Два канала + сеть + дмз маршрутизация

Простые/общие вопросы по UNIX системам. Спросите здесь, если вы новичок

Модераторы: vadim64, terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
tangichhan
рядовой
Сообщения: 24
Зарегистрирован: 2011-09-29 9:37:47

Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение tangichhan » 2012-10-26 3:22:31

Доброе время суток.
Возникла проблема с прохождением трафика на шлюзе. Для начала опишу что имеется:
2 канала (канал 1 - 10 Мб, канал 2 - 3 Мб)
Шлюз: ОС FreeBSD, Firewall: PF
имеются 2 сетевых карты Intel Pro1000 (em0, em1). em0 настроен на Vlan 2,3,4. Которые:Vlan2 канал 1, Vlan3 канал 2, Vlan4 DMZ (белые ip адреса от провайдера канала 2)
Интерфейс em1 смотрит в сеть.(Схема на рисунке)

Суть проблемы: В ДМЗ имеются сервера с белыми IP адресами, которые из локальной сети пингуются на ура и со шлюза тоже, но вот проблема, если пускаешь команду PING или tracert (traceroute) пакеты проходят через внешний IP адрес канала 1, т.е. как бы так

Код: Выделить всё

  1    10 ms     5 ms     3 ms ip
  2     3 ms     6 ms     3 ms  ip
  3    78 ms     9 ms     4 ms  ip
  4     4 ms     7 ms     6 ms  ge-5-0-1.uud-dr1.ncc.sibirtelecom.ru [213.228.11
9.77]
  5     5 ms     6 ms     5 ms  ge-1-1-0.uud-br1.ncc.sibirtelecom.ru [213.228.11
9.70]
  6    40 ms    40 ms    41 ms  87.226.232.173
  7    44 ms    44 ms    62 ms  aaa.bbb.ccc.ddd - канал 1 (нужно чтобы был ip адрес канала 2)
  8    43 ms    40 ms    42 ms  xxx.ddd.aaa.fff - web server
Пробовали варианты через команды route-to и reply-to
PS с исходящим каналом от серверов до интернета по второму каналу получилось сделать:
pass in on $dmz_iface route-to ($ext_iface2 $ext_ip2) from $dmz_ip to any keep state
Помогите решить проблему.
Вложения
Сеть_на_ форум.jpg
Последний раз редактировалось f_andrey 2012-10-26 9:15:31, всего редактировалось 1 раз.
Причина: Автору, выбирайте пожалуйста раздел соответствуюший тематике вашего сообщения. приводите полную диагностику, больше логов больше вероятности ответа, а не флуда

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-10-26 11:05:34

Вы когда в ДНС прописывали для серверов расположенных в ДМЗ какие им адреса писали (какого провайдера)?

tangichhan
рядовой
Сообщения: 24
Зарегистрирован: 2011-09-29 9:37:47

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение tangichhan » 2012-10-28 12:40:26

Gloft писал(а):Вы когда в ДНС прописывали для серверов расположенных в ДМЗ какие им адреса писали (какого провайдера)?
Все ip адреса в ДМЗ белые - провайдер канала 2. данный провайдер выдал нам пул ip адресов.

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-10-28 22:45:07

Ты пингуешь имя хоста.
Имя хоста транслируют в ip через dns сервер.
Если ты использую ping или tracert попадаешь не на тот сервер, то откуда берется неверный ip?
Может у тебя на машине прописаны ip в host-e?
Проверь dns и host.

tangichhan
рядовой
Сообщения: 24
Зарегистрирован: 2011-09-29 9:37:47

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение tangichhan » 2012-10-29 17:42:58

Имя хостат днс имя соответствует его ip адресу трасерт и пинги доходят но маршрут разный

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-10-29 21:00:13

У какого провайдера вы взяли диапазон ip?

tangichhan
рядовой
Сообщения: 24
Зарегистрирован: 2011-09-29 9:37:47

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение tangichhan » 2012-10-30 3:42:25

Ростелеком

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-10-30 7:47:18

Я не об этом. Вы взяли у некоторого провайдера ip адреса (арендуете). Он их и маршрутизирует на уровне провайдеров, а потом прокидывает на ваш шлюз.
Ведь у вас на шлюзе нет BGP маршрутизации? Если вы хотите чтобы поток к серверам проходил через второго провайдера берите ip-адреса у него.
Теоретически возможно перенастроить маршрутизацию у провайдера, но не думаю чтобы он на это согласился, да и второй провайдер тоже должен сделать настройки.

tangichhan
рядовой
Сообщения: 24
Зарегистрирован: 2011-09-29 9:37:47

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение tangichhan » 2012-10-31 16:24:01

И все же как можно с маршрутизировать входящий трафик, от второго провадера (резервный канал) на другой интерфейс, с определенным адресом назначения?
Я читал мануал там говорится, что эта задача решается через route-to и reply-to.
Как правильно прописать правила?

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-10-31 19:12:13

Какой мануал?
Повторю еще раз. Твоя компания арендует ip-адреса (прямые адреса интернет) у провайдера, но числятся они за провайдером. И на уровне всех других провайдеров интернета, маршрут к этим адресам лежит через маршрутизатор твоего провайдера (того у которого ты арендуешь ip-адреса). Т.к. у него есть возможность прописывать маршруты на своем маршрутизаторе. Ты можешь перенастроить ответы от серверов через другого провайдера, но вот входящий трафик пустить через него ты не можешь (у тебя нет возможности менять маршруты интернета).

Аватара пользователя
vintovkin
ВДВ
Сообщения: 1286
Зарегистрирован: 2007-05-11 9:39:11
Откуда: CSKA

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение vintovkin » 2012-10-31 19:19:24

tangichhan писал(а):И все же как можно с маршрутизировать входящий трафик, от второго провадера (резервный канал) на другой интерфейс, с определенным адресом назначения?
Я читал мануал там говорится, что эта задача решается через route-to и reply-to.
Как правильно прописать правила?

добрый день, у циски это называется полис-бэйсед роутинг , это правила по которым роутяца пакеты (не смотря в таблицу маршрутизации) если ни одно правило не совпало, то трафик идёт как обычно через таблицу маршрутизации.
http://www.lissyara.su/articles/freebsd/tuning/pbr+pf/
http://ipfw.ism.kiev.ua/pbr.html
http://www.opennet.ru/base/net/bsd_pbr_route.txt.html
Junos OS kernel based on FreeBSD UNIX.

Gloft
лейтенант
Сообщения: 645
Зарегистрирован: 2008-03-09 11:32:12
Откуда: Москва

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение Gloft » 2012-11-01 7:55:48

vintovkin писал(а):
tangichhan писал(а):И все же как можно с маршрутизировать входящий трафик, от второго провадера (резервный канал) на другой интерфейс, с определенным адресом назначения?
Я читал мануал там говорится, что эта задача решается через route-to и reply-to.
Как правильно прописать правила?

добрый день, у циски это называется полис-бэйсед роутинг , это правила по которым роутяца пакеты (не смотря в таблицу маршрутизации) если ни одно правило не совпало, то трафик идёт как обычно через таблицу маршрутизации.
http://www.lissyara.su/articles/freebsd/tuning/pbr+pf/
http://ipfw.ism.kiev.ua/pbr.html
http://www.opennet.ru/base/net/bsd_pbr_route.txt.html
Вопрос был о входящем трафике а не исходящем.

Аватара пользователя
vintovkin
ВДВ
Сообщения: 1286
Зарегистрирован: 2007-05-11 9:39:11
Откуда: CSKA

Re: Два канала + сеть + дмз маршрутизация

Непрочитанное сообщение vintovkin » 2012-11-02 10:32:12

в таком случае только на уровне провайдеров можно решить вопрос ...
Junos OS kernel based on FreeBSD UNIX.