पीएफ + स्क्वीड का उपयोग करके FreeBSD पर 2 या अधिक चैनलों को संतुलित करना

दिन का अच्छा समय, हब्रोज़िटेली!

इस तथ्य के कारण कि यद्यपि मेरे विचारों को साझा करने के मेरे पिछले प्रयास ने मुझे एक निमंत्रण दिया, लेकिन कर्म नकारात्मक हो गया, इसलिए अब मैं पुनर्वास करने का प्रयास करूंगा । मैं फिर से कोशिश कर रहा हूं कि कोने में एक गुनगुना चीज स्थापित करने के लिए एक नुस्खा के साथ दर्शकों को खुश करने के लिए।

इसलिए, इस कार्य के बारे में: दो इंटरनेट चैनल हैं, FreeBSD का प्रवेश द्वार

gate# uname -a FreeBSD gate 9.0-RELEASE FreeBSD 9.0-RELEASE #0: Thu Nov 1 06:48:52 OMST 2012 root@gate:/usr/obj/usr/src/sys/GATE amd64 

ऐसा नहीं है कि यह एक आवश्यकता है, लेकिन चैनलों पर यातायात को संतुलित करने और प्रबंधन से प्रीमियम प्राप्त करने की इच्छा के साथ एक लचीली प्रणाली बनाने की इच्छा है।
चैनल नंबर 1: असीमित, गति 7 एमबी, वास्तविक आईपी-पता
चैनल नंबर 2: असीमित, 60 एमबी तक की गति, वास्तविक आईपी-पता।
प्रदाता ने गेटवे स्थापित किया जिसके माध्यम से मैं हैकर्स के लिए डीएमजेड "ट्रैप" को लागू करता हूं, इसलिए पीएफ और एसआईडीआईडी ​​सेटिंग्स न्यूनतम हैं

बैलेंस बढ़ाने का विवरण

रूट उपयोगकर्ता से सभी जोड़तोड़। (हम किसी भी उपयोगकर्ता द्वारा होस्ट से कनेक्ट करते हैं, फिर र, रूट पासवर्ड)।

1. पीएफ सक्षम करने के लिए कर्नेल विकल्प:
अगर आप ट्रैफिक को पीएफ नहीं मानते हैं, तो दूसरी वस्तु को निष्क्रिय किया जा सकता है

 cd /sys/amd64/conf cp GENERIC GATE ee GATE device pf device pflog options ALTQ options ALTQ_CBQ options ALTQ_RED options ALTQ_RIO options ALTQ_HFSC options ALTQ_PRIQ options ALTQ_NOPCC 

2. कर्नेल विधानसभा

 make kernel KERNCONF=GATE 

3. 2 नेटवर्क कार्ड गेटवे में स्थापित हैं, एक मदरबोर्ड में एकीकृत है:

 re0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC> inet 192.168.1.2 netmask 0xffffff00 broadcast 192.168.1.255 re1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC> inet 192.168.63.26 netmask 0xfffffff8 broadcast 192.168.63.31 nfe0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=82008<VLAN_MTU,WOL_MAGIC,LINKSTATE> inet 10.1.1.30 netmask 0xffffff00 broadcast 10.1.1.255 

re0 प्रदाता नंबर 1, re1 - प्रदाता नंबर 2। आंतरिक इंटरफ़ेस nfe0 (आईपी पते और मास्क का असाइनमेंट ऐतिहासिक रूप से विकसित हुआ है, मैं जो काम करता हूं)। और हां, वीलन को आंतरिक इंटरफ़ेस पर उठाया गया था, मैं उन पर आईपी वीडियो निगरानी प्रणाली और कंपनी के विभिन्न विभागों को फेंक देता हूं।

4. rconconf को कॉन्फ़िगर करना

 ee /etc/rc.conf pf_enable=«YES» pf_rules=«/etc/pf.conf» squid_enable=«YES» reboot 

यही है, जब लोड हो रहा है, /etc/pf.conf फ़ाइल से नियमों को निष्पादित किया जाता है।

5. लिस्टिंग pf.conf।

 cat pf.conf # ,  int_if -  , ext_if - . int_if=«nfe0» ext_if=«re1» ext_if2=«re0» int_net=«10.1.1.0/24» freeBSD=«10.1.1.30» icmp_types=«{ echoreq, unreach}» http=«80» https=«443» ssh=«22» #     . gw1=«192.168.63.25» gw2=«192.168.1.1» # ,             . #, -       ip-  . to_ertel=«{10.1.1.42, 10.1.1.33, 10.1.1.4, 10.1.1.12, 10.1.1.5, 10.1.1.48, 10.1.1.25, 10.1.1.3, 10.1.1.243, 10.1.1.5 }» to_trans=«{ 10.1.1.27, 10.1.1.2, 10.1.1.181, 10.1.1.46, 10.1.1.39, 10.1.1.27, 10.1.1.31, 10.1.1.113 }» #   -    , set block-policy drop set skip on lo #     . scrub in all #   - nat on $ext_if inet from any to any -> ($ext_if) #   - nat on $ext_if2 inet from any to any -> ($ext_if2) #  SQUID rdr on $int_if inet proto tcp from any to any port www -> 127.0.0.1 port 3128 block in from any to any block out from any to any # antispoof quick for $int_if inet #        pass out on $int_if from any to $int_net #   (  ) pass in quick on $int_if route-to ($ext_if2 $gw2) from $to_trans to !$int_net keep state pass in quick on $int_if route-to ($ext_if $gw1) from $to_ertel to !$int_net keep state #  (quick)     pass in quick on $int_if from $int_net to $int_if pass in quick on $int_if route-to { ($ext_if $gw1), ($ext_if2 $gw2)} round-robin sticky-address proto tcp from $int_net to any flags S/SA keep state # sticky-address    RicoX #   icmp  udp      pass in on $int_if route-to { ($ext_if $gw1), ($ext_if2 $gw2) } round-robin proto { udp, icmp } from $int_net to any keep state #  ""     pass out on $ext_if proto tcp from any to any flags S/SA modulate state pass out on $ext_if proto { udp, icmp } from any to any keep state pass out on $ext_if2 proto tcp from any to any flags S/SA modulate state pass out on $ext_if2 proto { udp, icmp } from any to any keep state #      IP  $ext_if1  $ext_gw1  #    $ext_if2  $ext_gw2 pass out on $ext_if route-to ($ext_if2 $gw2) from $ext_if2 to any pass out on $ext_if2 route-to ($ext_if $gw1) from $ext_if to any 

मैंने बैंडविंड्स को कॉन्फ़िगर नहीं किया, क्योंकि कोई ज़रूरत नहीं थी। यह काफी सरल और जल्दी से चालू होता है, मुझे लगता है कि भविष्य में यह एक विन्यास जोड़ना संभव होगा।

इस तरह से नुकसान यह है कि कभी-कभी, जब प्रदाताओं में से किसी एक के हिस्से पर कुछ होता है, तो लोड संतुलन काम करना बंद कर देता है।
इस समस्या को हल करने के लिए, कॉन्फ़िगरेशन फ़ाइलें बनाई गईं: pf.conf.ertelecom और pf.conf.trans, जो मुख्य सेटिंग्स फ़ाइल से केवल उस पंक्ति में भिन्न होती हैं:

 #pass in on $int_if route-to { ($ext_if $gw1), ($ext_if2 $gw2) } round-robin proto { udp, icmp } from $int_net to any keep state 

उनमें से फेंक दिया। इसके बजाय, दो लाइनें दिखाई देती हैं:

 pass out route-to ($ext_if $gw1) from $int_if to any pass out route-to ($ext_if2 $gw2) from $int_if to any 

जिनमें से एक काम करता है, जिसके आधार पर डिफ़ॉल्ट गेटवे स्थापित होता है।

स्विचिंग स्क्रिप्ट इस तरह दिखती हैं:

 cat er_conn.sh #!/bin/sh GW1=«192.168.63.25» if1=«192.168.63.26» #  /sbin/pfctl -d #      №2 /sbin/pfctl -e -f /etc/pf.conf.dom #  - /sbin/route del default #  -   №2 /sbin/route add default $GW1 

इस लिपि के समान ही, स्क्रिप्ट प्रदाता नंबर 1 और लोड बैलेंसिंग के समावेश को नियंत्रित करते हैं। केवल गेटवे पता और pf कॉन्फ़िगरेशन नियम फ़ाइल बदल दी गई हैं।
क्रोन में, हम एक स्क्रिप्ट को कनेक्ट करते हैं जो हर (कुछ विकल्प के लिए) गेटवे से प्रतिक्रिया के लिए मिनटों की जांच करता है:
पिंग -S <प्रदाता गेटवे आईपी एड्रेस> <हमारा असली आईपी एड्रेस>।
यदि कोई उत्तर नहीं है, तो हम लाइव चैनल नियमों को स्वचालित रूप से लोड करते हैं।

SQUID सेटिंग्स के लिए, मैंने वहां सब कुछ आदिम तरीके से किया। मैंने पारदर्शी सेटिंग, यानी पारदर्शी प्रॉक्सी को छोड़कर, कुछ भी बदले बिना बंदरगाहों से स्क्वीड 3 का निर्माण किया। मैं उसकी कॉन्फ़िगरेशन फ़ाइल लाता हूं:

 cat squid.conf http_port 127.0.0.1:3128 transparent icp_port 0 hierarchy_stoplist cgi-bin ? acl QUERY urlpath_regex cgi-bin \? no_cache deny QUERY cache_mem 256 MB maximum_object_size 8092 KB maximum_object_size_in_memory 512 KB cache_dir ufs /bkp/var/squid/cache 2048 64 256 cache_access_log /bkp/var/squid/access.log cache_log /bkp/var/squid/cache.log cache_store_log /bkp/var/squid/store.log cache_mgr root@xxx.ru cache_effective_user squid cache_effective_group squid visible_hostname gate coredump_dir /bkp/var/squid/cache pid_filename /var/run/squid/squid.pid acl our_networks src 10.1.1.0/24 http_access allow our_networks 

अब हम इसके साथ लगभग दो साल से काम कर रहे हैं, व्यावहारिक रूप से कुछ भी क्रैश नहीं होता है, गेटवे केवल बिजली के कराहने वालों के लिए फिर से शुरू होता है, उपयोगकर्ता भूल गए कि इंटरनेट एक्सेस के साथ क्या समस्याएं हैं।
मैं ट्रैफिक अल्कोहल (cnupm) पर विचार करता हूं, बाद में इसके लॉग को MySQL डेटाबेस में अपलोड करने के साथ।

एक छोटा सा बोनस: जब मैंने खेत पर कब्जा किया, तो सभी आईपी मैन्युअल रूप से मशीनों के लिए निर्धारित किए गए थे। इसके अलावा, इन आईपी (और मशीनों के नाम नहीं) को स्थानीय नेटवर्क की कुछ सेवाओं का एक बंधन था। इसलिए, सर्वर स्क्रिप्ट फ़ाइल के डीएचसीपी प्रारूप के लिए आईपी सेटिंग्स के त्वरित हस्तांतरण के लिए निम्न स्क्रिप्ट का जन्म हुआ, अर्थात् वह हिस्सा जो मैक पते को आईपी असाइन करता है।
यहाँ एक सूची है:

 gate# cat do_dhcp #!/bin/sh arp -an | grep <   > > /usr/arp.txt # IFS     IFS=« » cat /usr/arp.txt | while read line do set -- $line; echo -e «host $1 { hardware ethernet $4; fixed-address $2; }\n» done 

आउटपुट टर्मिनल स्क्रीन पर है, लेकिन यदि आप गूंज में अंतिम उद्धरण के बाद> /usr/dhcp.txt जोड़ते हैं, तो आउटपुट फ़ाइल में होगा। तब dhcpd.conf फ़ाइल के संबंधित अनुभाग में कॉपी-पेस्ट आउटपुट था। आप यह कर सकते हैं:

 cat dhcpd.txt >> /usr/local/etc/dhcpd.conf