传送门:
https://zenandidi.com/archives/2029
用 CentOS 7 纯手工打造属于自己的软路由服务器
一、前言
自从了解了软路由这玩意之后，它强大的性能以及高自由度就一直让我羡慕不已。
但是作为“懂” Linux 以及计算机网络的我来说，如果直接使用现成的软路由系统总感觉低估了自己的能力……而且我家里也已经有了一台 Linux 服务器，要是能做到物尽其用那就最好了。
于是我很早就计划着搭建一台属于自己的软路由服务器。可惜由于懒癌发作，一直没有动手。直到半个月前，家里的旧路由器终于坏了，这时候我才着手去研究它……
前前后后折腾了一整天，总算是完工了！感觉收获了不少东西。想想还是很有必要把整个配置过程整理完然后给大家分享一下！
本文纯属个人学习经验分享，写得可能会比较乱，仅供参考。如有错误，可以的话请及时提出，谢谢！
二、基本情况
2.1 现有设备
- 单网口 Linux 服务器一台（系统为 CentOS 7.5.1804，已关闭 SELinux）
- 八口 Cisco 可网管交换机一台
- 无线 AP 两台
- 光猫一台（20M 移动光纤）
2.2 需求
- 整个网络分为两个网段，一个供主人使用，另一个供客人使用。
- 主人网络和客人网络均通过服务器进行 NAT 上网，IP 地址由服务器自动分配。
- 主人网络和客人网络之间不能互访。
- 服务器提供 DHCP、DNS、HTTP、HTTPS 等各种服务，主人网络可以访问所有服务，客人网络不可访问除 DNS、DHCP 之外的所有服务。
- 为了方便地访问“外网”，需要在主人网络中部署透明代理服务，并且要做到自动分流“内外网”流量。
2.3 方案设计 & 原理简析
image
由于我的服务器上只有一个网口，所以必须配合划分了 VLAN 的交换机，把它当作一台单臂路由才能实现上述功能。
下面我划分了三个 VLAN：
- VLAN 1：连接光猫（WAN）
- VLAN 2：主人网络
- VLAN 3：客人网络
以下是交换机端口及 VLAN 的配置表：
| 端口号 | Gi0/1 | Fa0/1 | Fa0/2 | Fa0/3 | Fa0/4 | Fa0/5 | Fa0/6 | Fa0/7 | Fa0/8 |
|---|---|---|---|---|---|---|---|---|---|
| 端口模式 | Trunk |
Access |
Access |
Access |
Access |
Access |
Access |
Access |
Access |
| (Native) VLAN | 1 |
1 |
2 |
2 |
2 |
3 |
3 |
1 |
1 |
| 用途 | 连接服务器 | 连接光猫 | 连接主人 AP | 连接主房内有线网口 | 连接主房内有线网口 | 连接客房内有线网口 | 连接客人 AP | 未使用（关闭端口） | 未使用（关闭端口） |
以下是服务器网络接口的配置表：
| 接口名 | VLAN ID | IP 地址 | 用途 |
|---|---|---|---|
enp1s0 |
– | – | 连接交换机的物理接口 |
vlan1@enp1s0 |
1 |
（自动获取） | WAN 口 |
vlan2@enp1s0 |
2 |
192.168.200.1/24 |
主人网络接口 |
vlan3@enp1s0 |
3 |
192.168.201.1/24 |
客人网络接口 |
至于“外网”的访问，由于我的云主机流量充足，所以我使用「绕过大陆 IP」模式。
「双 S」-local 监听的地址和端口为 0.0.0.0:1080，「双 S」-redir 监听的地址和端口为 0.0.0.0:1081。
以下是“内外网”自动分流原理图：
image
说明
• 下面只介绍服务器网络接口、防火墙、DHCP 以及 DNS 服务器的配置方法，其他配置将不作过多的介绍。
• 由于需要大幅修改服务器网络接口的参数，所以建议使用带外（通过控制台）方式配置服务器。
• 如果大家需要参考使用我的配置，请先根据实际情况以及注释提示修改命令或配置文件再使用。
三、准备工作
3.1 卸载 CentOS 7 自带的防火墙
yum -y remove firewalld
3.2 卸载 NetworkManager
yum -y remove NetworkManager
3.3 安装必要的软件
yum -y install iptables-services ipset-service dnsmasq # 安装 iptables、ipset 服务，还有用作 DNS 和 DHCP 服务器的 dnsmasq
四、配置网络接口
4.1 删除现有的接口配置文件
rm /etc/sysconfig/network-scripts/ifcfg-*
4.2 配置连接交换机的物理接口
cat << EOF > /etc/sysconfig/network-scripts/ifcfg-enp1s0
DEVICE=enp1s0 # 接口名
TYPE=Ethernet # 接口类型为以太网
ONBOOT=yes # 开机自动启动接口
USERCTL=no # 不允许用户自行配置
BOOTPROTO=none # 不自动获取 IP 地址
EOF
4.3 配置 WAN 接口
cat << EOF > /etc/sysconfig/network-scripts/ifcfg-vlan1
DEVICE=vlan1
TYPE=vlan # 接口类型为 VLAN
VLAN=yes # 开启 VLAN 功能
VLAN_ID=1 # 设置 VLAN ID
PHYSDEV=enp1s0 # 绑定的物理设备
ONBOOT=yes
USERCTL=no
BOOTPROTO=dhcp # 通过 DHCP 获取 IP 地址
DEFROUTE=yes # 作为默认网关接口
PEERDNS=no # 手动配置 DNS
DNS=127.0.0.1
EOF
4.4 配置主人网络接口
cat << EOF > /etc/sysconfig/network-scripts/ifcfg-vlan2
DEVICE=vlan2
TYPE=vlan
VLAN=yes
VLAN_ID=2
PHYSDEV=enp1s0
ONBOOT=yes
USERCTL=no
BOOTPROTO=none
IPADDR=192.168.200.1
NETMASK=255.255.255.0
EOF
4.5 配置客人网络接口
cat << EOF > /etc/sysconfig/network-scripts/ifcfg-vlan3
DEVICE=vlan3
TYPE=vlan
VLAN=yes
VLAN_ID=3
PHYSDEV=enp1s0
ONBOOT=yes
USERCTL=no
BOOTPROTO=none
IPADDR=192.168.201.1
NETMASK=255.255.255.0
EOF
4.6 重启网络服务
systemctl restart network
4.7 开启 IPv4 转发
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p
五、配置 DNS、DHCP 服务
5.1 安装 & 配置 dns2socks
5.1.1 安装 dns2socks 主程序
说明
• 这个主程序是我自己编译的，我把它的默认监听地址和端口修改为127.0.0.1:1083；上游 DNS 服务器修改为8.8.8.8；SOCKS 服务器地址和端口修改为127.0.0.1:1080。如果想自己编译的话请自行下载源代码。
curl -s -o /usr/bin/dns2socks https://cloud.zenandidi.com/s/d9WMg3A8HlKrG3G/download
5.1.2 设置权限
chmod +x /usr/bin/dns2socks
5.1.3 安装 dns2socks 服务文件
cat << EOF > /lib/systemd/system/dns2socks.service
[Unit]
Description=Forward DNS requests to a DNS server via a SOCKS tunnel
After=network.target
[Service]
Type=simple
ExecStart=/usr/bin/dns2socks
[Install]
WantedBy=multi-user.target
EOF
5.1.4 启动服务
systemctl start dns2socks.service
5.1.5 设置开机自启动
systemctl enable dns2socks.service
5.2 配置 dnsmasq
5.2.1 备份原 dnsmasq 服务配置文件
mv /etc/dnsmasq.conf /etc/dnsmasq.conf.bak
5.2.2 创建 dnsmasq 主配置文件
cat << EOF > /etc/dnsmasq.conf
# 通用配置
conf-dir=/etc/dnsmasq.d,.rpmnew,.rpmsave,.rpmorig # 指定外部配置文件
resolv-file=/etc/resolv.dnsmasq.conf # 指定上游 DNS 服务器列表文件
# 主人网络 DHCP 服务器设置
dhcp-range=vlan2,192.168.200.2,192.168.200.254,255.255.255.0,86400s # DHCP 地址池设置（接口名，起始 IP，结束 IP，子网掩码，租约时间）
dhcp-option=vlan2,3,192.168.200.1 # 默认网关设置
dhcp-option=vlan2,6,192.168.200.1 # DHCP DNS 设置
# 客人网络 DHCP 服务器设置
dhcp-range=vlan3,192.168.201.2,192.168.201.254,255.255.255.0,86400s
dhcp-option=vlan3,3,192.168.201.1
dhcp-option=vlan3,6,192.168.201.1
# 静态 IP 设置格式
# dhcp-host=<以冒号分割的 MAC 地址>,
EOF
下面把「可能被污染的域名」交由 dns2socks 解析。
curl -s https://cloud.zenandidi.com/s/9tw3jpWAx0Mo9Aa/download >> /etc/dnsmasq.conf
说明
• 由于「可能被污染的域名」列表较大，所以我把它打包成了一个文本文件然后放在我的服务器上。大家可以使用上面的命令将「可能被污染的域名」列表下载并直接导入到 dnsmasq 主配置文件中即可。
• 「可能被污染的域名」列表来源：KoolShare「双 S」插件（更新于 2018 年 04 月 22 日）。
5.2.3 创建上游 DNS 服务器列表文件
cat << EOF > /etc/resolv.dnsmasq.conf
# 格式（一行一个 DNS 服务器）
# nameserver
nameserver 8.8.8.8
nameserver 8.8.4.4
nameserver 1.1.1.1
nameserver 1.0.0.1
EOF
5.2.4 启动服务
systemctl start dnsmasq.service
5.2.5 设置开机自启动
systemctl enable dnsmasq.service
六、配置 ipset
6.1 启动服务
systemctl start ipset
6.2 设置开机自启动
systemctl enable ipset
6.3 清空地址集
ipset destroy
6.4 创建地址集
ipset create china_ip hash:net maxelem 65536 # 创建「大陆 IP 地址集」
6.5 往「大陆 IP 地址集」里面添加条目
说明
• 由于需要添加到「大陆 IP 地址集」中的条目较多，所以我把所有的命令打包成了一个脚本文件然后放在我的服务器上。大家可以直接使用我的脚本完成「大陆 IP 地址集」条目的添加。
• 「大陆 IP 地址集」条目来源：KoolShare「双 S」插件（更新于 2018 年 04 月 27 日）。⚠️ 注意
• 直接运行从 curl 下载的脚本是非常危险的！大家尽量不要这样做，这里仅仅是为了方便而已！
curl -s https://cloud.zenandidi.com/s/oxc59TsC0JAP3db/download | bash -x
6.6 保存地址集
ipset save > /etc/sysconfig/ipset
七、配置 NAT & 防火墙
7.1 准备工作
systemctl stop iptables # 停止服务
systemctl start iptables # 开启服务
systemctl enable iptables # 设置 iptables 开机启动
iptables -F # 清空 filter 表
iptables -X # 清空 filter 表自定义链
iptables -t nat -F # 清空 nat 表
iptables -t nat -X # 清空 nat 表自定义链
7.2 配置 NAT 规则
iptables -t nat -A POSTROUTING -o vlan1 -s 192.168.200.0/24 -j MASQUERADE # 开启主人网络到 WAN 的 PAT 转换
iptables -t nat -A POSTROUTING -o vlan1 -s 192.168.201.0/24 -j MASQUERADE # 开启客人网络 LAN 到 WAN 的 PAT 转换
7.3 配置防火墙规则
7.3.1 接口间转发规则
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许已建立的连接
iptables -A FORWARD -i vlan2 -o vlan1 -j ACCEPT # 允许主人网络访问 WAN
iptables -A FORWARD -i vlan3 -o vlan1 -j ACCEPT # 允许客人网络访问 WAN
iptables -P FORWARD DROP # 禁止其它转发
7.3.2 本机传入服务规则
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许已建立的连接
iptables -A INPUT -i lo -j ACCEPT # 允许本地接口所有传入连接
iptables -A INPUT -i vlan2 -p tcp --syn -m state --state NEW -m multiport --dports 22,53,80,443,1080,1081 -j ACCEPT # 允许主人网络发起的 SSH、DNS、HTTP、HTTPS、「双 S」连接
iptables -A INPUT -i vlan2 -p udp -m state --state NEW -m multiport --dports 53,67 -j ACCEPT # 允许主人网络发起的 DNS, DHCP 连接
iptables -A INPUT -i vlan3 -p udp -m state --state NEW -m multiport --dports 53,67 -j ACCEPT # 允许客人网络发起的 DNS, DHCP 连接
iptables -P INPUT DROP # 禁止其它传入连接
7.3.3 本机传出服务规则
iptables -P OUTPUT ACCEPT # 允许所有传出服务
7.4 配置透明代理
7.4.1 建立「双 S」专用链
iptables -t nat -N DUAL_S
7.4.2 把主人网络的所有 TCP 数据包送入「双 S」链中
iptables -t nat -A PREROUTING -i vlan2 -s 192.168.200.0/24 -p tcp -j DUAL_S
7.4.3 目的地址为「双 S」服务器、局域网、组播以及大陆 IP 不走「双 S」
iptables -t nat -A DUAL_S -d <「双 S」服务器 IP 地址> -j RETURN # 「双 S」服务器 IP 不走双 S
iptables -t nat -A DUAL_S -d 0.0.0.0/8 -j RETURN # 内网 IP 不走「双 S」，下同
iptables -t nat -A DUAL_S -d 10.0.0.0/8 -j RETURN
iptables -t nat -A DUAL_S -d 100.64.0.0/10 -j RETURN
iptables -t nat -A DUAL_S -d 127.0.0.0/8 -j RETURN
iptables -t nat -A DUAL_S -d 169.254.0.0/16 -j RETURN
iptables -t nat -A DUAL_S -d 172.16.0.0/12 -j RETURN
iptables -t nat -A DUAL_S -d 192.168.0.0/16 -j RETURN
iptables -t nat -A DUAL_S -d 224.0.0.0/4 -j RETURN # 组播 IP 不走「双 S」，下同
iptables -t nat -A DUAL_S -d 240.0.0.0/4 -j RETURN
iptables -t nat -A DUAL_S -p tcp -m set --match-set china_ip dst -j RETURN # 大陆 IP 不走「双 S」
7.4.4 其它 TCP 数据包一律走「双 S」
iptables -t nat -A DUAL_S -p tcp -j REDIRECT --to-ports 1081 # 其他 IP 全部走「双 S」
7.5 保存 iptables 设置
iptables-save > /etc/sysconfig/iptables
八、总结
该方案可以达到预期效果，但是仍有不完善的地方。
第一是没有在服务器上设置 QoS 来限制客人网络的网速（后来在交换机上设定了）。
第二是「可能被污染的域名列表」和「大陆 IP 地址集」无法实现自动更新。
不过现在就先这么用着吧，哈哈。