Linux за българи: Форуми

Имам 3 ISP-та като всички интернет кабели са свързани с отделни firewall-и.
Компютрите от LAN-a се свързват към интернет през firewall-ите, като критерий кой от къде да минава е към кой отдел е.
Напоследък направих един рутер, който да събира всички интернети и всички компютри от LAN-а да минават през него, та ако падне някоя линия да минава през друга. И тука е въпросът: има ли проблем ако не вържа директно рутера към firewall-ите ами му забода всички кабели в един суич от мрежата - 3-те WAN и 1 LAN, а на компютрите от LAN-a да им сменя гейтуеите, тъй щото да минават през този рутер. Между другото пробвах и работи, ама не знам може ли нещо да сбози.
Не искам да свързвам директно рутера към firewall-ите, щото има доста forward-и към няколко сървъра, които искам да си оставя както са в момента, понеже на тях не им трябва INTERNET, освен ако не е тяхната си линия.

Мерси предварително

Не би трябвало да има проблем. Само направи един VLAN на суича в който да влизат само тези 4 порта

Той суичът е нормален гигабитов пластмасов D-link

Той суичът е нормален гигабитов пластмасов D-link

Тогава свържи към него само четирите порта, нищо друго

Мерси, така ще направя.

Може ли да ми обясниш защо така се прави?

Може ли да ми обясниш защо така се прави?

За да се изолира тази мрежа от вътрешната, иначе някой спокойно може да се закачи и да излиза директно, което си е нарушение на сигурността. А и се губи балансирането и НА

Май нещо не сме се разбрали.
Никой никъде не може да се закача, защото всички компютри са линукс и никой няма права да си сменя каквото и да било. Балансиране не се прави, защото около 5 процента от хората ползват ограничен нормален интернет, а останалите се връзват към един ВПН сървър, за да работят и натоварването е точно никакво.  Мене повече ме интересува след като всички кабели са на едно място дали няма някакви броудкасти дето да правят флудове и да прецакват нещо.

Май нещо не сме се разбрали.
Никой никъде не може да се закача, защото всички компютри са линукс и никой няма права да си сменя каквото и да било. Балансиране не се прави, защото около 5 процента от хората ползват ограничен нормален интернет, а останалите се връзват към един ВПН сървър, за да работят и натоварването е точно никакво.  Мене повече ме интересува след като всички кабели са на едно място дали няма някакви броудкасти дето да правят флудове и да прецакват нещо.

Никога не казвай никога! Както всяка операционна система така и линукс е подвластен на хакване, особено ако стоиш пред машината. Броадкасти винаги има, но надали ще са толкова сериозниче да претоварят нещо. И си помисли пак дали да не изолираш (VLAN или отделен превключвател) мрежата с маршрутизатора и защитните стени.
Между другото имам наблюдения че някои хора слагат отпред маршрутизатора (към ISP) и отзад защитните стени...

То това си е ясно за хакването, но най-интересното, което някой може да направи е да си смени IP-то, че squid-a да не го реже или да си сложи прокси в браузъра.

То това си е ясно за хакването, но най-интересното, което някой може да направи е да си смени IP-то, че squid-a да не го реже или да си сложи прокси в браузъра.

Зависи от средата, зависи каква е крайната задача (не пътя, който си мислиш че ще помогне). АКо представиш проблема си глобално си мисля че може и да се намери по-елегантно решение

То елегантното решение е рутера да стане гейтуей на всичко което имаме и WAN картите да се вържат директно към файъролите, ама трябва да се попреправят разни неща като port forwarding към няколко сървъра, които в момента са на файъроулите. Което не е проблем, но ако може да си работи така, що да не си работи.

... или да си сложи прокси в браузъра.

Ха, това е интересна идея! Аз съм направил transparent proxy и пренасочвам към него всичко, което е --dport 80, но това не пречи на клиентите да ползват външно прокси или достъп до web с порт различен от 80 ! Май отиваме към snort.

То елегантното решение е рутера да стане гейтуей на всичко което имаме и WAN картите да се вържат директно към файъролите, ама трябва да се попреправят разни неща като port forwarding към няколко сървъра, които в момента са на файъроулите. Което не е проблем, но ако може да си работи така, що да не си работи.

Така е, но е хубаво да се замислите за малко преустройство. Да разбирам ли че на машините които са защитни стени има пуснат друг софтуер/услуга?

...ами му забода всички кабели в един суич от мрежата - 3-те WAN и 1 LAN..

, до колкото те разбирам искаш да вържеш и 3-те интернет доставчици в един switch, и от него още един кабел към рутера който си направил?
T.e. така:
                                             ISP1
                                               |
твоята мрежа-----router ----- switch-ISP3
                                               |
                                             ISP2

Ако е така да не се получават конфликти между IP адреси от тези доставчици? Например моят доставчик на интернет раздава публични IP адреси, но ползва за някакви цели в неговата си мрежа и частни адреси. Ако е така и при двама от твоите интернет доставчици да не стане нещо да им омешаш мрежите?

Аз пък друго се замислих ти ако ги "ръгнеш" така трите ISP-та в суича DHCP-тата няма ли да се забъркат много лошо? Щото все пак ти обединяваш направо мрежите и ще имат проблеми и другите клиенти.

Аз пък друго се замислих ти ако ги "ръгнеш" така трите ISP-та в суича DHCP-тата няма ли да се забъркат много лошо? Щото все пак ти обединяваш направо мрежите и ще имат проблеми и другите клиенти.

Интересната идея е да се ръгнат в три WAN порта на маршрутизатор, тогава няма проблем
А оригинално преди превключвателя има защитна стена на всяка WAN връзка (ако съм разбрал правилно)

Представлява горе долу следното

            ------------- Firewall1 -- ISP1
            |   
LAN --  s w i t c h  ---------   Firewall2 -- ISP2
           | | | |   |
           router   ------- Firewall3 -- ISP3

Един вид на рутера всички жици са набутани в LAN-а, като gateway-и са му firewall-ите, но не е вързан директно към тях.
На компютрите от LAN-а, пък рутерът е gateway.
И не съм го направил с виртуални WAN интерфейси, щото ако не става така да мога да си ги навържа директно във firewall-ите

Представлява горе долу следното

            ------------- Firewall1 -- ISP1
            |   
LAN --  s w i t c h  ---------   Firewall2 -- ISP2
           | | | |   |
           router   ------- Firewall3 -- ISP3

Един вид на рутера всички жици са набутани в LAN-а, като gateway-и са му firewall-ите, но не е вързан директно към тях.
На компютрите от LAN-а, пък рутерът е gateway.
И не съм го направил с виртуални WAN интерфейси, щото ако не става така да мога да си ги навържа директно във firewall-ите

Замисли се дали да не реаранжираш така нещата:

                                  |--------------------ISP1
LAN ---- firewall ----- router ------ ISP2
                |                  |--------------------ISP3
                |
              DMZ

Е то за така е направено, просто питам дали не го бърка да си върви както е сега. От два дни съм го пуснал и не е осрало нищо.

Е то за така е направено, просто питам дали не го бърка да си върви както е сега. От два дни съм го пуснал и не е осрало нищо.

Хм, според мен така, както си го "нарисувал" по-горе си е проблем, защото имаш външния и вътрешен интерфейс включени в един превключвател....

Ами аз затуй питам, щото и на мене не ми харесва.

Ами аз затуй питам, щото и на мене не ми харесва.

Добе де, нали ти казах този превключвател или да му настроиш VLAN или да не включваш нищо друго в него освен 3-те защитни стени и входа на маршрутизатора!!!

уф, ами нали туй е въпросът ми - ако направя така ще пренаписвам форуордите.
Всички форуорди към DMZ-то трябва да отидат към рутера и от там към DMZ-то. Целият въпрос беше, че искам да избегна това.

уф, ами нали туй е въпросът ми - ако направя така ще пренаписвам форуордите.
Всички форуорди към DMZ-то трябва да отидат към рутера и от там към DMZ-то. Целият въпрос беше, че искам да избегна това.

Ми както искаш, не го приемай лично, но мързела никога не е водил до добро. И какви са тези пренасочвания. Само не ми казвай че имаш сървър в локалната мрежа, който трябва да експозва услуга в интернет

Заloop-пи се на 14-тия ден. Почна да фаща DHCP от някъде на майната си. Кеф. Начи не тряба да се  прави тъй.

Заloop-пи се на 14-тия ден. Почна да фаща DHCP от някъде на майната си. Кеф. Начи не тряба да се  прави тъй.

И сега има ли желание у теб за промяна на архитектурата?

Никакво.
Ама ще я променям.