नैट और ipfw का उपयोग करके दो बाहरी इंटरफेस पर सेवाओं की पहुंच का संगठन

आंकड़ा छोटे कार्यालयों को इंटरनेट से जोड़ने के लिए एक विशिष्ट योजना दिखाता है।
यदि इंटरनेट एक्सेस (ISP1) और बैकअप (ISP2) के लिए मुख्य चैनल, जो मुख्य चैनल के साथ समस्याओं के मामले में स्विच करता है।
स्विचिंग आमतौर पर राउटर पर डिफ़ॉल्ट गेटवे को बदलकर की जाती है।

और अगर राउटर पर ऐसी सेवाएं हैं जो बाहर से सुलभ होनी चाहिए, तो ये सेवाएं इंटरनेट पर वर्तमान में सक्रिय चैनल के बाहरी पते पर ही उपलब्ध होंगी, क्योंकि निष्क्रिय चैनल से प्राप्त अनुरोधों के जवाब सक्रिय चैनल के माध्यम से भेजे जाएंगे और सफलतापूर्वक खो जाएंगे। । प्रदाताओं के साथ बीजीपी इंटरैक्शन स्थापित करना, जैसा कि मुझे एक मंच पर सलाह दी गई थी, एक तोप से गौरैया की शूटिंग करते समय एक दुर्लभ पागलपन है , और प्रत्येक प्रदाता ऐसा नहीं करेगा।

मैं आपको बताऊंगा कि ipfw और natd का उपयोग करते हुए एक साथ दोनों बाहरी पतों पर सेवाएं कैसे उपलब्ध कराई जाए।


स्रोत डेटा
FREEBSD 6.3 के साथ राउटर
स्थानीय नेटवर्क 192.168.1.0/24, जिसे हम डालेंगे।
Re0 इंटरफ़ेस IP पता 192.168.1.1 के साथ स्थानीय नेटवर्क को देख रहा है
Xl0 इंटरफ़ेस IP पते के साथ ISP1 के माध्यम से इंटरनेट को देख रहा है 111.111.111.1
ISP2 के माध्यम से इंटरनेट पर देखने वाला xl1 इंटरफ़ेस IP पते 222.222.222.1 के साथ है
सेवाएं जो 111.111.111.1 और 222.222.222.1 पर एक साथ उपलब्ध कराई जानी चाहिए।
पहले प्रदाता का गेटवे: 111.111.111.2
दूसरे प्रदाता का गेटवे: 222.222.222.2

पीएफ के माध्यम से इसी तरह की समस्या का समाधान पहले से ही एक समस्या पर आधारित है पीएफ में एक जादुई उत्तर है () जो इस समस्या को हल करता है। IPFW में, समाधान इतना तुच्छ नहीं है, हालांकि, चलो क्रम में शुरू करते हैं।

हमें एक उदाहरण पर दोनों बाहरी इंटरफेस पर नैट को लटकाने की जरूरत है, और अनुवाद तालिका को उनके बीच साझा किया जाना चाहिए।

चलो दो उदाहरणों के साथ काम करने के लिए एनएटीडी को कॉन्फ़िगर करें
/etc/rc.conf

natd_program="/sbin/natd" natd_enable="YES" natd_flags="-f /etc/natd.conf" 

कृपया ध्यान दें कि हम एक इंटरफ़ेस निर्दिष्ट नहीं करते हैं।

/etc/natd.conf

 log instance default interface xl0 port 8668 use_sockets yes same_ports yes instance xl1 interface xl1 port 8669 use_sockets yes same_ports yes globalport 8670 

डिफ़ॉल्ट डिफ़ॉल्ट की आवश्यकता है।
यदि आप मैन्युअल रूप से नैटड के दो उदाहरण चलाते हैं, जैसा कि कुछ मैनुअल में सलाह दी जाती है, तो कुछ भी नहीं चलेगा, क्योंकि उनमें से प्रत्येक में अनुवाद तालिका होगी।

IPFW कॉन्फ़िगर करें
मैं यहां सुरक्षा नियम नहीं दूंगा, यह एक अंतरंग मामला है और प्रत्येक मामले में अलग-अलग आवश्यकताएं और कार्य हैं, इसलिए हम इन नियमों को अपने स्वाद में जोड़ते हैं।

/etc/rc.firewall

 ipfw="/sbin/ipfw -q " local="re0" ISP1="xl0" ISP2="xl1" localnet="192.168.1.0/24" ISP1_ip="111.111.111.1" ISP2_ip="222.222.222.1" ISP1_gw="111.111.111.2" ISP2_gw="222.222.222.2" nat_ISP1="8668" nat_ISP2="8669" nat_glob="8670" ${ipfw} -f flush #        . # sshd ${ipfw} add 20 allow tcp from any to me 22 # Web Server ${ipfw} add 25 allow tcp from any to me 80 # MailServer ${ipfw} add 26 allow tcp from any to me 25 ${ipfw} add 27 allow tcp from any to me 110 #   . #            ,         ,     . ${ipfw} add 100 fwd ${ISP1_gw} ip from ${ISP1_ip} to not ${localnet} ${ipfw} add 200 fwd ${ISP2_gw} ip from ${ISP2_ip} to not ${localnet} #        ,   #   ${ipfw} add 400 skipto 1000 all from any to any in recv ${local} ${ipfw} add 410 skipto 2000 all from any to any out xmit ${local} #   ${ipfw} add 500 skipto 3000 all from any to any in recv ${ISP1} ${ipfw} add 550 skipto 4000 all from any to any out xmit ${ISP1} ${ipfw} add 600 skipto 5000 all from any to any in recv ${ISP2} ${ipfw} add 650 skipto 6000 all from any to any out xmit ${ISP2} #        .      ,             ${ipfw} add 900 deny all from any to any #   ${ipfw} add 1000 allow all from any to any #   ${ipfw} add 2000 allow all from any to any # ISP1  (      natd) ${ipfw} add 3000 divert ${nat_ISP1} ip from any to ${ISP1_ip} ${ipfw} add 3010 allow all from any to any # ISP1  (   ) #    natd   globalport ${ipfw} add 4000 divert ${nat_global} ip from ${localnet} to any #       ,  natd         ,     #     ,           ${ipfw} add 4010 allow all from ${ISP1_ip} to any #     ,        . ${ipfw} add 4020 fwd ${ISP2_gw} ip from ${ISP2_ip} to any #   natd   ,        ,       natd ${ipfw} add 4030 divert ${nat_ISP1} ip from ${localnet} to any #   . ${ipfw} add 4040 allow all from any to any #      # ISP2  ${ipfw} add 5000 divert ${nat_ISP2} ip from any to ${ISP2_ip} ${ipfw} add 5010 allow all from any to any # ISP2  ${ipfw} add 6000 divert ${nat_global} ip from ${localnet} to any ${ipfw} add 6010 allow all from ${ISP2_ip} to any ${ipfw} add 6020 fwd ${ISP1_gw} ip from ${ISP1_ip} to any ${ipfw} add 6030 divert ${nat_ISP2} ip from ${localnet} to any ${ipfw} add 6040 allow all from any to any 

सभी नियमों को दो प्रदाताओं के लिए समान लिखा जाता है, इसलिए राउटर पर मुख्य गेटवे को बदलकर चैनल को बदल दिया जाता है। नियमों को संशोधित करने की आवश्यकता नहीं है।

स्वचालन के लिए, आप मुख्य चैनल के माध्यम से संसाधन के लिए एक स्थिर मार्ग बना सकते हैं और इसकी उपलब्धता की निगरानी कर सकते हैं। यदि यह अनुपलब्ध है, तो मुख्य गेटवे को बैकअप चैनल गेटवे में बदलें।

उपयोगी लिंक:
आदमी natd
आदमी आईपीएफडब्ल्यू

युपीडी

रूटिंग स्विच स्क्रिप्ट:

 #!/bin/sh IP1=111.111.111.1 IP2=222.222.222.1 GW1=111.111.111.2 GW2=222.222.222.2 /sbin/ping -q -c 1 -S $IP1 yandex.ru > /dev/null 2>&1 if [ $? != 0 ]; then /sbin/ping -q -c 1 -S $IP2 yandex.ru > /dev/null 2>&1 if [ $? = 0 ]; then if [ ! -f /tmp/gw.changed ]; then /sbin/route change default $GW2 && touch /tmp/gw.changed fi fi else if [ -f /tmp/gw.changed ]; then /sbin/route change default $GW1 && rm /tmp/gw.changed fi fi 

यही है, हम बस वांछित इंटरफ़ेस के माध्यम से संसाधन "पिंग" (पिंग कमांड में ध्वज)
यदि संसाधन मुख्य चैनल के माध्यम से उपलब्ध नहीं है तो:
- हम बैकअप चैनल की संचालन क्षमता की जांच करते हैं;
- बैकअप चैनल गेटवे के लिए डिफ़ॉल्ट मार्ग को फिर से कॉन्फ़िगर करें;
- गेटवे में बदलाव का संकेत देते हुए "लेबल" /tmp/gw.changed छोड़ दें।

अगले निष्पादन में (उदाहरण के लिए, स्क्रिप्ट को एक मिनट में एक बार क्रोन पर चलाया जा सकता है), यदि GW1 सामान्य है और एक "लेबल" है, तो हम मुख्य गेटवे को उसके स्थान पर लौटाते हैं। यदि दोनों गेटवे अनुपलब्ध हैं, तो वर्तमान स्थिति परिवर्तित नहीं है।

इस पद्धति का मुख्य लाभ पारदर्शिता और सरलता कहा जा सकता है।
नुकसान - एक निश्चित जड़ता, भले ही छोटे, लेकिन अभी भी गैर-उत्पादक यातायात लागत, झूठी सकारात्मक की गैर-शून्य संभावना, विशेष रूप से एक उच्च चैनल लोड के साथ।

दोनों चैनलों के सामान्य संचालन के दौरान स्वयं संसाधन (इस उदाहरण में यांडेक्स) की अनुपलब्धता चैनल स्विचिंग की ओर नहीं ले जाएगी, क्योंकि इसकी संचालनशीलता की भी पुष्टि नहीं की जाएगी।