 -j MARK --set-mark 4
ip rule add fwmark 4 lookup 100
iptables -t nat -A POSTROUTING -o ppp2 -j MASQUERADE

В броузере ввел несколько адресов с https. Ответы не пришли
Вот фрагмент прослушки PPP2 соединения с помощью команды "tcpdump -i ppp2 port 443"

(Нажмите, чтобы показать/скрыть)

11:56:00.522897 IP 192.168.15.20.41515 > 173.194.113.216.https: Flags [R], seq 553500599, win 0, length 0
11:56:00.832779 IP 192.168.15.20.45309 > 173.194.113.218.https: Flags [R], seq 3459811943, win 0, length 0
11:56:01.457063 IP 192.168.15.20.47204 > lj-in-f154.1e100.net.https: Flags [R], seq 1941664793, win 0, length 0
11:56:02.145842 IP 192.168.15.20.41515 > 173.194.113.216.https: Flags [R], seq 553500599, win 0, length 0
11:56:03.642281 IP ec2-52-27-80-69.us-west-2.compute.amazonaws.com.https > 192.168.50.2.55691: Flags [S.], seq 2952440426, ack 771627192, win 17898, options [mss 8961,sackOK,TS val 126253233 ecr 197604,nop,wscale 8], length 0
11:56:05.393762 IP 192.168.15.20.41515 > 173.194.113.216.https: Flags [R], seq 553500599, win 0, length 0
11:56:05.577312 IP 192.168.15.20.32848 > 95.213.4.209.https: Flags [R], seq 916304458, win 0, length 0
11:56:05.661222 IP 192.168.15.20.40225 > 95.213.11.113.https: Flags [R], seq 4131948415, win 0, length 0

Такое чувство, что данные уходят с интерфейса, а не приходит имено ответ. Что-то в обратной маршрутизации не так.

Пользователь решил продолжить мысль [time]25 Январь 2016, 14:23:39[/time]:

А вот фрагмент в случае положительного прохождения пакетов - когда назначаю по умолчанию маршрут
"ip route add default via 192.168.10.1 dev ppp2". Так все работет.

12:17:36.972572 IP 192.168.50.2.39519 > 2ip.ru.https: Flags , seq 1044804474, win 28120, options [mss 1406,sackOK,TS val 522807 ecr 0,nop,wscale 7], length 0
12:17:37.222896 IP 192.168.50.2.39520 > 2ip.ru.https: Flags , seq 2207717224, win 28120, options [mss 1406,sackOK,TS val 522870 ecr 0,nop,wscale 7], length 0
12:17:37.258581 IP 2ip.ru.https > 192.168.50.2.39519: Flags [S.], seq 3320922542, ack 1044804475, win 14480, options [mss 1460,sackOK,TS val 231523826 ecr 522807,nop,wscale 7], length 0
12:17:37.258722 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [.], ack 1, win 220, options [nop,nop,TS val 522879 ecr 231523826], length 0
12:17:37.261375 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [P.], seq 1:518, ack 1, win 220, options [nop,nop,TS val 522879 ecr 231523826], length 517
12:17:37.502525 IP 2ip.ru.https > 192.168.50.2.39520: Flags [S.], seq 467357785, ack 2207717225, win 14480, options [mss 1460,sackOK,TS val 231524077 ecr 522870,nop,wscale 7], length 0
12:17:37.502628 IP 192.168.50.2.39520 > 2ip.ru.https: Flags [.], ack 1, win 220, options [nop,nop,TS val 522940 ecr 231524077], length 0
12:17:37.503293 IP 192.168.50.2.39520 > 2ip.ru.https: Flags [P.], seq 1:518, ack 1, win 220, options [nop,nop,TS val 522940 ecr 231524077], length 517
12:17:37.545776 IP 2ip.ru.https > 192.168.50.2.39519: Flags [.], ack 518, win 122, options [nop,nop,TS val 231524126 ecr 522879], length 0
12:17:37.550533 IP 2ip.ru.https > 192.168.50.2.39519: Flags [P.], seq 1:175, ack 518, win 122, options [nop,nop,TS val 231524126 ecr 522879], length 174
12:17:37.550595 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [.], ack 175, win 229, options [nop,nop,TS val 522952 ecr 231524126], length 0
12:17:37.551247 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [P.], seq 518:625, ack 175, win 229, options [nop,nop,TS val 522952 ecr 231524126], length 107
12:17:37.551585 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [.], seq 625:2019, ack 175, win 229, options [nop,nop,TS val 522952 ecr 231524126], length 1394
12:17:37.551689 IP 192.168.50.2.39519 > 2ip.ru.https: Flags [P.], seq 2019:2038, ack 175, win 229, options [nop,nop,TS val 522952 ecr 231524126], length 19

fisher74 · « **Ответ #6 :** 25 Января 2016, 18:59:53 »

откройте для себя тег [сode][/сode]. Внутри него вся эта чехарда будет выглядеть правильно

Пользователь решил продолжить мысль 25 Января 2016, 19:03:17:

стоп-стоп-стоп... а разве для ppp указывается IP-адрес шлюза?

VVXXS · « **Ответ #7 :** 25 Января 2016, 21:05:50 »

По PPP2 я подключаюсь к другому роутеру, поддерживаещиму VPN-соединение. Я попробовал прописать как Вы и сказали - без указания шлюза "ip route add default dev ppp2 table 100" - тот же эффект.
Кстати в системе ставил его шлюзом по умолчанию, так работает
"ip route add default via 192.168.10.1 dev ppp2" и
"ip route add default dev ppp2"

По моей задаче: ответы уходят, но не приходят. Т.е. Ставлю к примеру в системе по умолчанию маршрут на PPP1. Потом:
ip route add default dev ppp2 table 100
iptables -t mangle -A OUTPUT -p tcp --dport 443 -j MARK --set-mark 3
ip rule add fwmark 3 lookup 100

Итог - данные уходят в одностороннем порядке с нужного мне интерфейса PPP2. То есть правило таки заворачивает данные. На всякий случай слушал 443 порт интерфейса дефолтного маршрута - так на нем все тихо. Ни отсылов ни приемов. Вот срез с PPP2 - только отправка данных:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

20:01:45.646422 IP 192.168.10.2.36165 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 2644784103, win 28120, options [mss 1406,sackOK,TS val 536226 ecr 0,nop,wscale 7], length 0
20:01:45.898462 IP 192.168.10.2.36166 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 1981674734, win 28120, options [mss 1406,sackOK,TS val 536289 ecr 0,nop,wscale 7], length 0
20:01:46.134431 IP 192.168.10.2.54562 > 173.194.113.215.https: Flags [S], seq 941817790, win 28120, options [mss 1406,sackOK,TS val 536348 ecr 0,nop,wscale 7], length 0
20:01:46.390413 IP 192.168.10.2.54563 > 173.194.113.215.https: Flags [S], seq 2793260161, win 28120, options [mss 1406,sackOK,TS val 536412 ecr 0,nop,wscale 7], length 0
20:01:47.606428 IP 192.168.10.2.54441 > le-in-f136.1e100.net.https: Flags [S], seq 2934685266, win 28120, options [mss 1406,sackOK,TS val 536716 ecr 0,nop,wscale 7], length 0
20:01:47.650440 IP 192.168.10.2.36165 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 2644784103, win 28120, options [mss 1406,sackOK,TS val 536727 ecr 0,nop,wscale 7], length 0
20:01:47.766433 IP 192.168.10.2.48162 > server-205-251-219-53.arn1.r.cloudfront.net.https: Flags [S], seq 2429598720, win 28120, options [mss 1406,sackOK,TS val 536756 ecr 0,nop,wscale 7], length 0
20:01:47.862440 IP 192.168.10.2.54443 > le-in-f136.1e100.net.https: Flags [S], seq 824016714, win 28120, options [mss 1406,sackOK,TS val 536780 ecr 0,nop,wscale 7], length 0
20:01:47.902422 IP 192.168.10.2.36166 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 1981674734, win 28120, options [mss 1406,sackOK,TS val 536790 ecr 0,nop,wscale 7], length 0
20:01:48.022438 IP 192.168.10.2.48165 > server-205-251-219-53.arn1.r.cloudfront.net.https: Flags [S], seq 300106172, win 28120, options [mss 1406,sackOK,TS val 536820 ecr 0,nop,wscale 7], length 0
20:01:51.654419 IP 192.168.10.2.36165 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 2644784103, win 28120, options [mss 1406,sackOK,TS val 537728 ecr 0,nop,wscale 7], length 0
20:01:51.910464 IP 192.168.10.2.36166 > bud02s22-in-f5.1e100.net.https: Flags [S], seq 1981674734, win 28120, options [mss 1406,sackOK,TS val 537792 ecr 0,nop,wscale 7], length 0
20:01:53.046431 IP 192.168.10.2.38254 > ec2-54-68-159-67.us-west-2.compute.amazonaws.com.https: Flags [S], seq 2718870868, win 28120, options [mss 1406,sackOK,TS val 538076 ecr 0,nop,wscale 7], length 0

Пользователь решил продолжить мысль [time]25 Январь 2016, 22:18:49[/time]:

Хочу уточнить: недумаю, что влияет на работу, но у меня еще прописаны правила для отдачи трафика с того же интерфейса, на который пришел запрос - как здесь в примере доступом к веб-серверу с 2 интерфейсов. Абзац: "Доступность сервера через несколько аплинков" https://habrahabr.ru/post/108690/

При запуске интерфейсов в /etc/ppp/ip-up.d/startmy у меня прописано:

(Нажмите, чтобы показать/скрыть)

Пробовал убирать строки - на решение задачи не повлияло.

fisher74 · « **Ответ #8 :** 25 Января 2016, 21:32:38 »

Может всё-таки тогда покажете полный список правил?

VVXXS · « **Ответ #9 :** 25 Января 2016, 21:51:52 »

Правильно ли понимаю - полный список правил выведет команда "ip rule" и "ip route show table all"?
Я немного новичек в Ubuntu

ip rule:

(Нажмите, чтобы показать/скрыть)

ip route show table all type unicast:

(Нажмите, чтобы показать/скрыть)

И fisher74, спасибо за активное участие! Уже 3-ий день хожу вокруг да около...

AnrDaemon · « **Ответ #10 :** 25 Января 2016, 21:57:18 »

Код: [Выделить]

ip route show table all type unicastА то мусора много.
И iptables-save забыли.

VVXXS · « **Ответ #11 :** 25 Января 2016, 22:17:17 »

AnrDaemon, исправил в прошлом сообщении под спойлером.
На счет iptables-save не заыл, а не знал. Вторую неделю осваиваю только.
Вы имели в виду сохранить единожды таблицы, а потом просто вызывать их при поднятии PPP из файла /etc/ppp/ip-up.d/startmy командой iptables-restore?

AnrDaemon · « **Ответ #12 :** 25 Января 2016, 22:37:55 »

Мы имели в виду показать их нам!…
Стандартная дигностика сети.

Код: [Выделить]

ip a; ip -s l; ip r s table all type unicast; iptables-save

VVXXS · « **Ответ #13 :** 25 Января 2016, 22:51:02 »

Извините, еще молодой зеленый

(Нажмите, чтобы показать/скрыть)

Еще - дополнительные маршруты прописаны мною. На решение задачи не влияют.
Это пускаю запросы к DNS по другим маршрутам.
ip route add 77.88.8.1 via 192.168.1.1 dev ppp1
ip route add 194.50.85.2 via 192.168.1.1 dev ppp1
ip route add 194.50.85.1 via 192.168.1.1 dev ppp1

Пользователь решил продолжить мысль [time]26 Январь 2016, 20:15:52[/time]:

Дополняю. Все же пакеты ходят!
Играл с командой: "openssl s_client -connect pop.ukr.net:995"

Вот дамп при нормальном соединении через маршрут по умолчанию:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

 # tcpdump -i eth0 port 995
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
17:49:48.789536 IP 192.168.15.20.50749 > frv240.fwdcdn.com.pop3s: Flags [S], seq 2299469672, win 29200, options [mss 1460,sackOK,TS val 18987262 ecr 0,nop,wscale 7], length 0
17:49:48.816798 IP frv240.fwdcdn.com.pop3s > 192.168.15.20.50749: Flags [S.], seq 3497803659, ack 2299469673, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 3666904253 ecr 18987262], length 0
17:49:48.816854 IP 192.168.15.20.50749 > frv240.fwdcdn.com.pop3s: Flags [.], ack 1, win 229, options [nop,nop,TS val 18987268 ecr 3666904253], length 0
17:49:48.817381 IP 192.168.15.20.50749 > frv240.fwdcdn.com.pop3s: Flags [P.], seq 1:296, ack 1, win 229, options [nop,nop,TS val 18987269 ecr 3666904253], length 295
17:49:48.844735 IP frv240.fwdcdn.com.pop3s > 192.168.15.20.50749: Flags [.], ack 296, win 1034, options [nop,nop,TS val 3666904281 ecr 18987269], length 0
17:49:48.846079 IP frv240.fwdcdn.com.pop3s > 192.168.15.20.50749: Flags [.], seq 1:1189, ack 296, win 1039, options [nop,nop,TS val 3666904282 ecr 18987269], length 1188
17:49:48.846133 IP 192.168.15.20.50749 > frv240.fwdcdn.com.pop3s: Flags [.], ack 1189, win 251, options [nop,nop,TS val 18987276 ecr 3666904282], length 0
17:49:48.846175 IP frv240.fwdcdn.com.pop3s > 192.168.15.20.50749: Flags [.], seq 1189:2377, ack 296, win 1039, options [nop,nop,TS val 3666904282 ecr 18987269], length 1188
17:49:48.846201 IP 192.168.15.20.50749 > frv240.fwdcdn.com.pop3s: Flags [.], ack 2377, win 274, options [nop,nop,TS val 18987276 ecr 3666904282], length 0

А вот дамп после команд после:
ip route add default via 192.168.10.1 table 100
iptables -t mangle -A OUTPUT -p tcp -m tcp --dport 995 -j MARK --set-mark 0x3
ip rule add fwmark 0x3/0x3 lookup 100
iptables -t nat -A POSTROUTING -o 192.168.10.1 -j MASQUERADE

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

 # tcpdump -i ppp2 port 995
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ppp2, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
17:47:02.926110 IP 192.168.50.2.50747 > frv240.fwdcdn.com.pop3s: Flags [S], seq 2992313097, win 29200, options [mss 1460,sackOK,TS val 18945796 ecr 0,nop,wscale 7], length 0
17:47:03.206217 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18945796], length 0
17:47:03.925211 IP 192.168.50.2.50747 > frv240.fwdcdn.com.pop3s: Flags [S], seq 2992313097, win 29200, options [mss 1460,sackOK,TS val 18946046 ecr 0,nop,wscale 7], length 0
17:47:04.204445 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18946046], length 0
17:47:05.929222 IP 192.168.50.2.50747 > frv240.fwdcdn.com.pop3s: Flags [S], seq 2992313097, win 29200, options [mss 1460,sackOK,TS val 18946547 ecr 0,nop,wscale 7], length 0
17:47:06.206005 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18946547], length 0
17:47:09.205870 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18946547], length 0
17:47:09.933251 IP 192.168.50.2.50747 > frv240.fwdcdn.com.pop3s: Flags [S], seq 2992313097, win 29200, options [mss 1460,sackOK,TS val 18947548 ecr 0,nop,wscale 7], length 0
17:47:10.216299 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18947548], length 0
17:47:13.216328 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18947548], length 0
17:47:16.231110 IP frv240.fwdcdn.com.pop3s > 192.168.50.2.50747: Flags [S.], seq 171551312, ack 2992313098, win 65535, options [mss 1200,nop,wscale 6,sackOK,TS val 2030069827 ecr 18947548], length 0

Как видно - данные уходят и приходят на интерфейс тоннеля PPP2! Только вот вопрос - почему их приложение не видит

Судя по нулевой длинне пакетов - клиент и сервер немогут договориться. Скорее все-го из-за того, что клиент отсылает запрос по дефолтному маршруту, а ответ приходит с другого интерфейса. Может нужно сменить адрес отправителя в источнике ответа? Правильна ли команда -
iptables -t nat -A POSTROUTING --src 192.168.50.2 -p tcp --dport 80 -j SNAT --to-source 192.168.15.1

VVXXS · « **Ответ #14 :** 28 Января 2016, 11:30:07 »

РЕШЕНО! Нехватало знаний.
Нужно было разрешить переадресацию и отключить филры в ядре:

Код: [Выделить]

/etc/sysctl.conf:

net.ipv4.conf.default.rp_filter=0  
net.ipv4.conf.all.rp_filter=0  
net.ipv4.conf.eth0.rp_filter=0  
net.ipv4.ip_forward=1  
net.ipv4.conf.all.force_igmp_version=2

Спасибо всем за участие!

Форум русскоязычного сообщества Ubuntu

Автор Тема: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu? (Прочитано 2233 раз)

VVXXS

Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

AnrDaemon

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

AnrDaemon

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

fisher74

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

fisher74

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

fisher74

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

AnrDaemon

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

AnrDaemon

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?

VVXXS

Re: Kак перенаправить локальный трафик http соединения по другому маршруту в Ubuntu?