ເສັ້ນທາງໄວ ແລະ NAT ໃນ Linux

ຍ້ອນວ່າທີ່ຢູ່ IPv4 ກາຍເປັນການເສື່ອມໂຊມ, ຜູ້ປະກອບການໂທລະຄົມຈໍານວນຫຼາຍກໍາລັງປະເຊີນກັບຄວາມຕ້ອງການທີ່ຈະໃຫ້ລູກຄ້າຂອງພວກເຂົາເຂົ້າເຖິງເຄືອຂ່າຍໂດຍໃຊ້ການແປພາສາທີ່ຢູ່. ໃນບົດຄວາມນີ້ຂ້າພະເຈົ້າຈະບອກທ່ານວິທີທີ່ທ່ານສາມາດໄດ້ຮັບ Carrier Grade NAT ປະສິດທິພາບໃນເຄື່ອງແມ່ຂ່າຍຂອງສິນຄ້າ.

ບາງປະຫວັດສາດ

ຫົວຂໍ້ຂອງການຫມົດພື້ນທີ່ທີ່ຢູ່ IPv4 ແມ່ນບໍ່ໃຫມ່. ໃນບາງຈຸດ, ລາຍຊື່ລໍຖ້າໄດ້ປາກົດຢູ່ໃນ RIPE, ຫຼັງຈາກນັ້ນ, ການແລກປ່ຽນໄດ້ເກີດຂື້ນໃນບ່ອນທີ່ມີການຊື້ຂາຍທີ່ຢູ່ແລະຂໍ້ຕົກລົງໄດ້ຖືກສະຫຼຸບເພື່ອເຊົ່າພວກມັນ. ຄ່ອຍໆ, ຜູ້ປະກອບການໂທລະຄົມເລີ່ມໃຫ້ບໍລິການເຂົ້າເຖິງອິນເຕີເນັດໂດຍໃຊ້ທີ່ຢູ່ແລະການແປພາສາພອດ. ບາງຄົນບໍ່ໄດ້ຈັດການທີ່ຈະໄດ້ຮັບທີ່ຢູ່ພຽງພໍທີ່ຈະອອກທີ່ຢູ່ "ສີຂາວ" ໃຫ້ກັບຜູ້ຈອງແຕ່ລະຄົນ, ໃນຂະນະທີ່ຄົນອື່ນເລີ່ມປະຫຍັດເງິນໂດຍການປະຕິເສດການຊື້ທີ່ຢູ່ໃນຕະຫຼາດຮອງ. ຜູ້ຜະລິດອຸປະກອນເຄືອຂ່າຍສະຫນັບສະຫນູນຄວາມຄິດນີ້, ເພາະວ່າ ການທໍາງານນີ້ປົກກະຕິແລ້ວຕ້ອງການໂມດູນການຂະຫຍາຍເພີ່ມເຕີມຫຼືໃບອະນຸຍາດ. ຕົວຢ່າງ, ໃນສາຍຂອງ Juniper ຂອງ MX routers (ຍົກເວັ້ນ MX104 ແລະ MX204 ຫຼ້າສຸດ), ທ່ານສາມາດປະຕິບັດ NAPT ໃນບັດບໍລິການ MS-MIC ແຍກຕ່າງຫາກ, Cisco ASR1k ຕ້ອງການໃບອະນຸຍາດ CGN, Cisco ASR9k ຕ້ອງການໂມດູນ A9K-ISM-100 ແຍກຕ່າງຫາກ. ແລະໃບອະນຸຍາດ A9K-CGN -LIC ກັບລາວ. ໂດຍທົ່ວໄປ, ຄວາມສຸກມີຄ່າໃຊ້ຈ່າຍຫຼາຍ.

IPTables

ວຽກງານຂອງການປະຕິບັດ NAT ບໍ່ຈໍາເປັນຕ້ອງມີຊັບພະຍາກອນຄອມພິວເຕີ້ພິເສດ; ມັນສາມາດແກ້ໄຂໄດ້ໂດຍໂປເຊດເຊີທີ່ມີຈຸດປະສົງທົ່ວໄປ, ເຊິ່ງຖືກຕິດຕັ້ງ, ຕົວຢ່າງ, ໃນ router ເຮືອນໃດກໍ່ຕາມ. ໃນຂອບເຂດຂອງຜູ້ໃຫ້ບໍລິການໂທລະຄົມ, ບັນຫານີ້ສາມາດແກ້ໄຂໄດ້ໂດຍໃຊ້ເຄື່ອງແມ່ຂ່າຍສິນຄ້າທີ່ໃຊ້ FreeBSD (ipfw/pf) ຫຼື GNU/Linux (iptables). ພວກເຮົາຈະບໍ່ພິຈາລະນາ FreeBSD, ເພາະວ່າ ... ຂ້ອຍເຊົາໃຊ້ OS ນີ້ດົນແລ້ວ, ດັ່ງນັ້ນພວກເຮົາຈະຕິດຢູ່ກັບ GNU/Linux.

ການເປີດໃຊ້ການແປທີ່ຢູ່ແມ່ນບໍ່ຍາກເລີຍ. ກ່ອນອື່ນ ໝົດ ທ່ານຕ້ອງລົງທະບຽນກົດລະບຽບໃນ iptables ໃນຕາຕະລາງ nat:

iptables -t nat -A POSTROUTING -s 100.64.0.0/10 -j SNAT --to <pool_start_addr>-<pool_end_addr> --persistent

ລະບົບປະຕິບັດການຈະໂຫລດໂມດູນ nf_conntrack, ເຊິ່ງຈະຕິດຕາມການເຊື່ອມຕໍ່ທີ່ໃຊ້ວຽກທັງຫມົດແລະປະຕິບັດການແປງທີ່ຈໍາເປັນ. ມີ subtleties ຫຼາຍຢູ່ທີ່ນີ້. ກ່ອນອື່ນ ໝົດ, ຍ້ອນວ່າພວກເຮົາເວົ້າກ່ຽວກັບ NAT ໃນຂະ ໜາດ ຂອງຜູ້ປະຕິບັດການໂທລະຄົມ, ມັນ ຈຳ ເປັນຕ້ອງປັບເວລາ, ເພາະວ່າດ້ວຍຄ່າເລີ່ມຕົ້ນ, ຂະຫນາດຂອງຕາຕະລາງການແປຈະເຕີບໃຫຍ່ຢ່າງໄວວາກັບຄ່າທີ່ຮ້າຍກາດ. ຂ້າງລຸ່ມນີ້ແມ່ນຕົວຢ່າງຂອງການຕັ້ງຄ່າທີ່ຂ້ອຍໃຊ້ໃນເຊີບເວີຂອງຂ້ອຍ:

net.ipv4.ip_forward = 1
net.ipv4.ip_local_port_range = 8192 65535

net.netfilter.nf_conntrack_generic_timeout = 300
net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 60
net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60
net.netfilter.nf_conntrack_tcp_timeout_established = 600
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 45
net.netfilter.nf_conntrack_tcp_timeout_last_ack = 30
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close = 10
net.netfilter.nf_conntrack_tcp_timeout_max_retrans = 300
net.netfilter.nf_conntrack_tcp_timeout_unacknowledged = 300
net.netfilter.nf_conntrack_udp_timeout = 30
net.netfilter.nf_conntrack_udp_timeout_stream = 60
net.netfilter.nf_conntrack_icmpv6_timeout = 30
net.netfilter.nf_conntrack_icmp_timeout = 30
net.netfilter.nf_conntrack_events_retry_timeout = 15
net.netfilter.nf_conntrack_checksum=0

ແລະອັນທີສອງ, ເນື່ອງຈາກຂະຫນາດເລີ່ມຕົ້ນຂອງຕາຕະລາງການແປພາສາບໍ່ໄດ້ຖືກອອກແບບມາເພື່ອເຮັດວຽກພາຍໃຕ້ເງື່ອນໄຂຂອງຜູ້ປະຕິບັດງານໂທລະຄົມ, ມັນຈໍາເປັນຕ້ອງເພີ່ມຂຶ້ນ:

net.netfilter.nf_conntrack_max = 3145728

ມັນຍັງມີຄວາມຈໍາເປັນທີ່ຈະເພີ່ມຈໍານວນຖັງສໍາລັບຕາຕະລາງ hash ທີ່ເກັບຮັກສາການອອກອາກາດທັງຫມົດ (ນີ້ແມ່ນທາງເລືອກໃນໂມດູນ nf_conntrack):

options nf_conntrack hashsize=1572864

ຫຼັງຈາກການຫມູນໃຊ້ທີ່ງ່າຍດາຍເຫຼົ່ານີ້, ການອອກແບບທີ່ເຮັດວຽກຢ່າງສົມບູນແມ່ນໄດ້ຮັບທີ່ສາມາດແປພາສາຈໍານວນຫລາຍຂອງທີ່ຢູ່ລູກຄ້າເຂົ້າໄປໃນສະນຸກເກີພາຍນອກ. ຢ່າງໃດກໍຕາມ, ປະສິດທິພາບຂອງການແກ້ໄຂນີ້ເຮັດໃຫ້ຫຼາຍທີ່ຈະຕ້ອງການ. ໃນຄວາມພະຍາຍາມທໍາອິດຂອງຂ້ອຍໃນການນໍາໃຊ້ GNU / Linux ສໍາລັບ NAT (ປະມານ 2013), ຂ້ອຍສາມາດປະຕິບັດໄດ້ປະມານ 7Gbit / s ທີ່ 0.8Mpps ຕໍ່ເຄື່ອງແມ່ຂ່າຍ (Xeon E5-1650v2). ນັບຕັ້ງແ​​ຕ່ເວລານັ້ນ, ການເພີ່ມປະສິດທິພາບທີ່ແຕກຕ່າງກັນຫຼາຍໄດ້ຖືກດໍາເນີນຢູ່ໃນ stack ເຄືອຂ່າຍ GNU / Linux kernel, ປະສິດທິພາບຂອງເຄື່ອງແມ່ຂ່າຍຫນຶ່ງໃນຮາດແວດຽວກັນໄດ້ເພີ່ມຂຶ້ນເກືອບ 18-19 Gbit / s ທີ່ 1.8-1.9 Mpps (ເຫຼົ່ານີ້ແມ່ນຄ່າສູງສຸດ). , ແຕ່ຄວາມຕ້ອງການສໍາລັບປະລິມານການຈະລາຈອນ, ການປຸງແຕ່ງໂດຍເຄື່ອງແມ່ຂ່າຍຫນຶ່ງເພີ່ມຂຶ້ນໄວຫຼາຍ. ດັ່ງນັ້ນ, ໂຄງການໄດ້ຖືກພັດທະນາເພື່ອດຸ່ນດ່ຽງການໂຫຼດໃນເຄື່ອງແມ່ຂ່າຍທີ່ແຕກຕ່າງກັນ, ແຕ່ທັງຫມົດນີ້ເຮັດໃຫ້ຄວາມສັບສົນໃນການຕັ້ງຄ່າ, ການຮັກສາແລະຮັກສາຄຸນນະພາບຂອງການບໍລິການທີ່ສະຫນອງໃຫ້.

NTFables

ໃນປັດຈຸບັນ, ແນວໂນ້ມຂອງຄົນອັບເດດ: ໃນຊອບແວ "shifting bag" ແມ່ນການນໍາໃຊ້ DPDK ແລະ XDP. ຫຼາຍໆບົດຄວາມໄດ້ຖືກຂຽນໄວ້ໃນຫົວຂໍ້ນີ້, ຄໍາເວົ້າທີ່ແຕກຕ່າງກັນຫຼາຍໄດ້ຖືກສ້າງຂື້ນ, ແລະຜະລິດຕະພັນການຄ້າໄດ້ປາກົດ (ຕົວຢ່າງ, SKAT ຈາກ VasExperts). ແຕ່ເນື່ອງຈາກຊັບພະຍາກອນການຂຽນໂປລແກລມທີ່ຈໍາກັດຂອງຜູ້ປະຕິບັດງານໂທລະຄົມ, ມັນເປັນບັນຫາຫຼາຍທີ່ຈະສ້າງ "ຜະລິດຕະພັນ" ໂດຍອີງໃສ່ກອບເຫຼົ່ານີ້ຂອງທ່ານເອງ. ມັນຈະມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະດໍາເນີນການແກ້ໄຂດັ່ງກ່າວໃນອະນາຄົດ; ໂດຍສະເພາະ, ເຄື່ອງມືການວິນິດໄສຕ້ອງໄດ້ຮັບການພັດທະນາ. ຕົວຢ່າງ, tcpdump ມາດຕະຖານກັບ DPDK ຈະບໍ່ເຮັດວຽກຄືກັນກັບນັ້ນ, ແລະມັນຈະບໍ່ "ເບິ່ງ" packets ທີ່ຖືກສົ່ງໄປຫາສາຍໂດຍໃຊ້ XDP. ທ່າມກາງການສົນທະນາທັງຫມົດກ່ຽວກັບເຕັກໂນໂລຢີໃຫມ່ສໍາລັບການສົ່ງຕໍ່ແພັກເກັດໄປຫາພື້ນທີ່ຜູ້ໃຊ້, ພວກເຂົາບໍ່ໄດ້ສັງເກດເຫັນ. ບົດລາຍງານ и ບົດຄວາມ Pablo Neira Ayuso, ຜູ້ຮັກສາ iptables, ກ່ຽວກັບການພັດທະນາຂອງ flow offloading ໃນ nftables. ຂໍໃຫ້ພິຈາລະນາຢ່າງໃກ້ຊິດກ່ຽວກັບກົນໄກນີ້.

ແນວຄວາມຄິດຕົ້ນຕໍແມ່ນວ່າຖ້າ router ຜ່ານແພັກເກັດຈາກກອງປະຊຸມຫນຶ່ງໃນທັງສອງທິດທາງຂອງການໄຫຼ (TCP session ເຂົ້າໄປໃນສະຖານະ ESTABLISHED), ຫຼັງຈາກນັ້ນບໍ່ຈໍາເປັນຕ້ອງຜ່ານຊຸດຕໍ່ໄປຂອງກອງປະຊຸມນີ້ໂດຍຜ່ານກົດລະບຽບໄຟວໍທັງຫມົດ, ເພາະວ່າ. ການກວດສອບທັງໝົດເຫຼົ່ານີ້ຍັງຈະສິ້ນສຸດດ້ວຍແພັກເກັດທີ່ຖືກໂອນໄປຫາເສັ້ນທາງຕໍ່ໄປ. ແລະຕົວຈິງແລ້ວພວກເຮົາບໍ່ຈໍາເປັນຕ້ອງເລືອກເສັ້ນທາງ - ພວກເຮົາຮູ້ແລ້ວວ່າອິນເຕີເຟດໃດແລະເຈົ້າພາບໃດທີ່ພວກເຮົາຕ້ອງການສົ່ງແພັກເກັດພາຍໃນກອງປະຊຸມນີ້. ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອເກັບຮັກສາຂໍ້ມູນນີ້ແລະນໍາໃຊ້ມັນສໍາລັບ routing ໃນໄລຍະຕົ້ນຂອງການປຸງແຕ່ງ packet. ເມື່ອປະຕິບັດ NAT, ມັນຈໍາເປັນຕ້ອງເກັບຮັກສາຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບການປ່ຽນແປງທີ່ຢູ່ແລະພອດທີ່ແປໂດຍໂມດູນ nf_conntrack. ແມ່ນແລ້ວ, ແນ່ນອນ, ໃນກໍລະນີນີ້, ຕໍາຫຼວດຕ່າງໆແລະຂໍ້ມູນອື່ນໆແລະກົດລະບຽບສະຖິຕິໃນ iptables ຢຸດເຊົາເຮັດວຽກ, ແຕ່ໃນຂອບເຂດຂອງວຽກງານຂອງ NAT ແຍກຕ່າງຫາກຫຼື, ສໍາລັບຕົວຢ່າງ, ຊາຍແດນ, ນີ້ບໍ່ແມ່ນສິ່ງສໍາຄັນ, ເພາະວ່າການບໍລິການ. ຖືກແຈກຢາຍໃນທົ່ວອຸປະກອນ.

ການຕັ້ງຄ່າ

ເພື່ອໃຊ້ຟັງຊັນນີ້, ພວກເຮົາຕ້ອງການ:

• ໃຊ້ແກ່ນສົດ. ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າການທໍາງານຂອງມັນເອງປາກົດຢູ່ໃນແກ່ນ 4.16, ເປັນເວລາດົນຫຼາຍມັນ "ດິບ" ແລະເປັນປະຈໍາເຮັດໃຫ້ເກີດຄວາມຢ້ານກົວຂອງແກ່ນ. ທຸກຢ່າງມີສະຖຽນລະພາບໃນຮອບເດືອນທັນວາ 2019, ເມື່ອ LTS kernels 4.19.90 ແລະ 5.4.5 ຖືກປ່ອຍອອກມາ.
• ຂຽນຄືນກົດລະບຽບ iptables ໃນຮູບແບບ nftables ໂດຍໃຊ້ nftables ຮຸ່ນຫຼ້າສຸດ. ເຮັດວຽກຢ່າງແທ້ຈິງໃນສະບັບ 0.9.0

ຖ້າທຸກສິ່ງທຸກຢ່າງຢູ່ໃນຫຼັກການແມ່ນຈະແຈ້ງກັບຈຸດທໍາອິດ, ສິ່ງທີ່ສໍາຄັນແມ່ນບໍ່ລືມທີ່ຈະລວມໂມດູນໃນການຕັ້ງຄ່າໃນລະຫວ່າງການປະກອບ (CONFIG_NFT_FLOW_OFFLOAD=m), ຫຼັງຈາກນັ້ນຈຸດທີສອງຕ້ອງການຄໍາອະທິບາຍ. ກົດລະບຽບ nftables ໄດ້ຖືກອະທິບາຍຢ່າງສິ້ນເຊີງແຕກຕ່າງຈາກ iptables. Документация ສະແດງໃຫ້ເຫັນເກືອບທຸກຈຸດ, ຍັງມີພິເສດ ຕົວແປງສັນຍານ ກົດລະບຽບຈາກ iptables ກັບ nftables. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າຈະຍົກຕົວຢ່າງຂອງການຕັ້ງຄ່າ NAT ແລະ flow offload. ນິທານນ້ອຍໆ ຕົວຢ່າງ: , - ເຫຼົ່ານີ້ແມ່ນຕົວເຊື່ອມຕໍ່ເຄືອຂ່າຍທີ່ການຈະລາຈອນຜ່ານ; ໃນຄວາມເປັນຈິງ, ມັນສາມາດມີຫຼາຍກ່ວາສອງອັນ. , — ທີ່​ຢູ່​ຕົ້ນ​ແລະ​ສິ້ນ​ສຸດ​ຂອງ​ລະ​ດັບ​ຂອງ​ທີ່​ຢູ່ "ສີ​ຂາວ​"​.

ການຕັ້ງຄ່າ NAT ແມ່ນງ່າຍດາຍຫຼາຍ:

#! /usr/sbin/nft -f

table nat {
        chain postrouting {
                type nat hook postrouting priority 100;
                oif <o_if> snat to <pool_addr_start>-<pool_addr_end> persistent
        }
}

ດ້ວຍການໄຫຼ offload ມັນສັບສົນຫຼາຍ, ແຕ່ຂ້ອນຂ້າງເຂົ້າໃຈໄດ້:

#! /usr/sbin/nft -f

table inet filter {
        flowtable fastnat {
                hook ingress priority 0
                devices = { <i_if>, <o_if> }
        }

        chain forward {
                type filter hook forward priority 0; policy accept;
                ip protocol { tcp , udp } flow offload @fastnat;
        }
}

ວ່າ, ໃນຄວາມເປັນຈິງ, ແມ່ນການຕິດຕັ້ງທັງຫມົດ. ໃນປັດຈຸບັນການຈະລາຈອນ TCP / UDP ທັງຫມົດຈະຕົກຢູ່ໃນຕາຕະລາງ fastnat ແລະຖືກປຸງແຕ່ງໄວຂຶ້ນຫຼາຍ.

Результаты

ເພື່ອເຮັດໃຫ້ມັນຊັດເຈນວ່າ "ໄວ" ເທົ່າໃດ, ຂ້ອຍຈະຄັດຕິດຮູບຫນ້າຈໍຂອງການໂຫຼດຢູ່ໃນສອງເຄື່ອງແມ່ຂ່າຍທີ່ແທ້ຈິງ, ດ້ວຍຮາດແວດຽວກັນ (Xeon E5-1650v2), ການຕັ້ງຄ່າດຽວກັນ, ໃຊ້ Linux kernel ດຽວກັນ, ແຕ່ປະຕິບັດ NAT ໃນ iptables. (NAT4) ແລະໃນ nftables (NAT5).

ບໍ່ມີກາຟຂອງແພັກເກັດຕໍ່ວິນາທີໃນພາບຫນ້າຈໍ, ແຕ່ໃນໂປໄຟການໂຫຼດຂອງເຄື່ອງແມ່ຂ່າຍເຫຼົ່ານີ້ຂະຫນາດແພັກເກັດໂດຍສະເລ່ຍແມ່ນປະມານ 800 ໄບຕ໌, ດັ່ງນັ້ນຄ່າໄດ້ສູງເຖິງ 1.5Mpps. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ເຄື່ອງແມ່ຂ່າຍທີ່ມີ nftables ມີສະຫງວນປະສິດທິພາບອັນໃຫຍ່ຫຼວງ. ປະຈຸບັນ, ເຊີບເວີນີ້ປະມວນຜົນໄດ້ເຖິງ 30Gbit/s ທີ່ 3Mpps ແລະສາມາດຕອບສະໜອງໄດ້ຂໍ້ຈຳກັດຂອງເຄືອຂ່າຍຕົວຈິງຂອງ 40Gbps, ໃນຂະນະທີ່ມີຊັບພະຍາກອນ CPU ຟຣີ.

ຂ້ອຍຫວັງວ່າເອກະສານນີ້ຈະເປັນປະໂຫຍດຕໍ່ວິສະວະກອນເຄືອຂ່າຍທີ່ພະຍາຍາມປັບປຸງການປະຕິບັດຂອງເຄື່ອງແມ່ຂ່າຍຂອງພວກເຂົາ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com