Добрый день! у меня небольшая проблема! если сможете помочь был бы благодаренесть сервер на котором поднят нат, за натом около 1000 абонентов и вот у них возникли такие проблемы как : работает ICQ но не работает QIP и джаббер, все сайты работают видео показывает за исключением видео на сайте VKONTAKTE.RU а сам сайт нормально работает только видео не работает не работает SUPPORT и клиентская программа друг вокруг.
iptables-save
:INPUT DROP [0:0]
:FORWARD ACCEPT [2587:161682]
:OUTPUT ACCEPT [38:7566]
-A INPUT -s 192.168.181.1
-A INPUT -s 192.168.180.1
-A INPUT -p icmp -j ACCEPT
-A INPUT -i eth0.181 -p icmp -j ACCEPT
-A INPUT -i eth1.180 -p icmp -j ACCEPT
-A INPUT -s 192.168.117.0/255.255.255.0 -j ACCEPT
-A INPUT -d 127.0.0.1 -j ACCEPT
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -s 192.168.180.0/255.255.255.252 -j ACCEPT
-A INPUT -s 192.168.181.0/255.255.255.252 -j ACCEPT
-A INPUT -d 192.168.180.0/255.255.255.252 -j ACCEPT
-A INPUT -d 192.168.181.0/255.255.255.252 -j ACCEPT
COMMIT
# Completed on Thu Jun 16 11:19:28 2011
# Generated by iptables-save v1.3.5 on Thu Jun 16 11:19:28 2011
*nat
:PREROUTING ACCEPT [6491:412207]
:POSTROUTING ACCEPT [4:267]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.X.X -o eth0.181 -j SNAT --to-source 46.16.226.34
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
-A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 46.16.X.X-46.16.X.X
COMMIT
[root@nat-box2 sysconfig]# sysctl -a | grep conntrack
net.ipv4.ip_conntrack_max = 20000000
net.ipv4.netfilter.ip_conntrack_tcp_max_retrans = 3
net.ipv4.netfilter.ip_conntrack_tcp_be_liberal = 0
net.ipv4.netfilter.ip_conntrack_tcp_loose = 1
net.ipv4.netfilter.ip_conntrack_tcp_timeout_max_retrans = 120
net.ipv4.netfilter.ip_conntrack_log_invalid = 0
net.ipv4.netfilter.ip_conntrack_generic_timeout = 180
net.ipv4.netfilter.ip_conntrack_icmp_timeout = 30
net.ipv4.netfilter.ip_conntrack_udp_timeout_stream = 180
net.ipv4.netfilter.ip_conntrack_udp_timeout = 30
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close = 10
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_last_ack = 30
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_recv = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_sent = 120
net.ipv4.netfilter.ip_conntrack_checksum = 1
net.ipv4.netfilter.ip_conntrack_buckets = 8192
net.ipv4.netfilter.ip_conntrack_count = 111308
net.ipv4.netfilter.ip_conntrack_max = 20000000
> Добрый день! у меня небольшая проблема! если сможете помочь был бы благодаренчто значит "не работает не работает SUPPORT" и что такое "клиентская программа друг вокруг", а еще здесь не помешали бы запятые, хотя это и не критично
>[оверквотинг удален]
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_last_ack = 30
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_recv = 60
> net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_sent = 120
> net.ipv4.netfilter.ip_conntrack_checksum = 1
> net.ipv4.netfilter.ip_conntrack_buckets = 8192
> net.ipv4.netfilter.ip_conntrack_count = 111308
> net.ipv4.netfilter.ip_conntrack_max = 20000000
> что значит "не работает не работает SUPPORT" и что такое "клиентская программа
> друг вокруг",SUPPORT - клиентская программа типо skype только
друг вокруг - русская клиентская программа типо icq
>> что значит "не работает не работает SUPPORT" и что такое "клиентская программа
>> друг вокруг",
> SUPPORT - клиентская программа типо skype только
> друг вокруг - русская клиентская программа типо icqв таком случае, следовало слова "support" и "друг вокруг" заключить в кавычки, а так же сразу указать, что это такое и в каких сетевых технологиях они нуждаются
P.S. а что это за слово "типо"?
>>> что значит "не работает не работает SUPPORT" и что такое "клиентская программа
>>> друг вокруг",
>> SUPPORT - клиентская программа типо skype только
>> друг вокруг - русская клиентская программа типо icq
> в таком случае, следовало слова "support" и "друг вокруг" заключить в кавычки,
> а так же сразу указать, что это такое и в каких
> сетевых технологиях они нуждаются
> P.S. а что это за слово "типо"?я учту ваши замечания
> -A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X"Для каждого потока публичный адрес источника случайным образом выделяется из диапазона, указанного опцией --to-source." Т. е. в вашем случае, если я правильно все понимаю, нельзя сказать, какой public source ip у конкретного абонента?
Если адрес public source ip может меняться, то это может вызвать описанные вами проблемы.
>> -A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
> "Для каждого потока публичный адрес источника случайным образом выделяется из диапазона,
> указанного опцией --to-source." Т. е. в вашем случае, если я правильно
> все понимаю, нельзя сказать, какой public source ip у конкретного абонента?
> Если адрес public source ip может меняться, то это может вызвать описанные
> вами проблемы.в этом случае как мне быть? как мне правильно настроить NAT?
>>> -A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
>> "Для каждого потока публичный адрес источника случайным образом выделяется из диапазона,
>> указанного опцией --to-source." Т. е. в вашем случае, если я правильно
>> все понимаю, нельзя сказать, какой public source ip у конкретного абонента?
>> Если адрес public source ip может меняться, то это может вызвать описанные
>> вами проблемы.в этом случае как мне быть? как мне правильно настроить NAT?
Раньше NAT работал на cisco и там все работало! так как торрент сессии забивали канал! мы решили перенести NAT на сервер? настроив на ней эммулятор cisco "quaga",бля обрезки сессий для абонентов на торрент.
>>>> -A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
>>> "Для каждого потока публичный адрес источника случайным образом выделяется из диапазона,
>>> указанного опцией --to-source." Т. е. в вашем случае, если я правильно
>>> все понимаю, нельзя сказать, какой public source ip у конкретного абонента?
>>> Если адрес public source ip может меняться, то это может вызвать описанные
>>> вами проблемы.в этом случае как мне быть? как мне правильно настроить NAT?
Раньше NAT работал на cisco и там все работало! так как торрент сессии забивали канал! мы решили перенести NAT на сервер? настроив на ней эммулятор cisco "quaga",для обрезки сессий для абонентов на торрент.
>>>>> -A POSTROUTING -s 192.168.X.X/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.X.X-109.70.X.X
>>>> "Для каждого потока публичный адрес источника случайным образом выделяется из диапазона,
>>>> указанного опцией --to-source." Т. е. в вашем случае, если я правильно
>>>> все понимаю, нельзя сказать, какой public source ip у конкретного абонента?
>>>> Если адрес public source ip может меняться, то это может вызвать описанные
>>>> вами проблемы.
> в этом случае как мне быть? как мне правильно настроить NAT?
> Раньше NAT работал на cisco и там все работало! так как торрент
> сессии забивали канал! мы решили перенести NAT на сервер? настроив на
> ней эммулятор cisco "quaga",для обрезки сессий для абонентов на торрент.Кстати, NAT-сервер один?
Смысл в том, чтобы конфигурация NAT однозначно определяла то, в какой адрес транслируется серый адрес. Например, у вас было правило:-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.0.1-109.70.0.2
Разбейте его на два:
-A POSTROUTING -s 192.168.0.0/255.255.255.128 -o eth0.181 -j SNAT --to-source 109.70.0.1
-A POSTROUTING -s 192.168.0.128/255.255.255.128 -o eth0.181 -j SNAT --to-source 109.70.0.2
>[оверквотинг удален]
>> Раньше NAT работал на cisco и там все работало! так как торрент
>> сессии забивали канал! мы решили перенести NAT на сервер? настроив на
>> ней эммулятор cisco "quaga",для обрезки сессий для абонентов на торрент.
> Кстати, NAT-сервер один?
> Смысл в том, чтобы конфигурация NAT однозначно определяла то, в какой адрес
> транслируется серый адрес. Например, у вас было правило:
> -A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0.181 -j SNAT --to-source 109.70.0.1-109.70.0.2
> Разбейте его на два:
> -A POSTROUTING -s 192.168.0.0/255.255.255.128 -o eth0.181 -j SNAT --to-source 109.70.0.1
> -A POSTROUTING -s 192.168.0.128/255.255.255.128 -o eth0.181 -j SNAT --to-source 109.70.0.2Да, сервер один!! там просто подсетей много, получается надо для каждого внешнего ip прописать подсети.
У нас есть регионы куда поставляем интернет, безлимитчики и лимитчики! и мы их распределили по подсетям и по ,белым ip.
спасибо за помощь !! щас проверю, результат опишу
> -A POSTROUTING -s 192.168.X.X -o eth0.181 -j SNAT --to-source 46.16.226.34Проверьте на этом хосте 192.168.X.X работоспособность сервисов, которые недоступны для абонентов.
>> -A POSTROUTING -s 192.168.X.X -o eth0.181 -j SNAT --to-source 46.16.226.34
> Проверьте на этом хосте 192.168.X.X работоспособность сервисов, которые недоступны для
> абонентов.Спасибо огромное за помощь! заработала!!!
все сети переделал все нормально! еще раз спасибо!!
dogonthesun мой icq 557271121 был бы рад видеть тебя в своем списке если вдруг нужна будет помощь!
С этой проблемой решили.... теперь возникла другая проблема!!!
у абонентов у кого безлимитка 1 мб/с 2,3,4 мб/с после 10-15 минут интенсивной работы в интернете, (безупречной работы интернета) начинается поттормаживание видео на сайтах, страницы медленно открывается, в общем интернет умирает! вот только после переподключения интернет опять оживает на 15-20 минут. как я понял проблема в сессиях но разобраться не могу и найти выход из этого!
> С этой проблемой решили.... теперь возникла другая проблема!!!
> у абонентов у кого безлимитка 1 мб/с 2,3,4 мб/с после 10-15 минут
> интенсивной работы в интернете, (безупречной работы интернета) начинается поттормаживание
> видео на сайтах, страницы медленно открывается, в общем интернет умирает! вот
> только после переподключения интернет опять оживает на 15-20 минут. как я
> понял проблема в сессиях но разобраться не могу и найти выход
> из этого!Вы точно диагностировали, что проблема в NAT-сервере?