시스템 관리_20 멀티홈 서버 환경의 비대칭 라우팅과 rp_filter 패킷 드롭 원인 및 정책 기반 라우팅 해결 가이드

# 1. 라우팅 테이블 및 기본 게이트웨이(Default Gateway) 확인
$ ip route show
default via 192.168.1.1 dev eth0 proto static 
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100 
10.0.0.0/24 dev eth1 proto kernel scope link src 10.0.0.100 
# -> 디폴트 게이트웨이가 eth0으로만 잡혀 있어 eth1로 들어온 외부 트래픽 응답도 eth0으로 나가려고 함

# 2. 커널의 역방향 경로 필터(rp_filter) 설정값 확인
$ sysctl -a | grep "\.rp_filter"
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.eth0.rp_filter = 1
net.ipv4.conf.eth1.rp_filter = 1
# -> rp_filter 값이 1(Strict Mode)이면 비대칭 경로로 들어온 패킷은 커널에서 즉시 드롭됨

# 3. rp_filter에 의해 드롭된 패킷 카운터 증가 여부 점검
$ nstat -az TcpExtIPReversePathFilter
# TcpExtIPReversePathFilter           142                0.0
# -> 카운터가 지속적으로 증가한다면 rp_filter에 의해 패킷이 폐기되고 있음을 의미

# 4. eth1로 인입되는 SYN 패킷과 응답 여부를 tcpdump로 교차 추적
# 터미널 1: eth1 캡처
$ sudo tcpdump -nn -i eth1 port 80
# 10:00:01 IP 203.0.113.5.54123 > 10.0.0.100.80: Flags [S], seq ... (SYN 유입 확인)

# 터미널 2: eth0 캡처 (비대칭 라우팅 발생 시 응답 SYN-ACK가 eth0으로 나감)
$ sudo tcpdump -nn -i eth0 port 80
# 10:00:01 IP 10.0.0.100.80 > 203.0.113.5.54123: Flags [S.], seq ... (출구 불일치 확인)

#!/bin/bash
# check_multihome_routing.sh - Diagnose Asymmetric Routing and rp_filter issues

echo "=========================================="
echo " [멀티홈 네트워크 및 비대칭 라우팅 진단]"
echo "=========================================="

# 1. 활성 네트워크 인터페이스 목록 수집
INTERFACES=$(ip -o link show | awk -F': ' '$2 != "lo" {print $2}')

echo -e "\n[1] 인터페이스별 rp_filter 설정 점검:"
ALL_RP=$(sysctl -n net.ipv4.conf.all.rp_filter)
echo "  - net.ipv4.conf.all.rp_filter = $ALL_RP"

for IFACE in $INTERFACES; do
    IFACE_RP=$(sysctl -n net.ipv4.conf."${IFACE}".rp_filter 2>/dev/null)
    if [ -n "$IFACE_RP" ]; then
        STATUS="정상"
        [ "$IFACE_RP" -eq 1 ] && STATUS="엄격(Strict) - 비대칭 패킷 드롭 위험"
        [ "$IFACE_RP" -eq 2 ] && STATUS="느슨(Loose) - 권장"
        [ "$IFACE_RP" -eq 0 ] && STATUS="비활성화(Off)"
        echo "  - ${IFACE}: rp_filter = ${IFACE_RP} (${STATUS})"
    fi
done

# 2. rp_filter 패킷 드롭 통계 확인
echo -e "\n[2] rp_filter 패킷 폐기 통계:"
if command -v nstat &>/dev/null; then
    DROP_COUNT=$(nstat -az TcpExtIPReversePathFilter | awk 'NR>1 {print $2}')
    echo "  - 총 폐기된 패킷 수(TcpExtIPReversePathFilter): ${DROP_COUNT:-0}"
else
    echo "  - nstat 유틸리티가 없어 통계를 건너뜁니다."
fi

# 3. 정책 기반 라우팅 규칙(ip rule) 점검
echo -e "\n[3] 정책 라우팅 규칙(ip rule) 점검:"
IP_RULES=$(ip rule show | grep -v "from all lookup" | grep -v "lookup local")
if [ -z "$IP_RULES" ]; then
    echo "  [경고] 출발지 IP 기반 라우팅 규칙(ip rule)이 정의되어 있지 않습니다."
    echo "  -> 보조 NIC로 들어온 트래픽이 기본 게이트웨이(Default GW)로 역라우팅될 가능성이 높습니다."
else
    echo "  [정상] 사용자 정의 정책 라우팅 규칙이 감지되었습니다:"
    echo "$IP_RULES" | sed 's/^/    /'
fi

# 4. /etc/iproute2/rt_tables 커스텀 테이블 등록 점검
echo -e "\n[4] 커스텀 라우팅 테이블(rt_tables) 등록 여부:"
CUSTOM_TABLES=$(grep -vE "^#|^255|^254|^253|^0" /etc/iproute2/rt_tables)
if [ -n "$CUSTOM_TABLES" ]; then
    echo "  [확인] 등록된 커스텀 테이블:"
    echo "$CUSTOM_TABLES" | sed 's/^/    /'
else
    echo "  [안내] 기본 테이블 외 추가 등록된 커스텀 테이블이 없습니다."
fi

echo -e "\n=========================================="
echo " [진단 완료]"
echo "=========================================="

# 임시 적용
sudo sysctl -w net.ipv4.conf.all.rp_filter=2
sudo sysctl -w net.ipv4.conf.eth1.rp_filter=2

# 영구 적용 (/etc/sysctl.d/99-routing.conf)
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.eth1.rp_filter = 2