Telegram-канал networkadm - Network Admin: Unsorted

Network Admin

03 Apr 2025 20:08

Глубокая изоляция сервисов через VRF в Linux: полный контроль сетевого трафика

Разнесение трафика по разным VRF (Virtual Routing and Forwarding) позволяет изолировать сервисы на сетевом уровне, что критично для защиты управления сетью, отделения production-трафика от служебного и ограничения доступа между сервисами.

В этом посте разберём создание VRF, его интеграцию с iptables, а также работу с Docker и Kubernetes.

1️⃣Базовая настройка VRF в Linux

В Linux VRF создаётся через ip link и ip rule/ip route.

Создаём VRF и привязываем интерфейсы:

ip link add vrf_secure type vrf table 100
ip link set dev eth1 master vrf_secure
ip link set dev eth2 master vrf_secure

Теперь eth1 и eth2 работают в изолированной маршрутизационной таблице.

Добавляем маршруты:

ip rule add from 10.10.10.0/24 table 100
ip route add default via 10.10.10.1 table 100

Это перенаправит трафик из 10.10.10.0/24 в VRF-таблицу 100.

2️⃣Ограничение взаимодействия между VRF

По умолчанию трафик между VRF изолирован, но при необходимости можно разрешить его через ip rule:

ip rule add iif vrf_secure oif vrf_public table main

Если нужно полностью запретить утечку данных между VRF, используем iptables:

iptables -A FORWARD -i eth1 -o eth2 -j DROP

Либо отфильтровываем по VRF:

iptables -A INPUT -m vrf --vrf-name vrf_secure -j DROP

3️⃣ Интеграция с контейнерами (Docker, Kubernetes)

Docker с VRF (macvlan)

Чтобы контейнеры получали IP из VRF, создаём macvlan-сеть:

docker network create -d macvlan \
  --subnet=192.168.100.0/24 \
  --gateway=192.168.100.1 \
  -o parent=eth1 vrf_net

При запуске контейнера привязываем его к сети:

docker run --network vrf_net --name test-container -d nginx

Kubernetes (CNI + VRF)

В Kubernetes можно использовать Multus CNI, добавляя VRF в сетевые политики:

apiVersion: k8s.cni.cncf.io/v1
kind: NetworkAttachmentDefinition
metadata:
  name: vrf-net
spec:
  config: '{
    "cniVersion": "0.3.1",
    "type": "macvlan",
    "master": "eth1",
    "ipam": {
      "type": "host-local",
      "subnet": "192.168.100.0/24",
      "rangeStart": "192.168.100.100",
      "rangeEnd": "192.168.100.200",
      "routes": [{"dst": "0.0.0.0/0"}],
      "gateway": "192.168.100.1"
    }
  }'

После этого поды могут работать с VRF-сетью, а трафик остаётся изолированным.

4️⃣ Диагностика и мониторинг VRF

Чтобы проверить, какие процессы используют VRF, можно выполнить:

ip vrf exec vrf_secure ss -tulnp

Отобразится список сокетов, привязанных к VRF.

Для мониторинга сетевых потоков используем tcpdump:

tcpdump -i eth1 -nn -w capture.pcap

А для выявления утечек между VRF можно анализировать пакеты через conntrack:

conntrack -L | grep 10.10.10

N.A. ℹ️ Help