# 8.4 特殊狀況：路由器兩邊界面是同一個 IP 網段： ARP Proxy ## 8.4 特殊狀況：路由器兩邊界面是同一個 IP 網段： ARP Proxy 如果你一開始設計的網絡環境就是同一個 Class C 的網域，例如 192.168.1.0/24 ， 后來因為某些因素必須要將某些主機搬到比較內部的環境中，例如[圖 8.2-1](#fig8.2-1)的 clientlinxu, winxp, win7。 然后又因為某些因素，所以你不能變更這些計算機的 IP，此時你的同一網域就會橫跨在一個路由器的左右兩邊了！ 舉例來說，聯機圖示有點像底下這樣：  圖 8.4-1、在路由器兩個界面兩邊的 IP 是在同一個網域的設定情況 初次見面～看到眼睛快要掉下來哩！怎么路由器的兩邊的主機 IP 設定都在同一個網域內？而且還被規定不能夠更改原先的 IP 設定， ...真是一個頭兩個大啊～如此一來，在 Linux Router 兩邊要如何制作路由啊？好問題！真是好問題～ 因為 OSI 第三層網絡層的路由是一條一條去設定比對的，所以如果兩塊網卡上面都是同一個網域的 IP 時， 就會發生錯誤。那如何處理啊？ 我們先從兩方面來說，第一個，當從正確的網段 (PC1) 要聯機到 PC2~PC4 時，他應該是要透過 Linux Router 那部主機的對外 IP (192.168.1.100) 才行！而且 Linux Router 還必須要讓該封包透過內部 IP (192.168.1.200) 聯機到 PC2~PC4 。 此時，封包傳遞的圖示有點像這樣：  圖 8.4-2、正常的網段想要傳送到內部計算機去的封包流向 在這個階段，我們可以設定PC2~PC4 的 IP 所對應的網卡卡號 (MAC) 都設定在 router 的對外網卡上， 因此， router 的對外接口可以將給 PC2~PC4 的封包給『騙』過來。接下來，就簡單的透過路由設定，讓封包轉個接口發送出去即可。 這樣 PC1 --> PC2 的問題解決了，但是 PC2 怎么傳送到 PC1 呢？我們可以透過底下的圖示來想象一下：  圖 8.4-3、內部計算機想要傳送到正常網域時的封包流向 當 PC2 要傳送的封包是給 PC3, PC4 的，那么這個封包得要能夠直接傳遞。但是如果需要傳送到正常網域的封包，就得要透過 router 的對內網卡，再透過路由規則來將該封包導向外部接口來傳遞才行！這個時候就變成內部的接口欺騙 PC2 說， PC1 與 Router A 的 IP 是在內部這張接口上就是了，然后再透過路由判斷將該封包透過外部接口來對外傳遞出去即可。 假設 Linux router 的對外界面為 eth0 而對內為 eth1 時，我們可以這樣說： 1. 當 Linux Router 的 eth0 那個網域主機想要連接到 PC2~PC4 的主機時，由 Linux Router 負責接收； 2. 當 Linux Router 要傳送數據到 PC2~PC4 時，務必要由 eth1 來傳送； 3. 當內部計算機想要連接到 PC1 或 Router A 時，由 Linux router 的 eth1 負責接收； 4. 當 Linux Router 要傳送的數據為 192.168.1.0/24 ，但并非 PC2~PC4 時，需由 eth0 傳送。 上列的步驟與圖示內的線條上的順序相符合呦！得要對照著看看。其中的 (1) 與 (3) 就是透過 ARP Proxy (代理) 的功能啦！ 那啥是 ARP Proxy 呢？簡單的說，就是讓我的某張適配卡的 MAC 代理其他主機的 IP 對應，讓想要連接到這個 IP 的 MAC 封包由我幫他接下來的意思。舉我們圖 8.4-1 的例子來說，就是在 Linux Router 的 eth0 界面上，規定 192.168.1.10, 192.168.1.20, 192.168.1.30 這三個 IP 都對應到 eth0 的 MAC 上，所以三個 IP 的封包就會由 eth0 代為收下，因此才叫做 ARP 代理人嘛！所以啦，每一部在 eth0 那端的主機都會『誤判』那三個 IP 是 Linux Router 所擁有，這樣就能夠讓封包傳給 Linux Router 啦！ 再接下來，咱們的 Linux Router 必須要額外指定路由，設定情況為： - 若目標是 PC2 ~ PC4 時，該路由必須要由內部的 eth1 發送出去才行， - 若目標不為 PC2 ~ PC4 ，且目標在 192.168.1.0/24 的網域時，需由 eth0 發送出去才行。 也就是說，你必須要指定路由規則當中，那個 PC2~PC4 具有優先選擇權，然后其他的同網域封包才由 eth0 來傳送。 這樣就能夠達成我們所想要的結局啦！^\_^！看樣子似乎很難，其實設定方面還挺簡單的，你可以透過 arp 以及 route 這兩個指令來達成喔！ - 外部接口 eth0：08:00:27:71:85:BD - 內部接口 eth1：08:00:27:2A:30:14 ``` # 1\. 先設定外部 eth0 的 ARP Proxy，讓三個 IP 對應到自己的 MAC [root@www ~]# arp -i eth0 -s 192.168.1.10 08:00:27:71:85:BD pub [root@www ~]# arp -i eth0 -s 192.168.1.20 08:00:27:71:85:BD pub [root@www ~]# arp -i eth0 -s 192.168.1.30 08:00:27:71:85:BD pub [root@www ~]# arp -n Address HWtype HWaddress Flags Mask Iface 192.168.1.30 * * MP eth0 192.168.1.10 * * MP eth0 192.168.1.20 * * MP eth0 # 首先需要讓外部接口擁有三個 IP 的操控權，透過這三個指令來建立 ARP 對應！ # 2\. 開始處理路由，增加 PC2~PC4 的單機路由經過內部的 eth1 來傳遞 [root@www ~]# route add -host 192.168.1.10 eth1 [root@www ~]# route add -host 192.168.1.20 eth1 [root@www ~]# route add -host 192.168.1.30 eth1 [root@www ~]# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 192.168.1.20 0.0.0.0 255.255.255.255 UH 0 0 0 eth1 192.168.1.10 0.0.0.0 255.255.255.255 UH 0 0 0 eth1 192.168.1.30 0.0.0.0 255.255.255.255 UH 0 0 0 eth1 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1 0.0.0.0 192.168.1.254 0.0.0.0 UG 0 0 0 eth0 # 這樣就處理好單向的單機路由啰！不過有個問題啊！那就是 192.168.1.0/24 # 的網域，兩個接口都可以傳送！因此，等一下第四個步驟得要將 eth1 刪除才行！ 3\. 設定一下內部的 ARP Proxy 工作 (綁在 eth1 上頭啰)！ [root@www ~]# arp -i eth1 -s 192.168.1.101 08:00:27:2A:30:14 pub [root@www ~]# arp -i eth1 -s 192.168.1.254 08:00:27:2A:30:14 pub # 這樣可以騙過 PC2 ~ PC4 ，讓這三部主機傳遞的封包可以透過 router 來傳遞！ 4\. 開始清除掉 eth1 的 192.168.1.0/24 路由 [root@www ~]# route del -net 192.168.1.0 netmask 255.255.255.0 eth1 ``` 所有的計算機都在同一個網域內，因此 default gatway 都是 192.168.1.254 ，而 netmask 都是 255.255.255.0， 只有 IP 不一樣而已。最后，所有的計算機都可以直接跟對方聯機，也能夠順利的連上 Internet ！ 這樣的設定就能夠滿足上述的功能需求啰！如果一切都沒有問題，那么將上述的指令寫成一個腳本檔， 例如 /root/bin/network.sh ，然后將該檔案設定為可執行，并將它寫入 /etc/rc.d/rc.local ， 同時每次重新啟動網絡后，就得要重新執行一次該腳本，即可達到你的需求啰！ 透過這個案例你也可以清楚的知道，能不能聯機其實與路由的關系才大哩！ 而路由是雙向的，你必須要考慮到這個封包如何回來的問題喔！ - - - - - -