Двусторонний NAT (PAT) на Cisco IOS или NAT NVI

[IlyaPodkopaev]

Спасибо за отзыв :) Рад, что пригодилось

[Fedia]

Добро пожаловать, Илюх :)

Удачного «вхабрения» :)

[IlyaPodkopaev]

:) Умеешь ты заражать идеями

[Fedia]

Кстати, я сегодня твою статью ещё и у нас поместил. Погляди и дай ценные замечания, как поправить дезигн блога. А то что я один думаю :)
www.anticisco.ru/blogs/?p=23

[IlyaPodkopaev]

:) ок, гляну. Счас вот статью про GET VPN допишу и гляну.

[unsobill]

ой прощай твоя карма

[Fedia]

Приведите плз если не сложно примеры этих волшебных ОС. Чтобы не быть голословным

Желательно с примером конфигов в 2 строчки. Заранее спасибо.

[Quickshooter]

iptables -t nat -A POSTROUTING -s -d -o -j MASQUERADE

[Quickshooter]

-s (src_ip) -d (dst_ip) -o (out_intf)*

[Fedia]

О, прекрасно, Линукс :)

И чем это сложнее
ip nat sourse access-list NAT int f0/0 overload?

По мне так у циски читаемей :)

К тому же расстрою: не все можно сделать на Линухе. Я имею ввиду сопряжение нескольких технологий

Классический пример: сопряжение РАТ и МСЭ

Впрочем, в мире передачи пакетов сложно что-то совсем новое придумать :)
Поэтому у всех все похоже.

[IlyaPodkopaev]

угу. или NAT при H323. На BSD есть глючный самописный пакет, а Cisco влет с этим справляется.

[Quickshooter]

[qs@archevil ~]$ modprobe -l | grep -P «h323|sip»
kernel/net/netfilter/nf_conntrack_h323.ko
kernel/net/netfilter/nf_conntrack_sip.ko
kernel/net/ipv4/netfilter/nf_nat_h323.ko
kernel/net/ipv4/netfilter/nf_nat_sip.ko
[qs@archevil ~]$

В последний раз все норм работало.

[IlyaPodkopaev]

а на нагрузку тестили? нам результат очень не понравился, происходят обрывы, односторонние звонки и т.п. И это всего при порядка 150 одновременных звонков. Сейчас на этом месте ASA и проблем нет.

[darkk]

А jingle? :-)
Не сильно хорошо в Linux с NATами.

[Quickshooter]

по подробнее про PAT и МСЭ проблему можно?
сложнее не сложнее, вопрос был про 2 строчки, соотв ответ был дан:)

[Fedia]

Уверен, вы про нее знаете: есть множество протоколов, которые требуют динамического открытия портов или открытия новых сессий с других адресов
FTP, SIP, H323, RSH, SQL*NET и множество других, например, TFTP :)

Каждый из описанных протоколов не пройдёт через РАТ и через МСЭ сам по мебе. Требуются ухищрения.

На цисках реализован механизм глубокого анализа многих таких протоколов и у правление сессиями и НАТ-кешем на основании этого анализа

Сложного в этом ничего нет и вероятнее всего все эти протоколы можно прокинуть через «любую нормальную ОС», только требует множества телодвижений для каждого протокола

[Quickshooter]

насчет множества — оч сомнительно, необходимо лишь подгрузить соотв модуль из списка:

[qs@archevil ~]$ modprobe -l | grep nf_nat
kernel/net/ipv4/netfilter/nf_nat.ko
kernel/net/ipv4/netfilter/nf_nat_amanda.ko
kernel/net/ipv4/netfilter/nf_nat_ftp.ko
kernel/net/ipv4/netfilter/nf_nat_h323.ko
kernel/net/ipv4/netfilter/nf_nat_irc.ko
kernel/net/ipv4/netfilter/nf_nat_pptp.ko
kernel/net/ipv4/netfilter/nf_nat_sip.ko
kernel/net/ipv4/netfilter/nf_nat_snmp_basic.ko
kernel/net/ipv4/netfilter/nf_nat_tftp.ko
kernel/net/ipv4/netfilter/nf_nat_proto_dccp.ko
kernel/net/ipv4/netfilter/nf_nat_proto_gre.ko
kernel/net/ipv4/netfilter/nf_nat_proto_udplite.ko
kernel/net/ipv4/netfilter/nf_nat_proto_sctp.ko

актуально для
[qs@archevil ~]$ uname -mrs
Linux 2.6.30-ARCH i686
[qs@archevil ~]$

и одной строкой в iptables сказать чтоб track делал, дальше он все автоматом.

Я не в коем случае не говорю, что линукс замена всему и вся, да и больших диплоев на нем никогда не делал ( работая в СИ как то невыгодно линукс-решения продвигать :) все больше по цискам да джуниперам )

Но для soho/small branches вполне жизнеспособное решение.

[Fedia]

Да, я в курсе. Я чуть-чуть настраивал Линух (РедХат Сертифайд Инжинер)

Просто в циске ничего подгружать и проверять не надо. Надо только набрать команду. Это импонирует :)

[sersad]

И в этой нормальной ОС куча различных интерфейсоф, высокая надежность поддержка производителя.
Ну и как бы сиськи не для нищебродов, дорогие они для решения только такой задачи.

[IlyaPodkopaev]

Поддерживаю, давайте не будем разводить холивары. Если циски покупают по такой цене — значит это кому-нибудь нужно. А если нужно — есть возможность не ограничиваться inside натом.

[unsobill]

на днях напишу статью посвященую nat-у в общих чертах, а то эта статья расматривает уже более серьезную проблему, которую я так и не понял, даже перечитав дважды :((

[IlyaPodkopaev]

да, безусловно, эта статья скорее как расширение для тех, кто знаком с классическим натом на циско.

[Fedia]

Прекрасно! Больше статей, хороших и нужных!

А если к теории добавить команд циско, жунипер и линукс будет вообще прекрасно!

[Fedia]

Не уверен, что правильно понял вашу иронию: что вызвало такую реакцию?

Что мы ретрограды и рассуждаем позапрошлогодним днем?

ЧТо все уже устарело? Что пора думать о дне завтрашнем?

ЗЫ RR по-моему в 1901 году ещё не было. А если взять RR1920, то жигули уже увы, рядом не валялись :))

ЗЗЫ Просьба, для исключения недопонимания выражаться более развернуто :)

[IlyaPodkopaev]

так в чем дело? напишите свою статью, где наглядно продемонстрируйте все превосходство *nix технологий над CISCO. Мы с удовольствием почитаем.

[Fedia]

Ну что же, достаточно развернуто, спасибо

ВАЗ (любой) быстрее 200 не поедет. РР1920 года поставил рекорд. Кажется 215 км/ч.

Могу ошибаться с годом. Да бензина кушал много

Теперь поговорим на вашем языке:
любой BSD или *nix
Нет таких операционных систем. «Наш порошок в 3 раза лучше обычного»

элементарные — я рад, что для вас они элементарные. Увы, это не для всех так, о чем свидетельствуют массовые положительные отзывы. А также многолетняя практика преподавания

коими IOS не является — ну поведайте скорее же миру, чем является IOS! Мир вздрогнет! Боюсь, правда, что не от откровения а от стиля изложения.

Словоблудие является хорошим способом скрыть невежество. Теперь Вам придётся доказывать обратное, приводя сравнения, таблицы, настройки.

В отличие от Вас, мы не занимаемся словоблудием а учим. Работать на том, что сейчас, как бы вам не хотелось изобразить обратное, является лидером на рынке сетевых инфраструктур.

Любые Ваши аргументы, пожалуйста, теперь подкрепляйте подтверждениями.

ЗЫ Впрочем, боюсь, что их нет. Рад бы ошибиться :)

Удачи! И не злоупотребляйте словоблудием :)

[Fedia]

Ну, пусть будет так: не ездил, не пробовал, не участвовал.

Как и предполагал: газирование лужи.

Не надо так напрягаться и оправдываться :)

Я знаю, как эти (и другие) железки работают и сумею с любыми справиться.

А вам желаю побольше гулять и смотреть на мир добрее :)

[IlyaPodkopaev]

Серег, оставим тролля в покое…

[BabyKiller]

Топология из задачи 2: