А мы у вас курсы слушаем и учимся

каждый крутится как умеет

я вам лапшу заваши деньги на уши вешаю, Чак Норрис из сохо-железок и палок провайдера для дешевого интернета вон настропалил

я вам лапшу заваши деньги на уши вешаю, Чак Норрис из сохо-железок и палок провайдера для дешевого интернета вон настропалил

Мне вас жаль.

у вас правда ASR ложится по ЦП от urpf?

у вас правда ASR ложится по ЦП от urpf?

Где я так сказал?

me взял попкорн 🍿

я вам лапшу заваши деньги на уши вешаю, Чак Норрис из сохо-железок и палок провайдера для дешевого интернета вон настропалил

Профиль его гляньте. )

Лучше через pastebin

Там региться надо, может сюда скрины кину?

Там региться надо, может сюда скрины кину?

Не надо

Там региться надо, может сюда скрины кину?

Не нужно региться

Всем, шалом! В связи с переводом народа на удаленку, пытаюсь использовать RDP. В NAT пробросил порты, в firewall создал разрешающее правило, а все равно роутер блокирует доступ (по логам видно - режет порт RDP - 3389). Есть идеи куда копать?

Используйте firewall на базе стандартного. Тогда вам только одно правило проброса нужно.

у вас правда ASR ложится по ЦП от urpf?

тогда что именно у вас ложится по цп?

Извините, но очень смешно смотреть за таким тредом, прям очень😂

Пфффф. Представьте ситуацию - CPE вам неподконтрольна, на доступе у вас стоит старенький qtech или telesis, а на агрегации C4900M на которой терминируются 16 тыс абонов. Ну расскажите мне, как вы будете массово проверять адрес источника.

Там предыдущий админ кучу правил создал, я тока разбираюсь... Правило проброса вверх закинул, чтобы не дропалось...

тогда что именно у вас ложится по цп?

В реальном мире на агрегациях сильно разные железки. Даже у крупных операторов, типа пчелайна

Теоретик Иннокентий, мое почтение. Учит тысячи людей, но теоретик... ппц

Так. Давайте ближе к теме обсуждения

В реальном мире на агрегациях сильно разные железки. Даже у крупных операторов, типа пчелайна

И у https://www.k26.ru/ ?

И у https://www.k26.ru/ ?

И у них. Хотя, с 2013 года могло многое изменится

то, что ваша провайдерская сеть построена на устаревшем железе для предприятий, и у вас не хватает ресурсов ее админить, не означает, что так у всех

да, конкретно в вашем случае это, возможно, реализовать тяжело (неподходящее оборудование, недостаточные компетенции, отсутствие политической воли - причины меня не волнуют)

то, что ваша провайдерская сеть построена на устаревшем железе для предприятий, и у вас не хватает ресурсов ее админить, не означает, что так у всех

Давно на узлах связи были? Банковские сети давно щупали?

но отраслевые стандарты четко указывают на необходимость фильтрации по сорсу

да, конкретно в вашем случае это, возможно, реализовать тяжело (неподходящее оборудование, недостаточные компетенции, отсутствие политической воли - причины меня не волнуют)

Ну я ж говорю - в идеальном мире всё идеально. Там новое оборудование, куча бабла, отсутствие руководителей компании

давайте я аналогию проведу. есть ГОСТ 31457-2012, который указывает, что для пломбира должна быть жирность 12-20%. вы делаете пломбир с жирностью 11.5% - на вкус не отличить

и доказываете мне, что ваше оборудование не может работать с жирностью 12%

и на этом основании делаете вывод, что большинство производителей пломбира делают пломбир с жирностью 11.5%

чувствуете идиотизм ситуации?

Эх, Иннокентий. Отраслевые стандарты говорите? Ну расскажите мне тогда, как вами любимый микротик разрешает вешать на разные интерфейсы пересекающиеся подсети. Очень интересно.

переход на личности засчитан

смена темы тоже

переход на личности засчитан

Ничего подобного.

ладно, я сдаюсь. вы победили, а я пойду поработаю

Товарищ прислал.

Я тоже сдаюсь. Пойду отдыхать.

в стандартах не сказано, что так делать нельзя

Предлагаю встретится в дефолт-сити в каком-нибудь баре. Что скажете?

в стандартах много чего не сказано, от этого рождаются многие смешные вещи

За кружкой пива обсудим

всецело за, но италия на карантине

как откинемся с хаты - непременно

🤝

но отраслевые стандарты четко указывают на необходимость фильтрации по сорсу

Какие, не укажете?

ссылки выше

Какие, не укажете?

https://t.me/mikrotikclub/165475

ссылки выше

2.5.6 вроде только про это, и там даже написано, что применять это нужно не всегда. Или чот я просмотрел?

Кто-нибудь пробовать запускать RouterOS в bhyve гипервизоре? У меня не заводится, пробовал и x86 и CHR

ссылки выше

И кстати rfc3871 " Status of this Memo This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited."

И кстати rfc3871 " Status of this Memo This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited."

да, и именно поэтому практика отсутствия проверки встречается

2.5.6 вроде только про это, и там даже написано, что применять это нужно не всегда. Или чот я просмотрел?

В 2.5.5 ещё об этом, но там тоже: This requirement only holds for single-homed networks. Note that a simple forwarding table check is not sufficient in the more complex scenarios of multi-homed or multi-attached networks, i.e., where the traffic may be asymmetric. In these cases, a more extensive check such as Feasible Path RPF could be very useful.

да, и именно поэтому практика отсутствия проверки встречается

Видимо всё таки встречается (раз уж столько людей здесь за неё топят), но в чём профит для провайдера от такой проверки так никто и не ответил.

да, и именно поэтому практика отсутствия проверки встречается

Не очень понятно, зачем проверять. Ну погнал клиент трафик с срц другого провайдера, где опасность?

Не очень понятно, зачем проверять. Ну погнал клиент трафик с срц другого провайдера, где опасность?

подумайте на шаг вперед

Не очень понятно, зачем проверять. Ну погнал клиент трафик с срц другого провайдера, где опасность?

На самом деле опасность, конечно, есть. Но в контексте провайдера эта опасность притянута за уши. Опасность, вероятно, в том, что злоумышленник может представлятся адресом жертвы, и таким образом совершать атаку.

чаще всего это не из-за мультихоминга происходит

подумайте на шаг вперед

Ну подумал, не вижу опасности. Если вы видите - скажите, в чем она

вон, чак написал выше

Но подчеркну - в контексте провайдера - это сова с глобусом внутри.

есть куча протоколов, которые отвечают большим куском данных в ответ на маленький пакет-запрос

рефлекшн-ддос замутить при отсутствии проверки на сорс - как два пальца

есть куча протоколов, которые отвечают большим куском данных в ответ на маленький пакет-запрос

Это проблема провайдера? Или это проблема конечного пользователя/владельца сервиса?

вон, чак написал выше

Это за уши притянуто. Распространенные атаки посредством dns и так работают, потому что там в запросе l7 ещё срц есть, и вот его-то и подменяют, хоть зафильтуйся.

Это за уши притянуто. Распространенные атаки посредством dns и так работают, потому что там в запросе l7 ещё срц есть, и вот его-то и подменяют, хоть зафильтуйся.

это проблема одного протокола

И у ntp то же самое

Это проблема провайдера? Или это проблема конечного пользователя/владельца сервиса?

это проблема Интернета

и ISOC предписывает решать эту проблему провайдерам

и ISOC предписывает решать эту проблему провайдерам

Провайдеру предписывать может только регулятор вообще-то, остальные - попросить могут, не более.

я согласен, использовал некорректный термин

правильно это называть "рекомендации"

https://www.internetsociety.org/deploy360/anti-spoofing/ статья по теме

Всё-таки рекомендации, а не стандарты. Стандарты, тем временем, предписывают не использовать пересекающиеся подсети на разных интерфейсах в рамках одного устройства. Итак, вопрос. Какой профит оператору связи контролировать адрес источника? Особенно если учесть, что кастомер может быть подключен по схеме dualhomed.

какой профит фильтровать анонсы bgp от кастомеров?

интернет держится в основном не на угрозах получить атата от регуляторов, а на взаимном уважении инженеров, которые этот самый интернет поддерживают

если самые прошаренные инженеры посовещались и решили, что для общественного блага будет лучше фильтровать анонсы - значит, у них какая-то мысль была

можно ли технически принимать от кастомеров что попало? можно. проще ли принимать от кастомеров что попало, недели писать фильтры, а то и внедрять свякие хрени типа rpki? конечно, проще

равновесие нэша здесь, к сожалению, далеко от точки максимальной пользы для общества

какой профит фильтровать анонсы bgp от кастомеров?

Очень простой профит. Чтобы кастомер не заанонсил гугла. Чтобы на него не полилось 300 же.