Александр а есть что-то про функциональность вашего application firewall, кроме маркетингового https://www.ptsecurity.com/ru-ru/products/af/ ?

вдруг мы бы заонбоардили его и в каком-нибудь солюшене внезапно получилось бы использовать :)

Александр а есть что-то про функциональность вашего application firewall, кроме маркетингового https://www.ptsecurity.com/ru-ru/products/af/ ?

К сожалению я не разработчик данного firewall. Я разработчик платформы для VNF функций. А данный продукт нам предоставили в качестве тестов с его TOSCA описанием.

а, ok :)

а, ok :)

Могу скинуть функциональность платформы если интересно.

даташит?

я уже прочёл, но там очень много воды.

к сожалению не даташит. а то что мы из себя представляем и куда стремимся.

в целом, интересно смотрится для Enterprise кейсов SD-WAN как VAS.

про платформу не интересно :)

я бы сказал больше для телеком операторов

IPS есть ? с автоматическим обновлением сигнатур ?

окей.

IPS есть ? с автоматическим обновлением сигнатур ?

ну как у vSRX, наверняка.

IPS есть ? с автоматическим обновлением сигнатур ?

по словам разработчкиов имеется.но на сколько это верно не проверялось

да и у checkpoint та же история, насколько я помню. да и у fortinet.

1.5 года назад, без DPDK, vSRX показывал очень грустуню производительность IPS - как сейчас не знаю.

мы про какую ветку сейчас говорим?

про 15.1 или 12.1?

если 15.1 - там внутри не отключается DPDK

"Машинное обучение против атак нулевого дня" - огонь фаерволл)

ну и, алсо, c vSRX 15.1X49-D70 можно делать vSRX-M и vSRX-L

мы уже натестировали их, но отчёт не могу показать, ибо confidential :(

могу лишь сказать, что без применения полиси хорошо получилось 4.5Gbps на SR-IOV линках в dataplane на vSRX-M

дальше у spirent кончились cpu в карте для профиля avalanche :)

в общем напишу постмортем по поводу проблем с ребитом которые я выше поднимал. я сначала стал грешить на NTP, но в итоге выяснилось что проблема таки в самом ребите. после синхронизации времени агенты нейтрона вроде пришли в норму, но машины не могли стартовать, долго удалялись, в общем все по прежнему глючило. я порыл по логам, вроде как упиралось все в ребит. у меня была настроена схема с keepalived, и агенты ходили на кластерный адрес. В HA доке же на сайте описан другой конфиг, там все три ребита вписаны во все конфиги, keepalived не нужен. я снес полностью кластер ребита, поднял с нуля кластер и HA очереди, и взял за образец конфиг с сайта + тюнинговые параметры которые они там рекомендуют. в итоге сейчас все ок.

весьма странное решение было вешать коннект к раббиту на HA адрес, все сессии у него отслеживаются и не могут быть перекинуты просто так на другую ноду

ну я в этом плане чайник, с OS и ребитом столкнулся вот только-только. а такую схему я видел в одном из гайдов.

в общем напишу постмортем по поводу проблем с ребитом которые я выше поднимал. я сначала стал грешить на NTP, но в итоге выяснилось что проблема таки в самом ребите. после синхронизации времени агенты нейтрона вроде пришли в норму, но машины не могли стартовать, долго удалялись, в общем все по прежнему глючило. я порыл по логам, вроде как упиралось все в ребит. у меня была настроена схема с keepalived, и агенты ходили на кластерный адрес. В HA доке же на сайте описан другой конфиг, там все три ребита вписаны во все конфиги, keepalived не нужен. я снес полностью кластер ребита, поднял с нуля кластер и HA очереди, и взял за образец конфиг с сайта + тюнинговые параметры которые они там рекомендуют. в итоге сейчас все ок.

ещё можно внимательно посмотреть на https://docs.hpcloud.com/hos-3.x/helion/planning/high_availability.html

о, супер. благодарочка.

В нашем HA VIM мы используем очень похожее.

прям классика. Зачем там вообще нужен вип?

ну я например вообще не знал что можно все три ребита вкрячить в конфиг.

к сожалению информацию приходится по крупицам вытаскивать, нормальной всеобъемлющей доки я пока не нашел

Конечно

Это же OpenStack

Палки и жеваные жёлуди

Жёлуди и палки

Вот нужный термин

гениально

https://mstrok.ru/news/govno-i-v-bolnicy-nizhnego-tagila-privezli-hleb-s-necenzurnym-sostavom-foto.html

Сегодня это на этикетке, завтра в хлебе?», - пишет Наталья Кислухина

вообще хрень. в полном конфиге на нейтрон написано: [DEFAULT] # The host IP to bind to (string value) #bind_host = 0.0.0.0 Пихаем это в конфиг. получаем CRITICAL: 2017-06-21 19:21:32.768 6635 ERROR neutron NoSuchOptError: no such option bind_host in group [DEFAULT]

это как понимать? :)

блядь, он не принимает адрес в виде переменной, вида $my_ip. хотя во всех остальных сервисах все работает. говно и палки, да.

Привет

Привет

вообще хрень. в полном конфиге на нейтрон написано: [DEFAULT] # The host IP to bind to (string value) #bind_host = 0.0.0.0 Пихаем это в конфиг. получаем CRITICAL: 2017-06-21 19:21:32.768 6635 ERROR neutron NoSuchOptError: no such option bind_host in group [DEFAULT]

какая версия OS?

оката. кстати после замены конфигов реббита, где-то блядь всплывает таки старый конфиг. в логе nova-api есть ошибки на него. и нигде в /etc/nova этого уже нет. ебусь пытаюсь найти откуда он это сосет.

это нормально, что настройки из документации не сходятся реальностью. это openstack

надо включать debug для neutron, перезапускать его и идти смотреть опции, которые он проинициализировал, в логе.

там будет понятно, в какой секции он желает bind_host.

ещё можно внимательно посмотреть на https://docs.hpcloud.com/hos-3.x/helion/planning/high_availability.html

Ocata ?

блядь, в нове откуда-то лезет старый конфиг ребита. в /etc/nova его нет. вообще нигде в /etc/ нет. при включенном дебаге тоже вроде нет. а в /var/log/nova/nova-api.log есть. как так то?

нашел. в mysql базе cell_mappings отдельно прописан транспорт для cell_1.

кто-то кроме cern пользует cells ?

кто-то кроме cern пользует cells ?

Ставишь ocata - будешь использовать

Коллеги кто нибудь сталкивался с такой проблемой

https://mail.openvswitch.org/pipermail/ovs-discuss/attachments/20160601/6af5522e/attachment-0002.txt

если да то может кто знает как решается

в чем проблема?

ovs порты работают в default неймспейсе и пихать их в другие не стоит, как правило заканчивается отсутствие трафика. если нужно из каких-то ns направить трафик в бридж всвича, то нужно протягивать veth шланг из неймспейса в овс бридж

привет! делаю запрос curl на сервис glance например, получаю в ответ json {"versions": [{"status": "CURRENT", "id": "v2.5", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "SUPPORTED", "id": "v2.4", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "SUPPORTED", "id": "v2.3", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "SUPPORTED", "id": "v2.2", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "SUPPORTED", "id": "v2.1", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "SUPPORTED", "id": "v2.0", "links": [{"href": "http://glance-backend/v2/", "rel": "self"}]}, {"status": "DEPRECATED", "id": "v1.1", "links": [{"href": "http://glance-backend/v1/", "rel": "self"}]}, {"status": "DEPRECATED", "id": "v1.0", "links": [{"href": "http://glance-backend/v1/", "rel": "self"}]}]} получаю не те hateoas ссылки, и не могу понять где, например в конфиге glance, прописать правильное имя хоста для ссылки, а не glance-backend

кажется разобрался

ну, время готовиться, да? https://rkn.gov.ru/news/rsoc/news46796.htm

если что. я на днях посмотрел в RIPE/ARIN и приготовился. route = 91.108.4.0/255.255.252.0 route = 91.108.8.0/255.255.248.0 route = 91.108.16.0/255.255.248.0 route = 91.108.56.0/255.255.252.0 route = 149.154.160.0/255.255.240.0 route = 2001:067c:04e8:0000:0000:0000:0000:0000/48 route = 2001:0b28:f23c:0000:0000:0000:0000:0000/46

используйте по своему усмотрению :)

А irc канал есть?)

это слишком вперёд в прошлое.

напомню из FAQ:

заканчивайте и идите в @cloud_flood

заканчивайте и идите в @cloud_flood

Спасибо

Всем привет! Ребята подскажите, что то не понятно по доке, в случае интеграции с external DNS, мне этот external DNS надо конфигурировать, типа где то держать bind или undbound или тут какое то свое решение имеется в виду. Поскольку в доке как то про стороний софт вообще не упомянуто https://docs.openstack.org/ocata/networking-guide/config-dns-int.html

Офтоп. Давно ли дока стала мануалом?

Вот и я о том же

Всем привет! Ребята подскажите, что то не понятно по доке, в случае интеграции с external DNS, мне этот external DNS надо конфигурировать, типа где то держать bind или undbound или тут какое то свое решение имеется в виду. Поскольку в доке как то про стороний софт вообще не упомянуто https://docs.openstack.org/ocata/networking-guide/config-dns-int.html

Там не про designate ли?

Там не про designate ли?

Про него, но я так понял это просто какой то cli

Вроде как должен быть развернут designate, и тогда neutron начинает туда ходить

https://docs.openstack.org/ocata/networking-guide/config-dns-int.html#configuring-openstack-networking-for-integration-with-an-external-dns-service вот тут