Vitaly
Dpd можно даже не трогать
Vitaly
У нас связка dir-dfl очень часто не работает из за pfs
Vitaly
Ещё может играть роль nat-t
Anonymous
1. pfs -> 2 (1024bit); 2. sha1 -> md5
В чем проблема? Было на sha1. Не работало. Изменил в оюоих сторонах на md5.
Так же не работает
alexxr61
выше Виталий дал рекомендацию проверить без pfs
Vitaly
В чем проблема? Было на sha1. Не работало. Изменил в оюоих сторонах на md5.
Так же не работает
Как на счёт отключить PFS?
Anonymous
На оборудовании "конкурентов", личном, работало.
Anonymous
Pfs тоже отлючал
alexxr61
лежат на столе и 140-й, и 860-й. собрать что ли завтра стенд?
Vitaly
Тогда логи надо из консоли dfl: ikesnoop -on
Vitaly
Или доступ в личку скиньте на обе железки, так будет более продуктивнее
alexxr61
Виталь, судя по позавчерашним логам там до второй фазу дело не доходило, рубилось на проверке SA в фазе ike
Vitaly
На тех логах на ike sa ругалось
alexxr61
Anonymous
Могу и доступ дать
Владимир
может быть такое что DGS-1210-28/ME A2 полежал пару лет на складе и у него обнулился конфиг?
Dmitry
Михаил
Коллеги, добрый вечер. В связи с текущими событиями вышестоящая организация прислала список из нескольких тысяч IP адресов для блокировки. Есть DFL-860e. Как сделать малой кровью? В никсах есть ipset, может и здесь как-нибудь?
$@M$ON
Коллеги, добрый вечер. В связи с текущими событиями вышестоящая организация прислала список из нескольких тысяч IP адресов для блокировки. Есть DFL-860e. Как сделать малой кровью? В никсах есть ipset, может и здесь как-нибудь?
Хороший вопрос. 860 достаточно старая железяка. Через вебморду врятли получится
Vladimir
Агрегировать по маске и забивать списком. Потом в группу, и группу использовать в правилах.
Михаил
Это понятно. А скриптом в консоли? А главное переварит ли?
$@M$ON
Соглашусь с Владимиров, в этом есть толк
Vladimir
Хороший вопрос. 860 достаточно старая железяка. Через вебморду врятли получится
Кто мешает через ssh сделать?
Делаете один, смотрите где лежит, и потом подобно добавляете через копи паст из блокнота.
Михаил
Михаил
Михаил
Именно
Vladimir
Ну столько не знаю, 2000 точно. Были случаи.
Vladimir
Ну блоками, и где встанет.
Vladimir
А так да, железка старая.
Vladimir
И ни какого апи нет
Михаил
Ясно, спасибо. Похоже придется поднимать шлюз на линухе...
$@M$ON
Я думаю на форуме ветку подыми с вопросом
Михаил
Я думаю на форуме ветку подыми с вопросом
Думаю, нет смысла. У меня стоит второй шлюз на линухе, так там я ипсетом блокирнул все, кроме РФ. Легко и просто, и работает в ядре. Зато почтовый спам как отрезало🙂🙂
Александр
Коллеги, добрый вечер. В связи с текущими событиями вышестоящая организация прислала список из нескольких тысяч IP адресов для блокировки. Есть DFL-860e. Как сделать малой кровью? В никсах есть ipset, может и здесь как-нибудь?
Через консоль (ssh) создаёте объекты ip-адреса, затем эти адреса в группу и одно блокирующее правило.
Возможно есть ограничения на количество объектов (маловероятно) и количество объектов в группе (возможно). Но возможно ограничений и нет.
Александр
Думаю, нет смысла. У меня стоит второй шлюз на линухе, так там я ипсетом блокирнул все, кроме РФ. Легко и просто, и работает в ядре. Зато почтовый спам как отрезало🙂🙂
В новых прошивках в правилах есть гео-фильтр.
Михаил
Через консоль (ssh) создаёте объекты ip-адреса, затем эти адреса в группу и одно блокирующее правило.
Возможно есть ограничения на количество объектов (маловероятно) и количество объектов в группе (возможно). Но возможно ограничений и нет.
Спасибо, но слишком много "возможно". Я посмотрел синтаксис, в принципе можно загнать прямо в бэкап, но боюсь в вебморду потом не зайдешь, пролистывание списка ляжет.
Михаил
В новых прошивках в правилах есть гео-фильтр.
Есть, вот только я не хочу просить эти 17000 на предмет поиска одного-двух адресов из РФ.
Александр
Спасибо, но слишком много "возможно". Я посмотрел синтаксис, в принципе можно загнать прямо в бэкап, но боюсь в вебморду потом не зайдешь, пролистывание списка ляжет.
Думаю что ограничений нет, но в таком режиме вряд-ли кто-то тестировал. Можно нарваться на баг/неявные ограничения.
Михаил
Думаю что ограничений нет, но в таком режиме вряд-ли кто-то тестировал. Можно нарваться на баг/неявные ограничения.
Именно. Проще поднять перед dfl виртуалку с предварительной фильтрацией.
Михаил
Всем спасибо за обсуждение.
Vitaly
Коллеги, добрый вечер. В связи с текущими событиями вышестоящая организация прислала список из нескольких тысяч IP адресов для блокировки. Есть DFL-860e. Как сделать малой кровью? В никсах есть ipset, может и здесь как-нибудь?
У него память быстрее закончится, чем этот список адресов.
$@M$ON
Думаю, нет смысла. У меня стоит второй шлюз на линухе, так там я ипсетом блокирнул все, кроме РФ. Легко и просто, и работает в ядре. Зато почтовый спам как отрезало🙂🙂
Я конечно не помню 860, но помойму по гео там тоже есть
$@M$ON
Сейчас все прихтдится лочить по гео, но сверху правло для доступа из вне для определенных ip из стран заблокированных
$@M$ON
Гео там есть, видел.
860 видел лет 5 назад после на 870 перешел, а сейчас их хрен с огнем сыщешь
Andrew
Andrew
https://www.dlink.ru/ru/faq/383/1973.html
$@M$ON
Раньше все ручками приходилось 😁 не было таких мануалов 😁 да еще и с новым интерфейсом, мозг просто ломался 😁
Михаил
860 видел лет 5 назад после на 870 перешел, а сейчас их хрен с огнем сыщешь
Я в аккурат в феврале хотел купить 870, т.к. лицензий уже не купить было, а вот фиг там.
Andrew
Кстати, знаю кто имеет желание продать 1660
$@M$ON
Я в аккурат в феврале хотел купить 870, т.к. лицензий уже не купить было, а вот фиг там.
я их с февраля так же ждал, обещали в конце октября партию с завода отгрузить, но что то пошло не так
$@M$ON
Ждемс до сих пор 😁 либо нужно изучать альтернативу
Sergey
Михаил
$@M$ON
У меня остался один резервный и то что делать дальше хз
$@M$ON
Их понатыкано 8 шт, если 2а выйдут то крах
$@M$ON
Когла помер 260 переносили руками настройки на 870... это было жесть, больше так не хочу 😁
$@M$ON
Так что, лоч по гео 😁😉
Михаил
Я уже в ядро элтексы купил, работают вроде. Смотрел на их мультисервисные шлюзы, но вот отсутствие гуя пока отталкивает, бо работать с ними хочу посадить эникейщика. Да и цена не радует.
$@M$ON
Вот потому и не хочу заново изучать 😁
$@M$ON
Я думаю скоро вернемся к winroute 😁
$@M$ON
Согласен, выбора нет
Михаил
Я тут pfSense поставил, бо регулятор требует логи и трафик за 10 дней🤨
Михаил
Так он, собака, начал ломиться к се домой, и по лесам американским.
Михаил
Днсам
$@M$ON
Да вот в последнее время я начинаю подумыать о своем закрытом dns
Andrew
Ребят, на авито 260е по 2-3 тыщи, 860у - 6 тыщь
Andrew
вон даже https://www.avito.ru/penzenskaya_oblast_zarechnyy/tovary_dlya_kompyutera/marschrutizator_d-link_dfl-860e_1987618981?slocation=650400
Andrew
1700 за 860e
$@M$ON
Сегодня уже хватило, с 15.00 по Москве, dns сегодня в минусе.
Andrew
https://www.avito.ru/omsk/tovary_dlya_kompyutera/router_dlink_dfl-860e_2266835703?slocation=650400