Изпечатай

[Ipolit]

Имам 3 ISP-та като всички интернет кабели са свързани с отделни firewall-и.
Компютрите от LAN-a се свързват към интернет през firewall-ите, като критерий кой от къде да минава е към кой отдел е.
Напоследък направих един рутер, който да събира всички интернети и всички компютри от LAN-а да минават през него, та ако падне някоя линия да минава през друга. И тука е въпросът: има ли проблем ако не вържа директно рутера към firewall-ите ами му забода всички кабели в един суич от мрежата - 3-те WAN и 1 LAN, а на компютрите от LAN-a да им сменя гейтуеите, тъй щото да минават през този рутер. Между другото пробвах и работи, ама не знам може ли нещо да сбози.
Не искам да свързвам директно рутера към firewall-ите, щото има доста forward-и към няколко сървъра, които искам да си оставя както са в момента, понеже на тях не им трябва INTERNET, освен ако не е тяхната си линия.

Мерси предварително

[romeo_ninov]

Не би трябвало да има проблем. Само направи един VLAN на суича в който да влизат само тези 4 порта

[Ipolit]

Той суичът е нормален гигабитов пластмасов D-link

[romeo_ninov]

Той суичът е нормален гигабитов пластмасов D-link

Тогава свържи към него само четирите порта, нищо друго

[Ipolit]

Мерси, така ще направя.

[Ipolit]

Може ли да ми обясниш защо така се прави?

[romeo_ninov]

Може ли да ми обясниш защо така се прави?

За да се изолира тази мрежа от вътрешната, иначе някой спокойно може да се закачи и да излиза директно, което си е нарушение на сигурността. А и се губи балансирането и НА

[Ipolit]

Май нещо не сме се разбрали.
Никой никъде не може да се закача, защото всички компютри са линукс и никой няма права да си сменя каквото и да било. Балансиране не се прави, защото около 5 процента от хората ползват ограничен нормален интернет, а останалите се връзват към един ВПН сървър, за да работят и натоварването е точно никакво.  Мене повече ме интересува след като всички кабели са на едно място дали няма някакви броудкасти дето да правят флудове и да прецакват нещо.

[romeo_ninov]

Май нещо не сме се разбрали.
Никой никъде не може да се закача, защото всички компютри са линукс и никой няма права да си сменя каквото и да било. Балансиране не се прави, защото около 5 процента от хората ползват ограничен нормален интернет, а останалите се връзват към един ВПН сървър, за да работят и натоварването е точно никакво.  Мене повече ме интересува след като всички кабели са на едно място дали няма някакви броудкасти дето да правят флудове и да прецакват нещо.

Никога не казвай никога! Както всяка операционна система така и линукс е подвластен на хакване, особено ако стоиш пред машината. Броадкасти винаги има, но надали ще са толкова сериозниче да претоварят нещо. И си помисли пак дали да не изолираш (VLAN или отделен превключвател) мрежата с маршрутизатора и защитните стени.
Между другото имам наблюдения че някои хора слагат отпред маршрутизатора (към ISP) и отзад защитните стени...

[Ipolit]

То това си е ясно за хакването, но най-интересното, което някой може да направи е да си смени IP-то, че squid-a да не го реже или да си сложи прокси в браузъра.

[romeo_ninov]

То това си е ясно за хакването, но най-интересното, което някой може да направи е да си смени IP-то, че squid-a да не го реже или да си сложи прокси в браузъра.

Зависи от средата, зависи каква е крайната задача (не пътя, който си мислиш че ще помогне). АКо представиш проблема си глобално си мисля че може и да се намери по-елегантно решение

[Ipolit]

То елегантното решение е рутера да стане гейтуей на всичко което имаме и WAN картите да се вържат директно към файъролите, ама трябва да се попреправят разни неща като port forwarding към няколко сървъра, които в момента са на файъроулите. Което не е проблем, но ако може да си работи така, що да не си работи.

[laskov]

... или да си сложи прокси в браузъра.

Ха, това е интересна идея! Аз съм направил transparent proxy и пренасочвам към него всичко, което е --dport 80, но това не пречи на клиентите да ползват външно прокси или достъп до web с порт различен от 80 ! Май отиваме към snort.

[romeo_ninov]

То елегантното решение е рутера да стане гейтуей на всичко което имаме и WAN картите да се вържат директно към файъролите, ама трябва да се попреправят разни неща като port forwarding към няколко сървъра, които в момента са на файъроулите. Което не е проблем, но ако може да си работи така, що да не си работи.

Така е, но е хубаво да се замислите за малко преустройство. Да разбирам ли че на машините които са защитни стени има пуснат друг софтуер/услуга?

[Astor]

...ами му забода всички кабели в един суич от мрежата - 3-те WAN и 1 LAN..

, до колкото те разбирам искаш да вържеш и 3-те интернет доставчици в един switch, и от него още един кабел към рутера който си направил?
T.e. така:
                                             ISP1
                                               |
твоята мрежа-----router ----- switch-ISP3
                                               |
                                             ISP2

Ако е така да не се получават конфликти между IP адреси от тези доставчици? Например моят доставчик на интернет раздава публични IP адреси, но ползва за някакви цели в неговата си мрежа и частни адреси. Ако е така и при двама от твоите интернет доставчици да не стане нещо да им омешаш мрежите?