Dotaz: Dvě připojení do internetu na jednom stroji. HOW TO?

[hcecko]

Zdravim všechny linuxové odborníky. Měl bych jednu speciální věc. Nikde jsem nenašel jak to co možná nejefektivnějc nakonfigurovat.

Měl jsem jednu síť s jednim připojením do internetu, vše chodilo bez problémů. Mám tam nakonfigurovaný firewall - není problém.

Ale teď když mi přibilo ještě jedno připojení do internetu tak nevím jak to nakonfigurovat na firewallu i v OS, abych to mohl nějakym způsobem používat. Napadlo mě udělat aby šli obě linky najednou nebo při výpadku jedný aby šla ta druhá nebo cokoliv jiného.

Zde http://web.quick.cz/hardcore/net.jpg je schéma zapojení mé sítě. Černě je moje stávající síť. Červeně ta co přibila, ale ještě není připojená(nevím jak).

Děkuji všem za jakoukoliv radu.

Odpovědi

[Jiří Svoboda]

Hledej, resi se to tu kazdou chvili, porad dokola...

BTW, to pripojeni ti pribilo hrebickem, skobickou nebo jinak? Nebylo by lepsi pouzit hmozdinku?

[hcecko]

Tak děkuju za radu. :-/

[Petr Krčmář]

"Hledej" je skutečně nejlepší rada. Tohle není placená hotline, ale komunitní server, kde se snažíme nové uživatele vychovávat a naučit je správným návykům. Takže poslouchej dobré rady linuxových odborníků. Tohle byla jedna z nich.

[hcecko]

Tak jsem udělal co mi radíte a prošel asi čtyři diskuze. Ale vy už tam píšešte hrozně odborně. Vůbec nevim takový základy jak tu druhou konektivitu přidat do firewalu... ...atd.... ...protože když jí tam jenom připojim, tak ji samozřejmě mám zakázanou a firewall to DROPne... ...jakym způsobem to mam pripsat do firewallu abych nenarusil stavajíci síť. Schéma je na http://web.quick.cz/hardcore/net.jpg . Děkuji

[Petr Šobáň]

Jak nastavit firewall tak na to je tu návodů hodně hledej.

My těžko můžeme určovat jaké služby na jakých rozhraních mají běžet, prostě firewall si musí každý napsat sám podle svých požadavků toto nejsou windows kde systém myslí za vás a potom nic nechodí.

Viz: man iptables

Stavíme firewall (1)

Připojujeme domácí síť

Linux jako internetová gateway (4)

Firewall na dial-upu

A hromada dalších jenom se třeba porozhlédnout a pohledat. Jinak pokud tomu vůbec nerozumíte tak si někoho zaplaťte ať vám to nastaví podle vašich požadavků.

Pokud nebudete vědět něco konkrétního potom se ptejte tu, jinak se starejte sám toto není placená podpora abychom řešily kompletní nastavení vaší sítě.

PS. Myslím to slušně prostě v první řadě se musíte snažit sám a potom když něco konkrétního nepošlape se ptejte a potom budeme hledat chybu společně. Jinak s takového dotazu vám ten firewallstejně nenastavíme nevíme jak křištálové koule ještě nemáme.

[hcecko]

Jde mi akorát o to, jak to mám připsat do firewallu. Jestli napsat další firewall. Ten první mám napsanej jako všechno co je povolený pouštej přes inet1 a ten druhej opět všechno mimo inet1 pouštej přes inet2 ?!?! Nebo jak?!?...

[Michal Kubeček]

Jste si opravdu jistý, že zrovna firewall je věc, kterou by měl nastavovat někdo, kdo tomu nerozumí? Já bych řekl, že rozhodně ne. Takže doporučuji buď snažit se tomu porozumět nebo to nechat udělat někoho, kdo tomu rozumí.

[hcecko]

Všechny odpovědi tady možná jsou napsaný...ale jak si je mám spojit když tomu zase uplně nerozumim. Nemusíte mi radit nějaký podrobnosti. Stačí obecně, ale konkrétně k mému případu. Až budu takovej borec jako vy, tak potom rád někomu poradim. Ale zatim nejsem....

[ZAH]

Asi budete muset začít u toho jak chcete řídit provoz přes ta rozhraní do a z internetu . Podle toho pak teprve navrhovat to ostatní. (Například veškerý odchozí provoz přes ethX a poskytované služby na ethy s veřejnou adresou.) Prostě se zamyslet a pak se ptát konkrétně na detaily.

[Petr Šobáň]

No prostě jak to uděláš je tvoje věc jestli napíšeš znovu komplet ten skript pro firewall či si upravíš svůj již stávající.

Prostě to si musíš udělat sám my těžko můžeme vědět na jakých PC má běžet jaká služba fakt to nevíme a kterým strojům chceš povolid který adsl modem atd.....

A radit ti povol všechno tak to nemá cenu potom tam ten firewall nemusí být. Prostě firewall musí být ušit přesně na tu síť co máš jinak je to na nic. A je jedno kolik má rozhraní a kam ty rozhraní vedou důležité je co kam může být povolené a co má být zakázané a to záleží jaké služby na jakých rozhraních můžou běžet jaké PC tam jsou s jakou IP atd....

A na to tu fakt nejsme.

[Zdeněk Štěpánek]

Zdravim

HLEDEJ .. stokrat opsat

Proc do toho neustale motas firewall. Co vlastne chces? Spojit ty dve konektivity do jedne a mit tak jednu virtualni pripojku do netu? Nebo nektere uzivatele dat na jednu konektivitu a zbytek na druhou? Prvni vec je neco na zpusob bondingu, staci hledat, resilo se to tu nekolikrat. Druha vec je jen o napsani routovacich pravidel a firewallu. Pokud tohle neznas tak se prej na roting a firewall, ale taky staci hledat, je to jednoduchy, staci pochopit principy zdrojovejch a cilovejch IP adres a dokazat napsat "route add..".

Zdenek

[hcecko]

Tak všem děkuji za Váš čas. Mám nakonfiguravanej firewall na mojí současnou síť bez druhé konektivity - schéma zde http://web.quick.cz/hardcore/net.jpg (:

Na eth0 je moje vnitřní síť na který je ven povoleno všechno, dovnitř pouze navázané spojení a některé porty. Eth1 je ADSL 1024 první fukční internetová konektivita. Eth2 je bezdrátová síť, kde je poholeno pouze http, pop3, smtp.

Teď chci připojit další konektivitu na eth3.

Když zkopíruju současný firewall_script a změnim tam pouze rozhraní eth1 za eth3 a všechny související IPčka, bude to fungovat uplně stejně jako teď na obě konektivity? ...a jakym příkazem určim prioritu nebo aby šli obě naráz, jedna vypadne atd. ...

Routing jsem nikdy nenastavoval. Chodilo mi to vždycky automaticky po instalaci distribuce. Vy určitě vydíte kde dělám chybu, já jí samozřejmě nevidim - popisuju to možná směšně, ale myslim to dobře. Pokud mi nikdo nebude chtít pomoct, tak to nikomu mít za zlý nebudu.

Ještě jednou děkuji....

[Petr Šobáň]

Kam ty pakety budou odcházet zaleží na routovací tabulce.

man route

A pokud tam skutečně přes to rozhraní odejdou záleží na firewallu.

Viz: předchozí odkazy.

[hcecko]

Už tomu začínám trošku rozumnět...díky.... ...no a co ta priorita... ...jinak ten přepis stávajícího FW a změna rozhraní a IP na druhý FW je v pořádku?!?....

[mrak]

to stim firewallem jak popisujes tak je to v poradku

s tou prioritou je to trochu slozitejsi normalne se vse posila na defaultni router ... po zadani "ip route" je to ten radek kde jsou

0.0.0.0 .* via 12.23.45.56

[hcecko]

Díky....konečně se můžu o něco opřít... ...a jak si to myslel jsou prioritou?!..... ....to jsem nějak nepochopil... ...jinak děkuji za rady....

[8an]

Podle mě tohle prioritou nevyřešíš, protože systém nepozná že je ta linka nefunkční (poznal by maximálně kdybys odpojil kabel ze síťovky). Tohle se normálně řeší dynamickým routováním (OSPF apod.), které ale musí běžet na obou stranách spoje. Maximálně můžeš udělat nějaký skript, který zkusí ping někam do internetu a pokud neprojde, tak přehodí default gateway na tu druhou linku.

[Michal Kubeček]

Základ najdete v LARTC Howto (asi bude potřeba přečíst si víc, než jen tuhle kapitolku). Ale pokud byste to chtěl úplně dokonale, musel byste mít vlastní adresní rozsah a autonomní systém.

[hcecko]

Mrknu na to a pak se ozvu... ....díky....

[hcecko]

.....tak už jsem to všechno konečně propojil, obě připojení dostali uplně novou a totoznou siťovku, ale nechodí obě linky najednou.... ....chodí vzdycky ta posledni na kterou zavedu routu (route add default gw XXX.XXX.XXX.2) ....takze kdyz smazu tu posledni routu tak funguje zase ta druhá.... ....procital jsem predchozi diskuze ale moc to z nich nechapu... ....nedal by mi nekdo dobrou radu pro naprostyho tupce... ...(jako jsem ja)... (-; ... ...děkuji....

[hcecko]

jo jinak jeste.... ...nevite nekdo jak to ze se na jednu verejnou IP adersu dostanu z venku fpoho ... a na druhom ani nahodou....

[ZAH]

To se ti už chvíli snaží říct více lidí, že přesně tak to funguje. Pakety jsou směrovány podle routovavací tabulky. Lze jednoduše nadefinovat, že defaultně jde odchozí provoz na jednu síťovku a vybrané sítě jdou přes druhou. Jde li ti však o vyvažování záteže mezi obě síťovky tak nejde o triviální záležitost a budeš muset toho o routování nastudovat povícero. Vyzkoušej si statickou změnu routování (viz. route add ) a přepni si směrování pro vybranou sít na nedafultní síťovku. Pak ti přístup na tuto síť půjde nedefaultní síťovkou a veškerý ostatní přes defaultní. A v podstatě toto se děje při dynamickém vyvažování zátěže provozu. jen to za uživatele musí udělat nějaký nakonfigurovaný démon.

[hcecko]

Moc díky... ....ze začátku to nevypadalo ze se neco dozvim, ale nakonec mi prijde ze tomu uz trochu rozumim. Jde o to ze vy máte plno zkusenosti a vsechno Vam do sebe zapada. Ja musim mit vic informaci, ze kterejch snad neco vymyslim.

VSEM MOC DEKUJU !!!!!!!

.....kdyby jeste nekoho neco napdalo... ...budu rad... (treba nejaka vychytavka) (: .....

...jeste jednou díky....

[Michal Kubeček]

Díval jste se do toho LARTC Howto? Tam je přeci popsáno, jak do toho zamíchat vyvažování zátěže. Ale nejdřív ze všeho zapomeňte na 'route add' (obsolete since 1998), s ním to neuděláte. Použijte raději 'ip route add'.

Prevence: propagátory starých pořádků prosím, aby nepsali, že route stačí bohatě, pokud zároveň nenapíší, jak pomocí něj nastavit multipath (default) route.

[Zdeněk Štěpánek]

Zdravim

Porad tady nezaznela zakladni vec. Prostou zmenou defaultni brany muzes prehazovat mezi jednim a druhym pripojenim. Testovat funkcnost pripojeni muzes treba pingem a kdyz neprojde tak prehodit na druhou konektivitu. Ale o to ti asi nejde. Pak muzes nektere konkretni uzivatele poslat ven pres jednu koenktivitu a zbytek site pres druhou. To si bude smuset nastudouavt neco o routovani. No a nebo pak obe linky spojit do jedne virtualni a mit tak jakoby tlustsi linku. O to se stara nejakej demon, probiralo se to tady. Tak napis co vlastne chces. Proc se musim opakovat..

Zdenek

[Michal Kubeček]

Dá se to udělat i tak, že provoz, který má určenou zdrojovou adresu, odchází přes příslušné rozhraní a zbytek se mezi ně rozdělí v určeném poměru. To je asi tak maximum, čeho se dá docílit bez spolupráce s ISP nebo vlastního autonomního systému. Odkaz už zde padl.

[hcecko]

Ta jedna viruální trubka by nebyla také na škodu. V podstatě by bylo fajn... ...mít dvě linky, který mám, ale aby se chovali uplně stejně... a ještě aby se při zatížení jedné použila ta druhá nebo při výpadku jedné...

Možná nejvíc mi jde o to ... abych se mohl vzdáleně přihlásit na server, jak na jedno veřejně IP tak na druhé veř. IP... ...aby i mapování portů fungovalo uplně stejně jak na jednu tak na druhou příklad: telnet na poč ve vnitřní síti - na jednu linku to umim, ale aby to šlo naráz na obě... ...neboli aby byly obě IPčka použitelné... a chovali se absolutně nezávisle.... ...takovej mirror linky... ...kterej chodí i jako jedna... ...neboli z venku do vnitř dvě ze vnitř ven jedna....

Asi to nedokážu vysvětlit - to bude ten hlavní problém....

[Michal Kubeček]

Ale ano, my to chápeme. A taky se vám už notnou dobu snažíme vysvětlit, že to, co tu popisujete, je možné jen v případě, že budete mít vlastní adresní rozsah a vlastní autonomní systém. Ale to není problém Linuxu, to je záležitost toho, jak směrovnání v Internetu funguje. V Linuxu si tam potom toho BGP démona (zebra, quagga, bird, …) můžete pustit taky.

[hcecko]

Paráda, jako na debila na mě musíte (: ...určitě si to někde najdu a rozchodim... ...nemůžeš mi napsat k tomu nejakou stručnou omáčku jak to funguje a na coi bys si měl dát pozoir atd. ?!?....

[wake]

dobry den, jsem Eliza, jak vam mohu pomoci ?

[hcecko]

((:

[Michal Kubeček]

On je to spíš administrativní problém. Ale dokud nebudete pořádně rozumět tomu, jak to směrování v Internetu funguje, vůbec bych se do toho nepouštěl. Zatím si nastudujte to z LARTC Howto, pro začátek je to docela slušný mezistupeň.

[hcecko]

koukal jsem na to ale vůbec jsem tomu nerozumnel... ...nemáš nějaký stránky v češtině?!?....

...a ještě by mě zajímalo... - ...všichni tady mluví o tom že si mám pinkat na internet a při nedostupnosti nějakého IP přepnout druhou linku... ...jako by smazat stávajíci a přidat routu na tu druhou... a naopak...

...jak by měl ten script vypadat?!?.... ....spouštět ho každou minutu dokážu.... ...díky

[zed]

Pokud chces resit rozdeleni na dve linky routovanim musis routeru rict jaky traffic od koho a kam ma jit. Resilo se to treba tady http://www.abclinuxu.cz/forum/show/70210 dalsim mene elegantnim resenim je treba ma druhou linku povesit proxy server a na nej smerovat traffic (treba i transparentne).

[zed]

http://www.hostname.org/netsplitter/ Toto je presne to co potrebujes - jednoducha konfigurace, velika spolehlivost urceno idealne pro 2x ADSL

[Michal Kubeček]

Podle popisu to bude nejspíš přesně totéž, co ve zmiňované části LARTC Howto…

[EiFFeL]

Zdravim... Nainstaloval jsem netsplitter a vyskytl se uplne jiny problem... Po jeho spusteni na serveru mi prestane LAN komunikovat se zbytkem sveta.. Proste kdyz dam na klientskem pocitaci napr. ping www.seznam.cz tak IP dojde z DNS beziciho na serveru ale ping samotny uz neprojde... Ale vytvorene spojeni se udrzi (ICQ)... Predem diky za pomoc...

[Zdeněk Štěpánek]

Zdravim

Nedokazu si predstavit jak s dvema zcela nezavislima pripojkama do netu bez nejakeho extra nastaveni docilit toho abych se mohl z netu connectnout na obe verejne IP.

Prece kdyz prijde pozadavek z pripojeni A ale defaultni branu mas smerem na pripojeni B tak ti odpoved odejde skrz B a k tobe uz jaksi nedorazi. Resenim muze byt zapojit svuj komp do BGP peerovani, coz jednak vubec nemusi byt mozne a zadruhe si tohle domluvit s telecomem je asi utopie.

Resenim by taky mohlo byt mit dva pocitace a na akzdem jedno pripojeni. A vevnitr si to proroutovat jak budes chtit.

Zdenek

[zed]

ale o to se stara prave ten daemon. Vytvori transparentni proxy a sam rozdeluje traffic mezi obe linky ( a hlida si pomoci pingu jestli jsou zive)

[Michal Kubeček]

Jeden o voze, druhý o koze. To, co píšete, platí jen pro odchozí provoz (a to obvykle ještě jen ten, který není odpovědí na něco zvenku). Vždyť tam máte výslovně napsáno: WARNING: This is not a load-balance for incoming connections.

[hcecko]

Pomůže mi ještě někdo stim scriptem, který dube každou minutu kontrolovat konektivitu a když jí nebude mít na tý aktualní lince přepne jí na tu druhou....

...někdo něco říkal s nějakym pingem a pak zrušení a routy a vytvoreni novy a naopak... ...diky...

[Michal Kubeček]

Příkaz ping vrací návratový kód podle toho, jak byl úspěšný, takže ho můžete využít ve skriptu pro větvení (asi bude vhodné využít parametr -c). Pak už je to otázka 'ip route del' a 'ip route add'. Samozřejmě by za vás mohl někdo ten skript napsat, ale tím by vám moc neprospěl, daleko užitečnější bude, když si to zkusíte sám a pouze zkonzultujete případné problémy.

[hcecko]

Jasný díky... ...akorát mě zarazí to "ip route add" ...vzdycky jsem zadaval jen "route add" ...zkusim to nejak vymyslet...ale nejvetsi problem pro mě predstavuje jak jako ověřim ty pingy co mi příjdou zpět...?!? ...chápu třeba že když vytrořim PPPčko , tak si napíšu script kterej bude tohoto ppp demona kontrolovat v procesech a pak to bud znova nahodi.. ...nebo jen přepise v souboru aktualni cas a datum... ...ale tohle stim pingem bude na me nejspis moc... ...zkuste mě nejak nakopnout - zkusil bych to dovymyslet... ..moc díky....

[Michal Kubeček]

Příkazy jako route nebo ifconfig jsou zastaralé nástroje pro konfiguraci sítě, které vycházely z původní implementace sítí v Linuxu. Už od jádra 2.2 je síť implementována jinak a ke konfiguraci by měl být používán příkaz ip z balíčku iproute2. Pro zpětnou kompatibilitu je sice možné dále používat původní nástroje, ale musíte pak počítat s tím, že občas pracujete s objekty, které neexistují, občas neuvidíte vše, co je v systému nastaveno a některé věci nenastavíte vůbec (třeba právě zmíněné rozložení zátěže).

[hcecko]

...díky...

[Käyttäjä 11133]

Sem sice lama ale resil bych to asi timhle scriptem:

#/bin/bash
if ping -c 1 www.abclinuxu.cz
then #prikaz na routovani na prcni konektivitu
else #prikaz na routovani na druhou konektivitu
exit
fi

chybi tam reseni problemu ze vypadla druha konektivita, ale ma to slouzit jen jako inspirace (prikaz rout tam neni protoze nejsem zrovna na linuxu a nemam pristup k manualum tak nevim jake se tomu davaji parametry)

[Käyttäjä 11133]

route (jinka prosim mistni linux guru at okomentuji muj script co sem resil blbe rad se necemu novemu priucim)

[Jirka Š.]

Podle mně je to ale i dost nebezpečný, když linka bude na 100% obsazena ping nemusí jít, ale linka bude funkční a může se to přesměrovat. Já bych to asi tak neřešil.

[hcecko]

...a jak by si to tedy řešil ty... ...tenhle postup tady vypadl z nějakýho odborníka ...takže to musí bejt asi v pořádku .... nebo né?!?... ...jinak stim pingem při max zatížení linky souhlasim... ....tak jak tedy to nejlépe vošéfovat ...

[Michal Kubeček]

To by šlo ošetřit tím, že by se nejdřív zkontrolovalo, zda se změnily hodnoty přijatých/odeslaných paketů/bytů ve výpisu 'ip -s link' resp. 'ip -s link show dev eth0'. Pokud ano, ICMP echo už by se ani nezkoušelo. Ale možná by bylo vhodnější rovnou zaangažovat něco jako nagios.

[Käyttäjä 11133]

Mno tento postup sem psal jakozto lama co se tyce linuxu, siti i programovani co byste chteli v 16cti abcych byl guru? No hold se jeste mam hodne co ucit. :)

[hcecko]

tak OK.... ...vypíšemi to to nejaky hodnoty... ...ale jak udelam to aby to zkontrolovalo jestli je to cislo vetsi nez to co bylo pred chvili(před 5 sec) ...ale nemusim přeci datovat třeba celej den... ...takže se mi ta datovoust neprojeví... ...takze je to v podstate taky na nic... ???!!!...

[......]

no mě server datuje i když nedatuje ze sítě chodí kde co...a server na to odpovídá, zakazuje, přijímá, odesílá...no prostě maká. Ještě se snad nestalo, aby odpočíval.

[Michal Kubeček]

touch previous
ip -s link show dev eth0 > current
if diff -q x y; then
  ...
fi
...
mv current previous

(jen hrubá kostra)

[Michal Kubeček]

Hm, když už ten thread někdo exhumoval, tak jen pro pořádek: má tam samozřejmě být

if diff -q previous current; then

[Michal Kubeček]

Jak jsem psal, postup by mohl být třeba takový, že se nejdřív podíváte, jestli byl od posledního testu provoz. Pokud ne, pak zkusíte ping a teprve když i ten selže, spácháte akci.

[analyzaH]

...nejde spojit dva adsl routre switchem a az pak namanagmentovat nat tak aby to chodilo? :D...