{"id":81265,"date":"2020-05-12T01:42:43","date_gmt":"2020-05-11T23:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bystryj-routing-i-nat-v-linux"},"modified":"2020-05-12T01:42:43","modified_gmt":"2020-05-11T23:42:43","slug":"bystryj-routing-i-nat-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bystryj-routing-i-nat-v-linux","title":{"rendered":"Schnelles Routing und NAT in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Mit dem Schwinden der IPv4-Adressen stehen viele Telekommunikationsanbieter vor der Notwendigkeit, den Zugang ihrer Kunden zum Netzwerk \u00fcber Address Translation zu organisieren. In diesem Artikel werde ich erkl\u00e4ren, wie man Carrier Grade NAT-Leistung auf Commodity-Servern erreichen kann.
\n<\/a><\/noindex><\/p>\n

Ein wenig Geschichte<\/h3>\n

\nDas Thema des Schwunds des IPv4-Adressraums ist nicht neu. So gab es irgendwann in RIPE Wartelisten, dann entstanden M\u00e4rkte, auf denen Adressbl\u00f6cke gehandelt und Mietvertr\u00e4ge f\u00fcr diese abgeschlossen wurden. Nach und nach begannen die Telekommunikationsanbieter, Internetzugangsdienste mithilfe von Address- und Port-Translation anzubieten. Einige konnten nicht gen\u00fcgend Adressen erhalten, um jedem Abonnenten eine \u201ewei\u00dfe\u201c Adresse zuzuweisen, w\u00e4hrend andere begannen, Kosten zu sparen, indem sie auf den Kauf von Adressen auf dem Sekund\u00e4rmarkt verzichteten. Die Hersteller von Netzwerkausr\u00fcstung unterst\u00fctzten diese Idee, da diese Funktionalit\u00e4t in der Regel zus\u00e4tzliche Erweiterungsmodule oder Lizenzen erfordert. Zum Beispiel kann man bei Juniper in der MX-Router-Linie (au\u00dfer bei den neuesten MX104 und MX204) NAPT auf einer separaten Servicekarte MS-MIC durchf\u00fchren, bei Cisco ASR1k ist eine CGN-Lizenz erforderlich, bei Cisco ASR9k ein separates Modul A9K-ISM-100 und eine Lizenz A9K-CGN-LIC daf\u00fcr. Insgesamt kostet der Spa\u00df eine Menge Geld.<\/p>\n

IPTables<\/h3>\n

\nDie Aufgabe, NAT zu implementieren, erfordert keine spezialisierten Rechenressourcen; sie kann von allgemeinen Prozessoren bew\u00e4ltigt werden, die beispielsweise in jedem Heimrouter installiert sind. Im Rahmen einer Telekommunikationsgesellschaft kann diese Aufgabe mit Commodity-Servern unter FreeBSD (ipfw\/pf) oder GNU\/Linux (iptables) gel\u00f6st werden. FreeBSD wollen wir hierbei nicht betrachten, da ich diese Betriebssystem vor einiger Zeit aufgeh\u00f6rt habe zu nutzen, also werden wir uns auf GNU\/Linux konzentrieren.<\/p>\n

Es ist \u00fcberhaupt nicht schwierig, die Adress\u00fcbersetzung zu aktivieren. Zun\u00e4chst m\u00fcssen Sie eine Regel in iptables in die nat-Tabelle einf\u00fcgen:<\/p>\n

iptables -t nat -A POSTROUTING -s 100.64.0.0\/10 -j SNAT --to - --persistent\n<\/code><\/pre>\n
\nDas Betriebssystem l\u00e4dt das Modul nf_conntrack, das alle aktiven Verbindungen \u00fcberwacht und die notwendigen Umwandlungen vornimmt. Dabei gibt es einige Feinheiten. Erstens, da es sich um NAT im Ma\u00dfstab eines Telekommunikationsanbieters handelt, m\u00fcssen die Timeouts angepasst werden, denn mit den Standardwerten w\u00e4chst die Gr\u00f6\u00dfe der \u00dcbersetzungstabelle relativ schnell auf katastrophale Werte. Unten ein Beispiel f\u00fcr die Einstellungen, die ich auf meinen Servern verwendet habe:<\/p>\n
net.ipv4.ip_forward = 1\nnet.ipv4.ip_local_port_range = 8192 65535\n\nnet.netfilter.nf_conntrack_generic_timeout = 300\nnet.netfilter.nf_conntrack_tcp_timeout_syn_sent = 60\nnet.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60\nnet.netfilter.nf_conntrack_tcp_timeout_established = 600\nnet.netfilter.nf_conntrack_tcp_timeout_fin_wait = 60\nnet.netfilter.nf_conntrack_tcp_timeout_close_wait = 45\nnet.netfilter.nf_conntrack_tcp_timeout_last_ack = 30\nnet.netfilter.nf_conntrack_tcp_timeout_time_wait = 120\nnet.netfilter.nf_conntrack_tcp_timeout_close = 10\nnet.netfilter.nf_conntrack_tcp_timeout_max_retrans = 300\nnet.netfilter.nf_conntrack_tcp_timeout_unacknowledged = 300\nnet.netfilter.nf_conntrack_udp_timeout = 30\nnet.netfilter.nf_conntrack_udp_timeout_stream = 60\nnet.netfilter.nf_conntrack_icmpv6_timeout = 30\nnet.netfilter.nf_conntrack_icmp_timeout = 30\nnet.netfilter.nf_conntrack_events_retry_timeout = 15\nnet.netfilter.nf_conntrack_checksum=0\n<\/code><\/pre>\n
\nUnd zweitens, da die Standardgr\u00f6\u00dfe der Translations-Tabelle nicht f\u00fcr den Betrieb bei einem Telekommunikationsanbieter ausgelegt ist, muss sie erh\u00f6ht werden:<\/p>\n
net.netfilter.nf_conntrack_max = 3145728\n<\/code><\/pre>\n
\n Au\u00dferdem muss auch die Anzahl der Buckets f\u00fcr die Hash-Tabelle, die alle Translations speichert (dies ist eine Option des Moduls nf_conntrack), erh\u00f6ht werden: <\/p>\n
options nf_conntrack hashsize=1572864\n<\/code><\/pre>\n
\nNach diesen einfachen Anpassungen entsteht eine funktionierende Struktur, die eine gro\u00dfe Anzahl an Client-Adressen in einen Pool von externen Adressen umwandeln kann. Allerdings l\u00e4sst die Leistung dieser L\u00f6sung zu w\u00fcnschen \u00fcbrig. Bei meinen ersten Versuchen, GNU\/Linux f\u00fcr NAT zu verwenden (ca. 2013) konnte ich eine Leistung von etwa 7Gbit\/s bei 0,8Mpps auf einem Server (Xeon E5-1650v2) erreichen. Seitdem wurden viele verschiedene Optimierungen im Netzwerk-Stack des GNU\/Linux-Kernels vorgenommen, und die Leistung eines Servers bei der gleichen Hardware stieg praktisch auf 18-19 Gbit\/s bei 1,8-1,9 Mpps (das waren die Grenzwerte). Doch der Bedarf an dem Volumen des Datenverkehrs, das von einem Server verarbeitet wird, nahm viel schneller zu. letztlich wurden Load-Balancing-Schemata auf verschiedene Server entwickelt, wodurch die Komplexit\u00e4t der Konfiguration, des Betriebs und der Aufrechterhaltung der Qualit\u00e4t der Dienstleistungen zunahm.<\/p>\n
NFTables<\/h3>\n
\nDerzeit ist der Trend im programmatischen \u00abUmsetzen von Paketen\u00bb die Nutzung von DPDK und XDP. Zu diesem Thema wurden zahlreiche Artikel ver\u00f6ffentlicht, viele verschiedene Pr\u00e4sentationen gehalten, und es erscheinen kommerzielle Produkte (zum Beispiel SKAT von VasExperts). Doch unter den Bedingungen begrenzter Ressourcen der Programmierer bei den Telekommunikationsanbietern ist es ziemlich problematisch, eigenst\u00e4ndig ein \u00abWerk\u00bb auf Basis dieser Frameworks zu entwickeln. Ein solches L\u00f6sung sp\u00e4ter zu nutzen, wird wesentlich schwieriger sein, da insbesondere Werkzeuge zur Diagnose entwickelt werden m\u00fcssen. Beispielsweise wird der Standard tcpdump mit DPDK nicht einfach so funktionieren, und die Pakete, die mit XDP zur\u00fcck in die Leitungen gesendet werden, wird er nicht \u00absehen\u00bb. Vor dem Hintergrund aller Gespr\u00e4che \u00fcber neue Technologien zum Ausgeben von Paketweiterleitungen im User-Space sind unbemerkt geblieben Berichte<\/a><\/noindex> und des Artikels<\/a><\/noindex> Pablo Neira Ayuso, den Maintainer von iptables, \u00fcber die Entwicklung des Flow Offloadings in nftables. Lassen Sie uns diesen Mechanismus genauer betrachten.<\/p>\n
Die Hauptidee besteht darin, dass, wenn der Router Pakete einer Sitzung in beide Richtungen des Flusses (eine TCP-Sitzung hat den Status ESTABLISHED erreicht) durchl\u00e4sst, es nicht notwendig ist, nachfolgende Pakete dieser Sitzung durch alle Firewall-Regeln zu leiten, da alle diese Pr\u00fcfungen ohnehin mit der \u00dcbertragung des Pakets zur weiteren Routing fortgesetzt werden. Zudem muss die Routenwahl nicht getroffen werden \u2014 wir wissen bereits, auf welches Interface und an welchen Host die Pakete innerhalb dieser Sitzung gesendet werden sollen. Es bleibt nur, diese Informationen zu speichern und sie f\u00fcr das Routing in der fr\u00fchen Phase der Paketverarbeitung zu verwenden. Bei der Durchf\u00fchrung von NAT m\u00fcssen zus\u00e4tzlich die Informationen \u00fcber die Adress- und Port\u00e4nderungen, die vom Modul nf_conntrack umgewandelt wurden, gespeichert werden. Ja, nat\u00fcrlich funktionieren dabei verschiedene Policer und andere informationsstatistische Regeln in iptables nicht mehr, aber im Rahmen der Aufgabe eines einzelnen stehenden NAT oder zum Beispiel eines Borders ist das nicht so wichtig, da die Dienste auf verschiedene Ger\u00e4te verteilt sind.<\/p>\n
Konfiguration<\/h4>\n
\nUm diese Funktion zu nutzen, m\u00fcssen wir:<\/p>\n