Newsgroup: it.comp.os.linux.sys
Titolo: Load balancing e DNAT...

Da tempo gestisco alcuni firewall con degli script iptables fatti in
casa.
Da un po' meno tempo ho attivato il load balancing:
 
http://lartc.org/howto/lartc.rpdb.multiple-links.html
ma comunque sono anni che lo uso.
Solo che effettivamente	finora l'ho usato per dei servizi oppure per lo
SNAT.
Da qualche tempo mi hanno chiesto su questi firewall il DNAT
(sostanzialmente accedere in ssh e vnc a un server interno), e mi
segnalano problemi a iosa.
Nella sostanza, disconnessioni continue.
Mi sono riletto la documentazione e rifatto mentalmente tutto il
percorso delle catene di iptables, e mi sono dato la risposta che non
dovrebbe cambiare nulla.
Ma si sa che, quando la risposta è dentro di noi, è sbagliata. ;)
[...]
Appunto. Merda.
 
http://linux-ip.net/html/adv-multi-internet.html#adv-multi-internet-inbound
Scusate. Il punto è che le decisioni di routing sono stateless.
Ora lo scrivo 200 volte alla lavagna. ;(
-- 
  L'Italia ripudia la guerra come mezzo di risoluzione
  delle controversie internazionali.		(art. 11 Costituzione)

 
non sono sicurissimo al 100% di quel che vuoi fare.
Hai due diversi punti di uscita verso internet da usare in
load-balancing/failover o, al contrario, hai due shell server gemelli
posti in load_balancing/failover da raggiungere dall'esterno?
In entrambi i casi credo che LVS dovrebbe essere utile per lo scopo.
Non lo conosco bene ma qualcuno sul NG mi suggerì questa guida
introduttiva: 
http://openskill.info/infobox.php?ID=1482
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 disconnessioni continue.
Il problema è che il traffico entra da una parte (uno dei due gw) e
potrebbe essere che esca dalla parte "sbagliata", quindi non dal gw
(quindi ip pubblico) dal quale è entrato. Ergo il ricevente ve si un
pacchetto corretto, solo con sorgente errato e lo scarta.
Soluzioni:
- gestisci correttamente le regole di routing con due tabelle separate
- installi shorewall che con due (reali) righe di configurazione, fa un
load-balancing e tiene conto di tutto al posto tuo!
Michele

Mandi! Max_Adamo
  In chel dì si favelave...
MA> non sono sicurissimo al 100% di quel che vuoi fare.
MA> Hai due diversi punti di uscita verso internet da usare in
MA> load-balancing/failover o, al contrario, hai due shell server gemelli
Un semplice firewall con due linee attaccate, e dei fornitori esterni
che devono accedere (VNC e SSH) a dei server interni.
Bastava abilitare log_martians e me ne sarei accorto subito... uffi...
-- 
  Ubuntu in Zulu significa "Non so usare Debian".
					(cit. CtRiX)

Mandi! Michele Petrazzo
  In chel dì si favelave...
MP> (quindi ip pubblico) dal quale è entrato. Ergo il ricevente ve si un
MP> pacchetto corretto, solo con sorgente errato e lo scarta.
...infatti.
MP> - installi shorewall che con due (reali) righe di configurazione, fa un
MP> load-balancing e tiene conto di tutto al posto tuo!
informazioni su cosa fa shorewall? A me interessa capire, non
installare... ;)))
-- 
  Solo una sana e consapevole libidine
  salva il giovane dagli SCOUT e dall'Azione Cattolica!
						(Zucchero, circa O;-)

 installare... ;)))
shorewall è un wrapper per iptables, conntrack, tc e ip che interpreta
dei files testuali tabellari e genera uno script di firewall che si
prende cura di tutti gli aspetti che ti interessano.
Nel tuo caso con 3 righe in un file di testo shorewall genera tutte le
regole per il marking delle connessioni e genera le regole di routing
corrette per ruotare i pacchetti verso la giusta interfaccia in funzione
del mark assegnato precedentemente.
Ti assicuro però che è molto più facile installare che spiegare.
Ad oggi chiunque ho trovato che ha provato shorewall non è più tornato
indietro, perché fare a mano un lavoro migliore è veramente difficilissimo.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

Mandi! THe_ZiPMaN
  In chel dì si favelave...
TZ> Ti assicuro però che è molto più facile installare che spiegare.
TZ> Ad oggi chiunque ho trovato che ha provato shorewall non è più tornato
TZ> indietro, perché fare a mano un lavoro migliore è veramente difficilissimo.
Sentito nominare ma mai visto.
Lo proverò, grazie.
-- 
  E i professori dell'altroieri stanno affrettandosi a cambiare altare
  hanno indossato le nuove maschere
  e rincominciano a respirare				(F. De Gregori)