[openbsd] Re: [openbsd] pflow и altq на одном интерфейсе

[irix <irix@ukr.net>]

Hello Alexander,

Чтобы  всё  нормально  работало,  вам  необходимо использовать в своих
правилах  конструкцию  TAG и TAGGED. Тогда с натом и остальным проблем
не будет.



Sunday, November 1, 2009, 11:30:44 AM, you wrote:

AS> Приветствую!

AS> Прошу помощи в решении одной задачи. Проблема в следующем.

AS> Eсть OpenBSD 4.6 в качестве роутера + NAT для локальной сети.
AS> Чтобы посчитать трафик с помощью pflow, его нужно прикрутить
AS> к внутреннему интерфейсу, иначе в статистике будет внешний адрес.
AS> pflow работает исключительно с правилами keep state.
AS> В то же время, чтобы на внутреннем интерфейсе отправить трафик
AS> _к пользователю_ в ту или иную очередь - не должно быть состояния,
AS> иначе правило с queue не срабатывает.

AS> Вот пример:

AS> TRANSLATION RULES:
AS> nat on vlan2 inet proto tcp from 10.51.109.40/29 to any -> 193.200.84.226
AS> nat on vlan2 inet proto udp from 10.51.109.40/29 to any -> 193.200.84.226
AS> nat on vlan2 inet proto icmp from 10.51.109.40/29 to any -> 193.200.84.226

AS> FILTER RULES:
AS> block drop in all
AS> pass in quick on vlan2 proto tcp from any to (vlan2) port = ssh flags S/SA keep state (if-bound)
AS> pass out quick on vlan2 all flags S/SA keep state (if-bound)
AS> pass in quick on vlan2 all no state
AS> * pass in quick on vlan621 inet from 10.51.109.40/29 to any flags
AS> S/SA keep state (if-bound, pflow)
AS> * pass out quick on vlan621 inet from any to 10.51.109.40/29 no state queue to_Gonta

AS> ALTQ:
AS> queue root_em0 on em0 bandwidth 1Gb priority 0 {DEFQ, to_Customers}
AS> queue  DEFQ on em0 bandwidth 100Mb hfsc( default )
AS> queue  to_Customers on em0 bandwidth 10Mb {to_Akim, to_Gonta}
AS> queue   to_Akim on em0 bandwidth 512Kb hfsc( upperlimit 512Kb )
AS> queue   to_Gonta on em0 bandwidth 512Kb hfsc( upperlimit 512Kb )

AS> Правила, помеченные звездочкой - будет срабатывать только первое правило.
AS> Второе на сработает для ответного трафика никогда, следовательно
AS> очередь - не работает. Если же сделать первое правило с no state,
AS> то очередь работает, но при этом становится невозможным использование
AS> pflow. Если же pflow перенести на внешний интерфейс, то в статистике 
AS> не будет внутренних адресов.

AS> Так как быть? Как одновременно использовать pflow, nat и altq? 
AS> Заранее спасибо.

AS> -- 
AS> MINO-RIPE




-- 
Best regards,
 irix                            mailto:irix@ukr.net


-- 
To unsubscribe send an e-mail to openbsd+unsubscribe@uaoug.org.ua
For retrieval in messages archive http://www.uaoug.org.ua/archive