Dva routre, kde robit NAT, Queue tree?

rado3105

Zdravim vas, riesim rekonfiguraciu siete. Doteraz mi hlavna brana robila vsetko, firewall, NAT, mangle, QT...teraz chcem oddelit QT do dalsieho routra, ktory vsuniem za hlavnu branu. Uvazujem ci tam robit len QT, alebo aj NAT, co myslite, ako to mate vy?

pgb

Pokud máš správně napsaný FW, tak ti nat a fw moc výkonu neseberou. Nejvíc žere Qt a mangle. Předpokládám že Qt jedeš centrálně, takže udělat FW + nat a potom na dalším stroji je blbost (nebudeš mít SRC IP). Klíčová otázka, jaké toky? Pppoe? Složitost Qt? Současný hw?

rado3105

pgb ide mi hlavne o to, ze QT + mangle takto nefunguje spravne. Uvazujem tak, ze vsetko ponecham v hlavnej brane a cast mangle spojena s QT by som presunul do dalsieho routra s 2 interfacmi, ktory by som tam vlozil za hlavnu branu. Vykon je dostacujuci, o ten az tak nejde, ide o spravnu funkcnost.

pgb

Jasný, pokud máš hodně interfacu není to ideální. Poslal jsem pm. Ale s natem to normálně funguje. Teda bez tc filteru

hapi

QT funguje tak jak si to nastavis i s více iface takže to máš blbě nastavený a řešit to dvěmi routery je blbost.

rado3105

hapi vie mi niekto odporucit nejake konzultanta co by to pozrel, riesil som to aj s nejakym oficialnym mk clovekom a ten sa vyjadril, ze prve co je treba tak oddelit qt do samostatnej masiny a nerobit to na jednej...teraz hapi pises presny opak...mam tam dva interfacy, vstup a vystup...

interfacy su dva, vstup eth1, vystup eth2

sidi

rado3105 Taky jsem to dřív řešil 2 routerama (WAN - FW/NAT - shaper - klienti) s tím, že nějak moc nešlo manglovat na NATovat zároveň (detaily už nevím, je to hodně dávno a s MK jsem v té době začínal). Teď už to jde v pohodě, takže ta nutnost tam není a záleží jen na výkonu HW - když to utáhne jeden stroj, tak není důvod to rozdělovat a "živit" 2 stroje.

pgb

Chjo, a to je všechno? Tak znovu, jaké toky, jaký hw, kolik queue..... Protože co jsi postnul je nula nula nic.

rado3105

toky su okolo 300mbit/s, toto je len pre down...mangle pravidiel je cca 100
podla mna je chyba niekde v tych global types, resp. strome,

hapi

nějak se si nevšim popis problému. Jenom čtu že nějaký je a proto se uvažuje o rozdělení na dva stroje. jaký teda je problém?

Není doporučeno dávat queue přímo na interface. Dneska se to dává na GLOBAL. Detaily se řeší v mangle správnou "filtrací" pravidlem.

pepulis

Na tom obrázku chybi to hlavni a to nastaveni limit-at a soucty v nadrazenem parentu apod.

rado3105

a neprioritizuje to, napr. to znamena ze tie sluzby s vyssou proritou nedostavaju pri naplneni rychlosti definovane v limit at...

hapi

já tam uvedený priority nevidím ale co tam vidím je queue bez limit-at což je průser.

Dáváš moc málo informací, třeba jak máš nastavený PCQ který tam hojně vidím.

rado3105

hapi cize to ze tam nic nie je je problem a treba nastavit limit at 0?

PRIO1 je nastavena priorita 1

hapi

limit-at by mělo bejt vždy a nemělo by být 0.

Priorita funguje jenom v rámci jedný úrovně jedný větve. Takže by jsi měl mít prioritu nastavenou jak uvnitř PRIO1,2,3... tak i mezi PRIO1,2,3....

vím že to funguje vždy dobře, jenom se to musí správě nastavit.

rado3105

tie global types ake pouzivate v QT v hlavnom strome a podstromoch?