Народ, прошу совета

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 13:03:59

проблема такая:
есть один провайдер (соединение через PPPoE), на него надо посадить три конторы со своими сетями но через один сервант. + надо будет считать трафик по каждой подсети (без детализации).+ фаирвол соответственно на все подсети, + подсети не должны др.др видеть. что можете посоветовать.

задумка такая - сервак с 4-мя сетевухами на фряхе. в одну инет от прова, в остальные эти три подсети.но затык, как раздать инет через нат (потому как pf не знаю). и чем считать трафик. может у кого работает такая схема?

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2460 рублей (8 CPU, 8Gb RAM, 2x500Gb HDD, RAID 3ware 9750):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
serge
майор
Сообщения: 2131
Зарегистрирован: 2006-07-30 15:34:14
Откуда: Саратов
Контактная информация:

Re: Народ, прошу совета

Непрочитанное сообщение serge » 2007-12-21 13:09:37

format_c писал(а):задумка такая - сервак с 4-мя сетевухами на фряхе. в одну инет от прова, в остальные эти три подсети.но затык, как раздать инет через нат (потому как pf не знаю). и чем считать трафик. может у кого работает такая схема?
Задумка нормальная, а затык обязательно придется устранять. Вариантов решения много, сайт те в помощь :wink:

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 13:16:51

serge писал(а):
format_c писал(а):задумка такая - сервак с 4-мя сетевухами на фряхе. в одну инет от прова, в остальные эти три подсети.но затык, как раздать инет через нат (потому как pf не знаю). и чем считать трафик. может у кого работает такая схема?
Задумка нормальная, а затык обязательно придется устранять. Вариантов решения много, сайт те в помощь :wink:
а ткните плиз лицом в статейку :? ... а то я чот не нашел


format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 13:42:31

Спасибо... эт я давно все перелопатил
не одиш шлюз стоит, настроенный с помощью этих статей :D
но сейчас несколько другая проблема. три сети надо выпускать через один шлюз в инет и считать трафик ... вот я и ищу решение как это сделать... поднимать три ната? :? ... или как нибудь по-другому

может стоит все это сделать на базе PF ? но не нашел грамотную стать с примерами :twisted:

на винде не хочу ставить (религия не позволяет : )))... хотя на ней может и проще :?:

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2007-12-21 14:04:21

взрослые дядьке ставят коммутатор и делят канторы vlan-ами и роутер с двумя сетевухами
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 14:17:21

hizel писал(а):взрослые дядьке ставят коммутатор и делят канторы vlan-ами и роутер с двумя сетевухами
так, с этого места попдробней плиз
так как комутатор-то управляемый.. т.е. на VLAN побить могу... а дальше-то чо?

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2007-12-21 14:28:22

делаешь один порт на коммутаторе транковым
из этого порта проводок в одну сетевуху роутера во вторую сетевуху аплинк
на сетевухе в торону коммутатора поднимаешь вланы
и рулишь как хошь
статистику без детализации тырь с портов коммутатора по snmp
опционально с красивыми графиками и т.д.

пример поднятия влана:

Код: Выделить всё

ifconfig vlan0 create
ifconfig vlan0 inet blabla netmask bubu vlandev rl1 vlan 1
или в rc.conf

Код: Выделить всё

cloned_interfaces="vlan0 vlan1"
ifconfig_vlan0="inet blabla netmask bubu vlandev rl1 vlan 1"
на всякий пожарный можно mtu 1500 приписать
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 14:35:08

от большое шпасибо :P :P :P

тока по-мойму нету SMTP у комутатора... но веть можно и по влану роутера траф считать.

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2007-12-21 14:42:01

smnp даже на дешовом длинке есть, посмотри внимательнее , должно быть
не видел комутатора без этой фичи
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 14:47:57

еще раз спасибо ... smnp конечно ... перепутал 8)

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35040
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Re: Народ, прошу совета

Непрочитанное сообщение Alex Keda » 2007-12-21 14:58:29

вечером скину свой конфиг с домашнего сервака.
у меня там две подсети - одна проводом для десктопа, вторая WiFi для ноута.
там сложного ничего нет, но навскидку не нарисую, надо проверять.
нат один, протсо с разных правил в него пакеты кидаются
Убей их всех! Бог потом рассортирует...

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-21 15:07:03

lissyara писал(а):вечером скину свой конфиг с домашнего сервака.
у меня там две подсети - одна проводом для десктопа, вторая WiFi для ноута.
там сложного ничего нет, но навскидку не нарисую, надо проверять.
нат один, протсо с разных правил в него пакеты кидаются

было бы здорово... и вообще большое спасибо за сайт... давно четайу :) очень помог... риспект :P :P :P :P :P


Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35040
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Re: Народ, прошу совета

Непрочитанное сообщение Alex Keda » 2007-12-22 18:00:43

напоминать неплохо бы.
===============
Кидаю как есть, целиком. Для WiFi Ставилось задачей не пускать на машину с файрволлом, тока в инет.

Код: Выделить всё

cat /etc/rc.firewall.main
#!/bin/sh

# vvodim peremennie:

FwCMD="/sbin/ipfw"
LanOut="xl0"
LanIn="ep0"
LanWiFi="ath0"
LanTunnel="gif0"
IpOut="10.21.64.215"
IpIn="192.168.254.254"
NetMask="24"
NetIn="192.168.254.0"
NetOut="10.21.64.0"
NetInWiFi="192.168.253.0"
# rule top for natd
TopRule="2300"
# sbrasivaem ranee ustanowlennie prawila:
${FwCMD} -f flush
${FwCMD} -f pipe flush
${FwCMD} -f queue flush
${FwCMD} -f table 0 flush

####### DUMMYNET ###################
#${FwCMD} add pipe 1 ip from me 21 to any
#${FwCMD} pipe 1 config bw 1000000
#${FwCMD} add pipe 2 ip from ${IpIn} to ${NetIn}/${NetMask}
#${FwCMD} pipe 2 config bw 1000Mbit/s
#${FwCMD} add pipe 3 ip from ${NetIn}/${NetMask} to me
#${FwCMD} pipe 3 config bw 1000Mbit/s
# `спецтруба` для мелкиз пакетов типа ack - ибо если они теряются
#${FwCMD} add pipe 4 ip from any to any tcpflags ack iplen 0-128
#${FwCMD} pipe 4 config bw 1000Mbit/s
# Пропускаем следующие трубы - чтобы мелкие пакеты не лимитировались
#${FwCMD} add skipto 39999 ip from any to any tcpflags ack iplen 0-128
# От глюков при работе с серваком изнутри по внешнему имени (траффик в трубы лезет)
#${FwCMD} add skipto 39999 ip from me to any
#${FwCMD} add skipto 39999 ip from any to me

# Рубаем самому себе инет - слишком быстно - плохо...
#${FwCMD} add pipe 5 ip from not ${NetIn}/24 to ${NetIn}/24
#${FwCMD} pipe 5 config bw 1280000bit/s


# WiFi

# proveryaem vremennie pravila:
${FwCMD} add check-state

# razreschaem vnutrenniy interfeys
${FwCMD} add allow ip from any to any via lo0

# rulezz for sshit table
${FwCMD} add deny not icmp from "table(0)" to me

# ipsec
${FwCMD} add pass esp from 192.168.253.253 to me via ${LanWiFi}
${FwCMD} add pass esp from me to 192.168.253.253 via ${LanWiFi}
${FwCMD} add pass log udp from 192.168.253.253 500 to me 500 via ${LanWiFi}
${FwCMD} add pass log udp from me 500 to 192.168.253.253 500 via ${LanWiFi}
#${FwCMD} add pass all from any to any via ${LanTunnel}



#${FwCMD} add allow ip from 80.253.9.18 to ${IpOut} via ${LanTunnel}
#${FwCMD} add allow ip from ${IpOut} to 80.253.9.18 via ${LanTunnel}
#${FwCMD} add allow ipencap from ${IpOut} to 80.253.9.18
#${FwCMD} add allow ipencap from 80.253.9.18 to ${IpOut}
#${FwCMD} add allow udp from ${IpOut} to 80.253.9.18 isakmp
#${FwCMD} add allow udp from 80.253.9.18 to ${IpOut} isakmp
#${FwCMD} add allow esp from ${IpOut} to 80.253.9.18
#${FwCMD} add allow esp from 80.253.9.18 to ${IpOut}
#${FwCMD} add allow ip from any to any via ${LanTunnel}
#${FwCMD} add allow ip from 192.168.11.0/${NetMask} to any via ${LanTunnel}
#${FwCMD} add allow ip from 192.168.0.0/16 192.168.11.0/${NetMask} via ${LanTunnel}

# zapres4aem:
${FwCMD} add deny log ip from 192.168.0.0/16 to any in via ${LanOut}
${FwCMD} add deny log ip from 172.16.0.0/12 to any in via ${LanOut}
#${FwCMD} add deny ip from 10.0.0.0/8 to any in via ${LanOut}
#${FwCMD} add deny ip from any to ${NetIn}/${NetMask} via ${LanOut}
${FwCMD} add deny log tcp from any to any 135-140 via ${LanOut}
${FwCMD} add deny log tcp from any 135-140 to any via ${LanOut}
${FwCMD} add deny log tcp from any 445 to any via ${LanOut}
#${FwCMD} add deny tcp from any to ${IpOut} 21 via ${LanOut}
${FwCMD} add deny log tcp from any to ${IpOut} 144-1026 via ${LanOut}
${FwCMD} add deny log tcp from any 3000-3001 to any via ${LanOut}
${FwCMD} add deny log tcp from any to any 3000-3001 via ${LanOut}
${FwCMD} add deny log tcp from any to ${IpOut} 3306 via ${LanOut}

# established connections on external interface
${FwCMD} add allow tcp from me to any established via ${LanOut}


# otprawlyaem vseh na SQUID:
#${FwCMD} add fwd 192.168.254.254,2121 tcp from ${NetIn}/${NetMask} to any 21 via ${LanOut}
${FwCMD} add fwd 127.0.0.1,3128 tcp from ${NetIn}/${NetMask} to any 80 via ${LanOut}
${FwCMD} add fwd 127.0.0.1,3128 tcp from ${NetInWiFi}/${NetMask} to any 80 via ${LanOut}
#${FwCMD} add fwd 127.0.0.1,3128 tcp from 192.168.252.253 to any 90 via ${LanOut}

##########  NATD #########
# пропускаем - может прокатит для ftp...
#${FwCMD} add skipto ${TopRule} tcp from me 21 to any out via ${LanOut}
${FwCMD} add divert natd ip from ${NetIn}/${NetMask} to any out via ${LanOut}
${FwCMD} add divert natd ip from ${NetInWiFi}/${NetMask} to any out via ${LanOut}
${FwCMD} add divert natd ip from 192.168.252.0/24 to any out via ${LanOut}
${FwCMD} add divert natd ip from any to ${IpOut} in via ${LanOut}

# разрешаем инет посторонним
${FwCMD} add allow ip from any to not me via ${LanWiFi}
${FwCMD} add allow ip from not me to any via ${LanWiFi}
${FwCMD} add allow udp from any to me 53 via ${LanWiFi}
${FwCMD} add allow udp from me 53 to any via ${LanWiFi}
${FwCMD} add allow tcp from any to not me via ${LanWiFi}
${FwCMD} add allow tcp from not me to any via ${LanWiFi}

########## VPN ###################
#${FwCMD} add allow tcp from any to any 1723 # ампутировано, т.к. мешает
#${FwCMD} add allow tcp from any 1723 to any # работе VPN изнутри
${FwCMD} add allow gre from any to any via ${LanOut}
${FwCMD} add allow gre from any to any via ${LanIn}
${FwCMD} add allow gre from any to any via ${LanTunnel}

#############################################################################
${FwCMD} add allow tcp from any to any established      # on all interfaces
${FwCMD} add allow ip from me to any out xmit ${LanOut}
${FwCMD} add allow udp from any 53 to any via ${LanOut}
${FwCMD} add allow udp from any 123 to any via ${LanOut}
${FwCMD} add allow icmp from any to any icmptypes 0,8,11
#${FwCMD} add allow tcp from any to ${IpOut} 80 via ${LanOut}
#${FwCMD} add allow tcp from any to ${IpOut} 25 via ${LanOut}
${FwCMD} add allow tcp from any to ${IpOut} 22 via ${LanOut}
#${FwCMD} add allow tcp from any to ${IpOut} 143 via ${LanOut}
#${FwCMD} add allow tcp from any to ${IpOut} 110 via ${LanOut}
${FwCMD} add allow tcp from any to any via ${LanIn}
${FwCMD} add allow tcp from any to any via ${LanTunnel}
${FwCMD} add allow udp from any to any via ${LanIn}
${FwCMD} add allow udp from any to any via ${LanTunnel}
${FwCMD} add allow icmp from any to any via ${LanIn}
${FwCMD} add allow icmp from any to any via ${LanTunnel}
#${FwCMD} add allow tcp from any to ${IpOut} 21 via ${LanOut}
#${FwCMD} add allow tcp from any to ${IpOut} 40000-65534 via ${LanOut}

# добавлено для ipnat
#${FwCMD} add allow tcp from ${NetIn}/${NetMask} to any setup

${FwCMD} add 65534 deny log all from any to any
Убей их всех! Бог потом рассортирует...

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-23 14:20:39

Большое шпасибо... будем перелопачивать под себя :P :P :P

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-24 20:29:30

коммутатор вот такой Compex SXP2224WM. SNMP нету на ём :? :cry:

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2007-12-24 22:35:00

паразительно, теперь будем знать, что есть такое :shock:
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-24 23:09:48

но транковые порты делать умеет, также управляется по WEB, но через одно место (куча глюков), умеет по СОМ порту еще.
так что по SNMP снимать статистику не получится, придется делать или как lissyara посоветовал, или через VLANы.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2007-12-24 23:14:53

Есть кстати еще одна железка - LinkSys 54GL роутер с вайфаем, через который собстна ща все работает (пока одна сеть, но надо будет пустить еще две) так на нем тож нету SNMP :twisted:

100kg
ст. сержант
Сообщения: 393
Зарегистрирован: 2006-05-18 14:01:32

Re: Народ, прошу совета

Непрочитанное сообщение 100kg » 2008-02-01 5:30:52

Код: Выделить всё

ifconfig_interface_alias="inet Ip netmask mask"
какая разница между vlan`ом и тем что я написал? ну vlan`у еше и мак адрес можно поменять

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2008-02-01 10:05:06

Lingsys 54GL - 5 10/100 эзернет портов включая ван?
в который можно влить нормальную линукс прошиву?
хех, дык net-snmp не только в FreeBSD присутствует ;)
и веланчеги он держит
отличный девайс за свои деньги, еще бы пару пртов USB и было также зашибись как и ASUS WL-500gP
В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.

format_c
рядовой
Сообщения: 34
Зарегистрирован: 2006-09-27 10:32:11

Re: Народ, прошу совета

Непрочитанное сообщение format_c » 2008-02-01 10:19:35

hizel писал(а):Lingsys 54GL - 5 10/100 эзернет портов включая ван?
в который можно влить нормальную линукс прошиву?
хех, дык net-snmp не только в FreeBSD присутствует ;)
и веланчеги он держит
отличный девайс за свои деньги, еще бы пару пртов USB и было также зашибись как и ASUS WL-500gP
а можно попдробнее про прошивку?

Аватара пользователя
hizel
дядя поня
Сообщения: 9031
Зарегистрирован: 2007-06-29 10:05:02
Откуда: Выборг

Re: Народ, прошу совета

Непрочитанное сообщение hizel » 2008-02-01 10:23:40

В дурацкие игры он не играет. Он просто жуткий, чу-чу, паровозик, и зовут его Блейн. Блейн --- это Боль.