ip route / ip rule /iptables 配置策略路由

Linux策略路由配置
本文详细介绍如何在Linux环境下配置策略路由,实现基于源地址的路由选择,包括使用iproute、iprule和iptables设置不同网络出口,以及刷新路由缓存确保配置生效。

Linux 使用 ip route , ip rule , iptables 配置策略路由

要求192.168.0.100以内的使用 10.0.0.1 网关上网,其他IP使用 20.0.0.1 上网。

首先要在网关服务器上添加一个默认路由,当然这个指向是绝大多数的IP的出口网关。

ip route add default gw 20.0.0.1

之后通过 ip route 添加一个路由表

ip route add table 3 via 10.0.0.1 dev ethX (ethx是10.0.0.1所在的网卡,3 是路由表的编号)

之后添加 ip rule 规则

ip rule add fwmark 3  table 3 (fwmark 3是标记,table 3 是路由表3 上边。 意思就是凡事标记了 3 的数据使用table3 路由表)

之后使用iptables给相应的数据打上标记

iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1 -192.168.0.100 -j MARK --set-mark 3

因为mangle的处理是优先于 nat 和fiter表的,所以相依数据包到达之后先打上标记,之后在通过ip rule规则,对应的数据包使用相应的路由表进行路由,最后读取路由表信息,将数据包送出网关。

ip rule:

进行路由时,根据路由规则来进行匹配,按优先级(pref)从低到高匹配,直到找到合适的规则.所以在应用中配置默认路由是必要的

路由规则的添加

ip rule add from 192.168.1.10/32 table 1 pref 100

如果pref值不指定,则将在已有规则最小序号前插入

PS: 创建完路由规则若需立即生效须执行

ip route flush cache

     

From -- 源地址
        To -- 目的地址(这里是选择规则时使用,查找路由表时也使用)
          Tos -- IP包头的TOS(type of sevice)域Linux高级路由-
         Dev -- 物理接口
         Fwmark -- iptables标签

 

采取的动作除了指定路由表外,还可以指定下面的动作:
         Table 指明所使用的表
          Nat 透明网关

             Prohibit 丢弃该包,并发送 COMM.ADM.PROHIITED的ICMP信息 
            Reject 单纯丢弃该包
             Unreachable丢弃该包, 并发送 NET UNREACHABLE的ICMP信息

 

Usage: ip rule [ list | add | del ]SELECTOR ACTION
         SELECTOR := [ from PREFIX ] [ toPREFIX ] [ tos TOS ][ dev STRING ] [ pref NUMBER ]
         ACTION := [ table TABLE_ID ] [ natADDRESS ][ prohibit | reject | unreachable ]
                  [ flowid CLASSID ]
         TABLE_ID := [ local | main | default| new | NUMBER ]

详解看http://blog.youkuaiyun.com/scdxmoe/article/details/38661457

linux策略路由,路由策略(高级路由设置,多出口)

FROM http://rfyiamcool.blog.51cto.com/1030776/768562

功能说明:

由Linux实现流量分割,

1, 到202.96.209.133的数据从Linux路由器的eth2到路由器A,再到202.96.209.133。
2, 到Internet其他地方的数据从Linux路由器的eth1到路由器B,再到Internet。

实现方法:

打开Linux的路由功能:

echo 1 >/proc/sys/net/ipv4/ip_forward

首先添加一条规则,指定从172.16.16.2来的数据查找路由表5:

ip ru add from 172.16.16.2 lookup 5

1,实现第一个功能

(1),在路由表5中添加一条路由,到202.96.209.133的数据经过192.168.1.1:

# ip ro add 202.96.209.133 via 192.168.1.1 table 5

(2),这样就完成了路由的设置,因为172.16.16.2是私有地址,所以在Linux路由器的出口eth2处应该对其进行NAT的设置,如下:

# iptables -t nat -A POSTROUTING -s 172.16.16.2 -d 202.96.209.133 -j SNAT --to 192.168.1.3

(3),刷新路由缓存:

# ip ro flush cache

2, 实现第二个功能(在第一个的基础上)

(1),在路由表5中添加默认路由:

# ip ro add default via 10.10.10.2 table 5

(2),在Linux路由器的出口eth1处进行NAT设置:

# iptables -t nat -A POSTROUTING -s 172.16.16.2 -j SNAT --to 10.10.10.1

(3),刷新路由缓存:

# ip ro flush cache

注意:如果路由缓存不刷新的话,路由命令不能马上生效!

脚本如下:

#!/bin/sh  
echo 1 >/proc/sys/net/ipv4/ip_forward  
ip ru add from 172.16.16.2 lookup 5  
ip ro add 202.96.209.133 via 192.168.1.1 table 5  
iptables -t nat -A POSTROUTING -s 172.16.16.2 -d 202.96.209.133 -j SNAT --to 192.168.1.3  
ip ro add default via 10.10.10.2 table 5  
iptables -t nat -A POSTROUTING -s 172.16.16.2 -j SNAT --to 10.10.10.1  
ip ro flush cache  

你也可以将上面脚本中的几行iptables命令合为一行如下:

#iptables -t nat -A POSTROUTING -s 172.16.16.2 -j MASQUERADE

那么脚本如下:

#!/bin/sh
echo 1 >/proc/sys/net/ipv4/ip_forward
ip ru add from 172.16.16.2 lookup 5
ip ro add 202.96.209.133 via 192.168.1.1 table 5
ip ro add default via 10.10.10.2 table 5
iptables -t nat -A POSTROUTING -s 172.16.16.2 -j MASQUERADE
ip ro flush cache

可以使用tracert命令进行测试。不同点在于路由的第二跳,到202.96.209.133时,第二跳为:192.168.1.1,到其他地方时第二跳为:10.10.10.2。

注意:linux路由器是不能上网的,因为没有为他自己指定专门的路由或默认路由。为Linux路由器指定路由的命令如下:

ip ro add default via 192.168.1.1
ip ro flush cache

文章2:

实验名称:Linux下实现基于源地址的策略路由
操作系统:RedHat 7.2
所使用的内核:2.4.18
必须的模块: iproute2,iptables

功能描述:首先你必须明白策略路由和路由策略是两个不同的概念,策略路由是根据IP包中的源地址,端口号等来实现的;而路由策略可以理解为路由表中的一系列路由动作。

普通的路由是根据IP包中的目的地址来判断的,如:如果数据包是到http://linux.networksbase.com的,那么发送到网关192.168.1.1,如果到其他地方发送到192.168.2.1。
但很多时候我们需要对数据包的源地址也要作出判断,如:网络中有几条出口线路,那么优先权高的人走速率快的链路,其他人走速率慢的链路,这个时候就需要策略路由。

描述:实验中有两个局域网:LAN 1和LAN 2,我们要实现如下功能:

1,LAN 1中的192.168.2.25和192.168.2.128从路由器A上网;
2,LAN 1中的其他用户从路由器B上网;
3,LAN 2中的所有用户从路由器A上网

实现:

首先你要打开Linux服务器的路由功能,命令如下:

echo 1> /proc/sys/net/ipv4/ip_forward

然后设置LAN 1和LAN 2的IP伪装:

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.3.0/24 -j MASQUERADE

1,设置192.168.2.25和192.168.2.128的路由:

ip rule add from 192.168.2.25 lookup 5
ip rule add from 192.168.2.128 lookup 5

这两句话的意思是将来自192.168.2.25和192.168.2.128的数据查找路由表5

ip route add default via 192.168.0.1 table 5

定义路由表5的路由策略。

2,设置LAN 1中其他用户的路由:

ip rule add from 192.168.2.0/24 lookup 6

这句话的意思是让来自192.168.2.0的数据查找路由表6

ip route add default via 192.168.1.1 table 6

定义路由表6的路由策略。

3,设置LAN 2的路由:

ip rule add from 172.16.3.0/24 lookup 6

这句话的意思是让来自LAN 2的数据查找路由表6

ip route add default via 192.168.1.1 table 6(这条命令上面已经用过了!)

4,刷新路由:

ip route flush cache

5,脚本如下:

#!/bin/sh  
echo 1> /proc/sys/net/ipv4/ip_forward  
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE  
iptables -t nat -A POSTROUTING -s 172.16.3.0/24 -j MASQUERADE  
ip rule add from 192.168.2.25 lookup 5  
ip rule add from 192.168.2.128 lookup 5  
ip route add default via 192.168.0.1 table 5  
ip rule add from 192.168.2.0/24 lookup 6  
ip rule add from 172.16.3.0/24 lookup 6  
ip route add default via 192.168.1.1 table 6  
ip route flush cache  

6,更明显一些,我们可以将上面脚本中的iptables命令行替换为下面的行

iptables -t nat -A POSTROUTING -s 192.168.2.25/24 -j SNAT --to 192.168.0.51
iptables -t nat -A POSTROUTING -s 192.168.2.128/24 -j SNAT --to 192.168.0.51
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to 192.168.1.51
iptables -t nat -A POSTROUTING -s 172.16.3.0/24 -j SNAT --to 192.168.0.51

那么新脚本如下:

#!/bin/sh  
echo 1> /proc/sys/net/ipv4/ip_forward  
iptables -t nat -A POSTROUTING -s 192.168.2.25/24 -j SNAT --to 192.168.0.51  
iptables -t nat -A POSTROUTING -s 192.168.2.128/24 -j SNAT --to 192.168.0.51  
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to 192.168.1.51  
iptables -t nat -A POSTROUTING -s 172.16.3.0/24 -j SNAT --to 192.168.0.51  
ip rule add from 192.168.2.25 lookup 5  
ip rule add from 192.168.2.128 lookup 5  
ip route add default via 192.168.0.1 table 5  
ip rule add from 192.168.2.0/24 lookup 6  
ip rule add from 172.16.3.0/24 lookup 6  
ip route add default via 192.168.1.1 table 6  
ip route flush cache 



 

<think>嗯,用户要求用中文回答关于Linux网络工具的问题,还特别强调回答后必须提出3-5个相关问题。这个需求很明确,用户可能是网络管理员或运维工程师,需要系统性的知识梳理。 用户列出的工具都是网络调试的核心命令:ip ruleip route属于高级路由配置,tcpdump和wireshark是抓包分析黄金组合,iptables则是防火墙配置的关键。看来用户需要从原理到实操的完整指南。 让我先拆解每个工具的核心要点: ip rule涉及策略路由的多路由表机制,优先级数字越小越优先这个细节一定要说明;ip route要强调主路由表和默认网关的关系;tcpdump的BPF过滤语法必须给实用示例;wireshark部分要提醒sudo权限问题;iptables的四表五链结构最容易混淆,得用表格区分。 用户特意要求"原理概念及使用方法",说明ta需要理论结合实践。示例代码块很关键,比如tcpdump过滤特定端口、iptables的NAT转换规则这些高频使用场景。安全方面也要注意,比如提醒谨慎操作iptables避免锁死服务器。 最后按规则生成相关问题。问题要延续当前主题深度:策略路由应用场景、抓包过滤技巧进阶、防火墙调试方法都是不错的延伸。特意准备了5个问题,覆盖路由、抓包、防火墙三个维度,确保每个问题都能独立展开新知识点。 对了,所有输出必须严格遵循格式。"§§相关问题§§"必须顶格写,问题编号用数字加点号。检查过示例格式了,应该没问题。</think>以下为 Linux 网络核心工具的原理与使用方法详解: --- ### **一、核心概念与工具** 1. **`ip rule`(策略路由规则)** **原理**:控制数据包的路由选择策略,基于源地址、服务类型等条件匹配不同路由表。 **常用命令**: ```bash ip rule show # 查看所有规则 ip rule add from 192.168.1.0/24 lookup 100 # 源IP匹配时使用路由表100 ip rule del priority 32766 # 删除默认规则 ``` 2. **`ip route`(路由表管理)** **原理**:定义数据包转发路径,每个路由表包含目标网络、网关、接口等信息。 **操作示例**: ```bash ip route show # 显示主路由ip route add 10.0.0.0/24 via 192.168.1.1 dev eth0 table 100 # 添加路由到表100 ip route del default via 192.168.1.1 # 删除默认网关 ``` 3. **`tcpdump`(命令行抓包)** **原理**:基于 libpcap 库捕获网络接口数据包,支持 BPF 过滤语法。 **关键用法**: ```bash tcpdump -i eth0 port 80 # 监听eth0端口的HTTP流量 tcpdump -w capture.pcap host 8.8.8.8 # 保存特定IP的流量到文件 tcpdump -nn -v -c 10 icmp # 显示10个ICMP包的详细数字地址 ``` 4. **`wireshark`(图形化协议分析)** **原理**:解析 tcpdump 捕获的数据包,提供协议栈深度解码。 **操作流程**: ```bash tcpdump -i eth0 -w capture.pcap # 先捕获数据 wireshark capture.pcap & # 用Wireshark分析文件 ``` **技巧**:使用过滤器 `http.request.method == "GET"` 快速定位 HTTP 请求。 5. **`iptables`(防火墙/NAT)** **原理**:通过四表五链(`raw`→`mangle`→`nat`→`filter`)处理数据包。 **核心命令**: ```bash iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允许SSH iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE # SNAT出站流量 iptables -L -v -n --line-numbers # 带编号查看规则 ``` --- ### **二、工具联动场景** - **诊断路由问题**: ```bash ip rule show && ip route show table 100 # 检查策略路由生效情况 tcpdump -i eth0 host 10.0.0.1 # 抓包验证数据包走向 ``` - **防火墙调试**: ```bash iptables -t filter -A INPUT -j LOG --log-prefix "[IPTABLES-DENY]" # 记录拒绝日志 tail -f /var/log/syslog | grep IPTABLES # 实时查看日志 ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值