Решено:Настройка шлюза

[grad]

Итак, имеется шлюз с двумя интерфейсами с FreeBSD на борту.
Шлюз имеет 2 интерфейса:
- первый идёт к ADSL модему, модем работает как мост, то есть перенаправляет все пакеты в обе стороны, интерфейс получает IP адрес по DHCP от провайдера.
- второй соединяет шлюз с внутренней сетью (192.168.1.1/24)

У меня есть 2 варианта построения сети:
1) На шлюзе будут крутиться сервисы (http, ftp, ssh...). Эти сервисы должны быть доступны как из Internet, так и из внутренней сети. При этом, машины из внутренней сети должны выходить в инет через этот шлюз.
2) Сервисы будут на одной из машин во внутренней сети, этот сервер должен быть виден из Internet. Остальные машины тоже должны выходить в инет через шлюз.

Подскажите пожалуйста, какой вариант предпочтительней? Как настроить маршрутизацию и что поднять на шлюзе: NAT или какой-нибудь proxy (напр. squid)??

[makss]

Мой совет по первой схеме, во первых проще во вторых внутренняя сеть более защищенной получиться во вторых не надо будет делать перенаправление портов? что в общем то не очень тривиальная задача.
На самом серваке я бы поставил NAT и фаервол, но это опять же зависит от ваших потребностей, если хотите более тонко настраивать выход пользователей в инет то прокси в этом случае лучше намного.

[snake]

Теоретически первый вариант более защищенный и более производительный. Практически же, особых преимуществ нет. Если конечно не предпологается каки-е либо особые варианты использования.

...что поднять на шлюзе: NAT или какой-нибудь proxy (напр. squid)?

↑

Наиболее гибко и то и другое, а проксю настроить на работу в прозрачном режиме, --- меньше бегать по клиентским машинам, особенно если сочетать все с DHCP.

[grad]

Спасибо за ответы, решил ставить NAT+ipfw, только не понял: если я использую NAT, то использовать routed не имеет смысла?

[makss]

NAT это и есть роутер, можно так выразиться, его и надо будет настраивать, но это не сложно в общем то статей на эту тему много

[snake]

NAT это и есть роутер

Ни в коем случае! :o
NAT == Network Adress Translation (трансляция сетевых адресов) Грубо говоря, это штука, когда все машины скрытые во внутренней сети ходят во вне как бы имея внешний адрес шлюза --- один на всех. Со стороны это выглядит как будто шлюз сам отправляет запросы и получает ответы. При роутинге же машины через шлюз ходят в другие сети под своими реальными адресами! Короче, учим мат часть.

2 grad: роутинг для связи с провайдером Вам не нужен. Но если Вы хотите разбить свою сеть на несколько независимых подсетей и наладить между ними общение --- тогда да.

[makss]

NAT == Network Adress Translation (трансляция сетевых адресов) Грубо говоря, это штука, когда все машины скрытые во внутренней сети ходят во вне как бы имея внешний адрес шлюза --- один на всех. Со стороны это выглядит как будто шлюз сам отправляет запросы и получает ответы. При роутинге же машины через шлюз ходят в другие сети под своими реальными адресами! Короче, учим мат часть.

Знаете учил, а вот это есть обыкновенная сеть и здесь то как раз не надо никаких роутеров а вот что бы соеденить две подсети независимые и нужны роутеры шлюзы как хотите зовите это одно и то же и выполняют они одну задачу как раз из одной подсети посылают пакеты в другую подсеть( но по строго определенной таблице маршрутизации) и опять же под своим IP но со вложенным IP клиента....надеюсь правильно написал а NAT как раз одна из функций роутера(шлюза) в принципе подмена реального IP клиента своим

[grad]

Всем спасибо!! Всё получилось. И даже намного легче, чем я думал.
Осталось только грамотно настроить IPFW и перенаправить порты для некоторых сервисов на клиентских машинах.. и всё :-D
Хмм.. теперь встал вопрос об организации HA/LB кластера. Чувствую, без бубна никак не обойтись :-)