Linux ip forward

服务器

浏览数:196

2019-5-11

AD:资源代下载服务

Linux 默认带有 ip forward 功能,只不过因为各种原因,默认的配置把该功能关闭了。本文通过 demo 来演示 Linux 的 ip forward 功能,具体场景为:开启 Linux 的 ip forward 功能,让 Linux 称为具有路由能力的主机,从而支持在两个局域网之间转发数据包。演示环境的网络结构如下图所示:

本示例的演示环境为 Vmware Workstation,三台虚机的操作系统均为 Ubuntu 16.04。

配置虚机 computer1 的网卡

添加一个新的 network adapter(可以理解为虚机添加了一块网卡),并选择网络连接方式为 “Custom:Specific virtual network”,笔者选择的虚拟交换机为 VMnet10:

应用上面的配置后,通过 ip addr 命令查看,笔者的虚机中多出了一个名为 ens38 的网卡:

下面我们来配置 ens38 的 IP 信息,打开并编辑 /etc/network/interfaces 文件,添加下面的内容:

auto ens38
iface ens38 inet static
address 192.168.1.5
netmask 255.255.255.0

保存上面的文件,然后重启 networking 服务:

$ sudo systemctl restart networking

然后就可以看到 ens38 被分配了 IP 192.168.1.5:

配置虚机 computer2 的网卡

和虚机 computer1 相同,我们也为虚机 computer2 添加一块虚拟网卡,需要注意的是,请选择一个不同的虚拟交换机(笔者选择的是 VMnet11):

笔者系统中新的网卡名称也是 ens38,以同样的方式设置该网卡的 IP 为 192.168.2.5,具体过程不再赘述:

配置 linux router 的网卡

为虚拟机 linux router 添加网卡,连接到虚拟交换机 VMnet10:

通过 ip addr 命令查看,发现新增了网卡 ens38,配置该网卡的 IP 地址为 192.168.1.254。注意,该网卡的 IP 与 computer1 的 IP 在同一个网段中(192.168.1.0/24)。
接着为 linux router 添加另一块网卡并连接到虚拟交换机 VMnet11:

通过 ip addr 命令查看,发现新增了网卡 ens39,配置该网卡的 IP 地址为 192.168.2.254。注意,该网卡的 IP 与 computer2 的 IP 在同一个网段中(192.168.2.0/24)。也就是说 linux router 主机有一块网卡连接网络 192.168.1.0/24,另一块网卡连接网络 192.168.2.0/24:

在 /etc/network/interfaces 文件中添加的内容如下:

auto ens38
iface ens38 inet static
address 192.168.1.254
netmask 255.255.255.0

auto ens39
iface ens39 inet static
address 192.168.2.254
netmask 255.255.255.0

此时从 computer1 ping 192.168.1.254 是连通的:

从 computer2 ping 192.168.2.254 也是连通的:

但是 computer1 与 computer2 不能相互连通。

配置 linux router 的 ip forward

ip forward 属于 linux 内核的功能,我们可以通过修改内核的参数来启用或禁用该功能。先通过下面的命令查看 ip forward 功能是否启用:

$ cat /proc/sys/net/ipv4/ip_forward

如果返回值为 1,说明该功能已经启用,否则就是没有启用。Ubuntu 系统默认没有启用该功能,所以我们需要通过修改配置来启用它。
其实非常简单,编辑文件 /etc/sysctl.conf,去掉 net.ipv4.ip_forward=1 前面的注释:

修改 /etc/sysctl.conf 文件后需要执行指令 sudo sysctl -p 后新的配置就会生效。通过这种方式修改后的配置会一直生效,包括重启系统。如果想临时测试一下 ip forward 功能,可以通过下面的命令临时修改一下配置:

$ sudo sysctl -w net.ipv4.ip_forward=1

这样在系统重启后,配置就恢复为默认值了。

配置 linux router 的 iptables 规则

除了 ip forward,还需要为 linux router 主机添加适当的 iptables 规则:

$ sudo iptables -A FORWARD -i ens38 -o ens39 -m state --state RELATED,ESTABLISHED -j ACCEPT
$ sudo iptables -A FORWARD -i ens39 -o ens38 -j ACCEPT

添加这两条 iptables 规则后,iptables 就能够按照相应的规则的在我们设置的网卡之间(ens38 和 ens39)转发数据包了。

为 computer1 和 computer2 添加路由规则

最后,我们需要为 computer1 和 computer2 添加合适的路由信息。
computer1 上的默认路由信息是不能把数据包路由到网络 192.168.2.0/24 的。我们需要手动添加对应的路由信息:

$ sudo ip route add 192.168.2.0/24 via 192.168.1.254 dev ens38

这样就完成了所有的配置。

检查结果

让我们从 computer1(192.168.1.5) ping computer2(192.168.2.5) 试试:

$ ping -c 3 192.168.2.5

从 computer1 可以成功 ping 到 computer2,说明我们配置的 linux ip forward 已经开始工作了!

参考:
How to Turn a Linux Server into a Router to Handle Traffic Statically and Dynamically – Part 10

作者:sparkdev