Linux中路由功能及ip_forward转发配置

2024-08-27 05:20
文章标签 配置 linux ip 功能 转发 forward 中路

本文主要是介绍Linux中路由功能及ip_forward转发配置，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

操作系统中路由功能有着至关重要的作用，它决定了网络数据包如何在网络中传输，最终到达目的地。本文简要介绍Linux中的路由功能实现以及IP转发的配置，并验证在容器环境下配置net.ipv4.ip_forward的必要性，以加深理解。

1、Linux中路由功能

操作系统中路由功能有着至关重要的作用，它决定了网络数据包如何在网络中传输，最终到达目的地。当数据包从一个网络接口发送到另一个网络接口时，通过查找路由表决定数据应该走的路径；通过路由也可以实现网络的逻辑隔离和分区，不同子网或VLAN通过路由器进行通信；另外可以实现网络地址转换NAT，将私有网络地址转换为公共网络。

1.1 Linux中路由功能实现

Linux中的路由功能主要是通过路由表管理、IP地址转发和路由策略等实现的。

1）路由表管理

路由表是路由选择算法的基础，用于指导数据包在网络中的传输。Linux系统中有多个路由表，默认有main、local、default：

  • main是系统默认的路由表，也是用户自定义的路由表；
  • local路由表用于处理本地回环和广播数据包，只由kernel维护，不能更改和删除
  • default路由表用于处理默认网关和其它情况，在其它路由表都没有匹配到的情况下，根据该表中的条目进行处理。

2）IP地址转发

IP地址转发功能允许Linux系统在不同的网络之间转发数据包，通过修改系统参数net.ipv4.ip_forward为1生效。开启IP地址转发后，当数据包到达Linux主机时，内核会根据路由表中的路由记录找到下一跳的网关地址，然后将数据包发送到该网关。如果目标IP地址在本地区域网络中，内核会直接将数据包传递给对应的网卡进行发送。

3）路由策略

路由策略是指通过不同的路由算法和策略选择最佳的路由记录，Linux系统中支持多种路由策略，如路由缓存、源路由、多路径路由、多网关路由等。使用ip rule list查看路由规则：

# ip rule list
0:      from all lookup local 
32766:  from all lookup main 
32767:  from all lookup default

Linux上通过路由规则和路由表来配合实现路由流程，首先按照路由规则优先级根据规则的匹配条件找到需要匹配的路由表，然后根据路由表中条目进行匹配规则的转发，如果路由表中没有匹配到满足的路由条目，则处理下一条路由规则。路由规则由三部分组成：

  • Priority：Linux中可以添加多条路由规则，根据优先级数字从小到大依次匹配
  • Selector：对IP数据包进行匹配的条件，如“from all”表示所有IP数据包
  • Action：对IP数据包执行的动作，如“lookup local”表示需要查找路由表local进行处理

比如local路由表的内容：

# ip route list table local 
broadcast 127.0.0.0 dev lo proto kernel scope link src 127.0.0.1 
local 127.0.0.0/8 dev lo proto kernel scope host src 127.0.0.1 
local 127.0.0.1 dev lo proto kernel scope host src 127.0.0.1 
broadcast 127.255.255.255 dev lo proto kernel scope link src 127.0.0.1 
broadcast 192.168.112.0 dev ens33 proto kernel scope link src 192.168.112.121 
local 192.168.112.121 dev ens33 proto kernel scope host src 192.168.112.121 
broadcast 192.168.112.255 dev ens33 proto kernel scope link src 192.168.112.121

从表中可以看出target ip为192.168.112.121的数据包由接口ens33来处理；发送到192.168.112.255这个广播地址的数据包，应该通过ens33接口发送。

如果target ip不是本机IP，则在local中匹配不到相应的条目，则需要根据下一条规则32766来查找路由表main。如果所有目的IP都不能匹配，则使用default条目。

# ip route show
default via 192.168.112.2 dev ens33 proto static metric 100 
192.168.112.0/24 dev ens33 proto kernel scope link src 192.168.112.121 metric 100

也可以通过命令ip rule add/delete自己增加或删除路由规则。

1.2 Linux路由基本流程

Linux中路由的基本流程为：收到数据包后，解析出目的IP，判断是否本机IP地址。如果是本机IP则交由上层传输层处理；如果不是本机IP，则通过路由表查找到合适的网络接口将IP数据包转发出去。如图所示：

在这里插入图片描述

1）数据包接收

当数据包到达网络接口时，网络接口卡（NIC）会将数据包传递给内核的网络协议栈。数据包首先进入IP层，在IP层进行初步的校验和解析。

2）路由选择

在IP层，数据包会进行路由选择。这一过程涉及查找路由表以决定数据包的下一跳地址。Linux内核维护了路由表，这些路由表包含了网络可达性的信息，如目的网络、网关和出口接口等。路由选择通过匹配路由表中的条目来实现，如果找到匹配的条目，则数据包会根据该条目的信息被转发到下一跳地址。如果发现确实就是本设备的网络包，那么就通过ip_local_deliver送到更上层的TCP层进行处理。如果路由后发现非本设备的网络包，那就进入到ip_forward进行转发，最后通过ip_output发送出去。

3）数据包发送

一旦确定了数据包的下一跳地址和出口接口，内核就会将数据包发送到该接口。在发送之前，数据包可能会被进一步封装成适合网络接口传输的格式（如以太网帧）。数据包通过物理链路被发送到下一跳地址，这个过程可能涉及多个网络设备和链路。

2、ip_forward参数功能与配置

IP转发是指在一个路由器或者网络设备上接收到一个IP数据包后，根据目标IP地址的路由信息将数据包发送到合适的接口，使其能够到达目标主机。在Linux系统中，出于安全考虑默认情况下是关闭IP转发功能的，也就是只会处理发送到它自身IP地址的数据包，并且不会将数据包转发到其他主机或网络。不过可以通过内核参数net.ipv4.ip_forward来控制IP转发功能，当这个参数设置为1时，表示启用IP转发；当设置为0时，表示禁用IP转发。

1）使用sysctl临时生效

sysctl命令的-w参数可以实时修改Linux的内核参数，在系统重启后会失效。

sysctl -w net.ipv4.ip_forward=1

2）修改/etc/sysctl.conf配置文件

#vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
#sysctl -p动态生效配置
3、容器环境下为什么要配置ip_forward

在Docker等容器化技术中，容器通常通过宿主机的网络接口与外界通信。Docker会在宿主机上创建一个虚拟网桥（如docker0），容器通过该网桥连接到宿主机的网络。当外部网络尝试访问容器时，数据包首先到达宿主机，然后宿主机根据路由规则将数据包转发到相应的容器。

  • 当容器需要访问外部网络或外部网络需要访问容器时，数据包需要在宿主机和容器之间转发。如果宿主机没有启用ip_forward，那么这些数据包将无法被正确转发，导致容器无法与外部网络通信。
  • 在一个宿主机上运行多个容器时，这些容器之间可能需要进行通信。如果宿主机没有启用ip_forward，那么容器之间的数据包也无法被正确转发，导致通信失败。

1）Docker网络模式与IP转发

  • 桥接网络（Bridge）：当使用桥接网络时，Docker会在宿主机上创建一个虚拟网桥，容器的网络接口会连接到这个网桥。如果容器需要与其他网络通信，那么net.ipv4.ip_forward必须被开启。
  • 主机网络模式（Host）：在这个模式下，容器直接使用宿主机的网络命名空间和网络接口，因此不需要IP转发，因为数据包已经是直接在宿主机和容器的网络命名空间之间传输的。
  • overlay网络：这种网络模式允许跨多个宿主机分布Docker容器，它依赖于 overlay 虚拟设备，这个设备需要net.ipv4.ip_forward被开启来支持跨多个节点的数据包转发。

2）IP转发测试

在这里插入图片描述

1）启动容器配置IP地址

#启动容器定义IP信息
docker network create --subnet 172.10.0.0/16 net10
docker network create --subnet=172.11.0.0/16 net11
docker run -it --name centos0 --net net0 --ip 172.10.0.2 centos bash
docker run -it --name centos1 --net net1 --ip 172.11.0.2 centos bash
iptables –F
#查看网络配置
[root@tango-01 ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
5923e4bdc84b        net10                bridge              local
9bdd307308fb        net11                bridge              local
[root@tango-01 local]# brctl show
bridge name     bridge id               STP enabled     interfaces
br-5923e4bdc84b         8000.02424f8c38a1       no              veth74a860e
br-9bdd307308fb         8000.024254a5914c       no              veth31de22d
[root@tango-01 ~]# docker network inspect net10
[{"Name": "net10","Id": "5923e4bdc84b8e5a07787dfdc760d62497078a23aa1e0e1823b97be61045c1da","Created": "2024-08-25T16:50:00.210331502+08:00","Scope": "local","Driver": "bridge","EnableIPv6": false,"IPAM": {"Driver": "default","Options": {},"Config": [{"Subnet": "172.10.0.0/16"}]},"Internal": false,"Attachable": false,"Ingress": false,"ConfigFrom": {"Network": ""},"ConfigOnly": false,"Containers": {"48e50195f820b4622b8f529704ecd81eef55e170d2981591b509d669db5f3198": {"Name": "centos0","EndpointID": "e2b0d203d5e68a181300b8d75318f75b94077805beabc330c7b20c5d4794be1e","MacAddress": "02:42:ac:00:00:02","IPv4Address": "172.10.0.2/16","IPv6Address": ""}},"Options": {},"Labels": {}}
]
[root@tango-01 ~]# docker network inspect net11
[{"Name": "net11","Id": "9bdd307308fbab972a6d984c31f3fb834bbc744b9fac1aea45766c3e7fa30334","Created": "2024-08-25T16:50:14.633125228+08:00","Scope": "local","Driver": "bridge","EnableIPv6": false,"IPAM": {"Driver": "default","Options": {},"Config": [{"Subnet": "172.11.0.0/16"}]},"Internal": false,"Attachable": false,"Ingress": false,"ConfigFrom": {"Network": ""},"ConfigOnly": false,"Containers": {"0d561eaffc82d1155a14ff445c335a6bd8a250ec4dc028b4894f08939dc3a237": {"Name": "centos1","EndpointID": "9b9334ca053fac4badd30e0daa00bca9335e52565b9801cdb4f260e8d5ec3dc2","MacAddress": "02:42:ac:01:00:02","IPv4Address": "172.11.0.2/16","IPv6Address": ""}},"Options": {},"Labels": {}}
]

2）进入容器，查看网络连通性

docker exec -it centos0 bash  # 现在进入 centos0。它的IP是172.10.0.2
ping 172.11.0.2
[root@48e50195f820 /]# ping 172.11.0.2 
PING 172.11.0.2 (172.11.0.2) 56(84) bytes of data.
64 bytes from 172.11.0.2: icmp_seq=1 ttl=63 time=0.066 ms

3）当关闭net.ipv4.ip_forward配置后，发现已经ping不通了

[root@48e50195f820 /]# ping 172.11.0.2
PING 172.11.0.2 (172.11.0.2) 56(84) bytes of data.

抓包看到的结果是无响应

在这里插入图片描述

因此可以看到当关闭IP转发后，容器之间已经不能互访，出现连通性异常。由此看到IP转发net.ipv4.ip_forward配置的重要性，一旦配置有误则容器网络访问出现异常。

参考资料：

  1. https://blog.csdn.net/qq_43684922/article/details/128881968
  2. https://blog.csdn.net/weixin_43702146/article/details/131379569
  3. https://www.51cto.com/article/698945.html

这篇关于Linux中路由功能及ip_forward转发配置的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1110753。

相关文章

Go语言开发实现查询IP信息的MCP服务器

Go语言开发实现查询IP信息的MCP服务器

《Go语言开发实现查询IP信息的MCP服务器》随着MCP的快速普及和广泛应用,MCP服务器也层出不穷,本文将详细介绍如何在Go语言中使用go-mcp库来开发一个查询IP信息的MCP... 目录前言mcp-ip-geo 服务器目录结构说明查询 IP 信息功能实现工具实现工具管理查询单个 IP 信息工具的实现服
阅读更多...
Python的time模块一些常用功能(各种与时间相关的函数)

Python的time模块一些常用功能(各种与时间相关的函数)

《Python的time模块一些常用功能(各种与时间相关的函数)》Python的time模块提供了各种与时间相关的函数,包括获取当前时间、处理时间间隔、执行时间测量等,：本文主要介绍Python的... 目录1. 获取当前时间2. 时间格式化3. 延时执行4. 时间戳运算5. 计算代码执行时间6. 转换为指
阅读更多...
SpringBoot基于配置实现短信服务策略的动态切换

SpringBoot基于配置实现短信服务策略的动态切换

《SpringBoot基于配置实现短信服务策略的动态切换》这篇文章主要为大家详细介绍了SpringBoot在接入多个短信服务商（如阿里云、腾讯云、华为云）后,如何根据配置或环境切换使用不同的服务商,需... 目录目标功能示例配置（application.yml）配置类绑定短信发送策略接口示例：阿里云 & 腾
阅读更多...
如何为Yarn配置国内源的详细教程

如何为Yarn配置国内源的详细教程

《如何为Yarn配置国内源的详细教程》在使用Yarn进行项目开发时,由于网络原因,直接使用官方源可能会导致下载速度慢或连接失败,配置国内源可以显著提高包的下载速度和稳定性,本文将详细介绍如何为Yarn... 目录一、查询当前使用的镜像源二、设置国内源1. 设置为淘宝镜像源2. 设置为其他国内源三、还原为官方
阅读更多...
CentOS7更改默认SSH端口与配置指南

CentOS7更改默认SSH端口与配置指南

《CentOS7更改默认SSH端口与配置指南》SSH是Linux服务器远程管理的核心工具,其默认监听端口为22,由于端口22众所周知,这也使得服务器容易受到自动化扫描和暴力破解攻击,本文将系统性地介绍... 目录引言为什么要更改 SSH 默认端口？步骤详解：如何更改 Centos 7 的 SSH 默认端口1
阅读更多...
Android实现两台手机屏幕共享和远程控制功能

Android实现两台手机屏幕共享和远程控制功能

《Android实现两台手机屏幕共享和远程控制功能》在远程协助、在线教学、技术支持等多种场景下,实时获得另一部移动设备的屏幕画面,并对其进行操作,具有极高的应用价值,本项目旨在实现两台Android手... 目录一、项目概述二、相关知识2.1 MediaProjection API2.2 Socket 网络
阅读更多...
Maven的使用和配置国内源的保姆级教程

Maven的使用和配置国内源的保姆级教程

《Maven的使用和配置国内源的保姆级教程》Maven是⼀个项目管理工具,基于POM(ProjectObjectModel,项目对象模型)的概念,Maven可以通过一小段描述信息来管理项目的构建,报告... 目录1. 什么是Maven?2.创建⼀个Maven项目3.Maven 核心功能4.使用Maven H
阅读更多...
Redis消息队列实现异步秒杀功能

Redis消息队列实现异步秒杀功能

《Redis消息队列实现异步秒杀功能》在高并发场景下,为了提高秒杀业务的性能,可将部分工作交给Redis处理,并通过异步方式执行,Redis提供了多种数据结构来实现消息队列,总结三种,本文详细介绍Re... 目录1 Redis消息队列1.1 List 结构1.2 Pub/Sub 模式1.3 Stream 结
阅读更多...
SpringBoot多数据源配置完整指南

SpringBoot多数据源配置完整指南

《SpringBoot多数据源配置完整指南》在复杂的企业应用中,经常需要连接多个数据库,SpringBoot提供了灵活的多数据源配置方式,以下是详细的实现方案,需要的朋友可以参考下... 目录一、基础多数据源配置1. 添加依赖2. 配置多个数据源3. 配置数据源Bean二、JPA多数据源配置1. 配置主数据
阅读更多...
Linux命令之firewalld的用法

Linux命令之firewalld的用法

《Linux命令之firewalld的用法》：本文主要介绍Linux命令之firewalld的用法,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux命令之firewalld1、程序包2、启动firewalld3、配置文件4、firewalld规则定义的九大
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2