利用linux实现冗余因特网链路

《利用linux实现冗余因特网链路》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、利用Linux实现冗余因特网链路（1）随着因特网服务提供商（ISP）开始提供高速因特网链路，用户比较容易把服务放在自己的家用计算机上。但如果ISP出现故障的话，该怎么办呢？一种显而易见的解决方法就是，使用另一个ISP的冗余因特网连接。为了帮助建立采用冗余因特网连接的Linux主机，本文讨论了下列基本方面：1、配置主机，以便合理处理多个ISP的入站网络连接；2、出站网络连接的负载平衡；3、配置各种服务实现冗余；4、使用ipchains或者iptables配置防火墙。图1采用冗余因特网连接的Linux主机图1描述了本文提到的家庭计算机网络配置结构。图1中的Linux充当因特

2、网和内部局域网不同连接之间的防火墙。在本例中，以太网接口eth1使用DSL，以太网接口eht2使用线缆调制解调器。Linux主机对跨两个ISP的出站网络连接实现负载平衡。两个ISP的负载平衡功能并不局限于高速网络链路。同样这种技术也可以用于两个拨号连接之间实现负载平衡。图1中测试配置所用的主机是采用双处理器IntelCeleron533MHz的计算机，运行的是Linux内核为2.2.18的RedHat6.2。还在Linux内核为2.4.13的RedHat7.2环境中进行了测试。本文中的配置不需要双处理器系统，也不需要533MHzCPU。你可以重新使用配有32MBRAM的

3、老式Pentium100系统，充当防火墙。本文介绍的一些例子是RedHat所特有的，但稍微改动一下，就适用于其它版本的Linux。本文并不提供以太网网卡配置、Linux内核编译或DNS配置等方面的逐步讲解的详细内容。完成这些工作方面的信息在网上或者许多书里随处可得。http://www.linuxdoc.org/就是个相当好的信息资源。内核配置Linux内核2.2以及更高版本支持高级路由技术，为了提供Linux主机上的负载平衡及多条缺省路由，需要这项技术。为了支持多个因特网连接，编译时必须加入下面几个内核网络选项：CONFIG_IP_ADVANCED_ROUTER=yC

4、ONFIG_IP_MULTIPLE_TABLES=yCONFIG_IP_ROUTE_MULTIPATH=y如果要使用新内核的高级路由特性，就必须安装iproute工具包(如今该工具包随RedHat7.1一同发行)。可以从ftp://ftp.inr.ac.ru/ip-routing/获得iproute工具包。Iproute工具包为使用高级路由技术提供了两个特殊命令：ip和tc。有关ip命令的文档放在http://snafu.freedom.org/linux2.2/docs/ip-cref/ip-cref.html。IP源路由利用Linux实现冗余因特网链路（3）4、ip

5、tables-1.2.4#makeinstall5、/usr/src/linux#makeoldconfig对作为补丁添加到内核的CONFIG_IP_NF_MATCH选项回答m。6、重新编译内核，并重新启动。注意：这些指令是Linux内核2.4.13和iptables1.2.4所特有的。预计在将来某个时候，这些试验性功能会成为主流内核版本的一部分。防火墙脚本防火墙脚本的基本流程是依次配置INPUT、FORWARD和OUTPUT链。iptables防火墙脚本还要配置PREROUTING和POSTROUTING链。每个脚本都有注释，描述哪些流量被接收或被拒绝。REJECT会

6、忽略数据包，并且向发送者返回ICMP响应，通知发送者数据包已被丢弃。DENY(ipchains)或者DROP(iptables)索性丢弃数据包，不返回响应。这样有人探测某个端口时，系统如同不存在。本文中的防火墙脚本被编写成丢弃INPUT和FORWARD链上的数据包，以便不向远程系统返回响应。脚本将拒绝接受OUTPUT链上的数据包，这样如果是无效的出站数据包，本地系统就会收到响应。要将防火墙脚本安装在RedHat7.1系统上，就要把脚本放在/etc/init.d/firewall中，然后执行下列命令：#chkconfigfirewallon要为你的系统配置防火脚本，必须编

7、辑下列两行，定义内部和外部接口：INT_IFACE="eth0"EXT_IFACES="eth1eth2"INPUT链为所允许的服务在防火墙上开了通道，其它服务一概拒绝。你要为特定系统编辑服务列表。利用ipchains防火墙脚本中的下列几行，就可以允许入站连接：#ACCEPTTCPconnectionsforvarious#servicesfoundin/etc/servicesforserviceinftpsshsmtpdomainhttpauthldaphttps;doipchains-AINPUT-i$EXT_IFACE-ptcp-