请教版主策略路由的问题

chinaunix874

比如我的linux服务器有2块网卡，能做基于网卡的策略路由吗？

比如默认路由是网卡2，而通过网卡1访问linux的数据，还让返回的数据通过网卡1回去？

另外，有没有办法能够让本地发起的连接通过网卡1出去？比如默认路由在网卡2上，如果本地某个进程要访问互联网，要求从网卡1出去。

用ip rule的话，怎么写策略呢？

chenyx

http://lartc.org
楼主下载文档研究下

chinaunix874

多谢2楼，文档中找到一个办法。

#echo 20 mytable >> /etc/iproute2/rt_table
#cat route.sh
#!/bin/sh
NET=192.168.0.0/24
DEV=eth0
IP=192.168.0.100
GW=192.168.0.1

#route policy

ip route add $NET src $IP dev $DEV table mytable
ip route add default via $GW src $IP dev $DEV table mytable
ip rule add from $IP table mytable

但是问题就在于，如果这样做，改了接口IP地址的话，还得再改ip rule，能不能直接指明接口呢？这样，无论接口ip地址怎么变动，都没有影响了。

vermouth

iptables 根据端口分配？

platinum

1、在 Linux 网关上针对目的地址是 cernet 的打个 MARK1
2、在 DNAT 前把专门从 cernet 进来的数据也打 MARK1
3、在数据包出去选路的时候，把 MARK1 的指到 cernet 出口，其余一律默认走 chinanet

chinaunix874

1、在 Linux 网关上针对目的地址是 cernet 的打个 MARK1
2、在 DNAT 前把专门从 cernet 进来的数据也打 MA ...
platinum 发表于 2010-08-12 16:53

多谢白金。

第二条没有明白，为什么要在DNAT之前把专门从cernet进来的数据打标记？如果是这样，高级路由不就把这部分数据依然从cernet接口送回去了吗？

如果仅仅是chinanet上做DNAT，那我想可以用您说的第一种方法，就是不填加去cernet的静态路由，而是用高级路由的办法来做。
所有去目标地址是cernet的数据，打标记1，然后写一个ip rule，所有标记1的数据，通过cernet出口出去。
这样，即便从cernet访问chinanet上的DNAT，也只会匹配默认路由，从chinanet正确返回数据了。

但是实际网络可能会很复杂
比如在cernet上也做了相应的DNAT，那从任何地方访问这些DNAT地址，也会从chinanet返回，依然会有问题。

所以我想的是，能不能基于网络接口去做策略路由，比如从某个接口进来的数据，依然从哪个接口返回？

platinum

可以，在 mangle 表的 PREROUTING 里匹配进来的接口，对 conntrack 作 MARK
出去的时候通过 CONNMARK 将 connection 中的 MARK save 到包中
之后通过高级路由根据数据包的 MARK 做出口选择

chinaunix874

做MARK的方法会不会影响性能？
我在3楼查到一个办法，是只用高级路由实现的，但是有限制是必须写接口的ip地址，有没有其他的用高级路由就能实现，而不需要用iptables打标的办法？

platinum

几乎无损耗，仅仅修改数据包存储结构中的一个元素而已
MARK 的方法最灵活