ANAT (Advanced asymmetric CG NAT) xt_ANAT module ядра для Linux

[nixx]

В 04.04.2025 в 00:20, Easy88 сказал:

На днях запустили в продакшен на трафике около 30 гиг в ЧНН. Сервак HP DL360 gen9 с 2мя процами 2697Av4 нагрузку имеет около 40%.

а этот сервер у вас только натом занимается, или есть утилизация cpu и на другие задачи?

мне интересно со своим сравнить, который обычный линуксовый нат юзает на сопоставимом трафике.

Edited April 8, 2025 by nixx

[Easy88]

18 hours ago, nixx said:

а этот сервер у вас только натом занимается, или есть утилизация cpu и на другие задачи?

мне интересно со своим сравнить, который обычный линуксовый нат юзает на сопоставимом трафике.

 

Да. На этом только ANAT. Предполагаем что гиг 60-70 должен он прожевать.

[Morty]

11 часов назад, Easy88 сказал:

 

Да. На этом только ANAT. Предполагаем что гиг 60-70 должен он прожевать.

Скорее всего не пережует столько, в районе 40-50 гигов начнутся дропы, при том, что cpu ещё не уйдет в полку.

Edited April 9, 2025 by Morty

[Easy88]

8 hours ago, Morty said:

Скорее всего не пережует столько, в районе 40-50 гигов начнутся дропы, при том, что cpu ещё не уйдет в полку.

 

А в чём причина? pci-e хватает, проца хватает...

[Easy88]

Для решения задачи с поиском какие абоненты сидели за внешним адресов без сбора netflow сделал калькулятор, что бы отвечать на запросы правоохранителей. В нём прописываются ваши серые пулы в public пулы и на запрос внешнего адреса выдает в какие адреса оно могло конвертироваться.

 

Пример использования:

python calc.py 178.110.1.20  
Найдено в пуле 10.0.192.0 - 10.0.255.255:
LAN IP: 10.0.197.0
LAN IP: 10.0.197.1
LAN IP: 10.0.197.2

Протестировал. Вроде работает правильно.

 

 

https://github.com/Phoenix1833/anat_calc

Edited April 24, 2025 by Easy88
Change to github

[sdy_moscow]

@Easy88  Только осторожнее с опциями &1, &2, &3 и *H  в настройках пулов. Я не уверен, что Вы их учли в скрипте (код не смотрел).

[vurd]

Посмотреть код и не получится 🙂

 

@Easy88 выложите куда-нибудь в нормальное место. С форума уже несколько лет ничего не качается и никто это не чинит.

 

 

[Easy88]

@vurd это печально 😞

 

Оформил на github:

https://github.com/Phoenix1833/anat_calc

[acutus]

А возможна работа вместе с ipt_ratelimit?

[sdy_moscow]

7 часов назад, acutus сказал:

А возможна работа вместе с ipt_ratelimit?

конечно, это же другая библиотека, настраивайте правила файрвола и всё

[sdy_moscow]

Задали тут вопрос - думаю стоит его продублировать с ответом в теме.

=================================================

Тут  бага/не бага вылезла как-то.

 

Менял диапазон ip для ната и tсp сессии со старыми адресами протухли, а вот udp сессии от l2tp каналов остались висеть со старыми адресами и пришлось их уже сбрасывать через CMD_KILL_NAT.

Судя по всему keep-alive пакеты l2tp держали эти сессии.

=================================================

Добрый день.

Это не баг, а фича. Механизм изначально сделан так, что при смене диапазонов старые сессии не сбрасываются, поэтому ДА - пока сессия не "умрет"  (не истечет её киип элайв), она будет "жить". Надо было или переконнектиться самим клиентам ну или прибить их руками (как это сделали вы). Это так и задумывалось - для плавного перехода с диапазона на диапазон.

 

---------------

Если что задавайте вопросы прямо в ветке проекта. Это может быть полезно и для других.