第4章 规则——路由策略数据库
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
如果你有一个大规模的路由器,你可能不得不同时满足不同用户对于路由的不同
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
需求.路由策略数据库可以帮助你通过多路由表技术来实现.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
如果你想使用这个特性,请确认你的内核配置中带有 "IP: advanced router" 和
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
"IP: policy routing" 两项.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
当内核需要做出路由选择时,它会找出应该参考哪一张路由表.除了 "ip" 命令
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
之外,以前的 "route" 命令也能修改 main 和 local 表.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
缺省规则:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
[ahu@home ahu]$ ip rule list
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
0:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup local
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
32766:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup main
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
32767:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup default
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
上面列出了规则的优先顺序.我们看到,所有的规则都应用到了所有的包上
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
("from all").我们前面已经看到了 "main" 表,就是"ip route ls"命令的输出,
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
但是"local"和"default"是初次见到.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
如果我们想做点有趣的事情,就可以生成一些指向不同路由表的规则,取代系统
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
中的路由规则.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
对于内核如何处理一个IP包匹配多个规则的精确意义,请参见Alexey关于
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip-cref文档.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
4.1. 简单的源策略路由
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
让我们再来一个真实的例子.我有两个Cable Modem,连接到了一个 Linux的
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
NAT ("伪装") 路由器上.这里的室友们向我付费使用 Internet.假如我其中的
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
一个室友因为只想访问 hotmail 而希望少付一些钱.对我来说这没有问题, 他们
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
肯定只能使用那个比较次的 Cable Modem.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
那个比较快的cable modem 的IP地址是 212.64.94.251, PPP 链路,对端IP是
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
212.64.94.1.而那个比较慢的cable modem 的IP 地址是212.64.78.148,对端是
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
195.96.98.253.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
local 表:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
[ahu@home ahu]$ ip route list table local
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
11
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
/etc/iproute2/rt_tables
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
# ip rule add from 10.0.0.10 table John
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
# ip rule ls
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
0:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup local
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
32765:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom 10.0.0.10 lookup John
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
32766:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup main
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
32767:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
f
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
rom all lookup default
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
现在,剩下的事情就是为 John 的路由表创建路由项了.别忘了刷新路由缓存:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
# ip route add default via 195.96.98.253 dev ppp2 table John
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
# ip route flush cache
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
这样就做好了.至于如何在 ip-up 阶段实现就留给读者自己去研究吧.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
4.2. 多重上连ISP的路由
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
下图是很常见的配置,同一个局域网(甚至是同一台计算机)通过两个ISP连接
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
到互联网上.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
+------------+ /
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
| | |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
+-------------+ ISP 1 +-------
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
__ | | | /
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
___/ ＼_ +------+-------+ +------------+ |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
_/ ＼__ | if1 | /
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
/ ＼ | | |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
| 局域网 -----+ Linux 路由器 | | 国际互联网
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
＼_ __/ | | |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
＼__ __/ | if2 | ＼
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
＼___/ +------+-------+ +------------+ |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
| | | ＼
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
+-------------+ ISP 2 +-------
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
| | |
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
+------------+ ＼这种情况下通常会出现两个问题.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
4.2.1. 流量分割
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
首先是如何保证:回应来自某一个ISP的数据包时,仍然使用相同的ISP.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
让我们先定义一些符号. 令第一块网卡(上图的if1)的名字叫 $IF1,而第二块网
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
卡叫做 $IF2 .然后设置 $IF1 的IP地址为 $IP1,$IF2 的IP地址为 $IP2.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
并且,令ISP1 的网关地址为 $P1,ISP2 的网关地址为 $P2.最后,令$P1的
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
网络地址为 $P1_NET ,令$P2的网络地址为 $P2_NET.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
额外创建两个路由表, T1 和 T2. 加入到 /etc/iproute2/rt_tables 中.然后如下
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
设置两个路由表中的路由:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add $P1_NET dev $IF1 src $IP1 table T1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add default via $P1 table T1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add $P2_NET dev $IF2 src $IP2 table T2
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add default via $P2 table T2
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
没什么大不了的,不过是建立了通向该网关的一条路由,并使之成为默认网关,
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
分别负责一个单独的上行流,并且为这两个ISP都作这样的配置.要指出的是,
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
那条网络路由是必要条件,因为它能够让我们找到那个子网内的主机,也包括上
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
述那台网关.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
下一步,我们设置"main"路由表.把包通过网卡直接路由到与网卡相连的局域
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
网上不失为一个好办法.要注意"src" 参数,他们能够保证选择正确的出口IP
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
地址.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add $P1_NET dev $IF1 src $IP1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add $P2_NET dev $IF2 src $IP2
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
然后,设置你的缺省路由:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add default via $P1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
接着,设置路由规则.这实际上在选择用什么路由表进行路由.你需要确认当你
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
从一个给定接口路由出数据包时,是否已经有了相应的源地址:你需要保证的就
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
是如果你已经有了相应的源地址,就应该把数据包从相应的网卡路由出去:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip rule add from $IP1 table T1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip rule add from $IP2 table T2
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
13
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
以上命令保证了所有的回应数据都会从他们来的那块网卡原路返回.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
现在,完成了非常基本的配置.这将对于所有运行在路由器上所有的进程起作用,
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
实现IP伪装以后,对本地局域网也将起作用.如果不进行伪装,那么你要么拥
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
有两个ISP的地址空间,要么你想对两个ISP中的一个进行伪装.无论哪种情况,
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
你都要添加规则,基于发包的主机在局域网内的IP地址,选择从哪个ISP路由
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
出去.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
4.2.2. 负载均衡
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
第二个问题是如何对于通过两个ISP流出的数据进行负载均衡.如果你已经成功
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
地实现了流量分割,这件事并不难.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
与选择两个ISP中的一个作为缺省路由不同,这次是设置缺省路由为多路路由.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
在缺省内核中,这会均衡两个ISP的路由.象下面这样做(基于前面的流量分割
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
实验):
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
ip route add default scope global nexthop via $P1 dev $IF1 weight 1 \
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
nexthop via $P2 dev $IF2 weight 1
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
这样就可以均衡两个ISP的路由.通过调整"weight"参数我们可以指定其中一
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
个ISP的优先权高于另一个.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
应该指出,由于均衡是基于路由进行的,而路由是经过缓冲的,所以这样的均衡
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
并不是100%精确.也就是说,对于一个经常访问的站点,总是会使用同一个ISP.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
进而,如果你对此不满意,你可能需要参考以下Julian Anastasov的内核补丁:
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
http://www.linuxvirtualserver.org/~julian/#routes
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
Julian的路由补丁会弥补上述缺陷.
版权保护版权保护，请不要随意复制^%#$32485)98sa。^_^，请不要随意复制^%#$32485)98sa。^_^
|
