Высокопроизводительный бридж.

By hawk Date 13.10.10 04:56 Edited 13.10.10 05:02

Думаю реализовать следующую схему. От провайдера приходит по оптике две сетки 16 внешних адресов x.x.x.x/28 и специальная локалка x.x.x.x/24, все на свич провайдера, а дальше расходится что куда. При такой схеме трудно:
1. Вести учет трафа.
2. Шейпить каналы.
Что думаю сделать:

   | switch prov |
x.x.x.x/28 (NET) | | x.x.x.x./24 (City LAN)
   | |
   | FreeBSD bridge | -    1Gbit, Ferewall, shaper, Stat
   | |
   | Switch LAN |
   | | |   |
   DMZ   |    | VoIP (1 NET IP)
| |
| FreeBSD GW | -   1 Gbit Фаер, нат и прочее .....
   |
   LAN

Суть в том, что со свича провайдера надо прозрачно пропустить траф, т.е. Гейт не подходит.
Трафик по каналу x.x.x.x./24 (City LAN) + x.x.x.x/28 (NET) бешенный, 100 Мбит интерфейс нагружен под 95%, планирую гигабитные интерфейсы, сетевые карты в PCI-Exp. Сомнение все равно есть, насколько такой Bridge будет производительным. Вообще, может быть более оптимальная схема у кого есть. Аппаратный Bridge смотрел, но там нет шейпера, фаера, вобщем функционал беднее, а проф решения не укусишь по ценам, да и подготовка нужна.

echo "good..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

By LOE (Site/forum admin) Date 13.10.10 13:41

Не понятна постановка задачи.
Нормальные сетевухи (если они не realtek8139) справятся с потоком.
Машинка с несколькими интерфейсами и можно настроить что угодно.

На моем одном шлюзике 2 набортные сетевухи и 4-х портовая интеловская = 6 быстрых физических интерфейсов ) плюс VLAN'ы плюс некоторое бриджевание и тунелирование.
Можно ведь сетевухи в бридж сконфигурить, тогда трафик прозрачно будет ходить, тем не менее, оставляя некоторые рычаги управления потоками.
Хотя все от четкой постановки задачи зависит. Бридж он тоже палка о двух концах )

"No! Try not! Do. Or do not. There is no try." -- Yoda

By hawk Date 13.10.10 13:56 Edited 13.10.10 13:59

Сетевые карты понятное дело Intel только он, они и стоят. Поток данных не просто инет, сетевая нагрузка очень большая порядка 30-40 видео камер (чб и цвет) + в этом же канале интернет подсетка. 100Мб канал не справляется, на порте у провайдера 90% загрузка. Сейчас расширили до 1 Гбайта. Нагрузка круглосуточная. При таком патоке, думаю даже если поставить 1Гбит, просто напросто не справится PCI шина с ее 33 максимум в теории 38 Мбит/с пропускной способностью, чем черт не шутит, думаю лучше заюзывать сетевые в PCI-Exp.
Т.к. белых ИП несколько бридж думаю ставить отдельно для пропускания всего трафа, соответственно на нем статистика и шейпинг внешних адресов, за ним свитч из него некоторые белые ИП будут задействаваны помимо основного шлюза, например на ИП телефонию, и другие нужды, но учет будет на бридже. Остальное в шлюз уже, в нем шейпинг внутренней сети, сквид и прочее.

echo "good..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

By Bercut Date 01.11.10 16:18

чето колхоз "красный лапоть" какой-то получается, побойтесь бога юноша, ктож после вас эту кашу расхлебывать будет :-)

))))
всетаки лучше поставить сиську, а по бедности начальства какой нить хуавей, вот на нем и реализовать все что надо да не забыть прикрутить netflow и других мягких французких булок...

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

By hawk Date 01.11.10 16:40

Мы не ищем легких путей :-)

. ng_netflow я и во Фре прикручу, а что уж после меня - так трава не расти, надо как то в ивановке людей к аутсорцингу приучать :-)

))))).

echo "good..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

By Bercut Date 03.11.10 12:54

не верным путем идете товарищ
всетаки, как сказали древние чуваки, кесарю кесарево...
сеть рулит на сетевом железе, а сервисы на серверах....
а иначе не продуктивный подход и колхоз-развалыч.

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

By hawk Date 03.11.10 13:11 Edited 03.11.10 13:25

Bercut так мы и живем в колхозе :-)

Подскажи плиз железяку с Гигабитными интерфейсами (загрузка на 100Мбит порту была 80-90% показания прова, заменили на 1Гб) круглосуточная нехилая загрузка, и чтобы фаер, шейпер и прочие приблуды? Ну и цена вопроса ежели можно.

echo "good..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

By Bercut Date 03.11.10 16:08

из каких... из сисек или из нахуйавеев ?
ежели из сисек то с гигабитными и более универсалная 2911
http://www.cisco.com/en/US/products/ps10540/index.html
денег стоит 2 килобакса... иос (сиськовская ОСь) можно и стырить - чтобы фич побольше было хотя для описанного и бейса бесплатного хватит вроде...
а на счет хуавеев это посмотреть надо, давно в мусоре не копался :-)

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

By hawk Date 03.11.10 17:21 Edited 03.11.10 17:28

Посмотрел характеристики, блин не могу я вкурить прелесть решения на Циске за 2000 баков, впн нафиг не нужен, динамическая маршрутизация тоже, про syslog -это они круто заявили что он ест ь :-)

, ну и про статистику не видел. Вобщем портов много на 1Гбит - это конечно круто, но не надо. Производительность думаю соответствует заявленной, но по гибкости настроек, расширению функционала и прочее. Тут конечно кто как думает, типа надо функционала, покупай еще 10 Цисек и будет норма, но в данном конкретном случае, думаю колхоз более применим. Даже ежели на тесты был бы девайс, реализовал бы на фре и на циске со сравнением производительности, трудозатратами, экономической целесообразности и возможностям. Было бы интересно. Времени бы не пожалел и сил :-)

)))))))) Народ пожертвуйте на опыт а? :-)

))))))))))))

echo "good..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'

By Bercut Date 08.11.10 05:37

По хорошему колхоз не применим ни когда.
По функционалу как я уже упомянул все решается не закупкой 10 новых сисек, а закупкой нового иоса, который можно спереть...
По производительности, что заявлено то и есть.
По трудозатратам, опять же циска лучче потому как, все понятно что и как делать, без гимора.
А вот коллектор для нетфловов, безусловно надо делать на никсах и прикручивать к нему морду вебскую, а также snmp приделать с вебмордой, и будет счастие и хепинес...
Вот только радиус расширенный цисковский еще на никсах не реализовали вроде, а может и сделал кто для побаловаться...

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...