Xin chào mọi người,

Mình có mô hình mạng như sau:


LAN ------------- (eth0) Linux FW (eth1) -------------- Internet


Linux FW này mình xét pppoe lấy IP từ ISP trên interface ppp0, còn interface eth1 thì không set (mình làm theo 1 hướng dẫn ở trên mạng), còn modem ADSL thì mình để ở chế độ Bridge.

LAN có 60 máy tính kết nối ra Internet, có lúc đồng thời cả 60 máy kết nối, có lúc không. Mình đã set rules chặn các port chỉ mở port 80, 443, 5050, 25, 110, 995, 465 ra ngoài Internet. Mọi người truy cập ra vẫn bình thường, thỉnh thoảng có hơi chậm 1 chút và download cực chậm, có lúc voice call qua skype lại bị disconnect, phải connect lại. Chỉ khoảng 20KB/s.
Các dịch vụ mà mình sử dụng: duyệt web, sử dụng Google Apps, Skype, Mail offline.
Mạng mình dùng ADSL gói cao nhất của VNPT là 10Mbps.

Nhờ mọi người giải đáp vài thắc mắc của mình

- Việc mình set như vậy có đúng không? Nếu đúng sao thỉnh thoảng lại vào chậm, và skype thỉnh thoảng bị disconnect?
- Liệu vấn đề này có liên quan gì tới MTU & QoS không? Vì MTU thì trên interface eth0 mình vẫn để mặc định là 1500, trên interface ppp0 thì set tự động là 1492 & QoS mình cũng chưa set (mình biết là nên set QoS nhưng mình đọc tài liệu ở trên trang http://lartc.org/ mà chưa hiểu )
- 1 câu hỏi nữa liên quan đến QoS: mọi người có thể phân tích sự khác nhau của các classes trong iproute2 và các trường hợp khi nào dùng classes nào thì phù hợp được không?

Hơi ngoài lề ở đây 1 chút: thấy bác conmale nói rằng không nên dùng linux làm firewall NAT 2 lần nếu modem đã NAT rồi. Lý do vì sao mà lại không nên NAT 2 lần?

Xin cám ơn vì đã đọc bài và cho mình ý kiến 

lion1102 wrote:

Xin chào mọi người,

Mình có mô hình mạng như sau:


LAN ------------- (eth0) Linux FW (eth1) -------------- Internet


Linux FW này mình xét pppoe lấy IP từ ISP trên interface ppp0, còn interface eth1 thì không set (mình làm theo 1 hướng dẫn ở trên mạng), còn modem ADSL thì mình để ở chế độ Bridge.

LAN có 60 máy tính kết nối ra Internet, có lúc đồng thời cả 60 máy kết nối, có lúc không. Mình đã set rules chặn các port chỉ mở port 80, 443, 5050, 25, 110, 995, 465 ra ngoài Internet. Mọi người truy cập ra vẫn bình thường, thỉnh thoảng có hơi chậm 1 chút và download cực chậm, có lúc voice call qua skype lại bị disconnect, phải connect lại. Chỉ khoảng 20KB/s.
Các dịch vụ mà mình sử dụng: duyệt web, sử dụng Google Apps, Skype, Mail offline.
Mạng mình dùng ADSL gói cao nhất của VNPT là 10Mbps.

Nhờ mọi người giải đáp vài thắc mắc của mình

- Việc mình set như vậy có đúng không? Nếu đúng sao thỉnh thoảng lại vào chậm, và skype thỉnh thoảng bị disconnect?
- Liệu vấn đề này có liên quan gì tới MTU & QoS không? Vì MTU thì trên interface eth0 mình vẫn để mặc định là 1500, trên interface ppp0 thì set tự động là 1492 & QoS mình cũng chưa set (mình biết là nên set QoS nhưng mình đọc tài liệu ở trên trang http://lartc.org/ mà chưa hiểu )
- 1 câu hỏi nữa liên quan đến QoS: mọi người có thể phân tích sự khác nhau của các classes trong iproute2 và các trường hợp khi nào dùng classes nào thì phù hợp được không?

Hơi ngoài lề ở đây 1 chút: thấy bác conmale nói rằng không nên dùng linux làm firewall NAT 2 lần nếu modem đã NAT rồi. Lý do vì sao mà lại không nên NAT 2 lần?

Xin cám ơn vì đã đọc bài và cho mình ý kiến 

Giá trị MTU và QoS đứng dưới góc độ end-user thì không cần quan tâm vì phần này là do ISP cung cấp, thiết lập. Tinh chỉnh, điều chỉnh chúng phụ thuộc vào cổng uplink kết nối đến ISP, xem lại thuật ngữ "thắt nút cổ chai" .
Không nên NAT 2 lần vì như thế giảm thiểu rất rõ rệt tốc độ của đường truyền.  

Khi một người trong mạng kéo Bittorrent thì băng thông to đến mấy cũng bị nó hút sạch sẽ, không chậm mới là lạ.

QoS thì bạn đọc các hướng dẫn trong quyền Linux Advance Routing and Traffic Control, nhưng việc chống Bit cũng rất khó nếu không áp dụng kiểm soát cả ở mức application. Lý do là ở lớp 4 trở xuống, GW không thể "limit" luồng down (từ Internet về GW), chỉ có thể delay data lại không chuyển cho client và client sẽ không ack và phía nguồn sẽ giảm bớt việc đẩy dữ liệu về. Một số proxy, ví dụ squid, có delay pool và có thể giảm bớt tác hại của torrent (điều kiện là mọi thứ phải qua squid).