Re: packet shaper
Jens Benecke schrieb: Unser Firewall läuft momentan mit iptables inkl. transparentem Proxy Huahua - das böse Wort: transparenter Proxy. Ich will gar nicht auf den technischen Aspekt raus, das wäre für mich schon Gegenargument genug. Dazu findest Du sicherlich ausreichend Pro/Contra im Netz. Für mich ist es einfach eine Stilfrage. Ich finde es unangemessen die Nutzer zu gängeln oder gar im Unklaren zu lassen. Wenn die Betriebs- vorgaben einen Proxy erfordern, dann nutze ich auch die Funktion des Redirects, allerdings nur um die Nutzer auf einen extra Intranet vhost zu leiten, der als ErrorDocument die index.html ausliefert, die erklärt, warum man einen Proxy benutzen muss, wie man dies einstellt, usw. Guter DAU Mechanismus: die Leute wollen einfach in's Web und bekommen erst mal die Betriebsbedingungen und Anleitungen auf den Schirm. Unser momentaner Gateway (P-Pro 200 - der Vorgänger war ein 486DX-33 :) hat IIRC momentan drei Netzwerkkarten. Er filtert mit iptables und macht Accounting (via net-acct und ein paar Perl-Skripten und einer Hehe, ich kenne Leute, die meinen ein Gateway sollte möglichst schwachbrüstig sein, um potentiellen Hackern kein zu leistungsfähiges System zu bieten... Ich habe da leider keine greifbaren Werte, aber jetzt noch ein paar witzige Ideen, wie den Nutzern ein Webinterface an die Hand geben, mit dem Sie Firewall-Regeln für ihre feste IP am Gateway definieren können. Und fleissig conntrack verwenden, mtrg oder ähnliche CPU-Killer und es wird sicher eng mit einem P200. Die Methode eine alte Kiste für's Gate zu verwenden ist sehr verbreitet. Ich unterstütze das, wenn der Gedanke dahinter steht, dass ein bereits benutztes System, dass so schon einige Monate sauber lief mit einem geringeren Ausfallrisiko behaftet ist, wie eine neues frisch aus dem Karton. Ansonsten versuche ich das gleiche zu verwenden, wie für Web- oder andere Dienste auch. Vereinfacht die Austauschbarkeit und heutzutage kann in einigen Szenarios auch ein Gateway eine anständige CPU-Power benötigen. über SSH getunnelten MySQL-Verbindung zum Hauptserver). Momentan geht da pro Monat ca 200-300GB Traffic drüber. Ordentlicher Wert. Bei einer 2Mbit im Grunde schon Vollsättigung, wenn sich das in den üblichen Gausschen Schwankungen über den Tag verteilt. Hansenet freut sich sicher schon ;-) Server und das Gateway. An der anderen Seite des Gateways hängt eine Cisco (2500?), und daran hängt der SDSL-Splitter zur TUHH. Wenn die Cisco eine eigene IP hat und sich von einem Client, der eine IP im gleichen Netz hat, nicht direkt (sondern nur über das Gate) ansprechen lässt, sollte alles im grünen Bereich sein. Na ja, dann könnt Ihr ja Eurer RZ verblüffen, dass man mittlerweile für den Router einer 2Mbit keine -zig tausend Taler ausgeben muss, sondern meistens ein kleines harmloses Kästchen kostenlos gestellt bekommt. Sieht man trotzdem noch häufig, teure Ciscos als reines Leitungsabschlussgerät mit einem belanglosen statischen Routing - Hauptsache Markenlabel. Ich will den Leuten, die meinen es zu brauchen, eine Möglichkeit geben, ihren Traffic-Wahn auszuleben - und die, die es nicht interessiert, weil sie sowieso nur 10MB im Monat für drei EMails und etwas rumgesurfe brauchen, nicht weiter stören. Absolut eine gute Idee, primär mal nur private IPs per DHCP zu verteilen. Da können die User nicht viel falsch machen. Dabei wird am Gate MASQUERADE in Richtung Hansenet und für bestimmte Dienste oder Ziel-IP im Uninetz SNAT über die Uni-Linie gemacht. Nutzer, die sich besser auskennen und die Vorteile einer festen IP haben möchten, könnten sich diese dann gezielt holen. Sei's manuell oder über ein selbstgebasteltes Webinterface. -- [EMAIL PROTECTED] -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Hans-Georg Bork schrieb: iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 \ -j DNAT 192.168.10.1 Das ist schon syntaktisch grottenflasch - semantisch sowieso... Habe ich mich beim abtippen aus dem Lehrbuch vertippt? wenn ja, wo? Syntaktisch: iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 22 \ -j DNAT --to-destination 192.168.10.1 Semantisch: DNAT macht keinen Sinn. Er hat eine offizielle externe IP und bestimmter Traffic soll diese nutzen. Ergo SNAT in POSTROUTING: iptables -A POSTROUTING -o eth1 -p tcp -m tcp --dport 22 \ -j SNAT --to-source 123.123.123.123 (Das ist aber nur ein theoretisches Syntax-Beispiel und korrespondiert nicht mit dem von mir vorgeschlagenen Konzept) -- [EMAIL PROTECTED] -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Jens Benecke schrieb: Gucken in /usr/share/doc/iproute/ip-cref.* unter dem Stichwort .. Ich habe rudimentäre Ahnung von Routing (will sagen, Dijksrta Co Wichtiger wird es sein, mit iptables zurecht zu kommen. Das umfangreichste Howto dazu ist meines Wissens: http://freshmeat.net/projects/iptables-tutorial/ Zu ip gibt es neben .../share/doc/iproute noch www.lartc.org. ip rule benötigst Du nur für die offiziellen IPs der Uni, die durchgereicht werden müssen. Dabei geht beides: die Verteilung des Traffics komplett mit ip rule steuern oder das meiste mit iptables machen bzw. dort markieren und dann ip rule nur das Notwendigste machen lassen. SSH und anderer interaktiver Kram usw. soll weiterhin über die TUHH laufen, weil die so gute Latency-Zeiten und schön schnelle pings hat und diese Dienste wenig bis kaum Traffic erzeugen. Ich würde die Logik genau umgekehrt ansetzen: der gesamte Traffic geht standardmässig über die Hansenet-DSL und nur explizit ausgewählter Verkehr geht über die Uni-SDSL. Das erscheint mir vom Konzept flexibler und kontrollierbarer. Dann können die Leute treiben, was sie wollen und es werden nur die Dienste über die Uni geführt, deren Traffic und Inhalt den vorgegebenen Bedingungen entspricht. Auf den Uni-Uplink wird nur geroutet, für die Hansenet-DSL macht man SNAT in der POSTROUTING Table. Die Alternative ist, daß wir einfach 2 Gateways zur Verfügung stellen und die Leute ihren Default-Gateway selbst aussuchen lassen. Das sowieso. Und zwar am besten, indem Du Gateway-Konzeptregel No. 1 folgst, die lautet Netzwerkkarten, Netzwerkkarten, Netzwerkkarten. Ich kann immer nur mit dem Kopf schütteln, wenn ein Gateway gerade mal eine Karte für Intranet und eine für Extern hat. Immer besser noch eine Karte ungenutzt in petto haben. So kann man ohne den laufenden Betrieb zu unterbrechen erweitern, umbauen, noch eine DMZ aufmachen, etc. Ausserdem sollte jeder Uplink eine eigene Netzwerkkarte haben und Router/Modem sollten direkt über eine separate Line dran hängen. D.h. Kreuzkabel oder separater Mini-Hub. Bitte auf keinen Fall so einen Murks, beide Router und das Gateway oder gar noch das ganze Intranet an einen gemeinsamen Hub zu hängen. Zumal das sowieso ulkigen Spass mit icmp redirects und anderen Effekten bringen würde. Ich würde den Leuten aber auf jeden Fall auch eine Wahlmöglichkeit geben: und zwar gegen die Uni-Linie. Wer Dienste oder Ziel-IPs (z.B. Uni-intern), die standardmässig über den Uni-Uplink laufen würden, über Hansenet nach draussen führen möchte, sollte das auswählen können. Und zwar nicht über verschiedene Gateways, sondern über ein separates logisches (nicht physikalisches) Netz mit RFC 1918-IPs. Der Benutzer kann so durch die Wahl der eigenen IP festlegen, wie die gesonderten Dienste im einzelnen geroutet werden. Es ist für die meisten Leute einfacher einen Dienst an eine bestimmte Quell-IP zu binden, als diensteorientiert ein bestimmtes Ziel-Gateway anzusteuern ;-) -- [EMAIL PROTECTED] -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
hgb at users.sourceforge.net schrieb: iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 \ -j DNAT 192.168.10.1 Das ist schon syntaktisch grottenflasch - semantisch sowieso... Evtl. habe ich aber auch kompletten Bloedsinn geschrieben ;-) tumm tee tamm... -- [EMAIL PROTECTED] -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Moin, On Mon, 2002-07-15 at 21:27, Jens Benecke wrote: [...] Irgendwo in /etc/init.d lauert dann ein script mit u.a. diesem: iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT 192.168.10.1 Das DNAT auf 192.168.10.1 kannst Du weglassen, wenn TUHH Dich so durchlaesst ... iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT 192.168.20.1 und so weiter mit allen anderen ports, bzw. --multiport ... Das Paket kommt auf 192.168.0.1:80 rein (ich bleibe bei den Beispieladressen), da ja einer aus dem netz versucht ueber 192.168.0.1 zu verbinden. Dieses Anfrage-Paket wird umadressiert auf 192.168.20.1, so dass es quasi auf eth0:2 nochmal ankommt, nur das dieses nicht passiert, sondern es einfach (durchs routing) auf eth2 (hanse) ausgegeben wird. Und eth2 wird maskiert: iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE Damit sollte dann jedes Paket, das auf eth0 (Wohnheim) auf port 80 ankommt, durch einen weiteren Durchlauf auf eth2 (hanse) ausgegeben werden, wobei es dann maskiert wird. [...] Ja, so hatte ich mir das prinzipiell auch vorgestellt. Das Verbinden der beiden Netze ist mir aber noch nicht wirklich klar. Im Prinzip müssen wir das 134.28.72.0/23 Netz (das ist das Wohnheim) für die Hansenet-Ports (und nur für die) hinter dem Hansenet-Port maskieren, für die restlichen Verbindungen nicht. Aber danke für deine Tipps. :) Da nich' fuer. Evtl. ist das ja immernoch Bloedsinn ;-) Hat jemand noch 'ne andere Idee? -- hgb -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
On Mon, 2002-07-15 at 23:20, Rainer Ellinger wrote: hgb at users.sourceforge.net schrieb: iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 \ -j DNAT 192.168.10.1 Das ist schon syntaktisch grottenflasch - semantisch sowieso... Habe ich mich beim abtippen aus dem Lehrbuch vertippt? wenn ja, wo? Evtl. habe ich aber auch kompletten Bloedsinn geschrieben ;-) tumm tee tamm... Kein Kommentar ist auch ein Kommentar ;-) -- hgb -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Torsten Puls schrieb: ich brauch einen packet shaper fuer linux. programm zur bandbreiten messung und beschneidung. Der Standard für 2.4 Kernel ist, wenn QoS aktiviert ist, das Kommando tc aus dem Paket iproute. Bei der fulminanten Doku zu diesem Thema und Kommando ist es allerdings besser, das Thema vorher schon zu beherrschen ;- Also brauchst Du etwas Ausdauer und ein gutes Händchen für Google... -- [EMAIL PROTECTED] -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
On Sat, Jul 13, 2002 at 09:42:08AM +0200, Rainer Ellinger wrote: Torsten Puls schrieb: ich brauch einen packet shaper fuer linux. programm zur bandbreiten messung und beschneidung. Der Standard für 2.4 Kernel ist, wenn QoS aktiviert ist, das Kommando tc aus dem Paket iproute. Bei der fulminanten Doku zu diesem Thema und Kommando ist es allerdings besser, das Thema vorher schon zu beherrschen ;- Also brauchst Du etwas Ausdauer und ein gutes Händchen für Google... Hallo, ich habe ein ähnliches Problem. Ich möchte Verbindungen zu bestimmten Ziel-Ports (80, 81, 443, 412, usw.) über eine route laufen lassen, den Rest über eine andere. Kriege ich das mit iproute Co hin oder wo muss ich gucken? -- mfg, Jens Benecke /// http://www.linuxfaq.de, http://www.linux.ms This mail is an attachment? Read http://www.jensbenecke.de/misc/outlook.html http://www.hitchhikers.de - Die größte kostenlose Mitfahrzentrale im Internet Microsoft may provide updates that will be automatically downloaded onto your computer. These updates may disable your ability to copy and/or play content and use other software on your computer. -- http://bsdvault.net/article.php?sid=527mode=order=0 msg12611/pgp0.pgp Description: PGP signature
RE: packet shaper
Hallo, ich sage nur: apt-get install rinetd, http://www.boutell.com/rinetd/ Mit diesem Programm, welches wirklich super einfach zu konfigurieren ist, kann man eingehende TCP-Verbindungen an jeden beliebige IP-Adresse weiterleiten, mache ich mit SMTP hier so. Gruß Sebastian -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Hallo Thorsten, * Torsten Puls [EMAIL PROTECTED] [020711 13:06]: ich brauch einen packet shaper fuer linux. programm zur bandbreiten messung und beschneidung. was gibt es da? home:/# apt-cache search shaper ... shaper - Traffic Shaper for Linux shaperd - A user-mode traffic shaper for tcp-ip networks. ... Gruß uli -- 'The box said, 'Requires Windows 95 or better', so i installed Linux - TKK 5 -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: packet shaper
Hi ich verwende eine bereits im Linuxkernel (2.4) vorhandene Komponente, den Traffic Shaper. Dieser wird 1: als Modul kompiliert, 2: geladen modprobe shaper 3: man definiert ein virtuelles Interface, welches mit dem zu bremsenden verknüpft wird shapecfg attach shaper0 eth0(eth0 extern) 4: dann definiert man die Geschwindigkeit shapecfg speed shaper0 1 5: und erweckt das Interface zum Leben ifconfig shaper0 router netmask 255.255.250.0 up 6: jetzt muß man nur noch dafür sorgen, daß das Interface überhaupt benutzt wird route del default route add default gw IP des GW dev shaper0 Damit wird der komplette Traffic über den Shaper geleitet. Ansonsten steht hier viel: http://www.tldp.org/HOWTO/Bandwidth-Limiting-HOWTO/ Gruss Jochen hallo ich brauch einen packet shaper fuer linux. programm zur bandbreiten messung und beschneidung. was gibt es da? mfg torsten -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl) -- GMX - Die Kommunikationsplattform im Internet. http://www.gmx.net -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
