Monthly Archive for Enero, 2008

Sobre el post anterior…

Me ha pasado ya más de una vez que cuando un servidor tiene más de un interfaz de red (sean físicos o virtuales) y tiene algún servicio sobre UDP, aunque reciba tráfico UDP por todos los interfaces, cuando contesta siempre lo hace por el interfaz que da a su gateway, con la IP de ese interfaz.

Es decir, simplificando imaginaos que tenemos algo más o menos así:

si recibimos un paquete por el interfaz de la izq., se responde por ese mismo interfaz con IPa. Pero si lo recibimos por el de la drcha., también se responde por la izq. con IPa. ¿Y qué pasa cuando el cliente recibe la respuesta correcta pero desde una IP que no tiene nada que ver con la del servidor al que le ha preguntado? ¿Con un direccionamiento completamente distinto? ¿Y si, además, entre cliente y servidor hay algún firewall haciendo NAT?

Esto por supuesto desbarata el servicio. En el caso que comentaba ayer era una VPN L2TP, y ni siquiera se conseguía establecer la conexión. En otras ocasiones me ha pasado esto con un servidor de DNS, y según el sistema operativo del cliente aceptaba sin más la respuesta aunque viniera desde una IP incorrecta, no lo hacía y presentaba una alerta de seguridad.

Supongo que esto en parte es culpa de cada implementación en concreto, digo yo que en programación se podrá ver a qué IP iba dirigido el paquete que se acaba de recibir y la respuesta enviarla por el interfaz y con la IP que toca, pero por lo visto o esto no es así o no siempre se tiene en cuenta.

Ayer con ayuda de un compañero que controla de iptables y tal lo solucionamos así:

• con iptables, detectar el tráfico que queremos “redirigir” por otro interfaz y marcarlo
• en función de esa marca, definir una tabla de rutas con “ip rule/route” y encaminarlo a un GW en el otro extremo
• de nuevo con iptables y aprovechando la marca anterior, hacer NAT de la dirección de origen

Un ejemplo para redirigir tráfico UDP en función del puerto $PORT con la IP $IPb a través de la puerta de enlace $GWb sería:


echo 255 local > /etc/iproute2/rt_tables
echo 254 main >> /etc/iproute2/rt_tables
echo 253 default >> /etc/iproute2/rt_tables
echo 0 unspec >> /etc/iproute2/rt_tables
echo 200 udp >> /etc/iproute2/rt_tables
ip rule add fwmark 1 table udp
ip route add default via $GWb dev eth0 table l2tp
iptables -t mangle -A OUTPUT -p udp -m udp --sport $PORT -j MARK --set-mark 0x1
iptables -t nat -A POSTROUTING -m mark --mark 0x1 -j SNAT --to-source $IPb