Управление сетевым трафиком посредством очередей

Опубликовано 03/16/2014 автором Eugen

Начну я с некоторых пояснений терминологии. Что есть очередь в данном контексте? Очередь — это механизм, позволяющий управлять приемом и передачей пакетов.

Данная статья является продолжением описания пакета маршрутизации GNU/Linux iproute2 (см. «Настройка маршрутизации с помощью iproute»). Далее будут описаны принципы управления сетевым трафиком посредством очередей. Эта тема зачастую не упоминается в руководствах, но на самом деле с помощью очередей сетевых пакетов можно выполнять широкий круг исключительно полезных задач. Приведу несколько примеров, которые часто встречаются на практике. Итак, очереди способны контролировать скорость передачи пакетов, ограничивая нежелательный сетевой трафик по скорости (позволяет избежать выход из строя сервера или отдельных демонов в результате DoS- и даже DDoS- атак). Позволяет осуществлять распределение нагрузки между несколькими сетевыми интерфейсами. С помощью очередей также можно добиться существенного увеличения производительности сети в целом при помощи разделения различных видов трафика (например, интерактивные данные должны обрабатываться быстрее) на основе поля ToS (type of service — тип услуг). Iproute2 также дает возможность ограничения SYN-flood и ICMP-dDoS атак. Кроме этого можно устанавливать свой предел скорости на основе различных фильтров.
Читать далее →

Рубрика: *Unix,*Linux, *Сети | Оставить комментарий

IFB (аналог IMQ ) — основные команды для управления трафиком

Опубликовано 03/16/2014 автором Eugen 
Считается что IFB идеологически более правильная реализация псевдо-устройства, чем IMQ.
IFB по умолчанию доступна в дистре Fedora Core 6.
IMQ требует патчить ядро, по умолчанию не доступна.

Насколько я понял идеологически
   IFB - это скорее для iproute2
   IMQ - iptables

Документация по IFB в исходниках iproute doc/actions/
или по адресу: http://linux-net.osdl.org/index.php?title=IFB

Отличные картинки с местоположением IMQ:
http://www.abclinuxu.cz/clanky/site/traffic-shaping-2-imq-a-uvod-do-shapingu

 Читать далее →
Рубрика: *Unix,*Linux, *Сети | Оставить комментарий

Построение VPN с помощью технологии EoIP

Опубликовано 03/12/2014 автором Eugen

Введение

В настоящий момент постоянно возникает необходимость в организации виртуальных частных сетей (Virtual Private Network) между удаленными филиалами компании. При этом с ростом ее инфраструктуры новые подразделения могут открываться в разных городах и даже странах. Естественно, что приходиться пользоваться услугами разных операторов и провайдеров. В таком случае наиболее дешевым транспортом является публичная сеть Internet.

Как правило, наиболее распространенная структура при объединении удаленных филиалов – «звезда». Т.е. в головном подразделении располагаются основные сервера компании (web, почта, бухгалтерия и т.д.), а удаленные филиалы круглосуточно работают с их базами данных. Кроме того, бывает удобно, чтобы сотрудники разных филиалов находились в одной локальной сети. Читать далее →

Рубрика: *Unix,*Linux, *Сети | Оставить комментарий

Блокируем много IP адресов с помощью ipset и iptables

Опубликовано 03/12/2014 автором Eugen

Вопросы борьбы со спамерами, ботами и прочей нечистью всегда актуальны. Хорошо когда список небольшой, с помощью iptables это решается элементарно, но вот когда адресов пару тысяч … тут уже приходится не сладко.

И тут на помощь к нам приходит (барабанная дробь) ipset.
Ipset позволяет использовать большие таблицы IP и MAC адресов, подсетей, номеров портов совместно с iptables (подключение производится через одно правило, в таблице используется хэширование). Возможно быстрое обновление списка целиком.

Читать далее →

Рубрика: *CentOS | Оставить комментарий

Как удалить iptables правило по номеру

Опубликовано 03/12/2014 автором Eugen 
iptables -L INPUT --line-numbers
iptables -D INPUT номер

iptables -t nat -L POSTROUTING --line-numbers
iptables -t nat -D POSTROUTING номер

Источник http://www.opennet.ru/tips/info/603.shtml

Рубрика: *CentOS | Оставить комментарий