маскарад без iptables

зачем без iptables?

эффективней чем на iptables все равно не получится сделать. единственное замечание - если внешний айпишник роутера не меняецо от балды каждые три минуты - лучше маскарадинг заменить на -j SNAT --to-source $WAN_IP и написать скриптик, где $WAN_IP соответственно внешний интерфейс (Р). это повысит производительность "роутера"

спасибо, но всё же хочу узнать, можно ли иначе.
потому как собрано минимальное ядро без поддержки iptables.

> спасибо, но всё же хочу узнать, можно ли иначе.

можно. http://lartc.org

если линуксовый pppd поддерживает nat то можно :]

>можно. http://lartc.org

уже копаю, спасибо. а пример использования для моего случая можете дать?

>если линуксовый pppd поддерживает nat то можно :]

мне не только pppoe надо расшаривать, но и локалку провайдера, которая поднимается без рррd.

попроси у провайдера пул адресов и выдай их клиентам.

>попроси у провайдера пул адресов и выдай их клиентам.

это совершенно невозможно )))

уже смотрю на iproute2, от поддрежки в ядре до составления правил маршрутизации. на русском тоже есть http://www.opennet.ru/docs/RUS/LARTC/ и http://www0.opennet.ru/base/net/qos_netfilter.txt.html

спасибо, меня тоже этот вопрос с утра мучает по поводу разницы между
MASQUERADE и SNAT

шлюз в инет без iptables называется squid )

>шлюз в инет без iptables называется squid )

хехе... squid это комбайн )))
мне надо по-проще

пока возился с опциями ядра, ещё кой-чего нашел. возможно, задачу можно разрешить без iproute2 ) как проверю, отпишусь

можно nat без iptables - ipchains и ядро 2.2 :)

а нафига собственно, чем iptables помешал?

>можно nat без iptables - ipchains и ядро 2.2 :)

ipchains тот же iptables, только вид сбоку )

>а нафига собственно, чем iptables помешал?

ну не нужен он мне ))) зачем для такой простой фичи, как шлюз без всяких там правил и очередей, городить огород?

>спасибо, меня тоже этот вопрос с утра мучает по поводу разницы между MASQUERADE и SNAT

Забудь. В нормальных операционках есть только NAT и BI-NAT.

> шлюз в инет без iptables называется squid )

Вот до чего линуксячество доводит...

выкинули нетфильтр из ядра линукс?
автор ссзб и сочуствия не вызывает.

>шлюз в инет без iptables называется squid

шлюз в инет без iptables называется недошлюз.

Ты неправильно всю специфику понимаешь. Есть ядро, есть сетевые интерфейсы и есть netfilter. Вот как раз нетфильтер и выполняет всю работу над ип пакетами. Это код уровня ядра, весьма оптимизированный и производительный. iptables - юзерспейс утилита для конфигурирования нетфильтра (чтоб он знал, что ему делать). По сути тебе нужно иметь одно правило в iptables для маскарадинга, которое пропишется в нетфильтер и, т.к. нетфильтер это программа уровня ядра, оно создаст минимальную нагрузку на ядро (а чем ты её меньше создашь то, коль не специально предусмотренным для этого кодом?). Никто ж тебя не заставляет делать из роутера сетевой экран. Это опция. Все остальные решение - толстые и неуклюжие. Как тут уже озвучили - ССЗБ. Но мне тебя жаль, поэтому и потратил пару минут на эту писанину

>спасибо, меня тоже этот вопрос с утра мучает по поводу разницы между
MASQUERADE и SNAT

Ключевых отличий два:
1. MASQUERADE автоматом внешний определяет айпишник,
2. SNAT не сбрасывает соединения сразу после опускания интерфейса. «Быстро поднятое не считается упавшим» ;) Если внешний адрес статический — это хорошо, если динамика — бессмысленно (после подъема адрес может быть уже другой).

В общем, мораль была совершенно справедливо сформулирована выше: SNAT для статики, MASQUERADE для динамики.

>выкинули нетфильтр из ядра линукс?
>автор ссзб и сочуствия не вызывает.

+512

azure, спасибо что просветили.
а опция advanced routing (CONFIG_IP_ADVANCED_ROUTER) в ядре для чего не объясните?

маршрутизация и трансляция адресов - разные вещи. последним занимается netfilter/iptables.

> а опция advanced routing (CONFIG_IP_ADVANCED_ROUTER) в ядре для чего не объясните?

для того, чтоб были задействованы дополнительные возможности для роутинга. Стандартные возможности - это выбор маршрута в зависимости от адреса назанчения пакета. Для большинства этого вполне достаточно. Дополнительные - в зависимости от полей ToS, протокола, адреса отправителя пакета и т.п. Advanced Routing по-моему так же требуется для управления трафиком (traffic control, в базовом понимании - шейпинг, хотя понятие более широкое), хотя не уверен, что действительно требуется.