マルチホーム化されたOpenVOSモジュールで考慮すべきこと

マルチホームシステムとは、複数のIPインターフェースを持つシステムのことです。これらのインターフェイスは、同じサブネット上にあっても、異なるサブネット上にあっても構いません。今日はFTPとNDMPのようなプロトコルについて考えてみたいと思います。どちらのプロトコルでも、サーバはクライアントからの接続を受け入れてから、クライアントへの新しい接続を行います。マルチホームシステムでは、この新しい接続がすべての問題の原因となります。

両方のプロトコルでは、ソース IP アドレスは、クライアントが最初に接続した IP アドレスに基づいていません。代わりに、クライアントに戻るために使用されるゲートウェイに関連付けられたインターフェイスに基づいています。

例えば、次のようなインターフェイスとルーティングテーブルを指定します。

10.1.1.1.1 の IP アドレスを持つクライアントが 172.16.1.50 に接続している場合、この接続を「A」と呼びます。10.1.1.1.1 にパケットを送信するには、モジュールは 192.168.77.0/24 ネットワーク上にあるデフォルトゲートウェイを使用しなければならず、192.168.77.50 インターフェイスを使用します。接続「A」のために 10.1.1.1.1 へのすべてのトラフィックにこのインターフェイスを使用しますが、TCP ヘッダーの IP アドレスは 172.16.1.50 になります。しかし、モジュールが 10.1.1.1.1.1（接続「B」）への新しい接続を作成すると、STCP はデフォルトで 192.168.77.50 をソース IP アドレスとして選択します。これは、ゲートウェイが接続されているインターフェイスであるためです。アプリケーションはこれをオーバーライドすることができますが、FTPもNDMPもこれを行いません。

主に考慮すべき点は、ルータのファイアウォールとアクセスリストの設定です。クライアントのファイアウォールやルータのACLが172.16.1.50からの接続のみを許可するように設定されている場合、192.168.1.50からの接続は失敗します。解決策としては、172.16.1.1.0/24サブネット上のルータを使用して10.1.1.1へのルートを作成するか（もちろん、選択したルータは10.1.1.1に到達できる必要があります）、ファイアウォールとルータのアクセスリストを192.168.1.50を許可するように再設定するかのいずれかです。

以下のスクリプトでテストできます。

もちろん、10.1.1.1.1 をクライアントの実際の IP アドレスに、172.16.1.1.50 をクライアントが接続する IP アドレスに置き換える必要があります。ポートNは、クライアントで開いているポートで、ファイアウォールやルータのACLで許可されているものでなければなりません。

最初の接続ではデフォルトのIPアドレスを使用し、2回目の接続では172.16.1.50を使用します。最初の接続がタイムアウトしたり(1分ほどかかります)、接続が拒否されたエラーですぐに戻ってきたりしますが、2回目の接続は動作します(すべて"stcp:"のプロンプトが表示されます)が、解決する必要があるファイアウォールやルータのACLの問題があることを確認できます。