[openbsd] Re: [openbsd] Re: [openbsd] pflow и altq на одном интерфейсе

[irix <irix@ukr.net>]

Hello Alexander,

Метки позволяют вам уже отначенные пакеты вылавливать в общем потоке


Sunday, November 1, 2009, 5:17:05 PM, you wrote:

AS> On Sun, Nov 01, 2009 at 01:26:48PM +0200, irix wrote:
>> Hello Alexander,
>> 
>> Чтобы  всё  нормально  работало,  вам  необходимо использовать в своих
>> правилах  конструкцию  TAG и TAGGED. Тогда с натом и остальным проблем
>> не будет.
AS> Не вижу совершенно, как tag и tagged может помочь.
AS> Метки как-то влияют на проверку состояний?
AS>  
>> 
>> 
>> Sunday, November 1, 2009, 11:30:44 AM, you wrote:
>> 
>> AS> Приветствую!
>> 
>> AS> Прошу помощи в решении одной задачи. Проблема в следующем.
>> 
>> AS> Eсть OpenBSD 4.6 в качестве роутера + NAT для локальной сети.
>> AS> Чтобы посчитать трафик с помощью pflow, его нужно прикрутить
>> AS> к внутреннему интерфейсу, иначе в статистике будет внешний адрес.
>> AS> pflow работает исключительно с правилами keep state.
>> AS> В то же время, чтобы на внутреннем интерфейсе отправить трафик
>> AS> _к пользователю_ в ту или иную очередь - не должно быть состояния,
>> AS> иначе правило с queue не срабатывает.
>> 
>> AS> Вот пример:
>> 
>> AS> TRANSLATION RULES:
>> AS> nat on vlan2 inet proto tcp from 10.51.109.40/29 to any -> 193.200.84.226
>> AS> nat on vlan2 inet proto udp from 10.51.109.40/29 to any -> 193.200.84.226
>> AS> nat on vlan2 inet proto icmp from 10.51.109.40/29 to any -> 193.200.84.226
>> 
>> AS> FILTER RULES:
>> AS> block drop in all
>> AS> pass in quick on vlan2 proto tcp from any to (vlan2) port = ssh flags S/SA keep state (if-bound)
>> AS> pass out quick on vlan2 all flags S/SA keep state (if-bound)
>> AS> pass in quick on vlan2 all no state
>> AS> * pass in quick on vlan621 inet from 10.51.109.40/29 to any flags
>> AS> S/SA keep state (if-bound, pflow)
>> AS> * pass out quick on vlan621 inet from any to 10.51.109.40/29 no state queue to_Gonta
>> 
>> AS> ALTQ:
>> AS> queue root_em0 on em0 bandwidth 1Gb priority 0 {DEFQ, to_Customers}
>> AS> queue  DEFQ on em0 bandwidth 100Mb hfsc( default )
>> AS> queue  to_Customers on em0 bandwidth 10Mb {to_Akim, to_Gonta}
>> AS> queue   to_Akim on em0 bandwidth 512Kb hfsc( upperlimit 512Kb )
>> AS> queue   to_Gonta on em0 bandwidth 512Kb hfsc( upperlimit 512Kb )
>> 
>> AS> Правила, помеченные звездочкой - будет срабатывать только первое правило.
>> AS> Второе на сработает для ответного трафика никогда, следовательно
>> AS> очередь - не работает. Если же сделать первое правило с no state,
>> AS> то очередь работает, но при этом становится невозможным использование
>> AS> pflow. Если же pflow перенести на внешний интерфейс, то в статистике 
>> AS> не будет внутренних адресов.
>> 
>> AS> Так как быть? Как одновременно использовать pflow, nat и altq? 
>> AS> Заранее спасибо.
>> 
>> AS> -- 
>> AS> MINO-RIPE
>> 
>> 
>> 
>> 
>> -- 
>> Best regards,
>>  irix                            mailto:irix@ukr.net
>> 
>> 
>> -- 
>> To unsubscribe send an e-mail to openbsd+unsubscribe@uaoug.org.ua
>> For retrieval in messages archive http://www.uaoug.org.ua/archive
>> 

AS> -- 
AS> MINO-RIPE




-- 
Best regards,
 irix                            mailto:irix@ukr.net


-- 
To unsubscribe send an e-mail to openbsd+unsubscribe@uaoug.org.ua
For retrieval in messages archive http://www.uaoug.org.ua/archive