Repito o que o Flavio falou, Load Balance de Links é uma coisa, e Load Balance de Firewall é outra coisa.
Para Load Balance de Links, realmente prefiro o *BSD, existe um projeto chamado pfSense, ele faz o load balance e o failover perfeitamente dos links wans. Para vocês terem uma idéia, eu tirei o grafico mensal da utilização dos dois links em um mês, e levei um susto quando vi que um link utilizava 46% da banda e o outro link 54% da banda.... PERFEITO :) Abraços! 2009/5/26 Flavio Junior <[email protected]>: > Parece q escrevi perguntas demais mesmo, porque deu impressao q tu nem > leu... > > Eu nao perguntei nenhum dado tecnico, sao todos conceitos: > > Como fez ativo/ativo? > = O que foi usado e como (tu disse iptables e iproute, mas o que fazia cada > um?) > > Como balanceava o trafego? > = Qual tecnica de balanceamento: source-routing, dns round-robin, LVS, > proxies... > > Pra quem apontava os teus clientes da LAN ? > = A grande questao de um firewall/gateway em load balance nao eh na questao > link internet, é no acesso da LAN ate o GW, link pode ser até um so nesse > caso, será um SPoF mas o cenário ainda é valido pro amigo que iniciou a > thread > > Como tratava a queda de um dos router/servidores/links ? > = Se tu entendeu a ideia, sao 2 servidores como fw/gw, entao eu pergunto: > Como tratava (se tratava) o caso de queda de um dos fw/gw... > > O que me pareceu é que tu confundiu a ideia da thread, nao sao 2 links, sao > 2 servers. > > PS: Pode-se usar 2 links com 1 mesmo proxy utilizando delay_pools e > tcp_outgoing_address. > > -- > > Flávio do Carmo Júnior aka waKKu > > 2009/5/25 Guilherme Lima <[email protected]> >> >> Opa... perai... tem uns cinco anos isso >> >> Seguinte, era um provedor Wireless. Queria ter por onde dar uma certa >> garantia de estabilidade, entao surgiu a ideia de um load com dois links >> distintos, de duas empresas. Caramba que tanto de pergunta. Voce ao menos >> leu os artigos amigo? Seguinte, por fim acabei construindo em pf com >> OpenBSD. Esse eu ainda lembro como faz, mas o iproute... >> >> Se for isso que voce precisa. Dois links simultâneos, saiba que nao >> funciona se o proxy for o mesmo. Pelo menos eu nao consegui. >> Leia os artigos, construa o que conseguir e me passa os scripts pra >> ajudar. >> Eu tinha uns artigos impressos, que foi por onde consegui me guiar. Me >> lembro que tinha um no Vivaolinux que me ajudou bastante, dá uma busca lá e >> me atualiza com oq encontrar. >> >> Juntos a gente resolve essa parada. E constroi um tuto pra galera ok? >> >> Vamos que vamos. >> >> 2009/5/25 Flavio Junior <[email protected]> >>> >>> Guilherme... >>> >>> Como fez ativo/ativo? >>> Como balanceava o trafego? >>> Pra quem apontava os teus clientes da LAN ? >>> Como tratava a queda de um dos router/servidores/links ? >>> >>> Valeu... >>> >>> -- >>> >>> Flávio do Carmo Júnior aka waKKu >>> >>> 2009/5/25 Guilherme Lima <[email protected]> >>>> >>>> Aqui vão algumas Googladas: >>>> http://www.linuxbsd.com.br/portal/?q=node/150 >>>> >>>> http://www.vivaolinux.com.br/artigo/Conexoes-de-entrada-e-saida-com-2-links-em-um-servidor/ >>>> >>>> a googlada original: >>>> >>>> http://www.google.com/search?ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&q=construindo+load-balance+com+iproute >>>> >>>> Ajudei? >>>> >>>> 2009/5/25 Guilherme Lima <[email protected]> >>>>> >>>>> Há uns 5 anos... fiz um com iptables e iproute. >>>>> Se conseguir encontrar o script ou os tutos q eu usei te repasso. >>>>> >>>>> MAS... ao fim das contas usei mesmo foi o OpenBSD consegui mais estados >>>>> e velocidade e fiz tudo com pf. >>>>> >>>>> Estude as possibilidades. >>>>> >>>>> Gogglarei algo tambem. >>>>> >>>>> Ah... era ativo/ativo. usava dois links de internet (GVT e BRT) >>>>> simultaneamente, distribuindo igualmente. Assim eu garantia um link quase >>>>> impossivel de sair do ar aos meus clientes. Pelo que entendi... pretendes >>>>> fazer algo similar. >>>>> >>>>> =D >>>>> >>>>> 2009/5/25 Eduardo Sachs <[email protected]> >>>>>> >>>>>> Sim... >>>>>> >>>>>> Vou ter que fazer ativo/passivo... hehehe... >>>>>> >>>>>> Só não sei o que usar, Heartbeat? VRRP? UCARP? Keepalived? >>>>>> >>>>>> Já usei o Heartbeat numa implementação de firewall ativo/passivo, >>>>>> porém, não gostei muito de como estava atuando... >>>>>> >>>>>> Alguma sugestão? >>>>>> >>>>>> Abraços! >>>>>> >>>>>> 2009/5/25 Flavio Junior <[email protected]>: >>>>>> > Pois é, foi o que disse. Pelo menos no meu firewall eu sei >>>>>> > exatamente o que >>>>>> > pode entrar ou sair dele, então é possivel usar o LVS. Agora se tu >>>>>> > só tem um >>>>>> > firewall agindo como gateway, e todas as portas são liberadas ai eu >>>>>> > entendo >>>>>> > teu argumento com o LVS. >>>>>> > >>>>>> > Tu não vai conseguir ter 2 IP's em load-balance, a conclusão que eu >>>>>> > cheguei >>>>>> > pensando nisso é que a melhor forma de balancear (sem LVS) é por >>>>>> > source-routing, ou seja, metade dos meus cilentes usa um gateway e >>>>>> > metade >>>>>> > usa o outro, se um IP/router cair o outro assume os clientes do que >>>>>> > caiu. >>>>>> > >>>>>> > Ai vem a ideia do dhcp, wpad e dns round-robin. >>>>>> > >>>>>> > -- >>>>>> > >>>>>> > Flávio do Carmo Júnior aka waKKu >>>>>> > >>>>>> > 2009/5/25 Eduardo Sachs <[email protected]> >>>>>> >> >>>>>> >> Outra coisa... >>>>>> >> >>>>>> >> A grosso modo, seria um ldirectord para firewall. >>>>>> >> >>>>>> >> Porém, o ldirectord serve para fazer load balance de serviços >>>>>> >> TCP/UDP. >>>>>> >> >>>>>> >> Abraços! >>>>>> >> >>>>>> >> 2009/5/25 Eduardo Sachs <[email protected]>: >>>>>> >> > Pessoal, >>>>>> >> > >>>>>> >> > Seria dois firewalls, os clientes da rede interna usariam eles >>>>>> >> > aleatoriamente. >>>>>> >> > >>>>>> >> > Pelo que eu saiba o LVS ou IPVS só faz load balance de serviços >>>>>> >> > que >>>>>> >> > estão alocados em portas TCP/UDP. >>>>>> >> > >>>>>> >> > A grosso modo, não se preocupem com esse comentário! Hehehe... >>>>>> >> > seria >>>>>> >> > dois firewalls com o mesmo IP, obviamente, eu sei que é >>>>>> >> > impossível ter >>>>>> >> > dois números IPs iguais na rede. >>>>>> >> > >>>>>> >> > Eu até achei um daemon para replicar os estados da conexão, ele >>>>>> >> > se >>>>>> >> > chama conntrackd. >>>>>> >> > >>>>>> >> > Segue o site: http://conntrack-tools.netfilter.org/ >>>>>> >> > >>>>>> >> > Abraços... >>>>>> >> > >>>>>> >> > 2009/5/24 Flavio Junior <[email protected]>: >>>>>> >> >> Nao entendi bem a ideia, mas me parece ativo/passivo. >>>>>> >> >> >>>>>> >> >> Mesmo com caminhos alternativos no switch, o STP sempre assumirá >>>>>> >> >> um e >>>>>> >> >> irá >>>>>> >> >> usa-lo até que esse falhe, ai ele recalcula outro caminho >>>>>> >> >> (alternativo) >>>>>> >> >> e >>>>>> >> >> começa usa-lo (isso leva de 30 a 60 segundos). >>>>>> >> >> >>>>>> >> >> Mas ai veio a ideia do LA que eu entendi menos ainda... ai teu >>>>>> >> >> desenho >>>>>> >> >> tem >>>>>> >> >> sw -> fw -> sw -> router ... fiquei confuso >>>>>> >> >> >>>>>> >> >> Se puder descrever melhor tua ideia ficarei grato :). >>>>>> >> >> >>>>>> >> >> -- >>>>>> >> >> >>>>>> >> >> Flávio do Carmo Júnior aka waKKu >>>>>> >> >> #slackware-br @ irc.freenode.net >>>>>> >> >> >>>>>> >> >> 2009/5/23 Carlos Eduardo Tavares Terra <[email protected]> >>>>>> >> >>> >>>>>> >> >>> Se tu for fazer proxy transparente, tu pode colocar 2 firewalls >>>>>> >> >>> sem >>>>>> >> >>> problemas, já que eles atuariam como uma bridge. Lembrando de >>>>>> >> >>> ativar o >>>>>> >> >>> STP no switch para que não ocorra loop na distribuição dos >>>>>> >> >>> pacotes. >>>>>> >> >>> FW1 >>>>>> >> >>> / \ >>>>>> >> >>> Usuario ---- Switch - FW 2 - Switch -------- Router >>>>>> >> >>> >>>>>> >> >>> Pode até fazer um link aggregation ao invés de habilitar o STP, >>>>>> >> >>> assim >>>>>> >> >>> você terá 2x a velocidade da sua porta (200Mbps ou 2Gbps), se >>>>>> >> >>> seus >>>>>> >> >>> switches suportarem isso. >>>>>> >> >>> >>>>>> >> >>> Independente se for STP ou Link Aggregation, sua rede >>>>>> >> >>> continuará >>>>>> >> >>> falando com seu router independente se um firewall ou outro >>>>>> >> >>> cair. Só >>>>>> >> >>> não podem cair os 2. >>>>>> >> >>> >>>>>> >> >>> Espero ter ajudado. >>>>>> >> >>> >>>>>> >> >>> 2009/5/22 Eduardo Sachs <[email protected]>: >>>>>> >> >>> > >>>>>> >> >>> > Pessoal, >>>>>> >> >>> > >>>>>> >> >>> > Estou procurando uma solução para fazer load balance de >>>>>> >> >>> > firewall, >>>>>> >> >>> > não >>>>>> >> >>> > seria Ativo/Passivo, seria Ativo/Ativo. >>>>>> >> >>> > >>>>>> >> >>> > Por exemplo: >>>>>> >> >>> > Firewall 1 >>>>>> >> >>> > |---------------| /192.168.0.2 >>>>>> >> >>> > | IP VIP | -------/ >>>>>> >> >>> > |---------------| \ >>>>>> >> >>> > 192.168.0.1 \ >>>>>> >> >>> > Firewall 2 >>>>>> >> >>> > 192.168.0.3 >>>>>> >> >>> > >>>>>> >> >>> > Assim sendo, o gateway das minhas estações é o IP >>>>>> >> >>> > 192.168.0.1, e dai >>>>>> >> >>> > ele vai direcionar a conexão para algum dos firewalls, >>>>>> >> >>> > aleatoriamente. >>>>>> >> >>> > >>>>>> >> >>> > No *BSD existe um protocolo chamado CARP que faz esse >>>>>> >> >>> > cenário, >>>>>> >> >>> > porém, >>>>>> >> >>> > preciso fazer isso em um Linux. >>>>>> >> >>> > >>>>>> >> >>> > Abraços! >>>>>> >> >>> > >>>>>> >> >>> > > >>>>>> >> >>> > >>>>>> >> >>> >>>>>> >> >>> >>>>>> >> >>> >>>>>> >> >>> -- >>>>>> >> >>> Carlos Eduardo Tavares Terra >>>>>> >> >>> GNU/Linux #413291 [http://counter.li.org] >>>>>> >> >>> Consultor em Administração de Redes Linux >>>>>> >> >>> >>>>>> >> >>> >>>>>> >> >> >>>>>> >> >> >>>>>> >> >> >> >>>>>> >> >> >>>>>> >> > >>>>>> >> >>>>>> >> >>>>>> > >>>>>> > >>>>>> > > >>>>>> > >>>>>> >>>>>> >>>>> >>>>> >>>>> >>>>> -- >>>>> Guilherme de Lima Gontijo >>>>> --------------------------------------- >>>>> Analista de Suporte Técnico >>>>> Consultor de Tecnologia Wireless >>>>> >>>>> Linux User #472210 >>>>> >>>>> Graduando em Redes de Comunicação - CEFET-GO >>>>> --------------------------------------- >>>>> Gtalk: [email protected] >>>>> aMSN: [email protected] >>>>> Skype: korosso >>>> >>>> >>>> >>>> -- >>>> Guilherme de Lima Gontijo >>>> --------------------------------------- >>>> Analista de Suporte Técnico >>>> Consultor de Tecnologia Wireless >>>> >>>> Linux User #472210 >>>> >>>> Graduando em Redes de Comunicação - CEFET-GO >>>> --------------------------------------- >>>> Gtalk: [email protected] >>>> aMSN: [email protected] >>>> Skype: korosso >>>> >>>> >>> >>> >>> >> >> >> >> -- >> Guilherme de Lima Gontijo >> --------------------------------------- >> Analista de Suporte Técnico >> Consultor de Tecnologia Wireless >> >> Linux User #472210 >> >> Graduando em Redes de Comunicação - CEFET-GO >> --------------------------------------- >> Gtalk: [email protected] >> aMSN: [email protected] >> Skype: korosso >> >> > > > > > --~--~---------~--~----~------------~-------~--~----~ GUS-BR - Grupo de Usuários de Slackware Brasil http://www.slackwarebrasil.org/ http://groups.google.com/group/slack-users-br Antes de perguntar: http://www.istf.com.br/perguntas/ Para sair da lista envie um e-mail para: [email protected] -~----------~----~----~----~------~----~------~--~---
