Dotaz: Linux FW s dvoma pripojeniami na internet a dvoma internymi IP

[Jupi]

Nazdar pani, mam problem s konfiguraciou linuxoveho FW/GW. Masina ma 3 sietove interfejsy:
eth0 - intranet
eth1 - ISP1
eth2 - ISP2
a rad by som ju nakonfiguroval tak, aby si kazdy klient v intranete mohol sam zvolit, cez ktoreho ISP pojde do internetu.
Predstavujem si to tak, ze na eth0 budu celkom 3 IP:
192.168.1.1 - IP masiny pre administraciu
192.168.1.2 - IP pre klientov, ktory chcu ist cez ISP1
192.168.1.3 - IP pre klientov, ktory chcu ist cez ISP2

Moj problem je, ze takyto sposob routovania neviem implementovat cez stantardne routovacie tabulky ani cez source IP routing (iptables/ip). Nenasiel som v iptables ani moznost nastavit MARK pre pakety, ktore prichadzaju cez nejaku IP (moze sa filtrovat podla IP klienta alebo LAN interfejsu). Pouzitie nazvu LAN device pre sourcerouting je nevhodne, lebo sa pouziva nazov fyzickeho interfejsu a nie virtualneho...
Viete mi niekto poradit ako na to?
Linuxove FW konfigurujem uz dlho, cize nie som zdaleka zaciatocnik...

Odpovědi

[Filip Jirsák]

Zařaďte ty klienty do dvou různých sítí – třeba 192.168.1.0/24 a 192.168.2.0/24. Podle toho, ve které síti klient bude, takové odchozí rozhraní pak router vybere (přes ip rule a více routovacích tabulek).

Vaše řešení nemůže fungovat, IP adresa brány slouží jen pro její vyhledání, ale v samotném paketu nikde není uvedena, takže podle ní router nic nemůže rozhodnout.

[Jupi]

Rozdelit klientov do dvoch LAN nie je riesenie. Kazdy klient ma IP pevne pridelenu cez DHCP a tiez rozdelenie znemozni klientom volbu ISP, cez ktoreho idu von.
Vdaka za tip, skusim sa zamyslet, ci by sa to nedalo nejako elegantne pouzit.
Zatial mi z toho vychadza, ze je to mozne iba s dvoma oddelenymi FW - kazdy pre jedneho ISP. :(

[Filip Jirsák]

Tak klientům přidělujte IP adresy z obou sítí, a klient ať si vybere, kterou zvolí pro odchozí spojení. Akorát nevím, jak to udělá, GUI aplikace tuhle volbu zpravidla nenabízejí. Ale to nenabízí ani žádné jiné řešení.

Dva routery nepotřebujete, stačí do toho stávajícího dát pro vnitřní síť dvě síťové karty. Akorát mi není jasné, jak si klienti budou vybírat výchozí bránu, když se jim síť konfiguruje přes DHCP.

[peto]

Napda ma uz iba nejaky skript a autentifikacna stranka kde po vybera sa spusti skript ktory konkretnu mac adresu zaradi do konkretnej maskarady a natka s konkretnym ISP. Teda najprv v autentifikacii bude klient vyzvany na vyber pripojenia kliknunim na jeden z nich skript prida do firewallu nove pravidla napr na urcity cas...