3.6 के बाद के कर्नेल में मल्टीपाथ रूटिंग

Question

जैसा कि आप सभी शायद जानते हैं कि 3.6 लिनक्स कर्नेल श्रृंखला में ipv4 मार्ग कैश को हटा दिया गया है, जिसका बहुपथ मार्ग पर गंभीर प्रभाव पड़ा था। IPv4 रूटिंग कोड (IPv6 एक के विपरीत) एक राउंड-रॉबिन फैशन में अगले हॉप का चयन करता है, इसलिए दिए गए स्रोत आईपी से दिए गए गंतव्य आईपी के पैकेट हमेशा एक ही अगले हॉप के माध्यम से नहीं जाते हैं। 3.6 से पहले रूटिंग कैश उस स्थिति को ठीक कर रहा था, जैसा कि अगले हॉप, एक बार चयनित होने पर, कैश में रह रहा था, और एक ही स्रोत से एक ही गंतव्य के लिए आगे के सभी पैकेट उस अगले हॉप से ​​गुजर रहे थे। अब प्रत्येक पैकेट के लिए अगले हॉप को फिर से चुना गया है, जो अजीब चीजों की ओर जाता है: रूटिंग टेबल में 2 बराबर लागत डिफ़ॉल्ट मार्गों के साथ, प्रत्येक एक इंटरनेट प्रदाता की ओर इशारा करते हुए, मैं टीसीपी कनेक्शन भी स्थापित नहीं कर सकता, क्योंकि प्रारंभिक SYN और अंतिम ACK विभिन्न मार्गों से गुजरें,

क्या बहुपथ रूटिंग के सामान्य व्यवहार को बहाल करने का कोई अपेक्षाकृत आसान तरीका है, ताकि अगले-प्रति-पैकेट के बजाय प्रति-प्रवाह का चयन किया जाए? क्या IPv4 को अगले हॉप सिलेक्शन हैश-आधारित बनाने के लिए चारों ओर पैच हैं, जैसे कि यह IPv6 के लिए है? या आप सभी इससे कैसे निपटेंगे?

Comments

क्या आपके पास यहां "स्प्लिट एक्सेस" सेटअप समान है: lartc.org/howto/lartc.rpdb.multiple-links.html ? यदि हां, तो आपके नियम और मार्ग क्या दिखते हैं?

— वाबेट

"आईपी मार्ग का उपयोग करने की कोशिश करो 173.194.112.247" कई बार और आउटपुट पोस्ट करें

— c4f4t0r

स्वादिष्ट प्रश्न के लिए धन्यवाद। :) सबसे पहले, आपने हमें एक उदाहरण नहीं दिया। तो मुझे लगता है कि आपके पास कुछ ऐसा ip ro add 8.8.8.8/32 nexthop via 1.2.3.4 nexthop via 1.2.3.5है जो सही धारणा है?

— गरीब

हाँ यह सही है, लेकिन आमतौर पर यह आईपी मार्ग है जो 0.0.0.0/0 को अगले कई हॉप्स के साथ जोड़ता है।

— यूजीन

wabbit, हाँ, बिल्कुल उसी तरह। "प्रदाता 1" और "प्रदाता 2" मेरे मामले में मेरे आंतरिक नेटवर्क और प्रदाता के नेटवर्क से जुड़े बॉर्डर रूटर्स हैं और वे NAT स्रोत करते हैं। मेरे आंतरिक राउटर पर मुझे बस 2 गेट के साथ डिफ़ॉल्ट गेटवे है जो कि प्रदाता 1 और प्रदाता 2 को इंगित करता है, कोई अन्य मार्ग नहीं है। फ़ायरवॉल नियम केवल क्लाइंट मशीनों के लिए कुछ सेवाओं (जैसे HTTP) की अनुमति देते हैं और बाकी सब को ब्लॉक करते हैं।

— यूजीन

Answer 1

यदि संभव हो तो, लिनक्स कर्नेल> = 4.4 में अपग्रेड करें ...।

हैश-आधारित मल्टीपाथ रूटिंग पेश की गई है, जो कई मायनों में पूर्व 3.6 व्यवहार से बेहतर है। यह प्रवाह-आधारित है, व्यक्तिगत कनेक्शन के लिए मार्ग को स्थिर रखने के लिए स्रोत और गंतव्य आईपी (बंदरगाहों की अनदेखी) का हैश ले रहा है। एक नकारात्मक पक्ष यह है कि मेरा मानना ​​है कि पहले 3.6 पर विभिन्न एल्गोरिदम / कॉन्फिगर मोड उपलब्ध थे, लेकिन अब आपको वह मिल जाता है जो आपको दिया जाता है। weightयद्यपि आप पथ की पसंद को प्रभावित कर सकते हैं ।

यदि आप मेरी स्थिति में हैं तो आप वास्तव में चाहते हैं 3.6 >= behaviour < 4.4लेकिन यह अब समर्थित नहीं है।

यदि आप> = 4.4 में अपग्रेड करते हैं तो यह ट्रिक करनी चाहिए, अन्य सभी कमांड के बिना:

ip route add default  proto static scope global \
nexthop  via <gw_1> weight 1 \
nexthop  via <gw_2> weight 1

वैकल्पिक रूप से डिवाइस द्वारा:

ip route add default  proto static scope global \
 nexthop  dev <if_1> weight 1 \
 nexthop  dev <if_2> weight 1

Comments

इस समाधान के लिए आने वाले किसी भी व्यक्ति के लिए यह भी एक नज़र है: net.ipv4.fib_multipath_use_neigh स्वचालित रूप से "गिरा" नेक्सथॉप / गेटवे को अक्षम करने के लिए।

— रोस्टिस्लाव कंडिलारोव

Answer 2

"अपेक्षाकृत आसान" एक कठिन शब्द है, लेकिन आप कर सकते हैं

1. अपने प्रत्येक लिंक के लिए राउटिंग टेबल सेट करें - एक डिफ़ॉल्ट गेटवे के साथ लिंक प्रति एक टेबल
2. एक एकल स्ट्रीम के सभी पैकेटों पर समान निशान लगाने के लिए नेटफिल्टर का उपयोग करें
3. पैकेट को रूट के आधार पर अलग-अलग राउटिंग टेबल के माध्यम से रूट करने के लिए आईपी रूल टेबल का उपयोग करें
4. अपने गेटवे / लिंक पर पहले-में-सत्र पैकेट को संतुलित करने के लिए एक बहु-नेक्सटॉप भारित मार्ग का उपयोग करें।

इस विषय पर नेटफिल्टर मेलिंग सूची में एक चर्चा हुई है कि मैं कहाँ से सूचियाँ चुरा रहा हूँ:

1. रूटिंग नियम (RPDB और FIB)

ip route add default via <gw_1> lable link1
ip route add <net_gw1> dev <dev_gw1> table link1
ip route add default via <gw_2> table link2
ip route add <net_gw2> dev <dev_gw2> table link2

/sbin/ip route add default  proto static scope global table lb \
 nexthop  via <gw_1> weight 1 \
 nexthop  via <gw_2> weight 1

ip rule add prio 10 table main
ip rule add prio 20 from <net_gw1> table link1
ip rule add prio 21 from <net_gw2> table link2
ip rule add prio 50 fwmark 0x301 table link1
ip rule add prio 51 fwmark 0x302 table link2
ip rule add prio 100 table lb

ip route del default

2. फ़ायरवॉल नियम ("प्रवाह" एलबी मोड को लागू करने के लिए ipset का उपयोग करना)

ipset create lb_link1 hash:ip,port,ip timeout 1200
ipset create lb_link2 hash:ip,port,ip timeout 1200

# Set firewall marks and ipset hash
iptables -t mangle -N SETMARK
iptables -t mangle -A SETMARK -o <if_gw1> -j MARK --set-mark 0x301
iptables -t mangle -A SETMARK -m mark --mark 0x301 -m set !
--match-set lb_link1 src,dstport,dst -j SET \
          --add-set lb_link1 src,dstport,dst
iptables -t mangle -A SETMARK -o <if_gw2> -j MARK --set-mark 0x302
iptables -t mangle -A SETMARK -m mark --mark 0x302 -m set !
--match-set lb_link2 src,dstport,dst -j SET \
          --add-set lb_link2 src,dstport,dst

# Reload marks by ipset hash
iptables -t mangle -N GETMARK
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link1 src,dstport,dst -j MARK --set-mark 0x301
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link2 src,dstport,dst -j MARK --set-mark 0x302

# Defining and save firewall marks
iptables -t mangle -N CNTRACK
iptables -t mangle -A CNTRACK -o <if_gw1> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -o <if_gw2> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -m mark ! --mark 0x0 -j CONNMARK --save-mark
iptables -t mangle -A POSTROUTING -j CNTRACK

# Reload all firewall marks
# Use OUTPUT chain for local access (Squid proxy, for example)
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j GETMARK
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j GETMARK

आप ऊपर के कुछ बदलावों के लिए नेटफिल्टर मेलिंग सूची चर्चा का अनुसरण करना चाह सकते हैं।

Comments

सुनिश्चित नहीं हैं कि, लेकिन करने के लिए आसान हो सकता है u32महत्वपूर्ण पैरामीटर टुकड़ों में बांटा और प्राप्त करने के लिए फिर "लेबल" के लिए सौंपा ip ruleहै

— poige

धन्यवाद, लेकिन यह बहुत जटिल समाधान की तरह दिखता है। जो कुछ मुझे समझ में नहीं आता है वह यह है कि यहाँ कौन सा टुकड़ा "एक ही धारा के सभी पैकेटों पर समान अंकन" के लिए जिम्मेदार है? वह ipset जादू कैसे काम करता है? मुझे लगा कि ipset केवल विशेष IP का एक सेट है जो हैशेड है और इसे नियमों में मिलान किया जा सकता है।

— यूजीन

आप इसके बारे में सही हैं ipset- यह केवल ऐसे सेट बना रहा है जो उपयोग करके भरे हुए हैं --add-setऔर उपयोग करने के विरुद्ध मेल खाते हैं --match-set- लेकिन यह ज्यादातर नए राज्य में कनेक्शन के लिए है। स्थापित स्थिति कनेक्शन --restore-markके लिए CONNMARKलक्ष्य के पैरामीटर का उपयोग करते हुए पैकेट पर निशान लगाया जाता है - यह निर्देश पैकेट के कनेक्शन के निशान की नकल कर रहा है। कनेक्शन का चिह्न पहले श्रृंखला --save-markमें उपयोग किया जाता POSTROUTINGहै (जहां नए कनेक्शन से संबंधित पैकेट गुजरता है)। स्क्रिप्ट मुझ पर अत्यधिक विश्वास करती है, लेकिन यह इस विचार को व्यक्त करती है।

— वबबिट

हां, अब मुझे विचार आया, मुझे लगता है। आखिरी सवाल: क्या आप समझते हैं कि कर्नेल डेवलपर्स IPv4 के लिए हैश-आधारित अगला हॉप चयन क्यों नहीं करते हैं? क्या रूट कैश हटाने के साथ इसे लागू नहीं करने का कोई कारण है? IPv6 के लिए समान समाधान काफी अच्छी तरह से काम करता है। क्या यह सब इतना आसान जादू नहीं है कि इस तरह के एक सरल कार्य के लिए एक ओवरकिल हो?

— यूजीन

@ दुर्भाग्य से, मैं आधिकारिक तौर पर आपके किसी भी प्रश्न का उत्तर देने के लिए आईपी स्टैक विकास (या सामान्य रूप से लिनक्स कर्नेल विकास) के काफी करीब हूं, लेकिन मैं अनुमान लगाऊंगा कि आईपीवी 4 के साथ विभिन्न प्रदाताओं का उपयोग करने वाले मल्टीपाथिंग को बहुत अधिक माना जाता था एक कोने का मामला इसमें कोई और काम करने के लिए। नेटफिल्टर CONNMARK का उपयोग करना स्पष्ट रूप से एक बुरा कीचड़ जैसा दिखता है, लेकिन मार्ग कैश कोड को छोड़ने के निर्णय में भी इसे "उपयोगी समाधान" माना जा सकता है।

— वबबिट