第 26 章 配置基于策略的路由以定义其他路由

流程

1. 将网络接口配置为供应商 A:

   # nmcli connection add type ethernet con-name Provider-A ifname enp7s0 ipv4.method manual ipv4.addresses 198.51.100.1/30 ipv4.gateway 198.51.100.2 ipv4.dns 198.51.100.200 connection.zone external

   Copy to Clipboard Toggle word wrap

   nmcli connection add 命令创建 NetworkManager 连接配置文件。该命令使用以下选项：

   • type ethernet ：定义连接类型是 Ethernet。
   • con-name <connection_name > : 设置配置集的名称。使用有意义的名称以避免混淆。
   • ifname <network_device& gt; : 设置网络接口。
   • ipv4.method manual ：允许配置静态 IP 地址。
   • ipv4.addresses <IP_address>/<subnet_mask>: 设置 IPv4 地址和子网掩码。
   • ipv4.gateway <IP_address> ：设置默认网关地址。
   • ipv4.dns <IP_of_DNS_server> : 设置 DNS 服务器的 IPv4 地址。
   • connection.zone <firewalld_zone> ：将网络接口分配到定义的 firewalld 区域。请注意，firewalld 会为分配给 external 区域的接口自动启用伪装。

2. 将网络接口配置为供应商 B:

   # nmcli connection add type ethernet con-name Provider-B ifname enp1s0 ipv4.method manual ipv4.addresses 192.0.2.1/30 ipv4.routes "0.0.0.0/0 192.0.2.2 table=5000" connection.zone external

   Copy to Clipboard Toggle word wrap

   此命令使用 ipv4.routes 参数而不是 ipv4.gateway 来设置默认网关。这需要将这个连接的默认网关分配给不同于默认的路由表(5000)。当连接被激活时，NetworkManager 会自动创建这个新的路由表。

3. 将网络接口配置为内部工作站子网：

   # nmcli connection add type ethernet con-name Internal-Workstations ifname enp8s0 ipv4.method manual ipv4.addresses 10.0.0.1/24 ipv4.routes "10.0.0.0/24 table=5000" ipv4.routing-rules "priority 5 from 10.0.0.0/24 table 5000" connection.zone trusted

   Copy to Clipboard Toggle word wrap

   此命令使用 ipv4.routes 参数将静态路由添加到 ID 为 5000 的路由表中。10.0.0.0/24 子网的这个静态路由使用到供应商 B 的本地网络接口的 IP 地址(192.0.2.1)来作为下一跳。

   另外，命令使用 ipv4.routing-rules 参数来添加优先级为 5 的路由规则，该规则将来自 10.0.0.0/24 子网的流量路由到表 5000。低的值具有更高的优先级。

   请注意，ipv4.routing-rules 参数的语法与 ip rule add 命令中的语法相同，但 ipv4.routing-rules 总是需要指定优先级。

4. 将网络接口配置为服务器子网：

   # nmcli connection add type ethernet con-name Servers ifname enp9s0 ipv4.method manual ipv4.addresses 203.0.113.1/24 connection.zone trusted

   Copy to Clipboard Toggle word wrap

验证

1. 在内部工作站子网的 RHEL 主机上：

   1. 安装 traceroute 软件包：

      # yum install traceroute

      Copy to Clipboard Toggle word wrap

   2. 使用 traceroute 工具显示到互联网上主机的路由：

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  10.0.0.1 (10.0.0.1)     0.337 ms  0.260 ms  0.223 ms
       2  192.0.2.2 (192.0.2.2)   0.884 ms  1.066 ms  1.248 ms
       ...

      Copy to Clipboard Toggle word wrap

      命令的输出显示路由器通过 192.0.2.1 ，即提供商 B 的网络来发送数据包。

2. 在服务器子网的 RHEL 主机上：

   1. 安装 traceroute 软件包：

      # yum install traceroute

      Copy to Clipboard Toggle word wrap

   2. 使用 traceroute 工具显示到互联网上主机的路由：

      # traceroute redhat.com
      traceroute to redhat.com (209.132.183.105), 30 hops max, 60 byte packets
       1  203.0.113.1 (203.0.113.1)    2.179 ms  2.073 ms  1.944 ms
       2  198.51.100.2 (198.51.100.2)  1.868 ms  1.798 ms  1.549 ms
       ...

      Copy to Clipboard Toggle word wrap

      命令的输出显示路由器通过 198.51.100.2 ，即供应商 A 的网络来发送数据包。

1. 显示规则列表：

   # ip rule list
   0:	from all lookup local
   5:	from 10.0.0.0/24 lookup 5000
   32766:	from all lookup main
   32767:	from all lookup default

   Copy to Clipboard Toggle word wrap

   默认情况下，RHEL 包含表 local、main 和 default 的规则。

2. 显示表 5000 中的路由：

   # ip route list table 5000
   0.0.0.0/0 via 192.0.2.2 dev enp1s0 proto static metric 100
   10.0.0.0/24 dev enp8s0 proto static scope link src 192.0.2.1 metric 102

   Copy to Clipboard Toggle word wrap

3. 显示接口和防火墙区：

   # firewall-cmd --get-active-zones
   external
     interfaces: enp1s0 enp7s0
   trusted
     interfaces: enp8s0 enp9s0

   Copy to Clipboard Toggle word wrap

4. 验证 external 区是否启用了伪装：

   # firewall-cmd --info-zone=external
   external (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp1s0 enp7s0
     sources:
     services: ssh
     ports:
     protocols:
     masquerade: yes
     ...

   Copy to Clipboard Toggle word wrap