Что такое конфигурация NAT iptables в cell_z1?
Когда я ssh в cell_z1. тогда я могу видеть эти таблицы маршрутизации.
$ sudo iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
w--prerouting all -- anywhere anywhere
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
w--prerouting all -- anywhere anywhere
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
w--postrouting all -- anywhere anywhere
Chain w--instance-coiaggg2s3f (1 references)
target prot opt source destination
DNAT tcp -- anywhere cell-z1-0.node.dc1.cf.internal tcp dpt:60036 /* ac4154dd-a2bd-41d8-46bb-c5dfa3c8bfb2 */ to:10.254.0.6:8080
DNAT tcp -- anywhere cell-z1-0.node.dc1.cf.internal tcp dpt:60037 /* ac4154dd-a2bd-41d8-46bb-c5dfa3c8bfb2 */ to:10.254.0.6:2222
Chain w--instance-coiaggg2s3l (1 references)
target prot opt source destination
DNAT tcp -- anywhere cell-z1-0.node.dc1.cf.internal tcp dpt:60040 /* 74ab1082-7eca-4a09-7364-b266a23a7fdf */ to:10.254.0.2:8080
DNAT tcp -- anywhere cell-z1-0.node.dc1.cf.internal tcp dpt:60041 /* 74ab1082-7eca-4a09-7364-b266a23a7fdf */ to:10.254.0.2:2222
Chain w--postrouting (1 references)
target prot opt source destination
MASQUERADE all -- 10.254.0.0/30 !10.254.0.0/30 /* executor-healthcheck-8946f5d6-063c-4bae-474d-0032f72b8fcb */
MASQUERADE all -- 10.254.0.4/30 !10.254.0.4/30 /* ef658bba-214d-4eef-5228-410e8e8aeb69 */
MASQUERADE all -- 10.254.0.8/30 !10.254.0.8/30 /* 3cb958eb-409a-4aa9-48f1-41bb6573ebc6 */
MASQUERADE all -- 10.254.0.12/30 !10.254.0.12/30 /* 9600ee8c-9e63-4682-bed3-b14767ea46d3 */
MASQUERADE all -- 10.254.0.16/30 !10.254.0.16/30 /* executor-healthcheck-eda5cee2-81be-4890-6d67-2a9f108d6dda */
Chain w--prerouting (2 references)
target prot opt source destination
w--instance-coiaggg2s3f all -- anywhere anywhere /* ac4154dd-a2bd-41d8-46bb-c5dfa3c8bfb2 */
w--instance-coiaggg2s3l all -- anywhere anywhere /* 74ab1082-7eca-4a09-7364-b266a23a7fdf */
Вопрос: какова цель этих направлений? Когда я скручиваю в cell_z1, он возвращает ошибку 301. Итак, я думаю, что это удалено.
- 10.254.0.6:8080
- 10.254.0.6:2222
- 10.254.0.2:8080
- 10.254.0.2:2222
Но это приводит к тому, что маршрутизатор возвращает ошибку 502 в каком-то отправленном приложении, когда маршрутизатор-эмиттер сопоставил порт этого приложения с 60036, 60037, 60040, 60041.
Моя среда: Хост ОС: Ubuntu Server 16.10 VirtualBox: 5.0.32
$ bosh -e bosh-lite releases
Using environment '192.168.50.4' as client 'admin'
Name Version Commit Hash
cf 254+dev.1* 80a8305a+
cf-mysql 34.2.0+dev.1* b8dcbe32
cf-rabbitmq 222.15.0+dev.1* 377afa0a+
cf-rabbitmq-test 0.1.7 98720fb8
cflinuxfs2-rootfs 1.60.0* 0b44b228+
diego 1.11.0+dev.1* 4ee830c6
garden-runc 1.4.0* 60f9e9dd
routing 0.147.0 255f268f
~ 0.136.0 d29132da+
ОБНОВЛЕНО 4/11/2017
Я обнаружил, что эта информация поступает из Кавасаки (Сетевая библиотека Хранителя). Я вижу таблицу маршрутов ниже. Но в отличие от 10.254.0.6, таблица маршрутов не имеет виртуального сетевого адаптера и маршрута для 10.254.0.2 (10.254.0.0/30)
$ route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 10.244.16.1 0.0.0.0 UG 0 0 0 wcl8gbnff7q4-1
10.244.16.0 * 255.255.255.0 U 0 0 0 wcl8gbnff7q4-1
10.254.0.4 * 255.255.255.252 U 0 0 0 wbrdg-0afe0004
1 ответ
Когда вы развертываете приложение в CF, оно запускается в контейнере на одной из ваших клеток Diego. Контейнеру присвоен внутренний порт, в настоящий момент он всегда будет 8080 с Диего, а ячейка публикует внешний порт (для GoRouters). Внешний порт сопоставляется с внутренним портом с помощью правила iptables в ячейке. Я считаю, что это то, что вы видите / спрашиваете.
Таким образом, трафик проходит путь от вашего браузера до приложения в контейнере:
Browser -> HTTP(S) -> Load Balancer -> HTTP(S) -> GoRouter -> (HTTP) -> External Port on Cell -> iptables -> Internal Port in Container -> Application
Вам также может быть интересно узнать о порте 2222, это похоже, но порт используется для cf ssh трафик в контейнер.
Мирянин никогда не должен вручную удалять или корректировать какие-либо правила iptables на клетках Диего.