知识屋：更实用的电脑技术知识网站
知识屋 手机游戏 手机软件 电脑软件 最近更新 手机端
冒险村物语 英雄无敌3塔防 驾考家园手游
password怎么用？p 诺诺视频会议怎 网易UU网游加速
所在位置：首页 > 操作系统 > linux

Linux的rp_filter与策略路由

发布时间：2014-09-05 15:54:26作者：知识屋


Linux的rp_filter与策略路由
 
Linux的rp_filter用于实现反向过滤技术，也即uRPF，它验证反向数据包的流向，以避免伪装IP攻击，但是它和Linux的策略路由却很容易发生冲突，其本质原因在于，uRPF技术强制规定了一个反向包的“方向”，而实际的路由是没有方向的。策略路由并没有错，错就错在uRPF增加了一个路由概念本身并没有且从不考虑的约束。典型的例子如下。
 
0.基本环境  www.zhishiwu.com  
内网口：eth0
外网口1：eth1
外网口2：eth2
 
1.配置一个内网服务器到外网返回包的策略路由
ip rule add fwmark 100 iif eth0 table lb1
ip rule add fwmark 200 iif eth0 table lb2
iptables -t mangle -A PREROUTING -i eth0 -p tcp --sport 123 -j 打上mark 100
iptables -t mangle -A PREROUTING -i eth0 -p tcp --sport 456 -j 打上mark 200
ip route add default via $R1 table lb1
ip route add default via $R2 table lb2
 
2.配置一个任意客户端到内网服务器的目标地址转换
iptables -t nat -A PREROUTING -p tcp --dport 123 -j DNAT --to-source $内网123服务
iptables -t nat -A PREROUTING -p tcp --dport 456 -j DNAT --to-source $内网456服务
 
3.以上配置的问题  www.zhishiwu.com  
如果Linux主机的对应网卡的rp_filter配置为1，以上的DNAT是不会成功的，因为在路由之后会验证反向路径，做法就是源IP和目标IP对调，查找到的出口必须是正向包进来的网卡。结果是什么呢？
    反向路径的路由在策略路由中，而策略路由的查找条件是从内网进入且带有mark，对于正向路径，uRPF检查时的反向查找元素是简单反转源和目标地址构建的，因此不符合策略路由的查找条件，进而导致uRPF的失败。此时你就算查看/proc/net/ip_connrack文件或者用conntrack工具查看都不会得到任何信息，因为数据包是在in-process-out的中间，即process时被丢弃的，ip_conntrack不会被confirm，因此不会留下任何流轨迹。
 
4.解决方法
之一.想办法让uRPF查到策略路由；
之二.在main路由表或者default(更好一些)中配置专门为uRPF而设置的路由
之三.既然Linux的虚拟路由转发的实现不是很明显，那还奢求什么呢？
 
（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）
收藏

上一篇:修改nginx的日期格式

下一篇:linux socket笔记常量&预定义INADDR_ANY等

相关知识

软件推荐

更多 >

游戏推荐

更多 >

精选栏目

热门推荐

  • 人气文章
  • 最新文章
  • 下载排行榜
  • 热门排行榜

手机游戏

手机软件

电脑软件

猜你喜欢

个人借贷 二次元 购物 换装 吃鸡 战斗 英语口语 影音 格斗 系统软件 RPG 分期 音乐 联机 旅游 漫画 剧情 策略 MOBA 不上征信 3D 招聘 唱歌 武侠 彩票 宫斗 赛车 社交 拍照 恋爱 棋牌 传奇 魔幻 网贷借钱 休闲 财经 塔防 医疗 阅读 美食 系统 关卡 手机美化 抢红包 解谜 运动 西游 摄影 借钱 放置

本站所有软件来自互联网，版权归原著所有。如有侵权，敬请来信告知，我们将及时撤销。

知识屋 www.zhishiwu.com 更实用的电脑技术知识网站

苏ICP备14019037号-7