[Sysadmins] два шлюза и проброс во внутреннюю сеть

[Peter V. Saveliev]

В сообщении от Friday 02 November 2007 15:28:34 Igor Solovyov написал(а):
<skip />
> Пока default gw сделал на 2-й канал. Вот что-то не могу сообразить как
> почтовику работать на канал 1. Если я сделаю второй default gw на адрес
> циски, как в приведенном выше примере, то postfix поймет, что для него
> выход наружу именно в циске? Что-то запутался я... :-(
> А потом мне еще нужно будет выпустить так же в канал 1, ситриксовский
> трафик локалки... :-)

Давайте посмотрим, как вообще можно управлять классами маршрутизации в Linux. 
Их нам доступно 255 - 4 == 251.

Зарезервирвано четыре класса:

$ cat /etc/iproute2/rt_tables
#
# reserved values
#
255     local
254     main
253     default
0       unspec


Остальные доступны. По традиции, классы называют "таблицами маршрутизации".

Выбирать, какая таблица для чего доступна, можно с помощью rpdb (routing 
policy database), она rpdb рулицо через ip rule:

# ip rule add help
Usage: ip rule [ list | add | del | flush ] SELECTOR ACTION
SELECTOR := [ not ] [ from PREFIX ] [ to PREFIX ] [ tos TOS ] [ fwmark 
FWMARK[/MASK] ]
            [ dev STRING ] [ pref NUMBER ]
ACTION := [ table TABLE_ID ]
          [ prohibit | reject | unreachable ]
          [ realms [SRCREALM/]DSTREALM ]
TABLE_ID := [ local | main | default | NUMBER ]

То есть, реально мы можем зарулить пакет по fwmark и dev, т.к. src/dst могут 
быть любые в любом случае. Итого, наиболее корректный пример был бы такой 
(подразумеваются: S,U -- шлюзы провайдеров; нужно также внести записи в 
rt_tables, где S и U < 253, например, 100 и 101 соотв.):

# добавим деволтные шлюзы для каждого из провадеров в свой класс
ip route add default via S table S
ip route add default via U table U

# добавим один из них как "совсем-совсем" дефолтный для всего траффика,
# который мы не учтём
ip route add default via U table main

# дальше: первые два правила -- "откуда пришло -- туда ушло"
# (надо заметить -- работает только для локальных сервисов)
ip rule add pref 100 dev S table S
ip rule add pref 101 dev U table U

# дальше: раскидываем по портам (всё, что на 80 порт -- через провайдера U)
iptables -t mangle -I FORWARD -m tcp -p tcp --dport 80 -j MARK --set-mark 80
ip rule add pref 200 fwmark 80 table U

ну, или OUTPUT или попробовать POSTROUTING -- но я не помню, POSTROUTING в 
mangle отрабатывает до или после rpdb. Легко выясняется эмпирически.

# итеративно, пока сервисы не кончатся :)

...

В этой же схеме можно использовать l7-filter и ставить марки не по портам, а 
по результатам анализа траффика.

-- 
Peter V. Saveliev