форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[ Отслеживать ]

"Маршрутизация сервера подключенного к двум сетям."

Сообщение от bardak (ok) on 13-Фев-08, 09:15

Добрый день. Есть сервер (FreeBSD 5.1)с двумя сетевыми интерфейсами подключённый к двум сетям от разных провайдеров ISP1 и ISP2 (сети ISP1 - x.x.x.x/28 и ISP2 - y.y.y.y/29). На сервере шлюзом по умолчанию указан адрес маршрутизатора провайдера ISP1. В этой ситуации получается, что на пакет поступивший через второго провайдера ISP2 ответ уходит через первого провайдера ISP1 (срабатывает defaultrouter="IP-address ISP1"). Подскажите как можно настроить чтобы на запросы пришедшие от второго провайдера ISP2 ответные пакеты уходили бы также через него ISP2, а на пакеты поступившие от первого провайдера ISP1 ответы уходили через ISP1?

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Маршрутизация сервера подключенного к двум сетям."

Сообщение от adews (ok) on 14-Фев-08, 19:04

Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз. Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Маршрутизация сервера подключенного к двум сетям."
	Сообщение от PavelR (??) on 14-Фев-08, 19:10
	>Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз. >Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще. Люблю бред на опеннет (с) Посмотри мое сообщение в теме http://www.opennet.dev/openforum/vsluhforumID1/77632.html может быть поможет :)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Маршрутизация сервера подключенного к двум сетям."
	Сообщение от adews (ok) on 06-Мрт-08, 15:16
	>Люблю бред на опеннет (с) > >Посмотри мое сообщение в теме >http://www.opennet.dev/openforum/vsluhforumID1/77632.html Если у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или второго. И рутер тоже не станет вспоминать на какой пакет он ответ шлёт, так что не катит ситуация
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Маршрутизация сервера подключенного к двум сетям."
	Сообщение от PavelR (??) on 25-Апр-08, 06:47
	>Если у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда >этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или >второго. И рутер тоже не станет вспоминать на какой пакет он >ответ шлёт, так что не катит ситуация На форуме часто задается вопрос, по поводу маршрутизации сети, подключенной к двум провайдерам. В частном случае проблема расширяется тем, что нужно осуществлять проброс соединений к сервисам, расположенным в локальной сети. Это делается с помощью DNAT, и при этом снова возникает проблема - по каналу какого провайдера отправлять ответ. Проблема усугубляется тем, что обратное преобразование адресов выполняется уже после принятия решения о маршрутизации, т.е. примерно в районе цепочки POSTROUTING, но скрытно от пользователя (в отличие от явного заворота на диверт в ipfw@freebsd). Решить эту нерешаемую проблему поможет модуль CONNMARK.  Принцип работы маршрутизатора для решения описанной задачи будет выглядеть примерно так: Входящие соединения маркируются определенным флажком, после чего делается их проброс в нужное назначение. Каждый обратный пакет соединения _до принятия решения о маршрутизации_ маркируется флажком соответствующего ему соединения (флажок восстанавливается). На основании флажков принимается решение о маршрутизации пакета в соответствующую сеть. В нижеописанном примере обеспечение доступности сервиса по двум каналам/провайдерам делалось для локального сервиса маршрутизатора. В связи с этим маркировка исходящих пакетов делается в цепочке OUTPUT таблицы mangle. Для проброса порта к  серверу в локальной сети (в DMZ) проверку и восстановление маркера надо делать в цепочке PREROUTING. Таким образом, "обратный DNAT" будет происходить когда пакет уже будет идти по нужному маршруту. Все не маркированные пакеты будут идти по маршруту по умолчанию. В моем случае это первый провайдер first и айпи интерфейса first_ip. Входящие пакеты/соединения с порта второго провайдера (destination <second_ip>) будут помечены маркером и к ним будет применен DNAT. Все исходящие (обратные) пакеты  будут промаркированы значением маркера соединения в цепочке OUTPUT таблицы mangle. Более корректным вариантом, не зависящим от значения шлюза по умолчанию, является обязательная маркировка пакетов для соединений от любого провадера и создание соответствующих правил маршрутизации. [root@test z]# iptables -t nat -nvL PREROUTING Chain PREROUTING (policy ACCEPT 144M packets, 9659M bytes) pkts bytes target     prot opt in     out     source               destination     1    52 CONNMARK   tcp  --  *      *       0.0.0.0/0            <second_ip>      tcp dpt:<port> CONNMARK set 0x1     1    52 DNAT       tcp  --  *      *       0.0.0.0/0            <second_ip>      tcp dpt:<port> to:<first_ip>:<port> [root@test z]# iptables -t mangle -nvL OUTPUT Chain OUTPUT (policy ACCEPT 6745M packets, 7048G bytes) pkts bytes target     prot opt in     out     source               destination 65915 8600K CONNMARK   tcp  --  *      *       <first_ip>            0.0.0.0/0           tcp spt:<port> CONNMARK restore [root@test z]# ip ru sh 0:      from all lookup local 1000:   from all lookup main 3300:   from all fwmark 0x1 lookup <second> 5000:   from <first_ip> lookup <first> 5500:   from <second_ip> lookup <second> 10000:  from all lookup default 32766:  from all lookup main 32767:  from all lookup default
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]