வணக்கம். இதன் பொருள் 5k வாடிக்கையாளர்களின் நெட்வொர்க் உள்ளது. சமீபத்தில் மிகவும் இனிமையான தருணம் இல்லை - நெட்வொர்க்கின் மையத்தில் எங்களிடம் ஒரு ப்ரோகேட் RX8 உள்ளது, மேலும் இது நிறைய அறியப்படாத-யூனிகாஸ்ட் பாக்கெட்டுகளை அனுப்பத் தொடங்கியது, ஏனெனில் நெட்வொர்க் vlans ஆக பிரிக்கப்பட்டுள்ளது - இது ஓரளவுக்கு ஒரு பிரச்சனையல்ல, ஆனால் உள்ளன வெள்ளை முகவரிகளுக்கான சிறப்பு vlans, முதலியன. மேலும் அவை நெட்வொர்க்கின் அனைத்து திசைகளிலும் நீட்டிக்கப்படுகின்றன. எனவே இப்போது எல்லைப்புற மாணவராகப் படிக்காத ஒரு வாடிக்கையாளரின் முகவரிக்கு உள்வரும் ஓட்டத்தை கற்பனை செய்து பாருங்கள், இந்த ஓட்டம் சில (அல்லது அனைத்து) கிராமத்திற்கு வானொலி இணைப்பை நோக்கி பறக்கிறது - சேனல் அடைக்கப்பட்டுள்ளது - வாடிக்கையாளர்களுக்கு கோபம் - சோகம் ...
பிழையை அம்சமாக மாற்றுவதே குறிக்கோள். முழு அளவிலான கிளையன்ட் vlan உடன் q-in-q திசையில் நான் யோசித்துக்கொண்டிருந்தேன், ஆனால் P3310 போன்ற அனைத்து வகையான ஹார்டுவேர்களும், dot1q இயக்கப்பட்டால், DHCP ஐ அனுமதிப்பதை நிறுத்துகிறது, மேலும் qinq மற்றும் பலவற்றை எவ்வாறு தேர்ந்தெடுக்க வேண்டும் என்பது அவர்களுக்குத் தெரியாது. அந்த வகையான ஆபத்துகள். ip-unnambered என்றால் என்ன, அது எப்படி வேலை செய்கிறது? மிக சுருக்கமாக: நுழைவாயில் முகவரி + இடைமுகத்தில் வழி. எங்கள் பணிக்காக, நாம் செய்ய வேண்டியது: ஷேப்பரை வெட்டி, வாடிக்கையாளர்களுக்கு முகவரிகளை விநியோகிக்க, சில இடைமுகங்கள் மூலம் வாடிக்கையாளர்களுக்கு வழிகளைச் சேர்க்கவும். இதையெல்லாம் எப்படி செய்வது? Shaper - lisg, dhcp - db2dhcp இரண்டு சுயாதீன சேவையகங்களில், dhcprelay அணுகல் சேவையகங்களில் இயங்குகிறது, ucarp அணுகல் சேவையகங்களிலும் இயங்குகிறது - காப்புப்பிரதிக்கு. ஆனால் வழிகளை எவ்வாறு சேர்ப்பது? பெரிய ஸ்கிரிப்ட் மூலம் எல்லாவற்றையும் முன்கூட்டியே சேர்க்கலாம் - ஆனால் இது உண்மையல்ல. எனவே சுயமாக எழுதப்பட்ட ஊன்றுகோலை உருவாக்குவோம்.
இணையத்தில் ஒரு முழுமையான தேடலுக்குப் பிறகு, C++ க்கான அற்புதமான உயர்நிலை நூலகத்தைக் கண்டேன், இது போக்குவரத்தை அழகாக மோப்பம் பிடிக்க உங்களை அனுமதிக்கிறது. வழிகளைச் சேர்க்கும் நிரலுக்கான வழிமுறை பின்வருமாறு - இடைமுகத்தில் arp கோரிக்கைகளை நாங்கள் கேட்கிறோம், கோரப்பட்ட சேவையகத்தில் லோ இடைமுகத்தில் ஒரு முகவரி இருந்தால், இந்த இடைமுகத்தின் வழியாக ஒரு வழியைச் சேர்த்து நிலையான arp ஐச் சேர்ப்போம். இந்த ஐபியில் பதிவு செய்யுங்கள் - பொதுவாக, சில நகல்-பேஸ்ட்கள், ஒரு சிறிய பெயரடை மற்றும் நீங்கள் முடித்துவிட்டீர்கள்
திசைவியின் ஆதாரங்கள்
#include <stdio.h>
#include <sys/types.h>
#include <ifaddrs.h>
#include <netinet/in.h>
#include <string.h>
#include <arpa/inet.h>
#include <tins/tins.h>
#include <map>
#include <iostream>
#include <functional>
#include <sstream>
using std::cout;
using std::endl;
using std::map;
using std::bind;
using std::string;
using std::stringstream;
using namespace Tins;
class arp_monitor {
public:
void run(Sniffer &sniffer);
void reroute();
void makegws();
string iface;
map <string, string> gws;
private:
bool callback(const PDU &pdu);
map <string, string> route_map;
map <string, string> mac_map;
map <IPv4Address, HWAddress<6>> addresses;
};
void arp_monitor::makegws() {
struct ifaddrs *ifAddrStruct = NULL;
struct ifaddrs *ifa = NULL;
void *tmpAddrPtr = NULL;
gws.clear();
getifaddrs(&ifAddrStruct);
for (ifa = ifAddrStruct; ifa != NULL; ifa = ifa->ifa_next) {
if (!ifa->ifa_addr) {
continue;
}
string ifName = ifa->ifa_name;
if (ifName == "lo") {
char addressBuffer[INET_ADDRSTRLEN];
if (ifa->ifa_addr->sa_family == AF_INET) { // check it is IP4
// is a valid IP4 Address
tmpAddrPtr = &((struct sockaddr_in *) ifa->ifa_addr)->sin_addr;
inet_ntop(AF_INET, tmpAddrPtr, addressBuffer, INET_ADDRSTRLEN);
} else if (ifa->ifa_addr->sa_family == AF_INET6) { // check it is IP6
// is a valid IP6 Address
tmpAddrPtr = &((struct sockaddr_in6 *) ifa->ifa_addr)->sin6_addr;
inet_ntop(AF_INET6, tmpAddrPtr, addressBuffer, INET6_ADDRSTRLEN);
} else {
continue;
}
gws[addressBuffer] = addressBuffer;
cout << "GW " << addressBuffer << " is added" << endl;
}
}
if (ifAddrStruct != NULL) freeifaddrs(ifAddrStruct);
}
void arp_monitor::run(Sniffer &sniffer) {
cout << "RUNNED" << endl;
sniffer.sniff_loop(
bind(
&arp_monitor::callback,
this,
std::placeholders::_1
)
);
}
void arp_monitor::reroute() {
cout << "REROUTING" << endl;
map<string, string>::iterator it;
for ( it = route_map.begin(); it != route_map.end(); it++ ) {
if (this->gws.count(it->second) && !this->gws.count(it->second)) {
string cmd = "ip route replace ";
cmd += it->first;
cmd += " dev " + this->iface;
cmd += " src " + it->second;
cmd += " proto static";
cout << cmd << std::endl;
cout << "REROUTE " << it->first << " SRC " << it->second << endl;
system(cmd.c_str());
cmd = "arp -s ";
cmd += it->first;
cmd += " ";
cmd += mac_map[it->first];
cout << cmd << endl;
system(cmd.c_str());
}
}
for ( it = gws.begin(); it != gws.end(); it++ ) {
string cmd = "arping -U -s ";
cmd += it->first;
cmd += " -I ";
cmd += this->iface;
cmd += " -b -c 1 ";
cmd += it->first;
system(cmd.c_str());
}
cout << "REROUTED" << endl;
}
bool arp_monitor::callback(const PDU &pdu) {
// Retrieve the ARP layer
const ARP &arp = pdu.rfind_pdu<ARP>();
if (arp.opcode() == ARP::REQUEST) {
string target = arp.target_ip_addr().to_string();
string sender = arp.sender_ip_addr().to_string();
this->route_map[sender] = target;
this->mac_map[sender] = arp.sender_hw_addr().to_string();
cout << "save sender " << sender << ":" << this->mac_map[sender] << " want taregt " << target << endl;
if (this->gws.count(target) && !this->gws.count(sender)) {
string cmd = "ip route replace ";
cmd += sender;
cmd += " dev " + this->iface;
cmd += " src " + target;
cmd += " proto static";
// cout << cmd << std::endl;
/* cout << "ARP REQUEST FROM " << arp.sender_ip_addr()
<< " for address " << arp.target_ip_addr()
<< " sender hw address " << arp.sender_hw_addr() << std::endl
<< " run cmd: " << cmd << endl;*/
system(cmd.c_str());
cmd = "arp -s ";
cmd += arp.sender_ip_addr().to_string();
cmd += " ";
cmd += arp.sender_hw_addr().to_string();
cout << cmd << endl;
system(cmd.c_str());
}
}
return true;
}
arp_monitor monitor;
void reroute(int signum) {
monitor.makegws();
monitor.reroute();
}
int main(int argc, char *argv[]) {
string test;
cout << sizeof(string) << endl;
if (argc != 2) {
cout << "Usage: " << *argv << " <interface>" << endl;
return 1;
}
signal(SIGHUP, reroute);
monitor.iface = argv[1];
// Sniffer configuration
SnifferConfiguration config;
config.set_promisc_mode(true);
config.set_filter("arp");
monitor.makegws();
try {
// Sniff on the provided interface in promiscuous mode
Sniffer sniffer(argv[1], config);
// Only capture arp packets
monitor.run(sniffer);
}
catch (std::exception &ex) {
std::cerr << "Error: " << ex.what() << std::endl;
}
}libtins நிறுவல் ஸ்கிரிப்ட்
#!/bin/bash
git clone https://github.com/mfontanini/libtins.git
cd libtins
mkdir build
cd build
cmake ../
make
make install
ldconfig
பைனரியை உருவாக்க கட்டளை
g++ main.cpp -o arp-rt -O3 -std=c++11 -lpthread -ltinsஅதை எப்படி துவக்குவது?
start-stop-daemon --start --exec /opt/ipoe/arp-routes/arp-rt -b -m -p /opt/ipoe/arp-routes/daemons/eth0.800.pid -- eth0.800
ஆம் - இது HUP சிக்னலின் அடிப்படையில் அட்டவணைகளை மீண்டும் உருவாக்கும். நீங்கள் ஏன் நெட்லிங்கைப் பயன்படுத்தவில்லை? இது வெறும் சோம்பேறித்தனம் மற்றும் லினக்ஸ் ஒரு ஸ்கிரிப்ட்டில் உள்ள ஸ்கிரிப்ட் - அதனால் எல்லாம் நன்றாக இருக்கிறது. சரி, பாதைகள் பாதைகள், அடுத்து என்ன? அடுத்து, இந்த சேவையகத்தில் இருக்கும் வழிகளை எல்லைக்கு அனுப்ப வேண்டும் - இங்கே, அதே காலாவதியான வன்பொருள் காரணமாக, குறைந்த எதிர்ப்பின் பாதையை நாங்கள் எடுத்தோம் - இந்த பணியை BGP க்கு ஒதுக்கினோம்.
bgp கட்டமைப்புபுரவலன் பெயர் *******
கடவுச்சொல் *******
பதிவு கோப்பு /var/log/bgp.log
!
# AS எண், முகவரிகள் மற்றும் நெட்வொர்க்குகள் கற்பனையானவை
திசைவி பிஜிபி 12345
bgp ரூட்டர்-ஐடி 1.2.3.4
இணைக்கப்பட்ட மறுவிநியோகம்
நிலையான மறுவிநியோகம்
அண்டை 1.2.3.1 ரிமோட்-ஆக 12345
அண்டை 1.2.3.1 அடுத்த-ஹாப்-செல்ஃப்
அண்டை 1.2.3.1 வழி-வரைபடம் எதுவும் இல்லை
அண்டை 1.2.3.1 வழி-வரைபடம் ஏற்றுமதி
!
அணுகல் பட்டியல் ஏற்றுமதி அனுமதி 1.2.3.0/24
!
வழி-வரைபட ஏற்றுமதி அனுமதி 10
ஐபி முகவரி ஏற்றுமதியைப் பொருத்து
!
வழி-வரைபட ஏற்றுமதி மறுப்பு 20
தொடரலாம். arp கோரிக்கைகளுக்கு சேவையகம் பதிலளிக்க, நீங்கள் arp ப்ராக்ஸியை இயக்க வேண்டும்.
echo 1 > /proc/sys/net/ipv4/conf/eth0.800/proxy_arp
தொடரலாம் - ucarp. இந்த அதிசயத்திற்கான வெளியீட்டு ஸ்கிரிப்ட்களை நாமே எழுதுகிறோம்.
ஒரு டீமனை இயக்குவதற்கான எடுத்துக்காட்டு
start-stop-daemon --start --exec /usr/sbin/ucarp -b -m -p /opt/ipoe/ucarp-gen2/daemons/$iface.$vhid.$virtualaddr.pid -- --interface=eth0.800 --srcip=1.2.3.4 --vhid=1 --pass=carpasword --addr=10.10.10.1 --upscript=/opt/ipoe/ucarp-gen2/up.sh --downscript=/opt/ipoe/ucarp-gen2/down.sh -z -k 10 -P --xparam="10.10.10.0/24"
up.sh
#!/bin/bash
iface=$1
addr=$2
gw=$3
vlan=`echo $1 | sed "s/eth0.//"`
ip ad ad $addr/32 dev lo
ip ro add blackhole $gw
echo 1 > /proc/sys/net/ipv4/conf/$iface/proxy_arp
killall -9 dhcrelay
/etc/init.d/dhcrelay zap
/etc/init.d/dhcrelay start
killall -HUP arp-rt
கீழே.sh
#!/bin/bash
iface=$1
addr=$2
gw=$3
ip ad d $addr/32 dev lo
ip ro de blackhole $gw
echo 0 > /proc/sys/net/ipv4/conf/$iface/proxy_arp
killall -9 dhcrelay
/etc/init.d/dhcrelay zap
/etc/init.d/dhcrelay start
dhcprelay ஒரு இடைமுகத்தில் வேலை செய்ய, அதற்கு முகவரி தேவை. எனவே, நாம் பயன்படுத்தும் இடைமுகங்களில் இடது முகவரிகளைச் சேர்ப்போம் - எடுத்துக்காட்டாக 10.255.255.1/32, 10.255.255.2/32, முதலியன. ரிலேவை எவ்வாறு கட்டமைப்பது என்று நான் உங்களுக்கு சொல்ல மாட்டேன் - எல்லாம் எளிது.
எனவே நம்மிடம் என்ன இருக்கிறது? நுழைவாயில்களின் காப்புப்பிரதி, பாதைகளின் தானாக உள்ளமைவு, dhcp. இது குறைந்தபட்ச தொகுப்பு - lisg அதைச் சுற்றியுள்ள அனைத்தையும் மூடுகிறது மற்றும் எங்களிடம் ஏற்கனவே ஒரு ஷேப்பர் உள்ளது. எல்லாம் ஏன் நீண்ட மற்றும் சிக்கலானது? accel-pppd ஐ எடுத்து, pppoe ஐ முழுவதுமாக பயன்படுத்துவது எளிதானது அல்லவா? இல்லை, இது எளிதானது அல்ல - மக்கள் ஒரு பேட்ச்கார்டை ரூட்டரில் பொருத்த முடியாது, pppoe ஐ குறிப்பிட தேவையில்லை. accel-ppp ஒரு அருமையான விஷயம் - ஆனால் அது எங்களுக்கு வேலை செய்யவில்லை - குறியீட்டில் நிறைய பிழைகள் உள்ளன - அது நொறுங்குகிறது, அது வளைந்து வெட்டுகிறது, மேலும் சோகமான விஷயம் என்னவென்றால், அது பிரகாசமாக இருந்தால் - மக்கள் மீண்டும் ஏற்ற வேண்டும் எல்லாம் - தொலைபேசிகள் சிவப்பு - அது வேலை செய்யவில்லை. ucarp ஐப் பயன்படுத்துவதற்குப் பதிலாகப் பயன்படுத்துவதன் நன்மை என்ன? ஆம், எல்லாவற்றிலும் - 100 நுழைவாயில்கள் உள்ளன, கீப்அலைவ் மற்றும் ஒரு பிழை உள்ளமைவில் - எல்லாம் வேலை செய்யாது. 1 நுழைவாயில் ucarp உடன் வேலை செய்யாது. பாதுகாப்பைப் பொறுத்தவரை, இடதுசாரிகள் தங்களுக்கான முகவரிகளைப் பதிவுசெய்து அவற்றைப் பகிர்வில் பயன்படுத்துவார்கள் என்று அவர்கள் கூறுகிறார்கள் - இந்த தருணத்தைக் கட்டுப்படுத்த, எல்லா சுவிட்சுகள்/ஓல்ட்ஸ்/பேஸ்களிலும் dhcp-snooping + source-guard + arp இன்ஸ்பெக்ஷன் அமைத்துள்ளோம். கிளையண்டிடம் dhpc இல்லாவிட்டாலும் நிலையான - அணுகல் பட்டியல் போர்ட்டில் இருந்தால்.
இவை அனைத்தும் ஏன் செய்யப்பட்டது? தேவையற்ற போக்குவரத்தை அழிக்க. இப்போது ஒவ்வொரு சுவிட்சுக்கும் அதன் சொந்த vlan உள்ளது மற்றும் தெரியாத-யூனிகாஸ்ட் இனி பயமாக இல்லை, ஏனெனில் அது ஒரு துறைமுகத்திற்கு மட்டுமே செல்ல வேண்டும், எல்லாவற்றுக்கும் அல்ல... சரி, பக்க விளைவுகள் தரப்படுத்தப்பட்ட உபகரண அமைப்பு, முகவரி இடத்தை ஒதுக்குவதில் அதிக செயல்திறன்.
Lisg ஐ எவ்வாறு கட்டமைப்பது என்பது ஒரு தனி தலைப்பு. நூலகங்களுக்கான இணைப்புகள் இணைக்கப்பட்டுள்ளன. ஒருவேளை மேலே உள்ளவை ஒருவர் தங்கள் இலக்குகளை அடைய உதவும். எங்கள் நெட்வொர்க்கில் பதிப்பு 6 இன்னும் செயல்படுத்தப்படவில்லை - ஆனால் ஒரு சிக்கல் இருக்கும் - பதிப்பு 6 க்கு lisg ஐ மீண்டும் எழுதுவதற்கான திட்டங்கள் உள்ளன, மேலும் வழிகளைச் சேர்க்கும் நிரலை சரிசெய்ய வேண்டியது அவசியம்.
ஆதாரம்: www.habr.com