Shunze 學園 - 列印預覽: 《分享》不對稱路由bypass放行

Shunze 學園 (http://www.shunze.info/forum/index.php)
|- Cyberoam (http://www.shunze.info/forum/board.php?boardid=33)
|-- 《分享》不對稱路由bypass放行 (http://www.shunze.info/forum/threadid.php?boardid=33&threadid=1855)

作者: shunze 發表時間: 2014-11-23, 23:16:

《分享》不對稱路由bypass放行

在現實環境中有很多機會，會在Cyberoam中設定靜態路由以通導到另一個網段。
例如在內網192.168.1.0/24的環境中，default gateway是Cyberoam的192.168.1.254，
而通導到192.168.2.0/24網段則是透過另一顆router 192.168.1.253來進行。

為了達成需求，我們會在Cyberoam上設定一筆靜態路由，將通往192.168.2.0/24的封包導向192.168.1.253；
但如此一來也造成了一個不合理的現象，只有單向封包會經過Cyberoam，而構成了所謂的不對稱路由！

這種不對稱的封包流向會被比較嚴謹的Cyberoam視為問題封包而阻擋！
解決的方法是在Cyberoam中，對“不對稱路由”進行放行，指令如下。

set advanced-firewall bypass-stateful-firewall-config add source_network <來源網段> source_netmask <來源網段的子網路遮罩> dest_network <目的網段> dest_netmask <目的網段的子網路遮罩>

以本例來說，指令如下。

set advanced-firewall bypass-stateful-firewall-config add source_network 192.168.1.0 source_netmask 255.255.255.0 dest_network 192.168.2.0 dest_netmask 255.255.255.0

查看cyberoam裏，有哪些bypass不對稱路由指令如下。

show advanced-firewall

刪除不對稱路由bypass的指令與新增差不多，只是把add改為del而已。

set advanced-firewall bypass-stateful-firewall-config del source_network <來源網段> source_netmask <來源網段的子網路遮罩> dest_network <目的網段> dest_netmask <目的網段的子網路遮罩>

那麼從另一個角度來看，來自192.168.2.0/24過來192.168.1.0/24的封包要不要在192.168.1.253上設定bypass rule？
(假設192.168.2.253也是一顆Cyberaom)

以本例來說，是不需要的。
192.168.2.0的封包到達router 192.168.2.254後，直接轉為192.168.1.253去找同網段192.168.1.0/24的IP；
而192.168.1.0/24的IP回到來源網段192.168.2.0/24雖然還是經由default gateway 192.168.1.254再導向192.168.1.253的router，
但來回雙向都有在192.168.1.253通導，所以沒有不對稱路由的情況發生，
因此不需要在192.168.1.253上設定bypass放行規則。