Два канала, setfib + направить часть пользователей через setfib 1

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
alexmrrc
рядовой
Сообщения: 23
Зарегистрирован: 2011-08-15 15:27:36

Два канала, setfib + направить часть пользователей через setfib 1

Непрочитанное сообщение alexmrrc » 2023-01-10 20:12:33

Есть два канала от разных провайдеров, каждый на своем сетевом интерфейсе, настроен setfib, оба канала работают:
setfib -F 0 ping ya.ru
setfib -F 1 ping ya.ru

Используется FreeBSD 13.1, ipfw, natd (поднятый на обоих сетевых интерфейсах на разных портах).
Задача выпускать (заставлять работать, используя строго канал setfib 1) часть избранных пользователей из локалок, подключенных к этому шлюзу. Для этого добавляю ip нужных мне пользователей в ipfw table:

Код: Выделить всё

...
# To backup ISP start
        ${fwcmd} table 25 flush
/bin/cat /usr/local/etc/squid/bc_ch.list | while read ip; do
        ${fwcmd} table 25 add $ip
done
# To backup ISP end
...
Непосредственно заворачиваю ip из таблицы во второй канал так:

Код: Выделить всё

...
# NATD Backup ISP forward users
${fwcmd} add 460 divert natd2 ip from table\(25\) to any
${fwcmd} add 470 fwd IP_GW_BACKUP_ISP ip from IP_BACKUP_ISP to any
...
${fwcmd} add divert natd2 ip from any to IP_BACKUP_ISP in via igb3
...
${fwcmd} add pass all from table\(25\) to any keep-state
...
После добавления требуемого ip в таблицу, его запросы вроде как представляются уже внешним IP второго провайдера из setfib 1 судя по тому же myip.ru и т.п., прочим удаленным сервисам, куда производится обращение с этого клиента. Но при этом тот же tracert, запущенный с этого же компа, показывает работу по первому дефолтовому каналу почему-то.
В связи с чем у меня возникают сомнения в корректности указанной схемы использования строго второго канала для занесенной в таблицу группы пользователей.
Усложнение правил ipfw с вариациями использования с setfib пока ясности не добавило, хотелось бы услышать экспертные мнения по реализации задуманного.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

lazhu
сержант
Сообщения: 247
Зарегистрирован: 2013-08-10 14:28:38
Контактная информация:

Два канала, setfib + направить часть пользователей через setfib 1

Непрочитанное сообщение lazhu » 2023-01-11 11:21:23

Где-то между 0 и 460

Код: Выделить всё

add allow icmp from any to any
не наблюдается?
ЗЫ. natd еще не deprecated?

alexmrrc
рядовой
Сообщения: 23
Зарегистрирован: 2011-08-15 15:27:36

Два канала, setfib + направить часть пользователей через setfib 1

Непрочитанное сообщение alexmrrc » 2023-01-11 22:01:25

lazhu писал(а):
2023-01-11 11:21:23
Где-то между 0 и 460
Весь алгоритм сегодня переработан совместными усилиями, донастроены и задействованы setfib-ы на правила ipfw и natd для второго канала, убран fwd, скорректирована таблица fib 1, теперь трафик от занесенных в таблицу ip ходит правильно. Там проблема куда глубже была изначально.
lazhu писал(а):
2023-01-11 11:21:23
ЗЫ. natd еще не deprecated?
Не, не для всех ядерный нат с pf.

lazhu
сержант
Сообщения: 247
Зарегистрирован: 2013-08-10 14:28:38
Контактная информация:

Два канала, setfib + направить часть пользователей через setfib 1

Непрочитанное сообщение lazhu » 2023-01-12 9:10:52

Ядерный нат уже сто лет как в ipfw. Ажно в двух вариантах

alexmrrc
рядовой
Сообщения: 23
Зарегистрирован: 2011-08-15 15:27:36

Два канала, setfib + направить часть пользователей через setfib 1

Непрочитанное сообщение alexmrrc » 2023-01-12 9:16:41

Не суть, придерживаться апробированной парадигмы конфигурированния, пусть и более сложной, тоже дело не последнее.