Нужен аналог kerio winroute

[playnet]

Переходим с 2к3. Сейчас стоит керио с макафе.
В керио есть база пользователей, мониторинг текущих соединений, кто где сидит и сколько трафа тратит. Без ввода паролей перекидывает для авторизации. Есть ограничения по сайтам для некоторых юзеров.

Плюс есть второй инет канал как резервный, на случай падения основного.
Надо перевестись на линух/фрю.
Сквид, кламав, для месячной статистики sarg. Что делать с остальным?

[playnet]

Переходим с 2к3. Сейчас стоит керио с макафе.
В керио есть база пользователей, мониторинг текущих соединений, кто где сидит и сколько трафа тратит. Без ввода паролей перекидывает для авторизации. Есть ограничения по сайтам для некоторых юзеров.

Плюс есть второй инет канал как резервный, на случай падения основного.
Надо перевестись на линух/фрю.
Сквид, кламав, для месячной статистики sarg. Что делать с остальным?

неужели никто с такими задачами не сталкивался? Что, у всех сетка на 10 компов, 1 канал в инет, умные юзеры и вообще всем настраивали знакомые гуру?
Стоит спросить что посложнее "а как вывести список своих железок", и тишинааа..
Посоветуйте тогда нормальные форумы, где сидят действительно знающие люди.

[un-defined]

Чем iptables не устраивает?

[playnet]

Чем iptables не устраивает?

как он может вести базу юзеров, авторизовывать, мониторить нагрузку.. шейперы еще можно привернуть, а остальное?

[un-defined]

для остального radius, по всей видимости

гугление по ключевым словам "iptables traffic count radius" дало ссылку http://www.opennet.ru/base/net/pppoe_gate.txt.html
Не оно?

[playnet]

для остального radius, по всей видимости

гугление по ключевым словам "iptables traffic count radius" дало ссылку http://www.opennet.ru/base/net/pppoe_gate.txt.html
Не оно?

pppoe это из пушки по воробьям..
Но как вариант может и сойдет. Довольно проблемный вариант. Потому что чем система сложнее, тем больше точек отказа.

[un-defined]

pppoe это из пушки по воробьям..
Но как вариант может и сойдет. Довольно проблемный вариант. Потому что чем система сложнее, тем больше точек отказа.

Согласен про сложность, насчет проблемности не соглашусь. Связка iptables+radius+pptpd весьма работоспособна и устойчива, хотя с настройкой пришлось повозиться, этого не отнять.
pppoe - это один из вариантов, а не необходимость.

А насчет точек отказа.. как тут не вспомнить unixway про то, что для каждой задачи должен быть свой инструмент. Комбайны типа "все-в-одном" менее удобны для локализации неисправностей. ИМХО разумеется.

[playnet]

Согласен про сложность, насчет проблемности не соглашусь. Связка iptables+radius+pptpd весьма работоспособна и устойчива, хотя с настройкой пришлось повозиться, этого не отнять.
pppoe - это один из вариантов, а не необходимость.

Посмотрим.

А насчет точек отказа.. как тут не вспомнить unixway про то, что для каждой задачи должен быть свой инструмент. Комбайны типа "все-в-одном" менее удобны для локализации неисправностей. ИМХО разумеется.

Но в комбайнах все-таки детали изначально лучше подогнаны. В остальном согласен.

[Goodvin]

Переходим с 2к3. Сейчас стоит керио с макафе.
В керио есть база пользователей, мониторинг текущих соединений, кто где сидит и сколько трафа тратит. Без ввода паролей перекидывает для авторизации. Есть ограничения по сайтам для некоторых юзеров.

Плюс есть второй инет канал как резервный, на случай падения основного.
Надо перевестись на линух/фрю.
Сквид, кламав, для месячной статистики sarg. Что делать с остальным?

неужели никто с такими задачами не сталкивался? Что, у всех сетка на 10 компов, 1 канал в инет, умные юзеры и вообще всем настраивали знакомые гуру?
Стоит спросить что посложнее "а как вывести список своих железок", и тишинааа..
Посоветуйте тогда нормальные форумы, где сидят действительно знающие люди.

Вам нужны услуги телепата и персональные мастер-классы по использованию поиска по форуму ?
Это только за деньги.

Потрудитесь внятно описать свою задачу и свои вопросы.
И руками да мозгами пошевелить.
Проблематика устройства Linux-шлюза для подключения к интернету целой локальной сети - обсуждалась многажды.

[Dark_Savant]

holy shit. опять. google://mrtg,mrta

[usascha]

holy shit. опять. google://mrtg,mrta

Спасибо за эти проги, но одна не поддерживается уже много лет (mrtA). Следовательно, есть масса глюков. Вторая, как я понял, только создаёт график, но не управляет (mrtG).

Я читал в умной книжке как с помощью iptables наладить учёт трафика, но так и не понял, эта прога только управляет маршрутизацией и блокировками, или она ещё умеет считать пропущенный объём трафика каждым из указанных ей адресов и в зависимости от превышения лимита блокировать дальнейший трафик???

[McLeod095]

ну с керио не работал и не знаю что он делает точно
если нужна прокся то пожалуйста squid+sams
если нужен нат то юзаю netams

А так правильно было сказано выше
конкретнее задачу надо описывать

[playnet]

ну с керио не работал и не знаю что он делает точно
если нужна прокся то пожалуйста squid+sams
если нужен нат то юзаю netams

А так правильно было сказано выше
конкретнее задачу надо описывать

подняли темку..
А задача и так описана вроде нормально..
Авторизация юзеров, учет трафика, показ текущих коннектов и кто что откуда на какой скорости качает, лимиты по скорости и трафу, фаервол.. И переключение на резервный канал в случае отказа основного.

Единственное, что пока не нашел -- "показ текущих коннектов и кто что откуда на какой скорости качает". Это можно как-то формировать из логов сквида, но во избежание проблем и глюков на сквид заворачивается только http трафик, остальное бегает напрямую.
Ну и "переключение на резервный канал" пока ручками.

А, да.. И обязательная проверка пробегающего трафа на вирусы. Тут пока тоже заглушка, все не доделать никак.

[blackst0ne]

Самый простой способ переключения каналов (динамическую маршрутизацию в расчет не берем) - это скрипт с пожизненным циклом и слипом, который тупо посылает, скажем, те же icmp-пакеты (пинг) на какую-нибудь точку. Если не пингуется, меняем маршрут по молчанию.
А можно все тоже самое, но без цикла. Тогда повесить на крон.

[McLeod095]

Для проверки антивирусом можно прикрутить к squid icap и проверять потом почти любым антивирусом.
Я использую связку squid+havp+tinyproxy
Havp проверяет с помощью clamav а tinyproxy нужен для проверки ftp трафика.

[playnet]

Для проверки антивирусом можно прикрутить к squid icap и проверять потом почти любым антивирусом.
Я использую связку squid+havp+tinyproxy
Havp проверяет с помощью clamav а tinyproxy нужен для проверки ftp трафика.

А что насчет squidclam, squidclamav? Названия сходи, но пакеты разные.. И что-то из них не дружит с 0.93 кламом.
Кстати, к чему можно штатно прикрутить кучу пакетов, включая касп, дрвеб и тд? Какой-то пакет таким хвалился, но не помню кто.
фтп особо проверять не надо. Вот SMTP надо, но это немного другой вопрос уже.. А сквид умеет это вообще?

Самый простой способ переключения каналов (динамическую маршрутизацию в расчет не берем) - это скрипт с пожизненным циклом и слипом, который тупо посылает, скажем, те же icmp-пакеты (пинг) на какую-нибудь точку. Если не пингуется, меняем маршрут по молчанию.
А можно все тоже самое, но без цикла. Тогда повесить на крон.

Есть какие штатные утилиты? Скрипты это хорошо конечно, но думаю, не у меня одного такие вопросы были. Или лучше написать скрипт, ввести в порты и стать майнтейнером?

А если с динамикой?
Пингами проверять можно конечно, но хочется рассмотреть все варианты.
Сейчас изучаю про BGP, уже стал хостеров напрягать про эту поддержку. Если я понял правильно буку циски, RIP, OFPF и прочие это внутренние протоколы и мало тут помогут.

Может, посмотреть в сторону zebra?

[blackst0ne]

Нет, если Вам по карману дин. маршрутизация, то конечно используйте ее.
Про штатные утилиты не в курсе. Да и на форуме этом несколько тем уже было. Ищите по словам "два провайдера"/"два канала".

[playnet]

Нет, если Вам по карману дин. маршрутизация, то конечно используйте ее.
Про штатные утилиты не в курсе. Да и на форуме этом несколько тем уже было. Ищите по словам "два провайдера"/"два канала".

А кому не по карману старый комп и 3 сетевухи?
Технологии одинаковы, что для пс-базед, что для спецжелезок. Надо только определиться с протоколами и что конкретно мы должны получить.
Хотя могут быть еще нюансы работы осей, но это можно и самому дописать Не так там и много кода будет. К примеру, фря может иметь только 1 гейт.
По словам поищу.

[webzest]

Ideco ICS?
Radius-сервер тока появился.

[usascha]

я после долгих поисков и сравнений нашёл максимально подходящую прогу - kmyfirewall.
Буду из неё что-то выжимать, поскольку другого никто ничего не предложил.

Видимо iptables рулит и без неё никуда. Может кто-нибудь посоветовать доходчивое объяснение с примерами по ВСЕМ возможностям iptables, а не только как отдельные примеры?
Очень нужно чтобы было доходчиво (можно на английском, немецком) или наглядно, т.к. я в системном администрировании в линуксе слабоват.

[Snupt]

На русском - http://www.opennet.ru/docs/RUS/iptables/
На английском - http://iptables-tutorial.frozentux.net/ipt...s-tutorial.html

[ailman]

И так, тема хоть и давняя, но все равно хотел бы поделиться своим опытом.
Поработав 2 года с Kerio, получилось собрать более-менее аналогичный шлюз на FreeBSD (в данный момент стоит на FreeBSD 6.3 и уже полгода успешно функционирует без сбоев)
Что потребуется:
1. IPFilter - в качестве файрволла
2. IPNat - в качестве нат (+возможность portmapping'а)
3. Squid - кэширующий прокси
4. SAMS - графический и-фейс для управления Squid'ом + статистика по HTTP и FTP + авторизация в AD (или просто по IP)
5. Netams - статистика по IP/портам
6. NET-SNMP + MRTG - статистика загрузки интерфейсов (интернет/lan/vpn). Как сделать статистику по траффику не разобрался
7. VNSTAT - статистика по общему интернет-траффику (LAN/VPN).
8. DARKSTAT - статистика по IP/протоколам
9. комманда netstat -an | grep ESTABLISHED - покажет установленные соединения
10. OpenVPN - для объединения офисов в VPN.
11. ISC-DHCP3 - DHCP-сервер
12. NAMED - делаем из него кэширующий DNS-сервер
13. Скрипт переключения на резервный канал. Можно сделать 2 варианта:
1) пингуем (например раз в минуту) шлюз основного провайдера, в случае пропадания пинга, пингуем шлюз резервного провайдера. В случае, если пинг есть, переключаемся на резервный канал (если пинга нет, то начинаем цикл заново), при этом после переключения на резервный канал продолжаем пинговать шлюз первого провайдера через ping -S и в случае восстановления пинга, переключаемся обратно на основной.
2) пингуем опорные точки в интернете. В этом случае переключение на интернет-каналы будет посменное, т.е. при восстановлении связи через основного провайдера данный скрипт не будет переключать на него обратно, а переключит на него лишь в том случае, если упадет второй. И наоборот...

проведя аналогии с Kerio:
1, 2 - аналог "Политика трафика" в Kerio
3, 4 - аналог "Политика HTTP" + "Ограничение полосы пропускания" + статистика
5, 6, 7, 8 - аналог статистики в Kerio
9 - аналог "Подключения" в Kerio
10 - аналог VPN
11 - аналог "Сервер DHCP"
12 - аналог "Переадресации DNS"
13 - аналог переключения на резервный канал

В принципе, остальное можно прикрутить, если понадобится
Если кто знает другие более качественные варианты, было бы интересно о них услышать

ЗЫ: так потихоньку сообща соберем полный аналог Kerio ))

[ailman]

А еще лучше - PFsense
http://www.pfsense.org/