Игнорирование динамической маршрутизации BGP для определенных устройств

[Григорий Иоффе]

Здравствуйте.

Настраиваю обход блокировок по BGP согласно этой инструкции https://keenetic-gi.ga/2019/01/22/bgp_routing.html

Все получилось, блокировки обходятся. Но есть задача сделать так, чтобы 1 устройство никогда не уходило в VPN. Пробовал создать статический маршрут через ip route add

но получал только это

ip: either "to" is duplicate, or "192.168.2.62" is garbage

ip: either "to" is duplicate, or "192.168.2.62" is garbage

Как это можно организовать?

[Mr.Scayger]

В примерах есть использование фильтров. Думаю, что через них.

https://github.com/BIRD/bird/blob/master/doc/bird.conf.example#L48

Что-то (для адреса 10.1.1.1) типа:

filter access_filter {

 if net ~ 10.1.1.1/32 then reject;

 else accept;

}

И в описание BGP:

protocol bgp {

import filter access_filter;

...

 

[Mr.Scayger]

В той статье уже есть фильтр - function martians()

Надо просто нужный ip в него вставить.

Edited January 6, 2021 by Mr.Scayger

[Григорий Иоффе]

2 minutes ago, Mr.Scayger said:

net ~ 10.1.1.1/32 then reject;

не, net - это адрес назначения.

В сторону фильтров первым делом смотрел.

[Mr.Scayger]

Тогда средствами прошивки. В "приоритетах подключений" создать новый профиль только с основными подключениями к провайдеру и привязать туда это устройство.

[Григорий Иоффе]

И как для этого нового профиля сделать игнор BGP? 

[Mr.Scayger]

Не надо делать. Будут по-умолчанию запрещены все подключения, кроме профильных.

[Григорий Иоффе]

Да, да. "Без доступа к интернету" я и так могу сделать. и BGP тут не нужен.

 

отдельный профиль не решает проблему вообще: устройство все равно идет в VPN.

[Mr.Scayger]

Странно. У меня наоборот. Пока не перенёс в основной профиль, инета (обхода) не было. 

Галочка "Добавлять новые подключения автоматически" в новом профиле отключена?

Edited January 7, 2021 by Mr.Scayger

[Григорий Иоффе]

Где я сказал, что инета быть не должно? Нигде. Интернет должен быть, но траффик должен всегда идти МИМО VPN

[Mr.Scayger]

Я о том и говорю ((обхода) не было). Инет в дополнительном профиле есть по каналу провайдера, если он добавлен. И всё. Остальные подключения блочатся. Все, в том числе и динамические, через bird.

[Григорий Иоффе]

12 minutes ago, Mr.Scayger said:

Я о том и говорю ((обхода) не было). Инет в дополнительном профиле есть по каналу провайдера, если он добавлен. И всё. Остальные подключения блочатся. Все, в том числе и динамические, через bird.

если в профиль добавлен канал провайдера, то канал доступен. bird настраивает маршрутизацию. И все. Канал либо доступен, либо нет инета вообще.

если я канал провайдера из профиля уберу - инета НЕ будет.

Добавлю - уйдет по BGP в VPN.

 

 

Попробовал такое:

добавил у VPN признак "использовать для выхода в интернет". После чего в приоритетах появился впн. Создал профиль, оставил галку только у прямого подключения, а у впн снял. Перенес устройство в него. Все равно уходит в впн.

 

Edited January 7, 2021 by Григорий Иоффе

[Mr.Scayger]

Странно. У меня как раз блокировка прошивкой была неожиданной проблемой. Единственное отличие в схемах - я больше не использую BGP из настроек той статьи, т.к. проблем от реализации больше, чем пользы. Использую только kernel и static маршрутизацию. 

[Григорий Иоффе]

Подсказали на другом ресурсе. Так работает:

ip rule add pref 100 from 192.168.2.62 table main
ip rule add pref 200 iif br0 table 1000