Вопросы Теги

Как устройство IFB расположено в потоке пакетов ядра Linux

Что такого классного на gnome-system-monitor ? Я не знаю, как это сделать, но не стесняйтесь его взламывать. Это открытый исходный код.

Это приложение просто «настольная игрушка». У него нет амбиций контролировать разные хосты. Если вас интересует сервер мониторинга, существуют различные инструменты, которые делают это и делают это лучше (и вы даже можете запустить их на локальном компьютере с мониторингом удаленного на ... кабине, например).

5
14.06.2016, 14:49
2 ответа

Кажется, я наконец-то понял, как работает перенаправление ingress на IFB : 

+-------+   +------+                 +------+
|ingress|   |egress|   +---------+   |egress|
|qdisc  +--->qdisc +--->netfilter+--->qdisc |
|eth1   |   |ifb1  |   +---------+   |eth1  |
+-------+   +------+                 +------+

Мое первоначальное предположение на рисунке 2, что устройство ifb вставлено между ingress eth1 и netfilter и что пакеты сначала входят в ingress ifb1, а затем выходят через egress ifb1 было неверным.

На самом деле перенаправление трафика с входа интерфейса или выхода на выход ifb осуществляется непосредственно путем перенаправления ("кражи") пакета и прямого помещения его на выход устройства ifb.

Зеркалирование/перенаправление трафика на вход устройства ifb в настоящее время не поддерживается, что также указано в документации, по крайней мере, в моей версии:

root@deb8:~# tc -V
tc utility, iproute2-ss140804
root@deb8:~# dpkg -l | grep iproute
ii  iproute2                       3.16.0-2
root@deb8:~# uname -a
Linux deb8 3.16.0-4-amd64 #1 SMP Debian 3.16.7-ckt25-1 x86_64 GNU/Linux

Документация

Я смог получить эту информацию благодаря следующей документации:

Отладка

И немного отладки с использованием iptables -j LOG и tc filter action simple, которые я использовал для вывода сообщений в syslog, когда icmp пакет проходит через netdevs.

Результат следующий:

Jun 14 13:02:12 deb8 kernel: [ 4273.341087] simple: tc[eth1]ingress_1
Jun 14 13:02:12 deb8 kernel: [ 4273.341114] simple: tc[ifb1]egress_1
Jun 14 13:02:12 deb8 kernel: [ 4273.341229] ipt[PREROUTING]raw IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341238] ipt[PREROUTING]mangle IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341242] ipt[PREROUTING]nat IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341249] ipt[INPUT]mangle IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341252] ipt[INPUT]filter IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341255] ipt[INPUT]nat IN=eth1 OUT= MAC=08:00:27:ee:8f:15:08:00:27:89:16:5b:08:00 SRC=10.1.1.3 DST=10.1.1.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=53979 DF PROTO=ICMP TYPE=8 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341267] ipt[OUTPUT]raw IN= OUT=eth1 SRC=10.1.1.2 DST=10.1.1.3 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=37735 PROTO=ICMP TYPE=0 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341270] ipt[OUTPUT]mangle IN= OUT=eth1 SRC=10.1.1.2 DST=10.1.1.3 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=37735 PROTO=ICMP TYPE=0 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341272] ipt[OUTPUT]filter IN= OUT=eth1 SRC=10.1.1.2 DST=10.1.1.3 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=37735 PROTO=ICMP TYPE=0 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341274] ipt[POSTROUTING]mangle IN= OUT=eth1 SRC=10.1.1.2 DST=10.1.1.3 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=37735 PROTO=ICMP TYPE=0 CODE=0 ID=1382 SEQ=1
Jun 14 13:02:12 deb8 kernel: [ 4273.341278] simple: tc[eth1]egress_1
Jun 14 13:02:12 deb8 kernel: [ 4273.341280] simple: tc[ifb0]egress_1

Отладка проводилась с использованием следующих настроек:

iptables -F -t filter
iptables -F -t nat
iptables -F -t mangle
iptables -F -t raw
iptables -A PREROUTING -t raw -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]raw '
iptables -A PREROUTING -t mangle -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]mangle '
iptables -A PREROUTING -t nat -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]nat '
iptables -A INPUT -t mangle -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]mangle '
iptables -A INPUT -t filter -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]filter '
iptables -A INPUT -t nat -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]nat '
iptables -A FORWARD -t mangle -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[FORWARD]mangle '
iptables -A FORWARD -t filter -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[FORWARD]filter '
iptables -A OUTPUT -t raw -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]raw '
iptables -A OUTPUT -t mangle -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]mangle '
iptables -A OUTPUT -t nat -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]nat '
iptables -A OUTPUT -t filter -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]filter '
iptables -A POSTROUTING -t mangle -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[POSTROUTING]mangle '
iptables -A POSTROUTING -t nat -p icmp --icmp-type 8 -j LOG --log-level 7 --log-prefix 'ipt[POSTROUTING]nat '
iptables -A PREROUTING -t raw -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]raw '
iptables -A PREROUTING -t mangle -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]mangle '
iptables -A PREROUTING -t nat -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[PREROUTING]nat '
iptables -A INPUT -t mangle -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]mangle '
iptables -A INPUT -t filter -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]filter '
iptables -A INPUT -t nat -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[INPUT]nat '
iptables -A FORWARD -t mangle -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[FORWARD]mangle '
iptables -A FORWARD -t filter -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[FORWARD]filter '
iptables -A OUTPUT -t raw -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]raw '
iptables -A OUTPUT -t mangle -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]mangle '
iptables -A OUTPUT -t nat -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]nat '
iptables -A OUTPUT -t filter -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[OUTPUT]filter '
iptables -A POSTROUTING -t mangle -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[POSTROUTING]mangle '
iptables -A POSTROUTING -t nat -p icmp --icmp-type 0 -j LOG --log-level 7 --log-prefix 'ipt[POSTROUTING]nat '

export TC="/sbin/tc"

$TC qdisc del dev eth1 root
$TC qdisc del dev eth1 ingress
ip link set dev ifb0 down
ip link set dev ifb1 down
$TC qdisc del dev ifb0 root
$TC qdisc del dev ifb1 root
rmmod ifb

modprobe ifb numifbs=2

$TC qdisc add dev ifb0 root handle 1: htb default 2
$TC class add dev ifb0 parent 1: classid 1:1 htb rate 2Mbit
$TC class add dev ifb0 parent 1: classid 1:2 htb rate 10Mbit
$TC filter add dev ifb0 parent 1: protocol ip prio 1 u32 \
  match ip protocol 1 0xff flowid 1:1 \
  action simple "tc[ifb0]egress"
$TC qdisc add dev ifb0 ingress
$TC filter add dev ifb0 parent ffff: protocol ip prio 1 u32 \
  match ip protocol 1 0xff \
  action simple "tc[ifb0]ingress"

$TC qdisc add dev ifb1 root handle 1: htb default 2
$TC class add dev ifb1 parent 1: classid 1:1 htb rate 2Mbit
$TC class add dev ifb1 parent 1: classid 1:2 htb rate 10Mbit
$TC filter add dev ifb1 parent 1: protocol ip prio 1 u32 \
  match ip protocol 1 0xff flowid 1:1 \
  action simple "tc[ifb1]egress"
$TC qdisc add dev ifb1 ingress
$TC filter add dev ifb1 parent ffff: protocol ip prio 1 u32 \
  match ip protocol 1 0xff \
  action simple "tc[ifb1]ingress"

ip link set dev ifb0 up
ip link set dev ifb1 up

$TC qdisc add dev eth1 root handle 1: htb default 2
$TC class add dev eth1 parent 1: classid 1:1 htb rate 2Mbit
$TC class add dev eth1 parent 1: classid 1:2 htb rate 10Mbit
$TC filter add dev eth1 parent 1: protocol ip prio 1 u32 \
  match ip protocol 1 0xff flowid 1:1 \
  action simple "tc[eth1]egress" pipe \
  action mirred egress redirect dev ifb0
$TC qdisc add dev eth1 ingress
$TC filter add dev eth1 parent ffff: protocol ip prio 1 u32 \
  match ip protocol 1 0xff \
  action simple "tc[eth1]ingress" pipe \
  action mirred egress redirect dev ifb1
5
27.01.2020, 20:41

Итак, возвращаясь к тому, что вы упомянули в начале, работает ли ifbс set-mark?

Я помечаю iptablesи cgroups, а затем устанавливаю задержку для отмеченного трафика в tc. Я могу легко сделать это на eth0для выхода (при пост-маршрутизации ). Но та же логика не работает для ifb0. Кажется, что трафик не помечен, или если он помечен, то не перехватывается ifb. Есть предположения?

Это мои настройки iptables:

sudo /sbin/iptables -t mangle --new test_chain --wait
sudo /sbin/iptables -t mangle -I POSTROUTING 1 --match cgroup --cgroup 0x4d81b18 --jump test_chain --wait
sudo /sbin/iptables -t mangle -I INPUT 1 --match cgroup --cgroup 0x4d81b18 --jump test_chain --wait
sudo /sbin/iptables -t mangle -I OUTPUT 1 --match cgroup --cgroup 0x4d81b18 --jump test_chain --wait
sudo /sbin/iptables -t mangle -A test_chain -p tcp -j MARK --set-mark 0x4d81b18 --wait

Это моя настройка tc:

sudo tc qdisc add dev eth0 handle ffff: ingress
sudo tc filter add dev eth0 parent ffff: protocol ip u32 match u32 0 0 action mirred egress redirect dev ifb0
sudo /sbin/tc qdisc add dev ifb0 root handle 1:0 htb default 2
sudo /sbin/tc class add dev ifb0 parent 1:0 classid 1:1 htb rate 1000Gbps
sudo /sbin/tc class add dev ifb0 parent 1:0 classid 1:2 htb rate 1000Gbps prio 1
sudo /sbin/tc class add dev ifb0 parent 1:1 classid 1:3 htb rate 1000Gbps prio 2
sudo /sbin/tc qdisc add dev ifb0 parent 1:3 handle 3:0 netem delay 20ms
sudo /sbin/tc filter add dev ifb0 parent 1:0 protocol ip prio 1 handle 0x4d81b18 fw flowid 1:3
-1
27.01.2020, 20:41

Теги

Похожие вопросы

  • 2
    Сокращение потери пакетов в tc ограничении уровня 27.06.2011
    Я использую эту команду tc для ограничения скорости загрузки в интерфейсе: tc qdisc добавляют корень dev eth1 tbf уровень, 2 Мбит разрывают задержку 10 КБ 70 мс peakrate 2.4 Мбит minburst 1540, Но это приводит к тяжелой потере пакетов. Если...
  • 8
    трафик маршрута другой шлюз сетью назначения 18.11.2013
    Я имею несколько шлюзов и хотел бы направить некоторый трафик из различных шлюзов на основе его места назначения. Я предполагаю, что должен был бы использовать комбинацию iproute2 и правил iptables, но не...
  • 1
    Как мне узнать, открыл ли я порт 80? 24.02.2018
    Я сохранил, а затем перезагрузил свою машину. Когда я смотрю на файл iptables, он содержит следующее [root @ server /] # cat / etc / sysconfig / iptables # Создано с помощью iptables-save v1.4.21 в субботу, 24 февраля, 15:25:25 ...
  • 22
    - это PID детского процесса всегда больше, чем PID его родителя на Linux? 04.09.2018
    Скажем, от ядра 2.6. Я смотрю все бегущие процессы в системе. PID детей всегда больше, чем PID их родителей? Можно ли иметь особые случаи «... [
  • 29
    Когда я должен указать add_efi_memmap как аргумент ядра в начальной загрузке UEFI/EFI? 31.07.2015
    Я читаю некоторые учебные руководства, как к тупику EFI (efistub) загружают ядро Linux. Эти инструкции часто используют параметр начальной загрузки ядра add_efi_memmap. Намеченными аппаратными средствами является Intel x64, имеющий 8 ГБ RAM. Мой...
  • 6
    Как ядро загружается? 29.03.2013
    Я пытаюсь понять процесс начальной загрузки Linux, и после чтения некоторой суммы документации существует одна точка, которую я все еще, может казаться, не понимаю. Таким образом, basicis является BIOS-> Личинка MBR->...
  • 2
    Установить ядро ​​реального времени на CentOS 03.02.2017
    Недавно я узнал о ядре реального времени. Я просто хотел знать, как превратить мое текущее ядро ​​CentOS 7.3 в ядро ​​реального времени. У меня версия ядра "3.10.0-514.2.2.el7.x86_64".