Есть сервер на FreeBSD. На нем установлена 4-х портовая сетевая карта. К какждому порту с адресами 192.168.0.9/29, 192.168.0.17/29, 192.168.0.25/29 и 192.168.0.33/29 подключены клиентские компьютеры. Для каждой подсети указан свой адрес DNS, default router. Сложность заключается в том, что сегодня 4 подсети, завтра 10. Зоопарк адресов какой-то...
А нельзя ли это унифицировать? Например создать виртуальный интерфейс с адресом 192.168.0.1/24, который сделать роутером по умолчанию для всех подсетей, в jail с адресом 192.168.0.2/24 поместить dhcpd, чтобы он раздавал всем адреса согласно подсетям, еще в один jail с адресом 192.168.0.3/24 поместить BIND. Т.е. на базе одного сервера создать распределенную виртуальную сеть из нескольких псевдокомпьютеров?
Сломать работающую систему ради эксперимента не хочется. Знать бы заранее, что такое реализуемо...
а зачем вам так много подсетей? нельзя ли все компы свести в одну сеть?
или обратите внимание на VLAN. возможно это именно то, что вам нужно
До VLAN, если я правильно понимаю что именно имеется ввиду (http://ru.wikipedia.org/wiki/VLAN) мне пока далеко.Все много проще... У меня дома стоит компьютер с FreeBSD в качестве роутера к интернет, к нему же подключены ближайшие соседи по этажу. Сейчас 4 клиента, в будущем планирую подключить еще 4, не более. Цель одна: чтобы все видели внешний мир, видели друг друга, но "слушать" не могли, это уже работает.
На ж/м есть одноранговая сеть на витой паре между домами со всеми вытекающими. Транзитом через мой дом идет несколько витых пар от этой сети.
1. Планирую заменить витую пару этой сети на ближайших ко мне участках на оптику и подключить звездой через все тот же свой роутер.
2. Разделить одноранговую сеть на подсети как раз по принципу VLAN с тем, чтобы снизить влияние подсетей друг на друга.
3. Не плодить сущности в виде DNS, DHCP для каждого интерфейса, а определить их виде виртуальной машины в общем сетевом пространстве. Пока знаю как это сделать для каждого интерфейса в отдельности.Пока просто подключился к местной сети (без ее разделения)...
мдааааа ...
замути уже VPN с шифрованием.
Все будет прекрасно работать на одном интерфейсе
Может что не так, но у меня есть в винде подключение к инету через VPN и я им не доволен. Во-первых, чтобы попасть в инет надо после запуска системы подключаться, а некоторые программы хотят инет сразу после загрузки и если его нет, потом он им не нужен. Во-вторых, я роутер поставил для того, чтобы скинуть на него задачи файрволла, который у меня сейчас висит в памяти и ест ресурсы. В-третьих, вы пробовали играть в сетвые игры через VPN? а в нашей сети многие играют... Зачем упаковывать, распаковывать, если топологию внешней сети я изменить не могу, но могу ее разделить. Главное, защитить от нее себя и соседей. Многие в ней "слушают" сеть с тем, чтобы воровать пароли (школьники, студенты, сами не знают что творят...). В будущем поставлю управляемый роутер.
Меня другое интересует. Система позволяет работать с внешними интерфейсами, но не позволяет все это организовать внутри себя?
Чето я уже перестал вооюще понимать о чем речь - по мойму все это какойто бред.P.S. лучше недомудить, чем перемудить ...
>До VLAN, если я правильно понимаю что именно имеется ввиду (http://ru.wikipedia.org/wiki/VLAN) мне
>пока далеко.
>
>Все много проще... У меня дома стоит компьютер с FreeBSD в качестве
>роутера к интернет, к нему же подключены ближайшие соседи по этажу.
>Сейчас 4 клиента, в будущем планирую подключить еще 4, не более.То есть поставить еще одну карту на 4 порта? :)
Хм...
>Цель одна: чтобы все видели внешний мир, видели друг друга, но
>"слушать" не могли, это уже работает.Это делается с помощью управляемого свича. На каждый порт привязывается мак и ip. Один порт - один пользователь.
Вообще вы вместо изобретения велосипеда почитали бы чего нибудь...
>То есть поставить еще одну карту на 4 порта? :)Да
>Это делается с помощью управляемого свича. На каждый порт привязывается мак и
>ip. Один порт - один пользователь.Согласен, но сетевая на 4 порта дешевле :-)
Мы как то брали старый б/y Catalyst 4000
За 30000р - 100 Ethernet портов - 30000/100 = 300р/за порт
Сомневаюсь что городить 4х портовыми картами дешевле ))
Не знаю насчёт BSD, но про линукс я что-то подобное читал в сети - такчто вполне.Но есть ещё один нюанс, при такой архитектуре, если не предпринять мер, сеть просто забьётся мусором (предположим в каждой подсети 150-200 машин сетка 100мегабит) - 600-800(виндовс) машин, и все друг друга видят напрямую - они так не смогут спокойно жить.
упс пардон. про /29 поздно увидел.
- вланы.
Посмотрим на задачу с другой стороны...
Есть компьютер с FreeBSD. Ни одной сетевой карты. Создаем 4 jail с FreeBSD (клиенты) с адресами 192.168.0.(64*i+1)/28 (т.е. в разных подсетях), где i=0...3. Добавляем еще один jail с FreeBSD + DHCPD с адресом 192.168.1.1/23. Пока все вроде бы нормально...
Добавляем сетевую карту и подключаем к ней внешнего клиента.
Вопрос: Как заставить dhcpd из jail раздавать адреса не только внутренним клиентам, но и внешнему?Это та же самая задача, но другими словами...
Пожалуйста, помогите, кто знает как это сделать...Спасибо всем за полезные советы, хоть и не отвечающие на мой вопрос...
Что-то вроде этого ? Но повторяю это для линукса возможно это можно напрямую к BSD адаптировать, а может и нет. но в любом случае если это оно - то хорошее направление для рытья =)
черт, сылку не вставил...http://www.barabanov.ru/arts/modernserver/Modern-Linux-netwo...
Когда надеялся решить эту проблему через:
ifconfig eth0 create
Я натыкался на подобные вещи относящиеся к линуху...Ну создам я jail с адресом "внетреней" подсети системы. Вопрос то в другом. Как заставить его ответить клиенту. находящемуся за вшенщим интерфейсом?
>Когда надеялся решить эту проблему через:
>ifconfig eth0 create
>Я натыкался на подобные вещи относящиеся к линуху...
>
>Ну создам я jail с адресом "внетреней" подсети системы. Вопрос то в
>другом. Как заставить его ответить клиенту. находящемуся за вшенщим интерфейсом?не до конца прочёл. - при таком способе физическая сетёвка будет работать в неразборчивом (pronisque кажеться по английски) режиме - всё в сети будет её видеть как порт свича.
>Что-то вроде этого ? Но повторяю это для линукса возможно это можно
>напрямую к BSD адаптировать, а может и нет. но в любом
>случае если это оно - то хорошее направление для рытья =)
>Хорошее направление для рытья - осознание того что домовые сети люди строят не один десяток лет... и в масштабах намного больших чем предложенный... и начинать надо с изучения их опыта а не с того бреда который описан в вопросе.
>>Что-то вроде этого ? Но повторяю это для линукса возможно это можно
>>напрямую к BSD адаптировать, а может и нет. но в любом
>>случае если это оно - то хорошее направление для рытья =)
>>
>
>Хорошее направление для рытья - осознание того что домовые сети люди строят
>не один десяток лет... и в масштабах намного больших чем предложенный...
>и начинать надо с изучения их опыта а не с того
>бреда который описан в вопросе.лоровец ?
>[оверквотинг удален]
>>>напрямую к BSD адаптировать, а может и нет. но в любом
>>>случае если это оно - то хорошее направление для рытья =)
>>>
>>
>>Хорошее направление для рытья - осознание того что домовые сети люди строят
>>не один десяток лет... и в масштабах намного больших чем предложенный...
>>и начинать надо с изучения их опыта а не с того
>>бреда который описан в вопросе.
>
>лоровец ?Вы -наверняка...
Простите за глупость, но... А как "нормальные" люди изучают работу системы? Книжки читают страница за страницей, а потом просыпаются утром и уже все знают? Пробовал, не получается.
Я хочу знать как работает совершенно новая для меня система (ну мастдаевник я). Есть старый комп, есть сетвая на 4 порта, почитал, поспрашивал, соединил, установил, настроил - работает. Теперь есть задача, соединить несколько подсетей. Если я разорву кабель, все подсоединю и ничего не заработает будет много хуже, чем есть сейчас. Вместо этого, я подключил соседей и пустил их в инет. Т.е. создал ту же ситуацию, но в меньшем масштабе и на ней учусь... Прописывать какждому интерфейсу свой адрес DNS на сервере не удобно, т.к. они видят лишь свой интерфейс. Отсюда и возник вопрос.
А чему можно научиться на управляемом свитче с уже готовым WEB-интерфейсом? Тут живая система со всеми файлами настроек. А там?
>[оверквотинг удален]
>я). Есть старый комп, есть сетвая на 4 порта, почитал, поспрашивал,
>соединил, установил, настроил - работает. Теперь есть задача, соединить несколько подсетей.
>Если я разорву кабель, все подсоединю и ничего не заработает будет
>много хуже, чем есть сейчас. Вместо этого, я подключил соседей и
>пустил их в инет. Т.е. создал ту же ситуацию, но в
>меньшем масштабе и на ней учусь... Прописывать какждому интерфейсу свой адрес
>DNS на сервере не удобно, т.к. они видят лишь свой интерфейс.
>Отсюда и возник вопрос.
>А чему можно научиться на управляемом свитче с уже готовым WEB-интерфейсом? Тут
>живая система со всеми файлами настроек. А там?А Вы через WEB-интерфейс задачу выполните сначала без велосипедов ;)
А когда с первой-второй попытки не выйдет - можно будет говорить о "научились".
http://webfile.ru/2307499
Может так нагляднее?
>http://webfile.ru/2307499
>Может так нагляднее?По Сути ты делаешь из freebsd хороший управляемый свитч...
Не скажу на каком этапе дешевле станет купить Б/y Свитч, но к этому подойдешь....Изначально проще в твоем случае было мастерить прозрачный бридж и всем адреса выдавать из одной сетки.
>По Сути ты делаешь из freebsd хороший управляемый свитч...
>Не скажу на каком этапе дешевле станет купить Б/y Свитч, но к
>этому подойдешь....Согласен с вами. Но за одно научусь работать с системой, что тоже важно для меня
>Изначально проще в твоем случае было мастерить прозрачный бридж и всем адреса
>выдавать из одной сетки.Бридж между чем и чем? Между внешней подсетью и внутренней через каждый сетевой интерфейс? Я вас правильно понял?
man ifconfig на предмет alias'ов.Потом можно сделать:
ifconfig fxp0 alias 192.168.0.x/29
ifconfig fxp0 alias 192.168.0.y/29
ifconfig fxp0 alias 192.168.0.z/29fxp0 - название сетевого интерфейса для примера.
Кстати, если в подсети будет один клиент, можно использовать маску /30."Слушать" сеть на свичах не получится без особых приколов с ARP таблицами.
Но, конечно, vlan - является более предпочтительным решением.
Когда соберешься разделять сеть vlan'ами, можно почитать man ifconfig на предмет vlan'ов.
Во фряхе можно делать интерфейсы на каждый vlan.Ещё более предпочтительным решением является vpn вдовесок к vlan.
>Потом можно сделать:
>ifconfig fxp0 alias 192.168.0.x/29
>ifconfig fxp0 alias 192.168.0.y/29
>ifconfig fxp0 alias 192.168.0.z/29Не понимаю для чего интерфейсу синонимы 3-х разных подсетей... Они наоборот должны однозначно быть разделенными по интерфейсам и не видеть друг друга (но это уже задача файрволла).
С VPN связваться не хочу, лишние ресурсы без особой необходимости. Будет такая необходимость - будет VPN.
Пробую все настроить, ничего не выходит. Для каждого интерфейса любая служба сервера имеет свой уникальный адрес, вместо одного. Стал настраивать bind, получается, что для каждого интерфейса запись www.domain.local DNS должен возвращать адрес зависящий от того, с какого интерфейса пришел запрос.
1 Есть какая-то возможность заставить сервер отвечать на ping 192.168.0.1 без присвоения этого адреса физическому интерфейсу?
2 Что будет, если я пропишу синоним 192.168.0.1 каждому физическому интерфейсу?Для тех, кто хочет спросить меня почему я это не попробовал до сих пор, отвечаю. Я уже несколько раз сталкивался с тем, что ошибка в файле rc.conf заставляет прыгать с бубном вокруг компа. Лучше сначала разобраться, а уже потом "ломать"...
На счет VLAN. Это же те же самые проблемы у меня будут, ведь VLAN позволяет как бы плодить интерфейсы, при одном физическом. Но значит мне потом все равно придется как-то настраивать bind, чтобы он в каждую подсеть отдавал скорректированный адрес, ведь внешняя подсеть видит лишь один интерфейс (defaultgateway), который для них и является и DNS и DHCP и WWW и mail. Но ведь адреса у них разные... Как настроить bind, чтобы она отдавал "правильные" адреса?
>Но значит мне потом все равно придется как-то настраивать bind, чтобы он
>в каждую подсеть отдавал скорректированный адрес, ведь внешняя подсеть видит лишь
>один интерфейс (defaultgateway), который для них и является и DNS и
>DHCP и WWW и mail. Но ведь адреса у них разные...
>Как настроить bind, чтобы она отдавал "правильные" адреса?Бреееееед...
Разделите яйца и котлеты. IP-траффик/маршрутизация настраивается отдельно, сервисы отдельно...
>Бреееееед...
>
>Разделите яйца и котлеты. IP-траффик/маршрутизация настраивается отдельно, сервисы отдельно...Как много полезного в вашем ответе!!! А можете пояснить? Я пытаюсь настроить и вижу одно, а вы удивляетесь ничего не объяснив... Я рад за вас, что вы знаете больше меня. Но если вы не хотите поделиться своими знаниями, тогда что вы делаете на этом форуме?
Имеем 2 интерфейса.
192.168.0.1/24 и 192.168.1.1/24
Настраиваем bind. Что должен вернуть DNS когда мы запрашиваем ping gw.domain.local из двух этих подсетей? Когда я настраиваю, у меня получается ping 192.168.0.1, что для второй подсети несколько бесполезная вещь. Та же ситуация возникает когда bind возвращает имя ns.domain.local. Если теперь я настраиваю dhcpd с тем, чтобы он передавал клиенту ns.domain.local, клиентам второй подсети он выдает адрес ns от первой. Может кто-нибудь объяснит длиннее RTFM? Внешний мир видит лишь наш интерфейс, а значит и его адрес. Как заставить разные подсети с разными адресными пространствами видеть наш сервер с одним и тем же именем, например gw.domain.local? В примерах, что я нашел всегда используется одна подсеть...
>[оверквотинг удален]
>и вижу одно, а вы удивляетесь ничего не объяснив... Я рад
>за вас, что вы знаете больше меня. Но если вы не
>хотите поделиться своими знаниями, тогда что вы делаете на этом форуме?
>
>
>Имеем 2 интерфейса.
>192.168.0.1/24 и 192.168.1.1/24
>Настраиваем bind. Что должен вернуть DNS когда мы запрашиваем ping gw.domain.local из
>двух этих подсетей? Когда я настраиваю, у меня получается ping 192.168.0.1,
>что для второй подсети несколько бесполезная вещь.В чем бесполезность, например?
>Та же ситуация возникает
>когда bind возвращает имя ns.domain.local. Если теперь я настраиваю dhcpd с
>тем, чтобы он передавал клиенту ns.domain.local, клиентам второй подсети он выдает
>адрес ns от первой.используйте опцию view в bind
>Может кто-нибудь объяснит длиннее RTFM? Внешний мир
>видит лишь наш интерфейс, а значит и его адрес. Как заставить
>разные подсети с разными адресными пространствами видеть наш сервер с одним
>и тем же именем, например gw.domain.local? В примерах, что я нашел
>всегда используется одна подсеть...ну или привяжите имя к внешнему интерфейсу.
>В чем бесполезность, например?Немного изменю для контраста... Имеем 2 интерфейса:
192.168.0.1/24 и 10.10.0.1/24 (совсем разные подсети со своими роутерами, которые не пропускают чужие адреса. Это уже от меня не зависит и это уже есть). Сети видят друг друга через NAT.
В ipfw зпрещаем обмен между интерфейсами, чтобы адреса одной подсети не попали в другую (хоят это уже сделано во внешних роутерах). Настраиваем bind. Что должен вернуть DNS когда мы запрашиваем ping gw.domain.local из двух этих подсетей? Когда я запрашиваю через интерфейс 10.X, у меня получается ping 192.168.0.1. На мой взгляд, для подсети 10.10.0.1 адрес 192.168.0.1 бесполезен, т.к. пакеты на эту подсеть удалятся ближайшим же внешним роутером. Иными словами. В каждой подсети есть адрес интерфейса через который видится сервер. Как сделать так, чтобы DNS возвращал для каждой подсети адрес соответствующего интерфейса? Надеюсь, теперь я более понятно сформулировал вопрос...>ну или привяжите имя к внешнему интерфейсу.
А есть другой способ?
Я запретил обмен между интерфейсами. Все подсети, каждый через свой интерфейс будут видеть лишь расшаренные на сервере ресурсы (подмонтированные открытые папки NFS, расшаренные папки samba, если найду способ, расшаренные через символические ссылки папки на клиентские ftp), но не друг друга. Причина этому одна: неоднократные попытки влияния работы клиентов одной подсети на жизнь клиентов другой подсети.С ftp я вроде бы выкрутился. Расположил его в jail, пробросил ссылку во внешнюю ОС на нужную папку. Присвоил адрес 192.168.100.1 (не совпадающий ни с одной внешней подсетью). С www ситуация аналогичная, если поднять apache в jail. Но с сервером mail это сложнее, т.к. придется пользоваться sandmail на jail.
>[оверквотинг удален]
>есть). Сети видят друг друга через NAT.
>В ipfw зпрещаем обмен между интерфейсами, чтобы адреса одной подсети не попали
>в другую (хоят это уже сделано во внешних роутерах). Настраиваем bind.
>Что должен вернуть DNS когда мы запрашиваем ping gw.domain.local из двух
>этих подсетей? Когда я запрашиваю через интерфейс 10.X, у меня получается
>ping 192.168.0.1. На мой взгляд, для подсети 10.10.0.1 адрес 192.168.0.1 бесполезен,
>т.к. пакеты на эту подсеть удалятся ближайшим же внешним роутером. Иными
>словами. В каждой подсети есть адрес интерфейса через который видится сервер.
>Как сделать так, чтобы DNS возвращал для каждой подсети адрес соответствующего
>интерфейса? Надеюсь, теперь я более понятно сформулировал вопрос...если кто-нибудь что-нибудь понял из этого описания, хвала ему.
>>ну или привяжите имя к внешнему интерфейсу.
>
>А есть другой способ?
>Я запретил обмен между интерфейсами. Все подсети, каждый через свой интерфейс будут
>видеть лишь расшаренные на сервере ресурсы (подмонтированные открытые папки NFS, расшаренные
>папки samba, если найду способ, расшаренные через символические ссылки папки на
>клиентские ftp), но не друг друга. Причина этому одна: неоднократные попытки
>влияния работы клиентов одной подсети на жизнь клиентов другой подсети.
>-"-
>С ftp я вроде бы выкрутился. Расположил его в jail, пробросил ссылку
>во внешнюю ОС на нужную папку. Присвоил адрес 192.168.100.1 (не совпадающий
>ни с одной внешней подсетью). С www ситуация аналогичная, если поднять
>apache в jail. Но с сервером mail это сложнее, т.к. придется
>пользоваться sandmail на jail.
>используйте опцию view в bindПочитал про эту фичу. Да, похоже, это именно то, что мне нужно. На будущее учту, сейчас свою проблему решил иначе, все работает.
>man ifconfig на предмет alias'ов.
>
>Потом можно сделать:
>ifconfig fxp0 alias 192.168.0.x/29
>ifconfig fxp0 alias 192.168.0.y/29
>ifconfig fxp0 alias 192.168.0.z/29Прописал:
ifconfig fxp0 alias 192.168.0.1/29
ifconfig fxp1 alias 192.168.0.1/29
ifconfig fxp2 alias 192.168.0.1/29
ifconfig fxp3 alias 192.168.0.1/29
Все заработало как надо. Вот только не знаю чем обернется использвоание одного и того же адреса на 4-х интерфейсах...
Единственным найденным решением данной задачи является подъем bind под каждый интерфейс для ресолвенга каждой подсети отдельно. Мне не кажется это правильным решением, но другого пока никто не предложил...
Проблема решена. Огромное спасибо тем, кто действительно пытался помочь и тем кто действительно помог.Также, спасибо тем, кто ничем не помог, но повысил свое самомнение бесполезными выкриками о моей неопытности...