NAT, чё выбрать?

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

NAT, чё выбрать?

Непрочитанное сообщение northern » 2006-03-28 13:40:47

Кроме того, natd поддерживает transparent proxy для протоколов FTP, IRC,ICMP, PPTP, RTSP, PNA, NetBios over TCP/IP и Cisco Skinny Station protocol,
а ipnat - только FTP, H.323, ipsec, NetBios over TCP/IP, raudio и rcmd.

Однако natd работает в userland и на каждый пакет выполняется 2 переключения контекста, что дает overhead, заметный на слабом железе (i486, i586).

В отличие от natd, ipnat потребляет значительно меньше процессорных ресурсов, ipnat можно настроить на GENERIC-ядре, подгрузив модуль ipl, а для
natd придется перекомпилировать ядро с опцией IPDIVERT и ipnat работает с любым пакетным фильтром, а для natd обязательно нужен ipfw.

Так что если у Вас слабое железо, Вы не хотите перекомпилировать ядро или не хотите использовать ipfw и функциональность ipnat Вас устраивает -
используйте ipnat.
это истина?

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2460 рублей (8 CPU, 8Gb RAM, 2x500Gb HDD, RAID 3ware 9750):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-03-28 13:57:06

у меня natd. привык.
особо низкого быстродействия не вижу...
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-03-28 14:05:37

Я попробовал через 486 качать по локалке - natd зажирает 85% ресурсов проца. Порыл в инете, нашёл пару отзывов, что иногда natd отваливается и т.д...

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-03-28 14:19:44

у меня ни разу не отваливался.
про ресурсы - да, есть такое дело, но я это считаю нормальным - ему ж надо все пакеты разобрать....
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-03-28 14:22:56

щас погоняю ipnat.

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-03-29 10:30:43

Провёл небольшой бенчмарк по закачке файла по ftp через nat.
Исходные данные:
машина с NAT 486 DX-100, 16MB, сетевухи:
1. pci rtl8129;
2. pci digital 2140 (10Mb);
операционная система: FREEBSD 4.11
использовались следующие NAT:
1. natd;
2. ipnat;
ядро скомпилировано с опциями и для natd и для ipnat;
ftp поднят на windows XP, клиент ftp - Total Commander, обе машинки athlonы, операционки windows XP
Закачиваемое файло: размер 562MB.
Результат:
1. ipnat файло закачалось за ~ 16мин., скорость показанная в Total в среднем 610KB/s;
2. natd файло закачалось за ~ 27мин., скорость показанная в Total в среднем 320KB/.

Вывод. Конечно данный тест не позволяет объективно раскрыть возможности тестируемых технологий NAT, но всё же кое-какие выводы можно сделать. Для слабого железа, если круг решаемых задач вписывается в возможности ipnat, я думаю предпочтительнее использовать ipnat.

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-03-29 10:55:42

не забывай, у ipnat свои косяки - GRE например через него не проходит...
Убей их всех! Бог потом рассортирует...

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-04-11 22:57:10

решил попробовать этот ipnat. C настройкой нету проблем, хотя идея с мапаньем всех портов выше десяти тыщ явно не самая лучшая :)))
но - ладно. такой вопрос - с этим правилом не завелось

Код: Выделить всё

deny ip from 192.168.0.0/16 to any in via xl0
пришлось убрать.... (xl0 - внешний интерфейс)
либо я чё-то недопонимаю, либо он успевает `отНАТить` до того как пакеты попадают в файрволл...
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-04-12 9:17:09

Похоже оно работает так, но для 6 фри надо проверить

Код: Выделить всё

interface --> ipnat --> ipf -- ipfw --> OS --> ipfw -- ipf --> ipnat --> interface

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-04-12 9:21:04

а какже частные сети снаружи рубать-то....
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-04-12 9:32:17

Можешь ipf, но так запутаться можно, читал, что некоторые из-за этого отказались от ipfw... Кому как нравится. Где-то мелькнуло, что в 6.1 или выше natd в ядро засунут

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-04-12 9:55:18

northern писал(а):Где-то мелькнуло, что в 6.1 или выше natd в ядро засунут
надо поискать... но я так не думаю - у меня дома пререлиз сотоит - так там natd отдельной программой так и идёт...
и скорость у ipnat в полтора два раза выше - вчера пробовал....
ладно. разберёмся :)
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-04-12 10:19:22

и скорость у ipnat в полтора два раза выше - вчера пробовал....
ладно. разберёмся
в этой-же теме, выше, я провёл небольшой тестик на 486, а ты гонял на быстрой тачке?

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-04-12 10:22:01

AMD K6-II 500MHz...
Убей их всех! Бог потом рассортирует...

Аватара пользователя
northern
лейтенант
Сообщения: 778
Зарегистрирован: 2006-02-08 20:48:45
Откуда: Днепропетровск
Контактная информация:

Непрочитанное сообщение northern » 2006-04-12 10:30:36

Непонятны такие перегибы: ipnat быстрее, но менее функционален, natd - наоборот, чего бы не довести до ума хотябы одну из этих технологий?

Рус
проходил мимо

Непрочитанное сообщение Рус » 2006-08-25 14:54:07

lissyara писал(а):не забывай, у ipnat свои косяки - GRE например через него не проходит...
работает :) проверял лично на 6.1 бсд

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35045
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Непрочитанное сообщение Alex Keda » 2006-08-25 15:15:25

раньше не ходил... но - это было совсем давно :))))
Убей их всех! Бог потом рассортирует...

Аватара пользователя
Abigor
старшина
Сообщения: 425
Зарегистрирован: 2006-03-02 11:13:15
Откуда: РФ. г. Иркутск
Контактная информация:

Непрочитанное сообщение Abigor » 2006-08-26 5:22:54

Кроме того, natd поддерживает transparent proxy для протоколов FTP, IRC,ICMP, PPTP, RTSP, PNA, NetBios over TCP/IP и Cisco Skinny Station protocol,
а ipnat - только FTP, H.323, ipsec, NetBios over TCP/IP, raudio и rcmd.
вот когда они для natd прикрутят H.323 очень надо, а то придется чуствую ставить отдельный сервак с виндой для этих нужд