У нас есть мост, настроенный на Ubuntu, чтобы связать нашу локальную сеть с нашим шлюзом, который находится в той же подсети. Нам это нужно, чтобы иметь возможность контролировать трафик, и в настоящее время мы не можем изменять подсети, поэтому вместо этого мы не можем просто маршрутизировать его.
Шлюз управляется нашим интернет-провайдером, который предоставляет MPLS для различных других подсетей / 24 в пределах 192.168.0.0/16.
Текущая настройка выглядит следующим образом:
192.168.10.1 (gw) <-> eth0 <-> br0 (192.168.10.3) <-> eth1 <-> LAN (192.168.10.0/24)
br0 Link encap:Ethernet HWaddr ..
inet addr:192.168.10.3 Bcast:192.168.10.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
...
eth0 Link encap:Ethernet HWaddr ..
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
eth1 Link encap:Ethernet HWaddr ..
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Это работает хорошо и не вызывает никаких проблем.
У нас также есть Tinc VPN для инфраструктуры нашего центра обработки данных на том же сервере (192.168.10.3), который не является частью моста. то есть:
tincvpn Link encap:Ethernet HWaddr ..
inet addr:192.168.10.3 Bcast:192.168.255.255 Mask:255.255.0.0
...
Мы хотели бы переопределить маршрутизацию пакетов, проходящих через мост из LAN для определенных пунктов назначения (например, 192.168.5.0/24), чтобы они проходили через tinc. то есть: 192.168.10.x в локальной сети к 192.168.5.x должны идти через tinc, а не на шлюз.
Мы хотели бы, чтобы это работало для всех машин в локальной сети без необходимости настраивать что-либо, но на данный момент мы нашли обходной путь, который заключается в добавлении следующего статического маршрута к каждому ПК / серверу в локальной сети:
route add -net 192.168.5.0/24 via 192.168.10.3 dev eth0
Чтобы статический маршрут работал, нам также пришлось включить proxy_arp для всех интерфейсов на 192.168.10.3.
Мы попробовали следующую конфигурацию, но она не сработала:
ip rule add fwmark 20 lookup 20
ip route add 192.168.0.0/16 dev tincvpn table 20
ebtables -t broute -I BROUTING -i eth1 -p ipv4 --ip-dst 192.168.5.0/24 -j REDIRECT --redirect-target DROP
iptables -t mangle -I PREROUTING -i eth1 -d 192.168.5.0/24 -j MARK --set-mark 20
При такой настройке пакеты поступали в правило mangle и были отмечены, но не маршрутизировались на интерфейс tincvpn.
Мы понимали, что нам нужно отбросить пакеты из моста с помощью ebtables, а затем использовать маршрутизацию на основе политик, чтобы пакеты прошли через tinc. Это понимание правильное?
Если у кого-то есть идеи относительно того, почему это не сработало, мы будем признательны.
Большое спасибо,
Том