[Anterior: Enfileiramento de Pacotes e Priorização] [Conteúdo] [Próximo: Marcação de Pacotes]

PF: Grupos de Endereços e Balanceamento de Carga

Conteúdo

• Introdução
• Grupos de Endereços NAT
• Balanceamento de Conexões de Entrada
• Balanceamento de Tráfego de Saída
  • Exemplo de Conjunto de Regras

Introdução

Existem quatro métodos de uso de grupos de endereços:

• bitmask - monta a porção de rede do endereço do grupo no endereço sendo modificado (endereço de origem para regras nat-to, endereço de destino para regras rdr-to). Exemplo: se o grupo de endereços é 192.0.2.1/24 e o endereço sendo modificado é 10.0.0.50, o endereço resultante será 192.0.2.50. Se o grupo de endereços for 192.0.2.1/25 e o endereço sendo modificado 10.0.0.130, o endereço resultante será 192.0.2.2.
• random - escolhe um endereço do grupo aleatoriamente.
• source-hash - usa uma dispersão do endereço de origem para determinar qual endereço do grupo utilizar. Esse método garante que um determinado endereço de origem seja sempre mapeado para o mesmo endereço no grupo. A chave usada pelo algoritmo de dispersão pode ser opcionalmente especificada após a palavra-chave source-hash, em formato hexadecimal ou como uma string. Por padrão, o pfctl(8) gera uma chave aleatória toda vez que o conjunto de regras é carregado.
• round-robin - executa um laço através do grupo de endereços em sequência. Esse é o método padrão e também o único permitido quando o grupo é especificado usando-se uma tabela.

Exceto para o método round-robin, o grupo de endereços deve ser especificado em notação CIDR ("Classless Inter-Domain Routing"). O método round-robin aceita múltiplos endereços individuais usando-se uma lista ou tabela.

A opção sticky-address pode ser usada com os tipos de grupo random e round-robin para se certificar de que um endereço de origem em particular seja sempre mapeado para o mesmo endereço de redirecionamento.

Grupos de Endereços NAT

Neste exemplo, um grupo de dois endereços está sendo usado para traduzir pacotes que saem da rede. Para cada conexão o PF alterna entre os endereços utilizando o método round robin.

match out on $ext_if inet nat-to { 192.0.2.5, 192.0.2.10 }

Uma desvantagem desse método é que conexões sucessivas do mesmo endereço interno não serão sempre traduzidas para o mesmo endereço de tradução. Isso pode causar interferência, por exemplo, ao navegar em sítios Web que registram sessões de usuários baseando-se no endereço IP. Um método alternativo é usar o método source-hash para que cada endereço interno seja sempre traduzido para o mesmo endereço de tradução. Para que isso seja possível, o grupo de endereços deve ser um bloco de rede CIDR.

match out on $ext_if inet nat-to 192.0.2.4/31 source-hash

Essa regra usa o grupo de endereços 192.0.2.4/31 (192.0.2.4 - 192.0.2.5) como seu endereço de tradução para pacotes saindo da rede. Cada endereço interno será sempre traduzido para o mesmo endereço de tradução por causa da palavra-chave source-hash.

Balanceamento de Conexões de Entrada

web_servers = "{ 10.0.0.10, 10.0.0.11, 10.0.0.13 }"

match in on $ext_if proto tcp to port 80 rdr-to $web_servers \
    round-robin sticky-address

Conexões sucessivas serão redirecionadas para os servidores Web usando o método round robin, com conexões da mesma origem sendo enviadas ao mesmo servidor Web. Essa "conexão fixa" existirá enquanto existirem estados na tabela de estados que referenciem essa conexão. Uma vez que os estados expiram, expira também a conexão fixa. As demais conexões originadas daquela máquina serão redirecionadas para o próximo servidor Web no método round robin.

Balanceamento de Tráfego de Saída

Outra informação necessária é o endereço IP do roteador adjacente em cada conexão com a Internet. Esse endereço é informado na opção route-to para controlar o destino dos pacotes de saída.

O exemplo a seguir balanceia o tráfego de saída entre duas conexões com a Internet:

lan_net = "192.168.0.0/24"
int_if  = "dc0"
ext_if1 = "fxp0"
ext_if2 = "fxp1"
ext_gw1 = "68.146.224.1"
ext_gw2 = "142.59.76.1"

pass in on $int_if from $lan_net \
   route-to { ($ext_if1 $ext_gw1), ($ext_if2 $ext_gw2) }\
   round-robin

A opção route-to é utilizada no tráfego chegando/entrando (in) na interface interna para especificar as interfaces de saída entre as quais será balanceado o tráfego, bem como seus respectivos gateways. Note que a opção route-to deve estar presente em cada regras de filtragem cujo tráfego esteja sendo balanceado (essa opção não pode ser usada com regras do tipo match).

Para ter certeza de que pacotes com endereço de origem pertencentes a $ext_if1 são sempre roteados para $ext_gw1 (e da mesma forma para $ext_if2 e $ext_gw2), as duas regras a seguir devem ser inseridas no conjunto de regras:

pass out on $ext_if1 from $ext_if2 \
   route-to ($ext_if2 $ext_gw2)
pass out on $ext_if2 from $ext_if1 \
   route-to ($ext_if1 $ext_gw1)

Finalmente, NAT pode ser usada em cada interface de saída:

match out on $ext_if1 from $lan_net nat-to ($ext_if1)
match out on $ext_if2 from $lan_net nat-to ($ext_if2)

Um exemplo completo que faz o balanceamento de tráfego de saída deve ficar mais ou menos assim:

lan_net = "192.168.0.0/24" int_if = "dc0" ext_if1 = "fxp0" ext_if2 = "fxp1" ext_gw1 = "68.146.224.1" ext_gw2 = "142.59.76.1" # nat em conexões de saída para cada interface de Internet match out on $ext_if1 from $lan_net nat-to ($ext_if1) match out on $ext_if2 from $lan_net nat-to ($ext_if2) # Nega por padrão block in block out # Passa todo o tráfego de saída na interface interna pass out on $int_if to $lan_net # Aceita e passa direto quaisquer pacotes destinados ao próprio gateway pass in quick on $int_if from $lan_net to $int_if # Balanceamento do tráfego de saída partindo da rede interna. pass in on $int_if from $lan_net \ route-to { ($ext_if1 $ext_gw1), ($ext_if2 $ext_gw2) } \ round-robin # Manter tráfego HTTPS por apenas umas das conexões de saída para Internet; # algumas aplicações "mais seguras" não permitem alteração das sessões HTTPS pass in on $int_if proto tcp from $lan_net to port https \ route-to ($ext_if1 $ext_gw1) # Regras gerais de permissão de tráfego de saída para as # interfaces externas pass out on $ext_if1 pass out on $ext_if2 # Roteia pacotes de quaisquer IPs na $ext_if1 para $ext_gw1, e faz # o mesmo para $ext_if2 e $ext_gw2 pass out on $ext_if1 from $ext_if2 route-to ($ext_if2 $ext_gw2) pass out on $ext_if2 from $ext_if1 route-to ($ext_if1 $ext_gw1)

[Anterior: Enfileiramento de Pacotes e Priorização] [Conteúdo] [Próximo: Marcação de Pacotes]