在 OpenWrt 设备间使用 VXLAN 创建隧道

本文介绍通过 VXLAN 在局域网中创建一条高性能二层隧道的方法。

在学校里有两间实验室,其中一间 (A) 中放置了软路由和服务器,而另一间 (B) 则只有一个 50 元钱买的斐讯 k2t 路由器;两个实验室都有连接了校园网,但没有单独的网线连通。由于学校的网络登录比较麻烦,而且单个用户有设备数量限制,所以不想在 B 房间登录校园网。我希望通过校园网,在两个实验室之间创建一个二层隧道:在 B 房间中,直接进入 A 实验室的内网,所有设备从 A 实验室出口访问网络。同时,还希望在两个实验室间实现 Wi-Fi 的漫游。

要想连接两个内网,我们首先会想到使用 OpenVPN 或 WireGuard 来实现。但是,OpenVPN 体量太重、配置麻烦、性能差(尤其是 B 房间的路由器性能也不太好);WireGuard 轻量、性能好,却是 3 层协议,对 2 层不太友好。经过比较,我决定选择 VXLAN 来实现目标。

VXLAN 是一个简单的协议,将以太网封装到 UDP 中,在 3 层网络中传输 2 层帧。此协议不带加密,因此不适合需要高安全性的环境;考虑到实验室内网几乎人人可访问,不存在什么安全性可言,为了方便和高性能,选择 VXLAN 作为桥接的协议。

两边的路由器都使用 OpenWrt 系统,OpenWrt 的 uci 配置框架对 VXLAN 提供了支持(虽然必须用图形界面配置)。vxlan 的配置比较简单,只需使用命令 opkg install vxlan 安装包,然后按照官方 wiki 的教程填写好 peer 配置,两边就可以通信了。我的配置如下:

config interface 'vxlan0'
        option proto 'vxlan'
        option peeraddr '10.134.xxx.xxx'
        option port '4789'
        option vid '8'
        option tunlink 'wan'

然后,在 luci 图形界面中,将 vxlan0 接口添加到路由器的 br-lan 桥接接口上:

桥接接口后,B 房间的电脑就可以顺利地通过 DHCP 获得 IP、通过 A 房间的路由器访问外网(实际性能也很不错),A、B 房间的机器也能互相 ping。

此桥接并非完美无缺。由于设备对 VXLAN 桥没有感知,认为自己连接到了标准的以太网链路(MTU 是 1500),TCP 协议的 MSS 字段会被设为 1460。VXLAN 会带来 50 个字节的数据包头额外开销,因此 MSS 实际应设为 1410,而非 1460,否则大的数据包会被丢弃。在 A 机器上,OpenWrt 的路由 firewall 里默认开启了 MSS Clamping 功能,从 VXLAN 来、传向外网的 TCP SYN 包,经过 firewall iptables 后,MSS 值会被自动调整为 1410,使得出口到外网的 TCP 连接一切正常。但是,A、B 两个房间的机器桥接时,数据包不会经过 iptables,导致 MSS 值依旧为 1460,AB 之间的数据包在内容长度超过 1410 时,被直接丢弃。这个问题,如果不知道其中的原因,看起来会比较玄学:机器能正常 ping 通,ssh 能够开始握手,但握手到一半时会卡住,无法连上。

为了解决这个问题,我们需要开启 Linux 内核中的一个功能:bridge-nf-call-iptables。这个功能会使桥接的数据包也经过 iptables,我们就可以使用 iptables 来进行 MSS 值的调整。我在 B 房间的路由器上运行以下语句,打开这个功能:

echo net.bridge.bridge-nf-call-iptables=1 >> /etc/sysctl.conf

然后,在 /etc/firewall.user 中,加入以下语句,使 OpenWrt 防火墙启动时,插入一条 iptables 规则。该 iptables 规则会自动根据接口的 MTU,调整 TCP 包中的 MSS 值。

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

最后,重启 B 路由器,就可以使两边机器的 TCP 连接正常工作了。

CC BY-SA 4.0 本作品使用基于以下许可授权:Creative Commons Attribution-ShareAlike 4.0 International License.

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据