Quelltext der Seite Policy Based Routing

{{Wettbewerb}}

{{UnderConstruction}}

Dieser Artikel will die Grundlagen von Policy Based Routing sowie die zugehörigen Konfigurationsmöglichkeiten unter Linux erklären. Der Artikel setzt voraus, dass der Leser grundlegendes Verständnis im Thema Routing unter Linux hat. route, nestat, Routing Table, NAT, Masquerading und ähnliches sollten als keine Fremdwörter für den Leser sein.

== Was ist Policy Based Routing? ==
Unter dem Begriff "Policy Based Routing" versteht man die Möglichkeit Routing Entscheidungen an Hand eines vordefinierten Regelwerkes
zu treffen. Dies unterscheided sich stark von den bisher eingesetzten Routingmöglichkeiten bei welchen ein Router nur an Hand des Zieles eines Datenpaketes entscheided an welchen Next Hop das Paket weitergereicht wird. 

Mit PBR ist es nun möglich das ein Router auch die Quelle eines Paketes, die Größe des Paketes, bestimmte Flags, das Protokoll und noch vieles mehr berücksichtig und dann entscheided was der Next Hop für das Paket sein soll.

Für Weiteres siehe Quelle [1].

=== Vorteile von PBR (Oder: Wozu braucht man das überhaupt?) ===

Sie auch Quelle [2].

==== Ereichen des gleichen Ziels über zwei Verbindungen ====
In der Vergangenheit als das Internet noch überschaubar war, hatte man oftmals zwei Anbindungen an seine Kommunikationspartner. Eine über ein kommerzielles Netz, welche zuverlässig aber teuer war und eine Anbindung über das Internet, welche günstig aber unzuverlässig war.

Je nachdem von wo nun Daten zum Partner geschickt wurden, wurde entweder die kommerzielle oder die öffentliche Anbindung genutzt. Man musste also an Hand der Quelle der Daten unterschieden welche Daten wie geroutet wurden. Das sonst übliche Routing auf Basis des Zieles konnte man hier nicht einsetzen, da das Ziel ja jedesmal identisch war.

==== QoS ====
Heute dürfte [http://de.wikipedia.org/wiki/QoS QoS] (Quality of Service) eine größere Rolle spielen. 

Angenommen ein Internetprovider hat zwei Kundengruppen: Privatkunden und Firmenkunden. Die Privatkunden zahlen nur einen geringen Preis für die Internetanbindung, wärend die Firmenkunden einen hohen Preis zahlen. Nun möchten die Firmenkunden natürlich auch einen höhere Verbindungsgeschwindigkeit garantiert bekommen als dies für die Privatkunden üblich ist. In einem solchen Umfeld könnte der der Internetprovider an Hand der Quelle eines Datenpaketes entscheiden ob dieses mit Vorgang behandelt wird oder nicht. 

Ein weiteres Szenario kennt man von [http://de.wikipedia.org/wiki/VoIP VoIP] (Voice over IP). Die Datenpakete eines Telefongespräches müssen zügig beim Empfänger ankommen, wenn man vermeiden will dass dieser ein Echo, oder einfach eine "schlechte Leitung" im Gespräch hört. Bandbreite steht leider nicht unbegrenzt zur Verfügung, so dass man entscheiden muss welches Datenpaket über eine bessere Leitung (weil schneller) übertragen wird und welche nicht. Auch hier kann PBR wieder helfen. Anhand des im Paket eingesetzten Protokolls kann ein Router der PBR-fähig ist entscheiden ob ein Datenpaket über ein gute Leitung geschickt werden muss, oder ob es eine weniger gute Leitung nehmen kann.

==== Sonstiges ====
In letzter Zeit kam leider auch das Thema "[http://de.wikipedia.org/wiki/Netzneutralit%C3%A4t Netzneutralität]" 
[http://www.heise.de/newsticker/meldung/69346 in den Medien] auf. Auch dies wäre ein Anwendungsfall für PBR.

=== Nachteile von PBR ===
Die Nachteile von PBR liegen vor allem im höhren Administrationsaufwand. Das Regelwerk für die Router muss erstellt und gepflegt werden. Dynamisches Routing wird schwieriger einzubinden und auch die Fehlersuche im Netzwerk wird komplizierter, da man nicht einfach ein Traceroute absetzen kann um zu sehen welche Route die Daten nehmen würden (dies kann sich von der Route des Traceroutes nämlich unterscheiden).

== Konfiguration von PBR unter Linux ==
=== Voraussetzungen ===
Damit PBR unter Linux funktioniert, muss der Kernel dies unterstützen. Die Kernel der größeren Distributionen sind heute standardmäßig mit den notwendigen Optionen übersetzt worden, so dass man sich nicht selbst darum kümmern muss. Wer seinen Kernel selbst kompiliert sollte darauf achten, dass CONFIG_IP_ADVANCED_ROUTER und CONFIG_IP_MULTIPLE_TABLES auf "y" gesetzt sind.

Des Weiteren benötigt man das Programm "ip" welches sich, je nach Distribution, im Paket "iproute" bzw. "iproute2" befindet. Dieses Programm wird heute meist automatisch bei der Installation mitgeliefert, so dass man es in den seltensten Fällt nachinstallieren muss.

=== Prinzip (oder: Erklär mir wie es funktioniert, ohne mir die Sourcecodekommentare zu zeigen) ===
Wie muss man sich das Policy Based Routing technisch vorstellen? 

Vorweg eine kurze Anmerkung. Ich verwende nachfolgende sowohl Router als Firewall gleichwertig. Zwar kann eine Firewall mehr als ein Router, allerdings ist diese mehr für das Policy Based Routing vorerst nicht von Interesse.

Das klassische Destination-Based Routing arbeitet folgendermaßen. Ein Datenpaket erreicht den Router/Firewall und durchläuft erstmal die PreRouting-Tabelle des Firewallsystems (vergleiche: http://de.wikipedia.org/wiki/Bild:Nfk-traversal.png). Unter Umständen kann das Paket hier verändert werden. Dies erläutere ich später noch genauer. Nach der PreRouting-Tabelle steht die Routing Entscheidung an. D.h. der Router muss nun entscheiden ob und wohin das Paket weitergeleitet werden muss. Diese Entscheidung traff der Router bisher anhand einer Tabelle, der sogenannten Routing Tabelle. In dieser Tabelle stand nur drin, was der Next Hop, also der nächste Weiterleitungspunkt für ein Paket mit einem bestimmten Ziel ist. Anbei ein klassische Routingtabelle:

  Ziel            Router          Genmask         Flags Metric Ref    Use Iface
  192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 ra0
  192.168.181.0   0.0.0.0         255.255.255.0   U     0      0        0 vmnet1
  172.16.143.0    0.0.0.0         255.255.255.0   U     0      0        0 vmnet8
  0.0.0.0         192.168.1.2     0.0.0.0         UG    0      0        0 ra0


Das Policy Based Routing erweitert diese Konzept nun folgendermaßen. Statt einer Routingtabelle gibt es gleich mehrere. root kann sogar eigene Tabellen anlegen. Jede Tabelle hat eigene Einträge wie bei sie auch die klassiche Routingtabelle hat. Der Router hat nun also mehrere Tabellen in denen er nachschauen kann was der Next Hop für ein bestimmtest Ziel hat. Soweit, sogut, jedoch muss der Router nun noch wissen in welcher der vielen neuen Tabellen er jetzt tatsächlich nachschauen muss.

Hier kommt ein Rule List (= Regel Liste) ins Spiel. Innerhalb dieser Liste steht in welcher Routingtabelle der Router nachschauen soll. Als Kriterium kommen bestimmte Eigenschaften des Datenpaketes in Frage, wie Quell-IP, Type of Service, Firewall Remark oder auch das Netzwerkinterface über welches das Paket reinkam.

Auf gut Deutsch kann in der Liste also drin stehen:

  Wenn ein Paket von 192.168.2.17 kommt, dann siehe in Routing Tabelle 5 nach.

Natürlich steht das nicht wirklich so drin. Eine echte Rulelist sieht so aus:

  0:      from all lookup local
  2000:   from all lookup 2
  3000:   from all lookup 3
  3500:   from all tos 04 lookup 32
  4000:   from 192.168.0.14 lookup 4
  4000:   from 192.168.0.3 lookup 4
  4000:   from 192.168.0.121 lookup 4
  4000:   from 192.168.0.30 lookup 4
  32000:  from all lookup 32
  32766:  from all lookup main
  32767:  from all lookup default

(Quelle siehe: Quellen am Ende der Seite, Quelle Nr. 5)

Die Zahlen vor den Anweisungen stellen die Priorität dar. Das heißt das System geht die Liste in der Reihenfolge der Zahlen durch. Wenn das Kriterum, in diesem Fall die "from ..." Anweisungen auf das Paket passen wird die Regel ausgeführt. In diesem Fall die verschieden "lookup"s. Das bedeutet wenn eine Regel greift wird in der zugehörigen Routingtabelle nachgeschaut. Findet sich in der Routingtabelle ein Eintrag der auf das Paket zutriff, wird also das Ziel des Paketes in der Tabelle erwähnt, so ist die Abarbeitung abgeschlossen. Der Router hat sich also entschieden. Findet der Router in der Tabelle keinen Routingeintrag, so geht er zur nächsten Eintrag der _Regelliste_ über und prüft diese. Dieses passiert solange bis eine Route gefunden wurde, oder die Regelliste komplett durchlaufen ist.

Übrigens die Zahlen hinter den Lookups sind natürlich die verschiedenen Routingtabellen. Diese "numersichen" Tabellen sind von root manuell angelegt worden. Die Routing Tabellen "local", "main" und "default" sind standardmäßig enthalten. local enthält alle Regeln die sich aus der Konfiguration der Netzwerkkarten ergeben. Dementsprechend kann diese Routingtabelle (als einzige) nicht von root verändert werden. "main" enthält die Routingtabelle wie man sie vom normalen Destinationbased-Routing kennt. Man kann sich diese Tabelle mit dem Befehl "route" ansehen. "default" wird normalerweise als letzte  ausgeführt und dient dem Aufräumen. Alles was bisher zu keinem Ergebniss geführt hat sollte hier abgehandelt werden. Standardmäßig ist diese Tabelle allerdings leer.


=== Die Praxis ===
Genug der Theorie, nun ein wenig Praxis. Nachfolgend die Erklärung wie man eigene Regeln der Rulelist hinzufügt.
Hierzu braucht man das Programm "ip". ip ist ein echtes Schwergewicht in Sachen IP-Konfiguration. Es bietet unzählige Möglichkeiten und eine entsprechend lange Manpage. Darüber hinaus hat ip sogar noch eine eigenbaute Hilfefunktion, die man mit "ip help" aufrufen kann. 

Nun endlich genug der Worte. Wir wollen nun eine Regel anlegen, die auf Deutsch aussagt:

  Wenn die Quelle des Paketes gleich 192.168.1.17 ist, dann schaue in Routingtabelle 17 nach.

Das geht so. Einfach als root folgendes eintippen:

  ip rule add from 192.168.1.17 table 17

Anschließend kann man sich das Ergebnis, also die veränderte Rulelist so ansehen:

  ip rule list

oder wer es gerne kurz mag kann auch

  ip ru ls

verwenden. Das ganze sollte jetzt so aussehen:

  0:      from all lookup local 
  32765:  from 192.168.1.17 lookup 17 
  32766:  from all lookup main 
  32767:  from all lookup default 

Wie man sehen kann wurde die Regel als erste der letzten eingefügt, also also die höchste noch frei Priorität bekommen. Man dies beeinflusse in dem man die Priorität selbst festlegt. Das geht so:

  ip rule add from 192.168.1.17 prio 2 table 17

Wenn man sich nun die Liste wieder ansieht erhält man dies:

  0:      from all lookup local 
  2:      from 192.168.1.17 lookup 17 
  32765:  from 192.168.1.17 lookup 17 
  32766:  from all lookup main 
  32767:  from all lookup default 

Unsere Regel steht zweimal drin. Das war eigentlich nicht beabsichtigt, ist aber kein Problem, man kann Regeln natürlich wieder löschen, und zwar so:

  ip rule del from 192.168.1.17 prio 32765 table 17

Nun sollte die Regelliste wieder so aussehen:

  0:      from all lookup local 
  2:      from 192.168.1.17 lookup 17 
  32766:  from all lookup main 
  32767:  from all lookup default 


Wie gesagt kann man noch mehr als nur die Quelle als Selektionskriterum verwenden. Z.B. das [http://de.wikipedia.org/wiki/IP-Paket#TOS_.28Type_of_Service.29 TOS] Feld:

  ip rule add from all tos 04 table 18

Zu deutsch würde diese Regel bedeuten:

  Wenn ein Paket, egal welche QuellIP, beim TOS Feld den Wert 04 hat, dann siehe in Tabelle 18 nach.

Das ist alles schon recht nett, richtig spannend wird es aber erst, wenn man das ganze mit iptables kombiniert. Dann entfalltet PBR erst seine ganze Herrlichkeit. Netfilter/iptables ist in der Lage ein Paket abhängig von bestimmten Werten (wie z.B. den Serviceport) zu markieren. Diese Markierung kann ip wiederum erkennen und als Kritierum verwenden. Ein kleines Realweltbeispiel:

Angenommen man hat einen Server im Internet mit der IP Adresse a.b.c.d. Diese IP Adresse erreicht man über das Internet oder über eine spearate VPN Verbindung vom eigenen PBR-fähigen Router. Nun möchte man dass die Benutzer im eigenen Netzwerk Mails über die verschlüsselte VPN Verbindung senden. Normale https Verbindungen sollen aber nicht über die VPN Verbindung laufen, da eine zusätzliche Verschlüssung hier nur unnötigen Overhead darstellt. 

Der Router hat nun also zwei Routingtabellen (Nr. 2 und Nr. 3). Nr. 2 ist die Verbindung über das Internet. D.h. der Next Hop für das Ziel a.b.c.d ist 192.168.1.1 über das Netzwerkinterface ra0. Tabelle Nr. 3 stellt die Tabelle für die VPN Verbindung dar. In dieser Tabelle ist der Next Hop für Ziel a.b.c.d die IP 10.0.0.10 über das Interface tun0.

Da ip rule add keine Möglichkeit bietet das TCP Destination Port Feld als Kriterium auszuwählen kann man keine direkte Regel erzeugen. Statt dessen muss man mit IPtables die Pakete markieren und anhand dieser Markierung filtern. Das geht nun so. Zuerst markieren wir das Paket:

  iptables -A PREROUTING -t mangle -p tcp -d a.b.c.d --dport 443 -j MARK --set-mark 2
  iptables -A PREROUTING -t mangle -p tcp -d a.b.c.d --dport 25  -j MARK --set-mark 3

Zu gut Deutsch:

   Füge zur PREROUTING-Kette folgendes hinzu: Wenn das Ziel a.b.c.d ist und der Zielport 443, dann gebe dem Paket die Markierung 2
   Füge zur PREROUTING-Kette folgendes hinzu: Wenn das Ziel a.b.c.d ist und der Zielport 25, dann gebe dem Paket die Markierung 3
  
Alle https Pakete tragen nun also die Markierung 2, alle SMTP Pakete die Markierung 3.

Nun muss man noch die entsprechende Regeln setzen:

  ip rule add fwmark 2 table 2
  ip rule add fwmark 3 table 3

Somit werden Pakete mit gleichem Ziel, aber unterschiedlichen tcp Ports anhand unterschiedlicher Routingtabellen geroutet. Das war es was _im Prinzip_ wir erreichen wollten. Einige Hinweise noch: Es macht keinen Sinn die Markierung erst in der POSTROUTING-Kette zu setzen. Wie der Name schon sagt wurde die Routingentscheidung ja schon getroffen bevor die POSTROUTING-Kette durchlaufen wird. ip würde von der gesetzten Marke also längst nichts mehr mitbekommen.

Nun kann man also Regeln setzten wie man möchte. Allerdings wurde noch mit keinem Wort erwähnt mit man nun die Routingtabellen wirklich füllt. Keine Sorge das folgt jetzt:

Die Regelliste ist logischerweise nur die halbe Miete, denn damit kann man zwar sagen welche Routingtabelle genutzt werden soll, allerdings nützt einem dies gar nichts wenn die ganzen Routingtabellen leer sind. Diese muss man auch noch erstellen und füllen. Dies funktioniert auch mit "ip". Bleiben wir im Beispiel mit dem fwmark, welches als letztes erwähnt wurde. Hier kommen zwei Routingtabellen zum Einsatz, Nr. 2 und Nr. 3. Bisher gibt es diese Tabellen noch gar nicht, ergo würde das Routing noch nicht wirklich funktionieren. Wir müssen die beiden Tabellen erstellen.
Fangen wir mit Nr. 2 an. Diese soll wie gesagt die Daten über das Internet routen. Für das Ziel a.b.c.d. ist in diesem Fall der Next Hop der Router mit der IP 192.168.1.1 welcher sich über das Interface ra0 erreichen lässt.
Um dieses zu realisieren muss man folgendes eingeben.

  ip route add a.b.c.d table 2 via 192.168.1.1 dev ra0

Das via 192.168.1.1 stellt natürlich den Next Hop da und dev ra0 bezeichnet die Netzwerkkarte. 
Nun noch die Tabelle Nr. füllen. Dies soll für das gleiche Ziel (a.b.c.d) den Next Hop 10.0.0.10 nehmen welcher sich über das Interface tun0 erreichen lässt:

  ip route add a.b.c.d table 3 via 10.0.0.10 dev tun0

Nun noch schnell anzeigen lassen ob das ganze geklappt hat:

  ip route list table 2
    a.b.c.d via 192.168.1.1 dev ra0 

  ip route list table 3
    a.b.c.d via 10.0.0.10 dev tun0

Prima, hat geklappt. Das Policy Based Routing für unser kleines Beispiel sollte jetzt funktionieren. Mails werden über die VPN Verbindung verschickt, https Verkehr läuft über das Internet. Das alles ohne das die Clients im Netzwerk etwas merken!

Übrigens sollte man sich beim Anlegen einer Router vertippt haben sollen kann man die Route natürlich auch wieder löschen. So würde man die erste Route löschen:

  ip route del a.b.c.d table 2 via 192.168.1.1 dev ra0

Auch ein ändern einer bestehenden Regel wäre möglich:

  ip route change a.b.c.d table 2 via 192.168.1.1 dev ra0 via 192.168.1.2

Damit wäre nicht 192.168.1.1 der Next Hop sondern 192.168.1.2.

== Abschlussbemerkung ==

Ich hoffe die Grundlagen von Policy Based Routing mit Linux konnte ich in diesem Artikel erläutern. Natürlich sind nicht alle Möglichkeiten von PBR ausgeschöpft. Allein ip und iptables bieten schier unendlich viele Möglichkeiten, deren komplette Auflistung den Rahmen dieses Artikels bei weitem sprengen würden. Falls noch Fragen zum Thema offen sind stehe ich gerne für Antworten bereit. Meine Kontaktdaten finden sich auf meiner Homepage: http://www.benjaminfleckenstein.de

== Quellen ==
# [http://en.wikipedia.org/wiki/Policy_based_routing Englischer Wikipedia Eintrag zum Thema Policy Based Routing]
# [http://www.policyrouting.org/PolicyRoutingBook/ONLINE/TOC.html Policy Based Routing with Linux - Online Edition]
# [http://linux-net.osdl.org/index.php/Iproute2 Homepage von iproute2]
# [http://gentoo-wiki.com/TIP_Dual-Homed_Gentoo_Server Gentoo Seite welchen den Kernelsupport erläutert]
# [http://www.compendium.com.ar/policy-routing.txt Policy based routing MICRO-HOWTO]
# [http://www.linuxfaq.de/f/cache/1266.html#tth_sEc3 Wie man mit iptables Pakete markiert]