маршрутизация

Приветствую всех!

Есть шлюз на ubuntu. C eth0, eth1 и ppp0 с внешним статическим ip адресом ххх.ххх.ххх.ххх. eth1 смотрит в локальную сеть с адресом 192.168.111.251/24. В этой сети есть два сервера у одного ip 192.168.111.25, у другого 192.168.111.26. Нужно что бы если трафик пришел с внешнего ip ууу.ууу.ууу.ууу то он ушел на ip 192.168.111.25, а если пришел c zzz.zzz.zzz.zzz то ушел на 192.168.111.26. подскажите как это можно реализовать?

orpat написал:

Приветствую всех!

Есть шлюз на ubuntu. C eth0, eth1 и ppp0 с внешним статическим ip адресом ххх.ххх.ххх.ххх. eth1 смотрит в локальную сеть с адресом 192.168.111.251/24. В этой сети есть два сервера у одного ip 192.168.111.25, у другого 192.168.111.26. Нужно что бы если трафик пришел с внешнего ip ууу.ууу.ууу.ууу то он ушел на ip 192.168.111.25, а если пришел c zzz.zzz.zzz.zzz то ушел на 192.168.111.26. подскажите как это можно реализовать?

Лучше всего пробросить необходимые порты.

Такое наверно сработает

iptables -t nat -A PREROUTING -s zzz.zzz.zzz.zzz -i ppp0 -j DNAT --to-destination 192,168,111,хх

dmz средствами iptables используй

"orpat⇓" написал:

zzz.zzz.zzz.zzz

Большое спасибо за советы) в принципе с iptables все получилось. А если таких анологичных правил создать в iptables очень много, то не будет ли данные правила грузит систему и как быстро iptables успеет правила эти оброботать?

Нет.

kisil написал:

Нет.

не совсем понял?

Пакет движется по цепочкам до тех пор, пока не будет принято решение ACCEPT/DROP/REJECT. Чем раньше для высоконагруженных маршрутов прохождения пакета принимается решение, тем меньше нагрузка на ядро от прохождения трафика.
Именно поэтому при политике DROP/ACCEPT для цепочки можно частенько в реальных применениях встретить в ней одноимённые правила с DROP/ACCEPT соответственно -- чтобы отбросить/принять явно ненужный/нужный пакет не дожидаясь достижения дна цепочки и примерки на него всего сонма правил.

А попавший под конкретные правила трафик можно посмотреть при помощи iptables -vL, а если нужны точные числа, то iptables -xvL.

orpat написал:

[quote=kisil]Нет.

не совсем понял?[/quote]
Как вам написал borman чем раньше отброситса или примитса пакет, тем меньше времени он будет находитса в памети ядра и тем меньше будет грузит систему. Тоисть от количества правил это не зависит.

kisil,
скажем так, зависит не напрямую. Если трафик будет отсекаться по DROP в конце огромного списка правил, или приниматься по ACCEPT в конце огромного списка правил, то время на проверку соответствия пакета каждому из правил списка потрачено всё же будет. А если это основная масса трафика -- то будет зависеть ощутимо.