iptables - MARK和CONNMARK的使用案例

一. 网络环境

网络拓扑如下图所示：

连接和IP配置：        

        1. 路由器R1和R2的eth2.2网口相连，IP分别为192.168.2.5和192.168.2.6。

        2. R1和R2的eth1.1的IP分别是192.168.1.5和192.168.3.5，eth1.1下分别接有PC1和PC2，分别为192.168.1.105和192.168.3.6。

路由配置：

        1. R1下接的PC1的默认路由是eth1.1的IP，是192.168.1.5。

        2. R2的默认路由是下挂PC2的IP，是192.168.3.6，如下：

~ # ip route show
default via 192.168.3.6 dev eth1.1 
192.168.2.0/24 dev eth2.2 proto kernel scope link src 192.168.2.6 
192.168.3.0/24 dev eth1.1 proto kernel scope link src 192.168.3.5 

        3. 配置了一条策略路由，带400的mark标签的包查找路由表3，路由表3配置了默认路由，下一条是192.168.2.5，如下：

~ # ip rule show
0:      from all lookup local 
400:    from all fwmark 0x190 lookup 3 
32766:  from all lookup main 
32767:  from all lookup default 
~ # 
~ # ip route show table 3
default via 192.168.2.5 dev eth2.2

网络环境总结：

        1. 由于R2的默认路由是PC2的IP，所以如果PC1 ping 192.168.2.6的情况是ping不通的，在PC2抓包，可以发现192.168.2.6回的ping包到PC2了（因为R2的默认路由是PC2的IP）。

        2. 在R2内部ping 192.168.1.5不可以ping通，但是如果ping的包加上400的mark值，则可以ping通192.168.1.5（走的策略路由的路由表3）。

需要实现的目标：

        PC1访问R2的192.168.2.6，R2可以通过eth2.2给PC1回包，而不是回给到了PC2。

二. 实现

 1. 思路

        1. 由上可知，PC1的ping包可以到R2的eth2.2，但是R2的回包没有通过路由表3设置的路由返回。所以如果要实现R2的回包走eth2.2，需要加上400的mark值。

        2. 要R2回PC1的包加上400的mark值，这是我们就需要用MARK和CONNMARK目标了。先让从eth2.2进来的包加上400的mark，然后将mark 400设置为该包所在连接的connmark，当R2回包时，将400的connmark值设置回R2的回包的mark，这时候，R2的回包就可以通过ip rule规则的fwmark找到路由表3，以192.168.2.5为默认路由，从eth2.2回到PC1。

2. 命令实现

iptables -t mangle -A PREROUTING -i eth2.2 -j MARK --set-mark 400
iptables -t mangle -A PREROUTING -j CONNMARK --save-mark

iptables -t mangle -A OUTPUT -m mark ! --mark 0 -j RETURN
iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark

iptables -t mangle -A PREROUTING -i eth2.2 -j MARK --set-mark 400 ：

        从eth2.2进来的包统统加上400的mark。

iptables -t mangle -A PREROUTING -j CONNMARK --save-mark ：

        将所有经过mangle表的PREROUTING链的包的mark设置为该包所在连接的connmark，这条指令主要作用于被上一条指令处理的包（加上了mark 400），对其余的包能匹配，但是没有影响，因为普通的包既没有mark，所在包的连接也没有connmark。

iptables -t mangle -A OUTPUT -m mark ! --mark 0 -j RETURN ：

        所有系统主动发出的包会经过mangle表的OUTPUT链，所以在该处首先判断经过的包是否带mark，如果带mark，则返回，不往下处理。因为系统主动发出的包带mark，可以确定不属于回从eth2.2进来的包，是系统内部主动对外发起的连接。

iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark ：

        这条规则是处理不带mark的包，带mark的到上一条规则后不继续向下匹配。该指令会将第二条规则加的connmark的连接，将该连接的connmark的值设置回该连接的包的mark，这样就可以通过mark查找到路由表3，通过eth2.2将包回到PC1。

三. 总结

        本文通过一个实际案例，进一步理解了MARK和CONNMARK的作用。加深了对数据包的mark和连接的connmark的理解。