Instradamento multipath nei kernel post-3.6

Come probabilmente saprete, la route route ipv4 è stata rimossa in 3.6 kernel kernel series, il che ha avuto un forte impatto sul routing multipath. Il codice di routing IPv4 (a differenza di quello IPv6) seleziona l'hop successivo in modo round robin, quindi i pacchetti dall'IP di origine dato a quello di destinazione non passano sempre attraverso lo stesso hop successivo. Prima del 3.6 la cache di routing correggeva quella situazione, poiché l'hop successivo, una volta selezionato, rimaneva nella cache e tutti gli altri pacchetti dalla stessa sorgente alla stessa destinazione stavano attraversando quell'hop successivo. Ora il prossimo hop viene ri-selezionato per ogni pacchetto, il che porta a cose strane: con 2 route predefinite di uguale costo nella tabella di routing, ciascuna che punta a un provider Internet, non riesco nemmeno a stabilire una connessione TCP, perché SYN iniziale e ACK finale percorrere percorsi diversi,

Esiste un modo relativamente semplice per ripristinare il normale comportamento del routing multipath, in modo che l'hop successivo sia selezionato per flusso anziché per pacchetto? Ci sono patch in giro per rendere IPv4 basato sull'hash di selezione dell'hop successivo, come per IPv6? O come lo affrontate tutti?

Se possibile, esegui l'upgrade a Linux Kernel> = 4.4 ....

È stato introdotto il routing multipath basato su hash , che per molti aspetti è migliore del comportamento precedente al 3.6. È basato sul flusso, prendendo un hash degli IP di origine e destinazione (le porte vengono ignorate) per mantenere il percorso costante per le singole connessioni. Un aspetto negativo è che credo che ci fossero vari algoritmi / modalità di configurazione disponibili prima del 3.6, ma ora ottieni quello che ti viene dato !. weightTuttavia, è possibile utilizzare influire sulla scelta del percorso .

Se ti trovi nella mia situazione , in realtà vuoi il 3.6 >= behaviour < 4.4ma non è più supportato.

Se esegui l'aggiornamento a> = 4.4, questo dovrebbe fare il trucco, senza tutti gli altri comandi:

ip route add default  proto static scope global \
nexthop  via <gw_1> weight 1 \
nexthop  via <gw_2> weight 1

In alternativa per dispositivo:

ip route add default  proto static scope global \
 nexthop  dev <if_1> weight 1 \
 nexthop  dev <if_2> weight 1

"Relativamente facile" è un termine difficile, ma potresti

1. imposta tabelle di instradamento per ciascuno dei tuoi collegamenti - una tabella per collegamento, con un singolo gateway predefinito
2. usa netfilter per timbrare segni identici su tutti i pacchetti di un singolo flusso
3. utilizzare la tabella delle regole ip per instradare i pacchetti tramite diverse tabelle di routing in base al segno
4. utilizzare un percorso ponderato multi-nexthop per bilanciare i pacchetti della prima sessione su gateway / collegamenti.

C'è stata una discussione nella mailing list di netfilter su questo argomento in cui sto rubando gli elenchi da:

1. Regole di routing (RPDB e FIB)

ip route add default via <gw_1> lable link1
ip route add <net_gw1> dev <dev_gw1> table link1
ip route add default via <gw_2> table link2
ip route add <net_gw2> dev <dev_gw2> table link2

/sbin/ip route add default  proto static scope global table lb \
 nexthop  via <gw_1> weight 1 \
 nexthop  via <gw_2> weight 1

ip rule add prio 10 table main
ip rule add prio 20 from <net_gw1> table link1
ip rule add prio 21 from <net_gw2> table link2
ip rule add prio 50 fwmark 0x301 table link1
ip rule add prio 51 fwmark 0x302 table link2
ip rule add prio 100 table lb

ip route del default

2. Regole del firewall (usando ipset per forzare una modalità LB "flow")

ipset create lb_link1 hash:ip,port,ip timeout 1200
ipset create lb_link2 hash:ip,port,ip timeout 1200

# Set firewall marks and ipset hash
iptables -t mangle -N SETMARK
iptables -t mangle -A SETMARK -o <if_gw1> -j MARK --set-mark 0x301
iptables -t mangle -A SETMARK -m mark --mark 0x301 -m set !
--match-set lb_link1 src,dstport,dst -j SET \
          --add-set lb_link1 src,dstport,dst
iptables -t mangle -A SETMARK -o <if_gw2> -j MARK --set-mark 0x302
iptables -t mangle -A SETMARK -m mark --mark 0x302 -m set !
--match-set lb_link2 src,dstport,dst -j SET \
          --add-set lb_link2 src,dstport,dst

# Reload marks by ipset hash
iptables -t mangle -N GETMARK
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link1 src,dstport,dst -j MARK --set-mark 0x301
iptables -t mangle -A GETMARK -m mark --mark 0x0 -m set --match-set
lb_link2 src,dstport,dst -j MARK --set-mark 0x302

# Defining and save firewall marks
iptables -t mangle -N CNTRACK
iptables -t mangle -A CNTRACK -o <if_gw1> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -o <if_gw2> -m mark --mark 0x0 -j SETMARK
iptables -t mangle -A CNTRACK -m mark ! --mark 0x0 -j CONNMARK --save-mark
iptables -t mangle -A POSTROUTING -j CNTRACK

# Reload all firewall marks
# Use OUTPUT chain for local access (Squid proxy, for example)
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A OUTPUT -m mark --mark 0x0 -j GETMARK
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark --mark 0x0 -j GETMARK

Potresti voler seguire la discussione sulla mailing list di netfilter per alcune varianti di quanto sopra.