[Sysadmins] nat and shaper

[Sysadmins] nat and shaper

[Anton Gorlov]

Доброго дня.
Кто-нибудь реализовывал на 1 сервере и NAT и шейпинг входящего трафика
одновременно?
Не могу придумать как завернуть трафик в этом случае в шейпер.

Re: [Sysadmins] nat and shaper

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Anton Gorlov" <stalker@altlinux.ru>
> Кому: "ALT Linux sysadmin discuss" <sysadmins@lists.altlinux.org>
> Отправленные: Четверг, 7 Апрель 2016 г 23:13:49
> Тема: [Sysadmins] nat and shaper
> 
> Доброго дня.
> Кто-нибудь реализовывал на 1 сервере и NAT и шейпинг входящего
> трафика
> одновременно?
> Не могу придумать как завернуть трафик в этом случае в шейпер.

А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
нормально и классически по мануалам. Проблема только в шейпинге исходящего
ОТ клиентов трафика, там да, придется танцевать вокруг псевдоинтерфейсов ifb

Re: [Sysadmins] nat and shaper

[Anton Farygin]

On 08.04.2016 04:56, Alexei Takaseev wrote:
>
>
> ----- Исходное сообщение -----
>> От: "Anton Gorlov" <stalker@altlinux.ru>
>> Кому: "ALT Linux sysadmin discuss" <sysadmins@lists.altlinux.org>
>> Отправленные: Четверг, 7 Апрель 2016 г 23:13:49
>> Тема: [Sysadmins] nat and shaper
>>
>> Доброго дня.
>> Кто-нибудь реализовывал на 1 сервере и NAT и шейпинг входящего
>> трафика
>> одновременно?
>> Не могу придумать как завернуть трафик в этом случае в шейпер.
>
> А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
> нормально и классически по мануалам. Проблема только в шейпинге исходящего
> ОТ клиентов трафика, там да, придется танцевать вокруг псевдоинтерфейсов ifb


Найдёте решение - тоже покажите плз. Мне особо не надо, просто любопытно 
- сейчас для шейпирования выделенная машина и shapercontrol на ней.

Желательно на примере etcnet.

Re: [Sysadmins] nat and shaper

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Anton Farygin" <rider@altlinux.com>
> Кому: sysadmins@lists.altlinux.org
> Отправленные: Пятница, 8 Апрель 2016 г 14:29:40
> Тема: Re: [Sysadmins] nat and shaper
> 
> On 08.04.2016 04:56, Alexei Takaseev wrote:
> >
> >
> > ----- Исходное сообщение -----
> >> От: "Anton Gorlov" <stalker@altlinux.ru>
> >> Кому: "ALT Linux sysadmin discuss" <sysadmins@lists.altlinux.org>
> >> Отправленные: Четверг, 7 Апрель 2016 г 23:13:49
> >> Тема: [Sysadmins] nat and shaper
> >>
> >> Доброго дня.
> >> Кто-нибудь реализовывал на 1 сервере и NAT и шейпинг входящего
> >> трафика
> >> одновременно?
> >> Не могу придумать как завернуть трафик в этом случае в шейпер.
> >
> > А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
> > нормально и классически по мануалам. Проблема только в шейпинге
> > исходящего
> > ОТ клиентов трафика, там да, придется танцевать вокруг
> > псевдоинтерфейсов ifb
> 
> Найдёте решение - тоже покажите плз. Мне особо не надо, просто
> любопытно
> - сейчас для шейпирования выделенная машина и shapercontrol на ней.
> 
> Желательно на примере etcnet.

На правах саморекламы https://www.altlinux.org/%D0%A8%D0%B5%D0%B9%D0%BF%D0%B5%D1%80%D0%94%D0%BB%D1%8F%D0%91%D0%BE%D0%BB%D1%8C%D1%88%D0%B8%D1%85%D0%A1%D0%B5%D1%82%D0%B5%D0%B9

Для случая с NAT возможно потребуется вот такая поправка:

...
IPv4
/etc/net/ifaces/default/fw/iptables/mangle/POSTROUTING:
-    -o bondEXT -j SET --map-set shaper4 src --map-prio
+   -i bondINT -j SET --map-set shaper4 src --map-prio
    -o bondINT -j SET --map-set shaper4 dst --map-prio
IPv6
/etc/net/ifaces/default/fw/ip6tables/mangle/POSTROUTING:
-    -o bondEXT -j SET --map-set shaper6 src --map-prio
+    -o bondINT -j SET --map-set shaper6 src --map-prio
    -o bondINT -j SET --map-set shaper6 dst --map-prio
...

Но надо проверять.

Re: [Sysadmins] nat and shaper

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Alexei Takaseev" <alexei@taf.ru>
> Кому: "ALT Linux sysadmins' discussion" <sysadmins@lists.altlinux.org>
> Отправленные: Пятница, 8 Апрель 2016 г 14:46:59
> Тема: Re: [Sysadmins] nat and shaper
> 
> ...
> IPv4
> /etc/net/ifaces/default/fw/iptables/mangle/POSTROUTING:
> -    -o bondEXT -j SET --map-set shaper4 src --map-prio
> +   -i bondINT -j SET --map-set shaper4 src --map-prio
>     -o bondINT -j SET --map-set shaper4 dst --map-prio
> IPv6
> /etc/net/ifaces/default/fw/ip6tables/mangle/POSTROUTING:
> -    -o bondEXT -j SET --map-set shaper6 src --map-prio
> +    -o bondINT -j SET --map-set shaper6 src --map-prio
 +    -i bondINT -j SET --map-set shaper6 src --map-prio
       ^ тут i, конечно же
>     -o bondINT -j SET --map-set shaper6 dst --map-prio
> ...
> 
> Но надо проверять.
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins
> 

Re: [Sysadmins] nat and shaper

[Anton Farygin]

On 08.04.2016 09:46, Alexei Takaseev wrote:
>
>
> ----- Исходное сообщение -----
>> От: "Anton Farygin" <rider@altlinux.com>
>> Кому: sysadmins@lists.altlinux.org
>> Отправленные: Пятница, 8 Апрель 2016 г 14:29:40
>> Тема: Re: [Sysadmins] nat and shaper
>>
>> On 08.04.2016 04:56, Alexei Takaseev wrote:
>>>
>>>
>>> ----- Исходное сообщение -----
>>>> От: "Anton Gorlov" <stalker@altlinux.ru>
>>>> Кому: "ALT Linux sysadmin discuss" <sysadmins@lists.altlinux.org>
>>>> Отправленные: Четверг, 7 Апрель 2016 г 23:13:49
>>>> Тема: [Sysadmins] nat and shaper
>>>>
>>>> Доброго дня.
>>>> Кто-нибудь реализовывал на 1 сервере и NAT и шейпинг входящего
>>>> трафика
>>>> одновременно?
>>>> Не могу придумать как завернуть трафик в этом случае в шейпер.
>>>
>>> А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
>>> нормально и классически по мануалам. Проблема только в шейпинге
>>> исходящего
>>> ОТ клиентов трафика, там да, придется танцевать вокруг
>>> псевдоинтерфейсов ifb
>>
>> Найдёте решение - тоже покажите плз. Мне особо не надо, просто
>> любопытно
>> - сейчас для шейпирования выделенная машина и shapercontrol на ней.
>>
>> Желательно на примере etcnet.
>
> На правах саморекламы https://www.altlinux.org/%D0%A8%D0%B5%D0%B9%D0%BF%D0%B5%D1%80%D0%94%D0%BB%D1%8F%D0%91%D0%BE%D0%BB%D1%8C%D1%88%D0%B8%D1%85%D0%A1%D0%B5%D1%82%D0%B5%D0%B9
>
> Для случая с NAT возможно потребуется вот такая поправка:
>
> ...
> IPv4
> /etc/net/ifaces/default/fw/iptables/mangle/POSTROUTING:
> -    -o bondEXT -j SET --map-set shaper4 src --map-prio
> +   -i bondINT -j SET --map-set shaper4 src --map-prio
>      -o bondINT -j SET --map-set shaper4 dst --map-prio
> IPv6
> /etc/net/ifaces/default/fw/ip6tables/mangle/POSTROUTING:
> -    -o bondEXT -j SET --map-set shaper6 src --map-prio
> +    -o bondINT -j SET --map-set shaper6 src --map-prio
>      -o bondINT -j SET --map-set shaper6 dst --map-prio
> ...

Спасибо, то что надо.

Re: [Sysadmins] nat and shaper

[Anton Gorlov]

08.04.2016 04:56, Alexei Takaseev пишет:
> А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
> нормально и классически по мануалам. Проблема только в шейпинге исходящего
> ОТ клиентов трафика, там да, придется танцевать вокруг псевдоинтерфейсов ifb

Хм..видимо я где-то запутался. Мне казалось что шейпить нужно на
интерфейсе от апплинка ко мне.
А по факту мне нужно будет для шейпинга входящего - шейпить на
интерфейсе смотрящем на клиентов?

Re: [Sysadmins] nat and shaper

[Alexei Takaseev]

----- 8 Апр 2016 г. в 16:42 Anton Gorlov stalker@altlinux.ru написал(а):

> 08.04.2016 04:56, Alexei Takaseev пишет:
>> А какие проблемы с шейпингом входящего НА клиентов трафика? Там все
>> нормально и классически по мануалам. Проблема только в шейпинге исходящего
>> ОТ клиентов трафика, там да, придется танцевать вокруг псевдоинтерфейсов ifb
> 
> Хм..видимо я где-то запутался. Мне казалось что шейпить нужно на
> интерфейсе от апплинка ко мне.
> А по факту мне нужно будет для шейпинга входящего - шейпить на
> интерфейсе смотрящем на клиентов?

Не-не-не. Шейпить можно только исходящий с интерфейса трафик. Чтобы можно было
шейпить приходящий на интерфейс трафик, его приходится перенаправлять на
виртуальный ifb, и уже на виртуальном прописывать политики, так как трафик с ifb
будет исходящим куда-то.

В случае с NAT все сложно, так как по направлению клиент -> ifLAN -> NAT -> inWAN
на ifWAN на момент применения политик шейпера уже произведена подмена src-адреса в пакете.
Политики шейпера применяются уже после прохождения пакетом POSTROUTING.

Чтобы обойти эту ситуацию, приходится городить конструкции вида:

 # перенаправлять входящие пакеты с LAN в ifb0 
 tc qdisc add dev LAN ingress
 tc filter add dev LAN parent ffff: protocol ip \
  u32 match u32 0 0 action mirred egress redirect dev ifb0

и уже на ifb прописывать правила нарезки исходящей от клиентов скорости.