Сервер-Firewall

[peace]

Возникла необходимость поставить железный фаервол на 1 сервер, чтобы он фильтровал трафик, так как сейчас канал сервера 100Мбит почти весь забивается UDP флудом.

Проблема в том, что непонятно как побрирать конфигурацию под это дело. В сервер-firewall будет 2 входящих порта по 100Мбит, которые надо будет объединить (200Мбит в сумме), а исходящий порт в сервер будет 1.

На сервере-firewall планируется, скорее всего, использование iptables (если конечно для этого дела они подойдут) для сбрасывания бана IP адресов, которые посылают, например, более 10 пакетов в секунду одного размера. По возможности еще и по содержимому проверять пакеты.

Какую конфигурацию лучше выбрать? Винты тут особой роли не играют. Я так понимаю, что нужен довольно мощный процессор(ы) и оперативка?

[LCF_R]

Можно посмотреть машинку на базе Intel SB.

[LCF_R]

Взять процессор постарше и пару хороших сетевых карт. Память сейчас недорогая, 8Гб должно быть "за глаза".

[peace]

А между сервер-firewall и сервером обычным должен стоять свитч или можно напрямую фаервол с сервером соединить?

[Serge10]

Я так понимаю, что нужен довольно мощный процессор(ы) и оперативка?

Взять процессор постарше

Исходящий канал всего 200 Mbit. С задачей фильтрации такого трафика справится любой Celeron предыдущих поколений. Тем более, что никаких сложных конфигураций с тысячами правил iptables не предполагается... IMHO, сильный процессор, также как и куча RAM, здесь просто не нужны...

[Serge10]

А между сервер-firewall и сервером обычным должен стоять свитч или можно напрямую фаервол с сервером соединить?

Без разницы...

[gs]

Э?
http://www.supermicro.com/products/syst ... F-D525.cfm

[kim_aa]

1) Я бы рекомендовал использовать специализированные дистрибутивы типа Vyatta.
Тогда достаточно просто подобрать конфигурацию по необходимой мощности.

2) С точки зрения отказоустойчивости и быстродействия (агрегация каналов) лучше всего подбирать платформы с четным числом интерфейсов.
Минимум это 4 интерфейса.

3) Свич выгоднее всего использовать управляемый.
Тогда при помощи VLAN можно настроить несколько сетей.

[peace]

Вот, например, скачивание файла с сервера с 1 IP адреса со скоростью 100Мбит сам процессор не нагружает. А, скажем, 100 000 запросов в секунду на 50Мбит загружают целое ядро ксеона 56 серии. А если на сервер-фаервол ставить, как посоветовали Celeron или Atom, то с учетом изучения каждого пакета, думаю он просто не справится.

[kim_aa]

1) Вот Sizing для vyatta + сравнение с Cisco
http://www.vyatta.com/sites/vyatta.com/ ... uide_0.pdf

2) Скорость работы фаервола в первую очередь зависит от сложности правил.

3) Не нужно забывать про сетевые адаптеры.
А то ставят люди RTL, а потом удивляются почему у них 30МБ/c с гигабита и загрузка процессора 30% на пустом месте.