IPNAT

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
RAGNAR
ст. прапорщик
Сообщения: 530
Зарегистрирован: 2009-07-10 22:12:06
Откуда: Ржев
Контактная информация:

IPNAT

Непрочитанное сообщение RAGNAR » 2009-12-07 3:58:42

есть такой вопрос по ограничению ссесий для машин. сколько достаточно открыть портов клиену для нармаьлной работы?
имеет ли смысел это делать?

ipnat.rule

Код: Выделить всё

map tun0 192.168.0.10/32 -> 95.95.95.95/32 portmap tcp/udp 10000:10010
map tun0 192.168.0.12/32 -> 95.95.95.95/32 portmap tcp/udp 10020:10030
... Да освятится имя твое и pасшиpение твое, Господи...

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 12:01:40

я своим по 40 оставляю.
если качают много торрентов, то тупит весь остальной инет. по-этому пользователь сам ищет компромис, выставляя себе меньшее количество сессий в торренте, для комфортной работы в инете. ну и мне хорошо, не забивают канал.
тока я про сессии говорю:

Код: Выделить всё

allow ip from 10.10.10.0/29,192.168.10.0/24,192.168.11.0/24,192.168.2.0/24 to any via rl1 limit src-addr 40
ядерный взрыв...смертельно красиво...жаль, что не вечно...

Аватара пользователя
skeletor
майор
Сообщения: 2507
Зарегистрирован: 2007-11-16 18:22:04
Откуда: Kiev
Контактная информация:

Re: IPNAT

Непрочитанное сообщение skeletor » 2009-12-07 12:34:23

schizoid писал(а):

Код: Выделить всё

allow ip from 10.10.10.0/29,192.168.10.0/24,192.168.11.0/24,192.168.2.0/24 to any via rl1 limit src-addr 40
У меня этот вариант для торрентов не прокатил, как открывали по пару тысяч соединений, так и продолжают открывать. Пробовал все варианты с limit (src, dst) не влияет.

А вот насчёт ограничений в самом ipnat'e - это идея, нужно проверить.
"Винда съела дрова и резет здесь не фурычит."
"Все говорят, что у меня /dev/hands криво и я всё делаю через /dev/ass. А у меня этих фалов вообще нет!"

RAGNAR
ст. прапорщик
Сообщения: 530
Зарегистрирован: 2009-07-10 22:12:06
Откуда: Ржев
Контактная информация:

Re: IPNAT

Непрочитанное сообщение RAGNAR » 2009-12-07 12:40:39

вобщем то вопрос про торент и стоял... инет вешают канкретно. попробую с ipfw правилом... посмотрим что получиться.
... Да освятится имя твое и pасшиpение твое, Господи...

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 12:53:24

skeletor писал(а):
schizoid писал(а):

Код: Выделить всё

allow ip from 10.10.10.0/29,192.168.10.0/24,192.168.11.0/24,192.168.2.0/24 to any via rl1 limit src-addr 40
У меня этот вариант для торрентов не прокатил, как открывали по пару тысяч соединений, так и продолжают открывать. Пробовал все варианты с limit (src, dst) не влияет.

А вот насчёт ограничений в самом ipnat'e - это идея, нужно проверить.
у мну дропаются лишние сессии...

Код: Выделить всё

Dec  7 11:52:38 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 125.233.248.197:9822, too many entries
Dec  7 11:52:40 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 85.173.221.240:42124, too many entries
Dec  7 11:52:42 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 119.246.108.87:24482, too many entries
Dec  7 11:52:43 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 189.41.132.167:32467, too many entries
Dec  7 11:52:46 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 76.125.245.212:34617, too many entries
Dec  7 11:52:46 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 41.234.189.77:40900, too many entries
Dec  7 11:52:48 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 117.195.36.47:48953, too many entries
ядерный взрыв...смертельно красиво...жаль, что не вечно...

RAGNAR
ст. прапорщик
Сообщения: 530
Зарегистрирован: 2009-07-10 22:12:06
Откуда: Ржев
Контактная информация:

Re: IPNAT

Непрочитанное сообщение RAGNAR » 2009-12-07 13:06:30

вот интересно куда его по смыслу ставить? это правило. vr0 внутренний интерф. или имелось ввиду внешний?
${ipfw} add xxx allow ip from 192.168.1.0/24 to any via vr0 limit src-addr 10

Код: Выделить всё

${ipfw} add 210 allow ip from any to 192.168.1.0/24 iplen 0-500 src-port 80
${ipfw} add 212 allow ip from any to 192.168.1.0/24 tcpflags ack iplen 0-128

${ipfw} add 220 pipe 1 ip from not 192.168.1.0/24 to 192.168.1.0/24 out
${ipfw} add 222 pipe 2 ip from 192.168.1.0/24 to not me in

${ipfw} add 250 allow ip from any to any via vr0       //  локалка
${ipfw} add 1210 allow ip from any to any via tun0   // интернет локалка
... Да освятится имя твое и pасшиpение твое, Господи...

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 13:08:41

Код: Выделить всё

allow ip from any to any via rl0 limit src-addr 40
это для внутренних клиентов.
то, что выше было для внешних, типа филиалов... не заморачивайся.
т.е. я режу на внутреннем интерфейсе. rl0 - внутренний
ядерный взрыв...смертельно красиво...жаль, что не вечно...

Аватара пользователя
skeletor
майор
Сообщения: 2507
Зарегистрирован: 2007-11-16 18:22:04
Откуда: Kiev
Контактная информация:

Re: IPNAT

Непрочитанное сообщение skeletor » 2009-12-07 13:15:17

schizoid писал(а):
skeletor писал(а):
schizoid писал(а):

Код: Выделить всё

allow ip from 10.10.10.0/29,192.168.10.0/24,192.168.11.0/24,192.168.2.0/24 to any via rl1 limit src-addr 40
У меня этот вариант для торрентов не прокатил, как открывали по пару тысяч соединений, так и продолжают открывать. Пробовал все варианты с limit (src, dst) не влияет.

А вот насчёт ограничений в самом ipnat'e - это идея, нужно проверить.
у мну дропаются лишние сессии...

Код: Выделить всё

Dec  7 11:52:38 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 125.233.248.197:9822, too many entries
Dec  7 11:52:40 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 85.173.221.240:42124, too many entries
Dec  7 11:52:42 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 119.246.108.87:24482, too many entries
Dec  7 11:52:43 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 189.41.132.167:32467, too many entries
Dec  7 11:52:46 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 76.125.245.212:34617, too many entries
Dec  7 11:52:46 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 41.234.189.77:40900, too many entries
Dec  7 11:52:48 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 117.195.36.47:48953, too many entries
А я смотрю не так: смотрю по количеству открытых одновременно сессий. Или это не то?
"Винда съела дрова и резет здесь не фурычит."
"Все говорят, что у меня /dev/hands криво и я всё делаю через /dev/ass. А у меня этих фалов вообще нет!"

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 13:18:28

по ESTABLISHED ?
ядерный взрыв...смертельно красиво...жаль, что не вечно...

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 13:19:51

Код: Выделить всё

# tail -f /var/log/security
Dec  7 12:18:22 gate kernel: ipfw: 1400 Deny UDP 90.48.70.68 192.168.30.2 in via sk0 (frag 44494:85@1480)
Dec  7 12:18:26 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 76.97.61.23:62818, too many entries
Dec  7 12:18:26 gate kernel: ipfw: 8300 drop session 192.168.0.115:51089 -> 213.7.74.26:59873, too many entries
Dec  7 12:18:29 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 70.244.62.190:40284, too many entries
Dec  7 12:18:30 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 67.166.140.195:13070, too many entries
Dec  7 12:18:42 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 92.86.182.119:27465, too many entries
Dec  7 12:18:43 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 188.36.171.208:7877, too many entries
Dec  7 12:18:44 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 94.24.177.250:56406, too many entries
Dec  7 12:18:45 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 74.240.204.109:33209, too many entries
Dec  7 12:18:46 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 95.84.152.111:40456, too many entries
Dec  7 12:19:00 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 85.134.111.73:19288, too many entries
Dec  7 12:19:01 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 88.130.185.109:56705, too many entries
Dec  7 12:19:03 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 121.214.175.105:16119, too many entries
Dec  7 12:19:14 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 87.79.62.243:42571, too many entries
Dec  7 12:19:15 gate kernel: ipfw: 8300 drop session 192.168.0.253:6881 -> 77.194.160.179:46960, too many entries
хотя в тоже время:

Код: Выделить всё

# netstat -n| grep 192.168.0.253
tcp4       0      0 74.125.104.18.80       192.168.0.253.49090    ESTABLISHED
tcp4       0      0 74.125.87.101.80       192.168.0.253.40138    ESTABLISHED
tcp4       0      0 192.168.0.150.21       192.168.0.253.44549    ESTABLISHED
ядерный взрыв...смертельно красиво...жаль, что не вечно...

Аватара пользователя
skeletor
майор
Сообщения: 2507
Зарегистрирован: 2007-11-16 18:22:04
Откуда: Kiev
Контактная информация:

Re: IPNAT

Непрочитанное сообщение skeletor » 2009-12-07 13:37:59

А я смотрю через ipnat -l . Как всё-таки правильно смотреть?
"Винда съела дрова и резет здесь не фурычит."
"Все говорят, что у меня /dev/hands криво и я всё делаю через /dev/ass. А у меня этих фалов вообще нет!"

Аватара пользователя
schizoid
подполковник
Сообщения: 3228
Зарегистрирован: 2007-03-03 17:32:31
Откуда: Украина, Чернигов
Контактная информация:

Re: IPNAT

Непрочитанное сообщение schizoid » 2009-12-07 13:40:46

а, а у меня ipfw nat...
где истина ...
ядерный взрыв...смертельно красиво...жаль, что не вечно...

RAGNAR
ст. прапорщик
Сообщения: 530
Зарегистрирован: 2009-07-10 22:12:06
Откуда: Ржев
Контактная информация:

Re: IPNAT

Непрочитанное сообщение RAGNAR » 2009-12-08 22:27:40

можно посматреть как дропаються пакеты в реале

# tail -f /var/log/security

а как посматреть сесии каторые не дропаються, каторые пропускаються?
... Да освятится имя твое и pасшиpение твое, Господи...