O SynProxy não pode retornar pacotes syn ack com topologia de ponte dupla assimétrica

Eu tenho uma topologia de ponte dupla assimétrica, como mostrado abaixo, quando me conecto de 172.16.11.5 e 172.16.10.6 com ssh, mas não consigo conectar por causa do SynProxy.

                  -------
                  |     |
                  ---o--- 172.16.11.5
                     |
                     |
                -----o----- 172.16.11.6
                |         |
                |         | default gw 1.1.1.1
                |         |
     1.1.1.2/30 --o----o--- 2.2.2.2/30
                  |    |
                  |    |
                  |    | (enp10s0f0)
              ----o----o-----
              |             |
              |     XXX     |
              |             |
              |  br1   br0  | synproxy
              |             |
              ----o----o-----
                  |    |
                  |    |
                  |    |
     1.1.1.1/30 --o----o--- 2.2.2.1/30
                |         |
                |         | default gw 2.2.2.2
                |         |
                -----o----- 172.16.10.1
                     |
                     |
                  ---o--- 172.16.10.6
                  |     |
                  -------

Em todas as máquinas entre 172.16.11.5 e 172.16.10.6, "rp filtering" está desativado e "ip forwarding" está ativado. Há uma máquina no meio da topologia, chamada máquina "XXX". XXX tem duas pontes e um SynProxy.

Quando o SynProxy está desativado no XXX, posso executar o ping de 172.16.11.5 a 172.16.10.6 e os pacotes icmp seguem este caminho: br1-> 172.16.10.1-> 172.16.10.6-> 172.16.10.1-> br0. Além disso, eu posso acessar de 172.16.11.5 a 172.16.10.6 com ssh. Portanto, o tráfego TCP funciona como eu esperava.

No entanto, quando o SynProxy está ativado no XXX, posso executar o ping de 172.16.11.5 a 172.16.10.6 e os pacotes icmp seguem o mesmo caminho. Mas não consigo acessar de 172.16.11.5 a 172.16.10.6 usando o ssh. Isso ocorre porque o synproxy não pode enviar respostas do syn ack pelo br1 iface. Se eu adicionar uma rota para pacotes synack no XXX, eu posso conectar de 172.16.11.5 a 172.16.10.6 com o ssh.

route add 172.16.11.5 dev enp10s0f0

Regras do SynProxy para XXX:

iptables -t raw -A PREROUTING -i br0 -p tcp -m physdev --physdev-in 
enp10s0f0 -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CT --notrack
iptables -t raw -A PREROUTING -i br1 -p tcp -m physdev --physdev-in 
enp11s0f0 -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CT --notrack

iptables -t filter -A FORWARD -i br0 -p tcp -m physdev --physdev-in 
enp10s0f0 -m tcp -m state --state INVALID,UNTRACKED -j SYNPROXY 
--sack-perm --timestamp --wscale 7 --mss 1460
iptables -t filter -A FORWARD -i br0 -m physdev --physdev-in enp10s0f0 
-m state --state INVALID -j DROP
iptables -t filter -A FORWARD -i br1 -p tcp -m physdev --physdev-in 
enp11s0f0 -m tcp -m state --state INVALID,UNTRACKED -j SYNPROXY 
--sack-perm --timestamp --wscale 7 --mss 1460
iptables -t filter -A FORWARD -i br1 -m physdev --physdev-in enp11s0f0 
-m state --state INVALID -j DROP

Mas isso não é aceitável porque a rede 172.16.11.0 é nuvem. Portanto, não foi possível adicionar a rota toda a rede em nuvem à tabela de roteamento e não foi possível adicionar o endereço mac à tabela arp.

Como conectar-me da máquina 172.16.11.5 à máquina 172.16.10.6 usando o ssh quando o SynProxy está ativado no XXX? ou é possível?

Desde já, obrigado,

— nyzsirt
fonte

Você pode dizer quais valores as medium_idinterfaces de ponte no synproxy têm? Além disso, quais são suas regras SYNPROXY reais em todas as tabelas?

— Alexander Janssen

Adicionei regras do iptables para o SynProxy. Mas eu não sei nada sobre medium_id. Eu procurei rapidamente na internet, mas não é

— exagero

A maneira mais simples de corrigir isso é alterar as rotas padrão nas máquinas de gateway para usar a mesma ponte para que não seja mais assimétrica.

Em 172.16.11.6, defina o padrão como 2.2.2.1 (via br0)
Em 172.16.10.1, defina o padrão como 2.2.2.2 (via br0)

Estou curioso para saber por que foi projetado dessa maneira ... qual é o objetivo da segunda ponte?

— Complicado
fonte