Há uns 5 anos... fiz um com iptables e iproute. Se conseguir encontrar o script ou os tutos q eu usei te repasso.
MAS... ao fim das contas usei mesmo foi o OpenBSD consegui mais estados e velocidade e fiz tudo com pf. Estude as possibilidades. Gogglarei algo tambem. Ah... era ativo/ativo. usava dois links de internet (GVT e BRT) simultaneamente, distribuindo igualmente. Assim eu garantia um link quase impossivel de sair do ar aos meus clientes. Pelo que entendi... pretendes fazer algo similar. =D 2009/5/25 Eduardo Sachs <[email protected]> > > Sim... > > Vou ter que fazer ativo/passivo... hehehe... > > Só não sei o que usar, Heartbeat? VRRP? UCARP? Keepalived? > > Já usei o Heartbeat numa implementação de firewall ativo/passivo, > porém, não gostei muito de como estava atuando... > > Alguma sugestão? > > Abraços! > > 2009/5/25 Flavio Junior <[email protected]>: > > Pois é, foi o que disse. Pelo menos no meu firewall eu sei exatamente o > que > > pode entrar ou sair dele, então é possivel usar o LVS. Agora se tu só tem > um > > firewall agindo como gateway, e todas as portas são liberadas ai eu > entendo > > teu argumento com o LVS. > > > > Tu não vai conseguir ter 2 IP's em load-balance, a conclusão que eu > cheguei > > pensando nisso é que a melhor forma de balancear (sem LVS) é por > > source-routing, ou seja, metade dos meus cilentes usa um gateway e metade > > usa o outro, se um IP/router cair o outro assume os clientes do que caiu. > > > > Ai vem a ideia do dhcp, wpad e dns round-robin. > > > > -- > > > > Flávio do Carmo Júnior aka waKKu > > > > 2009/5/25 Eduardo Sachs <[email protected]> > >> > >> Outra coisa... > >> > >> A grosso modo, seria um ldirectord para firewall. > >> > >> Porém, o ldirectord serve para fazer load balance de serviços TCP/UDP. > >> > >> Abraços! > >> > >> 2009/5/25 Eduardo Sachs <[email protected]>: > >> > Pessoal, > >> > > >> > Seria dois firewalls, os clientes da rede interna usariam eles > >> > aleatoriamente. > >> > > >> > Pelo que eu saiba o LVS ou IPVS só faz load balance de serviços que > >> > estão alocados em portas TCP/UDP. > >> > > >> > A grosso modo, não se preocupem com esse comentário! Hehehe... seria > >> > dois firewalls com o mesmo IP, obviamente, eu sei que é impossível ter > >> > dois números IPs iguais na rede. > >> > > >> > Eu até achei um daemon para replicar os estados da conexão, ele se > >> > chama conntrackd. > >> > > >> > Segue o site: http://conntrack-tools.netfilter.org/ > >> > > >> > Abraços... > >> > > >> > 2009/5/24 Flavio Junior <[email protected]>: > >> >> Nao entendi bem a ideia, mas me parece ativo/passivo. > >> >> > >> >> Mesmo com caminhos alternativos no switch, o STP sempre assumirá um e > >> >> irá > >> >> usa-lo até que esse falhe, ai ele recalcula outro caminho > (alternativo) > >> >> e > >> >> começa usa-lo (isso leva de 30 a 60 segundos). > >> >> > >> >> Mas ai veio a ideia do LA que eu entendi menos ainda... ai teu > desenho > >> >> tem > >> >> sw -> fw -> sw -> router ... fiquei confuso > >> >> > >> >> Se puder descrever melhor tua ideia ficarei grato :). > >> >> > >> >> -- > >> >> > >> >> Flávio do Carmo Júnior aka waKKu > >> >> #slackware-br @ irc.freenode.net > >> >> > >> >> 2009/5/23 Carlos Eduardo Tavares Terra <[email protected]> > >> >>> > >> >>> Se tu for fazer proxy transparente, tu pode colocar 2 firewalls sem > >> >>> problemas, já que eles atuariam como uma bridge. Lembrando de ativar > o > >> >>> STP no switch para que não ocorra loop na distribuição dos pacotes. > >> >>> FW1 > >> >>> / \ > >> >>> Usuario ---- Switch - FW 2 - Switch -------- Router > >> >>> > >> >>> Pode até fazer um link aggregation ao invés de habilitar o STP, > assim > >> >>> você terá 2x a velocidade da sua porta (200Mbps ou 2Gbps), se seus > >> >>> switches suportarem isso. > >> >>> > >> >>> Independente se for STP ou Link Aggregation, sua rede continuará > >> >>> falando com seu router independente se um firewall ou outro cair. Só > >> >>> não podem cair os 2. > >> >>> > >> >>> Espero ter ajudado. > >> >>> > >> >>> 2009/5/22 Eduardo Sachs <[email protected]>: > >> >>> > > >> >>> > Pessoal, > >> >>> > > >> >>> > Estou procurando uma solução para fazer load balance de firewall, > >> >>> > não > >> >>> > seria Ativo/Passivo, seria Ativo/Ativo. > >> >>> > > >> >>> > Por exemplo: > >> >>> > Firewall 1 > >> >>> > |---------------| /192.168.0.2 > >> >>> > | IP VIP | -------/ > >> >>> > |---------------| \ > >> >>> > 192.168.0.1 \ > >> >>> > Firewall 2 > >> >>> > 192.168.0.3 > >> >>> > > >> >>> > Assim sendo, o gateway das minhas estações é o IP 192.168.0.1, e > dai > >> >>> > ele vai direcionar a conexão para algum dos firewalls, > >> >>> > aleatoriamente. > >> >>> > > >> >>> > No *BSD existe um protocolo chamado CARP que faz esse cenário, > >> >>> > porém, > >> >>> > preciso fazer isso em um Linux. > >> >>> > > >> >>> > Abraços! > >> >>> > > >> >>> > > > >> >>> > > >> >>> > >> >>> > >> >>> > >> >>> -- > >> >>> Carlos Eduardo Tavares Terra > >> >>> GNU/Linux #413291 [http://counter.li.org] > >> >>> Consultor em Administração de Redes Linux > >> >>> > >> >>> > >> >> > >> >> > >> >> >> > >> >> > >> > > >> > >> > > > > > > > > > > > > > -- Guilherme de Lima Gontijo --------------------------------------- Analista de Suporte Técnico Consultor de Tecnologia Wireless Linux User #472210 Graduando em Redes de Comunicação - CEFET-GO --------------------------------------- Gtalk: [email protected] aMSN: [email protected] Skype: korosso --~--~---------~--~----~------------~-------~--~----~ GUS-BR - Grupo de Usuários de Slackware Brasil http://www.slackwarebrasil.org/ http://groups.google.com/group/slack-users-br Antes de perguntar: http://www.istf.com.br/perguntas/ Para sair da lista envie um e-mail para: [email protected] -~----------~----~----~----~------~----~------~--~---
