Dotaz: maximální počet mac adres

[pepa.02]

zdar, chtěl bych se optat jaký jaký je tak maximální počet MAC (ip adres), co zvládne linuxový router přes jednu síťovku. (popřípadě kolik jich zvládne přes více)

Odpovědi

[azurIt]

tak MAC adries alebo IP adries ? ;)

[pepa.02]

jednoduše spojení MAC > IP v arp tabulce

[azurIt]

tak preco v otazke hovoris o sietovke, ked ti ide o arp tabulku ?

[pepa.02]

tak kolik se vejde do arp tabulky zaznamů

[_radek]

Tolik, kolik si nastavíte: /proc/sys/net/ipv4/neigh/default/gc_thresh[123]

[pepa.02]

Takže když zvednu všechny 3 čísla třeba na 5000, tak nějakých 4000 přímo připojených PC(bez routeru na přímo) nebude problém ?

[_radek]

Teoreticky ano, prakticky jsem nikdy nepotreboval neco podobneho zkouset.

net.ipv4.neigh.default.gc_thresh1 - nastavuje prah kdy jadro prestava uklizet arp tabulku

net.ipv4.neigh.default.gc_thresh2 - hodnota, pri ktere zacne "agresivne" uklizet

net.ipv4.neigh.default.gc_thresh3 - maximalni pocet zaznamu v tabulce

Nejjednodusi bude, proste to zkusit Hodne zdaru.

[honzous]

Ja jen doporucim s gc_thresh opatrne. V pripade trafficu v radu desitek Mbps to dokaze slusne zamavat s celkovym schovanim serveru. Akorat nevim, pro jake dimenze byl polozeny tento dotaz. Docela se vyplati vyguglit si i neco o gc_elasticity.

[honzous]

s/schovanim/chovanim/ samozrejme

[pepa.02]

dejme tomu že poteče 100mbit/s přes cca 3000 PC

[honzous]

Hmm, tak to doporucuji guglit i arp_proxy, arp_ignore, ip_conntrack_max a dalsi fily z /proc/sys/net. Navic si alespon chvilku posedet u nastaveni jadra v sekci networking, precist si neco o ebtables, a jestli s tim jeste nemas zkusenosti, tak preji uprimnou soustrast

[pepa.02]

Přes ten router už asi cca 2500 počítačů běží (shapping, počítání, statistiky,... atd) to už je vše vyřešené přes ipmark,accoount atd..., ale 95% počítačů je schováno za několika routry. Všechny "bokové" routry chci vyodit (kvůli veliké z potřebě a poruchovosti HW), a místo nich nasadit "chytré" switche, a vše udělat na bázi vlanů (8021q) . (takže bude v tom hlavním routeru bude cca 300 vlan sitovek(8021q) ). Vlan sitovka se chová plnohodnotně jako kdyby tam byla normalni do PCI slotu.

[Haaja]

V takovemhle meritku uz bych si to mozna trochu promyslel, nez to zacal predelavat........

[pepa.02]

Jaký můžou mít ty vlany nevýhodu ? kdys se pokazi nejaky switch tak se da spatky nahrat konfigurace, a co se tyce vykonu routru mi asi nikdo koukam nerekne.

[Haaja]

Neumim si predstavit, ze budete routovat/shapovat/merit statistiky na jednom stroji pro 4000 ip adres, takze nemuzu poradit presne, nevim jestli pocet vlan je na linuxu nejak omezeny nebo ma vliv na prenosovou rychlost nejak razantni.

[jurasek]

Dobry den
Hmm, a taky si nezapomente overit, jestli ty switche, pres ktere to budete pripojovat umi takovy pocet VLAN. Treba i switche Cisco WS-2950 maji podle typu image IOS pocet VLAN 64 nebo 128. V kazdem pripade bych to routovani VLAN resil asi na HW routeru. Protoze konfigurace nebude jednoducha, a hlavne se v ni posleze bude slozite orientovat.
Nicmene zrejme cena zvitezi pred spolehlivosti :o)

Jurasek

[honzous]

Ja osobne teda preferuji vice routeru nez precpane ARP tabulky. Par pocitacu napadenych urcitymi typy malwaru dokazou vyprodukovat slusne ARP floody a to je pak na otevrene siti veselo Do detailu jsem tyto aktivity nezkoumal, byl jsem jen na strane routeru, ale vim, ze prestoze byl v pc napr. nastaven subnet /30, tak to prskalo na cele cecko, ne-li becko. Neco takoveho pres router neproleze a ucpe to maximalne nejakou minoritni cast site. A problem spotreby el. a poruchovosti hw? Tak si udelej minimalizovane routery bez disku bezici z pameti. Budes z toho mit malicke nizkospotrebove krabicky, kde se de facto nema co zkazit, ktere muzou bootovat po siti.

[Haaja]

Bootovat po siti nevim jestli je nejlepsi, ale my to resime ze kde je to mozne da se wrap s debianem na CF, kde ne, tak pocitac a misto hdd se da ide redukce a take CF, idealni, malo poruchove.

[pepa.02]

Co se týče toho útoku tak přeci to net.ipv4.neigh.default.gc_thresh, se nastavuje pro kazdou sitovku zvlast, a nebo to je dohromady pro celej system ?. Kdyby to bylo zlast tak pokud se tam do gc_tresch nenacpou tisicovy cisla a necháse to na málo tak by nějakej útok odrovnal jen tu jednu vlan eth ne ?

[_radek]

Obavam se, ze b) je spravne - pro cely system, proto to "default".