The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Маршрутизация сервера подключенного к двум сетям."
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [ Отслеживать ]

"Маршрутизация сервера подключенного к двум сетям."  
Сообщение от bardak email(ok) on 13-Фев-08, 09:15 
Добрый день.
Есть сервер (FreeBSD 5.1)с двумя сетевыми интерфейсами подключённый к двум сетям от разных провайдеров ISP1 и ISP2 (сети ISP1 - x.x.x.x/28 и ISP2 - y.y.y.y/29). На сервере шлюзом по умолчанию указан адрес маршрутизатора провайдера ISP1. В этой ситуации получается, что на пакет поступивший через второго провайдера ISP2 ответ уходит через первого провайдера ISP1 (срабатывает defaultrouter="IP-address ISP1"). Подскажите как можно настроить чтобы на запросы пришедшие от второго провайдера ISP2 ответные пакеты уходили бы также через него ISP2, а на пакеты поступившие от первого провайдера ISP1 ответы уходили через ISP1?
Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Маршрутизация сервера подключенного к двум сетям."  
Сообщение от adews (ok) on 14-Фев-08, 19:04 
Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз.
Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Маршрутизация сервера подключенного к двум сетям."  
Сообщение от PavelR (??) on 14-Фев-08, 19:10 
>Да вообщем-то никак. Пакеты всегда будут улетать через умолчальный шлюз.
>Будет своя маршрутизируемая сеть и поддержка динамической маршрутизации,- будет проще.

Люблю бред на опеннет (с)

Посмотри мое сообщение в теме
http://www.opennet.ru/openforum/vsluhforumID1/77632.html

может быть поможет :)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Маршрутизация сервера подключенного к двум сетям."  
Сообщение от adews (ok) on 06-Мрт-08, 15:16 

>Люблю бред на опеннет (с)
>
>Посмотри мое сообщение в теме
>http://www.opennet.ru/openforum/vsluhforumID1/77632.html

Если у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или второго. И рутер тоже не станет вспоминать на какой пакет он ответ шлёт, так что не катит ситуация


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Маршрутизация сервера подключенного к двум сетям."  
Сообщение от PavelR (??) on 25-Апр-08, 06:47 
>Если у человека за рутером с форвардами будет стоять скажем вебсервер,- никогда
>этот вебсервер "не догадается" от какого провайдера пришёл запрос,- первого или
>второго. И рутер тоже не станет вспоминать на какой пакет он
>ответ шлёт, так что не катит ситуация

На форуме часто задается вопрос, по поводу маршрутизации сети, подключенной к двум провайдерам.
В частном случае проблема расширяется тем, что нужно осуществлять проброс соединений к сервисам, расположенным в локальной сети.
Это делается с помощью DNAT, и при этом снова возникает проблема - по каналу какого провайдера отправлять ответ.
Проблема усугубляется тем, что обратное преобразование адресов выполняется уже после принятия решения о маршрутизации,
т.е. примерно в районе цепочки POSTROUTING, но скрытно от пользователя (в отличие от явного заворота на диверт в ipfw@freebsd).

Решить эту нерешаемую проблему поможет модуль CONNMARK.  Принцип работы маршрутизатора для решения описанной задачи будет выглядеть примерно так:

Входящие соединения маркируются определенным флажком, после чего делается их проброс в нужное назначение.
Каждый обратный пакет соединения _до принятия решения о маршрутизации_ маркируется флажком соответствующего ему соединения (флажок восстанавливается).
На основании флажков принимается решение о маршрутизации пакета в соответствующую сеть.


В нижеописанном примере обеспечение доступности сервиса по двум каналам/провайдерам делалось для локального сервиса маршрутизатора.
В связи с этим маркировка исходящих пакетов делается в цепочке OUTPUT таблицы mangle. Для проброса порта к  серверу в локальной сети
(в DMZ) проверку и восстановление маркера надо делать в цепочке PREROUTING.
Таким образом, "обратный DNAT" будет происходить когда пакет уже будет идти по нужному маршруту.

Все не маркированные пакеты будут идти по маршруту по умолчанию. В моем случае это первый провайдер first и айпи интерфейса first_ip.
Входящие пакеты/соединения с порта второго провайдера (destination <second_ip>) будут помечены маркером и к ним будет применен DNAT.
Все исходящие (обратные) пакеты  будут промаркированы значением маркера соединения в цепочке OUTPUT таблицы mangle.

Более корректным вариантом, не зависящим от значения шлюза по умолчанию, является обязательная маркировка пакетов для соединений
от любого провадера и создание соответствующих правил маршрутизации.


[root@test z]# iptables -t nat -nvL PREROUTING
Chain PREROUTING (policy ACCEPT 144M packets, 9659M bytes)
pkts bytes target     prot opt in     out     source               destination
    1    52 CONNMARK   tcp  --  *      *       0.0.0.0/0            <second_ip>      tcp dpt:<port> CONNMARK set 0x1
    1    52 DNAT       tcp  --  *      *       0.0.0.0/0            <second_ip>      tcp dpt:<port> to:<first_ip>:<port>


[root@test z]# iptables -t mangle -nvL OUTPUT
Chain OUTPUT (policy ACCEPT 6745M packets, 7048G bytes)
pkts bytes target     prot opt in     out     source               destination
65915 8600K CONNMARK   tcp  --  *      *       <first_ip>            0.0.0.0/0           tcp spt:<port> CONNMARK restore


[root@test z]# ip ru sh
0:      from all lookup local
1000:   from all lookup main
3300:   from all fwmark 0x1 lookup <second>
5000:   from <first_ip> lookup <first>
5500:   from <second_ip> lookup <second>
10000:  from all lookup default
32766:  from all lookup main
32767:  from all lookup default

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2023 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру