当前位置:   article > 正文

Linux rp_filter、arp_filter、arp_ignore、arp_announce参数说明

Linux rp_filter、arp_filter、arp_ignore、arp_announce参数说明

Linux rp_filter、arp_filter、arp_ignore、arp_announce参数说明。我查看了参考资料,又去查阅了官方文档,凭着我的理解整理了以下文档。各位大神的文档写的很好,但都不喜欢断句啊,读的我这叫一个累。

参考

1.网络编程之网络丢包故障怎样定位怎样处理
2.linux参数arp_filter,arp_ignoe,arp_announce,rp_filter详解
3.Linux rp_filter和arp_filter参数浅析
4.【linux】修改arp_ignore、arp_announce、rp_filter、accept_local |内核调优
5.Linux内核参数之arp_ignore和arp_announce
6.LVS负载均衡(LVS简介、三种工作模式、十种调度算法)
7.官方文档:kernel IP Sysctl

概念

在这里插入图片描述

rp_filter

rp_filter全称reverse path filter用于控制系统是否开启对数据包源地址的校验。这是一个网卡级别的参数也就是说每张网卡可以设置不同的值。此参数有三个值0、1、2具体含义。

详见kernel IP Sysctl
在这里插入图片描述

0:不开启源地址校验,默认值。

1:开启严格的反向路由校验。对每个进来的数据包校验其反向路由是否是最佳路由,即接收报文的网卡和响应数据的网卡是否是同一张网卡。如果反向路由不是最佳路由,则直接丢弃该数据包。

2:开启松散的反向路由校验。对每个进来的数据包校验其源地址是否可达,即反向路由是否能通过任意网卡到达,如果反向路由不通,则直接丢弃该数据包。

什么是反向路由校验
所谓反向路由校验,就是在一个网卡收到数据包后,把源地址和目标地址对调后查找路由出口,从而得到反转后路由出口。然后根据反向路由出口进行过滤。

当rp_filter的值为1时,要求反向路由的出口必须与数据包的入口网卡是同一块,否则就会丢弃数据包。
当rp_filter的值为2时,要求反向路由必须是可达的,如果反路由不可达,则会丢弃数据包。

arp_filter

arp_filter和rp_filter类似都是进行反向路由检验,不过是专门针对arp协议的。而且行为也有所不同。

详见kernel IP Sysctl
在这里插入图片描述

当arp_filter设置为0时,如果从某张网卡上收到了一个arp请求,同时目标ip在此主机上,不论目标ip是否在接收到此arp请求的网卡上,那么主机都会进行响应,响应的mac地址为接收到此请求的网卡的mac地址(注意此mac地址不一定是目标ip所在网卡的mac地址,目标IP网卡与接收请求的网卡不是同一个)。
0是默认值,表示回应arp请求的时候不检查网卡情况

当arp_filter设置为1时,如果从某张网卡上收到了一个arp请求,同时目标ip在此主机上,且不要求目标ip一定在接收到此arp请求的网卡上(arp_ignore优先于arp_filter。不要求目标ip一定在接收到此arp请求的网卡,即不适用arp_ignore 1-2的情况),那么主机便会查询到此请求的源ip的路由是通过哪张网卡,如果是接收到此arp请求的网卡则发送arp响应,响应的mac地址为接收到此请求的网卡的mac地址。
1表示回应arp请求时会检查网卡是否和接收arp请求的网卡一致,不一致就不回应

arp_ignore

定义对目标地址为本机IP的ARP查询的不同应答模式。

在这里插入图片描述
详见kernel IP Sysctl

整型值的范围为0-8常用的只有0 1 2,默认为0。

0(默认值)回应任何网络接口上对任何本地IP地址的arp查询请求,比如eth0=192.168.0.1/24, eth1=10.1.1.1/24,那么即使eth0收到来自10.1.1.2这样地址发起的对10.1.1.1的arp查询也会回应——而原本这个请求该是出现在eth1上也该由eth1回应的响应的mac自然是eth0的mac。
0是响应任意网卡上接收到的对本机IP地址的arp请求(包括环回网卡上的地址),而不管该目标IP是否在接收网卡上。

1 只回应目标IP地址是来访网络接口本地地址的ARP查询请求。
比如:eth0=192.168.0.1/24, eth1=10.1.1.1/24,那么当eth0收到对192.168.0.1的查询请求时会进行回复(不论arp请求源地址是啥),而对待查询的ip为10.1.1.1的arp查询不会进行回复
1 只响应目标IP地址为接收网卡上的本地地址的arp请求。

2 只回应目标IP地址是来访网络接口本地地址,并且请求源IP必须在该网络接口的子网段内的ARP查询请求。
比如:eth0=192.168.0.1/24, eth1=10.1.1.1/24, eth0收到对192.168.0.1的查询请求源地址为 10.1.1.2(不同网段)不会回答,而会回答192.168.0.2发起的对192.168.0.1的arp查询请求
2 只响应目标IP地址为接收网卡上的本地地址的arp请求,并且arp请求的源IP必须和接收网卡同网段。

3 不回应配置为scope host的的本地地址。只回应配置为scope global和scope link的本地地址

4~7 保留未使用

8 不回应所有的arp请求

IP 的SCOPE-ID的说明

// 查看man ip address手册
root@ubuntu22-25:~# man ip address
IP-ADDRESS(8)                                                              Linux                                                              IP-ADDRESS(8)

NAME
       ip-address - protocol address management

SYNOPSIS
       ip [ OPTIONS ] address  { COMMAND | help }

       ip address { add | change | replace } IFADDR dev IFNAME [ LIFETIME ] [ CONFFLAG-LIST ]

       ip address del IFADDR dev IFNAME [ mngtmpaddr ]

       ip address { save | flush } [ dev IFNAME ] [ scope SCOPE-ID ] [ metric METRIC ] [ to PREFIX ] [ FLAG-LIST ] [ label PATTERN ] [ up ]

       ip address [ show [ dev IFNAME ] [ scope SCOPE-ID ] [ to PREFIX ] [ FLAG-LIST ] [ label PATTERN ] [ master DEVICE ] [ type TYPE ] [ vrf NAME ] [ up
               ] ]

       ip address { showdump | restore }

       IFADDR := PREFIX | ADDR peer PREFIX [ broadcast ADDR ] [ anycast ADDR ] [ label LABEL ] [ scope SCOPE-ID ]

       SCOPE-ID := [ host | link | global | NUMBER ]
       
......

       scope SCOPE_VALUE
              the scope of the area where this address is valid.  The available scopes are listed in file /etc/iproute2/rt_scopes.  Predefined scope values
              are:

                      global - the address is globally valid.

                      site - (IPv6 only, deprecated) the address is site local, i.e. it is valid inside this site.

                      link - the address is link local, i.e. it is valid only on this device.

                      host - the address is valid only inside this host.
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31
  • 32
  • 33
  • 34
  • 35
  • 36
  • 37
  • 38

arp_announce

arp_announce的作用是控制系统在对外发送arp请求时,如何选择arp请求数据包的源IP地址。

详见kernel IP Sysctl
在这里插入图片描述

0:默认值,允许使用任意网卡上的IP地址作为arp请求的源IP。通常就是使用数据包的源IP(注意源IP可能不是发送网卡的IP,源IP与发送网卡mac不对应)。
比如:eth0=192.168.1.1/24,eth1=10.1.1.1/24,要发送的数据包源IP=192.168.1.1,目标IP=10.1.1.200/24,那么发送arp请求会使用源IP=192.168.1.1(eth0的IP)和mac地址=eth1(10.1.1.1/24)的mac。

1:尽量避免使用不属于该发送网卡子网的本地地址作为发送arp请求的源IP地址。当发送arp请求时,会先检查所有子网,查看是否存在包含目标ip的子网(同网段)。如果存在,那么使用该子网IP发送;如果不存在,使用参数2的方式发送。(我理解如果两块网卡配置同段IP,其中一块作为发送网卡的情况下,会与参数2有所区别。)

2:忽略数据包的源IP地址,选择该发送网卡上最合适的本地地址作为arp请求的源IP地址。当发送arp请求时,会先检查所有子网,优先选择包含目标IP的子网所对应的IP。如果不存在包含目标IP的子网,那么会使用外发网卡或所有网卡的第一个IP。
比如:eth0=192.168.1.1/24,eth1=10.1.1.1/24,要发送的数据包源IP=192.168.1.1,目标IP=10.1.1.200/24,那么发送arp请求会使用源IP=10.1.1.1(eth1的IP)和mac地址=eth1(10.1.1.1/24)的mac。

补充:arp_ignore和arp_announce参数在DR模式下的作用

什么是DR

详见:LVS负载均衡(LVS简介、三种工作模式、十种调度算法)

配置arp_ignore为1

因为DR模式下,每个真实服务器节点都要在环回网卡上绑定虚拟服务IP。这时候,如果客户端对于虚拟服务IP的arp请求广播到了各个真实服务器节点,如果arp_ignore参数配置为0,则各个真实服务器节点都会响应该arp请求,此时客户端就无法正确获取LVS节点上正确的虚拟服务IP所在网卡的MAC地址。假如某个真实服务器节点A的网卡eth1响应了该arp请求,客户端把A节点的eth1网卡的MAC地址误认为是LVS节点的虚拟服务IP所在网卡的MAC,从而将业务请求消息直接发到了A节点的eth1网卡。这时候虽然因为A节点在环回网卡上也绑定了虚拟服务IP,所以A节点也能正常处理请求,业务暂时不会受到影响。但时此时由于客户端请求没有发到LVS的虚拟服务IP上,所以LVS的负载均衡能力没有生效。造成的后果就是,A节点一直在单节点运行,业务量过大时可能会出现性能瓶颈。

所以DR模式下要求arp_ignore参数要求配置为1。

配置arp_announce为2

每个机器或者交换机中都有一张arp表,该表用于存储对端通信节点IP地址和MAC地址的对应关系。当收到一个未知IP地址的arp请求,就会再本机的arp表中新增对端的IP和MAC记录;当收到一个已知IP地址(arp表中已有记录的地址)的arp请求,则会根据arp请求中的源MAC刷新自己的arp表。

如果arp_announce参数配置为0,则网卡在发送arp请求时,可能选择的源IP地址并不是该网卡自身的IP地址,这时候收到该arp请求的其他节点或者交换机上的arp表中记录的该网卡IP和MAC的对应关系就不正确,可能会引发一些未知的网络问题,存在安全隐患。

所以DR模式下要求arp_announce参数要求配置为2。

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/你好赵伟/article/detail/93354
推荐阅读
相关标签
  

闽ICP备14008679号