Схема для микрорайона?

Question

[rdntw]

Добрый день!

подскажите, пожалуйста, оптимальную схему для след. задач. и плюсы и минусы моей.

есть: микрорайон, в нем куча тупых access-свитчей, на агрегации пусть будет 3750.

дальше линк до 65й. к ней подкручены шейпер и нат. а также пользователи с белыми и серыми IP.

нужно: пользаки с серыми IP ходили как положено по схеме user>shaper>nat>inet.

пользаки с белыми user>shaper>int.


но хочется сделать так чтобы при отрицательном балансе пользак попадал на DNS где ему выдавало дефолтную

страницу и предложение оплатить счет


думали насчер VRF. создать пару vrf, для белых и серых пользователей. но как заставить сначала ходить на dns…

Answer 1

[Пума Тайланд]

Ну так то можно для неплатящих юзеров делать редирект 53 порта на свой днс.

Answer 2

[elve]

Можно перебрасывать пользователей в отдельный изолированный vlan, в котором сделать виртуалку с адресами всех шлюзов и редиректом любых запросов по 80 и 443 портам на страничку с просьбой оплатить интернет.

Answer 3

[JDima]

Как вы умудрились поднять шейпер на 6500, если он не поддерживает шейпинг?

но как заставить сначала ходить на dns…

Если пользователь обязан настраивать именно провайдерские DNS, то можно создать отдельный VRF для задолжников с той же адресацией, с отдельным DNS сервером, имеющим тот же адрес, что и «честный» сервер.
Или как-то подкрутить основной сервер, чтобы он задолжникам выдавал один и тот же адрес.

Comments

[rdntw]

шейпинг на отдельном серваке подключенным через 65

[tgz]

Что значит не поддерживает? Поддерживает. Но не всегда.
По теме, можно посмотреть на wccp и будет не важно у кого какой dns. Да и обычного pbr + DNAT должно хватить.

[JDima]

Поддерживает. Но не всегда.

Правильнее сказать «поддерживает, но смотря что в него напихать». И в любом случае вовсе не на line-rate по всем портам как это сделано для полисинга, PBR, NAT и т.д.

Answer 4

[Nadz Goldman]

В 6500 мы использовали одно время UBRL для «шейпинга».

В целом, вариант с отдельным вланом — самое то. Если, конечно, у вас нет абонов, которые сидят в «тупых» свичах.
А далее простым роут-мапом выкидываем на страницу «Дай бабла».

Answer 5

[Валентин]

Вам редиректить траффик лучше. Видимо, основным маршрутизатором у вас выступает отдельный сервер, он же, наверно, и выполняет роль биллинга. Тогда вам надо делать route-map на сервере, в линухе это через ip rule можно реализовать. А вообще, если бы был путевый роутер, можно было бы рассмотреть варианты с L4-редайректами, обычными route-map'ами.

С DNS не очень хорошо, так как не обязательно же люди пользуются вашим DNS, да и у них даже может быть свой кеширующий сервер внутри сети. Обход найдется.

Comments

[JDima]

если бы был путевый роутер, можно было бы рассмотреть варианты с L4-редайректами, обычными route-map'ами

Это вы сейчас назвали 6500 непутевым роутером?

Только не лучше ли тогда задействовать специально приспособленный под это дело протокол WCCP вместо костылей?

[Валентин]

Ну я свич роутером не называю. Под роутером я понимаю что-то вроде ASR или хотя бы 7200

[JDima]

А я называю свитч (конкретно 6500 и еще несколько штук) роутером. А вот 7200, по опыту общения с ним и его закидонами, такого звания явно не заслужил.
Например, на 6500 прекрасно поддерживается PBR. С маленькими оговорками по поводу того, как надо формировать ACLи.

Answer 6

[Ilya Evseev]

Т.к. используются неуправляемые коммутаторы, перенос заблокированных клиентов в отдельный vlan не сработает.
Остается фильтрация на Интернет-шлюзе.
На примере FreeBSD и ipfw это выглядит примерно так:

# table 1 = enabled clients..
ipfw add 5000 allow all from 'table(1)' to any
ipfw add 5000 allow all from any to 'table(1)'

# local port 81 = "no money" http microserver..
lan_nic="em0"
ipfw add 5100 fwd 127.0.0.1,81 tcp from any to any 80 via "$lan_nic" in
ipfw add 5100 allow            tcp from any 80 to any via "$lan_nic" out

# disable all remaining forwarding..
ipfw add 9999 deny all from any to any