брандмауэра

у меня это вызывает ассоциации с оффтопиком

Это же вполне технический термин, который в этом качестве использовался и используется без оглядки на оффтопик, которого в статье вообще нет.

ну так я заметил что статья не про оффтопик, но это слово создаёт неприятный оттенок

Хорошо, могу пойти на компромис: в новости указать файервол, а в статье не менять, ибо файервол - чистейший новомодный англицизм, более строгая русская документация предпочитает именно брандмауэр, хотя это и немецкий.

Не ведись на это, а то вообще заставят говорить vuurmuur

Я видел некоторое дерьмо.

А вообще по теме - на сколько я понимаю, этот огород потому что Juniper - дорого?

По идее да. Но я сам на работе гоняю на десктопе пару network namespace-ов для конфигурации оборудования. Потому что никто в личное пользование девайс с VRF-ами мне не даст :-)

А у меня такой домашнюю сетку рулит )))) Overkill ужасный, естественно.

У меня дома Mikrotik, но, как ты понимаешь, говорить что в нём полноценный VRF - сильно кривить душой :-)

Посмотрел статью по диагонали, но так и не понял, зачем всё это автору. Ради экспериментов?

ебтэйблс

Хе-хе-хе...

Проблема описана в конце Предисловия.

ебтэйблс

Хе-хе-хе...

это в статье обыгранно :)

Так это уникальное решение для конкретных нужд?

Лучше б что-нибудь про модный openvswitch, чем 20-летние баяны ворошить...

еще одно подтверждение тому факту, что в юниксе можно применить туеву тучу средств для реализации стандартных и не очень задач
это ж прекрасно

Так это уникальное решение для конкретных нужд?

Вы вообще хотя бы предисловие читали? Что там уникального?

Как честный Ъ, не видел...

Лучше б что-нибудь про модный openvswitch, чем 20-летние баяны ворошить...

openvswitch без реализации в железе такой же виртуальный на поиграться девайс. Было б интересно послушать, какое применение его может заинтересовать в виде программной реализации не вендоров, делающих его в железе.

Занятный малюсенький трюк: почему так любят адреса 192.168.X.Y? А потому что это адреса класса C, нам не придётся указывать маску в командах ifconfig

После этой наркомании читать дальше не стал.

Да, вероятно, это лишнее. :) Будете настаивать, убедите, уберу. На самом деле не хотелось рассписывать основную причину: пришлось бы делать еще один конфигурационный файл, где будут указаны не только адреса (а такого конфига из-за трюка с mac и hosts и нет), но и маски. И тут уже не выкрутишься, конфиг такой понадобится, либо харкодить /24 для других серых адресов, которые не класса C.

Та не. Это инфа добавляет колорита =) Пусть буит, читаю дальше))

Ладно, облагородил текст в этом месте.

Это вы один все сделали? Если да, то хвала вам!

Это вы один все сделали?

Когда есть 20-летние наработки, то самое нудное в этом деле было написать статью :)

openvswitch стал настройкой по-умолчанию в rhev/ovirt 4.0 и выше. http://www.ovirt.org/feature/openvswitch/native-openvswitch/ Так что инженерам, занимающимся виртуализацией, придется его изучить, разворачивая хосты.

Изучить, конечно, не помешает. Но что ж он такой монстр...

между прочим многие крупные компании делают l2 сети.

Ничего не понтяно

А что мешало просто воткнуть линк от нового провайдера в ваш старый маршрутизатор, перенастроить подключение и жить дальше также, как 20 лет до этого?

между прочим многие крупные компании делают l2 сети

Эээ, а это что-то необычное? Или имеется в виду туннелирование L2?

А что мешало просто воткнуть линк от нового провайдера в ваш старый маршрутизатор, перенастроить подключение и жить дальше также, как 20 лет до этого?

Ну вот приходит к вам оптика. Куда чего переткнуть, если её можно только воткнуть и согласиться с тем, что cisco-рутером провайдера вам управлять никто не даст, ни pppoe тоже не хотят давать?

Я так понял, что новый провайдер выделил вам как минимум один белый IP, нет?

По одному (как в прочем и всегда) в филиалах. Ладно, а теперь трюк. делаем nslookup на сервер, где лежит статья. И теперь лёгким движением руки меняем туда-сюда последнюю циферку в полученных. Правда, несложный фокус?

Это когда компьютеры во всех филиалах соедененны в единую сеть.

как я понял, там используется только busybox

Это когда компьютеры во всех филиалах соедененны в единую сеть.

Будьте проще и люди к вам потянутся. Вы в самом деле считаете, что высказали великое откровение? Ну есть у нас mpls параллельно вышеизложенному, ибо то что как на самом деле всё сделано не тема этой статьи, но та часть с Интернетом - почти один в один.

Ладно, а теперь трюк. делаем nslookup на сервер, где лежит статья. И теперь лёгким движением руки меняем туда-сюда последнюю циферку в полученных.

И в чем трудность? Несколько IP на один интерфейс взгромоздить?

mpls есть не во всех системах.
OpenBSD - ЕСТЬ
NetBSD - ЕСТЬ
Linux - ЧАСТИЧНО
FreeBSD - НЕТ
Но, в OpenBSD есть непонятки с сетивым стеком. До 2,5G скорость 300-500Mbps на гигабитном интерфейсе. После 2,5G до 980-1024Mbps. С чем это связанно, и как это профиксить - не знаю?
В Linux базовый mpls есть, но vpls там нету.

И в чем трудность? Несколько IP на один интерфейс взгромоздить?

Может сразу предложите к провайдеру подключиться с серым IP? Видите ли, на свете есть задачи, выходящие за рамки подключения типа домашнего.

Сейчас уже давно у ripe подсеть регистрируют и используют bgp. Интересто, можно ли quagga'у собрать static-бинариком?

До 2,5G скорость 300-500Mbps на гигабитном интерфейсе.

Я рад за вас. Нам и по 10Mbit/филиал обходится по области в круглую сумму. :)

Всё можно собрать статиком, что бы вам ни говорили, насчёт libnss и прочих плагинов.

Может сразу предложите к провайдеру подключиться с серым IP?

А почему бы и да? На DMVPN, наверное, даже разрулили бы не сильно напрягаясь :)

Видите ли, на свете есть задачи, выходящие за рамки подключения типа домашнего.

Правда? А пацаны-то не знают...
Давайте всё же вернёмся к разнице между вашим первоначальным вариантом, где всё прекрасно ходило 20 лет через один единственный шлюз, и ко второму, где это почему-то стало невозможным.
Что так сильно изменилось, что теперь невозможно поток трафика точно также гонять через тот же самый шлюз?

А почему бы и да? На DMVPN, наверное, даже разрулили бы не сильно напрягаясь :)

И так с каждым клиентом, у нас их 2500, от яселек до ...(цензура).

Давайте всё же вернёмся к разнице между вашим первоначальным вариантом,

Это можно, ибо по теме. Разница была в том, что a) на pppoe был отдельный адрес, даже о ужас - динамический; б) а вот сеть/24 была уже за нашим маршрутизатором. Провайдеру было пофиг, он эту сетку заруливал через это pppoe подключение с нащим логином, его даже не интерессовало, какой IP был у нашего pppoe-клиента и соответственно центрального маршрутизатора-файервола.

a) на pppoe был отдельный адрес, даже о ужас - динамический; б) а вот сеть/24 была уже за нашим маршрутизатором

Кажется я начал понимать
Ваша сеть /24 имела маршрутом 0.0.0.0 ваш маршрутизатор с IP в той же подсети, откуда всё это улетало в pppoe и вы спокойно рулили iptables'ом на FORWARD по разным интерфейсам
А тут вышло так, что маршрут 0.0.0.0 ведет не на ваш маршрутизатор, а на провайдерский, ваш маршрутизатор стал наравне со всеми в белой подсети, второй интерфейс у него как бы исчез, а рулить надо. Выносить бывшие белые IP в серую подсеть и NAT'ить маршрутизатором желания нет.
Так?

Мне кажется решение навроде распилить выданную сеть несмежными VLSM'ом типа 255.255.255.4 и 255.255.255.252 для сети /24 было бы несколько проще и быстрее в реализации и позволило бы сохранить прежнюю схему подключения. Хотя ни разу на практике не реализовывал, да.

Так?

Именно! Правда это были не iptables, а access-list-ы на кошке.

распилить выданную сеть

В статье упоминается, что теперь не /24. Сколько вы и сами могли nsookup-ом определить. :) Совсем недавно, даже когда мы перестали платить за прошлогодний договор так всё и работало, все сервисы ходили через сеть/24, а со второго провайдера ходил в мир только squid, сетка была распилена.

Кажется я начал понимать

PS: мне всё-таки кажется, что на первой картинке этот момент ясно отражён: белая сеть с сервисами и VPN-для-клиентов за маршрутизатором.

А с Гоголем не ассоциируется? Термин и у него есть. Причём, кажется что файрвол - это просто неправильно, ведь значение противопожарная стена, а вовсе не огненная.

а как?

В статье упоминается, что теперь не /24

Принцип не изменится. Единственное, что в целом диапазона может быть недостаточно - это да.

Сколько вы и сами могли nsookup-ом определить. :)

Не настоящий я ракетчик, не умею так nslookup запускать. whois'ом по старинке.