--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Шлюз на линукс

Сисадминское
6
46
С друзьями на NN.RU
В социальных сетях
Поделиться
Sanja
26.04.2011
Кто как делает шлюзы?
Сейчас есть шлюз ASPLinux(голый iptables +static routing) ему уже больше 5 лет. Во задумал поменять его на CentOS. Для этого есть стоечный сервер Dell с апаратным рэйдом. Задача разруливать 3 подключения(Lan,Lan2,Internet).
В планах на нем же резеврный канал интернета и VPN сервер.

Проблема как на двух имеющихся сетевухах настроить 3 и более подлючений а в последующем VPN.
Использовать ли iptables в чистом виде или есть какие либо удобные надстройки.
Что лучше использовать для автоматического резервирование каналов интернета.
Какое ПО для анализа трафика,загрузке канала желательно в графическом представлении.
И посоветуйте систему обнаружение вторжений.
Я использую MikroTik
pl17
26.04.2011
iptables+NAT or iptables/ip6tables+ipv6

cacti, snort
quagga+bgp or bash script

кто как делает шлюзы!
Sanja
26.04.2011
ТАк вот я и хочу узнать кто как :)))
Sanja писал(а)
Что лучше использовать для автоматического резервирование каналов интернета.
Какое ПО для анализа трафика,загрузке канала желательно в графическом представлении.
И посоветуйте систему обнаружение вторжений.

Cisco ASA 5510 + AIM IPS + netflow
Sanja
26.04.2011
причем тут cisco
paltuz
26.04.2011
думается, для начала лучше почитать литературу по построению сетей на *nix да потренироваться на кошках (виртуальных).
Sanja
26.04.2011
посоветуйте... что нибудь действительно полезное...
M!h@
26.04.2011
>>как на двух имеющихся сетевухах настроить 3 и более подлючений а в последующем VPN.

Use dot1Q, Luke...

>>Использовать ли iptables в чистом виде или есть какие либо удобные надстройки

Лучше голый iptables, 1 раз настроил-разобрался и не трогай...
Чего туда постоянно лазить то?

>>Что лучше использовать для автоматического резервирование каналов интернета.

По возможности bgp...
При неимении оной, рулить скриптами...

>>Какое ПО для анализа трафика,загрузке канала желательно в графическом представлении.

Это смотря какой анализ. Wireshark это тоже анализ!
Графики рисовать каким-нибудь mrtg, коих легион...
Sanja
26.04.2011
dot1q я так понимаю это vlan надо использовать.
luke что не нашел ничего

для bgp надо навернео чтобы и провайдер настраивал его на своей стороне, но у меня два разных провайдер.
M!h@
26.04.2011
Luke Skywalker :)

>>dot1q я так понимаю это vlan надо использовать.
Правильно понимаешь...
vconfig тебе в помощь.
Ну и соответственно нужен свич умеющий тегировать.


>>но у меня два разных провайдер. ...
так тебе и надо 2 bgp нейбора... т.е. надо уговорить обоих провайдеров поднять с тобой пиринг.

НО для этого тебе надо иметь свою AS и PI-блок адресов.
Есть? Если нет, то можно озаботится получением...

Все зависит от масштаба проекта.
Если нужно просто инет в контору (без смотрящих в internet сервисов e.g. HTTP) то проще замутить скриптами...
Тут советовать не буду ничего, ибо в сети тонны инфы по данному вопросу.
pl17
26.04.2011
как раз 2 провайдера и есть тот случай когда надо юзать бгп, но это если по взрослому.
по колхозному, можно скрипт сваять, это не сложно, я делал, но возникли проблемы с надежностью работы скрипта, но это детали.
Sanja
26.04.2011
А можно посмотреть на данный скрипт ???
pl17
26.04.2011
вообще вот, НО
у меня каждый провайдер приходит на отдельную виртуальную машину, и каждая из них проверяет состояние канала независимо, а еще это масштабируется легко до любого количества провайдеров. скрипт поэтому сильно упрощен
К сообщению прикреплен файл:
34834641-check.txt   (1 Kb)   Скачать файл
Sanja писал(а)
luke что не нашел ничего

5!!!!
Sanja
26.04.2011
этож звездные войны :))) что то я не сразу понял :)))
А почему ни кто не ругает его за CentOS ?:))))
Меня вон как за ubunru хаяли! :))))
Поставь Zentyal и радуйся. www.zentyal.org/
Sanja
26.04.2011
Да какой линукс вааще по моему не принципиально ... софт под линукс весь одинаковый
Посмотри скрины Zentyala, я настраивал, вещь отличная. Работает стабильно и хорошо, и управлять из далека очень удобно.
Sanja
26.04.2011
а если появятся задачи которые не входят в описанный функционал?
А покажите задачи с которыми он не справится?:)))
И всётаки так как он основан на ubuntu на него всё встаёт и так в штатном режиме.
Sanja
26.04.2011
Ну я просто так понял, что дистриб основан на убунте и под неё создана вебморда посредством которой можно производить настройку. И соответсвенно функционал это морды ограничен.
У морды да, а у самой операционки нет.
Sanja
26.04.2011
Тогда я не понимаю преимущества этой системы перед CentOS
nnstepan
26.04.2011
Сам всегда все делал руками на генту, сейчас на центос ушел окончательно и бесповоротно, центос это лучшее из бесплатного, однозначно.
Но именно для роутинга и файерволинга порекомендую посмотреть
www.mikrotik.com/download.html (RouterOS)
ибо там есть прекрасная вещь
wiki.mikrotik.com/wiki/Manual:IP/Firewall/L7
wiki.mikrotik.com/wiki/Drop_IM_Using_L7

ЗЫ Когда очень давно начинал делать шлюзы на FreeBSD :)
KotOFF
26.04.2011
+1
Sanja
26.04.2011
Это железяка что ль?
nnstepan
27.04.2011
Нет, там есть ось под обычное x86 железо, но есть и аппаратные решения, выбор за пользователем.
57EA17h
26.04.2011
+1 за CentOS, стабильный дистриб ( в смысле, не происходит тотального обновления системы каждые полгода, после которых угадать, что отвалиться, не возможно).
Для резервирования, скрипты ( если бы у конторы была уже автономка вопроса бы не было, а получить сейчас блок адресов, не факт что быстро получиться).
Для графической статистики - cacti.
Система обнаружения вторжений - snort, только занимайтесь ей в самую последнюю очередь, ибо времени на неё надо море :)
287
27.04.2011
богохульники... :)
rootik
26.04.2011
Подскажите и мне люди добрые, задача та же - шлюз на три подключения. Делать надо будет с нуля. И хочется обойтись малой кровью. Вот думаю SAMS установить. Можете что-нибудь сказать по поводу такой программулины, какие могут быть нюансы?
Зы топик стартеру - сори, что влезаю.
Телепаты всё ещё в отпуске.

SAMS прикручивается к Squid - а какие у тебя настройки, никто не знает. Пользователи могут авторизовываться по IP, по LDAP, по Winbind, через NCSA или даже несколькими способами. И уж нюансов тут будет...

Если используется единая схема авторизации - нюансов практически никаких.
Sanja
26.04.2011
Ну как бы понятие шлюз не относится к sams(но шука очень удобная).... sams это вебморда для управления squid,который собственно может располагаться и не на шлюзе
rootik
26.04.2011
Задача собственно в раздаче интернета на две сети, для этого нужен шлюз, с разграничением по ресурсам, пользователям, для этого нужен Squid, и чтобы всем этим рулить нужен sams.
Кажется, начинаю понимать. Итак «штука очень удобная» - значит это то что мне надо.
rootik
27.04.2011
После установки sams, стало понятно, что это действительно не совсем то, что надо, т.е. она имеет смысл если уже настроены iptables +static routing, если опять ничего не путаю. Тогда у меня еще вопрос. Может кто-нибудь пару слов сказать по поводу PfSense? (я так понимаю это фришный аналог центовского MikroTik)
Atom
27.04.2011
rootik писал(а)
После установки sams, стало понятно, что это действительно не совсем то, что надо, т.е. она имеет смысл если уже настроены iptables +static routing, если опять ничего не путаю. Тогда у меня еще вопрос. Может кто-нибудь пару слов сказать по поводу PfSense? (я так понимаю это фришный аналог центовского MikroTik)

че-то не то...
sams идет к сквиду. Если сквид настроен - то будет раздаваться инет пользователям и будут писаться логи.

А уже sams это дело все разберет, посчитает, и тех, кто перебрал лимит, отрубит. Ну и отчеты всякие там выводить будет.
movie
27.04.2011
В PfSense особых достоинств не нашел.
Использую m0n0wall.
А сквид+считалки можно на отдельностоящий комп в локалке поставить. В том числе и с виндой.
Мне кажется, Вы путаете шлюз и прокси.

Шлюз - это маршрутизатор. Он подразумевает наличие файрволла (брандмауэра), NAT... и таблиц маршрутизации.

Прокси-сервер работает на шлюзе, но для шлюза он не является обязательным. Им удобно рубить доступ к определённым ресурсам (допустим, блокировать все сайты, в url которых встречается слово "porn") и считать трафик по пользователям (но только веб-трафик).

Шлюз тоже умеет считать трафик (причём, весь), но авторизацию пользователей не поддерживает. Считает его он по IP-адресам. Для этого на шлюзе надо установить trafd или ipacctd. Кстати, обе системы могут хранить данные о трафике в MySQL.
rootik
29.04.2011
Спасибо.
Atom
26.04.2011
Ставил месяц назад шлюз на Centos 5.5. squid+sams 1.0.5 для раздачи нета. Авторизация ntlm.
+сервер VPN.
Все завелось без проблем. На AltLinux был до этого конфиг - sams отказывался считать траффик, пока его исходники не подправил.
PS Будете смеяться, но все это под Hyper-V...
rootik
26.04.2011
Вот, да squid+sams, пока попробую на убунте, а там, раз уж у нас нынче мода на Centos, может и до нее доберусь.
PS Hyper-V... я Вас понимаю нужно было вложить средства...?! )))
pl17
27.04.2011
hyper-v бесплатный
Atom
27.04.2011
+1
rootik
27.04.2011
но сначала нужно купить Windows Server 2008, или объясните после какого слова смеяться,
по поводу того, что гипервизор все это поддерживает?
Atom
27.04.2011
нет
есть отдельный продукт Windows Hyper-V Server - он бесплатный. Свободно скачивается и покупать его не надо.
Sanja
05.05.2011
Продолжу тему
Настроил на свиче циске три влана
1 локалка
2 инет
3 локалка2
Интерфейсы соеденил. Все вроде как работает, но смущает одно.

Подинтерфейсы работают только если настроен физический инетерфейс

типа

[root@gwtest ipv4]# ifconfig
eth0 inet addr:192.168.1.1 Bcast:192.168.1.255 Mask:255.255.255.0
eth0.1 inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0
eth0.2 inet addr:94.25.34.149 Bcast:94.25.34.151 Mask:255.255.255.252
eth0.3 inet addr:10.10.1.102 Bcast:10.10.1.255 Mask:255.255.255.0
и маршрут по умолчанию тоже вешается на физический интерфейс

Получается такая шляпа

[root@gwtest ipv4]# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.10.1.0 * 255.255.255.0 U 0 0 0 eth0.3
94.25.34.148 * 255.255.255.252 U 0 0 0 eth0.2
192.168.0.0 * 255.255.255.0 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth0.1
169.254.0.0 * 255.255.0.0 U 0 0 0 eth0.3
default 192.168.1.3 0.0.0.0 UG 0 0 0 eth0

а если сделать
ifconfig eth0 0.0.0.0
то вся эта система перестает работать
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Форум Тема (Автор) Последний ответ Ответов
Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.