NAT для компьютерного клуба/офиса

[Theodor Smith]

Поделитесь, пожалуйста, лучшими практиками чем вывести в интернет компьютерный клуб на 50-70 машин, nat на один внешний ip? Как это обычно бывает, всё упирается в бюджет, иначе можно было бы взять цыску/джунипер и не париться.

Хотелки к оборудованию
1) cпособность раздать входящий канал 400 Мегабит/сек на 50-70 PC с минимальным джиттером

2) возможность настроить нормальный qos или DPI (как минимум, надо уметь резать torrent/ftp[/http] в пользу игрушек/трансляций/скайпа).
3) средняя отказоустойчивость оборудования (не нужно горячего резервирования)
4) задел для резервирования/балансировки через второго провайдера
5) монтирование в стойку

К сожалению, мой опыт в данном вопросе остался в конце 2000-х и тогда бы я однозначно решал вопрос выделенным сервером со специализированным дистрибутивом linux/freebsd.
Сейчас же в продаже появилось очень много интересных роутеров аля mikrotik да и можно какую-нибудь б/у цыску взять у которой тоже производительность неплохая будет. Но, к сожалению, опыта с оборудованием small buisness/soho у меня мало.

 

Хардварное решение в плане надёжности однозначно лучше. И лучше новое, чем б/у (у меня на последний год умерло штук пять цысок 7206 с возрастом около 20 лет. С одной стороны, столько отработали - это офигеть как круто, с другой - сейчас брать коробку такого возраста очень рискованно).

Как мне кажется, по соотношению цена/качество выделенный сервер всё же мне кажется более предпочтительным, да и какую-нибудь файлопомойку организовать на нём всегда можно, если возникнет необходимость..

 

Если у кого-то был подобный опыт, буду благодарен если посоветуете конкретные железки - для компьютерного клуба задержка/джиттер это критический параметр, поэтому не хочется перебирать железо на своём опыте.

Edited March 22, 2021 by Theodor Smith

[alibek]

Бюджет озвучьте.

А так же размер имеющегося пула адресов.

Если все натить через один адрес, то никакая железка не поможет.

[Theodor Smith]

17 минут назад, alibek сказал:

Бюджет озвучьте.

А так же размер имеющегося пула адресов.

Если все натить через один адрес, то никакая железка не поможет.

Бюджет, как обычно, чем меньше, тем лучше. :) Скажем, килобакс или около того.

 

"размер имеющегося пула адресов. Если все натить через один адрес, то никакая железка не поможет."
Пока что это проект так что размер пула можно скорректировать. Предполагалось использовать один адрес, т.к. покупать пул из 50 адресов (идеальный вариант) для небольшого клуба это заметные ежемесячные траты. Если честно, я не понимаю, почему никакая железка не поможет (понятно, что может кончится пул портов для динамической трансляции, но мне кажется что на 50 машин 64 тысяч портов должно хватать. Много трансляций съедят много памяти, но для 50-ти машин это, имхо, не сильно много). Но опять же на практике я такое не делал, так что могу не знать многих подводных камней. Сколько адресов на 50 пользователей Вы считаете минимально достаточным количеством?

Edited March 22, 2021 by Theodor Smith

[alibek]

Можно было бы посмотреть СКАТ. Но там цена существенно больше килобакса.

В CGNAT порты выделяются блоками. Я бы закладывал 300-500 трансляций на пользователя.

[Ivan_83]

Роутер уровня тплинк/асус + опенврт.

Второй можно положить рядом в резерв.

"джиттер" - не ваша проблема, даже если оно будет 1мс вносить - дальше всё равно пара десятков набежит от магистралов.

[sdy_moscow]

3 часа назад, Theodor Smith сказал:

400 Мегабит/сек на 50-70 PC

Это тот случай, когда сааб будет к месту. Моя рекомендация микротик 1036 или на край 1016.

[SOFTOLAB]

7 hours ago, sdy_moscow said:

Это тот случай, когда сааб будет к месту. Моя рекомендация микротик 1036 или на край 1016.

Да тут и RB4011 справится, но если хочется хорошего запаса, то RB2004.

У CCR ведра старые очень, их уже мыльницы с ARM уделывать начинают, я думаю тиковцы уже давно строят планы по обновлению линейки.

[korsakik]

Есть еще операторы которые натят всю свою сеть за 1 адресом, ничего работают, через задницу, правда.

 

Вам нужно больше бояться не NAT таблицы, которая не переполнится, а игровых сервисов, которые Вас будут блокировать из-за большого количества коннектов на свою платформу, особенно это касается Sony Playstation network.

Берите 2-3 адреса у оператора и разграничивайте сеть поровну на этих адресах, тем же натом.

На микротике займет 3-10 минут.

[Sacrament]

НАТ 64 в 1 работает отлично и без каких-либо вопросов со стороны клиентов. Некоторые делают 128 в 1 и тоже насколько знаю не испытывают особенных затруднений.

[vurd]

12 минут назад, Sacrament сказал:

НАТ 64 в 1 работает отлично и без каких-либо вопросов со стороны клиентов. Некоторые делают 128 в 1 и тоже насколько знаю не испытывают особенных затруднений.

Вы понимаете, что речь идёт о компьютерном клубе, где вся пачка сидит и играет в контру? Вы же сравниваете с "раздам на мкд один ип", это не про то.

Плюс откуда там 400 мбит будет? В нормальном режиме всё это хозяйство будет жрать копейки трафика.

Пускай там 100 машин, надо брать 4 внешних адреса и делать /27 -> /32 , имхо.

 

[Theodor Smith]

1 час назад, vurd сказал:

Пускай там 100 машин, надо брать 4 внешних адреса и делать /27 -> /32 , имхо. 

Спасибо за наводку. Про соотношение количества внешних адресов к количеству внутренних можно где-то почитать или тут только опыт и ещё раз опыт?

 

2 часа назад, korsakik сказал:

Есть еще операторы которые натят всю свою сеть за 1 адресом, ничего работают, через задницу, правда.

 

Вам нужно больше бояться не NAT таблицы, которая не переполнится, а игровых сервисов, которые Вас будут блокировать из-за большого количества коннектов на свою платформу, особенно это касается Sony Playstation network.

Берите 2-3 адреса у оператора и разграничивайте сеть поровну на этих адресах, тем же натом.

На микротике займет 3-10 минут. 

Спасибо! Да, планируется ещё несколько PS поставить и я с ними вообще дела не имел. Буду уламывать собственника на большее количество IP-адресов, возможно за счёт удешевления маршрутизатора.

[VolanD666]

Пагадите, а чо по DPI то? Или микротик будет приоритеты вешать на гейм трафик?

[alibek]

Для игрового клуба можно ненастоящий DPI.

Торренты и видео вполне можно отделить от игрового трафика (например по портам).

Правда нужно понимать, что нормально регулироваться будет исходящий трафик. А входящий трафик регулировать поздно, он уже пришел.

[vurd]

Да откуда там торрент трафик то возьмется? Вы в 2006 вернулись что-ли? Его сейчас даже на сетях операторов уже не осталось почти.

Апдейты игр - да
Стадиа подобные вещи - да

Всё остальное копейки.

[jffulcrum]

Ну, Cisco 4331 за килобакс уже можно найти, но там 300 Мбит/с - предел (и то, если лицуха была у пред. владельца куплена). 4351 с лицензией на 400 Мбит/с меньше чем за полтора килобакса - сомнительно. CCR2004 от MT еще сырой, рискуете, 4011 - с очередями на 400 Мбит/с может не вытянуть. Сервер с чистым линухом собрать можно, но это значительные трудозатраты и возможная вечная беготня с ведром вокруг него. Так что сервер - но с OpenWrt/pfsense/или даже Mikrotik

 

3 минуты назад, vurd сказал:

Да откуда там торрент трафик то возьмется?

Игровуха же, Игорь на торрентах вполне себе обитает до сих пор.

[Saab95]

10 часов назад, SOFTOLAB сказал:

Да тут и RB4011 справится, но если хочется хорошего запаса, то RB2004.

Если задача только НАТ и деление канала поровну на всех, то по сути RB4011 хватит, RB2004 там не нужен, не по 10Г портам же делать подключения.

 

8 часов назад, Theodor Smith сказал:

возможно за счёт удешевления маршрутизатора.

Самое дешевое взять системник с двумя сетевыми адаптерами. Далее покупаете надежный маленький жесткий диск или ссд, покупаете лицензию микротика L4 (она стоит порядка 2 тыс.р.), устанавливаете микротик на этот комп (на этот носитель), далее пользуетесь прелестями возможностями микротика.

 

22 часа назад, Theodor Smith сказал:

возможность настроить нормальный qos или DPI (как минимум, надо уметь резать torrent/ftp[/http] в пользу игрушек/трансляций/скайпа).

На микротике это делается очередями PCQ, то есть для каждого внутреннего IP адреса будет создано столько потоков передачи данных, сколько будет запросов по соотношению IP+Port. То есть можно одновременно и в игрушку играть, и торрент качать, на пинг никак не повлияет.

 

22 часа назад, Theodor Smith сказал:

средняя отказоустойчивость оборудования (не нужно горячего резервирования)

У микротика легко сохраняется конфиг настроек в текстовом виде через export compact. Имея эти настройки вы запустите все что и было на любом другом роутере микротик, максимум что придется это поменять автозаменой наименования сетевых портов.

 

22 часа назад, Theodor Smith сказал:

задел для резервирования/балансировки через второго провайдера

Это там все есть.

 

18 часов назад, sdy_moscow сказал:

Моя рекомендация микротик 1036 или на край 1016.

Если будет только НАТ + шейпер PCQ то хватит и 1009 на 500М. В мире провайдеров 1009 натит под гиг-полтора трафика без проблем.

 

8 часов назад, Theodor Smith сказал:

Спасибо за наводку. Про соотношение количества внешних адресов к количеству внутренних можно где-то почитать или тут только опыт и ещё раз опыт?

После запуска в работу с одним внешним IP увидите есть ли нарекания. Если будут - покупаете еще 1-2-3-4-5 и т.п. белых адресов, и равномерно распределяете белые по группам компьютеров. В случае клуба это выгодно делать вручную через адрес лист. Но можно и автоматически.

[NiTr0]

8 минут назад, Saab95 сказал:

Если будет только НАТ + шейпер PCQ то хватит и 1009 на 500М. В мире провайдеров 1009 натит под гиг-полтора трафика без проблем.

угу, с прыгающим пингом 15-150мс)))

[SOFTOLAB]

13 hours ago, Saab95 said:

Если задача только НАТ и деление канала поровну на всех, то по сути RB4011 хватит, RB2004 там не нужен, не по 10Г портам же делать подключения.

При локальном трафике 10G порты очень хороши, а как доступ CRS326 использовать.

17 hours ago, alibek said:

Для игрового клуба можно ненастоящий DPI.

Торренты и видео вполне можно отделить от игрового трафика (например по портам).

Правда нужно понимать, что нормально регулироваться будет исходящий трафик. А входящий трафик регулировать поздно, он уже пришел.

Входящий тоже нормально регулируется, это же не бот нет, а торрент клиенты, они не посылают трафик в пустоту.

 

13 hours ago, Saab95 said:

Если будет только НАТ + шейпер PCQ то хватит и 1009 на 500М. В мире провайдеров 1009 натит под гиг-полтора трафика без проблем.

Может там апплинк по PPPoE приходит, тогда тушите свет, даже HEX S вывозит максимум 300 мегабит без FW и с минимумом настроек, и тогда у человека остается только RB2004.

13 hours ago, NiTr0 said:

угу, с прыгающим пингом 15-150мс)))

Я такое видел лишь при обычном шейпере и адски популярном и крупном торренте, который просто засыпает сидами и пирами.

[NiTr0]

9 часов назад, SOFTOLAB сказал:

Я такое видел лишь при обычном шейпере и адски популярном и крупном торренте, который просто засыпает сидами и пирами.

CCR1072 с PCQ и 3-4 гбит обычного клиентского трафика. пинги порой до 150мс через него, при загрузке ядрышек менее 50%. как-то так:

 

rtt min/avg/max/mdev = 23.359/24.627/70.561/4.201 ms

[dr Tr0jan]

12 hours ago, SOFTOLAB said:

Я такое видел лишь при обычном шейпере и адски популярном и крупном торренте, который просто засыпает сидами и пирами.

Я такое регулярно наблюдаю при git clone чего-нибудь большого на RB2011UiAS-HnD на пустом 40-мегабитном канале.

[fractal]

В 23.03.2021 в 17:13, jffulcrum сказал:

Cisco 4331 за килобакс уже можно найти

можно ref взять официально за 1500$ с boost лицухой, на форуме антициско есть продаван

[ShyLion]

Циску для такого не рекомендую. Она совсем для других задач.

[Saab95]

В 23.03.2021 в 20:28, NiTr0 сказал:

угу, с прыгающим пингом 15-150мс)))

Вас послушать сотни тысяч пользователей микротика дома в виде простого роутера постоянно мучаются с пингом под 150?

А провайдеры, у которых разного рода CCR говорят своим клиентам, что задержка 150мс это нормально, и у других провайдеров будет только хуже?

 

Просто если писать, то надо реальные вещи, а не про то, что микротик глючит и виснет, и вообще для передачи данных не предназначен.

 

Задержка там будет 1-3 мс и не более того.

[SOFTOLAB]

18 hours ago, NiTr0 said:

CCR1072 с PCQ и 3-4 гбит обычного клиентского трафика. пинги порой до 150мс через него, при загрузке ядрышек менее 50%. как-то так:

 

rtt min/avg/max/mdev = 23.359/24.627/70.561/4.201 ms

Ну возможно у вас там дикий перегруз аплинка.

16 hours ago, dr Tr0jan said:

Я такое регулярно наблюдаю при git clone чего-нибудь большого на RB2011UiAS-HnD на пустом 40-мегабитном канале.

Как на пустом канале у вас могут так задержки расти?

 

[sdy_moscow]

19 часов назад, NiTr0 сказал:

CCR1072 с PCQ и 3-4 гбит... пинги порой до 150мс

ограничить 1 гбит и будет жить.