{"id":81265,"date":"2020-05-12T01:42:43","date_gmt":"2020-05-11T23:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bystryj-routing-i-nat-v-linux"},"modified":"2020-05-12T01:42:43","modified_gmt":"2020-05-11T23:42:43","slug":"bystryj-routing-i-nat-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bystryj-routing-i-nat-v-linux","title":{"rendered":"Schnelles Routing und NAT in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Angesichts der Ersch\u00f6pfung der IPv4-Adressen stehen viele Netzwerkbetreiber vor der Herausforderung, den Zugang ihrer Kunden \u00fcber Adress\u00fcbersetzung zu erm\u00f6glichen. In diesem Artikel erkl\u00e4re ich, wie Sie Carrier-Grade-NAT-Leistung auf handels\u00fcblichen Servern erzielen k\u00f6nnen.
\n<\/a><\/noindex><\/p>\n

Ein wenig Geschichte<\/h3>\n

\nDas Thema der Ersch\u00f6pfung des IPv4-Adressraums ist l\u00e4ngst nicht neu. Irgendwann entstanden in RIPE Wartelisten, gefolgt von Marktpl\u00e4tzen, auf denen Adressbl\u00f6cke gehandelt und Mietvertr\u00e4ge abgeschlossen wurden. Allm\u00e4hlich begannen die Telekommunikationsanbieter, Internetzugang \u00fcber Adress- und Port\u00fcbersetzung anzubieten. W\u00e4hrend einige nicht genug Adressen erhielten, um jedem Teilnehmer eine 'wei\u00dfe' Adresse zuzuweisen, begannen andere, Kosten zu sparen, indem sie auf den Kauf von Adressen auf dem Sekund\u00e4rmarkt verzichteten. Hersteller von Netzwerkger\u00e4ten unterst\u00fctzten diese Idee, da diese Funktionalit\u00e4t in der Regel zus\u00e4tzliche Erweiterungsmodule oder Lizenzen erfordert. Bei Juniper beispielsweise kann NAPT bei den MX-Routern (au\u00dfer den neuesten MX104 und MX204) auf einer separaten Servicekarte MS-MIC durchgef\u00fchrt werden, w\u00e4hrend f\u00fcr den Cisco ASR1k eine SGN-Lizenz erforderlich ist und f\u00fcr den Cisco ASR9k ein separates Modul A9K-ISM-100 sowie die Lizenz A9K-CGN-LIC erforderlich sind. Insgesamt kostet der Spa\u00df eine Menge Geld.<\/p>\n

IPTables<\/h3>\n

\nDie Aufgabe der NAT-Implementierung erfordert keine speziellen Rechenressourcen; sie kann von Standardprozessoren erledigt werden, wie sie beispielsweise in jedem Heimrouter zu finden sind. Im Ma\u00dfstab eines Telekommunikationsanbieters l\u00e4sst sich diese Aufgabe mit Commodity-Servern, die mit FreeBSD (ipfw\/pf) oder GNU\/Linux (iptables) betrieben werden, l\u00f6sen. Wir werden FreeBSD nicht weiter betrachten, da ich seit Langem auf diese OS verzichtet habe, und uns stattdessen auf GNU\/Linux konzentrieren.<\/p>\n

Die Aktivierung der Adress\u00fcbersetzung ist ganz unkompliziert. Zuerst m\u00fcssen Sie eine Regel in iptables in der nat-Tabelle festlegen:<\/p>\n

iptables -t nat -A POSTROUTING -s 100.64.0.0\/10 -j SNAT --to - --persistent\n<\/code><\/pre>\n
\nDas Betriebssystem l\u00e4dt das Modul nf_conntrack, das alle aktiven Verbindungen \u00fcberwacht und die notwendigen Umwandlungen vornimmt. Dabei gibt es einige Feinheiten. Erstens, da es sich um NAT im Ma\u00dfstab eines Telekommunikationsanbieters handelt, m\u00fcssen die Timeouts angepasst werden, denn mit den Standardwerten w\u00e4chst die Gr\u00f6\u00dfe der Translationstabelle schnell auf katastrophale Werte. Unten finden Sie ein Beispiel f\u00fcr die Einstellungen, die ich auf meinen Servern verwendet habe:<\/p>\n
net.ipv4.ip_forward = 1\nnet.ipv4.ip_local_port_range = 8192 65535\n\nnet.netfilter.nf_conntrack_generic_timeout = 300\nnet.netfilter.nf_conntrack_tcp_timeout_syn_sent = 60\nnet.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60\nnet.netfilter.nf_conntrack_tcp_timeout_established = 600\nnet.netfilter.nf_conntrack_tcp_timeout_fin_wait = 60\nnet.netfilter.nf_conntrack_tcp_timeout_close_wait = 45\nnet.netfilter.nf_conntrack_tcp_timeout_last_ack = 30\nnet.netfilter.nf_conntrack_tcp_timeout_time_wait = 120\nnet.netfilter.nf_conntrack_tcp_timeout_close = 10\nnet.netfilter.nf_conntrack_tcp_timeout_max_retrans = 300\nnet.netfilter.nf_conntrack_tcp_timeout_unacknowledged = 300\nnet.netfilter.nf_conntrack_udp_timeout = 30\nnet.netfilter.nf_conntrack_udp_timeout_stream = 60\nnet.netfilter.nf_conntrack_icmpv6_timeout = 30\nnet.netfilter.nf_conntrack_icmp_timeout = 30\nnet.netfilter.nf_conntrack_events_retry_timeout = 15\nnet.netfilter.nf_conntrack_checksum=0\n<\/code><\/pre>\n
\nUnd zweitens, da die Standardgr\u00f6\u00dfe der \u00dcbersetzungstabelle nicht f\u00fcr den Betrieb eines Netzwerkbetreibers ausgelegt ist, muss sie erh\u00f6ht werden:<\/p>\n
net.netfilter.nf_conntrack_max = 3145728\n<\/code><\/pre>\n
\n Es ist auch erforderlich, die Anzahl der Buckets f\u00fcr die Hash-Tabelle, die alle \u00dcbersetzungen speichert (dies ist eine Option des nf_conntrack-Moduls), zu erh\u00f6hen: <\/p>\n
options nf_conntrack hashsize=1572864\n<\/code><\/pre>\n
\nNach diesen einfachen Schritten entsteht eine funktionierende Konstruktion, die in der Lage ist, eine gro\u00dfe Anzahl an Client-Adressen in einen Pool von externen Adressen zu \u00fcbertragen. Jedoch l\u00e4sst die Leistung dieser L\u00f6sung zu w\u00fcnschen \u00fcbrig. In meinen ersten Versuchen mit GNU\/Linux f\u00fcr NAT (um das Jahr 2013) konnte ich eine Leistung von etwa 7 Gbit\/s bei 0,8 Mpps auf einem Server (Xeon E5-1650v2) erreichen. Seitdem wurden im Netzwerk-Stack des GNU\/Linux-Kernels viele Optimierungen vorgenommen, und die Leistung eines Servers mit derselben Hardware hat sich nahezu auf 18-19 Gbit\/s bei 1,8-1,9 Mpps erh\u00f6ht (das waren die Grenzwerte). Dennoch wuchs der Bedarf an dem Volumen an Datenverkehr, der von einem Server verarbeitet werden kann, weitaus schneller. Schlie\u00dflich wurden Lastverteilungsschemata auf verschiedene Server entwickelt, was jedoch die Komplexit\u00e4t der Einrichtung, Wartung und Gew\u00e4hrleistung der Dienstleistungsqualit\u00e4t erh\u00f6hte.<\/p>\n
NFTables<\/h3>\n
\nEin derzeit beliebter Trend im Bereich der Programmierung von \"Paketverlagerungen\" ist die Verwendung von DPDK und XDP. Zu diesem Thema sind zahlreiche Artikel verfasst worden, es gab viele verschiedene Pr\u00e4sentationen, und kommerzielle Produkte wie SKAT von VasExperts erscheinen. Doch in Anbetracht der begrenzten Ressourcen an Programmierern bei den Telekommunikationsanbietern ist es ziemlich problematisch, selbstst\u00e4ndig etwas auf Basis dieser Frameworks zu entwickeln. Ein solches L\u00f6sungssystem sp\u00e4ter zu betreiben wird erheblich komplizierter, da unter anderem Diagnosewerkzeuge entwickelt werden m\u00fcssen. Beispielsweise wird das Standardwerkzeug tcpdump mit DPDK nicht einfach funktionieren, und die Pakete, die mit XDP zur\u00fcck in die Leitungen gesendet werden, kann es nicht \"sehen\". Vor dem Hintergrund aller Diskussionen \u00fcber neue Technologien zur Packet-Forwarding im User-Space sind unbemerkt geblieben Berichte<\/a><\/noindex> und einem Artikel<\/a><\/noindex> von Pablo Neira Ayuso, dem Maintainer von iptables, \u00fcber die Entwicklung von Flow Offloading in nftables. Lassen Sie uns diesen Mechanismus n\u00e4her betrachten.<\/p>\n
Die grunds\u00e4tzliche Idee ist, dass wenn ein Router Pakete einer Sitzung in beide Richtungen des Stroms durchl\u00e4sst (die TCP-Sitzung befindet sich im Zustand ESTABLISHED), es nicht notwendig ist, nachfolgende Pakete dieser Sitzung durch alle Firewall-Regeln zu lassen, da all diese Pr\u00fcfungen sowieso damit enden, dass das Paket weiter zum Routing weitergeleitet wird. Und tats\u00e4chlich muss die Routenwahl nicht mehr durchgef\u00fchrt werden \u2013 wir wissen bereits, auf welches Interface und an welchen Host die Pakete innerhalb dieser Sitzung weitergeleitet werden m\u00fcssen. Es bleibt nur, diese Informationen zu speichern und sie fr\u00fchzeitig bei der Paketverarbeitung f\u00fcr das Routing zu verwenden. Bei der Durchf\u00fchrung von NAT muss zus\u00e4tzlich die Information \u00fcber die \u00c4nderungen der Adressen und Ports, die durch das nf_conntrack-Modul umgewandelt wurden, gespeichert werden. Ja, nat\u00fcrlich funktionieren in diesem Fall verschiedene Policer und andere informationsstatistische Regeln in iptables nicht mehr, aber im Rahmen der Aufgabe eines einzelnen NAT oder beispielsweise eines Borders ist das nicht so wichtig, da die Dienste auf verschiedene Ger\u00e4te verteilt sind.<\/p>\n
Konfiguration<\/h4>\n
\nUm diese Funktion nutzen zu k\u00f6nnen, m\u00fcssen wir:<\/p>\n