Разделение трафика на основе принадлежности к зоне .RU

А что, трафик может принадлежать к зоне .RU?

Для iptables раньше был плагин geoip, если живо можешь попробовать

находишь все российские подсети, вносишь в правила маршрутизации - профит

типа доступ к сайтам зоны .RU только через указанного провайдера

тогда в канал попадет не только домены .RU но и множество других типа .SU .РФ и т.д.

geoip живее всех живых, но он не подходит, мне нужно отделить зону .RU а не российские сети ;(

Тоесть только для web? Ну можешь layer7 попробовать

Это отдельные задачи: направление разного трафика по разным каналам и разделение трафика по географии.

По первому гугли policy-based routing. ИМХО, лучше всего создать две таблицы маршрутизации для провайдеров, фаерволом маркировать трафик (-m mark --set-mark MARK1), и на основе меток кидать в разные таблицы (ip rule add fwmark MARK1 lookup PROV1).

По второму — в xtables-addons есть модуль geoip для iptables, который умеет различать трафик по географической принадлежности.

...я чего то упустил, его уже запилили в ядро?...

http и https без esni теоретически можно через прокси попытаться завернуть.

Ядерный вариант IMHO полностью исключен т.к. там ты работаешь с уже установленным соединением.

Только прокси, который сначала принимает соединение от клиента и на основе разбора запроса принимает решение о выборе канала.

Спасибо. Пойду поковыряю mikrotik, у него layer7 прикручен.

поищи на форуме есть тема где активно nDPI обсуждают

ну типа любой домен может хоститься где угодно, хоть в Африке

Надо юзать прозрачный прокси. Вроде squid умеет выставлять tos в зависимости от acl. Но у меня это не сработало.

Задача.
Для домена сайта в зоне ru прописано 2 ip - российский и иностранный. Этот сайт имеет доменное имя ещё в зоне so, с теми же ip. Как оно будет работать с таким разделением?

dpi тут не поможет т.к. соединение можно установить только после анализа имени запрашиваемого ресурса.

Есть два имени с одним и тем же ip.

xxx.ru - 1.1.1.1 и xxx.com - 1.1.1.1

Запрос к xxx.ru должен идти через один канал, а xxx.com через другой.

Если в сквиде acl ssl::server_name_regex «быстрый», то задача решается сквидом т.к. в tcp_outgoing_address можно примерять только быстрые типы acl.

Вероятно, вам нужен комплекс ПО со специальным DNS-сервером, который будет определять запросы к зоне .ru (если речь именно о доменной зоне, а не о физическом расположении серверов или диапазонов IP-адресов) и перенаправлять их на один из заданных каналов. Из известных мне подобных комплексов — https://github.com/mrahmadt/SmartGW

Ого! Какие люди:) А нельзя разве в обычном прокси делать перенаправление по маске *.ru на вышестоящий, который в свою очередь будет весь свой трафик гнать по отдельному маршруту? Что-то типа опции upstream в tinyproxy.

Можно, но прокси будет работать только для веб-сайтов, а способ с «умным» DNS работает на уровне маршрутов, и подходит для любого протокола и программы.