NetdefendOS_2.27.01_Firewall_User_Manual_RUS

кбит/с для приоритета 2, 64 кбит/с для приоритета 4 и затем пустить различные типы трафика с
заданными каждому из них приоритетами. Тем не менее, при таком подходе существует две
очевидные проблемы:
• Какой трафик наиболее важен? Этот вопрос не является существенным, но приобретает
значение по мере увеличения комплексности сценария Traffic shaping.
• Количество приоритетов ограничено. Возможно, данного количества будет недостаточно во
всех случаях, даже если исключить проблему «Какой трафик наиболее важен?».
Решение заключается в создании двух новых каналов: один для трафика Telnet и другой для трафика
SSH, подобно тому, как ранее был создан канал «surf».
Сначала удалите ограничение в 96 кбит/с в канале std-in, затем создайте два новых канала: ssh-in и
telnet-in. Для обоих каналов укажите приоритет 2 в качестве приоритета по умолчанию, и,
соответственно, задайте ограничения для приоритета 2 в 32 и 64 кбит/с.
Далее, разделите предварительно указанное правило, отвечавшее за диапазон портов 22-23 на два
отдельных правила для каждого порта 22 и 23 соответственно:
Оставьте в качестве прямой цепочки для обоих правил только канал std-out. Для упрощения данного
примера мы рассматриваем только входящий трафик, в этом направлении заполнение канала
наиболее вероятно в условиях, ориентированных на клиента.
В качестве обратной цепочки в правиле для порта 22 укажите канал ssh-in и следующий за ним канал
std-in. В качестве обратной цепочки в правиле для порта 23 укажите канал telnet-in и следующий за
ним канал std-in.
В качестве значения приоритета в обоих правилах выберете Use defaults from first pipe; для обоих
каналов ssh-in и telnet-in приоритетом по умолчанию является приоритет 2.
Использование данного подхода является более рациональным решением, чем указание приоритета 2
в наборе правил, при этом можно легко изменить приоритет всего трафика SSH и Telnet, поменяв
приоритет по умолчанию каналов ssh-in и telnet-in.
Помните, что мы не задали общее ограничение для каналов ssh-in и telnet-in. В этом нет
необходимости, так как общее ограничение будет осуществлено с помощью канала std-in,
расположенного в конце соответствующих цепочек.
Каналы ssh-in и telnet-in действуют в качестве «приоритетных фильтров» (priority filter): благодаря
им через канал std-in будет проходить только зарезервированное количество трафика с приоритетом
2 (64 и 32 кбит/с соответственно). Остальная часть трафика SSH и Telnet, превысившего свои
гарантии, пройдет через канал std-in с приоритетом 0, который является приоритетом
негарантированной доставки для каналов std-in и ssh-in.
10.1.7. Группы каналов
Примечание: Порядок обратной цепочки имеет
значение
В данном случае порядок указания каналов в обратной цепочки крайне
важен. Если поставить канал std-in перед ssh-in и telnet-in,
то трафик будет пропущен через канал std-in с наименьшим приоритетом и,
следовательно, будет конкурировать за 250 кбит/с доступной полосы пропускания с
остальным трафиком.
Система NetDefendOS обеспечивает дополнительный уровень управления каналами благодаря
возможности разделить полосу пропускания канала между отдельными пользователями в рамках
группы и применить для каждого пользователя ограничение и гарантию.
Можно выделить отдельных пользователей в соответствии с одним из следующих пунктов:
• IP-адрес источника (Source IP)
438