[kroozo]

Idézet: Eperkutyus - Dátum: 2005. dec. 8., csütörtök - 16:22

srácok, egy hálózatban mi szegmentál ?

mert itt az irodában lenne három fõnöki gép, amit el akar két rendszergizda srác szegmentálni a mi (õk+én) 3 gépünktõl, és emiatt egy plussz hálókártyát kéne tenni a már elõzõ oldalakon említett ominózus szerverbe, amit én ROHADTUL NEM AKAROK

hogy a rákba kerüljem ezt el ?

a mi 3 gépünkbõl kettejüké tölt mint a hülye, a fõnöki gépek meg videokonferenciáznak majd. arra hivatkoznak, hogy teleköpik az egész tartományt, meg hogy sávszélesség szabályzás meg ecet meg mittomén...


nemvágom ..


sztem egy sima QoS + tc az eth0-ra és csók, hogy mögötte mi van, nem érdekes igazán 6-7 gép esetében, nem ?

úgy 150-200-as létszámnál már lenne értelme, de így ???

mitõl félnek ezek, vagy miért akarják ennyire ?

csak mert örültem, hogy mindhárom hálókártya felállt, ugyanis sakkoznom kellett velük kissé a PCI slotokban, mire beugrott mind (néha egyik nem látszott, IRQ ütközés miatt)...

és most egy negyedik ? atyaég ..

uff.

No. Hálózatot rendesen akkor lehet szegmentálni, ha ezt legalább layer3 szinten teszed. Eztért vakeráltam itt a vlan / külön sw-k témát. Mert ugye ha layer2ben látják egymást, akkor azt csinálnak, amit akarnak.

Ha csak az a baj, hogy sávszél meg ilyesmi, egyébként megbízunk a másikban (vagyis jelen esetben abban, hogy se a fõnökök nem fognak ,,rosszindulatú'' dolgokat csinálni a ti gépeitek irányába, sem ti az övékébe), akkor maradhatnak azok együtt, aztán iptables + tc a kifele menõ forgalomra azt kész. A broadcastok meg nem fognak számottevõ gondot okozni a belsõ hálón.

Rednek abban igaza van, h a qos, ha csak az egyik oldalon van, az félmegoldás. Egyébként egy picit rosszul gondolkodsz, mert nem az a lényeg, hogy a töltögetés ne zabálja fel a sávot, inkább az, hogy a töltögetõs csomagok szépen kushadjanak a sorban, ha valami interaktív forgalom van, vagyis azok a csomik kerüljenek szépen elõre. A baj azzal h a szolgáltató nem qosezik neked az, hogy megette a fene az egészet, h nála viszont várni kell ezen csomagoknak... Ezért azt szoktuk csinálni, hogy elve nem hagyjuk, h a kapcsolat teljes sávja kihasználásra kerüljön, hanem kicsit kevesebbet engedünk max (~80-85%). Ezzel elérjük, hogy ne legyen torlódás visszafele, igaz, h némi sebességgel fizetünk érte.

Keress wondershapert, és szabd át jó alaposan. Kemény menet lesz

Azt viszont hadd kérdezzem már meg, h ha van 2 rendszergazda srác egy ~10 fõs cégben, akkor mi a franckarikért nem dolgoznak egy kicsit?

[Jahno]

Idézet: Eperkutyus - Dátum: 2005. dec. 9., péntek - 7:24

Jahno, Te hogy csinálnád eth1 eth2 tartományok kiosztását, hogy ne lássák egymást ?

Ez most bonyás probléma ahhoz, hogy rendesen átgondoljam, mindig kutyafuttában fórumozok, de több if lesz ebbõl ja...

[Eperkutyus]

Idézet: kroozo - Dátum: 2005. dec. 9., péntek - 7:48

Azt viszont hadd kérdezzem már meg, h ha van 2 rendszergazda srác egy ~10 fõs cégben, akkor mi a franckarikért nem dolgoznak egy kicsit?

Azért, mert nem értenek hozzá. És elvileg nem specifikusan rendszergazdának lettek felvéve, a profiljuk  totál más, csak cisco-znak, de ..

Szal linuxot még nem láttak "belülrõl" na.

Én szintén totál más profilon vagyok a cégnél, de én linuxoztam itt a legtöbbet eddig (ez ne jelentsen semmit, látod, vért izzadok) .. egyelõre megy a tûzfal, és eth1 és eth2-n keresztül a teljes LAN kilát a netre, DHCP, cache-elõs DNS és Squid minden megy a szerveren és jól szuperál (kis Celeron 466-os 80G vinyóval és 192 rammal).

De én nem fújok rájuk, én még nem cisco-ztam például, más úton tanultam (éppen tanulom) a hálózatosdit.

A több if nem gond, ebbe már belenyugodtam.


Valami ip/netmask recept kellene eth1-re DMZ és eth2 LAN-ra, hogy direktbe ne pingelhessék egymást. (A srácok ragaszkodnak a broadcast elmélethez, sztem sem számottevõ, de ha muszáj.. ) Egyelõre ennyi elég lenne indulásnak, a wondershaper-t megnézegetem..

[Eperkutyus]

Idézet

Keress wondershapert, és szabd át jó alaposan. Kemény menet lesz

apt-get install wondershaper

y

man wondershaper

wondershaper eth0 1400 1400



     

Szerkesztette: Eperkutyus 2005. 12. 09. 09:29 -kor

[Eperkutyus]

Idézet: melon - Dátum: 2005. dec. 7., szerda - 16:06

Csak a hasamra ütöttem, a 172.16.0.1 a B osztályú címtartomány elsõ címe, a /29 jelöli az alhálózati maszkot ugye, ami talán közérthetõbb formában 255.255.255.248. Igazából lehetne 0 is a vége, azaz /24-es hálózat, mindegy. A /29-es alhálózaton max. 6 hostod lehet, a broadcast cím így 172.16.0.7 lesz, gondolom 5 szervernek (+1 átjáró) elég is.

Azért mondtam pl. ezt a címet, mert így már ránézésre is látszik, hogy a cím nem a 192.168.x.x lanod címe, és (kezdõként) talán könnyebb megkülönböztetni. Valójában lehetne 192.168.1.0/24 is, vagy 10.0.0.0/24 is, tökmindegy.

Ahogy fentebb írtam, a /<szám> a subnet mask, ha nehezen megy a számolgatás, javaslom a Subnet Calculator a barátod.

tehát 192.168.1.0/24 és 192.168.2.0/24 accondod jó ? (a /24 255.255.255.0-át jelent így van ?)

[kroozo]

Idézet: Eperkutyus - Dátum: 2005. dec. 9., péntek - 9:20

Azért, mert nem értenek hozzá. És elvileg nem specifikusan rendszergazdának lettek felvéve, a profiljuk  totál más, csak cisco-znak, de ..

Szal linuxot még nem láttak "belülrõl" na.

Én szintén totál más profilon vagyok a cégnél, de én linuxoztam itt a legtöbbet eddig (ez ne jelentsen semmit, látod, vért izzadok) .. egyelõre megy a tûzfal, és eth1 és eth2-n keresztül a teljes LAN kilát a netre, DHCP, cache-elõs DNS és Squid minden megy a szerveren és jól szuperál (kis Celeron 466-os 80G vinyóval és 192 rammal).

De én nem fújok rájuk, én még nem cisco-ztam például, más úton tanultam (éppen tanulom) a hálózatosdit.

A több if nem gond, ebbe már belenyugodtam.


Valami ip/netmask recept kellene eth1-re DMZ és eth2 LAN-ra, hogy direktbe ne pingelhessék egymást. (A srácok ragaszkodnak a broadcast elmélethez, sztem sem számottevõ, de ha muszáj.. ) Egyelõre ennyi elég lenne indulásnak, a wondershaper-t megnézegetem..

Ahhoz, hogy direktbe ne pingelhessék egymást egyszerûen külön alhálóba kell tenni õket, és úgy állítani a route táblákat, hogy a routeren keresztül akarják nyomni a cuccost, ott meg tiltani a pinget.

Vagyis mondjuk

192.168.1.0/24 ill 192.168.2.0/24 Ez esetben közvetlen nem pingelnek, a routeren meg iptables forward láncban még mindig.

Csak ez nem old meg semmit sem, ha nincsenek külön ifen, mert egyrészt bármikor állítható, másrészt meg a bcastot ugyanúgy a nyakukra fogja engedni a switch imho, csak majd eldobják...

De. 100as hálón ~10 gép normál mûködése nem produkál mérhetõ lassulást eredményezõ bcast forgalmat, a 2mbites vonal felé meg baromira teljesen mindegy, h mit csinál, nagyságrendileg lehetetlen, h teleszemetelje a lokál hálót.

De ha külön akarják szedni, akkor még egy if, aztán még egy háló, és kész.

wondershaper meg nem akarlak elkeseríteni, de kevés így. Az egy script, ami egy darab adslre kötött gép forgalmát szabályozza, át kell írd

[Eperkutyus]

külön ifen vannak !

eth1-en az egyik 192.168.1.0-ás háló, eth2-n pedig a másik, 192.168.2.0-ás háló. netmask 255.255.255.0

csak tudod, a tegnapi hibajelenség, hogy én 2.0-ás hálóból pingelem 1.0-ás eth1-et, forward lánc szabályai pedig hatástalanok ..

sebaj, megcsinálom.

aztán bugfix.

[Eperkutyus]

van itt ez a kép:


Iptables Packet Flow Diagram



ez alapján a filter (default) tábla FORWARD-jában tudnám õket szûrni, de nem teszi..

[kroozo]

Idézet: Eperkutyus - Dátum: 2005. dec. 9., péntek - 10:40

külön ifen vannak !

eth1-en az egyik 192.168.1.0-ás háló, eth2-n pedig a másik, 192.168.2.0-ás háló. netmask 255.255.255.0

csak tudod, a tegnapi hibajelenség, hogy én 2.0-ás hálóból pingelem 1.0-ás eth1-et, forward lánc szabályai pedig hatástalanok ..

sebaj, megcsinálom.

aztán bugfix.

mert mint említettem, te a saját ifeket pingelted, oda meg az INPUT lánc játszik Mögé próba, muszáj neki...

Izé, ábra jó, annyival kiegészítve, hogy a nat tábla független az IOF láncoktól, vagyis hiába natolsz el egy címet, attól még a natolás elõttire hozzák a döntéseket a többik..

[Eperkutyus]

Idézet: kroozo - Dátum: 2005. dec. 9., péntek - 9:47

mert mint említettem, te a saját ifeket pingelted, oda meg az INPUT lánc játszik Mögé próba, muszáj neki...

Izé, ábra jó, annyival kiegészítve, hogy a nat tábla független az IOF láncoktól, vagyis hiába natolsz el egy címet, attól még a natolás elõttire hozzák a döntéseket a többik..

ja értem amit mondasz, oké..

tehát az ifet még tom pingelni, mögé egy gépet a másik hálón már leszûri.. ok. INPUT ok logikus..

az ábrával kapcsolatban amit mondasz, sztem világos, ki sem kell egészíteni. mármint a FORWARD lánc a filter táblában van, ami oké.

nat-ot úgy tudom, PREROUTING és POSTROUTING-nál szûrûnk, ha kell egyáltalán, mivel okosabb nem nyúzni a kernelt 'minden nat + szûrés' opcióval, hanem egyáltalán, csak azt natolni, amit át akarunk engedni, a többi meg kuka (sztem).

[Jahno]

Idézet: kroozo - Dátum: 2005. dec. 9., péntek - 10:47

mert mint említettem, te a saját ifeket pingelted, oda meg az INPUT lánc játszik

Izé, ábra jó, annyival kiegészítve, hogy a nat tábla független az IOF láncoktól, vagyis hiába natolsz el egy címet,

Eyekn;l meg m'r el is vesytettem a fonalat, nem ;rtek ;n a Linuxhoy ennzire hoooj  Esetleg egz ISA server<

[kroozo]

Idézet: Jahno - Dátum: 2005. dec. 9., péntek - 11:12

Eyekn;l meg m'r el is vesytettem a fonalat, nem ;rtek ;n a Linuxhoy ennzire hoooj  Esetleg egz ISA server<

Hinye Jahno, te sörözöl, és nekem nem is adsz?

Bw ez már istenes, ipchains ábrája sokkal rettenetesebb volt

eperkutuyus, jah, logikus, csak ez sûrû kérdés szokott lenni

[Eperkutyus]

találtam ezt , "kicsit" átalakítottam, NAGYON JÓ ! 

http://www.roback.cc...s/bandwidth.php

[Fresi]

Sziasztok!

A segítségeteket kérem, mert az idegbaj kerülget.
A net megosztásos topik alapján osztottam meg 2 gép között a netet.

A probléma az, hogy néha mûködik, néha meg nem. (Kezdek arra gyanakodni, hogy a switch hal be néha.)
Mi a f baja van? :confused:

Háló:

PC----[USB]----Chello
I
[egyenes]
I
[SWITCH]
I
[egyenes]
I
NOTI

PC:
ip: 192.168.0.3
mask: 255.255.255.0

NOT:
ip: 192.168.0.2
mask: 255.255.255.0
dns/átjáró: 192.168.0.1 (próbáltam a 3-t, a chelloDNS-t)

[Jahno]

Idézet: Fresi - Dátum: 2005. dec. 10., szombat - 21:34

A probléma az, hogy néha mûködik, néha meg nem. (Kezdek arra gyanakodni, hogy a switch hal be néha.)
Mi a f baja van? :confused:

Azt ki lehet könnyen deríteni, hogy a noteszrõl megpingeled a gépedet. Ha válaszol, akkor a switch meg a közte lévõ hálózat jó. vindóz alapú megosztásokat meg nem supportálom tovább

[Eperkutyus]

feltettem a cacti-t ! !! ! NAGYON ÁLLAT !           

[charlie]

Idézet: Fresi - Dátum: 2005. dec. 10., szombat - 21:34

Sziasztok!

A segítségeteket kérem, mert az idegbaj kerülget.
A net megosztásos topik alapján osztottam meg 2 gép között a netet.

A probléma az, hogy néha mûködik, néha meg nem. (Kezdek arra gyanakodni, hogy a switch hal be néha.)
Mi a f baja van? :confused:

Háló:

PC----[USB]----Chello
I
[egyenes]
I
[SWITCH]
I
[egyenes]
I
NOTI

PC:
ip: 192.168.0.3
mask: 255.255.255.0

NOT:
ip: 192.168.0.2
mask: 255.255.255.0
dns/átjáró: 192.168.0.1 (próbáltam a 3-t, a chelloDNS-t)

hogyha a pc-vel osztod meg, a win beépített natjával, akkor annak a gépnek az ipje 192.168.0.1 kell lennie, és az is lesz.
probáltad már a chellos modemet etherneten csatlakoztatni a géphez?

[havri1]

Üdwözlet!

A minap egy új probléma merült fel az itthoni hálózatban, mégpedig a következõ:
Próbaképpen feltelepítettem egy ip scannelõ programot, hogy megtaláljuk egy eszköznek a default ipjét, és nagy meglepetésemre, egy másik ip tartományból is van 3-4 azonosítatlan ip a rendszerben.
Mi a 192.168.0.x tartományú ipket használjuk, és ezekkel az eszközökkel:

Az alábbi ipk példa értékûek

1., gép : 192.168.0.2
2., gép : 192.168.0.3
3., gép : 192.168.0.4
4., gép : 192.168.0.5
5., gép : 192.168.0.6
6., gép : 192.168.0.7
7., Router : 192.168.0.1
8., AccessPoint : 192.168.0.150
9., Bridge : 192.168.0.151

Ezen kívül más ip címmel ellátott(aktív) eszköz nincs a hálózatra csatlakoztatva.
(wifis rendszer egy mac filterrel van ellátva, de logokat nézve, mac címek stb, elvben nincs illegális felhasználóm  , de ez ugye csak elv..)

Nos, a fent említett ip scanner ezeken kívül az alábbi ip címeket is akvtívnak találta :
192.168.1.0
192.168.1.5
192.168.1.255
És ezek fixen, bármikor nézem, aktívak.

A kérdésem az lenne, hogy a wifi kiiktatása nélkül, hogy tudnám kiszûrni ezeket az ipcímeket?
Esetleg az nem lehetséges, hogy a gépekben bent lévõ, de letiltott hálókártyákat látja így?
Van 5lete vkinek, mi lehet?

[sunci_01]

Idézet: Jahno - Dátum: 2005. dec. 6., kedd - 13:40

DNS vagy proxy hiba. Proxyt lõdd le, DNSbõl állítsál be valami mást. Vagy kitalálsz egy oldalt, amit mostanában nem néztél meg, pld. kapuvar.hu, aztán "ping www.kapuvar.hu" meglátjuk mennyi idõ alatt ér vissza a csomag.

Rendszer az frissítve van, meg ilyenek? Külön tûzfal?

megnéztem és 25 illetve 18 ms a válaszidõ és még mindig nem jó a net

[Eperkutyus]

Idézet: havri1 - Dátum: 2005. dec. 12., hétfõ - 12:45

Üdwözlet!

A minap egy új probléma merült fel az itthoni hálózatban, mégpedig a következõ:
Próbaképpen feltelepítettem egy ip scannelõ programot, hogy megtaláljuk egy eszköznek a default ipjét, és nagy meglepetésemre, egy másik ip tartományból is van 3-4 azonosítatlan ip a rendszerben.
Mi a 192.168.0.x tartományú ipket használjuk, és ezekkel az eszközökkel:

Az alábbi ipk példa értékûek

1., gép : 192.168.0.2
2., gép : 192.168.0.3
3., gép : 192.168.0.4
4., gép : 192.168.0.5
5., gép : 192.168.0.6
6., gép : 192.168.0.7
7., Router : 192.168.0.1
8., AccessPoint : 192.168.0.150
9., Bridge : 192.168.0.151

Ezen kívül más ip címmel ellátott(aktív) eszköz nincs a hálózatra csatlakoztatva.
(wifis rendszer egy mac filterrel van ellátva, de logokat nézve, mac címek stb, elvben nincs illegális felhasználóm  , de ez ugye csak elv..)

Nos, a fent említett ip scanner ezeken kívül az alábbi ip címeket is akvtívnak találta :
192.168.1.0
192.168.1.5
192.168.1.255
És ezek fixen, bármikor nézem, aktívak.

A kérdésem az lenne, hogy a wifi kiiktatása nélkül, hogy tudnám kiszûrni ezeket az ipcímeket?
Esetleg az nem lehetséges, hogy a gépekben bent lévõ, de letiltott hálókártyákat látja így?
Van 5lete vkinek, mi lehet?

1.0 hálózati azonosító cím.
1.255 a broadcast cím.

nem ?

1.5 pedig lehet, hogy az adsl modemed ?