LINUX.ORG.RU
ФорумAdmin

Прозрачный прокси с ограничением скорости?


0

1

В общем то было вроде все просто, но оказалось сложно. Есть локалка, сервером является Debian, ip все получают по DHCP, но вот нужно теперь поключить интернет и раздать его, да еще и ограничить, так чтобы всем досталось поровну...

Пришел к тому, что нужен мне прозрачный прокси т.е. все остальные в сети это Win. Но тут нашел такое хитрое правило: http://linuxru.org/tips/ogranichenie-skorosti-s-pomoshchyu-iptables

Что можно мол и по пакетам все отфильтровать, не силен я в iptables, но читал что пакеты все время могут быть разные и резать по пакетам - неправильно. Но почему нет? Нельзя как-то определить размер пакетов, чтобы скорость была ограничена?

Просто оказалось, что даже мой роутер за 40$ в состоянии ограничить скорость и это вполне себе работает... Хочется как-то с помощью iptables и пакетов получить ограничение. И еще интересно, как это делает Tp-Link TL-WR741N/TL-WR741ND?

И что еще непонятно, хочу сделать аунтефикацию логин/пароль и после первого раза - привязка по MAC т.е. подключился раз, узнали MAC и проверка идет сразу по login/pass/mac. Можно ли как то аунтефикацию еще сюда прикрутить? С ней я прост не совсем понимаю, как они будут срествами Win логиниться и как я буду их проверять, ну потом соответсвенно интернет раздавать...



Последнее исправление: postscreen (всего исправлений: 2)

зачем именно прозрачный? раздаёшь DHCP - раздай вместе с ним WPAD, будет обычный прокси, аутентификацию в венде Ъ привязывать к домену, но у тебя видимо нет его

логин+пароль достаточно, MAC - это уже лишнее, инфа 100%, просто веди длинную историю логов проксика и лизов DHCP.

anonymous
()
Ответ на: комментарий от anonymous

С прокси была проблема что 99% Win софта требует ввода прокси в ручную иначе работать отказывается, а они этот самый WPAD подерживают? А аунтефикация через логин пароль тоже через него настраивается?

postscreen
() автор топика

captive portal тебе поможет с логином и пасом + mac.

Но зачем скорость ограничивать - не очень понимаю. Совсем узкий канал? Если не совсем узкий, то может мониторинг трафика настроить и какой-нибудь darkstat (сам сейчас пробую это замутить), особо отличившихся ай-ай-ай делать?)

DALDON ★★★★★
()

читал что пакеты все время могут быть разные и резать по пакетам - неправильно.

По-другому всё равно не порежешь. Тут дело в том, что в TCP/IP есть процедура согласования скорости. Так что если всё правильно настроено, пакеты будут резаться только при согласовании скорости соединения.

Можно ли как то аунтефикацию еще сюда прикрутить?

Для прозрачного - никак. Если только NTLM.

И еще интересно, как это делает Tp-Link TL-WR741N/TL-WR741ND?

Большинство маршрутизаторов позволяет доступ по ssh. Залогинься и посмотри как там что сделано.

Хочется как-то с помощью iptables и пакетов получить ограничение.

Лучше не хоти этого. Лучше захоти iptables+squid, прозрачный прокси со всеми преимуществами squid. HOWTO множество в интернетах есть.

auto12884835
()

Поставь pfsense, для роутера там все есть из коробки (ну, почти - дополнение установить).

ololoid ★★★★
()
Ответ на: комментарий от auto12884835

Во во их как раз множесто, а везде написано по разному, я так думаю может сначала просто раздать интернет по iptables а потом уже пробовать поставить squid, т.е. чего ток не пишут в этих правилах и все все по разному и поди пойми кто что имел ввиду, вот например:

http://www.opennet.ru/base/net/debian_transparent_proxy.txt.html Все просто понятно, но не заработало у меня т.к. не знаю почему, се проверил так же точно но интернета нет... Но у меня Debian 4, в 90% этих HowTo не и половины этих правил, а все потому что я плохо соображаю в iptables

postscreen
() автор топика

нужно теперь поключить интернет и раздать его, да еще и ограничить, так чтобы всем досталось поровну...

Для этого Вам не нужно ни прокси, ни iptables (кроме NAT, исесно). Чтобы «всем досталось поровну» Вам нужно применить шейпинг. Именно этим и занимается Ваш роутер.

funky
()
Ответ на: комментарий от funky

Не пойму немного, если я сервер настрою с DHCP, NAT, еще может чем -то то как сюда роутер пристроить? Хотя блин он и сам все это может что самое интересное то...

postscreen
() автор топика
Ответ на: комментарий от postscreen

Я не предлагал Вам роутер пристраивать. Я всего лишь обратил Ваше внимание, на то, что в роутере применяется шейпинг, описанный в указанной мною ссылке. Это именно то, что Вам нужно настроить на шлюзе.

funky
()
Ответ на: комментарий от postscreen

Во во их как раз множесто, а везде написано по разному

Поэтому и написано по-разному, потому что просто всё, а чем проще - тем больше вариантов.

Все просто понятно, но не заработало у меня т.к. не знаю почему

Чаще всего скрипты с iptables не запускаются из-за ньюансов скриптовой системы в разных дистрах или просто по недосмотру. Почаще проверяй при помощи команды iptables -L чтобы всё было. И вообще, если не научишься диагностировать где, что и почему не работает - так у тебя никакой способ не заработает.

auto12884835
()
Ответ на: комментарий от auto12884835

Во первых, почему бы мне собственно не посмущать? Во вторых, iptables делает только "-j IMQ", все остальное делает tc.

funky
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.