Стоит ли NATить на BRAS'ах, или лучше выносить отдельно данный функционал?

[leveler]

НАТить в Инет. Контора, ясен пень, провайдер.

 

UPD: А можно ещё инатить своих клиентов с серыми ИПами в сторону своих клиентов с белыми ИПами.

[Andrei]

Смотря какой BRAS. Если что-нибудь типа 72й или 74й кошки, то почему бы нет?

[leveler]

72-ая же вроде софтварная. Или там для НАТа есть какой-то процессор/спецплата? А что на счёт 7301?

 

Но на самом месте я имел ввиду идеалогию.

[t0ly]

это зависит от религии

все за и против более-менее сбалансированы.

 

у некоторых вообще бордэр и брасс в одном флаконе с HA.

 

хотя в каждом конкретном случае та или иная схема может быть обоснованной.

 

[leveler]

Скажем так - 20к абонентов, разбросанных по всему 500 тысячном городе. Тут вряд ли бордер скрестишь с брасом.

 

Про религию понятно. Тут важно грамотно её изложить. С удовольствием выслушаю ваше мнение.

[Гoсть]

Выдавать БРАСом серый адрес что-бы тутже его сНАТить? Где смысл этого тайного действа?

[ae]

если натить на BRASе, то возникнет проблема существенной нагрузки из-за внутреннего трафика, при выборе железа смотрите на его пропускную способность, 7201 от 7301 отличается производительностью в 2 раза, 7301 выдерживает порядка 300Мбит/сек форвардинга без NATа в каждую сторону (на BRASах по определению скорости в обоих направлениях равны), т.е. количество абонентов или количество железок зависит от тарифных планов и их скоростей (ну и активности клиентов, которая опять же от тарифов во многом зависит)... мы вот как-то вовсе без NATа обходимся, вроде как не слышал фатальных возражений от RIPE и IANA, разве что следят за процентом использования адресов, но это решается либо полной динамикой, либо статикой с "оговорками" (если пользоваться долго не будешь, то адрес сменим...)

[leveler]

А что непонятного? Клент с серым ИПом. Но в некоторые места ему надо ходить с белым. Например, в инет. Логика тут есть.

[Cr_net]

А что непонятного? Клент с серым ИПом. Но в некоторые места ему надо ходить с белым. Например, в инет. Логика тут есть.

А если так -

Клент с белым ИПом. Но только в некоторые места он может ходить с серым ип.

Исходя из логики - либо ну его нафиг грузить брас натом и не мучить клиентов натом и серыми адресами, либо вообще не заворачивать в эти некоторые места через брас.

[Гoсть]

Нипонятно мне, совсем нипонятно. У меня нелинейная логика видимо ;)

[leveler]

Не, у назчем передёргивать то? С белых в серые не надо. Если надо, то тогда переверните картинку - получится, что из серых в белые. А это - метод чайника. Зря вы, логика тут есть. Но я не говорил, что считаю это правильным решением! :)

Даже наоборот. Моя задача убидеться как можно больше, что не стоит на BRAS функции НАТа возлагать. А ещё лучше, и Netflow там не считать. =)

[t0ly]

в случае с натом на брасе:

если брас с натом большой и жирный то

+ всё в одном месте (почти всё)

- его трудно масштабировать

- обязательно нужен резервный

если брас средний и их несколько то

+ в резерве нужно иметь n+1 брас (для замены)

+ легко масштабировать

- сложнее эксплуатировать

 

в случае с натом на отдельном уст-ве:

+ брас менее нагружен

+ всё натится в одном месте,

+ если надо можно добавить ещё одно устройство занимающееся натом.

- немного сложнее в эксплуатации

- нужен резерв нат уст-ва , резервный брас n+1

 

как то так.

ИМХО на таких количествах нужно отталкиваться о стоимости эксплуатации

 

 

 

[UglyAdmin]

От НАТа надо избавляться - он только геморроя прибавляет.

[jab]

 

:-) От юзеров надо избавляться, они только геморроя прибавляют.

[Andrei]

От НАТа надо избавляться

так белых ипов на всех на хватает.

[mikevlz]

от админов надо избавляться... они создают основу для геморроя

[leveler]

Да вроде без проблем пока белые ИПы дают. Наши получили ещё сеточку. И если всё грамотно пойдёт, то ещё одну брать будут.

 

Про НАТ согласен, что как минимум с BRAS'а его надо выносить. Но можно поаргументированнее, нежли "он только геморроя прибавляет"? При чём весомо аргументированно.

[t0ly]

а сколько стоит железка которая отнатит на скорости интерфейса всё что вам надо?

[UglyAdmin]

Но можно поаргументированнее, нежли "он только геморроя прибавляет"? При чём весомо аргументированно.

Требуется нехилая процессорная мощность, чтобы отнатить хотя бы пару сотен мегабит. Аргумент слабый, гигагерцы нынче недороги.

Остальные проблемы вытекают из того, что у юзера получается неперсональный внешний IP. Это уже плохо.

Забанить могут по IP на форуме или игровом сервере.

Многие популярные ресурсы типа рапидшары не пускают с одного IP больше одного юзера.

В пиринговых сетях тоже НАТ не любят.

Высока вероятность попать в почтовые блэклисты - от ботнетов НАТ не защищает...

Достаточно? Всеми этими проблемами юзеры будут грузить провайдера, у которого ответ может быть только один - заплатите N рублей за персональный IP.

 

Относительно экономии IP-адресов: пусть за этот вопрос у RIPE голова болит. На настоящий момент выделено не более трети существующих IPv4.

[leveler]

Неубедительно. :)

Хотя, про как раз гигагерцы можно сказать, т.к. на данный момент натит с7301, у которой загрузка под 100%. И на вряд ли буду ставить решение на писюках. Остальные проблемы негров шерифа не волнуют. :)

 

Для тестов будем брать ASR1000 скоро. Вот и посмотрим. Там вроде NAT аппаратно делается.

[Vetal13]

huawei ma5200g-2 c nat-овой платой у меня чесно шейпит, считает 900мбит и из них 600 еще и NAT-ит, может он и больше пропустит, но пока юзера больше не генерят

 

Внутрисеть через брасов не ганяем.

 

в другом районе NATим не на bras-е, так как юзеров пока маловато, но NAT-овую плату уже заказали

 

[leveler]

Сколь стоит сия железка, а так же платы/модули к ней?

[Andrei]

на старушка-циска 4700 потянет НАТ туннелей на 100-120?

[Vetal13]

Сколь стоит сия железка, а так же платы/модули к ней?

Закупками занимается другой отдел, но в районе 50-100к$ в зависимости от наполнения

[Sonne]

Но можно поаргументированнее, нежли "он только геморроя прибавляет"? При чём весомо аргументированно.

Требуется нехилая процессорная мощность, чтобы отнатить хотя бы пару сотен мегабит. Аргумент слабый, гигагерцы нынче недороги.

Остальные проблемы вытекают из того, что у юзера получается неперсональный внешний IP. Это уже плохо.

Забанить могут по IP на форуме или игровом сервере.

Многие популярные ресурсы типа рапидшары не пускают с одного IP больше одного юзера.

В пиринговых сетях тоже НАТ не любят.

Высока вероятность попать в почтовые блэклисты - от ботнетов НАТ не защищает...

Достаточно? Всеми этими проблемами юзеры будут грузить провайдера, у которого ответ может быть только один - заплатите N рублей за персональный IP.

 

Относительно экономии IP-адресов: пусть за этот вопрос у RIPE голова болит. На настоящий момент выделено не более трети существующих IPv4.

Нат защищает сети юзера от вторжений, упрощает разборки с биллингом по поводу реликтового трафика интернет. Нат экономит адресное пространство. Нат позволяет делать VLAN per User с DHCP. Вот этот вариант самый лучший сочитаются плюсы ната с плюсами реального адреса.