Linux server met 2 internetconnecties

[Jimbolino]

De situatie is als volgt:

- Een standaard CentOS 6 installatie
- 3 netwerkkaarten
- eth0=lan, eth1=xs4all, eth2=ziggo
- iptables NAT ingesteld op de lan poort

Nu heb ik 2 problemen:
- Soms gaat de nat verbinding via lijn1, soms via lijn2
- Een simpele http server krijg ik niet op 2 lijnen tegelijk aan de gang.

Ik heb al het een en ander gevonden:
http://chris.olstrom.com/howto/setup-dual-wan/
http://lartc.org/howto/lartc.rpdb.multiple-links.html

Probleem is alleen dat deze tutorials er allemaal van uit gaan dat je statische IP-adressen hebt.

Ik wil natuurlijk niet dat heel de boel uit elkaar valt als mijn ipadres verandert.

Het belangrijkste wat moet veranderen is dat verkeer wat op eth1 binnenkomt, ook door eth1 naar buiten gaat. En verkeer dat op eth2 binnenkomt ook op eth2 naar buiten gaat.

Nu heb ik namelijk maar 1 default route, waardoor als er een ping of http request binnenkomt op de niet default interface, hij faalt (omdat de response via de default naar buiten gaat)

Load balancing is niet gewenst, fail-over is leuk, maar ook niet echt nodig.

ps. ik weet dat pfsense dit kan, maar heb liever een volwaardige linux distro op mijn server, aangezien routing niet het enige is wat ie moet doen.

[fast-server]

Je kun het voorbeeld in de eerste link ook aanpassen

eth1 – IP 192.168.254.100 / Gateway 192.168.254.1
eth2 – IP 192.168.1.100 / Gateway 192.168.1.254

Naar
eth1 – IP 192.168.254.100 / Gateway eth1
eth2 – IP 192.168.1.100 / Gateway eth2
En dan de rest instellen.

Hier: http://kindlund.wordpress...-default-routes-in-linux/ staat ook een goed voorbeeld.

Maar waarom heb je eigenlijk je LAN op eth0 zitten?
Meestal komen eerst de WAN interface(s) en dan pas de LAN interface(s)

[ Voor 12% gewijzigd door fast-server op 14-04-2013 09:06 ]

[Kompaan]

Jimbolino schreef op zondag 14 april 2013 @ 02:32:
ps. ik weet dat pfsense dit kan, maar heb liever een volwaardige linux distro op mijn server, aangezien routing niet het enige is wat ie moet doen.

Ik zou nog steeds pfSense gebruiken, maar dan virtueel.

[CAPSLOCK2000]

Ik denk dat je een klein scriptje zal moeten schrijven om de route-tabellen te manipuleren dat je laat aanroepen door je dhcp-client.

[Jimbolino]

CAPSLOCK2000 schreef op zondag 14 april 2013 @ 14:02:
Ik denk dat je een klein scriptje zal moeten schrijven om de route-tabellen te manipuleren dat je laat aanroepen door je dhcp-client.

Ja zoiets probeer ik te vinden.
in /etc/dhcp/dhclient.d staat alleen een script om ntpd te restarten.

Vind het nog steeds raar dat er niet standaard een optie in centos zit om dit aan te zetten. Neem aan dat ik niet de enige ben met een extra netwerkkaart...

[CAPSLOCK2000]

Maar er zijn er niet zo veel die twee internetproviders tegelijk willen NATten.

[Kompaan]

CAPSLOCK2000 schreef op zondag 14 april 2013 @ 17:17:
Maar er zijn er niet zo veel die twee internetproviders tegelijk willen NATten.

Zijn er genoeg die dat willen, is nl. een goedkope manier van meer bandbreedte en redundancy, maar die nemen een router met multi-WAN of pfSense dus (of *WRT, Tomato, dat soort dingen)

Waarom moet de server een router zijn? ik zou dat op een ander (virtueel) apparaat doen, veel makkelijker en minder fout gevoelig.

[Jimbolino]

CAPSLOCK2000 schreef op zondag 14 april 2013 @ 17:17:
Maar er zijn er niet zo veel die twee internetproviders tegelijk willen NATten.

Ik hoef niet allebei de verbindingen te NATten. Ze moeten gewoon allebei tegelijk werken.
Met "werken" bedoel ik, bereikbaar zijn via ping, http etc.

NAT mag gewoon over 1 verbinding.

@Kompaan, een dual wan router is overkill, vaak niet stabiel, en voldoet niet aan mijn eisen.
Ik kan wel pfSense virtueel gaan draaien, maar dat lijkt me onnodig gecompliceerd, aangezien dat het met 10 regels code op te lossen moet zijn toch?

[Freeaqingme]

Het belangrijkste wat moet veranderen is dat verkeer wat op eth1 binnenkomt, ook door eth1 naar buiten gaat. En verkeer dat op eth2 binnenkomt ook op eth2 naar buiten gaat.

Al naar Rule Based Policies gekeken?

http://linux-ip.net/html/routing-selection.html

[Jimbolino]

Freeaqingme schreef op zondag 14 april 2013 @ 17:55:
[...]

Al naar Rule Based Policies gekeken?

http://linux-ip.net/html/routing-selection.html

Dat is standaard routing toch, "destination based routing" ?

Verkeer dat op WAN1 binnenkomt, moet beantwoord worden via WAN1
Verkeer dat op WAN2 binnenkomt, moet beantwoord worden via WAN2

Dit lijkt me meer "source based routing".

In Windows is dit standaard, waarom is dit in Linux zo omslachtig?

[ Voor 4% gewijzigd door Jimbolino op 15-04-2013 02:11 ]

[Kabouterplop01]

Heb je al gedacht aan het feit dat je internetprovider dit misschien niet ondersteunt?

[Jimbolino]

Kabouterplop01 schreef op maandag 15 april 2013 @ 07:58:
Heb je al gedacht aan het feit dat je internetprovider dit misschien niet ondersteunt?

Klopt, als ik de helpdesk bel ondersteunen ze waarschijnlijk geen linux nee.
Maar behalve dat, moet het gewoon kunnen hoor.
Ik ben alleen op zoek naar een simpel scriptje om de correcte routes te zetten, nadat ik mijn ipadres heb gekregen via dhclient...

[Kompaan]

Jimbolino schreef op maandag 15 april 2013 @ 02:10:
[...]
In Windows is dit standaard, waarom is dit in Linux zo omslachtig?

Omdat je op linux ook andere dingen mag doen, als je dat wilt. Daarom zijn er mensen die dit al gebouwd hebben in linux (*WRT) of in unix (pfSense).

Maar even zonder dollen, overkill en niet stabiel is niet iets wat ik over pfSense zou zeggen...

En ja, een paar regels code (iptables rules met marks voor welke internet verbinding het vandaan kwam) zou genoeg moeten zijn. zolang er geen IP adressen veranderen, en geen verbindingen omvallen.

[Jimbolino]

Kompaan schreef op maandag 15 april 2013 @ 23:00:
[...]
Maar even zonder dollen, overkill en niet stabiel is niet iets wat ik over pfSense zou zeggen...

En ja, een paar regels code (iptables rules met marks voor welke internet verbinding het vandaan kwam) zou genoeg moeten zijn. zolang er geen IP adressen veranderen, en geen verbindingen omvallen.

"een dual wan router is overkill, vaak niet stabiel, en voldoet niet aan mijn eisen."

Daarmee bedoelde ik die consumententroep van linksys, netgear etc

Misschien moet ik maar eens in de code van pfSense gaan duiken, het is immers op bestaande linux/bsd technieken gebouwd.

[it0]

Ik denk dat als je een reverse proxy op de niet default route er tussen stopt het allemaal wel moet lukken. Dan zouden namelijk alle ziggo requests altijd via je lokale netwerk terug kunnen, omdat ze er uit zien alsof ze van lokaal komen. Maar goed dat werkt dan alleen met http.

Wat je wilt is moeilijk omdat je geen routing protocollen gebruikt en je wan links niet segmenteert.

[Jimbolino]

een reverse proxy?

Het is op te lossen met 2 simpele routing tabellen, met ieder 2 entries.
Bijkomend probleem is alleen dat ik mijn ipadressen via DHCP krijg, dus ik de routing tabellen pas wil vullen nadat ik mijn ip-adres (en gateway) gekregen heb.

[]Byte[]

Kompaan schreef op zondag 14 april 2013 @ 17:23:
[...]
Zijn er genoeg die dat willen, is nl. een goedkope manier van meer bandbreedte en redundancy, maar die nemen een router met multi-WAN of pfSense dus

Klopt!
Zelf heb ik een pfsense met Multi-WAN config.
1 poot aan KPN (static) en 1 aan Ziggo (dynamic)
Default gaat mijn verkeer over Ziggo tenzij die uitvalt, dan failed ie over naar KPN.
Mail, VoIP, VPN en nog wat andere meuk (in en out) gaan default over KPN, tenzij die uitvalt... dan naar Ziggo
VLAN's, VPN's, Loadbalancing, Failover, cluster-config (CARP)... Je kan het zo gek niet verzinnen of pfsense doet het wel.
Het enige wat ie bij niet doet is boodschappen doen en eten koken.

Waarom moet de server een router zijn? ik zou dat op een ander (virtueel) apparaat doen, veel makkelijker en minder fout gevoelig.

Ik zou bijna zeggen... JA, klopt wederom!
/me ]Byte[ mompelt iets over een dergelijke fout die hij zelf ook ooit heeft gemaakt...
1 "waarschuwing" / aandachtspunt over gevirtualiseerde pfsense...
Als de load niet te extreem is, hoeft het niet zo'n groot probleem te zijn.
Wil je echter ook met Snort en squid-proxy aan de slag... en je hebt daarbij ook nog andere VM's naast draaien.
Dat is killing voor je I/O's! Dat kan wel een serieus probleem worden.
Als je niet al te intensieve VM's hebt draaien kan het wel. Maar wees gewaarschuwd!
Zelf heb ik 'm paar jaar gevirtualiseerd gedraaid, maar uiteindelijk toch maar omgezet naar een dedicated box (HP Microserver N40L met een 60 GB SSD). Onder het motto: 1 = geen, heb ik er een CARP-cluster van gemaakt waarbij de backup-node wel gevirtualiseerd loopt op m'n ESX-doos.
Dit is ook ideaal als je upgrades wil uitvoeren.
Je doet eerst de master-node, en als het goed blijft gaan doe je een paar dagen later de backup-node. downtijd: 0

Voor wat TS betreft, ik zie eigenlijk het probleem niet zo.
Ik heb het vermoeden dat er zoveel gesleuteld is dat je misschien eerst een back-to-basic moet gaan!
Als er een specifieke server of service is die over een specifieke WAN naar buiten moet, zet dan bij je rule de gateway op de betrokken WAN-poort waarover ie naar buiten moet.
thats all!
Doe nog ff helemaal niets met Loadbalancing of failover.
Probeer het eerst eens in de basis goed te zetten.

[Jimbolino]

Bedankt voor de goede reviews van pfsense, ik zal het voor een nieuwe server zeker overwegen.

Echter staat in mijn topicstart duidelijk dat ik geen pfsense wil draaien, inclusief de reden daarvoor.