策略路由及ip route,ip rule,iptables
介绍
linux 高级路由即基于策略的路由，比传统路由在功能上更强大，使用也更灵活，它不仅能够像传统路由一样，根据目的地址来转发数据，而且也能够根据报文大小、应用，协议或 ip 源地址来选择路由转发路径从而让系统管理员能轻松做到：
- 管制某台计算机的带宽。
- 管制通向某台计算机的带宽
- 帮助你公平地共享带宽
- 保护你的网络不受 DOS 的攻击
- 保护你的 Internet 不受到你的客户的攻击
- 把多台服务器虚拟成一台，并进行负载均衡或者提高可用性
- 限制你的用户访问某些计算机
- 限制对你的计算机的访问
- 基于用户帐号、MAC 地址、源 IP 地址、端口、QOS(TOS)、时间或者 content 等进行路由
策略路由和路由策略是两个不同的概念，策略路由是根据 IP 包中的源地址，端口号等来实现的；而路由策略可以理解为路由表中的一系列路由动作。
路由表和策略区别：
规则指向路由表，多个规则可以引用一个路由表，而且某些路由表可以没有策略指向它。如果系统管理员删除了指向某个路由表的所有规则，这个表就没有用了，但是仍然存在，直到里面的所有路由都被删除，它才会消失。
案例
公司内网要求 192.168.0.100 以内的使用 10.0.0.1 网关上网（电信），其他 IP 使用 20.0.0.1 （网通）上网。
首先要在网关服务器上添加一个默认路由，当然这个指向是绝大多数的 IP 的出口网关：
ip route add default gw 20.0.0.1
之后通过 ip route 添加一个路由表：
ip route add table 3 via 10.0.0.1 dev ethX
(ethX 是 10.0.0.1 所在的网卡，3 是路由表的编号)
之后添加 ip rule 规则：
ip rule add fwmark 3 table 3
（fwmark 3 是标记，table 3 是路由表 3 上边。 意思就是凡是标记了 3 的数据使用 table3 路由表）
之后使用 iptables 给相应的数据打上标记：
iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1 -192.168.0.100 -j MARK --set-mark 3
因为 mangle 的处理是优先于 nat 和 fiter 表的，所以相应数据包到达之后先打上标记，之后再通过 ip rule 规则。对应的数据包使用相应的路由表进行路由，最后读取路由表信息，将数据包送出网关。
高级路由基础 IP ROUTE2
ip 是 iproute2 软件包里面的一个强大的网络配置工具，它能够替代一些传统的网络管理工具。例如：ifconfig、route 等。
传统网络配置命令
- 使用 ifconfig 命令配置并查看网络接口情况
# 示例1: 配置eth0的IP，同时激活设备:
ifconfig eth0 192.168.4.1 netmask 255.255.255.0 up
# 示例2: 配置eth0别名设备 eth0:1 的IP，并添加路由
ifconfig eth0:1 192.168.4.2
route add –host 192.168.4.2 dev eth0:1
# 示例3:激活（禁用）设备
ifconfig eth0:1 up(down)
# 示例4:查看所有（指定）网络接口配置
ifconfig (eth0)- 使用 route 命令配置路由表
使用 Route 命令行工具查看并编辑计算机的 IP 路由表。Route 命令和语法如下所示：
route [-f] [-p] [Command [Destination] [mask Netmask] [Gateway] [metric Metric]] [if Interface]
# -f 清除所有网关入口的路由表。
# -p 与 add 命令一起使用时使路由具有永久性。
# Command 指定您想运行的命令 (Add/Change/Delete/Print)。
# Destination 指定该路由的网络目标。
# mask Netmask 指定与网络目标相关的网络掩码（也被称作子网掩码）。
# Gateway 指定网络目标定义的地址集和子网掩码可以到达的前进或下一跃点 IP 地址。
# metric Metric 为路由指定一个整数成本值标（从 1 至 ArrayArrayArrayArray），当在路由表(与转发的数据包目标地址最匹配)的多个路由中进行选择时可以使用。
# if Interface 为可以访问目标的接口指定接口索引。若要获得一个接口列表和它们相应的接口索引，使用 route print 命令的显示功能。可以使用十进制或十六进制值进行接口索引。
# /? 在命令提示符处显示帮助。使用 route 命令添加的路由，机器重启或者网卡重启后路由就失效了。
# 示例1:添加到主机路由
route add –host 192.168.4.2 dev eth0:1
route add –host 192.168.4.1 gw 192.168.4.250
# 示例2:添加到网络的路由
route add –net IP netmask MASK eth0
route add –net IP netmask MASK gw IP
route add –net IP/24 eth1
# 示例3:添加默认网关
route add default gw IP
# 示例4:删除路由，删除的时候不用写网关
route del –host 192.168.4.1 dev eth0:1
# 示例5:查看路由信息
route 或 route -n (-n 表示不解析名字,列出速度会比route 快)单纯的 route 命令会显示 IP 路由表的全部内容，其结果是自上而下，就是说，哪条在前面，哪条就有优先，前面都没有，就用最后一条 default。
- ARP 管理命令
# 示例1:查看ARP缓存
arp
# 示例2: 添加
arp –s IP MAC
# 示例3: 删除
arp –d IPip 命令的基本语法
- ip link list 显示 ip 链路状态信息
- ip address show 显示所有网络地址
- ip route show 显示主路由表信息
- ip neigh show 显示邻居表
上面的示例完全可以用下面的 ip 命令实现，而且 ip 命令可以实现更多的功能。下面介绍一些示例：
ip 命令的语法
ip 命令的用法如下：
ip [OPTIONS] OBJECT [COMMAND [ARGUMENTS]]
-
ip link set – 改变设备的属性. 缩写：set、s
# 示例1：up/down 起动／关闭设备。 ip link set dev eth0 up #这个等于传统的 ifconfig eth0 up(down) # 示例2：改变设备传输队列的长度。 # 参数:txqueuelen NUMBER或者txqlen NUMBER ip link set dev eth0 txqueuelen 100 # 示例3：改变网络设备MTU(最大传输单元)的值。 ip link set dev eth0 mtu 1500 # 示例4： 修改网络设备的MAC地址。 # 参数: address LLADDRESS ip link set dev eth0 address 00:01:4f:00:15:f1 -
ip link show – 显示设备属性. 缩写：show、list、lst、sh、ls、l
# -s选项出现两次或者更多次，ip会输出更为详细的错误信息统计。 $ ip -s -s link ls eth0 eth0: mtu 1500 qdisc cbq qlen 100 link/ether 00:a0:cc:66:18:78 brd ff:ff:ff:ff:ff:ff RX: bytes packets errors dropped overrun mcast 2449949362 2786187 0 0 0 0 RX errors: length crc fifo missed 0 0 0 0 0 TX: bytes packets errors dropped carrier collsns 178558497 1783946 332 0 332 35172 TX errors: aborted fifo window heartbeat 0 0 0 332 # 这个命令等于传统的 ifconfig eth0 -
ip address add – 添加一个新的协议地址. 缩写：add、a
# 示例1：为每个地址设置一个字符串作为标签。为了和Linux-2.0的网络别名兼容，这个字符串必须以设备名开头，接着一个冒号， ip addr add local 192.168.4.1/28 brd + label eth0:1 dev eth0 # 示例2: 在以太网接口eth0上增加一个地址192.168.20.0，掩码长度为24位(155.155.155.0)，标准广播地址，标签为eth0:Alias： ip addr add 192.168.4.2/24 brd + dev eth1 label eth1:1 # 这个命令等于传统的: ifconfig eth1:1 192.168.4.2 -
ip address delete – 删除一个协议地址. 缩写：delete、del、d
ip addr del 192.168.4.1/24 brd + dev eth0 label eth0:Alias1 -
ip address show – 显示协议地址. 缩写：show、list、lst、sh、ls、l
ip addr ls eth0 -
ip address flush–清除协议地址. 缩写：flush、f
# 示例1 : 删除属于私网10.0.0.0/8的所有地址： ip -s -s a f to 10/8 # 示例2 : 取消所有以太网卡的IP地址 ip -4 addr flush label "eth0" -
ip neighbour – neighbour/arp 表管理命令
缩写 neighbour、neighbor、neigh、n
命令 add、change、replace、delete、fulsh、show(或者 list)
-
ip neighbour add – 添加一个新的邻接条目
ip neighbour change – 修改一个现有的条目
ip neighbour replace – 替换一个已有的条目
缩写：add、a；change、chg；replace、repl
# 示例1: 在设备eth0上，为地址10.0.0.3添加一个permanent ARP条目： ip neigh add 10.0.0.3 lladdr 0:0:0:0:0:1 dev eth0 nud perm # 示例2:把状态改为reachable ip neigh chg 10.0.0.3 dev eth0 nud reachable -
ip neighbour delete – 删除一个邻接条目
# 示例1:删除设备eth0上的一个ARP条目10.0.0.3 ip neigh del 10.0.0.3 dev eth0 -
ip neighbour show – 显示网络邻居的信息. 缩写：show、list、sh、ls
# 示例1: $ ip -s n ls 193.233.7.254 193.233.7.254. dev eth0 lladdr 00:00:0c:76:3f:85 ref 5 used 12/13/20 nud reachable -
ip neighbour flush – 清除邻接条目. 缩写：flush、f
# 示例1: (-s 可以显示详细信息) ip -s -s n f 193.233.7.254
linux 系统路由表
linux 可以自定义从 1－252 个路由表，linux 系统维护了 4 个路由表：
-
0 表 系统保留表
-
255 local 本地路由表，存有本地接口地址，广播地址，以及 NAT 地址。
local 表由系统自动维护，管理员不能操作此表。
-
254 main 主路由表，传统路由表，ip route 若没指定表即操作表 254。
平时用 route 查看的亦是此表设置的路由。
-
253 default，默认路由表一般存放默认路由。
注：rt_tables 文件中表以数字来区分表，保留最多支持 255 张表。
路由表的查看可有以下二种方法：
- ip route list table table_number
- ip route list table table_name
路由表序号和表名的对应关系在/etc/iproute2/rt_tables 中，可手动编辑。
默认情况下，所有的路由都会被插入到表 main(编号 254)中。在进行路由查询时，内核只使用路由表 main。
路由表 ip route
-
ip route add – 添加新路由
ip route change – 修改路由
ip route replace – 替换已有的路由
缩写：add、a；change、chg；replace、repl
# 示例1: 设置到网络10.0.0/24的路由经过网关193.233.7.65 ip route add 10.0.0/24 via 193.233.7.65 # 示例2: 修改到网络10.0.0/24的直接路由，使其经过设备dummy ip route chg 10.0.0/24 dev dummy # 示例3: 实现链路负载平衡.加入缺省多路径路由，让ppp0和ppp1分担负载(注意：scope值并非必需，它只不过是告诉内核，这个路由要经过网关而不是直连的。实际上，如果你知道远程端点的地址，使用via参数来设置就更好了)。 ip route add default scope global nexthop dev ppp0 nexthop dev ppp1 ip route replace default scope global nexthop dev ppp0 nexthop dev ppp1 # 示例4: 设置NAT路由。在转发来自192.203.80.144的数据包之前，先进行网络地址转换，把这个地址转换为193.233.7.83 ip route add nat 192.203.80.142 via 193.233.7.83 # 示例5: 实现数据包级负载平衡,允许把数据包随机从多个路由发出。weight 可以设置权重. ip route replace default equalize nexthop via 211.139.218.145 dev eth0 weight 1 nexthop via 211.139.218.145 dev eth1 weight 1 -
ip route delete – 删除路由
缩写：delete、del、d
# 示例1:删除上一节命令加入的多路径路由 ip route del default scope global nexthop dev ppp0 nexthop dev ppp1 -
ip route show – 列出路由
缩写：show、list、sh、ls、l
# 示例1: 计算使用gated/bgp协议的路由个数 $ ip route ls proto gated/bgp | wc 1413 9891 79010 # 示例2: 计算路由缓存里面的条数，由于被缓存路由的属性可能大于一行，以此需要使用-o选项 $ ip -o route ls cloned | wc 159 2543 18707 # 示例3: 列出路由表TABLEID里面的路由。缺省设置是table main。TABLEID或者是一个真正的路由表ID或者是/etc/iproute2/rt_tables文件定义的字符串，或者是以下的特殊值： # all -- 列出所有表的路由； # cache -- 列出路由缓存的内容。 ip route ls 193.233.7.82 tab cache # 示例4: 列出某个路由表的内容 ip route ls table fddi153 # 示例5: 列出默认路由表的内容 ip route ls # 这个命令等于传统的: route -
ip route flush – 擦除路由表
示例1: 删除路由表main中的所有网关路由（示例：在路由监控程序挂掉之后）： # ip -4 route flush scope global type unicast 示例2:清除所有被克隆出来的IPv6路由： # ip -6 -s -s route flush cache 示例3: 在gated程序挂掉之后，清除所有的BGP路由： # ip -s route f proto gated/bgp 示例4: 清除所有ipv4路由cache # ip route flush cache *** IPv4 routing cache is flushed. -
ip route get – 获得单个路由 .缩写：get、g
使用这个命令可以获得到达目的地址的一个路由以及它的确切内容。
ip route get 命令和 ip route show 命令执行的操作是不同的。ip route show 命令只是显示现有的路由，而 ip route get 命令在必要时会派生出新的路由。
# 示例1: 搜索到193.233.7.82的路由 $ ip route get 193.233.7.82 193.233.7.82 dev eth0 src 193.233.7.65 realms inr.ac cache mtu 1500 rtt 300 # 示例2: 搜索目的地址是193.233.7.82，来自193.233.7.82，从eth0设备到达的路由（这条命令会产生一条非常有意思的路由，这是一条到193.233.7.82的回环路由） $ ip r g 193.233.7.82 from 193.233.7.82 iif eth0 193.233.7.82 from 193.233.7.82 dev eth0 src 193.233.7.65 realms inr.ac/inr.ac cache mtu 1500 rtt 300 iif eth0
路由规则 ip rule
进行路由时，根据路由规则来进行匹配，按优先级（pref）从低到高匹配，直到找到合适的规则，所以在应用中配置默认路由是必要的。
策略路由一般手工添加路由表，路由表的添加只需编辑 rt_tables 文件，规定表序号，表名即可。路由表添加完毕，即可在策略路由表内添加路由。
ip rule show 显示路由规则。
路由规则的添加：
ip rule add from 192.168.1.10/32 table 1 pref 100
如果 pref 值不指定，则将在已有规则最小序号前插入
创建完路由规则若需立即生效须执行：
ip route flush cache
刷新路由缓冲。
命令格式如下：
Usage: ip rule { add | del } SELECTOR ACTION
ip rule { flush | save | restore }
ip rule [ list [ SELECTOR ]]
SELECTOR := [ not ] [ from PREFIX ] [ to PREFIX ] [ tos TOS ] [ fwmark FWMARK[/MASK] ]
[ iif STRING ] [ oif STRING ] [ pref NUMBER ] [ l3mdev ]
[ uidrange NUMBER-NUMBER ]
[ ipproto PROTOCOL ]
[ sport [ NUMBER | NUMBER-NUMBER ]
[ dport [ NUMBER | NUMBER-NUMBER ] ]
ACTION := [ table TABLE_ID ]
[ protocol PROTO ]
[ nat ADDRESS ]
[ realms [SRCREALM/]DSTREALM ]
[ goto NUMBER ]
SUPPRESSOR
SUPPRESSOR := [ suppress_prefixlength NUMBER ]
[ suppress_ifgroup DEVGROUP ]
TABLE_ID := [ local | main | default | NUMBER ]参数解析如下：
From -- 源地址
To -- 目的地址（这里是选择规则时使用，查找路由表时也使用）
Tos -- IP包头的TOS（type of sevice）域Linux高级路由-
Dev -- 物理接口
Fwmark -- iptables标签
采取的动作除了指定路由表外，还可以指定下面的动作：
Table 指明所使用的表
Nat 透明网关
Prohibit 丢弃该包，并发送 COMM.ADM.PROHIITED的ICMP信息
Reject 单纯丢弃该包
Unreachable丢弃该包， 并发送 NET UNREACHABLE的ICMP信息示例
Source IP
根据来源端 IP 来决定数据包参考哪个路由表发送出去。以下两个示例分别指出，如果数据包的来源端 IP 是 192.168.1.10，就参考路由表 10；如果来源端 IP 为 192.168.2.0/24 网段的 IP，就参考路由表 20
ip rule add from 192.168.1.10 table 10
ip rule add from 192.168.2.0/24 table 20Destination IP
根据目的端 IP 来决定数据包参考哪个路由表发送出去。以下两个示例分别指出，如果数据包的目的端 IP 是 168.95.1.1，就参考路由表 10；如果目的端 IP 是 168.95.0.0/24 网段的 IP，就参考路由表 20
ip rule add to 168.95.1.1 table 10
ip rule add to 168.96.0.0/24 table 20ip rule show 命令所显示内容的第一个字段就是优先级别，数字越小，代表优先级别越高，也代表这条规则可以排得越靠前
$ ip rule show
0: from all lookup local
32766: from all lookup main
32767: from all lookup default
$ ip rule add from 192.168.1.0/24 table 1 prio 10
$ ip rule add from 192.168.2.0/24 table 2 prio 20
$ ip rule show
0: from all lookup local
10: from 192.168.1.0/24 lookup 1
20: from 192.168.2.0/24 lookup 2
32766: from all lookup main
32767: from all lookup default删除规则
ip rule del prio 10
ip rule del from 192.168.1.0/24
ip rule del table 1
ip rule del from 192.168.1.0/24 table 1 prio 10添加路由
$ ip route add 192.168.1.0/24 dev eth1 table 10
$ ip route add default via 192.168.1.254 table 10
$ ip route show table 10
192.168.1.0/24 dev eth1 scope link
default via 192.168.1.254 dev eth1删除路由表
$ ip route show table 10
192.168.1.0/24 dev virbr0 scope link
default via 192.168.1.254 dev eth1
$ ip route del default table 10
$ ip route show table 10
192.168.1.0/24 dev virbr0 scope link
$ ip route del 192.168.1.0/24 table 10
$ ip route show table 10多播 ip maddress
-
ip maddress – 多播地址管理
缩写：show、list、sh、ls、l
-
ip maddress show – 列出多播地址
ip maddr ls dummy
-
ip maddress add – 加入多播地址
ip maddress delete – 删除多播地址
缩写：add、a；delete、del、d
使用这两个命令，我们可以添加／删除在网络接口上监听的链路层多播地址。这个命令只能管理链路层地址。
# 示例1: 增加 ip maddr add 33:33:00:00:00:01 dev dummy # 示例2: 查看 $ ip -O maddr ls dummy 2: dummy link 33:33:00:00:00:01 users 2 static link 01:00:5e:00:00:01 # 示例3: 删除 ip maddr del 33:33:00:00:00:01 dev dummy -
ip mroute – 多播路由缓存管理
-
ip mroute show – 列出多播路由缓存条目
缩写：show、list、sh、ls、l
# 示例1:查看 $ ip mroute ls (193.232.127.6, 224.0.1.39) Iif: unresolved (193.232.244.34, 224.0.1.40) Iif: unresolved (193.233.7.65, 224.66.66.66) Iif: eth0 Oifs: pimreg # 示例2:查看 $ ip -s mr ls 224.66/16 (193.233.7.65, 224.66.66.66) Iif: eth0 Oifs: pimreg 9383 packets, 300256 bytes
通道 ip tunnel
-
ip tunnel – 通道配置
缩写 tunnel、tunl
-
ip tunnel add – 添加新的通道
ip tunnel change – 修改现有的通道
ip tunnel delete – 删除一个通道
缩写：add、a；change、chg；delete、del、d
# 示例1:建立一个点对点通道，最大TTL是32 ip tunnel add Cisco mode sit remote 192.31.7.104 local 192.203.80.1 ttl 32 -
ip tunnel show – 列出现有的通道
缩写：show、list、sh、ls、l
ip -s tunl ls Cisco -
ip monitor 和 rtmon – 状态监视
ip 命令可以用于连续地监视设备、地址和路由的状态。这个命令选项的格式有点不同，命令选项的名字叫做 monitor，接着是操作对象：
ip monitor
[ file FILE ][ all | OBJECT-LIST ]rtmon file /var/log/rtmon.log ip monitor file /var/log/rtmon.log r
微信
支付宝本作品采用 知识共享署名-相同方式共享 4.0 国际许可协议 进行许可。