Nickolay
Подскажите пожалуйста, что приоритетней, политика IPSEC или маршрут? если у меня одновремено будет в одну и ту же сеть политика и маршрут.
Cumberbatch
Ух ты. А тут его и нет
Nickolay
Cumberbatch
Ну конечно
Nickolay
Ну конечно
Спасибо!!! политики тогда останутся на крайний случай, если оспф развалится, можно же так?
Cumberbatch
Rodion
Так вроде если есть политика, то маршрут уже не имеет значения, лишь бы он был хоть какой-то
Nickolay
Эээээ. Это как?
Ну у меня сейчас в филиалах доступны через ipsec политики, я сейчас к примеру растяну между филиалами дополнительно к примеру gre+ipsec+OSPF - если вдруг что-то пойдет не так, и ospf развалится, тогда филиалы из центра будут доступны по политикам, так как роутов не будет.
Cumberbatch
Ну у меня сейчас в филиалах доступны через ipsec политики, я сейчас к примеру растяну между филиалами дополнительно к примеру gre+ipsec+OSPF - если вдруг что-то пойдет не так, и ospf развалится, тогда филиалы из центра будут доступны по политикам, так как роутов не будет.
Да не простят пакеты через gre. Политика их отловит и отправит
Nickolay
Да не простят пакеты через gre. Политика их отловит и отправит
не понял, сначала же роутинг, потом политики? проясните пожалуйста мою кашу в голове
Moneron 🇷🇺
Подскажите пожалуйста, что приоритетней, политика IPSEC или маршрут? если у меня одновремено будет в одну и ту же сеть политика и маршрут.
Политика шифрует после построутинга
Moneron 🇷🇺
Сравнивать их некорректно
Moneron 🇷🇺
не понял, сначала же роутинг, потом политики? проясните пожалуйста мою кашу в голове
Роутинг, попадание под политику, шифрование, роутинг нового пакета
Nickolay
ок. Вот в моем случае - если будет 1) туннель из чистого ipsec 2) туннель gre+ipsec и ospf Я правильно понимаю, что пакет полетит в туннель гре+ipsec?
Moneron 🇷🇺
Нет
Cumberbatch
ок. Вот в моем случае - если будет 1) туннель из чистого ipsec 2) туннель gre+ipsec и ospf Я правильно понимаю, что пакет полетит в туннель гре+ipsec?
Туда полетит то что не подпадёт под политику но маршрут будет через gre
Moneron 🇷🇺
Да, маршрут будет в туннель, но улетит в политику
Nickolay
улетит в политику = улетит в туннель из чистого IPSEC? или улетит через GRE+IPSEC
Moneron 🇷🇺
В чистый ипсек
Cumberbatch
улетит в политику = улетит в туннель из чистого IPSEC? или улетит через GRE+IPSEC
Зачем вам и то и то?
Moneron 🇷🇺
Если за роутерами сети А и Б, действие будет происходить пошагово так:
1) пакет а->б попадает в прероут и таблицу маршрутизации, где ему выбирается аут-интерфейс (гре-туннель)
2) проходит цепочки форвард и построутинг
3) проверяет политики и находит подходящую
4) шифруется и оборачивается в новый заголовок
5) новый пакет ищет для себя маршрут, проходит цепочки аутпут и построутинг, улетает на удалённый роутер
Сергей
ipsec как резерв ospf )
Moneron 🇷🇺
Moneron 🇷🇺
политики ipsec уже есть, их не хочется убивать )) но хочется ospf
Убивайте. Я хочу крови молодого айписека :)
Nickolay
Спортсмены )))
Cumberbatch
политики ipsec уже есть, их не хочется убивать )) но хочется ospf
Только убивать. Чистыми политиками оспф не поднять.
Nickolay
Только убивать. Чистыми политиками оспф не поднять.
чистыми не поднять, это я понимаю, поэтому хочу еще между мод-конф адресами растянуть к примеру gre, но при этом оставить политики из сети в сеть.
Cumberbatch
чистыми не поднять, это я понимаю, поэтому хочу еще между мод-конф адресами растянуть к примеру gre, но при этом оставить политики из сети в сеть.
Оставляете. Оспф пусть вам маршруты строит. А политика передаёт
Nickolay
@moneron , Cumberbatch Спасибо за помощь! Соберу в eve и посмотрю!
Anna
Душевный Mikrotik против бездушного РКН и такого же провайдера
https://habr.com/ru/post/467471/
SABeShnik
Всем доброй ночи!
Не подскажите почему с Ether2 не проходит пинг на интерфейс Wlan1?
Bridge нет.
Nickolay
Всем доброй ночи!
Не подскажите почему с Ether2 не проходит пинг на интерфейс Wlan1?
Bridge нет.
Адреса на интерфейсах есть? Откуда и как пингуете? В форварде что?
Stas
есть какая либо функция, которая сбрасывает изменения после рестарта? А то изменения любые делаю- после рестарта сброс изменений
Andrey
safe mode?
Stas
есть какая либо функция, которая сбрасывает изменения после рестарта? А то изменения любые делаю- после рестарта сброс изменений
извините, решил проблему. Место не было
Михаил
а не, до сих пор изменения сбрасываются... safe mode нет
Может вам вместо микрота циску подсунули? )
Moneron 🇷🇺
а не, до сих пор изменения сбрасываются... safe mode нет
Сохраните конфиг, прошейте нетинсталлом, восстановите конфиг
Aleksandr
/rules
Albert
Всем доброго дня. После настроки вланов, перестали отображаться соединения в коннекшен трекере. 6.45.6 Это нормально?
😷Драничек
А вы вланы на свиче настроили?
Stas
Сохраните конфиг, прошейте нетинсталлом, восстановите конфиг
спасибо за идею! Но уже разобрался
Moneron 🇷🇺
Всем доброго дня. После настроки вланов, перестали отображаться соединения в коннекшен трекере. 6.45.6 Это нормально?
Смотря что вы с вланами делаете. Если коммутируете – то нормально. Если маршрутизируете – то в целом нормально, если полностью пустой фаервол. Если есть правила фильтра/ната – контрек включается обычно автоматически
Albert
Evgenii
Всем привет. Тут интересная ситауция у меня заблокировали ип тачки с проксёй телеги. При этом прокси исключительно приватный, никому не распространял его. На тачке кроме прокси вообще больше ничего нет. Работала прокся на этом ip последние 2 месяца. Прико в том, что мой провайдер вообще перестал маршрутизировать любой трафик к этому ip , даже по ssh не мог зайти. Кто нибудь сталкивался с похожим ?
Albert
Просто в конфигурации без влан и без правил в нате, коннекшены есть.
Evgenii
❗ Генпрокуратура 27-31-2018/Ид2971-18
❌ 95.216.172.96 by 95.216.172.96/32
To subscribe for lock status use /add
Evgenii
$ mtr -nr -c 3 95.216.172.95
Start: 2019-09-16T09:53:18+0500
HOST: devops-emedvedev Loss% Snt Last Avg Best Wrst StDev
1.|-- 192.168.200.1 0.0% 3 0.4 0.4 0.4 0.4 0.0
2.|-- 46.48.47.169 0.0% 3 0.8 1.1 0.8 1.5 0.4
3.|-- 92.242.29.222 0.0% 3 1.4 1.6 1.4 1.9 0.2
4.|-- 85.112.122.131 0.0% 3 31.1 30.9 29.5 31.9 1.2
5.|-- 85.112.122.15 0.0% 3 34.2 34.4 34.2 34.9 0.4
6.|-- 62.115.116.7 0.0% 3 42.4 42.5 42.4 42.7 0.2
7.|-- 62.115.115.250 0.0% 3 47.9 47.9 47.9 48.1 0.1
8.|-- 62.115.135.212 0.0% 3 48.7 48.6 48.5 48.7 0.1
9.|-- 213.248.66.77 0.0% 3 48.3 73.5 47.9 124.3 44.0
10.|-- 213.239.224.38 0.0% 3 48.5 48.4 48.3 48.5 0.1
11.|-- 88.198.249.90 0.0% 3 49.0 48.8 48.7 49.0 0.2
12.|-- ??? 100.0 3 0.0 0.0 0.0 0.0 0.0
13.|-- 95.216.128.227 0.0% 3 48.1 48.1 48.0 48.1 0.1
14.|-- ??? 100.0 3 0.0 0.0 0.0 0.0 0.0
15.|-- 95.216.172.95 0.0% 3 48.0 48.1 48.0 48.1 0.1
09:53:26:devops-emedvedev:~:
$ mtr -nr -c 3 95.216.172.96
Start: 2019-09-16T09:56:19+0500
HOST: devops-emedvedev Loss% Snt Last Avg Best Wrst StDev
1.|-- 192.168.200.1 0.0% 3 0.4 0.4 0.4 0.4 0.0
2.|-- 46.48.47.169 0.0% 3 1.0 1.1 0.9 1.3 0.2
3.|-- ??? 100.0 3 0.0 0.0 0.0 0.0 0.0
Stas
Что было?
после очистки памяти, надо снова рестарт железяки(сразу меняя конфиг - всё сбрасывал), и только, после этого, тогда изменялись любые конфигур. настройки.
Dmitrii
У меня Мегафон периодически банит адрес с проксей, на которой 6 человек. Причем в списках ip не появляется.
Vitaliy
Добро пожаловать в Иран ... Если что вот этот провайдер http://planeta.tc
Провайдер тут не причём, он выполняет команду на блокировку.
Интересно другое (админы, сори за оффтоп) - это домашний интернет или сервак?
Evgenii
Dmitrii
Меняешь адрес, после суток неактивности бан слетает
Vitaliy
в смысле ?
Вас не лично ваш провайдер заблокировал "чтоб неповадно было", адрес попал в глобальный список блокировки. И это самое интересное в этой ситуации.
Dmitrii
в смысле ?
В прямом. Если вдруг адрес попадает в списки блокировки - провайдер его обязан блокировать. Они могут блэкхолить, а могут отправлять tcp-reset, у всех по-разному
Evgenii
Вас не лично ваш провайдер заблокировал "чтоб неповадно было", адрес попал в глобальный список блокировки. И это самое интересное в этой ситуации.
ну да, там постановление от 2018 года, видимо список пополняется просто
Андрей
❗ Генпрокуратура 27-31-2018/Ид2971-18
❌ 95.216.172.96 by 95.216.172.96/32
To subscribe for lock status use /add
Тут на днях на курсах @tarikin объяснял, что для клиентов мтпрокси нужно использовать с ключем, начинающемся с dd, а лучше обновить прокси до последней версии и давать ключ ee. Прокси с старыми ключами вычисляются на раздва силами ботов РКН и, например, максимы телеком.
Dmitrii
А какая разница-то? Может им там удобнее
Moneron 🇷🇺
/tmute 14d
Dmitry
ну да, там постановление от 2018 года, видимо список пополняется просто
это самый экономически дешевый способ блокировки для оператора, добро пожаловать в реальный мир
Moneron 🇷🇺
Тут на днях на курсах @tarikin объяснял, что для клиентов мтпрокси нужно использовать с ключем, начинающемся с dd, а лучше обновить прокси до последней версии и давать ключ ee. Прокси с старыми ключами вычисляются на раздва силами ботов РКН и, например, максимы телеком.
Почитайте про mtproto fake-tls и ee-ключи. И давайте на этом закончим офтоп.
Moneron 🇷🇺
А, ну да 😁 сорри :) дальше дд-ключей не прочитал.
Dmitrii
Коллеги, кто-то сталкивался с тем, что связка sxt lite 5 и map периодически теряет линк на порту map? Может до перезагрузки не врубаться. Внешнее питание вешал на sxt, не помогает
Dmitrii
Порты менял
Cumberbatch
Moneron 🇷🇺
Буквально вчера закончился курс, у одного из участников на хап ац лайте все три дня не поднимался линк на ether1. Ни с компом, ни с роутерами, ни сам на себя. Я собрался поменять человеку железку, решили проверить ещё раз – и всё заработало.
Dmitrii
Есть мап, он забирает локалку по 2.4 и отдает ее в порт на sxt. Sxt стоит мостом до удаленного склада. Пропадает линк между sxt и map, по поводу который
Dmitrii
Сама sxt со стороны склада по мосту видна
Cumberbatch
Dmitrii
Перекладывали, 3 метра там
Moneron 🇷🇺
Схт питается по пое?