Архитектурный вопрос.

[Kristian]

Доброй ночи всем.
Вопрос собственно к людям, которые имеют опыт внедрения UTM и могут подсказать в каком направлении двигаться.
Задумка - реализовать
централизованный сбор статистики,
централизованное хранилище пользователей - паролей
Использовать как обычный НАТ локальной сети так и доступ посредством ВПН.
Как я себе это представляю:
1. Установка ядра системы с базой данных на выделенном сервере. (на нем же коллектор Netflow)
2. На отдельных серверах организовать NAS (ng_nat + ng_netflow+pipes)
3. На выделенном сервере установить mpd для ВПН доступа к сети интернет.

Cобственно вопросы.
1. Насколько необходимо поднимать LDAP сервер ? (для каких целей он мне может пригодится в будущем).
2. Стоит ли отказываться от ng_nat на фоне того, что в 7.0 nat работает на уровне ядра ? (или будут проблемы с Netflow ?)
3. Как организовать связку ядра системы с NAS на базе FreeBsd 7.1
(важен опыт как лучше, а если есть - поделитесь скриптом).
Судя по описанию - указываем, что это локальный фаервол и прописываем путь к скрипту. А уже в самом скрипте - rsh и т.п.

В общем тыкните пожалуйста в Best Practicles

[Blackmore]

может лучше озвучите цену за подъем и настройку всего этого хозяйства ? вам быстрее будет

1. лдап вам точно без надобности
2. пайпы в топку
3. читать хэндбук фрибсд и маны по мпд и нетграфу
4. читать этот форум

[Kristian]

Есть желание настроить самому.
При условии что на одном NAS будут обслуживаться до 1000 клиентов, не понимаю почему трубы в топку..... особенно с таблицами все очень даже удобно .... а если еще и tablearg в ipfw прикурутить, правил вообще мало будет ....
По поводу Манов и форума вы конечно правы, но интересует успешный опыт ....

А что можете сказать по
2. Стоит ли отказываться от ng_nat на фоне того, что в 7.0 nat работает на уровне ядра ? (или будут проблемы с Netflow ?)

3. Как лучше организовать связку ядра системы с NAS ( FreeBsd 7.1). Делать локальный скрипт и применять правила фаервола через rsh ?

[Kristian]

Есть желание настроить самому.
При условии что на одном NAS будут обслуживаться до 1000 клиентов, не понимаю почему трубы в топку..... особенно с таблицами все очень даже удобно .... а если еще и tablearg в ipfw прикурутить, правил вообще мало будет ....
По поводу Манов и форума вы конечно правы, но интересует успешный опыт ....

А что можете сказать по
2. Стоит ли отказываться от ng_nat на фоне того, что в 7.0 nat работает на уровне ядра ? (или будут проблемы с Netflow ?)

3. Как лучше организовать связку ядра системы с NAS ( FreeBsd 7.1). Делать локальный скрипт и применять правила фаервола через rsh ?

---- или все таки utm5_rfw установить на NAS и ядро удаленно им будет управлять.

[Blackmore]

для того, чтобы дать хотя бы общие рекомендации, желательно увидеть схему сети для начала, имхо вы неправильно воспринимаете понятие NAS ну и саксесс-стори у каждого своя так как всегда возможны несколько вариантов решения одной задачи

[gil]

1. коллектор вроде как встроен в ядро биллинга, тут никуда не деться..
2. ng_nat+ng_netflow+pipes? не проще mpd+pf?
3. (см. 2)

1. LDAP-то тут зачем?
2. (см. предыдущее, п. 2)
3. rfw??

[Kristian]

Нарисовал схему сети.
http://rapidshare.com/files/205781857/Network.jpg.html
Самый неясный вопрос на сейчас - как организовать управление правилами фаервола на удаленном сервере с ядра UTM.
Согласно документации есть два типа фаервола -

Локальный
Remote Cisco

А как управлять удаленным сервером NAT ? Или выбирать тип локальный а IP адрес прописывать удаленного ?
Обьясните на пальцах плс ....

[Kristian]

UP

[Ata-man]

А как управлять удаленным сервером NAT ? Или выбирать тип локальный а IP адрес прописывать удаленного ?

- именно, а также установить на удаленный сервер модуль RFW, настроенный соответствующим образом.

А вообще, это должно быть понятно из документации.

[Kristian]

Угу .... наконец то начинаю что то понимать.
Выходит, что
UTM5_core - ядро которое генерирует управляющие правила для фаервола на основании информации. вбитой с помощью консоли администратора при регистрации фаервола.

UTM5_rfw - по сути клиент, который :

1. Ждет команд от ядра посредством настроек в rfw5.cfg файла (ИП ядра, логин пароль доступа к ядру).

Правильно ли я все понял ?

[Ata-man]

Правильно ли я все понял ?

- так и есть