URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 82596
[ Назад ]

Исходное сообщение
"ipnat и два аплинка"
Отправлено mirageoleg , 27-Окт-08 12:33

Добрый день
Подскажите, пожалуйста, решение проблемы:
Есть два аплинка, своя AS, ipnat.
Проблема с пакетами, котрые уходят через один интерфейс, а приходят через другой. IPNAT ждет их на том же интерфейсе, через который они ушли и трансляции не происходит. Как побороть?
Можно натить в IP исходящих интерфейсов, но это не интересно, хочу натить в IP своей AS.
Правила для нат:
map fxp0 LOCAL_NET/24 -> XXX.XXX.XXX.1/32
map fxp1 LOCAL_NET/24 -> XXX.XXX.XXX.1/32
ipf - пропускаю все

Содержание

ipnat и два аплинка,PavelR, 17:52 , 27-Окт-08
- ipnat и два аплинка,mirageoleg, 23:43 , 27-Окт-08
  - ipnat и два аплинка,A Clockwork Orange, 06:38 , 28-Окт-08
    - ipnat и два аплинка,den, 15:03 , 28-Окт-08
      - ipnat и два аплинка,mirageoleg, 15:10 , 28-Окт-08
        
        ipnat и два аплинка,A Clockwork Orange, 15:46 , 28-Окт-08
        
        ipnat и два аплинка,mirageoleg, 15:52 , 28-Окт-08
        
        ipnat и два аплинка,A Clockwork Orange, 16:04 , 28-Окт-08
        
        ipnat и два аплинка,mirageoleg, 16:22 , 28-Окт-08
        
        ipnat и два аплинка,A Clockwork Orange, 16:24 , 28-Окт-08
        
        ipnat и два аплинка,mirageoleg, 16:34 , 28-Окт-08

Сообщения в этом обсуждении

"ipnat и два аплинка"
Отправлено PavelR , 27-Окт-08 17:52

>[оверквотинг удален]
>IPNAT ждет их на том же интерфейсе, через который они ушли
>и трансляции не происходит. Как побороть?
>Можно натить в IP исходящих интерфейсов, но это не интересно, хочу натить
>в IP своей AS.
>Правила для нат:
>
>map fxp0 LOCAL_NET/24 -> XXX.XXX.XXX.1/32
>map fxp1 LOCAL_NET/24 -> XXX.XXX.XXX.1/32
>
>ipf - пропускаю все
в ipfw вроде как никто не ждет, привязанно к интерфейсу. Может стоит попробовать ?

"ipnat и два аплинка"
Отправлено mirageoleg , 27-Окт-08 23:43

>в ipfw вроде как никто не ждет, привязанно к интерфейсу. Может стоит
>попробовать ?
Это да, юзал, но ушел к связке ipf+ipnat как способ уменьшить нагрузку на НАТ. Уж больно тяжело было natd справляться с большой нагрузкой..
Почитал еще про pf_nat, с первого взгляда похоже там столкнусь с той же проблемой что и с ipnat.. Еще вариант ng_nat, но лучшим решением было бы конечно доточить ipf..

"ipnat и два аплинка"
Отправлено A Clockwork Orange , 28-Окт-08 06:38

без обид, не по теме, просто интересно.
хватило денег получить пул независомых ip, зарегистрировать AS, платить деньги за обмен трафиком, но без cisco?

"ipnat и два аплинка"
Отправлено den , 28-Окт-08 15:03

>без обид, не по теме, просто интересно.
>хватило денег получить пул независомых ip, зарегистрировать AS, платить деньги за обмен
>трафиком, но без cisco?
А зачем натить на роутере, поставте рядом еще одну машинку и туда терминируйте vpn и тд. А роутер пусть занимается роутингом.
А по теме могу сказать что если у вас свои ип то не вижу проблем, какая разница кудой пакет уйдет а кудой прийдет, все равно src ip будет один и работу nat оно не нарушает. Полной симетрии вам никто не гарантирует.

"ipnat и два аплинка"
Отправлено mirageoleg , 28-Окт-08 15:10

>А зачем натить на роутере, поставте рядом еще одну машинку и туда
>терминируйте vpn и тд. А роутер пусть занимается роутингом.
Это не обсуждается ))
>А по теме могу сказать что если у вас свои ип то
>не вижу проблем, какая разница кудой пакет уйдет а кудой прийдет,
>все равно src ip будет один и работу nat оно не
>нарушает. Полной симетрии вам никто не гарантирует.
Разница в том что ipnat ждет пакет на том же ифейсе, откуда он ушел. Почти весь трафик через один и второй ифейс натится замечательно, проблема только с пакетами, которые уходят через один ифейс, а приходят через другой - нат их игнорирует (вижу исходящий пакет, вижу как приходит входящий через другой интерфейс, но обратной трансляции не происходит)

"ipnat и два аплинка"
Отправлено A Clockwork Orange , 28-Окт-08 15:46

у тебя оба провайдера могут пропускать твои адреса?

"ipnat и два аплинка"
Отправлено mirageoleg , 28-Окт-08 15:52

>у тебя оба провайдера могут пропускать твои адреса?
Не совсем понял вопрос..
Да, анонсирую свою AS через обоих аплинков..

"ipnat и два аплинка"
Отправлено A Clockwork Orange , 28-Окт-08 16:04

>>у тебя оба провайдера могут пропускать твои адреса?
>
>Не совсем понял вопрос..
>Да, анонсирую свою AS через обоих аплинков..
а если ты запросишь ресурс провайдера того аплинка откуда хочешь получить ответ, ответ получишь?

"ipnat и два аплинка"
Отправлено mirageoleg , 28-Окт-08 16:22

>а если ты запросишь ресурс провайдера того аплинка откуда хочешь получить ответ,
>ответ получишь?
Если я запрошу любой ресурс, доступный в интернете, то ответ получу, если ты это имеешь ввиду. Не совсем понимаю как это относится к делу..

"ipnat и два аплинка"
Отправлено A Clockwork Orange , 28-Окт-08 16:24

если ты запросишь ресурс провайдера того аплинка откуда хочешь получить ответ,
ответ получишь через какой аплинк?

"ipnat и два аплинка"
Отправлено mirageoleg , 28-Окт-08 16:34

>если ты запросишь ресурс провайдера того аплинка откуда хочешь получить ответ,
>ответ получишь через какой аплинк?
Заранее сказать нельзя. Чаще всего через тот же, но этим процессом управлять можно лишь косвенно, зависит от маршрутизации (bgp). Грубо, но в общем ничто не мешает ресурсу ответить через другой аплинк, если этого захочет его админ.