iptables и количество правил

по-моему лучше это сделать на основе vpn

Если твои юзера просто http будут скажем пользоваться
то я думаю практически никак
Но доказать правда не могу :-))

у меня на винчипе200 через ipchains юзалось около 250-400 правил , не считал я , но было их дофига :( после изменения концепции сети количество правил сократилось до 60 :) Но что 400 что 60 - на скорость НУ НИКАК не повлияло - что есть правила что их нет - с нагрузкой все ОК , правда пользователей почти 40 но думаю это не актуально :) Селярон куда мощнее винчипа :)

Машина запросто потянет такой набор, но с другой стороны, когда возникает такое количество правил - это повод задуматься - а до конца ли продумана концепция фильтрации.

Дело в том, что основная масса правил будет работать в качестве счетчика пакетов на опр-е адреса (куда, сколько и т д)для скрипта контроля потребленного пользователями трафика. и если этих пользователей 300-400 штук...

Я тестировал влияние кол-ва правил на скорость. Тест был примитивный - через машину, которая использовалась в качестве рутера прогонялось некоторое кол-во файлов разного размера. Общий объем данных выбирался таким, чтобы его перекачка занимала пару минут. Использовались 1Gb-карты, машины PII-400 и PIII-800 память - 128Мб. Использовался ipchains c 1000 правил, правила были составлены так, что срабатывание всегда происходило по последнему правилу, чтобы вся цепочка была задействована. Точных данных не помню (тест ведь только для себя делался), но примерные результаты такие: на обеих машинах замедление при включении фильтрации было заметным, на более быстрой - менее заметным. Без 1000 правил перекачка занимала 105-106 сек. с правилами - 115-118(108-110 для PIII-800)