Sziasztok,
Van egy tűzfalgépem, amin Ubuntu 10.04.3 LTS fut. Van benne két hálókártya: eth0(LAN) és eth1(WAN). iptables szabályokkal szabályozom a forgalmat, a http-ről egy squid gondoskodik, transzparens módban.
Van a tűzfal mögött egy DNS szerver (valójában Active Directory), ami gondoskodik a külső nevek feloldásáról is, a belső gépek számára.
A problémám az, hogy annyira leterhelt az internet, hogy sokszor egy weboldal betöltése azért hiúsul meg, mert a DNS kiszolgáló nem kap időben választ. Ez azért nagy probléma, mert egy másik kimenő internetkapcsolattal rendelkező hálózatnak is ő a DNS kiszolgálója, ahol alapból sokkal gyorsabb az internet, de a DNS timeoutok miatt elérhetetlennek látszanak oldalak.
Gondoltam QoS-sel állítom be, hogy a DNS forgalom az adott gépről magas prioritású legyen, de sokkal bonyolultabb ezt megadni, mint gondoltam. Már elkezdtem egy könyvet olvasni a témában, de sajnos most más jellegű munkáim vannak, és már sürgős lenne megoldani ezt a problémát.
Lenne valaki olyan kedves, hogy konkrétan leírja nekem, hogy milyen iptables és qos szabályokat kell beírnom, hogy ez így működjön? (tehát egy adott belső gépről a kifelé menő DNS forgalom magas prioritású legyen)
Előre is köszi,
Robi
- 151546 megtekintés
Hozzászólások
Ez is egy megoldás, de sok más is lehet még:
tc qdisc add dev eth1 root handle 1: prio
iptables -A POSTROUTING -t mangle --source $DnsSterverIpCime -p udp --dport domain -j CLASSIFY --set-class 1:0
Magyarázat:
Prio queue a kimenő interface-en és a DNS forgalom magas prioritást kap mielőtt kimegy rajta.
Olvasd azért el a megfelelő irodalmat, mert anélkül nagyon nem fogod érteni, hogy mi hogyan működik.
- A hozzászóláshoz be kell jelentkezni
Köszönöm szépen, ez jónak tűnik, mindjárt ki is próbálom.
Természetesen, megfelelő háttér tudás nélkül nem állnék neki ilyennek. Már nekifogtam a "Designing and Implementing Linux Firewalls with QoS using netfilter, iproute2, NAT and L7-filter" című könyvnek.
- A hozzászóláshoz be kell jelentkezni
Úgy néz ki, működik.
Köszi még egyszer.
- A hozzászóláshoz be kell jelentkezni
wondershaper? majd ha lesz időd akkor pedig lartc.org
- A hozzászóláshoz be kell jelentkezni
A wondershaper szerintem nem kimondottan erre való, pont a http forgalom, ami megöli a jelenlegi kapcsolatot, ez (ahogy nézem) inkább csak a p2p forgalmat fogná vissza picit. Az meg itt nincs.
Viszont a lartc.org jó forrásnak tűnik, köszönöm :)
- A hozzászóláshoz be kell jelentkezni