[Wstecz: Kolejkowanie] [Spis treści] [Dalej: Packet Tagging]

PF: Pule adresów i kierowanie ruchem

Spis treści

• Wstęp
• Pula adresowa dla NAT
• Równoważenie obciążenia dla połączeń przychodzących
• Równoważenie obciążenia ruchu wychodzącego
  • Przykładowy zestaw reguł

Wstęp

Istnieją cztery metody używania pul adresów:

• bitmask - w tej metodzie część adresu IP wskazująca na sieć pobierana jest z puli adresowej i umieszczana w adresie, który ma zostać zmodyfikowany (adres źródłowy dla reguł nat, docelowy dla reguł rdr). Na przykład: jeśli pula adresowa zawiera w sobie sieć 192.0.2.1/24, a modyfikowany adres to 10.0.0.50, więc wynikiem będzie adres 192.0.2.50. Jeśli pulą adresową będzie sieć 192.0.2.1/25, modyfikowyany adres to 10.0.0.130, otrzymany adres będzie wyglądał następująco: 192.0.2.2.
• random - adresy z puli adresowej wybierane są w sposób losowy.
• source-hash - użycie funkcji mieszającej na adresie źródłowym do określenia, który adres z puli ma zostać wykorzystany. Ta metoda daje gwarancje, że dla tego samego adresu źródłowego będzie przypisany zawsze ten sam adres z puli adresowej. Klucz używany przez algorytm mieszający, może być opcjonalnie podany po słowie kluczowym source-hash w formacie szesnastkowym lub jako tekst. Domyślnie pfctl(8) generuje nowy klucz za każdym razem gdy zestaw reguł jest ładowany.
• round-robin - wykorzystanie wszystkich adresów kolejno. Jest to domyślna metoda, a także jedyna dostępna w przypadku podania puli adresowej przy użyciu tabeli.

Z wyjątkiem metody round-robin, pule adresów muszą być podane jako bloki sieci w formacie CIDR (Classless Inter-Domain Routing). Metoda round-robin akceptuje wiele pojedynczych adresów IP podanych jako lista bądź tabela.

Opcja sticky-address może być używana wraz pulami random lub round-robin aby zapewnić, że dany adres źródłowy jest zawsze mapowany do tego samego adresu przy przekierowaniu.

Pula adresowa dla NAT

Poniższy przykład przedstawia wykorzystanie puli składającej się z dwóch adresów do translacji wychodzących pakietów. Dla każdego połączenia PF będzie przypisywał, na zmianę, jeden z adresów wchodzących w skład puli, zgodnie z metodą round-robin.

nat on $ext_if inet from any to any -> { 192.0.2.5, 192.0.2.10 }

Jedną z wad tej metody jest fakt, że kolejne połączenia z tego samego adresu z sieci wewnętrznej nie zawsze będą mapowane na ten sam adres zewnętrzny. Może to powodować problemy, na przykład, podczas przeglądania stron, które śledzą użytkowników na podstawie adresu IP. Alternatywnym rozwiązaniem problemu może być wykorzystanie metody source-hash, w której dla danego adresu wewnętrznego przypisywany jest dokładnie ten sam adres zewnętrzny. Aby wykorzystać tą metodę niezbędne jest zdefiniowanie puli adresowej jako bloku sieci w formacie CIDR.

nat on $ext_if inet from any to any -> 192.0.2.4/31 source-hash

Ta przykładowa reguła nat używa puli adresowej 192.0.2.4/31 (192.0.2.4 - 192.0.2.5) do translacji adresów dla wychodzących pakietów. Dany wewnętrzny adres będzie zawsze przetłumaczony na ten sam adres zewnętrzny ponieważ zostało użyte słowo kluczowe source-hash.

Równoważenie obciążenia dla połączeń przychodzących

web_servers = "{ 10.0.0.10, 10.0.0.11, 10.0.0.13 }"

rdr on $ext_if proto tcp from any to any port 80 -> $web_servers \
    round-robin sticky-address

Tak samo jak w przypadku przykładu dla NAT, jeśli serwery www będą znajdować się w jednym bloku CIDR, opcja source-hash może być użyta do zapewnienia, że wywołania z danego adresu IP będą zawsze przekierowane do tego samego serwera. Takie zachowanie może być wymagane do utrzymania sesji podczas przeglądania strony www.

Równoważenie obciążenia ruchu wychodzącego

Informacją niezbędną do wykonania równoważenia ruchu wychodzącego jest adres IP granicznego routera dla każdego połączenia z Internetem. Jest to niezbędne dla opcji route-to do określenia miejsca przeznaczenia dla wychodzących pakietów.

Poniższy przykład prezentuje równoważanie ruchu wychodzącego do Internetu poprzez dwa interfejsy sieciowe:

lan_net = "192.168.0.0/24"
int_if  = "dc0"
ext_if1 = "fxp0"
ext_if2 = "fxp1"
ext_gw1 = "68.146.224.1"
ext_gw2 = "142.59.76.1"

pass in on $int_if route-to \
   { ($ext_if1 $ext_gw1), ($ext_if2 $ext_gw2) } round-robin \
   from $lan_net to any keep state

Opcja route-to jest używana dla ruchu przychodzącego na wewnętrznym interfejsie do określenia zewnętrznego interfejsu sieciowego, poprzez który mają zostać skierowane pakiety, których adres źródłowy zostanie podmieniony na adres określonej bramki. Proszę zauważyć, że opcja route-to musi zostać określona dla każdej regułki, która definiuje równoważenie obciążenia. Powracające pakiety będą skierowane do tego samego interfejsu zewnętrznego, przez który wyszły na świat (realizuje to dostawca usług internetowych), a następnie do wewnętrznego interfejsu sieciowego.

Aby zapewnić, że pakiety z adresem źródłowym należącym do interfejsu $ext_if1 były przekazywane do interfejsu $ext_gw1 (oraz odpowiednio dla $ext_if2 i $ext_gw2), dwie poniższe linie powinny zostać włączone do zestawu reguł:

pass out on $ext_if1 route-to ($ext_if2 $ext_gw2) from $ext_if2 \
   to any
pass out on $ext_if2 route-to ($ext_if1 $ext_gw1) from $ext_if1 \
   to any

I na końcu, NAT powinien zostać włączony na każdym wychodzącym interfejsie:

nat on $ext_if1 from $lan_net to any -> ($ext_if1)
nat on $ext_if2 from $lan_net to any -> ($ext_if2)

Kompletny, przykładowy zestaw reguł, który będzie równoważyć obciążenie ruchu wychodzącego może wyglądać mniej więcej tak:

[Wstecz: Kolejkowanie] [Spis treści] [Dalej: Packet Tagging]