Complemento: Na verdade, eu falei utilização da banda, falei errado... é a utilização dos links!
Então, para um Load Balance essa porcentagem é perfeita. Abraços! 2009/5/26 Eduardo Sachs <[email protected]>: > Repito o que o Flavio falou, Load Balance de Links é uma coisa, e Load > Balance de Firewall é outra coisa. > > Para Load Balance de Links, realmente prefiro o *BSD, existe um > projeto chamado pfSense, ele faz o load balance e o failover > perfeitamente dos links wans. Para vocês terem uma idéia, eu tirei o > grafico mensal da utilização dos dois links em um mês, e levei um > susto quando vi que um link utilizava 46% da banda e o outro link 54% > da banda.... PERFEITO :) > > Abraços! > > 2009/5/26 Flavio Junior <[email protected]>: >> Parece q escrevi perguntas demais mesmo, porque deu impressao q tu nem >> leu... >> >> Eu nao perguntei nenhum dado tecnico, sao todos conceitos: >> >> Como fez ativo/ativo? >> = O que foi usado e como (tu disse iptables e iproute, mas o que fazia cada >> um?) >> >> Como balanceava o trafego? >> = Qual tecnica de balanceamento: source-routing, dns round-robin, LVS, >> proxies... >> >> Pra quem apontava os teus clientes da LAN ? >> = A grande questao de um firewall/gateway em load balance nao eh na questao >> link internet, é no acesso da LAN ate o GW, link pode ser até um so nesse >> caso, será um SPoF mas o cenário ainda é valido pro amigo que iniciou a >> thread >> >> Como tratava a queda de um dos router/servidores/links ? >> = Se tu entendeu a ideia, sao 2 servidores como fw/gw, entao eu pergunto: >> Como tratava (se tratava) o caso de queda de um dos fw/gw... >> >> O que me pareceu é que tu confundiu a ideia da thread, nao sao 2 links, sao >> 2 servers. >> >> PS: Pode-se usar 2 links com 1 mesmo proxy utilizando delay_pools e >> tcp_outgoing_address. >> >> -- >> >> Flávio do Carmo Júnior aka waKKu >> >> 2009/5/25 Guilherme Lima <[email protected]> >>> >>> Opa... perai... tem uns cinco anos isso >>> >>> Seguinte, era um provedor Wireless. Queria ter por onde dar uma certa >>> garantia de estabilidade, entao surgiu a ideia de um load com dois links >>> distintos, de duas empresas. Caramba que tanto de pergunta. Voce ao menos >>> leu os artigos amigo? Seguinte, por fim acabei construindo em pf com >>> OpenBSD. Esse eu ainda lembro como faz, mas o iproute... >>> >>> Se for isso que voce precisa. Dois links simultâneos, saiba que nao >>> funciona se o proxy for o mesmo. Pelo menos eu nao consegui. >>> Leia os artigos, construa o que conseguir e me passa os scripts pra >>> ajudar. >>> Eu tinha uns artigos impressos, que foi por onde consegui me guiar. Me >>> lembro que tinha um no Vivaolinux que me ajudou bastante, dá uma busca lá e >>> me atualiza com oq encontrar. >>> >>> Juntos a gente resolve essa parada. E constroi um tuto pra galera ok? >>> >>> Vamos que vamos. >>> >>> 2009/5/25 Flavio Junior <[email protected]> >>>> >>>> Guilherme... >>>> >>>> Como fez ativo/ativo? >>>> Como balanceava o trafego? >>>> Pra quem apontava os teus clientes da LAN ? >>>> Como tratava a queda de um dos router/servidores/links ? >>>> >>>> Valeu... >>>> >>>> -- >>>> >>>> Flávio do Carmo Júnior aka waKKu >>>> >>>> 2009/5/25 Guilherme Lima <[email protected]> >>>>> >>>>> Aqui vão algumas Googladas: >>>>> http://www.linuxbsd.com.br/portal/?q=node/150 >>>>> >>>>> http://www.vivaolinux.com.br/artigo/Conexoes-de-entrada-e-saida-com-2-links-em-um-servidor/ >>>>> >>>>> a googlada original: >>>>> >>>>> http://www.google.com/search?ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&q=construindo+load-balance+com+iproute >>>>> >>>>> Ajudei? >>>>> >>>>> 2009/5/25 Guilherme Lima <[email protected]> >>>>>> >>>>>> Há uns 5 anos... fiz um com iptables e iproute. >>>>>> Se conseguir encontrar o script ou os tutos q eu usei te repasso. >>>>>> >>>>>> MAS... ao fim das contas usei mesmo foi o OpenBSD consegui mais estados >>>>>> e velocidade e fiz tudo com pf. >>>>>> >>>>>> Estude as possibilidades. >>>>>> >>>>>> Gogglarei algo tambem. >>>>>> >>>>>> Ah... era ativo/ativo. usava dois links de internet (GVT e BRT) >>>>>> simultaneamente, distribuindo igualmente. Assim eu garantia um link quase >>>>>> impossivel de sair do ar aos meus clientes. Pelo que entendi... pretendes >>>>>> fazer algo similar. >>>>>> >>>>>> =D >>>>>> >>>>>> 2009/5/25 Eduardo Sachs <[email protected]> >>>>>>> >>>>>>> Sim... >>>>>>> >>>>>>> Vou ter que fazer ativo/passivo... hehehe... >>>>>>> >>>>>>> Só não sei o que usar, Heartbeat? VRRP? UCARP? Keepalived? >>>>>>> >>>>>>> Já usei o Heartbeat numa implementação de firewall ativo/passivo, >>>>>>> porém, não gostei muito de como estava atuando... >>>>>>> >>>>>>> Alguma sugestão? >>>>>>> >>>>>>> Abraços! >>>>>>> >>>>>>> 2009/5/25 Flavio Junior <[email protected]>: >>>>>>> > Pois é, foi o que disse. Pelo menos no meu firewall eu sei >>>>>>> > exatamente o que >>>>>>> > pode entrar ou sair dele, então é possivel usar o LVS. Agora se tu >>>>>>> > só tem um >>>>>>> > firewall agindo como gateway, e todas as portas são liberadas ai eu >>>>>>> > entendo >>>>>>> > teu argumento com o LVS. >>>>>>> > >>>>>>> > Tu não vai conseguir ter 2 IP's em load-balance, a conclusão que eu >>>>>>> > cheguei >>>>>>> > pensando nisso é que a melhor forma de balancear (sem LVS) é por >>>>>>> > source-routing, ou seja, metade dos meus cilentes usa um gateway e >>>>>>> > metade >>>>>>> > usa o outro, se um IP/router cair o outro assume os clientes do que >>>>>>> > caiu. >>>>>>> > >>>>>>> > Ai vem a ideia do dhcp, wpad e dns round-robin. >>>>>>> > >>>>>>> > -- >>>>>>> > >>>>>>> > Flávio do Carmo Júnior aka waKKu >>>>>>> > >>>>>>> > 2009/5/25 Eduardo Sachs <[email protected]> >>>>>>> >> >>>>>>> >> Outra coisa... >>>>>>> >> >>>>>>> >> A grosso modo, seria um ldirectord para firewall. >>>>>>> >> >>>>>>> >> Porém, o ldirectord serve para fazer load balance de serviços >>>>>>> >> TCP/UDP. >>>>>>> >> >>>>>>> >> Abraços! >>>>>>> >> >>>>>>> >> 2009/5/25 Eduardo Sachs <[email protected]>: >>>>>>> >> > Pessoal, >>>>>>> >> > >>>>>>> >> > Seria dois firewalls, os clientes da rede interna usariam eles >>>>>>> >> > aleatoriamente. >>>>>>> >> > >>>>>>> >> > Pelo que eu saiba o LVS ou IPVS só faz load balance de serviços >>>>>>> >> > que >>>>>>> >> > estão alocados em portas TCP/UDP. >>>>>>> >> > >>>>>>> >> > A grosso modo, não se preocupem com esse comentário! Hehehe... >>>>>>> >> > seria >>>>>>> >> > dois firewalls com o mesmo IP, obviamente, eu sei que é >>>>>>> >> > impossível ter >>>>>>> >> > dois números IPs iguais na rede. >>>>>>> >> > >>>>>>> >> > Eu até achei um daemon para replicar os estados da conexão, ele >>>>>>> >> > se >>>>>>> >> > chama conntrackd. >>>>>>> >> > >>>>>>> >> > Segue o site: http://conntrack-tools.netfilter.org/ >>>>>>> >> > >>>>>>> >> > Abraços... >>>>>>> >> > >>>>>>> >> > 2009/5/24 Flavio Junior <[email protected]>: >>>>>>> >> >> Nao entendi bem a ideia, mas me parece ativo/passivo. >>>>>>> >> >> >>>>>>> >> >> Mesmo com caminhos alternativos no switch, o STP sempre assumirá >>>>>>> >> >> um e >>>>>>> >> >> irá >>>>>>> >> >> usa-lo até que esse falhe, ai ele recalcula outro caminho >>>>>>> >> >> (alternativo) >>>>>>> >> >> e >>>>>>> >> >> começa usa-lo (isso leva de 30 a 60 segundos). >>>>>>> >> >> >>>>>>> >> >> Mas ai veio a ideia do LA que eu entendi menos ainda... ai teu >>>>>>> >> >> desenho >>>>>>> >> >> tem >>>>>>> >> >> sw -> fw -> sw -> router ... fiquei confuso >>>>>>> >> >> >>>>>>> >> >> Se puder descrever melhor tua ideia ficarei grato :). >>>>>>> >> >> >>>>>>> >> >> -- >>>>>>> >> >> >>>>>>> >> >> Flávio do Carmo Júnior aka waKKu >>>>>>> >> >> #slackware-br @ irc.freenode.net >>>>>>> >> >> >>>>>>> >> >> 2009/5/23 Carlos Eduardo Tavares Terra <[email protected]> >>>>>>> >> >>> >>>>>>> >> >>> Se tu for fazer proxy transparente, tu pode colocar 2 firewalls >>>>>>> >> >>> sem >>>>>>> >> >>> problemas, já que eles atuariam como uma bridge. Lembrando de >>>>>>> >> >>> ativar o >>>>>>> >> >>> STP no switch para que não ocorra loop na distribuição dos >>>>>>> >> >>> pacotes. >>>>>>> >> >>> FW1 >>>>>>> >> >>> / \ >>>>>>> >> >>> Usuario ---- Switch - FW 2 - Switch -------- Router >>>>>>> >> >>> >>>>>>> >> >>> Pode até fazer um link aggregation ao invés de habilitar o STP, >>>>>>> >> >>> assim >>>>>>> >> >>> você terá 2x a velocidade da sua porta (200Mbps ou 2Gbps), se >>>>>>> >> >>> seus >>>>>>> >> >>> switches suportarem isso. >>>>>>> >> >>> >>>>>>> >> >>> Independente se for STP ou Link Aggregation, sua rede >>>>>>> >> >>> continuará >>>>>>> >> >>> falando com seu router independente se um firewall ou outro >>>>>>> >> >>> cair. Só >>>>>>> >> >>> não podem cair os 2. >>>>>>> >> >>> >>>>>>> >> >>> Espero ter ajudado. >>>>>>> >> >>> >>>>>>> >> >>> 2009/5/22 Eduardo Sachs <[email protected]>: >>>>>>> >> >>> > >>>>>>> >> >>> > Pessoal, >>>>>>> >> >>> > >>>>>>> >> >>> > Estou procurando uma solução para fazer load balance de >>>>>>> >> >>> > firewall, >>>>>>> >> >>> > não >>>>>>> >> >>> > seria Ativo/Passivo, seria Ativo/Ativo. >>>>>>> >> >>> > >>>>>>> >> >>> > Por exemplo: >>>>>>> >> >>> > Firewall 1 >>>>>>> >> >>> > |---------------| /192.168.0.2 >>>>>>> >> >>> > | IP VIP | -------/ >>>>>>> >> >>> > |---------------| \ >>>>>>> >> >>> > 192.168.0.1 \ >>>>>>> >> >>> > Firewall 2 >>>>>>> >> >>> > 192.168.0.3 >>>>>>> >> >>> > >>>>>>> >> >>> > Assim sendo, o gateway das minhas estações é o IP >>>>>>> >> >>> > 192.168.0.1, e dai >>>>>>> >> >>> > ele vai direcionar a conexão para algum dos firewalls, >>>>>>> >> >>> > aleatoriamente. >>>>>>> >> >>> > >>>>>>> >> >>> > No *BSD existe um protocolo chamado CARP que faz esse >>>>>>> >> >>> > cenário, >>>>>>> >> >>> > porém, >>>>>>> >> >>> > preciso fazer isso em um Linux. >>>>>>> >> >>> > >>>>>>> >> >>> > Abraços! >>>>>>> >> >>> > >>>>>>> >> >>> > > >>>>>>> >> >>> > >>>>>>> >> >>> >>>>>>> >> >>> >>>>>>> >> >>> >>>>>>> >> >>> -- >>>>>>> >> >>> Carlos Eduardo Tavares Terra >>>>>>> >> >>> GNU/Linux #413291 [http://counter.li.org] >>>>>>> >> >>> Consultor em Administração de Redes Linux >>>>>>> >> >>> >>>>>>> >> >>> >>>>>>> >> >> >>>>>>> >> >> >>>>>>> >> >> >> >>>>>>> >> >> >>>>>>> >> > >>>>>>> >> >>>>>>> >> >>>>>>> > >>>>>>> > >>>>>>> > > >>>>>>> > >>>>>>> >>>>>>> >>>>>> >>>>>> >>>>>> >>>>>> -- >>>>>> Guilherme de Lima Gontijo >>>>>> --------------------------------------- >>>>>> Analista de Suporte Técnico >>>>>> Consultor de Tecnologia Wireless >>>>>> >>>>>> Linux User #472210 >>>>>> >>>>>> Graduando em Redes de Comunicação - CEFET-GO >>>>>> --------------------------------------- >>>>>> Gtalk: [email protected] >>>>>> aMSN: [email protected] >>>>>> Skype: korosso >>>>> >>>>> >>>>> >>>>> -- >>>>> Guilherme de Lima Gontijo >>>>> --------------------------------------- >>>>> Analista de Suporte Técnico >>>>> Consultor de Tecnologia Wireless >>>>> >>>>> Linux User #472210 >>>>> >>>>> Graduando em Redes de Comunicação - CEFET-GO >>>>> --------------------------------------- >>>>> Gtalk: [email protected] >>>>> aMSN: [email protected] >>>>> Skype: korosso >>>>> >>>>> >>>> >>>> >>>> >>> >>> >>> >>> -- >>> Guilherme de Lima Gontijo >>> --------------------------------------- >>> Analista de Suporte Técnico >>> Consultor de Tecnologia Wireless >>> >>> Linux User #472210 >>> >>> Graduando em Redes de Comunicação - CEFET-GO >>> --------------------------------------- >>> Gtalk: [email protected] >>> aMSN: [email protected] >>> Skype: korosso >>> >>> >> >> >> >> >> > --~--~---------~--~----~------------~-------~--~----~ GUS-BR - Grupo de Usuários de Slackware Brasil http://www.slackwarebrasil.org/ http://groups.google.com/group/slack-users-br Antes de perguntar: http://www.istf.com.br/perguntas/ Para sair da lista envie um e-mail para: [email protected] -~----------~----~----~----~------~----~------~--~---
