2つのタップインターフェースをブリッジする

Question 1

念のため、あなたは完全な初心者だと言ったので、tun（レイヤー3）またはtap（レイヤー2）インターフェースはアプリケーションのネットワークインターフェースエンドポイントであり、アプリケーションはこのネットワークインターフェースからパケットを読み書きできます。あなたが作成するもの、ip tuntap add ...または時代遅れのものtunctlは次のとおりです。永続的な名前このようなエンドポイントの場合、通常はアプリケーションを実行しますが、アプリケーションを実行しない限り何も実行されません。

アプリケーションは設計上、ネットワークインターフェイスと対話するため、私が説明したこの通常の対話を「挿入」することを意味していない限り、サードパーティアプリケーションでパケットを「挿入」する必要はありません。

また、ネットワークをいじってみたい場合は、ネットワーク名前空間そしてベスペア基本的に、ネットワーク上の実際のコンピュータ間の通信を模倣できる仮想コンピュータをコンピュータ上に多数設定できます。

したがって、そうしたい場合、そしてパケットの作成と受信を行う独自のアプリケーションを操作したくない場合は、tun/tap インターフェイスは必要ありません。

とはいえ、パケットを「注入」するために何を使用するかが書かれていないので、少し変更を加えて設定をテストしました。2 つsocatのを使ってエンドポイントとをタップしtap0a、tap1aそれらをブリッジして、2socatつの異なる名前空間で別の 2 つのを使って正しいパケットを作成しました。ローカルパケットは常にループバック経由で配信されるため、それらは異なる名前空間にある必要がありますlo。

そして予想通り、ブリッジタップデバイスは正常に動作します。

したがって、問題は、挿入しているパケットにあると考えられます。イーサネットアドレスが間違っているか、ブロードキャストがありません。ARPtcpdump -xx ...パケットを挿入したときの出力を質問に含めて編集してください。

あるいは、ネットワーク名前空間を作成し、代わりに 2 つの veth ペアの 2 つのエンドポイントをブリッジしたいとお考えですか? その方がずっと簡単です。

編集

ARP パケットは正常です。に接続されているアプリケーションがないようですtap2。に接続されている場合は、のフラグip linkは表示されないはずです。推測: ブリッジはデバイスが部分的にしか起動していないことを検出し、このポートにパケットを送信しません。LOWER_UPtap2

それをtap次のように置き換えてみてくださいもっているそれに接続されたアプリケーション、例えば

sudo socat TUN:10.0.2.2/24,tun-name=tapx,tun-type=tap,iff-up - | hexdump -C

（10.0.2.2/24アドレスは何もしませんが、socatアドレスを指定しないと機能しません）、別のターミナルで

sudo ip link set tapx master br0

( を置き換えますbrctl addif)、パケットを数回挿入して、最初のウィンドウで 16 進ダンプが表示されるかどうかを確認します。でも確認しLOWER_UPますip link show dev tapx。

ちなみに、ifconfigとはbrctl古くなっています。代わりにipとを使用してくださいbridge。

ブリッジのポートにIPアドレスを割り当てなくても問題はありません。ブリッジポートはIPアドレスを持っていない（橋によって奴隷化される前に割り当てられたものがあった場合は無視されます）。例：ここ。

Answer

念のため、あなたは完全な初心者だと言ったので、tun（レイヤー3）またはtap（レイヤー2）インターフェースはアプリケーションのネットワークインターフェースエンドポイントであり、アプリケーションはこのネットワークインターフェースからパケットを読み書きできます。あなたが作成するもの、ip tuntap add ...または時代遅れのものtunctlは次のとおりです。永続的な名前このようなエンドポイントの場合、通常はアプリケーションを実行しますが、アプリケーションを実行しない限り何も実行されません。

アプリケーションは設計上、ネットワークインターフェイスと対話するため、私が説明したこの通常の対話を「挿入」することを意味していない限り、サードパーティアプリケーションでパケットを「挿入」する必要はありません。

また、ネットワークをいじってみたい場合は、ネットワーク名前空間そしてベスペア基本的に、ネットワーク上の実際のコンピュータ間の通信を模倣できる仮想コンピュータをコンピュータ上に多数設定できます。

したがって、そうしたい場合、そしてパケットの作成と受信を行う独自のアプリケーションを操作したくない場合は、tun/tap インターフェイスは必要ありません。

とはいえ、パケットを「注入」するために何を使用するかが書かれていないので、少し変更を加えて設定をテストしました。2 つsocatのを使ってエンドポイントとをタップしtap0a、tap1aそれらをブリッジして、2socatつの異なる名前空間で別の 2 つのを使って正しいパケットを作成しました。ローカルパケットは常にループバック経由で配信されるため、それらは異なる名前空間にある必要がありますlo。

そして予想通り、ブリッジタップデバイスは正常に動作します。

したがって、問題は、挿入しているパケットにあると考えられます。イーサネットアドレスが間違っているか、ブロードキャストがありません。ARPtcpdump -xx ...パケットを挿入したときの出力を質問に含めて編集してください。

あるいは、ネットワーク名前空間を作成し、代わりに 2 つの veth ペアの 2 つのエンドポイントをブリッジしたいとお考えですか? その方がずっと簡単です。

編集

ARP パケットは正常です。に接続されているアプリケーションがないようですtap2。に接続されている場合は、のフラグip linkは表示されないはずです。推測: ブリッジはデバイスが部分的にしか起動していないことを検出し、このポートにパケットを送信しません。LOWER_UPtap2

それをtap次のように置き換えてみてくださいもっているそれに接続されたアプリケーション、例えば

sudo socat TUN:10.0.2.2/24,tun-name=tapx,tun-type=tap,iff-up - | hexdump -C

（10.0.2.2/24アドレスは何もしませんが、socatアドレスを指定しないと機能しません）、別のターミナルで

sudo ip link set tapx master br0

( を置き換えますbrctl addif)、パケットを数回挿入して、最初のウィンドウで 16 進ダンプが表示されるかどうかを確認します。でも確認しLOWER_UPますip link show dev tapx。

ちなみに、ifconfigとはbrctl古くなっています。代わりにipとを使用してくださいbridge。

ブリッジのポートにIPアドレスを割り当てなくても問題はありません。ブリッジポートはIPアドレスを持っていない（橋によって奴隷化される前に割り当てられたものがあった場合は無視されます）。例：ここ。

Question 2

私はこれにかなり苦労しましたが、解決策にたどり着いたと思います。少なくとも、何が起こっているのかをよりよく理解できました。

受信側（「RX」）のタップインターフェースにパケットを配信する唯一の方法は、そのパケットをソケット記述子に書き込むことであるということを覚えておくことが重要です。蛇口を開けるプロセスによって作成された(およびopen("/dev/net/tun",...)経由ioctl)。一度にこのファイル記述子を持つことができるのは 1 つのプロセスだけです。タップデバイスが開かれているときに、別のプロセスが同じ名前の別のタップデバイスを再度開こうとすると、そのシステムコールは失敗します。

Wiresharkのような他のプロセスでは、生のソケットを開いてバインドしますそれにtap0、トラフィックを書き込むことしかできない外システムの（カーネルの観点から）つまり、Wireshark はTXのカウンターを増加させtap0、RXパケットのみがブリッジインターフェイスに転送されることになります。

それぞれのカウンターは次のように確認できます:

#!/bin/bash
for if in tap{0,1}; do
    stats=/sys/class/net/$if/statistics/
    rx=$(cat $stats/rx_packets)
    tx=$(cat $stats/tx_packets)
    echo "$if: rx=$rx, tx=$tx"
done

出力は次のようになります:

tap0: rx=0, tx=6
tap1: rx=0, tx=5

したがって、あなたの特定のケースでは、問題はここにあると思われます:

ARPlibpcap を使用してにパケットを注入するプログラムがありますtap1。 Wireshark はに入るパケットを正しく表示しますtap1。しかし、にはパケットが表示されませんtap2。

fd = open("/dev/net/tun", ...)どのようにして ARP パケットを tap1 に注入していますか? Wireshark はおよびを呼び出していないと想定しているioctl(fd, TUNSETIFF, ...)ため、送信されるパケットは TX となり、ブリッジされません。

それらのパケットをに転送してに表示するには、のファイル記述子tap0にパケットを書き込むために開くプログラムが必要になります。tap0br0tap1

Answer

私はこれにかなり苦労しましたが、解決策にたどり着いたと思います。少なくとも、何が起こっているのかをよりよく理解できました。

受信側（「RX」）のタップインターフェースにパケットを配信する唯一の方法は、そのパケットをソケット記述子に書き込むことであるということを覚えておくことが重要です。蛇口を開けるプロセスによって作成された(およびopen("/dev/net/tun",...)経由ioctl)。一度にこのファイル記述子を持つことができるのは 1 つのプロセスだけです。タップデバイスが開かれているときに、別のプロセスが同じ名前の別のタップデバイスを再度開こうとすると、そのシステムコールは失敗します。

Wiresharkのような他のプロセスでは、生のソケットを開いてバインドしますそれにtap0、トラフィックを書き込むことしかできない外システムの（カーネルの観点から）つまり、Wireshark はTXのカウンターを増加させtap0、RXパケットのみがブリッジインターフェイスに転送されることになります。

それぞれのカウンターは次のように確認できます:

#!/bin/bash
for if in tap{0,1}; do
    stats=/sys/class/net/$if/statistics/
    rx=$(cat $stats/rx_packets)
    tx=$(cat $stats/tx_packets)
    echo "$if: rx=$rx, tx=$tx"
done

出力は次のようになります:

tap0: rx=0, tx=6
tap1: rx=0, tx=5

したがって、あなたの特定のケースでは、問題はここにあると思われます:

ARPlibpcap を使用してにパケットを注入するプログラムがありますtap1。 Wireshark はに入るパケットを正しく表示しますtap1。しかし、にはパケットが表示されませんtap2。

fd = open("/dev/net/tun", ...)どのようにして ARP パケットを tap1 に注入していますか? Wireshark はおよびを呼び出していないと想定しているioctl(fd, TUNSETIFF, ...)ため、送信されるパケットは TX となり、ブリッジされません。

それらのパケットをに転送してに表示するには、のファイル記述子tap0にパケットを書き込むために開くプログラムが必要になります。tap0br0tap1

2つのタップインターフェースをブリッジする

答え1

答え2

関連情報