多IP進(jìn)行SNAT的問題

wchun

net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 900
net.ipv4.netfilter.ip_conntrack_buckets = 1048576
net.ipv4.netfilter.ip_conntrack_count = 56567
net.ipv4.netfilter.ip_conntrack_max = 1048576


由于網(wǎng)絡(luò)規(guī)模大，有幾千臺機(jī)器吧。高峰時(shí)期ip_conntrack_count 可以到20萬。使用6個(gè)公網(wǎng)地址做SNAT.

/sbin/iptables -t nat -A POSTROUTING -s 0.0.0.0/0 -j SNAT --to-source xxx.xxx.xxx.1-xxx.xxx.xxx.6

現(xiàn)在使用起來沒有任何問題。使用中發(fā)現(xiàn)公網(wǎng)地址是隨機(jī)的，瀏覽器刷新一次就會換一個(gè)。

統(tǒng)計(jì)/proc/net/ip_conntrack ，6個(gè)公網(wǎng)IP 利用均攤。

現(xiàn)在的問題是登陸論壇 郵箱等會不斷提示未登陸，無法通過驗(yàn)證。估計(jì)是服務(wù)器端發(fā)現(xiàn)來源ip改變的緣故。

不知道能否給小弟些建議？

platinum

針對特定的 destination 使用固定的 IP 去 SNAT

wchun

謝謝大哥回復(fù)，這個(gè)工作也太大了。
好多使用diz 的論壇存在這個(gè)問題，21cn的郵箱也有這個(gè)問題。
也想過不同的來源使用不同的公網(wǎng)IP進(jìn)行NAT，只因?yàn)榻?jīng)過兩層NAT，有幾個(gè)來源地址本身就是下一級的NAT，不好分。

不知道能不能netfiter處理snat的時(shí)候，使用完一個(gè)IP再去使用下一個(gè)IP，不出現(xiàn)隨機(jī) 平均使用的問題。

[ 本帖最后由 wchun 于 2006-9-29 12:47 編輯 ]

platinum

我有個(gè)問題
為何要浪費(fèi)那么多 IP 去 SNAT 呢？是怕 sock 不夠用嗎？

wchun

最理想的情況，只有65535個(gè)端口可以使用，我定義的是1024-65500，當(dāng)conntrack超過65535-的時(shí)候.發(fā)現(xiàn).丟包嚴(yán)重?zé)o法上網(wǎng)。
一個(gè)IP顯然是不夠的。
也不知道是不是我的理解不對，請指教。

platinum

1、“我定義的是1024-65500” 沒必要，畫蛇添足多此一舉
2、可以將網(wǎng)絡(luò)分成若干的段，分段做固定 IP 的 SNAT，這樣出了問題也相對好追究

wchun

謝謝回復(fù)，我進(jìn)行的NAT是在核心層，下面其中兩個(gè)區(qū)域已經(jīng)是通過NAT上來的，相當(dāng)于是兩次NAT。

wchun

^_^
默認(rèn)狀態(tài)，cat /proc/sys/net/ipv4/ip_local_port_range
1024    65000
想再增加500，呵呵。

ttvast

60000個(gè)端口，表示你可以向同一個(gè)ip地址同一個(gè)端口發(fā)起60000個(gè)連接，還不夠嗎？
你這種情況，請考慮使用iptables SAME target，不知道為什么這么重要的東西man里面沒有

SAME v1.2.11 options:
--to <ipaddr>-<ipaddr>
                                Addresses to map source to.
                                 May be specified more than
                                  once for multiple ranges.
--nodst
                                Don't use destination-ip in
                                           source selection

wchun

60000個(gè)端口，表示你可以向同一個(gè)ip地址同一個(gè)端口發(fā)起60000個(gè)連接？

好像不是這樣子的吧？

NAT必須要建立一個(gè)會話表來對應(yīng)數(shù)據(jù)包與內(nèi)部真實(shí)主機(jī)的對應(yīng)關(guān)系.