Discussion :

[yaw55555]

Bonjour,
j'ai mis en place un traditionnel load balancing de flux http grace à IPVS :

- Centralisation des requetes par un serveur (le "director") qui les redirige vers x machines apache en IP tunneling.

Cela fonctionne parfaitement jusqu'à ce que je lance mon script traditionnel de firewalling à base de commandes IPTABLES sur le director ..

Là ca ne passe plus.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

IPVSADM --stats

m'indique qu'il a bien recu la requete (les compteurs de connexion s'incrémentent) , mais c'est tout ..

Je ne sais pas si finalement les paquets sont refusés en entrée , s'il sont refusés à la sortie du director ...

En plus d'autoriser les INPUT et OUTPUT, j'ai rajouté FORWARD ..

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
iptables -t filter -A INPUT -p tcp --dport 81 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 81 -j ACCEPT
iptables  -t filter -A FORWARD -p tcp  -j ACCEPT

et j'ai également trouvé des sites où il est dit qu'il faut autoriser le MASQUERADING :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Là je suis largué, même pas sûr qu'on puisse concilier tout ca ..

Si quelqu'un a une idée , je suis preneur.
Merci

[CedrX]

Peut être jouer avec les logs d'iptables pour savoir ce qu'il se passe vraiment:

http://linux.developpez.com/iptables...es-sauts#LXV-G

http://linux.developpez.com/iptables/

[yaw55555]

Très bonne suggestion...

Donc , quand je lance mon wget sur une autre machine, je vois bien les INPUT à destination de l'adresse virtuelle arriver, mais rien en OUTPUT ou en FORWARD ...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

Apr  6 11:43:53 xxxxxxx kernel: INPUT packets IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=XXX.xxx.xxx.xxx DST=xxx.xxx.xxx.xxx LEN=60 TOS=0x00 PREC=0x00 TTL=61 ID=37887 DF PROTO=TCP SPT=53211 DPT=81 WINDOW=5840 RES=0x00 SYN URGP=0

D'ailleurs, pour pousser encore un peu plus l'expérience, j'ai réinitialisé le tout et lancé un script de FIREWALL qui va juste logguer IPTABLES ...
Et bien même si le loadbalancing fonctionne, je ne vois rien en OUPUT ou FORWARD niveau TCP et niveau UDP, rien qui a l'air de concerner ma redirection IPVS...
Incompréhensible !