Биллинговая система Nodeny

Главная категория => Nodeny 50 => Тема начата: amasis от 02 Августа 2010, 09:57:09


Название: ipfw nat
Отправлено: amasis от 02 Августа 2010, 09:57:09
Добрый день .
 Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

Спасибо

Название: Re: ipfw nat
Отправлено: stix от 02 Августа 2010, 10:19:54
Цитата: amasis от 02 Августа 2010, 09:57:09
Добрый день .
 Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

Спасибо
а зачем nonat делать в pf?
это ведь исключающее правило
можно ведь просто сделать правила нат для серых сетей?
для бината разве что

ipfw3 вроде модный

Название: Re: ipfw nat
Отправлено: ser970 от 02 Августа 2010, 11:28:36
Цитата: amasis от 02 Августа 2010, 09:57:09
Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
шутрее работает. всетаки кернерленд.

Цитата: amasis от 02 Августа 2010, 09:57:09
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

не понятен смыс правила.
если зверь имеет на компе реал то просто пропускаешь пакеты
если проборос то тут надо чуть исходники поправить - там буфер под переменую мало - гдето на 10-15 правил - поправишь можно буде больше всунуть.

Название: Re: ipfw nat
Отправлено: amasis от 02 Августа 2010, 15:06:48
Цитата: ser970 от 02 Августа 2010, 11:28:36

шутрее работает. всетаки кернерленд.


А если сравнивать с pf nat ?

Название: Re: ipfw nat
Отправлено: ser970 от 02 Августа 2010, 17:08:30
Цитата: amasis от 02 Августа 2010, 15:06:48
Цитата: ser970 от 02 Августа 2010, 11:28:36

шутрее работает. всетаки кернерленд.


А если сравнивать с pf nat ?

ну как еще ответить ?
повторя. еще раз.
ipfw_nat  быстрее  pf nat 

Название: Re: ipfw nat
Отправлено: blackjack от 02 Августа 2010, 18:08:35
я використовую ipfw nat + таблиці.
Цитировать
ipfw_nat  быстрее  pf nat 
тіпа трохи шустріший, якшо вірити шо він мультипроцесорний. Реальних бенчмарків я не бачив ні разу і сам не проводив, крім статті про нат і нетфлоу на наг.ру.

Название: Re: ipfw nat
Отправлено: Elisium от 02 Августа 2010, 21:00:05
Гдето на наге уже писали, что на скоростях до пары гигабит ПФ хватает за глаза, а на бОльших скоростях обычно уже нат не используют, выдают реальники.

Название: Re: ipfw nat
Отправлено: stix от 02 Августа 2010, 21:22:25
Основная загвоздка в том, что pf по слухам не работает с SMP, т.к. портирован давно из OpenBSD
pf удобен, в этом его огромный плюс

Название: Re: ipfw nat
Отправлено: ser970 от 03 Августа 2010, 08:32:32
Цитата: Elisium от 02 Августа 2010, 21:00:05
Гдето на наге уже писали, что на скоростях до пары гигабит ПФ хватает за глаза, а на бОльших скоростях обычно уже нат не используют, выдают реальники.
ты думаешь что только скоротсь трафа играет роль? могу поспорить-не справится даже с 100м .кроме тсп (где есть кадр окна) есть еще и куча других протоколов где его нет.
скажем так
100м инфы по тсп  и 100м по удп могут создать нагрузку в несколко порядков отличну.
пф удобен - да но именно не натом - там есть другие функции.
почитайте маны про ipfw_nat посмотрите исходники.


з.ы. если бы в доке вместо pf был бы ipfw_nat  то про удобстово былобы на оборот.
   
 

Название: Re: ipfw nat
Отправлено: stix от 03 Августа 2010, 08:36:26
просто удобно pfctl перегружать не дергая основные сессии форварда или по аналогии таблицы filters
а так да...это дело привычки
лучше уметь делать во всем делать и через нетграф и кернел натом

Название: Re: ipfw nat
Отправлено: elite от 03 Августа 2010, 09:05:58
в пф очень удобно натить в пул реальных ип :))

Название: Re: ipfw nat
Отправлено: ser970 от 03 Августа 2010, 09:21:26
Цитата: elite от 03 Августа 2010, 09:05:58
в пф очень удобно натить в пул реальных ип :))
угу а ipfw_nat  нетак просто - но по скорости  и нагрузке на сервак....

Название: Re: ipfw nat
Отправлено: amasis от 03 Августа 2010, 11:56:05
а реальные тесты есть у кого-нибудь ? к примеру при трафе в 500мбит
К вопросу о ipfw nat  подтолкнула загрузка в вечернее время  {em0 taskq} - почти 100%
На форуме nag.ru  вычитал что это скорей всего из за pf nat ( он на em0 )
Всевозможные правки sysctl  только немного снижали загрузку .

Название: Re: ipfw nat
Отправлено: VitalVas от 03 Августа 2010, 12:35:43
Цитата: amasis от 03 Августа 2010, 11:56:05
а реальные тесты есть у кого-нибудь ? к примеру при трафе в 500мбит
К вопросу о ipfw nat  подтолкнула загрузка в вечернее время  {em0 taskq} - почти 100%
На форуме nag.ru  вычитал что это скорей всего из за pf nat ( он на em0 )
Всевозможные правки sysctl  только немного снижали загрузку .
а какие у тебя правила на пф?

Название: Re: ipfw nat
Отправлено: amasis от 03 Августа 2010, 13:37:46
Код:
set loginterface em0                                                                                                                                                                                       
set limit { states 1000000, frags 5000 }                                                                                                                                                                   
set optimization aggressive    

#Table LocalNet                                                                                                                                                                                            
table <localnet> const {10.0.0.1/20}                                                                                                                                
                                                                                                                                                                
                                                                                                                                                                                                           
#nat inet                                                                                                                                                                                                  
nat on $IF_OUT from <localnet>  to any -> $OUT_IP  

(используйте пожалуста кнопочку "Код")

Название: Re: ipfw nat
Отправлено: Elisium от 03 Августа 2010, 20:12:44
Цитата: ser970 от 03 Августа 2010, 08:32:32
ты думаешь что только скоротсь трафа играет роль? могу поспорить-не справится даже с 100м .

Что там с чем не справится то ??
"Пока Вы думаете, мы - делаем" (с) :)
Натим примерно 1100-1500 МБт инета (в обе стороны) + БГП там же. Загрузка проца ДО 20% в самый пик.
Кппсов пролетает до 200, в среднем 160.
Само собой, полно торрентщиков итд.

п.с. проц - 4хядерный ксеон 3ГГц ))
Ядра загружены В ОСНОВНОМ пропорционально пробегающему через три сетевухи трафику, ибо каждая прибита к своему ядру.

Расширим канал до 2х гиг - будет натить и три гига в обе стороны, никуда не денется.
И никакого желания переходить на непонятные "преимущества" ipfw nat  совсем не тянет.

п.п.с. И да, натим юзеров в пул адресов.

И еще напоследок: на наге уже писали, какой проц нужен, что бы отнатить гиг трафа без проблем. Сервак чисто под нат. И проц нужен совсем НЕ супернавороченый. Поиск рулит, ибо ссылки у меня не осталось.

Название: Re: ipfw nat
Отправлено: tipa_pasha от 03 Августа 2010, 22:29:03
Цитата: Elisium от 03 Августа 2010, 20:12:44
Цитата: ser970 от 03 Августа 2010, 08:32:32
ты думаешь что только скоротсь трафа играет роль? могу поспорить-не справится даже с 100м .

Что там с чем не справится то ??
"Пока Вы думаете, мы - делаем" (с) :)
Натим примерно 1100-1500 МБт инета (в обе стороны) + БГП там же. Загрузка проца ДО 20% в самый пик.
Кппсов пролетает до 200, в среднем 160.
Само собой, полно торрентщиков итд.

п.с. проц - 4хядерный ксеон 3ГГц ))
Ядра загружены В ОСНОВНОМ пропорционально пробегающему через три сетевухи трафику, ибо каждая прибита к своему ядру.

Расширим канал до 2х гиг - будет натить и три гига в обе стороны, никуда не денется.
И никакого желания переходить на непонятные "преимущества" ipfw nat  совсем не тянет.

п.п.с. И да, натим юзеров в пул адресов.

И еще напоследок: на наге уже писали, какой проц нужен, что бы отнатить гиг трафа без проблем. Сервак чисто под нат. И проц нужен совсем НЕ супернавороченый. Поиск рулит, ибо ссылки у меня не осталось.

Прошу прощения, ну зачем же людей путать? По той же ссылке с НАГ-а: http://www.nag.ru/articles/article/17045/shape-nat-netflow-na-bolshih-setyah-chast-1.html (http://www.nag.ru/articles/article/17045/shape-nat-netflow-na-bolshih-setyah-chast-1.html) русским по-белому написано, что больше 700 М или 100 kpps тазик, навороченный тазик через себя не пропустит, будет или в проц упираться, или рости потери на интерфейсах. И личный опыт подтверждает это. Так что или у Вас потери в сети от 15% или данные не совсем адекватные...

Название: Re: ipfw nat
Отправлено: ser970 от 04 Августа 2010, 12:02:19
Цитата: Elisium от 03 Августа 2010, 20:12:44
Цитата: ser970 от 03 Августа 2010, 08:32:32
ты думаешь что только скоротсь трафа играет роль? могу поспорить-не справится даже с 100м .

Что там с чем не справится то ??

читай дальше что я писал в томже топике или хватает только на два предложения = буфер маленький?

Название: Re: ipfw nat
Отправлено: Elisium от 05 Августа 2010, 21:22:39
Эхх .. молодежж ...
Данные я беру НЕ с плевка в потолок, а с РЕАЛЬНО РАБОТАЮЩЕГО в данный момент шлюза.
Шлюз у меня - это ШЭЙПЕР ипфв + НАТ. БГП вынес вот недавно на отдельную машинку. Шоб було.
Куда уж адекватнее данные то брать ??

Для ser970:
Ваши теории и "мегабольшой буфер"  мне както по барабану.
Я пишу то, что работает у меня В ДАННЫЙ МОМЕНТ, а не Ваши теоретические подвыперды.
Какие статы с сервака привести, что бы Вы изобразили удивление гдето у себя на лице ??
Если Вы не можете понять фразу "В ОБЕ СТОРОНЫ", а не фулл дуплекс, это в 3й класс школы.


Для tipa_pasha:
Если Вы вдруг не заметили, то я всеми силами стараюсь не писать на форумах, если НЕ УВЕРЕН В ТОМ, что пишу.
А если все таки НЕ уверен, то пишу "имхо". Или "ктото писал ..." Тоесть НЕ Я.
Вы на показанную в ТОЙ СТАТЬЕ аппаратную платформу смотрели ??
Так вот, для ТОЙ (непонятно какой) платформы данные плюс/минус верные.
Для новых процов статья уже  слегонца устарела.
Код:
hw.model: Intel(R) Xeon(R) CPU           E5520  @ 2.27GHz


Вот прямо сейчас, когда пишу пост:
п.с. это уже давно не ЧНН.

Код:
# pfctl -s info
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 2 days 14:18:26           Debug: Urgent

State Table                          Total             Rate
  current entries                    76778
  searches                     39807005097       177467.4/s
  inserts                        245928262         1096.4/s
  removals                       245851484         1096.1/s
Counters
  match                        22835855373       101806.7/s


# netstat -w 1
            input        (Total)           output
   packets  errs      bytes    packets  errs      bytes colls
    105232     0   81213513     104034     0   80811921     0
    111203     0   85868846     109127     0   85327484     0
    110678     0   85069840     108635     0   84405841     0
    109861     0   84864521     108095     0   84502312     0

# systat -ifstat
                    /0   /1   /2   /3   /4   /5   /6   /7   /8   /9   /10
     Load Average   |||||||

      Interface           Traffic               Peak                Total
            lo0  in      0.140 KB/s          0.255 KB/s           31.144 MB
                 out     0.140 KB/s          0.255 KB/s           31.144 MB

            em1  in     58.090 MB/s         58.090 MB/s            9.106 TB
                 out    26.377 MB/s         28.859 MB/s            3.577 TB

            em0  in     26.971 MB/s         29.375 MB/s            3.658 TB
                 out    58.328 MB/s         58.328 MB/s            9.114 TB


# top -S
last pid: 48166;  load averages:  0.99,  1.30,  1.44              up 2+14:25:56  22:24:07
371 processes: 14 running, 334 sleeping, 23 waiting
CPU:  1.2% user,  0.0% nice, 19.5% system,  0.1% interrupt, 79.2% idle
Mem: 216M Active, 357M Inact, 744M Wired, 888K Cache, 418M Buf, 2609M Free
Swap: 2048M Total, 2048M Free

  PID USERNAME  THR PRI NICE   SIZE    RES STATE  C   TIME   WCPU COMMAND
   18 root        1 171 ki31     0K    16K CPU0   0  37.2H 93.85% idle: cpu0
   13 root        1 171 ki31     0K    16K CPU5   5  54.9H 92.24% idle: cpu5
   15 root        1 171 ki31     0K    16K CPU3   3  57.3H 90.38% idle: cpu3
   11 root        1 171 ki31     0K    16K RUN    7  54.2H 82.47% idle: cpu7
   14 root        1 171 ki31     0K    16K RUN    4  50.3H 79.69% idle: cpu4
   17 root        1 171 ki31     0K    16K CPU1   1  49.5H 79.69% idle: cpu1
   12 root        1 171 ki31     0K    16K RUN    6  52.7H 79.10% idle: cpu6
   16 root        1 171 ki31     0K    16K RUN    2  48.4H 74.71% idle: cpu2
   49 root        1  43    -     0K    16K CPU2   2 645:32 26.42% em0_rx_kthread_1
  256 root        1  43    -     0K    16K WAIT   3 644:56 26.37% em0_rx_kthread_2
   48 root        1  43    -     0K    16K RUN    6 646:12 25.98% em0_rx_kthread_0
   53 root        1  43    -     0K    16K WAIT   1 631:18 23.10% em1_rx_kthread_1
   52 root        1  43    -     0K    16K WAIT   1 631:57 22.51% em1_rx_kthread_0
  259 root        1  43    -     0K    16K CPU4   4 630:41 21.53% em1_rx_kthread_2

Название: Re: ipfw nat
Отправлено: stix от 05 Августа 2010, 22:03:18
крези тюнеры детектед  ;D

Название: Re: ipfw nat
Отправлено: elite от 06 Августа 2010, 14:03:03
дефочки не ссорьтесь!

Название: ipfw nat
Отправлено: randomizr от 29 Августа 2010, 02:21:44
Подскажите как можно в ipfw nat удалить все нат_правила одной командой

Название: Re: ipfw nat
Отправлено: blackjack от 29 Августа 2010, 07:59:29
Код:
cat nat.txt 
table 1 add 1.1.1.1
table 1 list
nat 1 config ip 1.1.1.1
nat 2 config ip 2.2.2.2
nat 1 show config
nat 2 show config
nat 1 delete
nat 2 delete

відправляєш все це в утилітку ipfw

Код:
ipfw /home/admin/nat.txt

слід зауважити що шлях до файлу має бути абсолютним

Название: Re: ipfw nat
Отправлено: hayarm от 18 Сентября 2010, 17:01:29
Цитата: amasis от 02 Августа 2010, 09:57:09
Добрый день .
 Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

Спасибо


выжу уже забили вопрос!   ну как же все таки  реализовать с помощью ipfw nat "реальные ip" ?

Название: Re: ipfw nat
Отправлено: Elisium от 29 Сентября 2010, 21:18:31
Немного апну тему, в основном для себя (памятка  ;)).
Да и все таки тема про НАТ.
Там я выше писал, что несильно жирный сервак должен натить нехило трафа, а ссылку с нага я забыл.
Так вот - нашел )) Вот ОНА (http://forum.nag.ru/forum/index.php?s=66e7fd2a6ba0d326a3bba32ccd0e8ddd&showtopic=44336&st=180).
Основная соль вот:
Цитировать
jab
В результате E8400 разогнанный до 3.4Ghz тянет в пике 800Mbps in + 800Mbps out при 200k states и 300k searches per second. И конечно net.isr.direct=0.
Начнет загибаться - сменю на Core i7.


Powered by SMF 1.1.20 | SMF © 2006-2009, Simple Machines