2

Имеется VPS на Debian, на VPS расположены 5 сайтов, и под каждый из них куплен выделенный IP адрес. Никаких проблем связать один адрес с одним сайтом нет. Но появилась необходимость выполнять каждым из сайтов запросы на сторонний сервер, запросы в Postgres (при помощи PHP, pg_*), а идентификацию сторонний сервер выполняет как раз по IP адресу.

Собственно, пока выходит так, что все запросы на сторонний сервер идут с одного IP адреса, с которым изначально и приобретался VPS.

Вопрос. Есть ли техническая возможность выполнять запросы с каждого сайта таким образом, чтобы он IP определялся соответствующий, а не общий для всего VPS.

Купить под каждый сайт VPS это прекрасная идея, но мне пока не очень нравится =) Поэтому, прошу помощи :)

Результаты выполнения некоторых команд (реальные IP заменены на похожие)

user@dir:~# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: venet0: <BROADCAST,POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN
    link/void
    inet 127.0.0.2/32 scope host venet0
    inet 37.140.10.240/32 brd 37.140.10.240 scope global venet0:0
    inet 37.140.10.20/32 brd 37.140.10.20 scope global venet0:1
    inet 95.180.5.75/32 brd 95.180.5.75 scope global venet0:2

и

user@dir:~# ip r
default dev venet0  scope link

и

user@dir:~# ls  /sys/class/net/
lo  venet0
1
  • с таким типом назначения адресов простым SNAT. бывает на разные интерфейсы ip выдают - там мучайся с таблицами маршрутизации.
    – eri
    15 сен 2017 в 15:43

2 ответа 2

1

Запускаем каждый сайт от имени отдельного пользователя. Маркируешь трафик в по владельцу процесса. Например, user2 имеет uid=1003 (смотрим в /etc/passwd, env)

iptables -t mangle -A OUTPUT -m owner --uid-owner 1003  -j MARK --set-mark 2
iptables -t mangle -A OUTPUT -m owner --uid-owner 1003  -j CONNMARK --save-mark

Ставим метку 2 на соединение, а дальше типовая настройка или с SNAT или с несколькими таблицами маршрутов.

6
  • Сейчас попробую! К сожалению, я больше в php/js силен, чем в сетевых технологиях. Верна ли следующая настройка SNAT: iptables -t nat -A POSTROUTING -o eth0.1 -p tcp -d 1.2.3.4 -j SNAT --to-source 1.2.3.4 , где 1.2.3.4 - мой дополнительный IP адрес а eth0.1 его интерфейс? Кстати, в interfaces интерфейсы прописаны как venet0:x, это стоит отобразить в указанном мной запросе вместо eth? 15 сен 2017 в 9:08
  • интерфейсы надо отображать так, как они выглядят в /sys/class/net/
    – eri
    15 сен 2017 в 11:18
  • Нет, у тебя одним SNAT так не выйдет. надо по маркировке. Может вечеромнапишу более полный пример. напиши что покажет ip a и ip r
    – eri
    15 сен 2017 в 11:21
  • В первом посте выложил результаты вывода 15 сен 2017 в 12:58
  • Получилось. Респект тебе и уважуха. Добавил развернутый ответ ниже.. 15 сен 2017 в 14:25
1

Пожалуй, добавлю ответ на свой же вопрос. В результате экспериментов и при помощи подсказок @eri было выработано следующее решение:

Установить apache2-mpm-itk

apt-get install apache2-mpm-itk

Создать пользователя web-user1, группа web-user1

groupadd web-user1
useradd -G web-user1 web-user1 

Назначить права на директорию с сайтом для этого пользователя

chown -R web-user1:web-user1 /var/www/html/project

Проверка, что поддерживается mpm_itk_module:

apachectl -t -D DUMP_MODULES | grep mpm

В конфиг виртхоста добавить строки (конфиг apache вашего сайта, если говорить проще):

<IfModule mpm_itk_module>
        AssignUserId web-user1 web-user1 
</IfModule>

Ребут apache

/etc/init.d/apache2 restart

Добавить в iptables (выполнить в консоли):

USER_ID=$(id -u web-user1)
iptables -t mangle -A OUTPUT -m owner --uid-owner ${USER_ID} -j MARK --set-xmark 0x2
iptables -t nat -A POSTROUTING -m mark --mark 0x2 -j SNAT --to-source x.x.x.x

где ${USER_ID} - id пользователя можно найти в /etc/passwd (описан как :user_id:group_id:, нужно значение из user_id) или получить командой id -u username

x.x.x.x - IP адрес, с которого должны отправляться запросы

0x2 - уникальная маркировка. Для каждого сайта своя (0x2, 0x3 и тп)

Для сохранения правил фаервола (debian):

apt install iptables-persistent
iptables-save > /etc/iptables/rules.v4

Но если стоит другой фаервол вроде firewalld или ufw - настройки делать и сохранять нужно в них.

3
  • А правила добавил в iptables-persistent(самый простой) или firewald(centos) или в какой-нибудь фаерволл?
    – eri
    27 сен 2017 в 16:52
  • @eri я просто в консоли выполнил эти команды) Ubuntu 16.04 28 сен 2017 в 16:23
  • надо сохраняться
    – eri
    29 сен 2017 в 10:10

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.