linux: ip rule 用法详解

SmallerFL 2024-07-05 14:07:03 阅读 85

文章目录

策略路由ip rule 描述语法参数例子ip rule,ip route,iptables 三者之间的关系参考


策略路由

我们不仅要根据目的地地址,还要根据其他数据包字段(源地址、IP 协议、传输协议端口甚至数据包有效负载)来不同地路由数据包。此任务称为策略路由。Linux 策略路由是一种基于策略的路由机制,相对于传统的基于目的地址的路由机制,它可以提供更灵活和强大的路由控制能力。

在 Linux 中,策略路由通过使用路由策略数据库(RPDB)来实现,它可以根据不同的源地址、传输层端口和 payload 等条件进行更细致的路由控制。

每条策略路由的规则由一个选择器一个动作组成,RPDB 按照优先级顺序进行规则匹配,优先级数字越小越优先。被选择器匹配的报文会执行对应的操作,操作如果成功,则根据指定的路由转发数据,之后终止 RPDB 匹配;如果执行失败,则报错并且终止 RPDB 匹配。否则 RPDB 将继续执行下一条规则。

在启动时,内核配置默认的 RPDB,包括三个规则:

优先级:0,选择器:匹配任何内容,操作:查找路由表本地(ID 255)。本地表是一种特殊的路由表,包含本地和广播地址的高优先级控制路由优先级:32766,选择器:匹配任何内容,操作:查找路由表main(ID 254)。主表是包含所有非策略路由的常规路由表。此规则可以被删除和/或由其他规则覆盖管理员优先级:32767,选择器:匹配任何内容,操作:查找路由表default(ID 253)。默认表为空。如果没有先前的默认规则选择数据包,则它将保留用于某些后处理。这条规则也可能将被删除

**注:**不要混淆路由表和策略:规则指向路由表,多个规则可以引用一个路由表,而且某些路由表可以策略指向它。如果系统管理员删除了指向某个路由表的所有规则,这个表没有用了,但是仍然存在,直到里面的所有路由都被删除,它才会消失。

linux 系统中,可以自定义从 1-252个路由表,其中,linux 系统维护了4个路由表:

0#表: 系统保留表

253#表: default table 没特别指定的默认路由都放在该表

254#表: main table 没指明路由表的所有路由放在该表

255#表: local table 保存本地接口地址,广播地址、NAT地址 由系统维护,用户不得更改

每个 RPDB 条目都有附加属性。每个规则都有一个指向某个路由表的指针。NAT 和伪装规则有一个属性来选择要翻译/伪装的新 IP 地址。除此之外,规则还有一些可选的路由拥有的属性,即领域。这些值不会覆盖路由表中包含的值。它们仅在路由未选择任何属性时使用。

RPDB 可能包含以下类型的规则:

unicast:规则规定返回在规则引用的路由表中找到的路由blackhole:规则规定悄悄地丢弃数据包unreachable:规则规定生成“网络不可达”错误prohibit:规则规定生成“管理禁止通信”错误nat:规则规定将IP数据包的源地址转换为其他值

在这里插入图片描述

ip rule 描述

在 Linux系统中,ip rule 命令用于管理和配置策略路由(Policy-Based Routing)。策略路由允许根据数据包的特定属性(如源地址、目标地址、IP报文头部标记等)来选择不同的路由表进行路由决策,而非仅基于目的IP地址。这是传统路由(即使用 ip route 设置的主路由表)功能的一个补充和扩展。

语法

<code>Usage: ip rule { add | del } SELECTOR ACTION

ip rule { flush | save | restore }

ip rule [ list [ SELECTOR ]]

SELECTOR := [ not ] [ from PREFIX ] [ to PREFIX ] [ tos TOS ]

[ fwmark FWMARK[/MASK] ]

[ iif STRING ] [ oif STRING ] [ pref NUMBER ] [ l3mdev ]

[ uidrange NUMBER-NUMBER ]

[ ipproto PROTOCOL ]

[ sport [ NUMBER | NUMBER-NUMBER ]

[ dport [ NUMBER | NUMBER-NUMBER ] ]

ACTION := [ table TABLE_ID ]

[ protocol PROTO ]

[ nat ADDRESS ]

[ realms [SRCREALM/]DSTREALM ]

[ goto NUMBER ]

SUPPRESSOR

SUPPRESSOR := [ suppress_prefixlength NUMBER ]

[ suppress_ifgroup DEVGROUP ]

TABLE_ID := [ local | main | default | NUMBER ]

常用:

ip rule flush # 刷新路由规则,此命令没有参数

ip rule list # 列出路由规则,此命令没有参数

ip rule add/del SELECTOR ACTION

参数

ip rule add/del SELECTOR ACTION

可选的 option:

- type TYPE (default):规则类型

- from PREFIX:选择要匹配的源前缀

- to PREFIX:选择要匹配的目的前缀

- iif NAME:选择要匹配的传入设备。如果接口是环回,则该规则仅匹配源自此主机的数据包。这意味着您可以为转发的数据包和本地数据包创建单独的路由表,从而完全隔离它们。

- oif NAME:选择要匹配的传出设备。传出接口仅适用于来自绑定到设备的本地套接字的数据包

- tos TOS/dsfield TOS:选择要匹配的TOS值

- fwmark MARK:选择要匹配的标记值

- priority PREFERENCE:此规则的优先级。每个规则都应该有一个显式设置的唯一优先级值

- table TABLEID:如果规则选择器匹配,则要查找的路由表标识符。也可以使用查找而不是表格

- realms FROM/TO:选择规则是否匹配以及路由表查找是否成功的领域。 仅当路由未选择任何领域时才使用领域TO

- nat ADDRESS:要转换的IP地址块的基础(用于源地址)。 地址可以是NAT地址块的开始(由NAT路由选择),也可以是本地主机地址(甚至为零)。 在最后一种情况下,路由器不转换数据包,而是将其伪装到该地址。使用map-to代替nat意味着同样的事情

例子

ip rule add from 192.203.80/24 table inr.ruhep prio 220 # 通过路由表 inr.ruhep 路由来自源地址为192.203.80/24的数据包

ip rule add from 193.233.7.83 nat 192.203.80.144 table 1 prio 320# 把源地址为193.233.7.83的数据报的源地址转换为192.203.80.144,并通过表1进行路由

ip rule,ip route,iptables 三者之间的关系

iptables:iptables 其实 不是真正的防火墙,我们可以把它理解成一个客户端代理,用户通过 iptables 这个代理,将用户的安全设定执行到对应的"安全框架"中,这个"安全框架"才是真正的防火墙,这个框架的名字叫 netfilter

img

注:图中 “路由判断” 就是使用 ip rule,ip route 设置的规则,其中 ip route 配置的路由表服务于 ip rule 配置的规则。

以一例子来说明:公司内网要求192.168.0.100 以内的使用 10.0.0.1 网关上网 (电信),其他IP使用 20.0.0.1 (网通)上网。

1,首先要在网关服务器上添加一个默认路由,当然这个指向是绝大多数的IP的出口网关:<code>ip route add default gw 20.0.0.1

2,之后通过 ip route 添加一个路由表:ip route add table 3 via 10.0.0.1 dev ethX (ethx 是 10.0.0.1 所在的网卡, 3 是路由表的编号)

3,之后添加 ip rule 规则:ip rule add fwmark 3 table 3 (fwmark 3 是标记,table 3 是路由表3 上边。 意思就是凡事标记了 3 的数据使用 table3 路由表)

4,之后使用 iptables 给相应的数据打上标记:

iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1 - 192.168.0.100 -j MARK --set-mark 3

参考

https://zhuanlan.zhihu.com/p/144585950

https://www.kancloud.cn/chunyu/php_basic_knowledge/2137338



声明

本文内容仅代表作者观点,或转载于其他网站,本站不以此文作为商业用途
如有涉及侵权,请联系本站进行删除
转载本站原创文章,请注明来源及作者。