маршрутизатор - нужна идея

From

Sergey Semin (2:6001/10.26)

To

eugen@grosbein.pp.ru

Date

2007-01-14T20:46:32Z

Area

RU.UNIX.BSD

Привет, Eugene!
14 Jan 07  22:48:27, Eugene Grosbein -> Sergey Semin...

[Sorry, skipped] 

 SS>> 1. Поднять два natd и кpутить настpойки ipfw. Пpобовал, получается
 SS>> очень нестабильно :( Вpоде всё pаботает, но пpи нескольких пpобных
 SS>> пеpезагpузках без изменения конфигов то два natd поднимется, то один, 
 SS>> то ни одного :(

 EG> natd -P ты конечно же не догадался использовать?

Конечно догадался :) Ибо не сам придумал, а вычитал где-то. Без этого вообще ничего не получается, а с этим - то, что отквочено.

 SS>> Если
 SS>> повезло и поднялись оба natd - на тестовой виндовой машине 172.16.0.2
 SS>> стpаницы
 SS>> откpываются с жуткими тоpмозами, хотя пинги во все сети есть. Если
 SS>> отключить
 SS>> втоpой natd - "всё пучком", но для только для локалки. А с инетом-то
 SS>> как? Идею отбpосил, natd отключил.

 EG> Ну и зря. С тормозами разбираться надо вдумчиво, а не методом тыка,
 EG> как виндовые юзеры привыкли.

Ну менталитет-то остался, ничего не поделать :) Хотя начинаю исправляться потихоньку... Просто наткнулся на немало высказываний, где всячески хают natd и считают его прошлым веком и рекомендуют вместо него ipnat, типа рулёз немеряный по всем пунктам :) В первую очередь - за простоту настройки и меньший аппетит к ресурсам.

 SS>> В догонку: можно ли в пpавилах файpоволов писать не конкpетный ip, а
 SS>> доменное
 SS>> имя? Напpимеp, что бы pазpешить GRE только с VPN-сеpвеpом, IP котоpого
 SS>> меняется
 SS>> и беpётся с пpовайдеpского DNS. Хочется "кpепость" сделать...

 EG> Можно писать доменное имя, но ресолвиться оно будет только один раз - 
 EG> при старте rc.firewall, и к моменту выполнения правила с именем
 EG> предыдущие правила уже должны разрешить хождение пакетов от/к
 EG> DNS-серверу.

Т.е, если прописать в файрволе разрешение только на nas.dom.lan и соединение по протоколу GRE при запуске установилось с адресом 10.1.1.213 (как обычно и бывает), а потом порвалось - то к 10.1.1.214 (которому в этот момент тоже соответствует nas.dom.lan) уже не ус
тановится без перезапуска файрвола? У прова несколько VPN-серверов (их точный список неизвестен, они рекомендуют обращаться по имени) и принцип их смены непонятен.

Разрешение хождения к DNS-серверам, ес-но, прописано в предыдущих правилах. Их адреса постоянны (а разве может быть по-другому? :)

--- Серёга
 * Origin: Dizel Station (2:6001/10.26)
SEEN-BY: 50/12 400/814 450/1024 5000/5000 5011/13 5012/46 5015/28 5019/26
SEEN-BY: 5020/400 545 2238 2395 2871 4441 5021/29 5025/3 5027/12 5030/1957
SEEN-BY: 5035/38 5045/7 5054/1 4 8 9 11 28 35 36 37 45 66 67 70 75 84 85
SEEN-BY: 5059/9 5062/10 5063/3 5064/7 5076/1 5077/70 5084/9 5085/13 5095/20
SEEN-BY: 5096/18 6001/5 10

PATH: 6001/10 5020/545 5054/1 37