Hallo Liste,
Während ich so mit meinem "metapackage" kämpfe hab ich plötzlich noch HTTP/HTTPS Pakete an einer anderen Baustelle gesondert zu routen und noch keine richtig überzeugenden Ansatz.
Gegeben sei ein privates class-c Netz mit einer linux-box, die den Clients und Servern dort als Standard-Gateway dient. Neben dieses Gateway kommt nun ein LTE-Router. Ich möchte auf dem Standard-Gateway nun in der Lange sein zum Beispiel allen ausgehenden HTTP/HTTPS Traffic über LTE zu routen, den "Rest" aber über den angeschlossenen DSL-Router.
Netz : 192.168.178.0/24 Default-Gateway : 192.167.178.253 DSL-Router : 192.168.178.1 (mir ist klar, dass ich hier am besten noch ein separates Transportnetz anlege, das ist ein anderer Schritt) LTE-Router : 192.168.178.2 (auch der sollte dann in das Transportnetz oder ein eigenes bekommen, denke ich) Lassen wir für meine Frage aber bitte die Netze und IPs vorerst so, wie sie hier gegeben sind.
Nun fällt mir nicht wirklich viel ein: man kann Pakete mit iptables markieren und man kann mit iproute2 advanced routing aufsetzen, aber ob das miteinander verheiratbar ist und wie oder ich den völlig falschen Ansatz denke ist mir trotz Tante google noch unklar.
Vielleicht sollte ich noch erwähnen, dass im LAN ein Server Dienste ins WAN anbiete, was reinzu über DSL mittels dyndns und Portforwarding realisiert wird. Natürlich handelt es sich dabei auch um HTTP/HTTPS. Es muss also sichergestellt sein, dass Antwortpakete auf HTTP/HTTPS Anfragen, die durch DSL reinkamen auch über DSL wieder raus müssen.
Und jetzt bin ich völlig konfus ... wer kann mir helfen?
Mit freundlichen Grüßen / Kind regards Ronny Seffner
Hallo Ronny,
Vielleicht sollte ich noch erwähnen, dass im LAN ein Server Dienste ins WAN anbiete, was reinzu über DSL mittels dyndns und Portforwarding realisiert wird. Natürlich handelt es sich dabei auch um HTTP/HTTPS. Es muss also sichergestellt sein, dass Antwortpakete auf HTTP/HTTPS Anfragen, die durch DSL reinkamen auch über DSL wieder raus müssen.
Du könntest, wenn es bei HTTP/HTTPS bleibt, auch auf der Linux-Box, die als GW dient, einen Proxy aufsetzten, der die Requests weiterleitet. Und der würde, nach außen wieder mit der Quell-IP antworten, die reinzu das Ziel war. Und damit läßt sich dann relativ einfach „rule based routing“ machen, ohne noch mit den fwmarks kämpfen zu müssen.
Proxy könnte z.B. pound (kann auch HTTPS auf HTTPS) sein. Das Routing dann etwa so (aus dem Gedächtnis, aber ich bin schon 45 ☺):
echo 200 web >> /etc/iproute/rt_tables # das aber nur einmal!
ip rule add src x.x.x.x table web ip route add default via z.z.z.z table web
Natürlich verliert damit der eigentliche Webserver die Kenntnis über die Herkunft der Anfragen.
Du könntest, wenn es bei HTTP/HTTPS bleibt, auch auf der Linux-Box, die als GW dient, einen Proxy aufsetzten, der die Requests weiterleitet. Und
Dann muss aber der Proxy-Dienst eine ganz eigene IP bekommen, sonst fällt ja der gesamte Traffic der entsprechenden Maschine unter die Routingregel - richtig? Oder meinst du den LTE-Router mit einem Proxy zu bestücken? Das geht a) nicht und erfordert dann doch Einstellungen an den Clients oder am Paketfilter des default-gateway (transparent proxy). Da kann ich auch bei fwmark bleiben oder hat das irgendwelche gravierenden Nachteile?
p.s. Wenn ich mich mit meine 33 so fühlen würde wie Du mit Deinen 45 scheinst ...
Mit freundlichen Grüßen / Kind regards Ronny Seffner
Ronny Seffner ronny@seffner.de (Fri Aug 19 16:48:56 2011):
Du könntest, wenn es bei HTTP/HTTPS bleibt, auch auf der Linux-Box, die als GW dient, einen Proxy aufsetzten, der die Requests weiterleitet. Und
Dann muss aber der Proxy-Dienst eine ganz eigene IP bekommen, sonst fällt ja der gesamte Traffic der entsprechenden Maschine unter die Routingregel - richtig? Oder meinst du den LTE-Router mit einem Proxy zu bestücken? Das geht a) nicht und erfordert dann doch Einstellungen an den Clients oder am Paketfilter des default-gateway (transparent proxy). Da kann ich auch bei fwmark bleiben oder hat das irgendwelche gravierenden Nachteile?
Im Prinzip hast Du recht.
ip rule add src <internes Netz> table main
Dann hast Dur noch für den Traffic recht, den die Linux-Box selbst generiert, und das ist vermutlich nicht die Masse.
p.s. Wenn ich mich mit meine 33 so fühlen würde wie Du mit Deinen 45 scheinst ...
Danke ☺
lug-dd@mailman.schlittermann.de
-
Heiko Schlittermann -
Ronny Seffner