Verkeer scheiden over twee routers

[JasperBrouwer]

Beste Tweakers,

Ik ben momenteel met een project bezig om over twee routers verkeer te scheiden nu is het de bedoeling dat over gateway x.x.x.2 alleen HTTP en HTTPS verkeer gaat en over x.x.x.1 al het andere.

Nu was het eerste wat in mijn opkwam een aparte server met Linux en 3 netwerkkaarten doormiddel van IPTables is het dan de bedoeling om het verkeer te scheiden. Nu heb ik niet zoveel ervaring met IPTables maar ik ben eens gaan zoeken op GoT en Google en ik ben daardoor op deze commando’s gekomen:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth1 -j ACCEPT
iptables -I OUTPUT -i eth1 -p tcp --dport 80 -j DROP
iptables -I OUTPUT -i eth1 -p tcp --dport 443 -j DROP

iptables -t nat -A POSTROUTING -p tcp --sport 80 -j SNAT --to x.x.x.3
iptables -t nat -A POSTROUTING -p tcp --sport 443 -j SNAT --to x.x.x.3
iptables -A OUTPUT -i eth2 -j DROP



Nu weet ik niet of dit gaat werken ik heb dit namelijk nog niet getest. Ik heb ook gezocht naar andere oplossing maar deze leken allemaal niet te kunnen wat wij willen. Kortom weet iemand hoe ik dit het best kan oplossen?

[TrailBlazer]

je moet even zoeken op policy based routing en linux.
op onderstaande site example 2 is precies wat jij wil als ik het goed zie.
http://www.linuxhorizon.ro/iproute2.html

[StarWing]

Er bestaan routers/firewalls met dual wan functionaliteit die dan dmv policy based routing het verkeer gaan routeren over bepaalde interfaces.

Wij hebben zo een toestel draaien en dit werkt perfect.
Zoek eens naar watchguard firewalls
Maar er zijn ongetwijfeld nog andere merken/oplossingen

[JasperBrouwer]

Alvast bedankt voor de snelle reacties. Wat ik vergeten ben om te zeggen is dat onze core switch een Cisco 3560G is. Ik heb gelezen dat je hier ook policy based routing mee kan doen.

[TrailBlazer]

Ja dat kan alleen daar heb je alleen niks aan in dit geval. Die switch zal waarschijnlijk alleen maar switchen en niet routen.

[ChaserBoZ_]

Met een (2e hands) Cisco 87x is dit goed te doen

Linux vast ook wel, maar geen flauw idee hoe

[JasperBrouwer]

ChaserBoZ_ schreef op donderdag 21 januari 2010 @ 12:50:
Met een (2e hands) Cisco 87x is dit goed te doen

Linux vast ook wel, maar geen flauw idee hoe

Na wat voor termen zou ik dan moeten zoeken?

TrailBlazer schreef op donderdag 21 januari 2010 @ 09:30:
je moet even zoeken op policy based routing en linux.
op onderstaande site example 2 is precies wat jij wil als ik het goed zie.
http://www.linuxhorizon.ro/iproute2.html

Ik heb eens even gekeken en goed doorgelezen en volgens mij zou dit het moeten doen:

echo 1 ISP1 > /etc/iproute2/rt_tables
echo 2 ISP2 > /etc/iproute2/rt_tables

iptables -A PREROUTING -t mangle -i eth0 -p tcp --dport 80 -j MARK --set-mark 2
iptables -A PREROUTING -t mangle -i eth0 -p tcp --dport 443 -j MARK --set-mark 2

ip route add default via x.x.x.1 dev eth1 table ISP1
ip route add default via x.x.x.2 dev eth2 table ISP2

ip rule add from all fwmark 1 table ISP1
ip rule add from all fwmark 2 table ISP2

Maar stel als ik iets download via FTP via welke lijn haalt die dat dan binnen? Als ik deze regel er nog aan toevoeg zou die dan gelijk voor ISP1 kiezen?

iptables -A FORWARD -i eth1 -j DROP

[Gizz]

Ik weet niks van Cisco-apparatuur, maar ik weet wel dat je dit op een 'simpele' dual-wan router van Draytek met 4 muisklikken voor elkaar hebt

Dus misschien een optie als het met je huidige apparatuur niet lukt.

[TrailBlazer]

Je hebt altijd nog je default route tabel die je gebruikt voor al het andere verkeer. Je hoeft dus niet perse 2 extra route tabellen te maken. Je zou eventueel dit nog kunnen doen.

code:

iptables -A PREROUTING -t mangle -i eth0 -p tcp --dport ! 80 -j MARK --set-mark 1
iptables -A PREROUTING -t mangle -i eth0 -p tcp --dport ! 443 -j MARK --set-mark 1

Maar dat is een beetje overbodig.

ja het kan ook op die Cisco wederom zoeken op policy based routing maar in dit geval heb je er niks aan omdat die op de verkeerde plek in het netwerk staat. Bovendien is die 3560 een switch en een beetje een router en al helemaal geen firewall. Kortom lekker hobbyen op je linux doos.

[ Voor 26% gewijzigd door TrailBlazer op 21-01-2010 13:43 ]

[JasperBrouwer]

Bedankt voor alle hulp ik ben eruit gekomen