Замена демона NATD

[super-fox]

Здраствуйте всем! Столкнулся с такой проблемкой, есть роутер на freebsd, стоит там IPFW+NATD, под вечерок, когда много народу юзает NATD загружает процессор на 60-80% , пришла пора мне собрать в ядре nat, прошу поделиться опытом, кто что использует для трансляции пакетов?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

Juniper

[super-fox]

Спасибо, мне бы бюджетный вариант Я думаю что если нат загрузить не как модуль, а скомпилить в ядре, то производительность будет намного лучше.

[princeps]

я юзаю ipfw с kernel nat и pf.

[ViktorichZ]

имхо самое самое на сегодняшний день ng_nat

[buryanov]

Если будет дцать nat"ов, то

Код: Выделить всё

/usr/src/sys/netinetip_fw.h
#define NAT_BUF_LEN     1024

меняешь на чтото вроде

Код: Выделить всё

#define NAT_BUF_LEN     2*1024

или

Код: Выделить всё

#define NAT_BUF_LEN     4*1024

и пересобираешь ядро

[super-fox]

nat у меня один, говорят pf собраный в ядре отлично работает, может кто покажет конфиги?

[princeps]

nat в ipfw, собранный в ядре, тоже работает нормально. Раз у тебя уже стоит ipfw, то стоит ли заморачиваться с pf?

[buryanov]

Если будешь делать port/proto/address_redirect > 16 раз, то тогда понадобится это
у меня сделано так

Код: Выделить всё

${FwCMD} nat 4 config ip ${ip_nat33}
${FwCMD} add nat 4 all from ${lan} to any out via ${ifwan}
${FwCMD} add nat 4 all from any to ${ip_nat33} in via ${ifwan}

[super-fox]

princeps, может покажеш конфиги, как єто все правильно стелать с natd, или ссылку на статейку даш?

buryanov, а зачем столько натов? Зачем их вообще столько?

[buryanov]

а зачем столько натов? Зачем их вообще столько

У меня 4 ip на инрерфейсе, 2 провайдера + ngх. Разные чтоб было проще, есть удалённый ip, и к нему мы конектимся чемто(это уже кто,чем из пользователей), а на удалённой стороне прописан portmapping в зависимости от моего адреса, проэктов несколько таких, плюс, исходя из горького опыта командаровок, частенько у людей открыт только 80,443 порты, и у меня на 443 висит ssh, который мапится в локалку на сервак, потом на другом ip на 443 висит OWA,OMA, на ещё одном 443 ClearQuest и так далее
И получается проще, когда надо закрыть или открыть доступ или поменять настройки я перезагружаю именно для него фаер и нат соответственно. Но в этом методе тоже есть свои нюансы, очень легко запутатся, что где натится и куда должно возвращатся

[super-fox]

buryanov, спасибо за обьяснение, а можно например сделать так, что-бы пользователи попадали рандом на какой-то нат с определенным внешним ай пи? А то с рапидами да депозитами туговато

[Alex Keda]

Спасибо, мне бы бюджетный вариант

ну, вы спросили кто что юзает - я вам ответил

[qwe]

Реализация с pf.

Код: Выделить всё

/boot/loader.conf
pf_load="YES"

/etc/rc.conf
pf_enable="YES"

/etc/pf.conf
set limit states 30000
set optimization normal
set skip on lo0
scrub in all

nat on <имя_интерфейса, через который уходит на дефолт роут> from <серые адреса, которые нужно натить> to any -> <ip, на который натим>

pass all no state

Пример строки с nat:

Код: Выделить всё

nat on vlan200 from 10.10.1.0/24 to any -> 21.21.21.21