Dotaz: dva ISP a dve sitove karty, jak vyuzivat oba ISP?

[chinook]

Zdravim...

Mam k FW (routeru) pripojene dva ISP (eth0 = 1.ISP a eth1 = 2.ISP)

eth0 ma IP 10.0.0.1

eth1 ma IP 10.0.1.1

kazda sitovka je pripojena k modemu, kde je verejna IP x.x.x.1 a x.x.x.2 Zatim je vyuzivano pouze jedno pripojeni

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Ja bych chtel vyuzivat i druhe pripojeni eth1 a to tak, ze by jej pouzival napr. jen jedno PC v siti. Zkousim to rozjet. Ale nedari se. Kde je chyba? Zkousim tento prikaz:

iptables -t nat -A POSTROUTING -s 192.168.1.3 -j SNAT --to-source 10.0.1.1

Odpovědi

[hermelin]

Zkus tento návod - s iproute se opravdu nechají dělat divy

http://lartc.org/howto/lartc.rpdb.multiple-links.html

Mám ozkoušeno a funguje perfektně

[Filip Jirsák]

POSTROUTING se uplatňuje až po routování, tj. po výběru cesty, kudy paket půjde. Nevím, jestli neplatí nějaká výjimka, že když se v SNATu změní odchozí adresa, udělá se routování znovu, ale pokud taková výjimka neexistuje, vaše pravidlo by nefungovalo a musel byste použít routovací pravidla (ip rule). Další problém je, že se vám ta dvě pravidla vzájemně tlučou – pro to první bych zvolil spíš podmínku -s !192.168.1.3. Ale hlavně – nevím, proč je v poslední době v módě řešit směrování pomocí firewallu. K nastavení směrování slouží v linuxu příkaz ip, zejména varianty ip route a ip rule. Když si vytvoříte dvě routovací tabulky, jedna bude mít jako default GW jednoho ISP a druhá druhého ISP, a nastavíte pravidla, podle kterých se mají ty tabulky vybírat, bude to podle mne mnohem jednodušší.

[svaca]

toto se tu resilo nekolikrat: chces-li to mit vymakane budes potrebovat:

patchovat jadro : patch-o-matic (ROUTE)
openvpn
par vlastnich skriptu ...

par poznamek:

- je dobre mit nahozene oba provaidery ale defaultni routu mit jen pres jednoho
- neni dobre mixovat dve defaultni routy, nebot routovani se kesuje, takze pak vznikaji problemy pri malych vypadcich jednoho z ISP
- je dobre routovat neco pres jednoho ISP a neco pres druheho, pokud chces michat traffic, tak je dobre pouzit OpenVPN a udelat je krizem a delat load balancing PRIMO pres OpenVPN ...

priklad nahozeni dvou ISP na jednom routeru:

ip route del default
ip route del default table 1
ip route del default table 2

IP1="1.1.1.1"
IP2="2.2.2.2"
GW1="1.1.1.10"
GW2="2.2.2.20"

iptables -t mangle -A PREROUTING -s $IP1 -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -s $IP2 -j MARK --set-mark 2
iptables -t nat -A POSTROUTING -o ${WAN1} -j SNAT --to $IP1
iptables -t nat -A POSTROUTING -o ${WAN1} -j SNAT --to $IP2
ip rule add fwmark 1 table 1
ip rule add fwmark 2 table 2
ip rule add from $IP1 table 1
ip rule add from $IP2 table 2
ip route add default via $GW1 table 1
ip route add default via $GW2 table 2

ip route add default via $GW1

Zbytek veci konfigurace, atd muzu poskytnout a napostovat sem ..

[Filip Jirsák]

V čem spočívá ta vymakanost, že je do toho potřeba tahat OpenVPN, patchování jádra a pár vlastních skriptů? Obyčejné rozdělování zátěže na dva ISP funguje s běžným jádrem a standardními linuxovými ovládacími utilitami iproute2 – nic víc k tomu není potřeba.

[svaca]

OpenVPN potrebuje kvuli klientu, co se budou napojovat na firmu, patch route se hodi, protoze umi toto, dale e hodi i IPMARK - oboji se hlavne hodi na rozdelovani trafiku.. tzn, surfuju pres ISP dva ale ICQ jde pres ISP jedna ..

[Filip Jirsák]

OpenVPN potrebuje kvuli klientu, co se budou napojovat na firmu

To mylsím tazatel nepožadoval, každopádně je myslím dobré začít od základních věcí a pak to případně vylepšovat.

patch route se hodi, protoze umi toto, dale e hodi i IPMARK

To má být provokace, když jsem na začátku vlákna psal, že nechápu, proč se pořád někdo pokouší routovat pomocí firewallu?

[svaca]

To FJ provokace je to tak maximalne od Tebe

1. at si kazdy routuje cim chce, kor kdyz iputils2 neumi uplne vse ...
2. neni na tom nic spatneho a funguje to velmi dobre ...
3. Mozna nechapes proto, protoze to nepouzivas/nechces, ale nevim proc to zpochybnujes
4. je mi jedno, co jsi psal, reaguji na tazatele a snazim se poradit a radim tim co se mi osvedcilo a co sam pouzivam ...

[Filip Jirsák]

iproute2 umí routovací tabulku vybírat podle pravidel, přičemž pravidla kromě zdrojové ip adresy, cílové ip adresy, rozhraní nebo TOS umí použít i značku MARK z iptables. Zpochybňuju to proto, že mi nepřipadá dobrý nápad ohýbat k routování firewall, když mám hned vedle dobře vybavené routovací utility. Hrábě taky nebudu upravovat, aby s nimi šel nakládat písek, když mám hned vedle opřenou lopatu. A už vůbec mi nepřipadá jako dobrý nápad to radit někomu, kdo potřebuje znát základ, jak se vlastně složitější routování na linuxu dělá.

[svaca]

Podivej bez iptables proste neohnes spec. porty a tak, ano ohnes interfce, adresy ale to je tak vse ... Jen at se nauci kombinovat oboji a ze je to slozitejsi neni na skodu ...

A kdyby chtel dynamicky obe default routy na obou ISP, tak si pouze s iproute2 ani neskrtne ...

[Filip Jirsák]

Proti kombinaci nic nemám, naopak bych to doporučil. Ale routovat pomocí firewallu není kombinace…

A kdyby chtel dynamicky obe default routy na obou ISP, tak si pouze s iproute2 ani neskrtne ...

Tomu nerozumím. Mám několik tabulek, v některých je jako default routa jeden ISP a v některých druhý ISP. Podle určitých pravidel (třeba podle MARK z iptables) se pak některá tabulka vybere. Co víc ještě potřebujete?

[svaca]

Copak jsem daval priklad routovani pomoci firewallu ?? Samotneho ? Ale no tak ... Co vic potrebuju ? Dynamicke routovani - tj. obe default routy jsou spojene dohromady a bud:

1. jedou load balancing
2. nebo jak jiz jsem psal pulka portu jde pres jednu a zbytek pres druhou default gw

pak teprve prichazeji chutovky jako jsou nakesovane routy a pod