[mdk-re] masquerading

[mdk-re] masquerading

[Igor Solovyov]

Hi All!

Кто-нибудь может объяснить, как ipchains опознает поступивший пакет,
требующий демаскарадинга и как помечает замаскараженный пакет?
Например, уходит пакет с приватного адреса в интернет, при маскараде,
в нем меняется приватный адрес на адрес интерфейса, смотрящего наружу.
Это понятно. Непонятно дальше. В ответ на ушедший пакет, из и-нета
приходит пакет, который для попадания на приватный адрес, должен
быть демаскаражен. У него в качестве source стоит адрес моего внешнего
интерфейса. Как ipchains опознает, что его надо демаскарадить?
И на какой из приватных адресов его демаскарадить требуется?
Ведь сюда же может прийти и пакет, не требующий демаскарада.

Я вот решил и-нет-трафик посчитать средствами ipchains.
Трафик приватных сетей, сосчитать не сложно прямо на приватных интерфейсах,
ведь приходящие на них из и-нета пакеты уже демаскаражены, а уходящие еще
не замаскаражены, т.е. в этих пакетах один адрес приватный, а другой
внешний (в/из и-нет/а). Таким образом не сложно отделить приватный
трафик от интернетовского. Так я и делаю. И все бы было нормально,
но у меня есть и и-нет-трафик самого рутера. Его тоже надо считать.
А поскольку, пакеты в/из приватную/-ой сеть/-и проходят через внешний
интерфейс еще/уже с неприватным адресом, то мне для подсчета трафика самого
рутера нужно их как-то отсеять. Вот это я и не пойму как сделать.
В результате подсчитанный трафик самого рутера увеличен на весь и-нет-трафик
приватных сетей.

Возможно ли средствами ipchains организовать такой отсев пакетов?

--
Best regards!
Igor Solovyov
Zlatoust, Russia

Re: [mdk-re] masquerading

[Maxim Savrilov]

Igor Solovyov wrote:

> Hi All!
>
> Кто-нибудь может объяснить, как ipchains опознает поступивший пакет,
> требующий демаскарадинга и как помечает замаскараженный пакет?
> Например, уходит пакет с приватного адреса в интернет, при маскараде,
> в нем меняется приватный адрес на адрес интерфейса, смотрящего наружу.
> Это понятно. Непонятно дальше. В ответ на ушедший пакет, из и-нета
> приходит пакет, который для попадания на приватный адрес, должен
> быть демаскаражен. У него в качестве source стоит адрес моего внешнего
> интерфейса. Как ipchains опознает, что его надо демаскарадить?
> И на какой из приватных адресов его демаскарадить требуется?
> Ведь сюда же может прийти и пакет, не требующий демаскарада.
>
> Я вот решил и-нет-трафик посчитать средствами ipchains.
> Трафик приватных сетей, сосчитать не сложно прямо на приватных интерфейсах,
> ведь приходящие на них из и-нета пакеты уже демаскаражены, а уходящие еще
> не замаскаражены, т.е. в этих пакетах один адрес приватный, а другой
> внешний (в/из и-нет/а). Таким образом не сложно отделить приватный
> трафик от интернетовского. Так я и делаю. И все бы было нормально,
> но у меня есть и и-нет-трафик самого рутера. Его тоже надо считать.
> А поскольку, пакеты в/из приватную/-ой сеть/-и проходят через внешний
> интерфейс еще/уже с неприватным адресом, то мне для подсчета трафика самого
> рутера нужно их как-то отсеять. Вот это я и не пойму как сделать.
> В результате подсчитанный трафик самого рутера увеличен на весь и-нет-трафик
> приватных сетей.
>
> Возможно ли средствами ipchains организовать такой отсев пакетов?

да, это описано в ipchains-howto
посмотри, как обрабатываются приходящие пакеты, там целая блок-схема есть
если коротко, то в твоем случае input->demasquerading->output
то-есть считать на приватном интерфейсе трафик, приходящий не из приватной
сетки
плюс считать общий трафик на input
потом из того, что на input вычитать сумму трафика на output, и получишь то,
что скачал сервер
дело немного осложняется при использовании proxy,  но это не принципиально
все просто ;)

>
>

--
...а если воспользоваться гороховыми ускорителями...
Maxim Savrilov  http://www.novocybersk.ru/
--

Re: [mdk-re] masquerading

[Igor Solovyov]

Hi !
On Wed, 17 Jan 2001 10:13:13 +0600 Maxim Savrilov <Maxim.Savrilov@oberon.novocybersk.ru> wrote:

MS> да, это описано в ipchains-howto
MS> посмотри, как обрабатываются приходящие пакеты, там целая блок-схема есть
MS> если коротко, то в твоем случае input->demasquerading->output

Вот именно, что там именно так коротко!
Как определить, что пришел пакет, требующий демаскарада?
Там про это ни слова нет!

MS> то-есть считать на приватном интерфейсе трафик, приходящий не из приватной
MS> сетки
MS> плюс считать общий трафик на input
MS> потом из того, что на input вычитать сумму трафика на output, и получишь то,
MS> что скачал сервер
MS> дело немного осложняется при использовании proxy,  но это не принципиально
MS> все просто ;)


Так я так и делаю! Я же не спрашивал как мне трафик сосчитать. 
Я спрашивал: "Как определить, что пришел пакет, требующий демаскарада?"

--
Best regards!
Igor Solovyov
Zlatoust, Russia

Re: [mdk-re] masquerading

[Maxim Savrilov]

Igor Solovyov wrote:

>
> MS> то-есть считать на приватном интерфейсе трафик, приходящий не из приватной
> MS> сетки
> MS> плюс считать общий трафик на input
> MS> потом из того, что на input вычитать сумму трафика на output, и получишь то,
> MS> что скачал сервер
> MS> дело немного осложняется при использовании proxy,  но это не принципиально
> MS> все просто ;)
>
> Так я так и делаю! Я же не спрашивал как мне трафик сосчитать.
> Я спрашивал: "Как определить, что пришел пакет, требующий демаскарада?"

Встречный вопрос - а зачем вам определять пакеты, которые требуют демаскарада, вместо того, чтобы
считать пакеты, уже прошедшие через него? Какие задачи стоят?

--
Безродному Чебурашке - позор! позор! позор!
Тунеядца Карлсона - долой! долой! долой!
Maxim Savrilov  http://www.novocybersk.ru/
--

Re: [mdk-re] masquerading

[Igor Solovyov]

Hi !
On Thu, 18 Jan 2001 09:55:59 +0600 Maxim Savrilov <Maxim.Savrilov@oberon.novocybersk.ru> wrote:

MS> Встречный вопрос - а зачем вам определять пакеты, которые требуют демаскарада, вместо того, чтобы
MS> считать пакеты, уже прошедшие через него? Какие задачи стоят?

Дело в том, что маскарадящиеся(демаскарадящиеся) пакеты проходят и через внешний интерфейс.
А следовательно, увеличивают счетчик байтов на нем. А поскольку сосчитать их как уходящие
(входящие) наружу(снаружи) можно только до маскарада(после демаскарада) и только на приватном
интерфейсе (а на внешнем они уже(еще) не имеют в заголовке приватного адреса), то в результате,
на внешнем интерфейсе счетчик пакетов(байтов) собирает и трафик самого рутера и трафик
приватных сетей, т.е. равен их сумме. И для того, что бы корректно сосчитать собственный
трафик рутера, нужно их оттуда отнимать. Чего не делает программа (bandmin), отображающая 
трафик в HTML-страничку. А поскольку я не программист, то не могу ее поправить на этот предмет.
Но если бы средствами ipchains можно бы было отличить маскарадные пакеты на внешнем
интерфейсе от немаскарадных, то я бы смог их отсеять и тогда бы получил правильный трафик
самого рутера. А пока вручную складываю трафики приватных сетей и отнимаю их от того,
что сосчитан на внешнем интерфейсе. :-(
Есть еще вариант - научится программированию, но это надолго .....   :-))

--
Best regards!
Igor Solovyov
Zlatoust, Russia

Re: [mdk-re] masquerading

[Maxim Savrilov]

Igor Solovyov wrote:

> Hi !
> On Thu, 18 Jan 2001 09:55:59 +0600 Maxim Savrilov <Maxim.Savrilov@oberon.novocybersk.ru> wrote:
>
> MS> Встречный вопрос - а зачем вам определять пакеты, которые требуют демаскарада, вместо того, чтобы
> MS> считать пакеты, уже прошедшие через него? Какие задачи стоят?
>
> Дело в том, что маскарадящиеся(демаскарадящиеся) пакеты проходят и через внешний интерфейс.
> А следовательно, увеличивают счетчик байтов на нем. А поскольку сосчитать их как уходящие
> (входящие) наружу(снаружи) можно только до маскарада(после демаскарада) и только на приватном
> интерфейсе (а на внешнем они уже(еще) не имеют в заголовке приватного адреса), то в результате,
> на внешнем интерфейсе счетчик пакетов(байтов) собирает и трафик самого рутера и трафик
> приватных сетей, т.е. равен их сумме. И для того, что бы корректно сосчитать собственный
> трафик рутера, нужно их оттуда отнимать. Чего не делает программа (bandmin), отображающая
> трафик в HTML-страничку. А поскольку я не программист, то не могу ее поправить на этот предмет.
> Но если бы средствами ipchains можно бы было отличить маскарадные пакеты на внешнем
> интерфейсе от немаскарадных, то я бы смог их отсеять и тогда бы получил правильный трафик
> самого рутера. А пока вручную складываю трафики приватных сетей и отнимаю их от того,
> что сосчитан на внешнем интерфейсе. :-(
> Есть еще вариант - научится программированию, но это надолго .....   :-))

Perl или PHP на выбор (у php по-моему документация получше)
после этого все проблему решаемы
ipchains -L -nvx -Z>file.log
в СВОЕЙ программе просчитываете трафик, пришедший на внешний интерфейс и сумму на внутренних.
потом из первого вычитаете второе и получаете все, что вам надо (собсно я это уже писал, но я не знал
тогда, что у вас с программированием туговато ;)
все это в cron и наслаждаетесь жизнью
может и муторно поначалу, зато какие перспективы!!!

главное, правила верно составить

--
Гонки на выживание: "Формула 911" (c)
Maxim Savrilov  http://www.novocybersk.ru/
--

Re: [mdk-re] masquerading

[Igor Solovyov]

Hi !
On Fri, 19 Jan 2001 12:42:08 +0600 Maxim Savrilov <Maxim.Savrilov@oberon.novocybersk.ru> wrote:
MS> > Есть еще вариант - научится программированию, но это надолго .....   :-))
MS> 
MS> Perl или PHP на выбор (у php по-моему документация получше)
MS> после этого все проблему решаемы
MS> ipchains -L -nvx -Z>file.log
MS> в СВОЕЙ программе просчитываете трафик, пришедший на внешний интерфейс и сумму на внутренних.
MS> потом из первого вычитаете второе и получаете все, что вам надо (собсно я это уже писал, но я не знал
MS> тогда, что у вас с программированием туговато ;)
MS> все это в cron и наслаждаетесь жизнью
MS> может и муторно поначалу, зато какие перспективы!!!

Похоже никуда мне не деться. :-)


--
Best regards!
Igor Solovyov
Zlatoust, Russia