gratifiant > linux.debian.user.french

Olivier (10/09/2019, 18h10)
Hello,

Je viens bientôt installer plusieurs machines sous Stretch ou Buster qui
vont hériter d'une IP publique alors que j'ai plutôt l'habitude de
configurer des machines protégées de la jungle d'Internet par un routeur et
le NAT.

Ces machines (Core i3 ou i5) doivent principalement assurer le routage de
réseaux locaux avec l'ambition d'offrir les meilleures performances
possibles (pour fixer un ordre de grandeur, je dirai qu'elles doivent
pouvoir NATer un traffic de.l'ordre de 500Mb/s).

Quelqu'un aurait-il un exemple de configuration iptables ultime, adaptable
à un tel contexte, et éprouvée avec des mois (années) de pratique ?

J'ai lu ici ou làdes exemples où l'auteur, par exemple, prenait soin
d'écarter du trafic volontairement mal-formé (DoS) mais un exemple
exhaustif ne serait pas de refus.

Slts
Olivier (10/09/2019, 18h50)
Voici un lien [1] qui traite du sujet.

[1]


Le mar. 10 sept. 2019 à 18:01, Olivier <oza.4h07> a écrit :
[..]
Christophe (10/09/2019, 19h40)
Hello,

Le 10/09/2019 à 18:47, Olivier a écrit :
> Je viens bientôt installer plusieurs machines sous Stretch ou Buster qui
> vont hériter d'une IP publique alors que j'ai plutôt l'habitude de
> configurer des machines protégées de la jungle d'Internet par un routeur
> et le NAT.
> Ces machines (Core i3 ou i5) doivent principalement assurer le routage
> de réseaux locaux avec l'ambition d'offrir les meilleures performances
> possibles (pour fixer un ordre de grandeur, je dirai qu'elles doivent
> pouvoir NATer un traffic de.l'ordre de 500Mb/s).


Sans même avoir à "tweaker" la configuration iptables et du kernel, J'ai
eu une machine à base d'Atom (N270 si je dis pas trop de bêtises) qui
"nattait" sans sourciller 200Mb/s il y a 3 ans, mais la machine datait
de 8 ou 9 ans. Donc un i3 ou i5 moderne, la question ne se pose même pas
pour 500Mb/s.

En fait ce n'est pas tant le débit qui doit être source d'inquiétude,
mais plutôt le nombre de paquets/s ou le nombre de nouvelles connexions
à la seconde, d'autant plus quand c'est du trafic à bloquer (ça, ça peut
mettre une machine par terre, Expérience vécue).

Et point important, ce sont les cartes réseau qui équipent la machine.
L'expérience m'indique que les cartes réseau Intel sont idéales pour ce
genre de configuration, surtout parce que le driver Linux (e1000 pour
référence) a été en grosse partie développé par les ingénieurs d'Intel
eux-même.

@+
Christophe.
Discussions similaires