Source tracking для подсетей /21
-
Здравствуйте!
"наслаждаюсь" проблемами с мейл-ру, вконтакте и панелями управления из-за балансировки каналов.
Вручную составлять список и делить пользователей по каналам не хотелось бы, ведь придётся записать все правила фильтра по 2 раза. Кроме того, не очевидно, как поделить пользователей на 2 части, чтобы было активно примерно одинаковое количество из них.
Возможно ли заставить pfsence в состояниях сопоставлять адресу в локалке подсеть /21 в интернете для балансировки? -
Не плохо бы отметить чек-бокс в System –> Advanced --> "Use sticky connections"
И сделать Reset states (или Reboot)/!
-
Спасибо, это уже сделано.
И даже в "source tracking timeout" поставлено 100. Надеюсь, поможет с панелями управления. К слову, в чём измеряется этот интервал в 2,1 , в минутах, в секундах?Проблема в том, что на 155.odnolkassniki.ru запрос идёт по WAN а на 157.odnolkassniki.ru - по OPT1. И одноклассники думают, что у меня пытаются угнать акк, и сбрасывают сессию. Примерно то же с мейл-ру - можно зайти в почту, но скачать вложение не удается.
Поэтому хотелось бы- разложить пакеты в очереди в зависимости от места назначения и начальственности пользователя (сейчас работает)
- наложить ограничения скорости на вредные подсети вроде VKONTAKTE LTD, чтобы видео тормозило даже при свободном канале (сейчас работает)
- распределить пользователей по каналам (сейчас не работает)
-
Интересная задача. Если sticky connections не помогают - как вариант создать алиас(ы) с перечнем(-ями) адресов соц. сетей, создать limiter-ы.
Затем явно указать в правилах fw "ходить" в конкретные соц. сети через конкретный WAN плюс в ВК использовать лимитеры (только они будут работать для всего трафика). Аналогичный алгоритм использовать и для распределения пользователей по каналам - создать алиасы с адресами пользователей и в правилах fw явно указать каким алиасам через какой шлюз вsходить в Сеть. -
В свете той же задачи.
В мануалах и форумах написано, что правила "floating" применяются все до последнего. Я так понял, что можно отдельными правилами, расположенными выше в списке, назначить очереди шейпера, а затем правилами (расположенными ниже) направить трафик на разные шлюзы.
У меня это не выходит. Или я снова многого хочу и сработает только последнее правило? -
Хммм.. А если "а затем правилами (расположенными ниже) направить трафик на разные шлюзы" нарисовать на LAN в fw? Там ведь можно тоже очереди использовать? Правда применяться будет первое попавшееся правило (сверху-вниз).
