Advanced policy routing με cisco router

[challenger]

Γεια σας,

Κατ' αρχήν τις καλύτερες ευχές για μία νέα χρονιά γεμάτη υγεία, αγάπη, ειρήνη και προσωπική επιτυχία σε όλους.

Έχω το cisco router 2811 με τρία ADSL2 interfaces συνδεμένα σε τρείς ανεξάρτητες adsl2 γραμμές (24mbp/s η κάθε μια), και αυτό μέσω του ethernet interface συνδεμένο σε ένα δίκτυο με 10 υπολογιστές.

Αυτό που θέλω να κάνω είναι το εξής:

Ανάλογα με την εφαρμογή που τρέχει κάθε υπολογιστής, π.χ. παιχνίδια ή http ή torrents, το ρούτερ θα πρέπει να διαχωρίζει το traffic στην επιθυμητή γραμμή. Γνωρίζω όλες τις πόρτες που χρησιμοποιούνται από τα παιχνίδια.

Το ζητούμενο δηλαδή είναι: τα παιχνίδια να φύγουν απο την γραμμή 1, τα http/https στην γραμμή 2 και όλα τα υπόλοιπα στην γραμμή 3. Ένας υπολογιστής μπορεί να βλέπει σελίδες και να παίζει παιχνίδια παράλληλα, το network traffic θα πρέπει να διαχωρίζεται και να ΜΗΝ είναι per host, αλλα per connection.

Γίνεται με το συγκεκριμένο ρούτερ αυτό? Και αν ναι, μπορούν να δωθούν καποιες πληροφορίες προς τα που να ψάξω...

Σας ευχαριστώ εκ των προτέρων.

Με εκτίμηση,
Νίκος

[cprotopapas]

http://www.cisco.com/en/US/products/ps6616/products_qanda_item09186a00800a3ded.shtml

Enjoy

[SfH]

http://www.cisco.com/en/US/docs/ios/12_0/qos/configuration/guide/qcpolicy.html


Ένας υπολογιστής μπορεί να βλέπει σελίδες και να παίζει παιχνίδια παράλληλα, το network traffic θα πρέπει να διαχωρίζεται και να ΜΗΝ είναι per host, αλλα per connection.

Εδώ με μπερδεύεις λίγο. Το per connection είναι αλλου παππά ευαγγέλιο. Εννοείς per application (acl/nbar match), σωστά?

[challenger]

http://www.cisco.com/en/US/docs/ios/12_0/qos/configuration/guide/qcpolicy.html



Εδώ με μπερδεύεις λίγο. Το per connection είναι αλλου παππά ευαγγέλιο. Εννοείς per application (acl/nbar match), σωστά?

@Someonefromhell
Sry έχω χαθεί λίγο με την ορολογία του cisco, αλλά ναι όταν έναν connection κάνει match με ενα rule (είδα ότι με το cisco μπορείς να περιγράψεις ένα πακέτο μέχρι κ layer 7 pdlm όπως λέγεται) θέλω το cisco να το στέλνει (routing + nat) στην αντίστοιχη (1η ή 2ή) ADSL γραμμή, και αν δεν κάνει match με κανένα rule τότε να τα στέλνει σαν default stin 3ή ADSL γραμμή.

@both
Διάβασα πάνω κάτω τι κάνει το NBAR, και απ' ότι κατάλαβα μπορείς να κάνεις classify οτιδήποτε και με πολύπλοκα expressions αν χρειαστεί, αυτά τώρα μπορούν να χρησιμοποιηθούν για να κάνεις routing ή μονο σε traffic shapping μπορούν να χρησιμοποιηθούν?
Βασικά για να μην χανόμαστε με τις ορολογίες του cisco που δεν τις ξέρω, όλο αυτό ξέρω να το κάνω σε linux, φτιάχνωντας 2 routing rules με βάση το fwmark του πακέτου:
ip ro add table ${RT1} default via ${WAN1_GW} dev ${WAN1_IF}
ip ru add fwmark 1 table ${RT1}

ip ro add table ${RT2} default via ${WAN2_GW} dev ${WAN2_IF}
ip ru add fwmark 2 table ${RT2}

και μετά απλά κάνω mark τα πακέτα που θέλω με το iptables είτε με id 1 ή 2, π.χ. τα πακετα με dest port 80 -> mark 2 και τα πακέτα με dest port [mia porta enos online paixnidou] -> mark 1.
(Φυσικά χρειάζονται κ αλλα routes για να δουλέψει πλήρως όπως επίσης και NAT αλλά αυτά τα θεωρώ δεδομένα)

Αυτό ακριβώς θέλω να κάνω κ με το cisco, γίνεται? :)

[SfH]

Προσωπικά δεν έχω το nbar σε ιδιαιτερα μεγάλη εκτίμηση (αν και σίγουρα σε μεγαλύτερη από ότι το l7-filter του linux). Απλά μην περιμένεις να πιάσει εύκολα οποιοδήποτε p2p δε θέλει να "πιαστεί" εύκολα. Για layer 7 βεβαια υπάρχει πιο εξειδικευμένος εξοπλισμός που μπορεί, εκτος των άλλων, να "μαρκάρει" τα πακέτα με dscp και μέσω αυτού να τα στείλει ο cisco όπου θες να πάνε, αλλα κοστίζει.

Από κει και πέρα, αυτό που έγραψες μεταφράζεται περίπου έτσι σε ios.




interface <όνομα εσωτερικού interface>
ip policy route-map <όνομα route-map>


route-map <όνομα> permit 10
match ip address <acl>
set interface <όνομα interface, πχ, Dialer1>
route-map <όνομα> permit 20
match ip address <μια άλλη acl>
set interface <όνομα interface>

[anon]

Εναλλακτικα παίρνεις έναν layer7 classifier και σου κάνει την δουλειά πιο εύκολα. πχ NetEnforcer (πολύ ακριβό), ή packeteer... Yπάρχουν πολλές λύσεις, εαν γουγλίσεις θα βρείς αρκετά. Μπορεί νάχει μεγαλύτερο αρχικό κόστος, αλλά είναι εξειδικευμένα για αυτή την δουλειά, και πιο εύκολα στην διαχείρηση, απο το να γίνεις ειδικός στο IOS ή στα iptables/l7 του linux.

[karakostk]

Εγώ παρόλλο που μου αρέσουν τα Cisco για κάτι τέτοια θα συμφωνίσω ότι γίνονται πολύ πιο εύκολα και αποδοτικά με ένα linux ή ακόμη καλύτερα με ένα BSD. Σου προτείνω να δείς το pfsense γιατί κάνει ακριβώς αυτό που θές.

[ashton]

Να ρωτήσω κάτι επειδή έχω ψιλοξεχάσει τα ... cisco μου..
Πέρα από σύνδεση με τερματικό υπάρχει άλλος τρόπος για να γίνει το configuration του 2811 ? Κάποιο utility ? Παλιά θυμάμαι υπήρχαν κάποιες windows based εφαρμογές που διάβαζαν τον ρούτερ και ναι μεν δεν τον άλλαζαν απ'ευθείας αλλά έπρεπε αφού τέλειωνες το configuration σ'αυτό να το κάνεις copy paste μέσω του τερματικού για να το πάρει ο ρούτερ.

[SfH]

Εγώ παρόλλο που μου αρέσουν τα Cisco για κάτι τέτοια θα συμφωνίσω ότι γίνονται πολύ πιο εύκολα και αποδοτικά με ένα linux ή ακόμη καλύτερα με ένα BSD. Σου προτείνω να δείς το pfsense γιατί κάνει ακριβώς αυτό που θές.
Επειδή, δυστυχώς, η μοναδική μου επαφή με bsd ήταν το ipfw που δε με άφησε ιδιαιτερα ικανοποιημένο από άποψη απόδοσης, τι παραπάνω μπορεί να κάνει από ένα cisco η ένα linux ?


Εναλλακτικα παίρνεις έναν layer7 classifier και σου κάνει την δουλειά πιο εύκολα. πχ NetEnforcer (πολύ ακριβό), ή packeteer... Yπάρχουν πολλές λύσεις, εαν γουγλίσεις θα βρείς αρκετά. Μπορεί νάχει μεγαλύτερο αρχικό κόστος, αλλά είναι εξειδικευμένα για αυτή την δουλειά, και πιο εύκολα στην διαχείρηση, απο το να γίνεις ειδικός στο IOS ή στα iptables/l7 του linux.

Συμφωνώ και επαυξάνω. Οι τιμές μπορεί να σου φανούν λίγο τσιμπημένες (και που να δεις τι έδωσε η...ευδαπ) αλλα αξίζει τον κόπο.