Xin hỏi về LOAD BALACING

[cat-five]

:idea: Em có mô hình mạng sau:

|LAN|-|RH8/Netfilter|-|ROUTER 2600|-LEASE LINE 128|-|INTERNET|
|
|ADSL ROUTER|
|
|INTERNET|

*Yêu cầu:
+ Cân bằng tải kết nối Internet đến hai cả hai đường ADSL & LEASE LINE. Thoả mãn đạt được Throughput cao nhất cho một kết nối từ LAN ra ngoài.

+ Không cấu hình lại R2600, còn các thiết bị khác thì có thể cấu hình lại.

* Các anh xin cho cao kiến để em Rebuild lại hệ thống này, đáp ứng yêu cầu trên khi đó:

+ Em phải cài thêm phần mềm gì?
+ Có phải mua thêm máy chủ không?
+ Thực hiện ra sao?
+ Nếu phải mua thì mua ở đâu, có giá thì tuyệt.


Xin chân thành cảm ơn các anh đã quan tâm đến em. :!:

[leminhkhoi]

chào Cat-five,
Câu hỏi này đã có một người hỏi mình rồi, và cũng rơi vào tình trạng như bạn, không có quyền cấu hình router 2600 như bạn. Nếu bạn không có toàn quyền cấu hình trên router thì e rằng khó có thể đưa ra giải pháp cho bàn toán này.
Theo cá nhân mình thì bạn dùng tới giải pháp của microsoft xem sao. Bạn lấy 1 pc gồm 3 card mang, một card nối vào LAN, một card nối vào ADSL, một card nối vào RH8 . Lúc đó bạn thực hiện routing trên server, vấn đề lấy ADSL backup cho leaseline thì dễ, chứ bạn muốn multilink thì Khôi nghĩ là không thể.
Xin các bạn cho thêm ý kiến nhé
Thân chào

[sinhvienngheo]

Re: ADSL + LEASE LINE [LOAD BALANCE HAY MULTI LINK???] XIN CHỈ GẤP!

:idea: Em có mô hình mạng sau:

|LAN|-|RH8/Netfilter|-|ROUTER 2600|-LEASE LINE 128|-|INTERNET|
|
|ADSL ROUTER|
|
|INTERNET|

*Yêu cầu:
+ Cân bằng tải kết nối Internet đến hai cả hai đường ADSL & LEASE LINE. Thoả mãn đạt được Throughput cao nhất cho một kết nối từ LAN ra ngoài.

+ Không cấu hình lại R2600, còn các thiết bị khác thì có thể cấu hình lại.

* Các anh xin cho cao kiến để em Rebuild lại hệ thống này, đáp ứng yêu cầu trên khi đó:

+ Em phải cài thêm phần mềm gì?
+ Có phải mua thêm máy chủ không?
+ Thực hiện ra sao?
+ Nếu phải mua thì mua ở đâu, có giá thì tuyệt.


Xin chân thành cảm ơn các anh đã quan tâm đến em. :!:

Chào bạn,

Cách làm gần đáp ứng đúng với yêu cầu của bạn:

Giả sử trong công ty của bạn có 30 người dùng. Để gọi là "chia sẽ tải", bạn sẽ cho 15 người có gateway là router 2600 (nghĩa là những người này vẫn giữ nguyên gateway cũ). Còn 15 người còn lại có gateway là adsl routers.

Cách này đáp ứng yêu cầu của bạn: không được đụng vào 2600.

Thân mến,

[diendan]

Chào Cat-Five.

Câu hỏi của bạn thật là thú vị quá, làm tôi liên tưởng đến giải pháp vứt quách Lease Line đi mà chuyển sang dùng ADSL. Có nghĩa là LL128 Cost 12.500.000 VNĐ, chúng ta sẽ mua 12 đường ADSL luôn, thừa 500.000 đi nhậu chơi :)

To: CIS_HAT, bạn đừng có cách nghĩ phiến diện như vậy. Cat_five có bảo bạn ấy không cấu hình được R2600 đâu mà bảo phí với chả phạm, chắc gì ông bạn đã có bản lãnh hơn người ta mà lớn tiếng thế!

Giải pháp của em đây, các bác xem thế nào nhé.

1. Cắm thêm 1 Nic nữa cho RH, Nic này sẽ là OUTNET của RH ra ADSL
2. Dùng giải pháp Linux Virtual Server của Julian (Xin xem tài liệu!)

Như vậy yêu cầu của CAT_FIVE sẽ được đáp ứng hoàn toàn rùi.
Các bác cho ý kiến đóng góp nhé, em xin cảm ơn trước!

Chúc mọi người vui vẻ,

Thân chào.

[TGA_Certificationteam]

Hì, không biết các bạn đã từng làm chưa nhỉ ?

Các tiện nhất là chọn ra những host cần thiết để dùng ADSL, những host sẽ dùng Leaseline.

Nếu nói lease-line ổn định hơn thì cũng không chắc, tần số down của lease-line với ADSL cũng như nhau :D.

Bạn nên mua một con firewall giửa Switch và Router, có thể là PIX501 hoặc 506E để gắn giửa switch của bạn và ADSL router. Mặc dù không cần thiết như thường thì thiết kế chuẩn phải có.

[diendan]

Ơ hay TGA, thế cái Netfilter không là Firewall à?

Nhân đây xin hỏi TGA và các bạn, PIX501 nằm ngoài dùng để kiểm soát truy cập vào một DMZ, trong DMZ có một máy chủ SENDMAIL. Giả sử tất cả các cổng dịch vụ đều bị bịt kín, chỉ hỗ trợ duy nhất dịch vụ SMTP (dùng MX, không dùng mail gateway).

Bây giờ nếu NETCAT từ mạng ngoài dùng Port 25, Trojan trên máy chủ SENDMAIL mở một port >1024. PIX có kiểm soát được không, hay vẫn DIE như thường????

Thân chào cả nhà! :wink:

[TGA_Certificationteam]

diendan notice lại kỷ, cái ADSL router cắm trực tiếp vào LAN, :D. Tớ thì không biết Netfilter là cái chi mô, nên ko dám nói là cắm ADSL router vào cái Net Filter :D.

anh diendan gì đó đã cấu hình PIX chưa ? Pix cho anh rất nhiều option để lựa chọn, tùy vào từng scenario khác nhau mà anh cấu hình. Vấn đề anh nêu ở trên có cách khắc phục á, còn cụ thể thì chừng nào sắn tay áo lên mới biết lah.

[diendan]

----------------------------------------------------------------------------------------------
Gửi riêng TGA,

ơ kìa, đã chuyển ADSL lên thành Outnet của RH rồi mà.

Nhiều cái chưa cần làm, chứng minh trên cơ sở lý thuyết trước xem có làm được không đã chứ nếu không được thì vứt luôn, nên mới chui ra những thằng (Solution) có luơng rất cao, ví dụ bảo ông ôm R3000 để đua tốc độ với Thần Châu, Về lý thuyết không được rồi vì ông làm gì có động cơ đẩy?
Hì hì,
Bạn thân mến.
----------------------------------------------------------------------------------------------


Trở lại câu hỏi:

Rules (Về lý thuyết chắc phải cấu hình như sau) :

1. Source (>1024) -> Destination (25) of SVR | Allow
2. Source (25) SVR -> Destination (>1024) | Allow
3. Drop all


Bây giờ mời xin mọi người cho ý kiến

Xin cảm ơn,

[Crazy]

Hi all,

Xin góp thêm một ý kiến về vấn đề này để tham khảo, mình xin giới thiệu một thiết bị hổ trợ Dual WAN Link : Firewall Fortinet. Mô hình sửa lại như sau :

|-------ADSL ROUTER-Internet
|
||------ROUTER 2600------LEASE LINE 128-Internet
|| Ext
Firewall Fortinet (Dual WAN Link)-------LAN
|DMZ
|
|-------SENDMAIL

Ext -> DMZ : Source (External_All) --> Destination-Port Forwarding (SMTP) = Accept
DMZ -> Ext : Source (SENDMAIL) --> Destination (External_All) = Accept SMTP

Chắc là giải quyết được yêu cầu của DIENDAN

Không biết DIENDAN có ý kiến gì không nhỉ????

[nausicaa]

Re: ADSL + LEASE LINE [LOAD BALANCE HAY MULTI LINK???] XIN CHỈ GẤP!

Mình thấy trong trường hợp này giải pháp của Diendan là hợp lý nhất (cả về tính kinh tế cũng như hiệu quả), bạn chỉ cần phải mua duy nhất 1 cái LAN card lắp thêm vào máy RH8 thôi, tuy nhiên bạn cần phải patch và build lại kernel linux, ngoài ra phải dùng thêm iproute2 để set multi-home gateway (Không phải là dùng Virtual Server). Tốt nhất là bạn nên cấu hình lại ADSL router về bridge mode và chạy PPPOE trên RH8.
Với cấu hình đó bạn sẽ đảm bảo được tỉ lệ về tốc độ giữa 2 kết nối internet, và nếu 1 trong 2 đường bị down thì mạng vẫn hoạt động bình thường.

Hiện nay mình cũng đang dùng Linux làm VPN/Firewall và Load Balancing cho 2 đường ADSL, cấu hình hơi khác với bạn 1 chút vì mình dùng VPN trên 2 đường ADSL và có cấu hình LoadBalancing ở VPN Server nên cân bằng được tải cho cả 2 hướng, và kết quả gần như perfect. Các bạn xem thử bandwidth monitor trong file đính kèm nhé, 2 đường ADSL có tải gần như bằng nhau.



To TGA, trong trường hợp này thì giải pháp của bạn là quá máy móc và tốn kém, và cái Cisco PIX của bạn gắn thêm vào như thế chẳng giải quyết được vấn đề gì cả, gần như không có tác dụng trừ khi bạn muốn limit các connection từ trong ra internet thông qua ADSL Router.

[diendan]

Chào cả nhà,

Mô hình của Nausicaa gần giống của tớ đấy. Mình khẳng định giải pháp này cực kỳ khả thi luôn nếu RH chạy trên Xeon 1Gz+512M ECC thì khỏi bàn cãi về hiệu quả!

LVS là kiểu cấu hình cân bằng tải đến, để tránh các kết nối từ mạng ngoài vào vượt quá Limited Connections... Việc này sẽ giảm tải khi bị DDOS. Do cái giải pháp kía nằm ở site này nên mình tạm đặt tên như vậy, xin các bạn đừng hiểu lầm. :P

Trở lại vấn đề mình hỏi về Security, về lý thuyết cấu hình như mình đã post ở trên, vậy có chống được attack không?????

Bài toán cụ thể nhé: Chúng ta có thể cấu hình một Proxy tại Lease line của chúng ta với IP thật lấy port 80. Rồi về nhà xài 1280 để vào Internet với tốc độ rất cao mà chi phí lại rẻ không????

To: Crazy, cảm ơn bạn, nhưng theo mình để cấu hình firewall cho máy sử dụng dịch vụ. Firewall chỉ cần mở Port nằm trong Dynamic Ports là đủ (>1024), không phải tất cả.

Cảm ơn các bạn,

Thân chào.

[cat-five]

Chào các anh chị,

Xin chân thành cảm ơn các anh chị đã đóng góp cho em, DIENDAN ở HN nếu có gì cho em hỏi thêm nhé, em sẽ cố thử giải pháp của anh.

Cảm ơn nhiều,

[TGA_Certificationteam]

Re: ADSL + LEASE LINE [LOAD BALANCE HAY MULTI LINK???] XIN CHỈ GẤP!

To TGA, trong trường hợp này thì giải pháp của bạn là quá máy móc và tốn kém, và cái Cisco PIX của bạn gắn thêm vào như thế chẳng giải quyết được vấn đề gì cả, gần như không có tác dụng trừ khi bạn muốn limit các connection từ trong ra internet thông qua ADSL Router.

Hehe:D.
Tớ đã nói ở trên là

1- Thông thường, thiết kế chuẩn -> máy móc là tất nhiên.
2- Mặc dù không cần thiết...

Cách của cậu cũng được, nhưng chưa chắc cách nào phức tạp hơn, bạn nói để PIX vô đó làm gì thì bạn đọc guide hay tài liệu mới biết được, còn nếu nói không làm được gì hết thì là do bạn không biết. Nhưng không phải cty nào hay khách hàng nào cũng chịu chạy Linux :D. Cuối cùng thì cái Pix 501 có khoảng 300$ :D, 506E khoảng 500$

[nausicaa]

Không có thiết kế "chuẩn" nào bắt buộc phải có Cisco PIX cả, bạn nói tên cái chuẩn đó cho mình biết với.
Mình đã có 4 năm kinh nghiệm với các thiết bị của Cisco nên cũng không đến nỗi không biết cái PIX làm được cái gì đâu :D Theo như giải pháp của bạn là đặt PIX giữa switch và ADSL Router thì chỉ cần có 1 chút kiến thức về networking cũng biết ngoài khả năng filter outgoing packet thì PIX chẳng làm được gì khác cả, bạn nên nhớ rằng ADSL Router đã có sẵn chức năng NAT/PAT, và nếu không setup Port Forwarding trên ADSL Router thì không có 1 Connection nào từ ngoài vào cả, thế trong trường hợp này bạn định cấu hình PIX như thế nào, hay là dịnh NAT thêm 1 lần nữa :D.
Còn việc nhiều cty không chịu chạy Linux thì không cần quan tâm nhưng trong cấu hình của cat-five có sẵn 1 cái RedHat8 rồi (không lẽ RH8 không phải là Linux) thì chỉ cần mua thêm 1 cái LAN Card gắn vào thôi, còn công việc setup cũng chẳng có gì phức tạp, ngoài việc Build Kernel và set IP cho LAN card thì cần chưa tới 10 lệnh linux đâu. Còn $300 mà không giải quyết được vấn đề gì và $10 mà giải quyết tốt yêu cầu đặt ra thì bạn chọn cái nào nhỉ :D

[leminhkhoi]

hi all,
Theo kinh nghiệm của mình thì pix là không cần thiết và quá tốn tiền bạn ạ.
Thân chào