Мужики, а на нашем великом и могучем нет статьи? А то Я ещё не проснулся видимо, инглиш не читается...

Подскажите, почему при наличии на сервере биндинга для л2тп клиента опявился динамический интерфейс от этого же клиента - пока руками его не удалили биндинг не сработал? Туннель до этого работал месяца 2 примерно вообще без нареканий

видимо это и произошло - по мониторингу падения порта и доступа в инет небыло, а вот туннель таки успел упасть и подняться быстрее кипэлайв таймера

only-one в профиле клиента избавит от этой неприятности.

всем здравствуйте, такой вопрос. Что делаю не правильно? Так :put [:pick "B8:69:F4:94:9B:EA" 0 14] работает, а вот так :put [:pick $reg60mac 0 14] нет. Ну т.е. я в глобальную переменную этот мак скормил и я вижу что она присвоилась, но обрезать не хочет.

На вики же есть примеры

Воспроизводить в eve-ng не советую. Не взлетить. из-за отсуствия нормальной симуляции физ.уровня.

В про-версии воспроизводится. Есть suspend link, после чего интерфейс падает

Вопрос знатаком ipsec: Пакет летит между сетями. Влетает через прероутинг и получает коннекшн-марку, упаковывается в ipsec, меняются заголовки, упакованный пакет летит повторно через прероутинг и через форвард. Сохраняется ли коннекшн-марк у пакета на форварде?

Транзитный пакет не попадет обратно в прероутинг.

Влетает с флагом ipsec:in=ipsec, возвращается повторно уже зашифрованный с флагом ipsec:in=none

Если айписек ИН, то это распаковка, а не упаковка. Транзитный пакет упаковывается в построутинге и после упаковки попадает на роут десижен аутпута.

А, все, точно, вот где я затупил :) Спасибо!

Не за что.

Борьба за tcp mss всеми любимая :)

А по сути вопроса - марка соединения должна сохраниться, что, по идее, не помешает навесить еще одну на аутпуте для уже "упакованного" соединения.

в коннекшн трекере возникают два разных соединения же?

Угу. Хотя многие советуют айписек антрекать

Всем привет! Есть интересное ТЗ, но я слегка в тупике ))) Заведен один физический провайдер и 5 ВПН-ов. За роутером есть 2 сервера. Нужно чтобы они выходили в инет через рандомный ВПН-канал. Типа зашел на 2ip - там айпишник. Подождал минут 10, нажал F5 и там уже другой айпишник. Если вручную задавать маршрут - все работает. Как это дело автоматизировать? Почему-то кажется что если на Микроте не нстроится - нигде не настроится ))

если ипсек через udp4500, то весь антрекнутый udp4500 не пролетит через нат (допустим абоненты за моим натом)

Всем привет! Есть интересное ТЗ, но я слегка в тупике ))) Заведен один физический провайдер и 5 ВПН-ов. За роутером есть 2 сервера. Нужно чтобы они выходили в инет через рандомный ВПН-канал. Типа зашел на 2ip - там айпишник. Подождал минут 10, нажал F5 и там уже другой айпишник. Если вручную задавать маршрут - все работает. Как это дело автоматизировать? Почему-то кажется что если на Микроте не нстроится - нигде не настроится ))

В фаерволле есть даже специальный инструмент random. Только будьте внимательны при применении, часто люди считать не умеют и думают, что оно криво работает. )

Я видел рандом, но как его применить? 5 рандомных манглов?

Да. Пять рандомных мангл роутов. 20% 25% и т.д.

mark_connection? или mark_route?

с такой настройкой постоянно через первый шлюз. Поставить им одинаковую метрику?

У вас тут всего один шлюз. Вы о чем?

Значит суть такая: Транзитный пакет шифруется после первого прохождения через построутинг (ipsec-out:ipsec) и потом шифрованный пакет поворачивает в output и снова в postrouting (ipsec-out:none) При этом при проходе через прероутинг и форвард можно навесить коннекшн марку пакеты, которая будет иметь отношение к пакету на всех участках с флагом ipsec-out:ipsec. Как только пакет зашифровался и получил флаг ipsec-out:none, коннекшн марка на этом пакете уже будет отсутствовать. Верно рассуждаю?

так?

но ведь ЕСМР тоже будет работать :)

Да, если автора устраивают обрывы соединений каждые 10 минут.

не, нужно чтоб инет был всегда, все равно через какой туннель. Сейчас буду пробовать с рандомным манглом.

Повторюсь - не просчитайтесь с процентами.

так чтоб не перекрывались? на 5 интерфейсов 20% каждому?

Ну вот и ошиблись. )

ну я никогда не настраивал правила с рандомной вероятностью срабатывания )) Обычно я надеюсь что оно будет максимально предсказуемо работать )))

полагаю, там накопительным нужно, типа 20-40-60-80-100. чтобы последнее срабатывало точно, если рандом проскочил все первые.

Да, "накопительно", но Ваша схема тоже не правильная.

и 100% в самый низ переместить

и в каждом метку свою повесить и в каждом из шлюзов эту метку указать?

Всем привет! Есть интересное ТЗ, но я слегка в тупике ))) Заведен один физический провайдер и 5 ВПН-ов. За роутером есть 2 сервера. Нужно чтобы они выходили в инет через рандомный ВПН-канал. Типа зашел на 2ip - там айпишник. Подождал минут 10, нажал F5 и там уже другой айпишник. Если вручную задавать маршрут - все работает. Как это дело автоматизировать? Почему-то кажется что если на Микроте не нстроится - нигде не настроится ))

Всем привет! Есть интересное ТЗ, но я слегка в тупике ))) Заведен один физический провайдер и 5 ВПН-ов. За роутером есть 2 сервера. Нужно чтобы они выходили в инет через рандомный ВПН-канал. Типа зашел на 2ip - там айпишник. Подождал минут 10, нажал F5 и там уже другой айпишник. Если вручную задавать маршрут - все работает. Как это дело автоматизировать? Почему-то кажется что если на Микроте не нстроится - нигде не настроится ))

Я такую штуку сделал на ipsec ike2 на чистых полиси еще в июне :) Там финт с роут маркой не проканает :)

Mark connection по nth и mark routing по connection mark

Еще можно через PCC раскидывать коннекшны