一.介绍
Tunnel,也就是隧道,在Linux中使用还是挺广泛的,从常见的安全加密类的隧道到更多是服务器互联使用的GRE/IPIP隧道,种类还是挺多的。
当然,这次我们不提那些需要额外安装依赖或者软件的,主要说比较原生的,需要注意的事,这些虽然原生,但是大多需要内核模块支持,这也就意味着很大可能无法在OpenVZ上正常使用(就算有tun和tap也不够),所以建议使用KVM等其他虚拟化架构的VPS或者独立服务器实验。
二.配置
仰慕搞全球大内网的大佬,因为对隧道也有了点兴趣,不过种类确实不少,也不是一直能用到,所以在这边做下收集和记录,方便自己或者其他有需求的人看。
另外,这些隧道的用途是承载其他数据,不带IPSec就连加密都没了,所以如果用于传输重要数据请使用带加密的方式,比如,你要传输文件可以跑个rsync或者scp啊ftp啊啥的。
由于DEB系和RHL系的网络配置文件格式不太一样,所以我这边就只写CentOS(也就是RHL的了)
另外,请确保iptables规则对隧道两端都开放.
这边我只介绍最常见的GRE以及IPIP,因为EOIP在Linux下需要额外对内核Patch,而IPSec真的比较烦人.
①.GRE
需要模块:ip_gre
使用lsmod|grep ip_gre检查
#立即加载模块
modprobe ip_gre
#开机加载模块
echo "/sbin/modprobe ip_gre > /dev/null 2>&1" > /etc/sysconfig/modules/ip_gre.modules
chmod 755 /etc/sysconfig/modules/ip_gre.modules
Host1:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=GRE
#对端外部(联网的)IP
PEER_OUTER_IPADDR=1.2.3.4
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.2
#对端外部(联网的)IP
MY_INNER_IPADDR=192.168.0.1
EOF
#启用隧道
ifup tun0
Host2:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=GRE
#对端外部(联网的)IP
PEER_OUTER_IPADDR=4.3.2.1
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.1
#本地隧道IP
MY_INNER_IPADDR=192.168.0.2
EOF
#启用隧道
ifup tun0
②IPIP
需要模块:ipip
使用lsmod|grep ipip检查
#立即加载模块
modprobe ipip
#开机加载模块
echo "/sbin/modprobe ipip > /dev/null 2>&1" > /etc/sysconfig/modules/ipip.modules
chmod 755 /etc/sysconfig/modules/ipip.modules
Host1:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=IPIP
#对端外部(联网的)IP
PEER_OUTER_IPADDR=1.2.3.4
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.2
#对端外部(联网的)IP
MY_INNER_IPADDR=192.168.0.1
EOF
#启用隧道
ifup tun0
Host2:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=IPIP
#对端外部(联网的)IP
PEER_OUTER_IPADDR=4.3.2.1
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.1
#本地隧道IP
MY_INNER_IPADDR=192.168.0.2
EOF
#启用隧道
ifup tun0
三.其他
①.调整隧道MTU(两端都需要)
调整后需要重起隧道(ifdown然后ifup)
ifconfig 隧道接口名 mtu 1500
②.启用ipv4转发以及关闭rp_filter
#立即关闭
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/conf/default/rp_filter
#注释掉默认配置
sed -i 's/\(^net\|kernel\)/#\1/g' /etc/sysctl.conf
#修改配置
sed -i 's/^#\?net.ipv4.ip_forward =.*/net.ipv4.ip_forward = 1/g' /etc/sysctl.conf
sed -i 's/^#\?net.ipv4.conf.default.rp_filter =.*/net.ipv4.conf.default.rp_filter = 0/g' /etc/sysctl.conf
#生效配置
sysctl -p
③.添加静态路由
这个有多种方法
#单个IP走隧道
route -host 5.6.7.8 dev 隧道接口名
#指定网段走隧道
route -net 4.3.2.1/24 dev 隧道接口名
#也可以用这个
ip route add 1.2.4.8/32 via 隧道出口IP dev 隧道接口名
PS.我一直是route add -host 8.8.8.8 dev 隧道接口名 然后mtr 8.8.8.8 这样来测试隧道有没有通的
也可以做成路由表类型的
#添加路由表条目,数字代表优先级,看着办
echo "100 路由表名" >>/etc/iproute2/rt_tables
#为该表添加默认路由
ip route add default via 隧道出口IP dev 隧道接口名 table 路由表名
#指定某个来源的IP走路由表
对端建议添加对应路由以便回源
route add -net 192.168.0.0/29 dev 隧道接口名
④.配置iptables(可选NAT)
这个基本上就是要做全转发才要的,看需求吧
#隧道入口
iptables -t nat -A POSTROUTING -s 192.168.0.1 -j SNAT –to-source 1.2.3.4
iptables -t nat -A PREROUTING -d 1.2.3.4 -j DNAT –to-destination 192.168.0.1
如果还不通(理论上不应该),可以加条这个
iptables -t nat -A POSTROUTING -o 隧道接口名 -j MASQUERADE
Tunnel,也就是隧道,在Linux中使用还是挺广泛的,从常见的安全加密类的隧道到更多是服务器互联使用的GRE/IPIP隧道,种类还是挺多的。
当然,这次我们不提那些需要额外安装依赖或者软件的,主要说比较原生的,需要注意的事,这些虽然原生,但是大多需要内核模块支持,这也就意味着很大可能无法在OpenVZ上正常使用(就算有tun和tap也不够),所以建议使用KVM等其他虚拟化架构的VPS或者独立服务器实验。
二.配置
仰慕搞全球大内网的大佬,因为对隧道也有了点兴趣,不过种类确实不少,也不是一直能用到,所以在这边做下收集和记录,方便自己或者其他有需求的人看。
另外,这些隧道的用途是承载其他数据,不带IPSec就连加密都没了,所以如果用于传输重要数据请使用带加密的方式,比如,你要传输文件可以跑个rsync或者scp啊ftp啊啥的。
由于DEB系和RHL系的网络配置文件格式不太一样,所以我这边就只写CentOS(也就是RHL的了)
另外,请确保iptables规则对隧道两端都开放.
这边我只介绍最常见的GRE以及IPIP,因为EOIP在Linux下需要额外对内核Patch,而IPSec真的比较烦人.
①.GRE
需要模块:ip_gre
使用lsmod|grep ip_gre检查
#立即加载模块
modprobe ip_gre
#开机加载模块
echo "/sbin/modprobe ip_gre > /dev/null 2>&1" > /etc/sysconfig/modules/ip_gre.modules
chmod 755 /etc/sysconfig/modules/ip_gre.modules
Host1:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=GRE
#对端外部(联网的)IP
PEER_OUTER_IPADDR=1.2.3.4
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.2
#对端外部(联网的)IP
MY_INNER_IPADDR=192.168.0.1
EOF
#启用隧道
ifup tun0
Host2:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=GRE
#对端外部(联网的)IP
PEER_OUTER_IPADDR=4.3.2.1
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.1
#本地隧道IP
MY_INNER_IPADDR=192.168.0.2
EOF
#启用隧道
ifup tun0
②IPIP
需要模块:ipip
使用lsmod|grep ipip检查
#立即加载模块
modprobe ipip
#开机加载模块
echo "/sbin/modprobe ipip > /dev/null 2>&1" > /etc/sysconfig/modules/ipip.modules
chmod 755 /etc/sysconfig/modules/ipip.modules
Host1:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=IPIP
#对端外部(联网的)IP
PEER_OUTER_IPADDR=1.2.3.4
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.2
#对端外部(联网的)IP
MY_INNER_IPADDR=192.168.0.1
EOF
#启用隧道
ifup tun0
Host2:
cat >/etc/sysconfig/network-scripts/ifcfg-tun0<<EOF
DEVICE=tun0
BOOTPROTO=none
#开机启动(这儿没启用)
ONBOOT=no
TYPE=IPIP
#对端外部(联网的)IP
PEER_OUTER_IPADDR=4.3.2.1
#对端隧道IP
PEER_INNER_IPADDR=192.168.0.1
#本地隧道IP
MY_INNER_IPADDR=192.168.0.2
EOF
#启用隧道
ifup tun0
三.其他
①.调整隧道MTU(两端都需要)
调整后需要重起隧道(ifdown然后ifup)
ifconfig 隧道接口名 mtu 1500
②.启用ipv4转发以及关闭rp_filter
#立即关闭
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/conf/default/rp_filter
#注释掉默认配置
sed -i 's/\(^net\|kernel\)/#\1/g' /etc/sysctl.conf
#修改配置
sed -i 's/^#\?net.ipv4.ip_forward =.*/net.ipv4.ip_forward = 1/g' /etc/sysctl.conf
sed -i 's/^#\?net.ipv4.conf.default.rp_filter =.*/net.ipv4.conf.default.rp_filter = 0/g' /etc/sysctl.conf
#生效配置
sysctl -p
③.添加静态路由
这个有多种方法
#单个IP走隧道
route -host 5.6.7.8 dev 隧道接口名
#指定网段走隧道
route -net 4.3.2.1/24 dev 隧道接口名
#也可以用这个
ip route add 1.2.4.8/32 via 隧道出口IP dev 隧道接口名
PS.我一直是route add -host 8.8.8.8 dev 隧道接口名 然后mtr 8.8.8.8 这样来测试隧道有没有通的
也可以做成路由表类型的
#添加路由表条目,数字代表优先级,看着办
echo "100 路由表名" >>/etc/iproute2/rt_tables
#为该表添加默认路由
ip route add default via 隧道出口IP dev 隧道接口名 table 路由表名
#指定某个来源的IP走路由表
对端建议添加对应路由以便回源
route add -net 192.168.0.0/29 dev 隧道接口名
④.配置iptables(可选NAT)
这个基本上就是要做全转发才要的,看需求吧
#隧道入口
iptables -t nat -A POSTROUTING -s 192.168.0.1 -j SNAT –to-source 1.2.3.4
iptables -t nat -A PREROUTING -d 1.2.3.4 -j DNAT –to-destination 192.168.0.1
如果还不通(理论上不应该),可以加条这个
iptables -t nat -A POSTROUTING -o 隧道接口名 -j MASQUERADE
No comments:
Post a Comment