<div class="gmail_quote">On Tue, Aug 11, 2009 at 12:57 PM, Chris Bell <span dir="ltr"><<a href="mailto:chrisbell@3966.ukfsn.org">chrisbell@3966.ukfsn.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
<div class="im">On Tue 11 Aug, Bruce Richardson wrote:<br>
> On Tue, Aug 11, 2009 at 10:01:45AM +0000, Chris wrote:<br>
><br>
> ><br>
</div><div class="im">> >    I was also considering bridge control, where a box silently passes<br>
> > selected packets between connections without itself being generally<br>
> > accessible or even visible except via specified route(s).<br>
><br>
> This is my preferred approach to firewalling.  It used to require a lot<br>
> of patching and building of custom utilities but everything you need is<br>
> in the default kernels for most distributions these days.<br>
><br>
</div>   I assume that it would not be possible to install a pair of boxes for<br>
fail-safe operation because they would send streams of duplicate packets,<br>
even when set for established links only.<br>
<div><div></div><br></div></blockquote></div><br>It's perfectly possible to have a pair of boxes doing fail safe routing even if they are 'hidden' (which fundamentally just means they aren't decrementing the ttl of the packets they route and aren't directly accessible from the internet on a public IP). You'd basically have one of the machines sending some sort of a heartbeat that suppressed the failover node from routing packets. If the heartbeat goes away then it starts routing. I can think of a few ways of rigging this up (heartbeat, netfilter-failover, keepalived etc).<br>
<br>Rob.<br><br><br><br><br><br><br>