Шлюз к нескольким провам

[rzn]

Доброго времени суток!
Собственно вопрос: необходимо поднять шлюз для сетей нескольких провов (пока двух, скоро будет 3).
Что имеем:
- CEl-800, 256 MB, 80 GB;
- FreeBSD 6.2;
- 3 сетевые карты: 2 на провов, 1 на мой комп;
- rl0 подключен к АДСЛ модему, настроенную bridge'м, авторизация через ppp, локальные сети 10.128.0.0/15;
- fxp0 подключен к ЛАН прову, доступ в нет через впн, локалка видна сразу, сетей много;
- rl1 подключен к моему компу;
Что нужно:
- Дать доступ абонентам двух провов видеть друг друга, с моего компа видеть сети двух провов, лазить в нет через АДСЛ;

Подскажите в какую сторону копать. Стоит ли использовать if_bridge? Какой фаер выбрать, пока использую ipfw но есть трабл с ЛАН провом, стоит ли смотреть в сторону других, учитывая, что надо будет поднять dc хаб, irc сервер и ДНС, м.б. еще фтп.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[dikens3]

(пока использую ipfw но есть трабл с ЛАН провом)

Есть уже работающий шлюз? Или ты Тех. Задание нам тут расписал и решайте господа мои проблемы?

Я бы с помощью роутинга организовывал и не трогал if_bridge.

[rzn]

Есть уже работающий шлюз? Или ты Тех. Задание нам тут расписал и решайте господа мои проблемы?

Пока шлюз используется только для выхода в нет и сетку по адсл, в лан мой комп не выходит, хотя со шлюза пинг проходит. ipfw самый простой:

Код: Выделить всё

ipfw add allow ip from me to any
ipfw add allow ip from any to me
ipfw add allow ip from 192.168.0.2 to any
ipfw add allow ip from any to 192.168.0.2
ipfw add deny log ip form any to any

Сейчас пытаюсь сваять нормальные правила, попутно, думая не зря ли, может стоить начать курить ipf или pf? Проверять работу из сетей пока не хочу, дабы не привлекать внимание доморощенных кул хацкеров, как настрою тогда бум проверять.
Возваливать свои проблемы на чужие плечи не думаю, ибо самому интересно. Также не прошу готовых решений даже если все просто, т.к. хочу сам до всего дойти. Однако, от толковых подсказок и направлений не откажусь и буду очень благодарен.

Я бы с помощью роутинга организовывал и не трогал if_bridge.

Можно поподробнее, а то я еще совсем слаб в этих вопросах.

[dikens3]

Такое решение довольно сложное для новичка, нужно бы тебе разбить его на части и решать постепенно.

1. Лазить в инет через ADSL.
Подключиться к обоим провайдерам, но в интернет ходить только через провайдера с ADSL.
С помощью ipfw и route всё реализуется.

2. C моего компа видеть сети двух провов.
Список сетей обоих провайдеров нужен.
Сделать статические маршруты к данным сетям через нужное соединение. (На шлюзе и у клиентов)

3. Дать доступ абонентам двух провов видеть друг друга.
Ну это автоматически будет реализовано в п.2, остаётся только с помощью ipfw ограничения необходимые сделать, если они нужны.

[hizel]

интересно как клиенты сетей будут знать, что другие компы за данным шлюзом
что то мне мало понятно, тут имхо только бридж, только фильтровать его внимательно
от всяких гадостей

Пы.Сы. Точку обмена решил сделать?

[rzn]

1. Лазить в инет через ADSL.
Подключиться к обоим провайдерам, но в интернет ходить только через провайдера с ADSL.
С помощью ipfw и route всё реализуется.

Это я уже сделал. демон ppp и усе, впн подключать не стал, незачем пока. Со шлюза видны сетки обоих провов, но с моего компа - только АДСЛ.

ipfw.rules

Код: Выделить всё

#!/bin/sh
# Интерфейс моего компа
myif="rl1"
# Интерфейс подключённый к Гаранте
garif="fxp0"
# Интерфейс(ы), подключенный к Домолинку
mytun="tun*"

# IP-Адрес моего компа
mycomp="192.168.0.2"

# Все IP-Адреса Домолинка
domoip="10.128.0.0/16, 10.129.0.0/16"
# Все IP-Адреса Гаранты
garip="10.10.0.0/16, 10.11.0.0/16, 10.12.0.0/16, 172.16.0.0/14, 192.168.11.0/15, 192.168.31.0/24, 192.168.60.0/24, 192.168.200.0/24, 213.137.239.149, 213.137.239.150"

# Пользователи, которым разрешен доступ в инет
users="192.168.0.1"

# IP-Адреса DNS серверов Домолинка (PPPoE)
dnsdom="212.26.224.65, 212.26.230.61"
# IP-Адреса DNS серверов Гаранты
dnsgar="80.82.187.2"
# Шлюз Гаранты
gwgar="10.11.0.254"

# Пользователи, которым можно подключаться по SSH,
# пинговать наш сервер
ssh_ip_users="192.168.0.2"

fwcmd="/sbin/ipfw"
${fwcmd} -f flush

###########################################################################

# Пускаем lo и весь трафф от шлюза
        ${fwcmd} add pass all from any to any via lo0
        ${fwcmd} add pass all from me to any
        ${fwcmd} add pass all from any to me

# Пускаем мой комп
# В сеть Гаранты
 	${fwcmd} add allow all from ${mycomp} to ${garip} in via ${myif}
 	${fwcmd} add allow all from ${mycomp} to ${garip} out via ${garif}
# и обратно
 	${fwcmd} add allow all from ${garip} to ${mycomp} in via ${garif}
 	${fwcmd} add allow all from ${garip} to ${mycomp} out via ${myif}	
# В сеть Домолинка
 	${fwcmd} add allow all from ${mycomp} to ${domoip} in via ${myif}
 	${fwcmd} add allow all from ${mycomp} to ${domoip} out via ${mytun}
# и обратно
 	${fwcmd} add allow all from ${domoip} to ${mycomp} in via ${mytun}
 	${fwcmd} add allow all from ${domoip} to ${mycomp} out via ${myif}
# Везде (инет временно)
	${fwcmd} add allow all from ${mycomp} to any
	${fwcmd} add allow all from any to ${mycomp}
# Все остальное в лог
${fwcmd} add deny log ip from any to any

интересно как клиенты сетей будут знать, что другие компы за данным шлюзом
что то мне мало понятно, тут имхо только бридж, только фильтровать его внимательно
от всяких гадостей

Пы.Сы. Точку обмена решил сделать?

они просто пропишут мой адрес в качестве шлюза и все.

Код: Выделить всё

route add 10.128.0.0 mask 255.255.0.0 10.11.1.101 -p

это для вантуза. должно работать
насчет точки обмена я че-то не вкуряю пока.

[dikens3]

Это я уже сделал. демон ppp и усе, впн подключать не стал, незачем пока. Со шлюза видны сетки обоих провов

Как так получается, что видны обе сетки, а VPN соединения со вторым провайдером нет?

но с моего компа - только АДСЛ.

Маршруты прописаны?

route add 10.128.0.0 mask 255.255.0.0 10.11.1.101 -p

Настаиваю на реализации варианта 1.

[rzn]

Проблема с невидимость сетки второго прова решена, видимо у прова был так настроен фаер, не пускавший 192.168.0.2, использование natd решило эту проблему, но возник вопрос: если придется натить всю сетку Домолинка (10.128.0.0/15), то скока это скушает ресурсов? Стоит ли использовать natd и ipfw или все же курить pf?
2dikens3: спасибо за ответы, помогло.

[alex3]

согласно закону о связи в точках сопряжения нескольких провов должно стоять фсбшное оборудование (сорм). как бы тебе за такие штуки не влетело...

[Alex Keda]

2 alex3
откуда дровишки?

[hizel]

правительство обратило внимание на интернет
законов с начала года на изменяли
ужесточают правила, провы бегают с бамашками по инстанциям

[dikens3]

2 alex3
откуда дровишки?

http://news.moe-online.ru/view/fsb_ofit ... roslu.html
Расти ноги начали наверное отсюда.

[alex3]

наши провы говорят... именно поэтому мы стараемся особо сервисы из одной сети в другую не перекидывать...