ipfw nat

[amasis]

Добрый день .
 Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

Спасибо

[stix]

Добрый день .
 Использует ли кто-нибудь ipfw nat ?  Как впечатления ?
Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

Спасибо

а зачем nonat делать в pf?
это ведь исключающее правило
можно ведь просто сделать правила нат для серых сетей?
для бината разве что

ipfw3 вроде модный

[ser970]

Использует ли кто-нибудь ipfw nat ?  Как впечатления ?

шутрее работает. всетаки кернерленд.

Как реализовать с помощью ipfw nat "реальные ip" ?
в pf это выглядело так:
no nat on $IF_OUT from <reai_ip> to any

не понятен смыс правила.
если зверь имеет на компе реал то просто пропускаешь пакеты
если проборос то тут надо чуть исходники поправить - там буфер под переменую мало - гдето на 10-15 правил - поправишь можно буде больше всунуть.

[amasis]

шутрее работает. всетаки кернерленд.

А если сравнивать с pf nat ?

[ser970]

шутрее работает. всетаки кернерленд.

А если сравнивать с pf nat ?

ну как еще ответить ?
повторя. еще раз.
ipfw_nat  быстрее  pf nat 

[blackjack]

я використовую ipfw nat + таблиці.

ipfw_nat  быстрее  pf nat 

тіпа трохи шустріший, якшо вірити шо він мультипроцесорний. Реальних бенчмарків я не бачив ні разу і сам не проводив, крім статті про нат і нетфлоу на наг.ру.

[Elisium]

Гдето на наге уже писали, что на скоростях до пары гигабит ПФ хватает за глаза, а на бОльших скоростях обычно уже нат не используют, выдают реальники.

[stix]

Основная загвоздка в том, что pf по слухам не работает с SMP, т.к. портирован давно из OpenBSD
pf удобен, в этом его огромный плюс

[ser970]

Гдето на наге уже писали, что на скоростях до пары гигабит ПФ хватает за глаза, а на бОльших скоростях обычно уже нат не используют, выдают реальники.

ты думаешь что только скоротсь трафа играет роль? могу поспорить-не справится даже с 100м .кроме тсп (где есть кадр окна) есть еще и куча других протоколов где его нет.
скажем так
100м инфы по тсп  и 100м по удп могут создать нагрузку в несколко порядков отличну.
пф удобен - да но именно не натом - там есть другие функции.
почитайте маны про ipfw_nat посмотрите исходники.


з.ы. если бы в доке вместо pf был бы ipfw_nat  то про удобстово былобы на оборот.
   
 

[stix]

просто удобно pfctl перегружать не дергая основные сессии форварда или по аналогии таблицы filters
а так да...это дело привычки
лучше уметь делать во всем делать и через нетграф и кернел натом

[elite]

в пф очень удобно натить в пул реальных ип )

[ser970]

в пф очень удобно натить в пул реальных ип )

угу а ipfw_nat  нетак просто - но по скорости  и нагрузке на сервак....

[amasis]

а реальные тесты есть у кого-нибудь ? к примеру при трафе в 500мбит
К вопросу о ipfw nat  подтолкнула загрузка в вечернее время  {em0 taskq} - почти 100%
На форуме nag.ru  вычитал что это скорей всего из за pf nat ( он на em0 )
Всевозможные правки sysctl  только немного снижали загрузку .

[VitalVas]

а реальные тесты есть у кого-нибудь ? к примеру при трафе в 500мбит
К вопросу о ipfw nat  подтолкнула загрузка в вечернее время  {em0 taskq} - почти 100%
На форуме nag.ru  вычитал что это скорей всего из за pf nat ( он на em0 )
Всевозможные правки sysctl  только немного снижали загрузку .

а какие у тебя правила на пф?

[amasis]

Код:

set loginterface em0                                                                                                                                                                                       
set limit { states 1000000, frags 5000 }                                                                                                                                                                   
set optimization aggressive    

#Table LocalNet                                                                                                                                                                                            
table <localnet> const {10.0.0.1/20}                                                                                                                                
                                                                                                                                                                
                                                                                                                                                                                                           
#nat inet                                                                                                                                                                                                  
nat on $IF_OUT from <localnet>  to any -> $OUT_IP  

(используйте пожалуста кнопочку "Код")