バックアップ通信とユーザー通信を分離するポリシールーティングの設定方法

エヴァ・ウォン

IceWhale author

エヴァ・ウォン は テクニカルライター であり ZimaSpaceの常駐ティンカーでもあります。 生涯のオタクであり、 ホームラボとオープンソースソフトウェアに情熱を持っています。彼女は複雑な技術的概念をわかりやすく、 実践的なガイドに翻訳することを専門としています。エヴァはセルフホスティングは楽しくあるべきで、怖がるものではないと信じています。彼女のチュートリアルを通じて、コミュニティが ハードウェアのセットアップを解明する手助けをしています。初めてのNAS構築からDockerコンテナの習得まで。

How to Set Up Policy Routing for Separate Backup and User Traffic - Zima Store Online

明示的な送信元アドレスまたはパケットマーク、専用のルーティングテーブル、範囲を限定したルールを使用して、バックアップトラフィックを分離します。メインのデフォルトルートを置き換えたり、同じホスト上の2つのワークロードをインターフェースメトリックで分類できると考えたりしないでください。

この設計は、対話的なユーザーには高速または低遅延のアップリンクを使用し、スケジュールされたバックアップにはセカンダリゲートウェイを使用させたい場合に役立ちます。リスクは非対称ルーティングです。要求とは異なるインターフェースから返信が送信されると、ステートフルファイアウォールやリモートピアによってセッションが拒否される可能性があります。コンソールアクセスを確保し、元のルールを記録してから、トラフィックを流し込む前に代替経路を構築してください。

安定して維持できる分類方法を選ぶ

バックアップサービスを1つのアドレスにバインドできる場合は、専用の送信元IPを使用します。変化する宛先アドレスに基づくルールよりも確認しやすく、サービスの再起動後も維持されやすくなります。

両方のワークロードが1つのアドレスを共有する場合は、ファイアウォールマークでバックアップ接続を分類し、そのマークを接続に保持します。Linuxのポリシールーティングは選択したテーブルを参照する前にルールを評価します。そのため、ルーティングポリシーデータベースが判断層となり、各テーブルがルートを保持します。

クラウドプロバイダーのIP範囲だけを基準に分類しないでください。ただし、その一覧を管理し、継続的に更新できる場合は除きます。安定した送信元、宛先、ポート、ユーザー、または名前空間のいずれによってもバックアップフローを識別できない場合は、いったん停止し、まずコンテナまたはネットワークインターフェースのレベルでワークロードを分離してください。

ルールを追加する前にバックアップ用テーブルを構築する

接続先サブネットへのルートと、バックアップゲートウェイのデフォルトルートを含む名前付きテーブルを作成します。接続先ルートがないと、デフォルトエントリが正しく見えても、ゲートウェイ自体に到達できない場合があります。

サービスが使用するのと同じ送信元アドレスまたはマークを指定するルートルックアップで、提案した判断を確認します。バックアップインターフェースと想定される送信元が表示されれば合格です。メインテーブルへのフォールバックが表示される場合は、分類方法または優先度が誤っています。

汎用的なメインテーブルルールより前に評価され、ローカルルートを上書きしない優先度で、範囲を限定したルールを追加します。同じターミナルセッション内に明示的なロールバックコマンドを用意し、変更対象の経路を使って最初のテストを行わないでください。

返信の対称性とローカルアクセスを維持する

アップストリームルーターが選択した送信元ネットワークへの戻りトラフィックを認識できることを確認するか、正しい出口境界でのみ送信元NATを適用します。ポリシールールは送信経路を選択できますが、リモートゲートウェイに未知のプライベートサブネットを理解させることはできません。

Linuxがメインテーブルに基づいて選択しないインターフェースに正当な返信が到着する場合は、逆方向パスフィルタリングを確認します。検証をグローバルに無効化するのではなく、マルチホーム構成に適したモードを使用し、両方のインターフェースでパケットキャプチャを取得して選択を検証してください。

分離が必要でない限り、管理、DNS、LANのトラフィックはメインテーブルに残します。マウントされたストレージパスにも依存するルーティング済みバックアップを使用する場合は、信頼性の高いネットワーク共有の使用に関するZimaSpaceガイドが役立ちます。

-15% OFF

ZimaBoard 2 - あなたの大きなアイデアのためのミニホームサーバー

Single board computer zimaboard2

成功だけでなく障害もテストする

対話的な転送を1つとバックアップを1つ開始し、インターフェースのカウンターと接続状態を確認します。ユーザーセッションがプライマリ経路に残ったまま、バックアップのバイト数だけがバックアップ用の出口で増加するはずです。

制御された時間帯に、バックアップゲートウェイを一時的にブロックまたは切断します。フェイルクローズ設計の場合、バックアップはユーザー用リンクへひそかに移行せず停止するはずです。フェイルオーバーを意図している場合は、その動作を文書化し、帯域幅に上限を設定してください。

一度再起動してから、元の同時実行ワークロードを繰り返し、ルールの順序とマークが永続化されていることを確認します。ルックアップ、パケットキャプチャ、アプリケーションログの内容が一致するまで停止しないでください。管理アクセスが変化した場合、返信が非対称になった場合、または無関係なトラフィックがバックアップテーブルに入った場合はロールバックします。