Permitir el acceso de los nodos del cluster a Internet a través del nodo principal
Introducción.
Es muy común que debido al alto tráfico que se genera entre los nodos trabajadores de un clúster y su nodo principal, estos se separen en una red independiente y el nodo principal, con dos interfaces de red, actúe como puente entre los clientes en la red LAN y los nodos trabajadores en la red finalmente oculta.
La configuración de esto es tan simple como la simple conexión física de los dispositivos y la configuración de direcciones IP estáticas para los nodos trabajadores si es que no se desea instalar un servidor DHCP en el nodo principal para que realice esta tarea a través de la interfaz de red específica. El problema surge cuando es necesario actualizar los nodos trabajadores o en general, que estos accedan a Internet. Como estos se encuentran en un red diferente de la LAN, no hay nada que los enrrute hacia la WAN, quedando completamente aislados.
La solución a este problema es muy fácil de implementar gracias a las características intrínsecas de enrrutamiento de Linux (y en general de los sistemas operativos *nix). Simplemente es necesario indicarle al nodo principal que actúe como enrrutador entre sus interfaces de red: red LAN y red de nodos trabajadores, pudiéndose aplicar los controles que se consideren necesarios a través del uso de iptables.
El panorama.
Estructura general del cluster
El nodo principal del cluster cuenta con dos interfaces de red: eth0 que se comunica con la red LAN de la organización y eth1 que se conecta con los nodos trabajadores, los cuales sólo cuentan con una única interfaz de red eth0. Estos últimos se encuentran aislados del exterior ya que no son enrrutados inicialmente hacía la red LAN y eventualmente hacia Internet.
Implementación del enrrutamiento.
Configuración en el nodo principal del cluster.
Este actuará como enrrutador para la información enviada desde los nodos trabajadores y permitirles entonces acceder a las redes exteriores. Para es necesario implementar en él las siguientes modificaciones de configuración.
Activar el envío de paquetes del kernel.
Esto se puede implementar de manera temporal, es decir, esta modificación no perdurará al reinicio del sistema, mediante la ejecución del siguiente comando.
# echo 1 > /proc/sys/net/ipv4/ip_forward
O puede implementarse de manera permanente mediante la edición de los parámetros del kernel de la siguiente manera.
# vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
Esta último método puede verifcarse mediante la ejecución del siguiente comando en el shell.
# sysctl -p | grep ipv4
net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.tcp_syncookies = 1
Establecer la regla de filtrado.
# iptables -t nat -A POSTROUTING -o eth0 -s 192.168.56.0/24 -j MASQUERADE
Esta instrucción le indica al nodo principal que permita el paso de los paquetes que vienen desde la red de los nodos trabajadores (192.168.56.0/24) hacía la otra red, en este caso la LAN (192.168.1.0), que se accede a través de la interfaz de red eth0.
Esta modificación desde la línea de comando no es persistente, por lo cual se deberá configurar en alguno de los archivos que se ejecutan al inicio. Probablemente el mejor sitio sea en /etc/sysconfig/iptables, sin embargo debe tenerse cuidado si se utiliza system-config-securitylevel para administrar el firewall ya que este puede sobreescribir el archivo y olvidar los cambios.
Permitir el acceso al servicio DNS.
Este paso es opcional, pero probablemente si no se lleva a cabo el enrrutamiento sea exitoso si se utilizan direcciones IP directamente mas no si se intenta acceder utilizando nombres FQDN ya que los intentos de acceso al DNS son filtrados por el nodo principal.
Para permitir el acceso al servicio DNS es necesario permitir el paso de paquetes UDP cuyo destino sea el puerto 53 de la siguiente manera.
# iptables -A INPUT -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT
Igual que en el paso anterior, para hacer persistente esta modificación es necesario incluírla en un archivo como /etc/sysconfig/iptables o realizarla con el system-config-securitylevel si se utiliza.
Configuración de los nodos trabajadores.
Es necesario finalmente indicarle a los nodos trabajadores que el nodo principal del cluster será a partir de ahora su nueva puerta de enlace. Para hacer esto es necesario modificar el siguiente parámetro de su configuración con la dirección IP del servidor principal configurado anteriormente.
GATEWAY = 192.168.56.100
Esta modificación puede realizarse uno de los siguientes puntos de configuración de los nodos trabajadores.
- El archivo /etc/sysconfig/network.
- El archivo /etc/sysconfig/network-scripts/ifcfg-eth0.
Si el cambio se aplica en el primero de ellos, la modificación tiene un alcance global sobre todas las interfaces de red. Si se aplica sobre el segundo archivo, la modificación será específica para la interfaz de red eth0. En el caso de los nodos trabajadores, estos sólo tienen una única interfaz de red así que ambas opciones tienen igual implicación.
Finalmente es necesario reiniciar el servicio de red para garantizar que los cambios realizados tengan efecto.
# /etc/init.d/network restart
echo 1 > /proc/sys/net/ipv4/ip_forward
