Хабрахабр / Комментарии к посту «Отказоустойчивый узел передачи данных» в блоге «Телекомы»

24.06.2010 08:32:34 domen

domen — Thu, 24 Jun 2010 08:32:34 GMT

ну ну все ждем

03.02.2010 09:01:38 miver

miver — Wed, 03 Feb 2010 09:01:38 GMT

скорее всего так и есть )

03.02.2010 08:59:32 parta

parta — Wed, 03 Feb 2010 08:59:32 GMT

ну просто не нашлось двух абонентов одновременно пожелавших замутить пптп впн на один сервер, к примеру :)

03.02.2010 08:57:59 miver

miver — Wed, 03 Feb 2010 08:57:59 GMT

хм, я никогда сам не ковырял этот вопрос.
просто знаю, что от пользователей тогда не было жалоб на работу gre.

03.02.2010 08:53:15 parta

parta — Wed, 03 Feb 2010 08:53:15 GMT

ойли? прямо таке несколько туннелей с одним dstip? соль проблемы в том что pf nat во freebsd не умеет (не умел) разделять gre туннели по Key и ставить в оба конца не нулевые значения.

в openbsd, да, pf nat давно уже как gre passthrough. во freebsd до 7ой ветки включительно нет. в 8ке вроде проскакивал порт свежего pf. поэтому возможно оно уже.

03.02.2010 08:50:11 miver

miver — Wed, 03 Feb 2010 08:50:11 GMT

когда я юзал pfnat, года полтора назад, gre через него работал.
а ftp да, с этим проблемы.

03.02.2010 05:00:49 flashvoid

flashvoid — Wed, 03 Feb 2010 05:00:49 GMT

Про много шейперов как раз сейчас и думаю… только балансировку задумал на bgp. Кошек для etherchannel у меня нетю (

03.02.2010 01:56:22 parta

parta — Wed, 03 Feb 2010 01:56:22 GMT

используя pf nat как объяснять абонентам почему gre не работает? про ftp так и быть промолчим :)

я сам очень сторонник и любитель pf, но что есть, то есть. в 8ку вроде портировали свежи pf, так что возможно там уже нет проблем с gre. :)

у вас ipfw тут только для того чтобы загонять траффик в dummynet. :( в рассылках пробегал патч для управления dummynet'ом напрямую из pf:
lists.freebsd.org/pipermail/freebsd-pf/2007-October/003849.html
people.freebsd.org/~remko/patches/dummynet_pf.tar.gz

насчет судьбы его мне мало известно, но судя по всему он до сих пор не принят как-то :( однако, использования сендвича фиреволов тоже не решение проблемы. в данном случае на мой взгляд самый лучший вариант использовать ng_nat вместо pf. а чтобы оно протекало, да, надо будет слегка потанцевать :)

02.02.2010 21:47:42 miver

miver — Tue, 02 Feb 2010 21:47:42 GMT

pfnat лучшее решение из всех, что я пробовал на фре
а dummynet лучшее решение для шейпинга
так что не вижу ничего ужасного в юзании двух фаеров.

ipnat — течет память и вешается ядро
ng_nat — течет память

вот ipfw kernel nat не пробовал, это да. для меня проще оказалось вообще отказаться от ната и раздать всем паблики

02.02.2010 21:44:55 miver

miver — Tue, 02 Feb 2010 21:44:55 GMT

действительно стыдно должно быть!
коллега )

02.02.2010 21:44:09 miver

miver — Tue, 02 Feb 2010 21:44:09 GMT

вам можно посоветовать внедрить балансировку шейперов.
т.е. выделить шейпинг на две отдельные машины и балансировать через них трафик.
способов — куча. у меня балансировка сделана на втором уровне с помощью etherchannel, src-ip.

02.02.2010 21:37:51 miver

miver — Tue, 02 Feb 2010 21:37:51 GMT

завтра на свежую голову обязательно аргументированно все распишу, коллега )

02.02.2010 21:32:33 DenJS

DenJS — Tue, 02 Feb 2010 21:32:33 GMT

Коллега, пишите в комментариях что именно и как :)

P.S. Есть еще масса решений этого вопроса, как гласит истина и она права кстати «спроси мнение 3-х провайдеров и получи 4 возможных решения» :)

02.02.2010 21:20:38 miver

miver — Tue, 02 Feb 2010 21:20:38 GMT

отличная статья
я бы конечно кое-что изменил =)

02.02.2010 01:55:17 umraf

umraf — Tue, 02 Feb 2010 01:55:17 GMT

Семантика ACL фильтрации DES3526.

Создаётся профиль ACL в котором определяется какие байты будут сравниваться в Ethernet кадре. Определяется отступом (offset) от начала Ethernet кадра. Возможно указать любой набор байт в диапазоне от 0 до 79.

Создаётся правило из профиля и конкретные значения байтов, набор которых указан в профиле, а так же порты коммутатора, к которым применяется данное правило ACL

02.02.2010 01:50:40 umraf

umraf — Tue, 02 Feb 2010 01:50:40 GMT

Dlink DES-3526 имеет достаточно вменяемые возможности по фильтрации. К администратору эти ACL повёрнуты «другим лицом», но работают вполне прилично.

01.02.2010 20:18:14 iru

iru — Mon, 01 Feb 2010 20:18:14 GMT

сп своего пока хватает

01.02.2010 17:35:34 parta

parta — Mon, 01 Feb 2010 17:35:34 GMT

да, вы правы Ж) я всегда много не договариваю, так, только по верхушкам скачу :) могу и договорить, но тогда это потянет на отдельную статью, а ее писать, проверять орфографию и прочей ерундой заниматься у меня особо желания нет :( извиняйте если я вот так коряво :)

01.02.2010 17:29:29 parta

parta — Mon, 01 Feb 2010 17:29:29 GMT

если речь про гигОбайт или гигАбайт, то не придерайтесь. если речь о том что я путаю биты с байтами, то покажите где. вроде не путаю, может очепятался :(

насчет информации, ну блин, я же не статью пишу :) я так, в камментах ерундой страдаю :) вовсе не значит что то что я говорю это догматичная истина. :(

01.02.2010 16:55:35 Fedia

Fedia — Mon, 01 Feb 2010 16:55:35 GMT

сленга многовато. Похоже автор (ты) пытаешься скрыть что-то :)

Либо неумение писать правильно (гигабайт), либо «плаванье» в теме :)

ЗЫ Это в твоем стиле написанное замечание :)

01.02.2010 16:50:04 Fedia

Fedia — Mon, 01 Feb 2010 16:50:04 GMT

Ты прям как порох :)

Я ведь в Жуниперах — сам знаешь, поэтому в вопросе ключевым словом было эти :)

НАТ сам по себе не очень жруч. Особенно если записи не слишком часто меняются. Память да, могут откушать. Но поиск соотв. правила в конфиге и применение — не сумасшедшая нагрузка. ip input съедает почти 100% по НАТу только при червивом заражении: там МАССА сессий полуоткрытых создается. И циске (как и любой железке) становится трудно

01.02.2010 15:42:01 parta

parta — Mon, 01 Feb 2010 15:42:01 GMT

хм. да, cisco сама заявляет что мол падением производительности при nat'е можно принебречь. мол так оно мало. ( www.cisco.com/en/US/tech/tk648/tk361/technologies_q_and_a_item09186a00800e523b.shtml#qa7 )

однако, мой опыт говорит о весьма заметном снижении производительности при nat'е. :(

01.02.2010 15:32:25 parta

parta — Mon, 01 Feb 2010 15:32:25 GMT

> например, почему на каждом 4350 именно по отдельному аплинку?

вычитал в комментах что таке не по отдельному. ну да ладно. :(

01.02.2010 15:24:19 parta

parta — Mon, 01 Feb 2010 15:24:19 GMT

> Получается, что Джуниперы эти — совсем дохлые? Странно: НАТ не более нагруженная операция, чем маршрутизация. Во всяком случае у меня циски валились от НАТа только когда сеть цепляла червя.

ойли? а что тогда 7200 + npe-G2 при нате ласты заворачивает? да чо уж нат, она и при обычном форвардинге ласты завернет гораздо раньше чем до гигобита доживет.

странно вообще от тебя слышать про нат такое. Оо

вообще маршрутизация выполняется на cef, что есть на любом cisco router'е или почти на любом. netflow export выполняется почти там же, поэтому утилизация при netflow export'е почти не меняется. а вот операция nat'а выполняется софтварно, т.е. на процессоре. или просто так спицально для nat'ов продают ace модуль за кучу денег для 6500-7600 решений?

данные «жуниперы» относятся к линейке J-series, что есть вобщем-то офисные маршрутизаторы, точнее фиреволы. по-умолчанию с junos 9.Х они работают во flow-based режиме и превращаются в пакетный маршрутизатор путем добавления нескольких магических комманд и переводом в packet-based режим. они целиком софтовые, т.е. и менеджмент устройства и форвардинг выполняется на _одном_ процессоре. да и если посмотреть во внутирь будет виден обычный писюк с целероном 2.5ГГц на борту :) однако, если нет желание маршрутизировать более гигобита трафика, то J-series очень вкусное решение. но, конечно, семплить с него нетфлоу или резать полисерами трафик на несколько тысяч абонентов при этом странная затея, примерно такая же как и натить при помощи cisco 7200 + npe-G2 :)

01.02.2010 15:12:20 parta

parta — Mon, 01 Feb 2010 15:12:20 GMT

ахахаха Ж)) на софтой J-series снимаете netflow sampling? :D они ведь по-другому не умеют. да и железку ушатываете не понять чем ) и да, как на это все смотрят метрологи, когда вы билленгуете по скажем каждому 100ому пакету? есть сертификат и бумажки? :)

01.02.2010 15:05:43 parta

parta — Mon, 01 Feb 2010 15:05:43 GMT

ам… вообще «шейпить или полисить?» тонкий такой вопрос с кучей там всяких обстоятельств :( но есть о чем подумать, да. :)

01.02.2010 14:56:46 parta

parta — Mon, 01 Feb 2010 14:56:46 GMT

потому что с одной стороны кто-то там плачется что с производительностью плохо, а с другой стороны никого не смущает гонять трафик через два фиревола и ожидать при этом чудес. :)

я понимаю что в pf altq'ой не порежешь как думминетом по маске пер ойпи таблицу из префиксов парой строчками в конфиге, но раз был сделан выбор на ipfw + dummynet, то почему нельзя было использовать тогда уж ng_nat, которые уже наверно как вечность стабилен и готов к использованию (да-да, иногда что-нибудь ломают в нем, но если не жить на блейд-эдж технологий, то все будет успешно работать). во freebsd кстате есть тьма ядерных натов, большая часть из которых умеет работать с ipfw :) помимо ng_nat сюда можно отнести и ipnat от анахронизма в виде ipfilter. к тому же, до недавненго времени во freebsd pf nat не умел gre через себя пускать, а с ftp он так и не дружит особо. держит ftp-proxy или как его на лупбаке?

кстате, сам по себе pf и его nat, и его шейпер весьма и весьма шустры. возможно шустрее и ipfw. тут какбэ я не очень хочу разжигать холивары между любителями ipfw и pf. но вот как-то так, да.

а главная унылость схемы заключается в концепции резервирования. например, почему на каждом 4350 именно по отдельному аплинку? что, при необходимости проапгрейдить на одном из них junos будете опускать целиком весь аплинк? чем это все аргументировано? отстутвием пары килобаксов на память для 4350 чтобы уместить пару таблиц full-view в него? т.е. какбэ получается при выходе из строя всего лишь одного из 4350 мы теряем и маршрутизатор и второй аплинк. :( имхо не очень хорошо.

далее, ваша схема и приведенные конфиги противоречат друг другу, что из них правильно? если схема, то получается совсем все печально. зачем вам фуллвью, если выбор маршрута все равно выбирается на основании наличия дефолтного префикса от писюковых натошейперов? т.е. фактически сравнения всей фуллвью по атрибутам бгп и выбора наилучших маршрутов между двумя таблица от двух провайдеров не происходит. зачем тогда это все нужно?

мне кажется надо чуть лучше все таки готовиться и писать такие статьи, ну или хотя бы понимать о чем идет речь.

пс: и да, поллинг не есть хорошо. на хорошие сетевые карты опять же не хватило денег или не хватило терпения докрутить гайки в sysctl?
ппс: все эти писироутиры — это все как-то не айс :) cisco isg — вот это айс :)

01.02.2010 14:35:15 DenJS

DenJS — Mon, 01 Feb 2010 14:35:15 GMT

Рассказывайте свою концепцию и как предлагаете :) А почему вам не понравилось то что файрвола два?

01.02.2010 14:24:27 parta

parta — Mon, 01 Feb 2010 14:24:27 GMT

унылая статья, унылая концепция границы и ядра спд :( таких затейников-домушников полроисси. и да, два фиревола — это пять. вобщем дальше я не осилил прочитать. :(

впрочем ладно, кто во что горазд, тот так и строит. :(

бай зэ вей, мне вот очень интересно, в каком месте вы тут производите учет проданных абонентам услуг?

01.02.2010 14:02:03 DenJS

DenJS — Mon, 01 Feb 2010 14:02:03 GMT

пиринг не хотите поднять? :)

01.02.2010 14:01:13 DenJS

DenJS — Mon, 01 Feb 2010 14:01:13 GMT

кстати, а вы пиринг поднять не хотите?

01.02.2010 13:32:41 DenJS

DenJS — Mon, 01 Feb 2010 13:32:41 GMT

стыдно говорить, но MS Visio (

01.02.2010 12:52:22 pcmaniac

pcmaniac — Mon, 01 Feb 2010 12:52:22 GMT

За что я люблю хабр, так это за то, что к статье, в которой я не нашёл и десятка знакомых слов, уже 44 комментария с дельными советами автору! Писец… ЧСВ втоптано в плинтус))

01.02.2010 12:23:02 iru

iru — Mon, 01 Feb 2010 12:23:02 GMT

согласен, кстати а в чем такие красивые картинки рисуешь?

01.02.2010 11:48:38 DenJS

DenJS — Mon, 01 Feb 2010 11:48:38 GMT

и что?:) эта информация не является коммерческой тайной :)

01.02.2010 09:41:44 iru

iru — Mon, 01 Feb 2010 09:41:44 GMT

server_name wkt_router;
charset windows-1251;
access_log /dev/null;
rewrite ^(.*) blocked.wktnet.ru/index.htm permanent;

вот тут спалился…

01.02.2010 09:13:48 pablo

pablo — Mon, 01 Feb 2010 09:13:48 GMT

Не обязательно перечислять все сети в network, если у вас софт выше чем 12.3(11)T.
Можно воспользоватся командой ip ospf ID area Area_ID, в контексте интерфейса.

Я пробовал здесь — techoover.blogspot.com/2008/05/vpn-ospf-over-gre-ipsec.html

01.02.2010 08:58:48 DenJS

DenJS — Mon, 01 Feb 2010 08:58:48 GMT

Конкуренты с унтолово, где мы спалились? )

01.02.2010 08:32:12 iru

iru — Mon, 01 Feb 2010 08:32:12 GMT

wkt спалился

01.02.2010 07:49:44 sky_lord

sky_lord — Mon, 01 Feb 2010 07:49:44 GMT

А чем чревато? :-) ИМХО, это просто инстинктивный срах из дремучих глубин подсознания. :-) Я вначале тоже боялся, а потом — нормально… :-)