Настройка NGNAT вместо NATD
Добавлено: Ср фев 13, 2008 10:15 pm
Настраивал ли кто сие чудо? из достоинств - прокачка более 9 мегабайт/с при загрузке процессора менее 1% 
Я имею 2 канала, причем через 1 канал у меня работают юзеры с реальными и серыми ip, а через 2 канал только серые.
Подготавливаем систему:
Подгружаем основные модули:
Код: Выделить всё
kldload netgraph.ko
kldload ng_ipfw.ko
Для загрузки модулей во время старта системы нужно добавить следующие строки в /boot/loader.conf
Код: Выделить всё
netgraph_load="YES"
ng_ipfw_load="YES"или добавить в ядро следующие опции:
Код: Выделить всё
options NETGRAPH
options NETGRAPH_IPFW
options LIBALIAS
options NETGRAPH_NAT
options NETGRAPH_NETFLOW
options NETGRAPH_SPLIT
options NETGRAPH_KSOCKET
options NETGRAPH_SOCKET
options NETGRAPH_BPF
options NETGRAPH_IFACE
options NETGRAPH_MPPC_ENCRYPTION
options NETGRAPH_PPP
options NETGRAPH_PPTPGRE
options NETGRAPH_TCPMSS
options NETGRAPH_VJC
options IPFIREWALL
options IPFIREWALL_FORWARD
options IPFIREWALL_FORWARD_EXTENDEDКод: Выделить всё
#!/bin/sh
. /etc/rc.subr
name="ngnat"
rcvar=`set_rcvar`
start_cmd="ngnat_start"
stop_cmd="ngnat_stop"
load_rc_config $name
eval "${rcvar}=\${${rcvar}:-'NO'}"
ngnat_aliasaddr1=${ngnat_aliasaddr1:-"0.0.0.0"}
ngnat_aliasaddr2=${ngnat_aliasaddr2:-"0.0.0.0"}
ngnat_export=${ngnat_export:-"127.0.0.1:9999"}
ngnat_start() {
echo "Setup ng_nat and ng_netflow"
/usr/sbin/ngctl -f- <<-SEQ
mkpeer ipfw: netflow 1 iface0
name ipfw:1 netflow
mkpeer netflow: split out0 in
name netflow:out0 split1
mkpeer netflow: ksocket export inet/dgram/udp
msg netflow:export connect inet/$ngnat_export
connect split1: netflow: out iface1
connect ipfw: netflow: 4 out1
mkpeer split1: nat mixed out
name split1:mixed nat1
connect ipfw: nat1: 23 in
connect ipfw: netflow: 5 iface2
connect ipfw: netflow: 6 out2
msg nat1: setaliasaddr $ngnat_aliasaddr1
msg netflow: setdlt { iface=0 dlt=12 }
msg netflow: setifindex { iface=0 index=1000 }
msg netflow: setdlt { iface=1 dlt=12 }
msg netflow: setifindex { iface=1 index=1001 }
msg netflow: setdlt { iface=2 dlt=12 }
msg netflow: setifindex { iface=2 index=1002 }
connect ipfw: netflow: 7 iface3
mkpeer netflow: split out3 in
name netflow:out3 split2
mkpeer split2: nat mixed out
name split2:mixed nat2
connect ipfw: nat2: 89 in
connect split2: netflow: out iface4
connect ipfw: netflow: 40 out4
msg nat2: setaliasaddr $ngnat_aliasaddr2
msg netflow: setdlt { iface=3 dlt=12 }
msg netflow: setifindex { iface=3 index=1003 }
msg netflow: setdlt { iface=4 dlt=12 }
msg netflow: setifindex { iface=4 index=1004 }
SEQ
}
ngnat_stop() {
/usr/sbin/ngctl -f- <<-SEQ
shutdown nat1:
shutdown nat2:
shutdown split1:
shutdown split2:
shutdown netflow:
SEQ
}
run_rc_command "$1"Всавляем в /etc/rc.conf следующий фрагмент:
Код: Выделить всё
ngnat_enable="YES"
ngnat_aliasaddr1="192.168.11.2"
ngnat_aliasaddr2="192.168.12.2"
ngnat_export="127.0.0.1:9996"ngnat_export - куда мы будем оправлять информацию от трафике -если такая поддержка будет в абилс (поправте если неправ).
Все переменные выставлены, необходимые модули подгружены - пробуем запустить наш скрипт:
Код: Выделить всё
/usr/local/etc/rc.d/ngnat.sh startКод: Выделить всё
# ngctl
+ ls
There are 8 total nodes:
Name: ngctl2061 Type: socket ID: 00000077 Num hooks: 0
Name: nat2 Type: nat ID: 00000076 Num hooks: 2
Name: split2 Type: split ID: 00000075 Num hooks: 3
Name: nat1 Type: nat ID: 00000074 Num hooks: 2
Name: <unnamed> Type: ksocket ID: 00000073 Num hooks: 1
Name: split1 Type: split ID: 00000072 Num hooks: 3
Name: netflow Type: netflow ID: 00000071 Num hooks: 11
Name: ipfw Type: ipfw ID: 00000003 Num hooks: 8
+
+ show netflow:
Name: netflow Type: netflow ID: 00000071 Num hooks: 11
Local hook Peer name Peer type Peer ID Peer hook
---------- --------- --------- ------- ---------
out4 ipfw ipfw 00000003 40
iface4 split2 split 00000075 out
out3 split2 split 00000075 in
iface3 ipfw ipfw 00000003 7
out2 ipfw ipfw 00000003 6
iface2 ipfw ipfw 00000003 5
out1 ipfw ipfw 00000003 4
iface1 split1 split 00000072 out
export <unnamed> ksocket 00000073 inet/dgram/udp
out0 split1 split 00000072 in
iface0 ipfw ipfw 00000003 1
+Теперь все готово, осталось только написать необходимые правила в ipfw, это вобщемто самое ответственное занятие. Буду описывать со всеми тонкостями, дабы Вы не наступали на мои грабли
прежде всего нужно выкинуть из конфига ipfw все, что касается natd с divert. (можно сделать это после добавления правил ng_nat? чтобы не нарушать работы пользователей.) Далее вставляем в начало конфига ipfw следующик код:
Код: Выделить всё
add 10 netgraph 1 ip from 10.16.0.0/16 to not 192.168.11.0/24,10.10.0.0/16 via "tun*" in
add 20 netgraph 7 ip from 10.15.0.0/16 to not 192.168.11.0/24,10.10.0.0/16 via "tun*" in
add 30 fwd 192.168.11.1 ip from 192.168.11.2 to not 192.168.11.0/24
add 40 fwd 192.168.12.1 ip from 192.168.12.2 to not 192.168.12.0/24
add 50 netgraph 23 ip from any to any via fxp0 in
add 60 netgraph 89 ip from any to any via fxp1 in
10.16.0.0/16 -серые адреса юзеров первого канала
192.168.11.0/24 - сеть 1 сетевого интерфейса
10.10.0.0/16 -сеть интерфейса смотрящего в локальную сеть
Правило 20
Аналогично, только подставить параметры 2 канала
Правило 30
192.168.11.1 -адрес 1 шлюза
192.168.11.2 -адрес 1 сетевой карты
192.168.11.0/24 - подсеть 1 сетевой карты
Правило 40
Аналогично, только подставить параметры 2 канала
Правило 50
fxp0 - 1 интерфейс (подставить свой)
Правило 60
fxp1 - 2 интерфейс (подставить свой)
Вот собственно и все.
Оригинал статьи тут http://wiki.bsdportal.ru/doc:netgraph_ng_nat
.
Да , что-то на этой неделе Асмодеуса слабо видно - наверное пишет чегото новое...