Source IP filtering

[dignity]

Коллеги, приветствую. Давайте порассуждаем на тему. Представим, что мы набрали большой whitelist хостов, которые получают доступ к некому клиенту. В определенный момент мы хотим трафик до этого клиента по этому source white list фильтровать. Как бы Вы решали данную задачу?

 

Мне сейчас видится так:

1) на border-е делаем маршрут /32 на условный клинер.

2) на клинере поднимаем ipset с белым списком и дальше уже схема понятная iptables/ip route

 

Вопросы в следующем,

- есть ли вариант в п2 использовать некое аппаратное решение, которое может схавать такой большой объем ACL для формирования PBR?

- если не linux (ipset/iptables/ip route), то что?

 

Спасибо за участие.

[pppoetest]

- есть ли вариант в п2 использовать некое аппаратное решение, которое может схавать такой большой объем ACL для формирования PBR?

Не уверен, но если pps к клиенту не огромный и вайтлист <= 2^20, то тазик должен прожевать. Лучше собрать лабу и погонять в тест-режиме.

[dignity]

Я считаю что меньше 50-100kpps к клиенту предельный и до 100 тысяч адресов. Если больше 100kpps, там другой механизм работает.

[tartila]

Коллеги, приветствую. Давайте порассуждаем на тему. Представим, что мы набрали большой whitelist хостов, которые получают доступ к некому клиенту. В определенный момент мы хотим трафик до этого клиента по этому source white list фильтровать. Как бы Вы решали данную задачу?

 

Мне сейчас видится так:

1) на border-е делаем маршрут /32 на условный клинер.

2) на клинере поднимаем ipset с белым списком и дальше уже схема понятная iptables/ip route

 

Вопросы в следующем,

- есть ли вариант в п2 использовать некое аппаратное решение, которое может схавать такой большой объем ACL для формирования PBR?

- если не linux (ipset/iptables/ip route), то что?

 

Спасибо за участие.

 

Если клиент один, ставим в разрез таз на линуксе с ipset в режиме бриджа+вкл. iptables. Если таких клиентов несколько, то резать около бордера через пачку vlan.

[ShyLion]

Что-то тема как в анекдоте про номера анекдотов. Коллеги, поясните тупому, о чем речь?

[dignity]

Тема о реализации whitelist source-ip для серверов, размещенных на vps/colo/dedicated.

[ShyLion]

Клиент сам просит ограничить список сорсов, с которых хочет принимать траффик?

[dignity]

ну там вариантов много - пропуск+блок, пропуск+кэпча. Это уже лирика. Вопрос в чем обрабатывать вот этот source-based routing.

[pppoetest]

меньше 50-100kpps к клиенту предельный и до 100 тысяч адресов.

Имхо, тазик вытянет.