Source tracking для подсетей /21



  • Здравствуйте!
    "наслаждаюсь" проблемами с мейл-ру, вконтакте и панелями управления из-за балансировки каналов.
    Вручную составлять список и делить пользователей по каналам не хотелось бы, ведь придётся записать все правила фильтра по 2 раза. Кроме того, не очевидно, как поделить пользователей на 2 части, чтобы было активно примерно одинаковое количество из них.
    Возможно ли заставить pfsence в состояниях сопоставлять адресу в локалке подсеть /21 в интернете для балансировки?



  • Не плохо бы отметить чек-бокс в System –> Advanced --> "Use sticky connections"

    И сделать Reset states (или Reboot)/!



  • Спасибо, это уже сделано.
    И даже в "source tracking timeout" поставлено 100.  Надеюсь, поможет с панелями управления. К слову, в чём измеряется этот интервал в 2,1 , в минутах, в секундах?

    Проблема в том, что на 155.odnolkassniki.ru  запрос идёт по WAN а на 157.odnolkassniki.ru - по OPT1. И одноклассники думают, что у меня пытаются угнать акк, и сбрасывают сессию. Примерно то же с мейл-ру - можно зайти в почту, но скачать вложение не удается.
    Поэтому хотелось бы

    • разложить пакеты в очереди в зависимости от места назначения и начальственности пользователя (сейчас работает)
    • наложить ограничения скорости на вредные подсети вроде VKONTAKTE LTD, чтобы видео тормозило даже при свободном канале (сейчас работает)
    • распределить пользователей по каналам (сейчас не работает)


  • Интересная задача. Если sticky connections не помогают - как вариант создать алиас(ы) с перечнем(-ями) адресов соц. сетей, создать limiter-ы.
    Затем явно указать в правилах fw "ходить" в конкретные соц. сети через конкретный WAN плюс в ВК использовать лимитеры (только они будут работать для всего трафика). Аналогичный алгоритм использовать и для распределения пользователей по каналам - создать алиасы с адресами пользователей и в правилах fw явно указать каким алиасам через какой шлюз вsходить в Сеть.



  • В свете той же задачи.
    В мануалах и форумах написано, что правила "floating" применяются все до последнего. Я так понял, что можно отдельными правилами, расположенными выше в списке, назначить очереди шейпера, а затем правилами (расположенными ниже) направить трафик на разные шлюзы.
    У меня это не выходит. Или я снова многого хочу и сработает только последнее правило?



  • Хммм.. А если "а затем правилами (расположенными ниже) направить трафик на разные шлюзы" нарисовать на LAN в fw? Там ведь можно тоже очереди использовать? Правда применяться будет первое попавшееся правило (сверху-вниз).


Log in to reply