Jump to content
Калькуляторы

FreeBSD, ipfw. Ограничение числа nat-трансляций. Подскажите как грамотно поставить ограничения.

FreeBSD 8.1-RELEASE-p2 работает только как NAT для 172.16.0.0/19, используя ipfw nat и 4 белых ip - a.b.c.d0-d3

igb0 смотрит в Интернет, igb1 в локальную сеть

правила файервола:

table 1 add 172.16.0.0/21
table 2 add 172.16.8.0/21
table 3 add 172.16.16.0/21
table 4 add 172.16.24.0/21

add 1010 allow ip from any to any via igb1

nat 1 config log ip a.b.c.d0 reset same_ports deny_in
nat 2 config log ip a.b.c.d1 reset same_ports deny_in
nat 3 config log ip a.b.c.d2 reset same_ports deny_in
nat 4 config log ip a.b.c.d3 reset same_ports deny_in

add 1210 nat 1 ip from table(1) to any out xmit igb0
add 1211 nat 1 ip from any to a.b.c.d0 in recv igb0
add 1220 nat 2 ip from table(2) to any out xmit igb0
add 1221 nat 2 ip from any to a.b.c.d1 in recv igb0
add 1230 nat 3 ip from table(3) to any out xmit igb0
add 1231 nat 3 ip from any to a.b.c.d2 in recv igb0
add 1240 nat 4 ip from table(4) to any out xmit igb0
add 1241 nat 4 ip from any to a.b.c.d3 in recv igb0
add 20000 allow all from any to any

Есть ли способ ограничить количество nat-трансляций (включая udp, icmp) для каждого серого ip? Если нет, то может ли это PF?

Edited by pronix

Share this post


Link to post
Share on other sites

add 10102 nat 1 tcp from any to any out xmit em0 limit src-addr 20

Оно?

PF тоже умеет...

Edited by Nafanya

Share this post


Link to post
Share on other sites

Кстати, а iptables такое может (вроде бы должно уметь, но совсем не могу припомнить место в мане) ?

Share this post


Link to post
Share on other sites
add 10102 nat 1 tcp from any to any out xmit em0 limit src-addr 20

Оно? PF тоже умеет..

Не совсем, это же ограничит только tcp? Просто иногда происходят взрывные всплески pps, практически парализующие работу сервера, и скорее всего это из-за uTp.
Edited by pronix

Share this post


Link to post
Share on other sites
add 10102 nat 1 tcp from any to any out xmit em0 limit src-addr 20

Оно? PF тоже умеет..

Не совсем, это же ограничит только tcp? Просто иногда происходят взрывные всплески pps, практически парализующие работу сервера, и скорее всего это из-за uTp.

а если так? :)

add 10102 nat 1 ip from any to any out xmit em0 limit src-addr 20

Edited by Nafanya

Share this post


Link to post
Share on other sites
add 10102 nat 1 tcp from any to any out xmit em0 limit src-addr 20

Оно? PF тоже умеет..

Не совсем, это же ограничит только tcp? Просто иногда происходят взрывные всплески pps, практически парализующие работу сервера, и скорее всего это из-за uTp.

а если так? :)

add 10102 nat 1 ip from any to any out xmit em0 limit src-addr 20

тут есть засада. LIMIT создает динамические правила в таблице statefull которая также не резиновая и при большом числе правил начинаются тупняки.

при любом раскладе и любом фаерволе при большом всплеске pps будет плохо серверу. вариант это балансировка трафика на несколько НАТящих машин.

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this