@MikrotikRu
Alseg16.09.2017
20:08:10
20:08:10
я прям не могу сказать что вот "всё плохо"
Wild One16.09.2017
20:09:26
20:09:26
я прям не могу сказать что вот "всё плохо"
нуу у нас мелкие микротики там раскиданы. И да, за отсутствие OpenVPN-UDP им фыр.
GoogleAlseg16.09.2017
20:10:48
20:10:48
нуу у нас мелкие микротики там раскиданы. И да, за отсутствие OpenVPN-UDP им фыр.
ну не знаю, у меня нет овпн, я всё жду пока они rfc напишутработает из под любого гавна это оно молодец конечно
Anton16.09.2017
20:11:29
20:11:29
это если текстуры около дома провалились, или нагрешил
> нагрешил
https://s02.yapfiles.ru/files/870778/1369394478be42478fb7ca8bb763d338414af5e735.gifWild One16.09.2017
20:11:49
20:11:49
работает из под любого гавна это оно молодец конечно
а вообще даешь стандартизованное решение на базе DTLSа-ля "напишите RFC на anyconnect и внедрите повсеместно")
Alseg16.09.2017
20:12:06
20:12:06
налоговая местная хуячит свои опенвпны в массы
Wild One16.09.2017
20:12:16
20:12:16
ну... их удобно масштабировать
Anton16.09.2017
20:13:29
20:13:29
Wild One16.09.2017
20:13:39
20:13:39
нуууу можно с IKEv2
опять же, мы говорим про динамический VPN, к-рый работает отовсюду
а OpenVPN и тем более аниконнекто-образное имеет преимущество в том, что можно автомагически переключиться с UDP на TCP(SSL), если нам его зарезали
Anton16.09.2017
20:14:28
20:14:28
опять же, мы говорим про динамический VPN, к-рый работает отовсюду
Настроил себе IPsec. С мобилы отовсюду УМВР. ЧЯДНТ?Alseg16.09.2017
20:14:53
20:14:53
ну я просто понимаю так что этот овпн от местных налоговых - инициатива местных работников этих налоговых. потому что там есть некая услуга терминала, и они за это берут бабло
GoogleWild One16.09.2017
20:14:54
20:14:54
Настроил себе IPsec. С мобилы отовсюду УМВР. ЧЯДНТ?
OpenVPN-TCP и anyconnect зато способны работать когда дырка наружу - только tcp/443ну я просто понимаю так что этот овпн от местных налоговых - инициатива местных работников этих налоговых. потому что там есть некая услуга терминала, и они за это берут бабло
а шифры там гостовые?))) или ай-яй-яй нарушаем?)Anton16.09.2017
20:15:17
20:15:17
Wild One16.09.2017
20:16:00
20:16:00
еще как умеет
у него по умолчанию DTLS over UDP, если не прокатывает - идет поверх tcp
причем автомагически, поэтому и any
у нас ocserv юзается широко
как раз для удаленщиков
Wild One16.09.2017
20:17:23
20:17:23
вот хочется такой вот SSL/DTLS VPN, что для L2L, что для road warrior
Anton16.09.2017
20:17:36
20:17:36
Впрочем, на самом деле IPsec тоже можно заставить работать через любой порт.
Wild One16.09.2017
20:17:49
20:17:49
в принципе опенвпн удовлетовряет (кстати, а он не умеет откатываться с одним и тем же конфигом с UDP на TCP?)
Впрочем, на самом деле IPsec тоже можно заставить работать через любой порт.
ну можно затуннелить, но только в UDP :) если у клиента UDP перекрыт - наступает ойа тут смысл в том, что работаем по UDP, но если вдруг обломалось - идем по TCP и мимикрируем под обычный SSL трафик
что для работы из Китая (например) очень выручает, вроде они аниконнект не режут
КириллWild One16.09.2017
20:20:10
20:20:10
а то что мт не поддерживает OVPN/UDP уже лет десять - фыр на них
Google
Anton16.09.2017
20:20:54
20:20:54
а тут смысл в том, что работаем по UDP, но если вдруг обломалось - идем по TCP и мимикрируем под обычный SSL трафик
А это тебе уже не совсем реализация VPN нужна. ?
Ведь задача VPN - защищать, а не маскировать трафик.Wild One16.09.2017
20:21:15
20:21:15
А это тебе уже не совсем реализация VPN нужна. ?
Ведь задача VPN - защищать, а не маскировать трафик.
ну мы юзали еще openvpn+obfsproxy для тяжелых случаевщас хз, вроде аниконнект из китая и так работает ))
кстати, у кого-нибудь SXT LTE работает?)
у меня - да, но интересна статистика по стабильности этих девайсов
OlD_NiK16.09.2017
22:27:43
22:27:43
Сдавайте в двух экземплярах и храните у себя копии. Ну или в системе документооборота фиксируйте.
Жопу прикрывать надо обязательно.
Это называется ЖПП - жопоприкрывательное письмоOlD_NiK16.09.2017
22:38:03
22:38:03
Anton16.09.2017
22:38:55
22:38:55
Да ты не понял, похоже, что я имел в виду. ?
OlD_NiK16.09.2017
22:39:33
22:39:33
А про апач почитал... Аж глаз задёргался - "откладет в сторону"
OlD_NiK16.09.2017
22:45:32
22:45:32
Bastad16.09.2017
22:45:57
22:45:57
Удобно
Илья16.09.2017
22:57:56
22:57:56
RB1100Dx4 AL21400 1G all port test
Mode Configuration 1518 byte 512 byte 64 byte
kpps Mbps kpps Mbps kpps Mbps
Bridging none (fast path) 606.5 7,365.3 1,736.4 7,112.3 5,509.7 2,821.0
Bridging 25 bridge filter rules 606.5 7,365.3 1,107.8 4,537.5 1,153.2 590.4
Routing none (fast path) 606.5 7,365.3 1,736.4 7,112.3 5092.3 2,607.3
Routing 25 simple queues 606.5 7,365.3 933.6 3,824.0 960.3 491.7
Routing 25 ip filter rules 543.7 6,602.7 561.8 2,301.1 564.6 289.1
кароч я так понял не выдумывать и брать RB1100Dx4 надо как роутер, оптика не нужна...
Konstantin17.09.2017
03:26:19
03:26:19
Доброго времени суток. ПОдскажите, есть коммутатор L3 326CRS , можно ли на нём Vlan поднять и поделить сети ?
wildmoon17.09.2017
03:44:22
03:44:22
Ну а для чего он еще нужен? Да еще и с двумя операционками
Zek17.09.2017
03:45:33
03:45:33
так уж и l3
Google
Sergiy17.09.2017
05:35:28
05:35:28
кароч я так понял не выдумывать и брать RB1100Dx4 надо как роутер, оптика не нужна...
Не скажу. я лишь привел цифры с сайта микротика. Что будет при 50 правилах не ясно.
Alexei17.09.2017
05:37:47
05:37:47
Не скажу. я лишь привел цифры с сайта микротика. Что будет при 50 правилах не ясно.
ну это же имеется в виду что трафик должен обязательно проходить через эти 50 правил :) а всего их может быть и больше :)
Alex17.09.2017
05:41:42
05:41:42
Не скажу. я лишь привел цифры с сайта микротика. Что будет при 50 правилах не ясно.
Никто 64-байтовых пакетов в таком количестве слать не будет. А большими – быстрее упрутся в порт, чем в цпу. Так что оба девайса справятся, но 1009 будет проще работать с симпл кью, ибо ядер больше.Sergiy17.09.2017
06:39:30
06:39:30
Я и не говорю что будет. Это лишь показатель что с 1009 что то не то. очень сильно садится производительность от правил
Nikolai17.09.2017
07:25:43
07:25:43
Возможно, происходит некорректное распределение ресурсов ядер между процессами ввода/вывода и процессами обработки трафика. Тогда это может быть решено ручным распределением. Либо исправлением диспетчеризации внутри RouterOS.
Но это только предположение.
Владлен17.09.2017
07:27:49
07:27:49
Или вы не про тошнотик?
Nikolai17.09.2017
07:28:55
07:28:55
Тюнинг конфига никто не отменял.
Одна из проблем 1100ahx4 это слабые каналы от портов к процу. Порты 1-5 и 6-10 имеют максимум 2,5Gbit на группу
wildmoon17.09.2017
07:29:13
07:29:13
А все рассылку получили? Новостную? Что там за пиздюлина, юсб-свисток за 16 баксов?
Nikolai17.09.2017
07:29:21
07:29:21
Когда у CCR каждый порт работает с процом на полной скорости
AdminERROR: S client not available
Nikolai17.09.2017
07:34:18
07:34:18
Не забыв там поглядеть внутри и в rps
Alseg17.09.2017
07:38:32
07:38:32
господа, а есть у кого нибудь из вас интерконнекты ipv6 на /127 между мт-мт?
на /64 всё ок работает, ставишь /127 - с одной стороны некстхоп сразу грит недоступен
Alex17.09.2017
09:18:00
09:18:00
Главное, чтобы на :: не заканчивалось
Alseg17.09.2017
09:34:55
09:34:55
у меня адреса на тоннеле типа fd00:2001:db8:dead::a/127 + fd00:2001:db8:dead::b/127
GoogleAlex17.09.2017
09:46:18
09:46:18
у меня адреса на тоннеле типа fd00:2001:db8:dead::a/127 + fd00:2001:db8:dead::b/127
В такой комбинации у меня работаетAlseg17.09.2017
09:48:36
09:48:36
В такой комбинации у меня работает
странно, с одной стороны в маршрутах говорит reachable, с другой unreachableпри этом связность есть
пингуемся, всё ок
если ставлю /64 место /127 - взлетает
Alex17.09.2017
09:49:34
09:49:34
Ну мы маршрут не писали через этот линк, просто бгп через него запустили
Alseg17.09.2017
09:49:54
09:49:54
а и еще нюанс
Alex17.09.2017
09:49:54
09:49:54
А тот через линклокал сливает фуллвью
Alseg17.09.2017
09:50:04
09:50:04
если вместо адреса указать интерфейс - тоже взлетает
причем где то месяц назад в лабе у меня это уже было, ну думал мб GNS чот подгоняет
Alex17.09.2017
09:56:01
09:56:01
у меня адреса на тоннеле типа fd00:2001:db8:dead::a/127 + fd00:2001:db8:dead::b/127
xxxx:xxxx::/127 и xxxx:xxxx::1/127 – вот так не работаетAlseg17.09.2017
09:57:44
09:57:44
xxxx:xxxx::/127 и xxxx:xxxx::1/127 – вот так не работает
имеется ввиду красненьким цветом чтоль выделается?есессн я пишу в это поле без маски
Alex17.09.2017
09:58:34
09:58:34
Не, оно назначается, но не работает
Alseg17.09.2017
09:58:58
09:58:58
Alseg17.09.2017
10:03:55
10:03:55
каким образом туда должен прописаться 127 я никак не понимаю, там же должно быть без маски просто адрес
какая ему разница какая там маска, он свою знает и некстхоп тоже знает, он же прямо в него смотрит
мы же на ипв4 при /29 например не пишем же ее в gw верно?
Открыть в Telegram