Wiki of Andrew A. Sabitov

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
~~TAGCLOUD~~
{{tag>ipv6 net firewall tranparent proxy}}

====== Принудительное проксирование ipv6 трафика ======

===== Постановка задачи =====

Есть локальная сеть с IPv6. Есть маршрутизатор/фаервол на Linux и есть squid на __отдельной машине__, тоже под Linux. 

Надо завернуть http трафик для IPv6 через сквид прозрачно для клиентов.

Есть много описаний решения аналогичной задачи, если маршрутизация и проксирование выполняются на одной и той же машине. Например: 

  * http://wiki.squid-cache.org/Features/Tproxy4
  * https://version6.ru/tproxy



===== Общая идея =====

Поднимаем отдельный линк между маршрутизатором и прокси. Можно либо физически выделить по сетевому интерфейсу на каждой из машин, либо поднять отдельный VLAN.

Весь http-трафик из локальной сети на маршрутизаторе заворачиваем на прокси. Чтобы не было петли исключаем из этого процесса трафик, идущий со стороны прокси через выделенный линк.

Обратный трафик от http-серверов заворачиваем на прокси через выделенный линк, он проходит через сквид и возвращается на маршрутизатор по тому же выделенному линку. Далее этот трафик направляется клиенту в локальную сеть. 



<code>
+--------------+    +----------------------+    +-------------------+
|              |    |                      |    |                   |
|             <-----------+          +<----------+                  |
|    Client    |    |     |  Router  |     |    |    HTTP Server    |
|             +------->+  |          |  +-------->                  |
|              |    |  |  |          |  |  |    |                   |
+--------------+    +--|--|----------|--|--+    +-------------------+
                       |  |          |  |
                       |  |          |  |
                    +--|--|----------|--|--+
                    |  |  |          |  |  |
                    |  |  +<---------+  |  |
                    |  |      Proxy     |  |
                    |  +--------------->+  |
                    |                      |
                    +----------------------+

</code>


===== Настройки прокси =====

Настраиваем выделенный линк в сторону маршрутизатора
<file bash /etc/conf.d/net>
vlans_eth0="4"
vlan4_name="eth0.0004"

config_eth0="null"
config_eth0_0004="172.17.4.5/24 2001:DB8:0002:0004::5/64" # proxy
</file>


Объясняем сквиду, что локальный IPv6 трафик надо отправлять с конкретного адреса, трафик от локальной сети надо маркировать и слушать на порту 3129. Что значит tproxy, смотрим в доке на сквид. :)
<file squid squid.conf>
http_port 3129 tproxy
acl LAN6 src 2001:DB8:2::/48
tcp_outgoing_mark 0x5 LAN6
tcp_outgoing_address 2001:DB8:2:4::5
</file>


Готовим таблицы маршрутизации и политики
<code bash>
#Чистим
ip -6 route flush table 53
ip -6 route flush table 64
ip -6 rule del from all fwmark 0x5
ip -6 rule del from all fwmark 0x6

#Это таблица для исходящих пакетов от сквида
ip -6 route add default via 2001:DB8:2:4::1 dev eth0.0004 table 53
ip -6 rule add from all fwmark 0x5 lookup 53

#Это таблица для входящих пакетов, которые надо завернуть на сквид
ip -6 route add local default dev lo table 64
ip -6 rule add from all fwmark 0x6 lookup 64
</code>

Настраиваем iptables
<code bash>
ip6tables -t mangle -N divert
ip6tables -t mangle -A divert -j MARK --set-mark 0x6
ip6tables -t mangle -A divert -j ACCEPT

ip6tables -t mangle -A PREROUTING -p TCP -m socket -j divert
ip6tables -t mangle -A PREROUTING -p TCP -i eth0.0004 \
                -j TPROXY --tproxy-mark 0x6 --on-port 3129
</code>

Суть происходящего: 

  - Входящий пакет проверяется на принадлежность к уже открытым сокетам. Если данный пакет принадлежит уже установленному соединению, и сокет уже существует, мы маркируем пакет и прерываем просмотр цепочки PREROUTING. Иначе проверяем, что пакет пришёл от маршрутизатора по выделенному линку. Если это так, мы его маркируем и отправляем на порт 3129. 

  - На этапе принятия решения о маршрутизации срабатывает правило ''from all fwmark 0x6 lookup 64'', и пакет попадает в таблицу 64, в результате чего попадает на сквид. Сквид создаёт своё соединение с HTTP-сервером, для чего отправляет пакет с меткой 5. Через правило ''from all fwmark 0x5 lookup 53'' пакет попадает в таблицу 53 и уходит на маршрутизатор через выделенный линк.



===== Настройки маршрутизатора =====

Настраиваем выделенный линк в сторону прокси сервера
<file bash /etc/conf.d/net>
vlans_eno2="4"
vlan4_name="eno2.0004"
config_eno2="null"
config_eno2_0004="172.17.4.1/24 2001:DB8:0002:0004::1/64" # выделенный VLAN для прозрачного проксирования
</file>

Готовим сет с номерами портов, которые надо проксировать:
<code bash>
ipset -! destroy ip6_proxying_port_list
ipset -! create  ip6_proxying_port_list bitmap:port range 1-65535
ipset    flush   ip6_proxying_port_list

ipset -! add     ip6_proxying_port_list       80
ipset -! add     ip6_proxying_port_list       81
ipset -! add     ip6_proxying_port_list       85
ipset -! add     ip6_proxying_port_list       88
ipset -! add     ip6_proxying_port_list     8000
ipset -! add     ip6_proxying_port_list     8001
ipset -! add     ip6_proxying_port_list     8080
ipset -! add     ip6_proxying_port_list     8081
ipset -! add     ip6_proxying_port_list     8101
ipset -! add     ip6_proxying_port_list     8108
ipset -! add     ip6_proxying_port_list     8888
ipset -! add     ip6_proxying_port_list     9080
</code>

Готовим таблицу маршрутизации и политики
<code bash>
#Чистим
ip -6 route flush table 106
ip -6 rule del fwmark 0x6 2> /dev/null


#Это таблица перенаправления трафика на сквид
ip -6 route add 2000::/3 via 2001:DB8:2:4::5 dev eno2.0004 table 106
ip -6 rule add fwmark 0x6 priority 106 lookup 106
</code>

Настраиваем iptables
<code bash>
ip6tables -t mangle  -A PREROUTING  -p TCP \
        ! -i eno2.0004 \
        -m set ! --match-set "ip6_all_vlans"  dst \
        -m set   --match-set "ip6_proxying_port_list" dst \
                -j MARK --set-mark 0x6

ip6tables -t mangle  -A PREROUTING  -p TCP \
        ! -i eno2.0004 \
        -m set ! --match-set "ip6_all_vlans"  src \
        -m set   --match-set "ip6_proxying_port_list" src \
                -j MARK --set-mark 0x6
</code>

Суть происходящего: 
  * игнорируем пакеты со стороны прокси
  * если пакет идет во внешний мир (не в локальные сети) и его dst-порт подлежит обязательному проксированию ставим метку
  * если пакет идет из внешнего мира (не из локальных сетей) и его src-порт подлежит обязательному проксированию ставим метку
  * отмеченные пакеты через политику ''fwmark 0x6 priority 106 lookup 106'' попадают в таблицу 106 и сливаются на прокси

Кроме того, надо настроить FORWARD правила (выдержка, разумеется): 
<code bash>
ip6tables -N forward_conntrack_check
ip6tables -N forward_tcp_packets

echo    "                forward_conntrack_check"
ip6tables -A forward_conntrack_check           -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
ip6tables -A forward_conntrack_check   -p TCP  -m conntrack --ctstate INVALID  -m set --match-set "ip6_proxying_port_list" dst  -j RETURN
ip6tables -A forward_conntrack_check   -p TCP  -m conntrack --ctstate INVALID  -m set --match-set "ip6_proxying_port_list" src  -j RETURN
ip6tables -A forward_conntrack_check           -m conntrack --ctstate INVALID             -m limit --limit 3/minute --limit-burst 3 -j LOG --log-prefix "INVALID ctstate: "
ip6tables -A forward_conntrack_check           -m conntrack --ctstate INVALID             -j DROP


echo    "                forward_tcp_packets"
# ОТ НАС В ТЫРНЕТ
# 1. LAN во внешний мир
ip6tables -A forward_tcp_packets -p TCP -m set --match-set "ip6_lan_2_inet_tcp"            src,dst     -j allowed_tcp_packets
# 2. Сервера во внешний мир
ip6tables -A forward_tcp_packets -p TCP -m set --match-set "ip6_servers_2_inet_tcp"        src,dst     -j allowed_tcp_packets

#######################################################################
#
##  FORWARD.
#
#######################################################################

#Проверяем чёрный список
ip6tables -A FORWARD -p ALL -m set --match-set "ip6_black_list"        src -m limit --limit 3/minute --limit-burst 3 -j LOG --log-prefix "SRC black-listed: "
ip6tables -A FORWARD -p ALL -m set --match-set "ip6_black_list"        src -j DROP
ip6tables -A FORWARD -p ALL -m set --match-set "ip6_black_list"        dst -m limit --limit 3/minute --limit-burst 3 -j LOG --log-prefix "DST black-listed: "
ip6tables -A FORWARD -p ALL -m set --match-set "ip6_black_list"        dst -j DROP

#Принимаем установленные соединения и чистим мусор
ip6tables -A FORWARD -p ALL  -j forward_conntrack_check
ip6tables -A FORWARD -p TCP  -j bad_tcp_packets

#Выпускаем всех из белого списка
ip6tables -A FORWARD -p ALL -m set --match-set "ip6_white_list_2_inet" src -j ACCEPT

#Проверяем и принимаем лигитимный трафик
ip6tables -A FORWARD -p TCP    -j forward_tcp_packets

</code>

Сеты ip6_lan_2_inet_tcp и ip6_servers_2_inet_tcp содержат пары (адрес локальной сети; номер порта). Порты, подлежащие принудительному проксированию, также должны быть указаны и в данных сетах. 

Коннекшен трекер ломается на проксируемых соединениях, поэтому мы исключаем их из проверки.