ВСТУПЛЕНИЕ

Многие администраторы сталкиваются с проблемой разумного использования
времени и канала для выхода в сеть Интернет, задумываются о возможности
экономии времени и денег, об ограничении скорости для отдельных видов
файлов или личностей, в конце концов об экономии всего, что связано с
теми или иными аспектами выхода в глобальную сеть.

Протокол SOCKS 5 [RFC1928].


Network Working Group M. Leech
Request for Comments: 1928 Bell-Northern Research Ltd
Category: Standards Track M. Ganis
International Business Machines
Y. Lee
NEC Systems Laboratory
R. Kuris
Unify Corporation
D. Koblas
Independent Consultant
L. Jones
Hewlett-Packard Company
Март 1996

Введение.

Управление трафиком состоит из набора механизмов и операций с помощью
которых пакеты организовываются в очередь для приема/передачи через
сетевой интерфейс. Цель данного документа -- описать возможности,
реализацию и привести примеры использования системы управления
трафиком в операционной системе Linux.

pdnsd - кэширующий dns-сервер

pdnsd - это маленький кэширующий dns-сервер, предназначенный в
основном для использования на компьютерах с модемным соединением. Его
основная задача - ускорять DNS-запросы. Кэш DNS сохраняется при
перезагрузках сервера, поэтому если pdnsd постоянно запущен, и Вы
посещаете не слишком много разных интернет-узлов, спустя некоторое
время pdnsd будет выдавать большинство адресов из кэша, обращаясь к
внешним DNS-серверам гораздо реже.

IPCad - http://ipcad.sourceforge.net/

Поставить ipcad 3.x последний. Подредактировать его конфигурацию под свои нужды.
Hапример, у меня нужно траффик считать на мостике из трёх карточек (fxp0, fxp1,
ste1), не аггрегируя его ни по портам, ни по адресам, причём только входящие пакеты,
получился вот такой конфиг для ipcad:

Встал тут вопрос подсчета апачевского трафика. После изучения
вопроса было найдено два модуля - mod_watch от snert.com и
mod_accounting. Первый весьма продвинут, но, имхо, тяжеловат и
перегружен опциями... и без настроек результатирующего файлва. дело
в том, что хотелось бы сохранять еще и зону, с которой получен
трафик (и которую выдает мне mod_geo). mod_accounting гораздо
попросче, даже я смог приковырять туда сохранение зоны, но... блин,
валить все в рилтайме в базу... имхо, полный оверхед. В итоге на
основе mod_accounting создал модулек, просто выставляющий переменные
окружения для последующего использования их в LogFormat.

> LOCAL_CONFIG
> Kdsl1 regex -a@MATCH ([0-9].*){5,}

длинный регексп я пропустил, для примера остальных хватит

> Kdsl3 regex -a@MATCH [0-9a-f]{8,}
>
> Kdsl4 regex -a@MATCH (^|\.)[0-9]

все регекспы с однотипными сообщениями можно объединить, указывая после @MATCH номер регекспа для вывода в сообщении об ошибке:

Содержание

* Введение
* Подготовка
* Простенький stateful NAT
* Перенаправление (redirect)
* FTP proxy
* Использование отдельного IP-адреса для трансляций на внешнем интерфейсе
* Безусловная полная трансляция
* Контроль над трансляцией

Во все ядра Linux, начиная с 2.0, встроено средство для фильтрации
сетевых пакетов. В 2.0 это ipfwadm, в 2.2 - ipchains, а в 2.4 и 2.6 -
iptables. Мы будем рассматривать последний вариант.

Принцип фильтрации такой: когда через ядро проходит пакет, он
проверяется на совпадение с одним или несколькими правилами. При этом
в зависимости от этих правил он может быть пропущен (ACCEPT), отброшен (DROP) или отклонен (REJECT). Кроме того, он может быть отправлен на проверку в следующую цепочку правил. Здесь же можно указать, что факт прохождения пакета, подходящего под определенное правило, должен быть отмечен в syslog. Правила могут включать в себя проверку адреса/порта источника/получателя, протокола, флагов TCP и т.д. (об этом ниже).

достаточно ли для _полноценной_ работы subj переместить блок с fr_checkp на позицию после метки pass? оно работает, но у меня нет возможности тестирование по полной программе устроить.

переносить в netinet/ip_input.c, если надо иметь в ipfw внешние адреса
(до nat на input и после nat на output); в netinet/ip_output.c, если надо
иметь в ipfw внутренние адреса (после nat на input и до nat на output).
например такой вот патчик, в ipfw имеем внутренние адреса