На работе щас сетка... 50 компов... Вся на винде, и на серваке стоит KWRF6, шарит инет, и как-то считает общую статистику...

Назрела необходимость в полноценном *nix-сервере для доступа в инет, чтоб был NAT, пропускал VPN туда-сюда и чтоб грамотно считал траффик. Потому что Керио считает только сводную статистику с начала месяца (пусть даже и по юзерам), при этом суммируя входящий и исходящий траффик... Никаких разговоров о том, чтобы узнать что, откуда и сколько скачал Вася Пупкин в такой-то день, с керио и речи быть не может...

Я все еще в сомнениях - ставить ли *nix, или ставить ISA 2004 и искать нормальный пакет скриптов для подсчета траффика... Если остановиться на *nix, то вопросы следующие:

1) Какой дистриб лучше взять? Linux? FreeBSD? OpenBSD? (И почему)
2) Какой софт использовать для NAT и счетчика траффика? Может кто по доброте душевной поделится готовыми конфигурациями (скриптами)?
3) Насколько трудно все это в настройке и поддержке, если мой уровень в *nix - среднее между продвинутым пользователем и просто пользователем, но хорошое знание английского позволяет читать любые маныМожет лучше остановиться на винде, в винде уровень знаний - продвинутый админ(Может и нескромно, но сам себя оцениваю именно так)...
4) Какая конфигурация компа нужна (размер винта и памяти), чтоб еще и Web-прокси поднять (50 машин)? И как сделать его transparent?

Если таки определишься с юниксами....

1) Монопенисуально. Главное, чтобы в случае чего в пределах досягаемости был спец по этой ОС

2) С опенбздёй не работал, но должно быть примерное как и в остальных. НАТ поднимается средствами штатного фаервола, встроенного в ядро. Подсчёт трафика в простейшем случае можно вести squid ака проксятника. Существует много парсеров логов сквида, в том числе и под винды. Можно поставить на сервак поддержку SNMP и считать с помощью него, но это, ИМХО, сложнее.

3) Если умеешь пользоваться гуглем и читать доки, то не сложно. Потребуется: установка и настройка ОС (в том числе и по безопасности), настрока файрвола и настройка проксятника. В случае Linux - iptables + squid. Этой связкой создаётся и прозрачный прокси.


ЗЫ: Небольшой совет: рано или поздно придётся специализироваться на чём-то одном. Широкий специалист как правило недостаточно глубоко знает любое из своих направлений, поэтому, если у тебя бОльшая склонность к виндам - строй решение на ней. Hawk, в случае чего подскажет тонкости, я думаю...

Никаких разговоров о том, чтобы узнать что, откуда и сколько скачал Вася Пупкин в такой-то день, с керио и речи быть не может..

Я насал играться с KWRF6 только вчера, и она меня интересует пока только в роли http-proxy но в логах кери отчетливо видно кто, когда и что. Анализаторы логов я еще не смотрел, но твое утверждение что этого нет звучит на мой взгляд необосновоно.

ЗЫ: Небольшой совет: рано или поздно придётся специализироваться на чём-то одном. Широкий специалист как правило недостаточно глубоко знает любое из своих направлений, поэтому, если у тебя бОльшая склонность к виндам - строй решение на ней. Hawk, в случае чего подскажет тонкости, я думаю...

Хм... Специалироваться то приходится... Но мне кажется, что админ все-таки должен уметь обращаться и с Win и с *nix... Пусть даже он специалириуется в чем-то одном... Тогда в случае крайней необходимости будет гораздо легче переквалифицироваться...

>> Никаких разговоров о том, чтобы узнать что, откуда и
>> сколько скачал Вася Пупкин в такой-то день, с керио и
>> речи быть не может...

Барлог прав -- твоё утверждение необосновано.
Прокси-сервер и анализатор логов -- суть не одно и тоже.
Керио не позволяет делать подробную выборку встроенными средствами, зато исправно пишет логи.
А вот для их анализа есть замечательная программка -- wrspy (winroute spy) -- может тебе показать статистику за любой период и в любом разрезе: траффик по пользователям, траффик по машинам, сайты по адресам, пользователи по сайтам... в общем, крути как хочешь.
Программка маленькая, абсолютно бесплатная и имеет интуитивно-понятный интерфейс.
Могу слить.

PS. А вообще зря ты на Керио так уж наехал.
Ну, подумаешь, был у тебя один неудачный сексуальный опыт с ней... а у меня вот полгода уже стоит -- устраивает абсолютно. ИМХО, в качестве мелкого корпоративного решения (выпустить 30 машин в инет) -- это идеальный вариант.
(Хотя сам сам сейчас присматриваюсь к *nix решению, но скорее из спортивного интереса, чем из надобности.)

# Offtopick On
>> в винде уровень знаний - продвинутый админ
>> хорошое знание английского позволяет...
А вот скажи ка мне тогда, Админ с хорошим уровнем знаний -- что означает моя подпись на форуме? ;)
# Offtopick Off

all people should try new diet pepsi - акроним для сетевой модели OSI (Спасибо гуглю )
Столько лет знаю, про эту самую модель, а вот этот акроним увидал впервые.

Прикольно блин.
Уж коли речь зашла про прокси на *nix, скажу: у меня в "зоне ответсвенности" три прокси на linux+squid. Общее число юзеров около 1000, трафик порядка 70Гб в месяц. Логов набегает около 3Гб. Все это рулится, хотя и тяжеловато. Настроек у сквида много и логи подробные - можно делать все, что угодно. Хорошего анализатора готового я не нашел - сделал свой.
Если есть вопросы - you are welcome

PS. А вообще зря ты на Керио так уж наехал. Ну, подумаешь, был у тебя один неудачный сексуальный опыт с ней... а у меня вот полгода уже стоит -- устраивает абсолютно. ИМХО, в качестве мелкого корпоративного решения (выпустить 30 машин в инет) -- это идеальный вариант.
(Хотя сам сам сейчас присматриваюсь к *nix решению, но скорее из спортивного интереса, чем из надобности.)

Насчет Керио - скажу по секрету, на работе, где я и захотил мутить что-то новое, на *nix, у меня уже пол года и стоит этот Керио. Просто не всем устраивает... Хочу сначала попробовать с ISA (т.к. для экспериментов с *nix нужна еще одна машина, коей пока нету), а потом уж буду думать.

Кстати, вопрос к знающим: ipfw пропускает через себя VPN-тоннели? Ведь простого port-map для этого недостаточно?

VPN (Private address) FW Internet, требуется из Internet попасть на VPN за NATом. Достаточно ли просто сделать Port map FW:1723 -> VPN:1723?

не уверен. ещё gre ака 47 вроде может попросить...

т.е. FW:47 -> VPN:47 надо, правильно?

Кстати, вопрос к знающим: ipfw пропускает через себя VPN-тоннели? Ведь простого port-map для этого недостаточно?

На этот счет погляди эту статейку - http://solaris.opennet.ru/base/net/vtun_vpn.txt.html
И вообще, наwww.opennet.ru найдешь много интересного по *nix и что с ним связано.
По поводу "счетчика трафика" в *nix.
Как вариант: FreeBSD и UTM (платный, www.netup.ru),
либо Stargazer (бесплатный, http://www.stargazer.dp.ua/) или другие варианты, коих много.
Про squid - уже классика.

80 компов - freeBSD 4x(console) - squid2.5 - cel366
зашибись. логи - sqmgrlog.

nat в ядре. 3 строки в rc.firewall (divert natd) пустит любые впн

netup. 3го тебе за глаза.

вопросы в мыло или pm

1. Что лучше знаешь, то и юзай. (ИМХО фря проще будет)
2. Если сервер на freebsd, то можешь снимать статистику ната прямо с фарвола. Скрипт где-то у меня валялся. Надо поискать. Если же ты будешь использовать только прокси, то погляди на squid2mysql. Достаточно надёжная и простая вещь.
3. Всё зависит от желания. Но если из сервисов используется только сквид, то это не потребует больших знаний. Достаточно просто один раз всё настроить и прописать скрипты в кроне для очистки логов.
4. Всё зависит от траффика и размера кэша. На каждый гиг кэша сквида требуется 20 МБ рамы. Но в принципе, тебе хватит машины класса П3 + 512 МБ + 80ГБ.

и прописать скрипты в кроне для очистки логов.

Наиболее прямой путь - использование logrotate...