Pessoal , bom dia.
Esta semana postei na lista uma duvida sobre "Rotear multiplos links adsl" que
basicamente o conteudo era :
"estou utilizando o "pf" como firewall.
Consegui fazer o balanceamento da saída (conexoes iniciadas "from" lan "to"
internet) utilizando o "route-to" , mas estou tendo enormes dificuldades em
realizar o "balanceamento" de entrada (conexoes iniciadas "from" internet "to"
dmz) ,que ja é feito via DNS, mas o kernel insiste em responder somente atraves
do gateway default."
Bom,de certa forma concordo com o kernel em responder pela rota default. Mas
tenho esta necessidade de multiplos links, no mesmo roteador e que um pacote
que entre por um link sai pelo mesmo.
Pensei...pensei...pensei...pensei ... Teria que ter uma forma de identificar o
pacote que entrou por um determinado link para que depois se consiga voltar a
resposta do mesmo pelo link correspondente via route-to. E uma forma de fazer
isso seria "natear" as conexoes entrantes. O que resultou nas seguintes regras
de firewall :
route0="(" $ext_if0 $router0 ")"
route1="(" $ext_if1 $router1 ")"
nat on $ext_if0 from {$dmz,$lan} to any -> $ext_ip0
nat on $ext_if1 from {$dmz,$lan} to any -> $ext_ip1
nat on $int_if from any to $dmz tagged ROUTE0 -> $virtual_ip0
nat on $int_if from any to $dmz tagged ROUTE1 -> $virtual_ip1
rdr on $ext_if0 proto tcp from any to $ext_ip0 port {http,https} tag ROUTE0 ->
$web_server
rdr on $ext_if1 proto tcp from any to $ext_ip1 port {http,https} tag ROUTE1 ->
$web_server
pass in on $int_if route-to $route0 from $dmz to $virtual_ip0 flags S/SA
modulate state
pass in on $int_if route-to $route1 from $dmz to $virtual_ip1 flags S/SA
modulate state
pass in on $int_if route-to {$route0,$route1} round-robin from $lan to any
flags S/SA modulate state
pass out on $ext_if0 route-to $route1 from $ext_if1 to any flags S/SA modulate
state
pass out on $ext_if1 route-to $route0 from $ext_if0 to any flags S/SA modulate
state
Analisando somente esta logica, desconsiderando quaisquer outras configuracoes,
isto nao teria que funcionar ? Eu acho que sim,
mas nao esta funcionando. O kernel continua a insistir em responder pela rota
default. O que mais me intriga e que as conexoes originadas da lan to internet
funcionam, sendo que a regra e a mesma.
Alguem consegue me dar um help, ou me orientar se estou tendo uma interpretacao
errada do fluxo correto dos pacotes nas interfaces e de roteamento ?
Grato.
--
Wildes Miranda
-------------------------
Histórico: http://www.fug.com.br/historico/html/freebsd/
Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
