橋接兩個 Tap 接口

Question 1

以防萬一，因為你說你是個菜鳥：tun（第 3 層）或 tap（第 2 層）介面是應用程式的網路介面端點，應用程式可以從此網路介面讀取和寫入封包。您創建的內容ip tuntap add ...或過時的內容tunctl是持久名稱對於此類端點，您通常仍會運行該應用程序，並且除非您運行該應用程序，否則它不會執行任何操作。

由於應用程式與網路介面互動是設計問題，因此無需使用第三方應用程式「注入」資料包，除非您指的是「注入」我所描述的這種正常互動。

另外，如果您想嘗試網絡，我建議您使用網路命名空間和veth對。基本上，您可以在計算機上設定許多虛擬計算機，這些計算機可以模擬網路上真實計算機之間的通訊。

因此，如果您想這樣做，並且不想使用自己的應用程式建立和接收資料包，則不需要 tun/tap 介面。

也就是說，我只是測試了您的設置，略有不同，因為您沒有說明您使用什麼來“注入”數據包：我使用了兩個socats 來創建分接端點tap0a和tap1a，然後我橋接它們，並在中使用了另外兩個socats兩個不同的命名空間為我創建正確的資料包。它們需要位於不同的命名空間中，因為本地資料包將始終通過環回傳遞lo。

正如預期的那樣，橋接分路設備運作得很好。

所以我認為問題出在您注入的資料包中：錯誤的乙太網路位址，或沒有廣播。tcpdump -xx ...當您注入 ARP 封包時，請使用輸出編輯您的問題。

或者您可能想建立網路命名空間並橋接兩個 veth 對的兩個端點？這樣就簡單多了。

編輯

ARP 封包看起來不錯。似乎沒有連接到的應用程式tap2。如果這樣做ip link，您不應該看到的LOWER_UP標誌tap2。猜測：網橋偵測到裝置僅部分啟動，因此不會向該連接埠發送資料包。

tap嘗試用that替換它有連接到它的應用程序，例如

sudo socat TUN:10.0.2.2/24,tun-name=tapx,tun-type=tap,iff-up - | hexdump -C

（該10.0.2.2/24位址不會執行任何操作，但socat如果您不指定位址，則該位址將無法運作），並在另一個終端中

sudo ip link set tapx master br0

（替換brctl addif），然後多次注入資料包，看看是否在第一個視窗中得到十六進位轉儲。也要檢查LOWER_UP與ip link show dev tapx.

順便說一句，ifconfig已經brctl過時了。使用ipandbridge代替。

不為網橋連接埠分配 IP 位址並不重要，因為網橋連接埠沒有 IP 位址（如果他們在被橋奴役之前被分配了一些，他們就會被忽略）。參見例如這裡。

Answer

以防萬一，因為你說你是個菜鳥：tun（第 3 層）或 tap（第 2 層）介面是應用程式的網路介面端點，應用程式可以從此網路介面讀取和寫入封包。您創建的內容ip tuntap add ...或過時的內容tunctl是持久名稱對於此類端點，您通常仍會運行該應用程序，並且除非您運行該應用程序，否則它不會執行任何操作。

由於應用程式與網路介面互動是設計問題，因此無需使用第三方應用程式「注入」資料包，除非您指的是「注入」我所描述的這種正常互動。

另外，如果您想嘗試網絡，我建議您使用網路命名空間和veth對。基本上，您可以在計算機上設定許多虛擬計算機，這些計算機可以模擬網路上真實計算機之間的通訊。

因此，如果您想這樣做，並且不想使用自己的應用程式建立和接收資料包，則不需要 tun/tap 介面。

也就是說，我只是測試了您的設置，略有不同，因為您沒有說明您使用什麼來“注入”數據包：我使用了兩個socats 來創建分接端點tap0a和tap1a，然後我橋接它們，並在中使用了另外兩個socats兩個不同的命名空間為我創建正確的資料包。它們需要位於不同的命名空間中，因為本地資料包將始終通過環回傳遞lo。

正如預期的那樣，橋接分路設備運作得很好。

所以我認為問題出在您注入的資料包中：錯誤的乙太網路位址，或沒有廣播。tcpdump -xx ...當您注入 ARP 封包時，請使用輸出編輯您的問題。

或者您可能想建立網路命名空間並橋接兩個 veth 對的兩個端點？這樣就簡單多了。

編輯

ARP 封包看起來不錯。似乎沒有連接到的應用程式tap2。如果這樣做ip link，您不應該看到的LOWER_UP標誌tap2。猜測：網橋偵測到裝置僅部分啟動，因此不會向該連接埠發送資料包。

tap嘗試用that替換它有連接到它的應用程序，例如

sudo socat TUN:10.0.2.2/24,tun-name=tapx,tun-type=tap,iff-up - | hexdump -C

（該10.0.2.2/24位址不會執行任何操作，但socat如果您不指定位址，則該位址將無法運作），並在另一個終端中

sudo ip link set tapx master br0

（替換brctl addif），然後多次注入資料包，看看是否在第一個視窗中得到十六進位轉儲。也要檢查LOWER_UP與ip link show dev tapx.

順便說一句，ifconfig已經brctl過時了。使用ipandbridge代替。

不為網橋連接埠分配 IP 位址並不重要，因為網橋連接埠沒有 IP 位址（如果他們在被橋奴役之前被分配了一些，他們就會被忽略）。參見例如這裡。

Question 2

我為此苦苦掙扎，並認為我已經找到了解決方案。或者，至少，更好地了解正在發生的事情。

重要的是要記住，將資料包傳送到接收端（“RX”）的 Tap 介面的唯一方法是將該資料包寫入套接字描述符由打開水龍頭的進程創建（通過open("/dev/net/tun",...)和ioctl）。一次只有一個進程可以擁有該檔案描述符。如果一個 Tap 設備已打開，並且另一個進程嘗試重新開啟另一個同名的 Tap 設備，則該系統呼叫將失敗。

因此，當您有任何其他進程（例如wireshark）時，打開原始套接字然後綁定那至tap0，它只能寫入流量出去系統的（從核心的角度）。也就是說，wireshark 應該會增加TX的計數器tap0，並且只有RX封包會被轉送到橋接介面。

您可以檢查每個計數器，例如：

#!/bin/bash
for if in tap{0,1}; do
    stats=/sys/class/net/$if/statistics/
    rx=$(cat $stats/rx_packets)
    tx=$(cat $stats/tx_packets)
    echo "$if: rx=$rx, tx=$tx"
done

輸出如下：

tap0: rx=0, tx=6
tap1: rx=0, tx=5

因此，根據您的具體情況，我懷疑問題出在這裡：

我有一個使用 libpcap注入ARP資料包的程式。 tap1Wireshark 正確顯示進入的資料包tap1。但是，沒有資料包出現在處tap2。

如何將 ARP 封包注入到 tap1 中？我假設wireshark沒有呼叫fd = open("/dev/net/tun", ...)and ioctl(fd, TUNSETIFF, ...)，因此發送的資料包將是TX，因此不會橋接。

tap0您將需要打開將資料包寫入的文件描述符的程序，tap0以使這些資料包在上轉發br0並顯示在上tap1。

Answer

我為此苦苦掙扎，並認為我已經找到了解決方案。或者，至少，更好地了解正在發生的事情。

重要的是要記住，將資料包傳送到接收端（“RX”）的 Tap 介面的唯一方法是將該資料包寫入套接字描述符由打開水龍頭的進程創建（通過open("/dev/net/tun",...)和ioctl）。一次只有一個進程可以擁有該檔案描述符。如果一個 Tap 設備已打開，並且另一個進程嘗試重新開啟另一個同名的 Tap 設備，則該系統呼叫將失敗。

因此，當您有任何其他進程（例如wireshark）時，打開原始套接字然後綁定那至tap0，它只能寫入流量出去系統的（從核心的角度）。也就是說，wireshark 應該會增加TX的計數器tap0，並且只有RX封包會被轉送到橋接介面。

您可以檢查每個計數器，例如：

#!/bin/bash
for if in tap{0,1}; do
    stats=/sys/class/net/$if/statistics/
    rx=$(cat $stats/rx_packets)
    tx=$(cat $stats/tx_packets)
    echo "$if: rx=$rx, tx=$tx"
done

輸出如下：

tap0: rx=0, tx=6
tap1: rx=0, tx=5

因此，根據您的具體情況，我懷疑問題出在這裡：

我有一個使用 libpcap注入ARP資料包的程式。 tap1Wireshark 正確顯示進入的資料包tap1。但是，沒有資料包出現在處tap2。

如何將 ARP 封包注入到 tap1 中？我假設wireshark沒有呼叫fd = open("/dev/net/tun", ...)and ioctl(fd, TUNSETIFF, ...)，因此發送的資料包將是TX，因此不會橋接。

tap0您將需要打開將資料包寫入的文件描述符的程序，tap0以使這些資料包在上轉發br0並顯示在上tap1。

橋接兩個 Tap 接口

答案1

答案2

相關內容