linux - apache2 网络代理服务器上的多个 NIC

Question

我对具有两个 NIC 的 Linux 机器上的流量路由有疑问。其中一个 NIC 在我们的 DMZ 网络上 (10.1.9.0/24)，另一个在我们的本地网络上 (10.1.0.0./21):

default via `10.1.4.1` dev eth0 
default via `10.1.9.1` dev eth1  metric 100 
`10.1.0.0/21` dev eth0  proto kernel  scope link  src `10.1.0.132` 
`10.1.9.0/24` dev eth1  proto kernel  scope link  src `10.1.9.25` 

我们使用服务器作为网络代理。 dmz 接口(interface) (eth1) 从我们的外部互联网地址之一获取流量。所以我们的主要防火墙/路由器上存在一个 NAT 规则，它将请求转换为 10.1.9.25。这工作正常，请求被接受并得到回应。在这种情况下，连接在 eth1 上建立，响应也在 eth1 上。

问题:当我们想从本地网络内部访问网络服务器时，防火墙会将外部 ip 转换为 DMZ ip。可以从我们的本地网络内建立到 DMZ 服务器的连接，但反之则不行。在这种情况下，从本地网络到 DMZ 的连接被实例化，但网络服务器没有响应。

sudo tcpdump -i eth1 port 443 and src host 10.1.1.154
10:09:35.626450 IP 10.1.1.154.48870 > 10.1.9.25.https: Flags [S], seq 2491947547, win 14600, options [mss 1460,sackOK,TS val 2066949 ecr 0,nop,wscale 4], length 0
10:09:35.825619 IP 10.1.1.154.48871 > 10.1.9.25.https: Flags [S], seq 1827990665, win 14600, options [mss 1460,sackOK,TS val 2067011 ecr 0,nop,wscale 4], length 0
10:09:36.575239 IP 10.1.1.154.48870 > 10.1.9.25.https: Flags [S], seq 2491947547, win 14600, options [mss 1460,sackOK,TS val 2067199 ecr 0,nop,wscale 4], length 0
10:09:36.823264 IP 10.1.1.154.48871 > 10.1.9.25.https: Flags [S], seq 1827990665, win 14600, options [mss 1460,sackOK,TS val 2067261 ecr 0,nop,wscale 4], length 0
10:09:38.579373 IP 10.1.1.154.48870 > 10.1.9.25.https: Flags [S], seq 2491947547, win 14600, options [mss 1460,sackOK,TS val 2067700 ecr 0,nop,wscale 4], length 0
10:09:38.827290 IP 10.1.1.154.48871 > 10.1.9.25.https: Flags [S], seq 1827990665, win 14600, options [mss 1460,sackOK,TS val 2067762 ecr 0,nop,wscale 4], length 0

SSH也是一样，接口(interface)接收连接，但是没有响应。我不确定问题出在哪里(在服务器上或在防火墙/路由器设置上)。我们在 DMZ 中有其他服务器运行良好，这里的系统管理员说网络配置相同。

谁能帮我诊断这个问题？

Answer 1

你的问题在这里

default via `10.1.4.1` dev eth0 
default via `10.1.9.1` dev eth1  metric 100 
`10.1.0.0/21` dev eth0  proto kernel  scope link  src `10.1.0.132` 
`10.1.9.0/24` dev eth1  proto kernel  scope link  src `10.1.9.25`

IP不能在同一个路由表中使用多个默认路由……想一想，如果从shell中ping 4.2.2.2，应该使用哪个接口(interface)？

Linux Advanced Routing and Traffic Control Howto有一些技巧可用于实现多个路由表，但这通常会使事情变得比您想要维护的更复杂。

最简单的解决方案是选择一个接口(interface)，您可以在其中将所有内部公司网络聚合到一个超网中，并为其分配一条路由...例如，这条路由涵盖所有未直接连接到 linux 的 10.x.x.x 网络机...

route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.1.0.132

然后从 eth0 中删除默认值