整體流程
1.對于outflow和inflow先打上mark標(biāo)簽
2.兩者的標(biāo)簽分別在OUTPUT和PREROUTING 的規(guī)則加上打標(biāo)簽的邏輯
3.在2中繼續(xù)添加tproxy轉(zhuǎn)發(fā)的規(guī)則屑柔，即加上要轉(zhuǎn)發(fā)哦的端口（因為肯定是本地的ip）
4.添加策略路由，有對應(yīng)remark的都走lo路由
在out那邊打上mark
---只要不是root進(jìn)程sidecar發(fā)出的流量則都被攔截到sidecar
iptables -t mangle -A OUTPUT -p tcp -m owner ! --uid-owner 0 -j LOG --log-prefix "outFlow" --log-tcp-sequence --log-uid
iptables -t mangle -A OUTPUT -p tcp -m owner ! --uid-owner 0 -j DIVERT
iptables -t mangle -A DIVERT -j MARK --set-mark 1
//這邊是直接給sk_buffer 里面的socket替換為要連接的listener socket 或者已經(jīng)establishede的socket
iptables -t mangle -A DIVERT -j TPROXY --tproxy-mark 1 --on-port 9300
iptables -t mangle -A DIVERT -j ACCEPT
在input那邊打上mark
1.如果是已經(jīng)建立了tproxy的socket則直接打上標(biāo)簽然后開始路由
iptables -t mangle -N DIVERT #在nat表上新建名為DIVERT自定義鏈
已建立的socket且被tproxy標(biāo)記過的數(shù)據(jù)包執(zhí)行DIVERT--即是socket 且有transparent屬性的直接進(jìn)入divert
這個代表這個tcp實際上已經(jīng)通過tproxy的設(shè)置變?yōu)榱苏嬲膖proxy的socket了所以 不需要在進(jìn)入到tproxy的轉(zhuǎn)發(fā)里面了
iptables -t mangle -A PREROUTING -p tcp -m socket --transparent -j DIVERT
iptables -t mangle -A DIVERT -j MARK --set-xmark 0x10000000/0xf0000000 #進(jìn)入DIVERT設(shè)置標(biāo)記
iptables -t mangle -A DIVERT -j ACCEPT
2.只要是tcp的都走M(jìn)YMANGLE纸兔，其內(nèi)部直接判斷目標(biāo)端口是80的就走M(jìn)Y_TCP
iptables -t mangle -N MYMANGLE
iptables -t mangle -A PREROUTING -p tcp -j MYMANGLE #MYMANGLE鏈加入到PREROUTING
對目標(biāo)端口是80的的tcp協(xié)議直接走M(jìn)Y_TCP
iptables -t mangle -A MYMANGLE -p tcp -m multiport --dports 80 -j MY_TCP #80端口的包執(zhí)行MY_TCP
3.MY_TCP內(nèi)部直接設(shè)置轉(zhuǎn)向的本機端口驾中，并且?guī)蠘?biāo)簽
iptables -t mangle -N MY_TCP
iptables -t mangle -p tcp -A MY_TCP -j TPROXY --on-port 8081 --tproxy-mark 0x10000000/0xf0000000
MY_TCP執(zhí)行TPROXY轉(zhuǎn)發(fā)為8081端口并進(jìn)行標(biāo)記
iptables -t mangle -A MY_TCP -j ACCEPT
策略路由
方法1
ip rule add fwmark 1 lookup 100
ip route add local 0.0.0.0/0 dev lo table 100
方法2
ip rule add fwmark 0x10000000/0xf0000000 table 200 pref 200 #對標(biāo)記過的數(shù)據(jù)包執(zhí)行序號為200的規(guī)則
ip route add local default dev lo table 200 #200規(guī)則：數(shù)據(jù)包發(fā)送到本地回環(huán)
