Выделить определенному клиенту статический IP

[poxy.]

to Rico-X, ответьте плиз на вопросы.

[Rico-X]

Очень сумбурно, отвечу на то, что понял

Код:

${f} add 61 allow ip from "table(0)" to "table(0)"

->
Разрешить гонять трафик между теми, кому разрешен доступ в интернет, трафик не будет учитываться коллектором, так, что если нужен учет локального траффика в статистике правило Вам не подойдет.

Код:

${f} add 60 fwd 127.0.0.1,82 tcp from not "table(0)" to not "table(0)" dst-port 80 in

-> Правило завернет всех кроме тех кому разрешен доступ, кто попытается зайти на ваши адреса, кроме тех кому разрешен доступ, как я понимаю серые к которым привязаны белые при таком паскладе будут в таблице 0 и при попытке доступа к ним из вне форвард не сработает.

Белые выдаются связкой src+dst nat

А нахрена? Не проще смаршрутизировать на сателит белый пул и выдавать сразу белые? Если сателитов несколько между бордером и сателитами подымаем OSPF и радуемся, не пойму зачем этот набор костылей и подпорок.

Запрещающие правила в вашем случае для сетей 10.10.15.0/24 должны быть перед разрешающими, если такие есть, иначе они не отработают.

Дальше не осилил из какого вилана в какие подсети должно ходить? Если не будет - добавите разрешение и все

[poxy.]

Спасибо.

[kuhar]

Не проще смаршрутизировать на сателит белый пул и выдавать сразу белые? Если сателитов несколько между бордером и сателитами подымаем OSPF и радуемся, не пойму зачем этот набор костылей и подпорок.

А можете плизз по подробней расказать как это сделать, а то что-то никак не клеится у меня...
PS Если можно в личку.

[stix]

А нахрена? Не проще смаршрутизировать на сателит белый пул и выдавать сразу белые? Если сателитов несколько между бордером и сателитами подымаем OSPF и радуемся, не пойму зачем этот набор костылей и подпорок.

с честным Ip в один влан?

[kuhar]

А нахрена? Не проще смаршрутизировать на сателит белый пул и выдавать сразу белые? Если сателитов несколько между бордером и сателитами подымаем OSPF и радуемся, не пойму зачем этот набор костылей и подпорок.

с честным Ip в один влан?

ну например я не совсем понял, как сделать, чтобы отдать белый ip полностью клиенту.
Мой сервер работает на ip XXX.XXX.XXX.237 маска 255.255.255.0 и шлюз прова XXX.XXX.XXX.234 (статика от провайдера).
Мне пров дает один ip XXX.XXX.XXX.236, как мне его полностью отдать во владению своему клиенту?
Все работает на одной машинке.

[stix]

и чтобы через твой роутер?
тогда со стороны провайдера нужно делать static route

[Rico-X]

с честным Ip в один влан?

ну например я не совсем понял, как сделать, чтобы отдать белый ip полностью клиенту.
Мой сервер работает на ip XXX.XXX.XXX.237 маска 255.255.255.0 и шлюз прова XXX.XXX.XXX.234 (статика от провайдера).
Мне пров дает один ip XXX.XXX.XXX.236, как мне его полностью отдать во владению своему клиенту?
Все работает на одной машинке.

Вариант простой - по pppoe
Вариант чуть сложней - в отдельный вилан куда воткнут клиент, например
ifconfig_vlan123="inet XXX.XXX.XXX.237 netmask 255.255.255.0 vlan 123 vlandev em0"
тоесть делаем супервилан, на интерфейсе и вилане один и тот же ип.
Затем отдаем свободный ип в вилан
/sbin/route add XXX.XXX.XXX.236 -iface vlan123
У клиента получаем вилан и задаем настройки типа
Ip XXX.XXX.XXX.236
Маска 255.255.255.0 (желательно поменьше, должно работать даже с 255,255,255,255)
шлюз  XXX.XXX.XXX.237

Может и без виланов можно, надо структуру сети видеть и отдать ИП в нужный интерфейс

[kuhar]

с честным Ip в один влан?

ну например я не совсем понял, как сделать, чтобы отдать белый ip полностью клиенту.
Мой сервер работает на ip XXX.XXX.XXX.237 маска 255.255.255.0 и шлюз прова XXX.XXX.XXX.234 (статика от провайдера).
Мне пров дает один ip XXX.XXX.XXX.236, как мне его полностью отдать во владению своему клиенту?
Все работает на одной машинке.

Вариант простой - по pppoe
Вариант чуть сложней - в отдельный вилан куда воткнут клиент, например
ifconfig_vlan123="inet XXX.XXX.XXX.237 netmask 255.255.255.0 vlan 123 vlandev em0"
тоесть делаем супервилан, на интерфейсе и вилане один и тот же ип.
Затем отдаем свободный ип в вилан
/sbin/route add XXX.XXX.XXX.236 -iface vlan123
У клиента получаем вилан и задаем настройки типа
Ip XXX.XXX.XXX.236
Маска 255.255.255.0 (желательно поменьше, должно работать даже с 255,255,255,255)
шлюз  XXX.XXX.XXX.237

Может и без виланов можно, надо структуру сети видеть и отдать ИП в нужный интерфейс

На сколько я понял, это для того чтобы отдать клиенту по статике, а если клиент будет соединятся через pppoe, как это организовать? Чтобы биллинг также шейпил скорость. У меня интерфейсы на сервере re0 - входит провайдер, re1 - выходит шнур на клиентов.
У меня сейчас стандартные настройки биллинга по мануалам.

[Rico-X]

Для pppoe никаких телодвижений делать не надо, задаем в админке пользователю этот реальник, исключаем реальник из правил ната и радуемся.

[kuhar]

Для pppoe никаких телодвижений делать не надо, задаем в админке пользователю этот реальник, исключаем реальник из правил ната и радуемся.

А как его исключить из ната?
Супер влан не нужно делать?

[Rico-X]

Отписал в личку. В случае с pppoe супервилан не нужен.

[kuhar]

В биллинге написал выделенный ip для нужного клиента, по пппое клиент соединяется но инета у него нет.
Тсдамп говорит:

Код:

09:56:41.258478 IP 236.190.224.159.triolan.net.64865 > 21.2.86.109.triolan.net.domain: 46253+ A? www.speedtest.net. (35)
09:56:41.382161 IP 236.190.224.159.triolan.net.3791 > 111.221.74.31.https: Flags [S], seq 4264544421, win 65535, options [mss 1440,nop,nop,sackOK], length 0
09:56:41.382281 IP 236.190.224.159.triolan.net.3792 > 213.199.179.157.https: Flags [S], seq 3760766955, win 65535, options [mss 1440,nop,nop,sackOK], length 0
09:56:41.382467 IP 236.190.224.159.triolan.net.3793 > 149.5.45.206.https: Flags [S], seq 403384598, win 65535, options [mss 1440,nop,nop,sackOK], length 0
09:56:41.631607 IP 236.190.224.159.triolan.net.59464 > 2.2.86.109.triolan.net.domain: 40188+ A? www.facebook.com. (34)
09:56:41.631673 IP 236.190.224.159.triolan.net.59464 > 21.2.86.109.triolan.net.domain: 40188+ A? www.facebook.com. (34)
09:56:41.696092 ARP, Request who-has 236.190.224.159.triolan.net tell 254.190.224.159.triolan.net, length 46
09:56:41.720463 IP 236.190.224.159.triolan.net.54719 > 2.2.86.109.triolan.net.domain: 5692+ A? vk.com. (24)

Самое интересное, что как-то перезагрузил сервер, и на этапе его включения клиент соединился и у него был инет с белым ip, но при повторном переподключении инета у него не стало.