Dotaz: Routing na zaklade aplikace

[Zdvori]

Zdravim,

mam dve pripojeni k netu (dejme tomu eth0 a eth1), vychozi GW je na eth0. Potreboval bych poradit jak (pokud to jde) naroutovat vsechna spojeni ktera vytvari konkretni aplikace (napr. azureus) na eth1. Problem vidim v tom ze nevim na jaky IP se bude chtit azureus pripojit, takze klasicky prikaz route je mi k nicemu.

Diky

Odpovědi

[miso]

Podla aplikacie to nejde. Da sa to ale na zaklade portov/IP adries.
google keywords: iptables MARK, iproute2

[Zdvori]

To je bohuzel nedostatecne. Neexistuje nejaky projekt, ktery by sledoval jake IP adresy aplikace pouziva a podle toho dynamicky vytvarel prislusna pravidla v iptables?

[JimiK]

zkus se podívat na layer7

[JimiK]

http://l7-filter.sourceforge.net/

[jiri.b]

pokud kazda takova aplikace bezi pod vlastnim uzivatelem tak to urcite pujde jednoduse.

[Zdvori]

Pustit aplikaci pod jinym uzivatelem by nebyl problem. nejakej podrobnejsi navod? Na ten layer mrknu.

[merlik]

Odpoved ohledne routovani dle useru je popsana v LARTC. Google zajiste pomuze, ja to tady na tom mobilu pokouset nebudu.

[Zdeněk Štěpánek]

varim spis z vody, jen co jsem slisel: Iptables by mel poznat jaka _lokalni_ aplikace paket vygenerovala. Takze tam muzes pakety omarkovat a pak poslat do jine routovaci tabulky, kde budes mit jinou vychozi branu. Viz. iproute2. Tenhle princip je pouzit v programu sedlo. Zkus googlit.

Nebo taky tomu programu vnutit jaky interface bude pouzivat, druhy bude uplne ignorovat. Pak nastav 2 vychozi brany, s ruznou metrikou (defaultni je ta nizsi). Pokud je interface s branou s nizsi metrikou blokovan, pouzije se ta druha brana.

Nebo me napada chroot, ale nevim nakolik tam lze modifikovat routovaci tabulky. Nebo nejaka vyssi forma virtualizace.

Zdenek

[atan]

V POMu nejaky modul to kdysi umel, ale uz je to opravdu dlouho, co to neumi.

[atan]

No jo, je to ten owner.

[Tyfus]

Asi bych mel napsat proc uz modul owner neumi jmeno aplikace. Protoze funkce byla neopravitelne spatna a matouci.

Nejcastejsi pouziti bylo squid pustit primo pryc a zbytek lokalniho provozu natovat do proxy. Ale `ln -s /usr/bin/firefox ./squid ; ./squid` spustilo browser, jenze modul videl ono ./squid. Nastesti tuhle vadnou ficuru iptables zahodili.

[VSi]

Takhle by šly označit pakety, pokud by program běžel pod zvláštním uživatelem:

iptables -A OUTPUT -m owner --uid-owner 1002 j MARK --set-mark 1

dál bych postupoval podle: http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.netfilter.html

# echo 201 app.out >> /etc/iproute2/rt_tables
# ip rule add fwmark 1 table app.out
# ip rule ls
0:	from all lookup local 
32764:	from all fwmark        1 lookup app.out 
32766:	from all lookup main 
32767:	from all lookup default

# /sbin/ip route add default via xxx.xxx.xxx.xxx dev eth1 table app.out

[Zdvori]

Diky :)

[miso]

To cumim

[Tyfus]

Tohle funguje? Napred se udela smerovaci rozhodnuti a az kdyz je rozhodnuto tak jde paket do mangle OUTPUTu.

Spis vidim jako reseni pouzit mangle a -j ROUTE. Druhe by mozna mohlo byt dat aplikaci jeji zdrojovou ip adresu, podle ni ip rule a nakonec natovat zdroj, ale tohle asi nejde.

[VSi]

Máš pravdu, na OUTPUTu by to asi nemělo smysl. Ten příklad jsem takhle úplně přesně nezkoušel. Spíš to je nápad, jakým směrem se ubírat.

Možná by to šlo takhle označit v PREROUTINGu:

# iptables -t mangle -A PREROUTING -m owner --uid-owner 1002 j MARK --set-mark 1

Nebo spíš opravdu s tím ROUTE - celý problém řeší 1 příkaz:

# iptables -t mangle -A PREROUTING -m owner --uid-owner 1002 -j ROUTE --gw 10.0.0.2

viz http://www.netfilter.org/documentation/HOWTO/netfilter-extensions-HOWTO-4.html

[Michal Kubeček]

Lokálně generované pakety chainem PREROUTING neprocházejí. Proto je také docela dobře možné, že v chainu PREROUTING podmínka --uid-owner ani nepůjde použít.

[Zdenek]

Zrovna azureus jde nastavit na IP adresu konkretniho rozhrani a pak staci jednoduchy source routing.

[Michal Kubeček]

Velmi rozšířená chyba v terminologii. Source routing je něco úplně jiného, než máte na mysli.

[Zdenek]

Dobre, source policy routing. Neni nad exaktni vyjadrovani