RE: Két net, egy szerver

[Péter Tamás]

> Ezt "szépen" nem fogod tudni szétválogatni. Simán fel kell venni a
> routing táblába, hogy kit merre szeretnél látni. 

A static routing ehhez kevés. Gondolj bele: ugyanazon távoli
címről ha megszólítják a sulinetes lábat akkor ott kell
a választ visszaküldeni, ha a másik szolgáltatód felé
mutató lábat, akkor meg arra kell mennie a válasznak.
A távoli cím mindkét esetben ugyanaz, egyértelműen
a válasz-csomag forráscímétől függ az irány.

> csomagjelöléssel lehet játszani, és "MARK"-ok alapján routolni, de
> annak
> csak az adott csomagra van hatása, tehát nem a válászcsomagra, mert ott
> a "MARK"-ot elveszti.

Ez részben igaz, lehet kapcsolatra is MARK-ot definiálni. Akkor 
célszerű használni, ha nem magán a tűzfalon fut a szolgáltatás, 
hanem pl. egy belső szerver felé dobja tovább a tűzfal a csomagot. 

Az első bejövő csomagnál felveszed a CONNMARK-ot:

  $IPTABLES -t mangle -A PREROUTING -i eth0 -d $EXT_IP0 \
      -m state --state NEW -p tcp --dport 25 -j CONNMARK --set-mark 10
  $IPTABLES -t mangle -A PREROUTING -i eth2 -d $EXT_IP2 \
      -m state --state NEW -p tcp --dport 25 -j CONNMARK --set-mark 20

A válasz csomagoknál a CONNMARK alapján kell MARK-ot állítani:

  $IPTABLES -t mangle -A PREROUTING -m connmark --mark 10 -j MARK --set-mark 10
  $IPTABLES -t mangle -A PREROUTING -m connmark --mark 20 -j MARK --set-mark 20

És végül a policy routing:

/sbin/ip rule add from all fwmark 10 to any table 60 prio 60
/sbin/ip route add default via $EXT_GW0 table 60 metric 2
/sbin/ip route add $EXT_NET0 dev eth0 table 60 metric 1

/sbin/ip rule add from all fwmark 20 to any table 70 prio 70
/sbin/ip route add default via $EXT_GW2 table 70 metric 2
/sbin/ip route add $EXT_NET2 dev eth2 table 70 metric 1

A BGP-zésnek a nagy előnye, hogy ugyanazon IP címet használhatod
mindkét szolgáltató felé, és nem más módon (pl. két MX megadásával)
kell az automatikus redundanciát kialakítanod. De ez költségben
azért tényleg más kategória...

Üdv,
Tamás