Linux

Fusion ubuntu20 网卡丢失

service network-manager stop
rm /var/lib/NetworkManager/NetworkManager.state
service network-manager start

sudo service NetworkManager stop
sudo rm /var/lib/NetworkManager/NetworkManager.state
sudo gedit /etc/NetworkManager/NetworkManager.conf
sudo service NetworkManager start

VXLAN

VXLAN 全称是 Virtual eXtensible Local Area Network，虚拟可扩展的局域网。它是一种 overlay 技术，通过三层的网络来搭建虚拟的二层网络

VXLAN 在现有的二层网络上 覆盖 一层虚拟的、由内核VXLAN模块负责维护的二层网络（注意是内核模块）

使得 在这个 VXLAN 之上的 “主机” ， 可以是 虚拟机 和 容器 ， 在这个二层网络上 像 在同一个局域网中那样 自由通信。 这些 虚拟机 和 容器 可以在不同的物理机 上。

VXLAN 会在宿主机上设置一个特殊的网络设备作为 隧道 的两端。这个设备叫做 VTEP （VXLAN tunnel end point 虚拟隧道端点）

VTEP 设备的作用其实根 flanneld 进程非常相似，但是它封装和解析的是 二层数据帧，而且这部分工作的执行流程全部是在内核里完成的。

外部以太网报头
外部IP报头
外部UDP报头
VXLAN Header
内部以太网报头
内部IP报头
…

在flannel中，宿主机上名叫 flannel.1 的设备就是 VLAN所需的VTEP设备，它既有IP地址，也有MAC地址

udp与tcp

1） TCP提供面向连接的传输，通信前要先建立连接（三次握手机制）； UDP提供无连接的传输，通信前不需要建立连接。
2） TCP提供可靠的传输（有序，无差错，不丢失，不重复）； UDP提供不可靠的传输。
3） TCP面向字节流的传输，因此它能将信息分割成组，并在接收端将其重组； UDP是面向数据报的传输，没有分组开销。
4） TCP提供拥塞控制和流量控制机制； UDP不提供拥塞控制和流量控制机制。

Linux bridge

要连接两个以上的 namespace ， 需要使用 Linux bridge。

网桥是二层网络设备，两个端口分别有一条独立的交换信道，不共享背板总线，可以隔离冲突 （比集线器性能好一些，集线器共享同一条背板总线）

不过目前网桥已经被具有更多端口、可隔离冲突域的交换机取代了。

Linux 网桥 和 其他的网络设备区别在于， 普通设备（例如网卡）只有两端，从一端进去从另一端出来。

物理网卡从网络中收到数据，转发给 内核协议栈 ， 从内核协议栈过来的数据会转发到外面的物理网络中。

Linux 网桥 有多个端口，数据可以从任何端口进来，然后取决于 MAC 地址，选择从哪个口出去，原理和交换机差不多

创建一个网桥

root@ubuntu:/home/lizhe# ip link add name br0 type bridge
root@ubuntu:/home/lizhe# ip link set br0 up
root@ubuntu:/home/lizhe# 

刚创建的网桥只有一端连接着协议栈

Linux veth pair

veth 是虚拟以太网卡 （ Virtual Ethemet ）的缩写。

veth 设备总是成对的，因此我们称之为 veth pair。 veth pair 常被用于 跨 network namespace 之间的通信，即分别将 veth pair 的两端放在不同的 namespace 里

仅有veth pair设备，容器是无法访问外部网络的。

从容器发出的数据包，实际上是直接进了 veth pair 设备的协议栈。

如果容器需要访问网络，则需要使用网桥等技术将 veth pair 设备接收的数据包转发出去。

sudo ip link add veth0 type veth peer name veth1

创建的 veth pair 在主机上表现为2块网卡，默认会创建在当前进程的命名空间内

这里的MTU默认是 1500，

可以看到默认的初始状态是 down，我们需要 设置它为 up 

lizhe@ubuntu:~$ sudo ip link set dev veth0 up
lizhe@ubuntu:~$ sudo ip link set dev veth1 up

配置ip

sudo ifconfig veth0 10.10.10.1/24

sudo ifconfig veth1 10.10.10.2/24 

如何查看某个 veth pair 两端的设备

veth0 10.10.10.1

veth1 10.10.10.2

这里他们都在一个网段上，如果你使用 ping 命令直接 ping 它们都可以ping通

但是 ping -I veth0 10.10.10.2 使用 veth0 ping veth1 是 ping不通的

我们尝试使用 tcpdump 来看看发生了什么

可以看到 veth1 没有相应 ARP 包，所以没有ping通

下面是cloud_dev上的解释

使用 root 用户修改内核中关于 ARP 的配置

# Linux IP 路由实现中有个限制，即任何从非 loopback 网卡进来的任何数据包的源地址不能是本机地址。因此要先取消该限制

echo 1 > /proc/sys/net/ipv4/conf/veth1/accept_local

echo 1 > /proc/sys/net/ipv4/conf/veth0/accept_local

# 假设一台主机从接口 A 收到一个包，其源地址为 <srcip> ，
# 若启用反向路径过滤功能，会以 <srcip> 作为目标 IP 去查找路由表，
# 如果得到的输出接口不为 A ，则认为反向路径过滤检查失败，内核就会丢弃该包。

echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter

echo 0 > /proc/sys/net/ipv4/conf/veth0/rp_filter

echo 0 > /proc/sys/net/ipv4/conf/veth1/rp_filter

再试一次

可以看到 ARP 通过了，我们的 IP 10.10.10.2 成功转换成了 52:e8:fe:e7:8b:05 ，但是仍然不通，

只有 ICMP echo request , 没有 reply ， 根据上面的解释，reply应该通过 localback 接口返回

监听一下 localback 接口得到

可以看到确实有 ICMP 的 reply 从 veth1 返回给 veth0 ， 但是为什么还是没 ping 通呢

Iptables

iptables 实际上包含两部分内容

一部分在 Linux 内核中 ， 叫做 NetFilter

另一部分在用户空间中，也就是我们平时用来定义规则的 iptables

TABLE

• Filter 用于过滤数据包
• Nat 用于网络地址转换
• Mangle 用于修改TOS
• Raw 优先级最高，会跳过 NAT 和 ip_conntrack，只使用在PREROUTING chain 和 OUTPUT chain 上

CHAIN

• PREROUTING：对数据包进行路由选择前（nat表中，DNAT）
• INPUT：路由选择之后，发现数据包目的地址是本机，入站时（filter表中）
• FORWARD：路由选择之后接收到需要通过防火墙发送给其它主机（转发时）（filter表）
• POSTROUTING：对数据包进行路由选择后，数据包到路由器进行路由判断之后经过的链（nat表，SNAT）
• OUTPUT：出站时（nat，filter表）

iptables主要有以下动作：

• ACCEPT：接收数据包
• DROP：丢弃数据包
• REJECT：丢弃数据包并返回一个错误包
• SNAT：做源地址转化
• DNAT：做目的地址转化
• MASQUERADE：地址伪装，用于动态IP
• LOG：将这条匹配消息保存到系统日志中
• REDIRECT:在防火墙所在的机子内部转发包或流到另一个端口
• 用户自定义的链名（net2all）：跳转到这条链下，进行匹配

确认系统的转发功能是打开的

echo 1 > /proc/sys/net/ipv4/ip_forward

1、iptables -L
查看filter表的iptables规则，包括所有的链。filter表包含INPUT、OUTPUT、FORWARD三个规则链。
说明：-L是--list的简写，作用是列出规则。

2、iptables -L [-t 表名]
只查看某个表的中的规则。
说明：表名一共有三个：filter,nat,mangle，如果没有指定表名，则默认查看filter表的规则列表（就相当于第一条命令）。
举例：iptables -L -t filter

3、iptables -L [-t 表名] [链名]

这里多了个链名，就是规则链的名称。
说明：iptables一共有INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING五个规则链。
举例：iptables -L INPUT
注意：链名必须大写。在Linux系统上，命令的大小写很敏感。

4、iptables -n -L
说明：以数字形式显示规则。如果没有-n，规则中可能会出现anywhere，有了-n，它会变成0.0.0.0/0

5、iptables -nv -L
说明：你也可以使用“iptables -L -nv”来查看，这个列表看起来更详细，对技术人员更友好

下面是一些具体例子

SNAT 源地址转换

SNAT一般作用在 POSTROUTING 上，最典型的应用是，多个用户通过一个外网口上网

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.1

所有来自于 192.168.10.0/24网段的数据包，通过 anywhere 访问网络的，目标地址都会被转换成 172.16.100.1

说人话就是，一个 IP 是 192.168.10.2 的 虚拟机，通过任意网卡请求 baidu.com ， 数据包都会进入 172.16.100.1

上图中的规则

MASQUERADE all -- 172.17.0.0/16 anywhere

是 docker 正在使用的规则

从 docker ip 段 172.17.0.0/16 发出的消息报，都会被发送到 MASQUERADE(动态伪装)

MASQUERADE(动态伪装) 可以实现自动寻找到外网地址，而自动将其改为正确的外网地址

例子

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

DNAT： 目的IP地址转换(PREROUTING)

出口网关再将目的地址替换为私网的源主机地址，发回内部主机。
DNAT主要有两大用处

• 发布内部服务器，让外面的internet用户能访问到内网的服务器
• 网络重定向

最直观的例子是

docker run -i -t --name nginx -p 80:80 nginx

这样得了一个ip是 172.17.0.2 的容器

DNAT目标地址转换规则

  0     0 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80

这条规则指的是

非 docker0 网卡发送到 tcp dpt:80 的地址 转发给 172.17.0.2:80

SNAT 规则

    0     0 SNAT       all  --  *      *       192.168.10.0/24      0.0.0.0/0            to:172.16.100.1

也就是我们之前配置的，所有来自于 192.168.10.0/24网段的数据包，通过 anywhere 访问网络的，目标地址都会被转换成 172.16.100.1

一般来说，单纯使用 iptables是不足以让docker的基础网络运行的，route也很重要

参考

https://www.cnblogs.com/linuxws/p/10924817.html