Eu tenho uma topologia de ponte dupla assimétrica, como mostrado abaixo, quando me conecto de 172.16.11.5 e 172.16.10.6 com ssh, mas não consigo conectar por causa do SynProxy.
-------
| |
---o--- 172.16.11.5
|
|
-----o----- 172.16.11.6
| |
| | default gw 1.1.1.1
| |
1.1.1.2/30 --o----o--- 2.2.2.2/30
| |
| |
| | (enp10s0f0)
----o----o-----
| |
| XXX |
| |
| br1 br0 | synproxy
| |
----o----o-----
| |
| |
| |
1.1.1.1/30 --o----o--- 2.2.2.1/30
| |
| | default gw 2.2.2.2
| |
-----o----- 172.16.10.1
|
|
---o--- 172.16.10.6
| |
-------
Em todas as máquinas entre 172.16.11.5 e 172.16.10.6, "rp filtering" está desativado e "ip forwarding" está ativado. Há uma máquina no meio da topologia, chamada máquina "XXX". XXX tem duas pontes e um SynProxy.
Quando o SynProxy está desativado no XXX, posso executar o ping de 172.16.11.5 a 172.16.10.6 e os pacotes icmp seguem este caminho: br1-> 172.16.10.1-> 172.16.10.6-> 172.16.10.1-> br0. Além disso, eu posso acessar de 172.16.11.5 a 172.16.10.6 com ssh. Portanto, o tráfego TCP funciona como eu esperava.
No entanto, quando o SynProxy está ativado no XXX, posso executar o ping de 172.16.11.5 a 172.16.10.6 e os pacotes icmp seguem o mesmo caminho. Mas não consigo acessar de 172.16.11.5 a 172.16.10.6 usando o ssh. Isso ocorre porque o synproxy não pode enviar respostas do syn ack pelo br1 iface. Se eu adicionar uma rota para pacotes synack no XXX, eu posso conectar de 172.16.11.5 a 172.16.10.6 com o ssh.
route add 172.16.11.5 dev enp10s0f0
Regras do SynProxy para XXX:
iptables -t raw -A PREROUTING -i br0 -p tcp -m physdev --physdev-in
enp10s0f0 -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CT --notrack
iptables -t raw -A PREROUTING -i br1 -p tcp -m physdev --physdev-in
enp11s0f0 -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CT --notrack
iptables -t filter -A FORWARD -i br0 -p tcp -m physdev --physdev-in
enp10s0f0 -m tcp -m state --state INVALID,UNTRACKED -j SYNPROXY
--sack-perm --timestamp --wscale 7 --mss 1460
iptables -t filter -A FORWARD -i br0 -m physdev --physdev-in enp10s0f0
-m state --state INVALID -j DROP
iptables -t filter -A FORWARD -i br1 -p tcp -m physdev --physdev-in
enp11s0f0 -m tcp -m state --state INVALID,UNTRACKED -j SYNPROXY
--sack-perm --timestamp --wscale 7 --mss 1460
iptables -t filter -A FORWARD -i br1 -m physdev --physdev-in enp11s0f0
-m state --state INVALID -j DROP
Mas isso não é aceitável porque a rede 172.16.11.0 é nuvem. Portanto, não foi possível adicionar a rota toda a rede em nuvem à tabela de roteamento e não foi possível adicionar o endereço mac à tabela arp.
Como conectar-me da máquina 172.16.11.5 à máquina 172.16.10.6 usando o ssh quando o SynProxy está ativado no XXX? ou é possível?
Desde já, obrigado,
fonte
medium_id
interfaces de ponte no synproxy têm? Além disso, quais são suas regras SYNPROXY reais em todas as tabelas?Respostas:
A maneira mais simples de corrigir isso é alterar as rotas padrão nas máquinas de gateway para usar a mesma ponte para que não seja mais assimétrica.
Estou curioso para saber por que foi projetado dessa maneira ... qual é o objetivo da segunda ponte?
fonte