Dotaz: Dve vnejsi rozhrani a routovani

[gilhad]

Mam server, ktery ma dve sitove karty (eth0, eth1) a dve IP adresy (111.111.111.1 a 111.111.111.2), oboji vede (ruznymi cestami) do internetu.

Potrebuju na nem provozovat ssh, apache a ntp (coz samo o sobe neni problem).

Ale nevim jak zaridit nasledujici chovani:

- pokud prijde pozadavek prez eth0 (111.111.111.1) tak at jde odpoved taky prez tuto kartu

- pokud prijde pozadavek prez eth1 (111.111.111.2) tak at jde odpoved taky prez tuto kartu

- pokud se server potrebuje pripojit do site 10.x.x.x/8, at to dela pouze prez eth1, a kdyz to nejde, at spojeni selze.

- pokud se server potrebuje pripojit kamkoli jinam, at to nejdriv zkusi prez eth0, a teprve pokud toto spojeni nefunguje, at to zkusi prez eth1.

Da se tohle chovani nastavit pomoci route?

Da se to nastavit bez pouziti baliku iproute2?

Jak?

Dekuju predem za vsechny odpovedi.

Odpovědi

[petr_p]

Da se tohle chovani nastavit pomoci route?

Da se to nastavit bez pouziti baliku iproute2?

Tyto otázky jsou víceméně ekvivalentní. Vzhledem k tomu, že potřebujete směrovat podle zdrojové adresy, potřebujete více směrovacích tabulek a to bez iproute2 neuděláte. (Ještě by bylo možné znásilnit směrování netfilter modulem ROUTE, ale to asi není vhodné řešení.)

pokud se server potrebuje pripojit kamkoli jinam, at to nejdriv zkusi prez eth0, a teprve pokud toto spojeni nefunguje, at to zkusi prez eth1.

To je trochu problém, protože směrování prakticky nic o spojeních neví. Pouze řeší, kam poslat tento jeden jediný packet. Klasické řešení, je vymazat směrovací pravidlo, když se „nějakým“ způsobe zjistí, že daná cesta nefunguje. Ale nevylučuji, že Linux umí zapojit výsledky sledování TCP spojení do směrovacích algoritmů.

[Dejv]

Mozna ze sebe nasledujicim dotazem udelam vola, ale nepomohlo by nastaveni metriky? Jak, to se me neptejte, v podstate o tom nic moc nevim, jen matne tusim, ze se to neceho podobneho tyka.

Dejv

[petr_p]

Prý ano, ale jen pokud padne linka mezi routerem a sousedící gatewayí, což se pozná tím, že z ARP tabulky zmizí její adresa. Linux pak automaticky začne volit geteway s vyšší metrikou.

Jestli se vztahuje i na point-to-point spoje, nevím.

[Gilhad]

Tohle vypada jako celkem pohodlne reseni :)

Situace je takova, ze na eth0 je prime pripojeni do internetu, ktere by se melo pouzivat prednostne. Na eth1 je taky pripojeni do ethernetu, ale hlavne je tam Linksys do site jednoho (sub-)zakaznika (10....) a bylo by fajn, kdyby tato karta byla vyhrazena pro provoz s nim, protoze to je podstatne vic dat, nez vse ostatni. Ale zaroven by bylo prima, kdyby se tato karta pouzila pro spojeni s internetem, pokud by eth0 z nejakeho duvodu nefungovala (jako nejpravdepodobnejsi mi prijde vykopnuty kabel, nebo neco obdobneho).

Takze pokud by se metrika te brany na eth1 pro 0.0.0.0/0 nastavila na rekneme 5, tak by to snad mohlo delat to, co si zakaznik preje -

- provoz do 10./8 jde prez eth1 protoze metrika 0 a je to uzsi specifikace

- provoz do ostatniho internetu jde prez eth0, protoze metrika (imho se to stejne tak o jeden hop dal potka na nejakem switchi)

- pokud se neco podela, jde se na stroj (nouzove) pripojit prez ten eth1 verejnou adresu, coz se ale casto dit nebude (a spatna metrika porad lepsi, nez zadne spojeni).

Par packetu, ktere by si nasly cesticku jinudy neni zadny problem, pokud nejak dorazi k cili a nebude jich prilis moc vzhledem k tem ktere jdu doporucenou cestou. (jde o prednostni vyuziti linek, nikoli o vyhradni)

(Ano, postupne pronikam do problemu a spoustu veci nevim, proto se taky ptam :) - nedelam to primo pro sebe, ale pro jednoho zakaznika, ktery chce co nejmin zmen a pokud mozno snadno pochopitelnych)

Muze mi tuhle uvahu nekdo odslouhlasit, nebo vyvratit?

Dekuji predem.

[Gilhad]

Jeste dodam - u obou karet jde o celkem klasicky LAN na eth1 sedi Linksys, ktery se stara o IPSEC do te site 10.0.0.0/24

Puvodne tam byla jen ta eth1, prez kterou slo vsechno, ted se pridala dalsi karta (eth0) ktera by mela ulehcit te pretizene eth1 tim, ze bude delat vsechno, co nejde do te podsite (asi tak 10% provozu a vzdalena sprava).

Pripojeni verejne site prez eth1 je zamysleno jen jako nouzova varianta, kdyby z nejakeho duvodu nesla eth0. (Pricemz mnohem pravdepodobnejsi je, ze zase chcipne linksys a tim ta podsit bude nedosazitelna ... jak uz se mnohokrat stalo, ale zakaznik proste chce mit pocit, ze je zajisten i proti opacnemu pripadu, ze to chcipne na eth0). Takze pokud to resenei bude fungovat nejak vzdycky, a navic v 90% tak, jak je pozadovano, tak je to skvele :)

[vencour]

Hm, to už bych tam dal místo druhé síťovky switch a nastavuju jen dvě routy.

[vencour]

Tip: zkuste hledat "dual homing". (Zběžně jsem nic odpovídajícího nenašel ... )