а скайпы?

вы никак не закроете хттп и хттпс

через сквид его можно фильтровать.

т.е. в даже драконовской системе, где было запрещено все, я спокойно, не имея админа ваще, ходил и делал что хочу

если вы умней вашего админа - почему нет? )

да, кстати, если не squid, а packet flow, можно собирать и пополнять, но озвереешь, особенно, если у тебя меньше времени, чем у источника проблем

да, кстати, если не squid, а packet flow, можно собирать и пополнять, но озвереешь, особенно, если у тебя меньше времени, чем у источника проблем

представь что источников у тебя не 20, а 200, или 2000

руководство хочет, чтобы был перекрыт игровой трафик, как его выделить - моя задача

Доброго всем. Посоветуйте на что помощнее заменить HEX, много правил mangle и он уже на 1 ядро уходит в 100% загрузки. 3011 или что-то помощнее?

Может не нужно так много правил? )))

а вообще да - лучше служебку. тот и тот использовали "корпоративные ресурсы" с целью развлечений, прошу воздействовать административно. Для пресечения технической составляющей необходимо: - сервер 1 штука - ПО такое-то, лицензия на 250 сотрудников - 300 килорублей ....

ты непонел, его начальство скинуло это на него. само начальство ничего делать не будет. а када юзверы пересядут после полугода борьбы на телефоны, но начальство заставит глушить 4g

Может не нужно так много правил? )))

Мне надо направлять определенные компы в определенные таблицы маршрутизации. Если подскажете как это оптимизировать, то буду рад. Сейчас правила вида ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=7.1.30 passthrough=no src-address=172.16.0.30. Ну и в ip route таблицы маршрутизации.

мухобойкой?

мухобойкой по лбу и щас бы помогло. а лучше бы лишить премий тех, кто спалился. и не надо будет выдумывать ничего

CCR-1036 будет помощнее

А менее бюджетно?

Мне надо направлять определенные компы в определенные таблицы маршрутизации. Если подскажете как это оптимизировать, то буду рад. Сейчас правила вида ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=7.1.30 passthrough=no src-address=172.16.0.30. Ну и в ip route таблицы маршрутизации.

А какая цель перенаправления?

Заставить выходить машину в интернет через определенный шлюз

1:1

почитайте про дхцп опцию 249

К сожалению, не тот случай.

Nat 1 правило

вы никак не закроете хттп и хттпс

почему?

ты непонел, его начальство скинуло это на него. само начальство ничего делать не будет. а када юзверы пересядут после полугода борьбы на телефоны, но начальство заставит глушить 4g

SSL-испекция решит все вопросы.

какие? обычный https, веб страница, в ней винда

Могу более детально описать задачу. Есть прокси сервер, на него поступают запросы из интернета, далее он подставляет нужный ip в src.address, уже на основании src адреса пакет попадает в нужную таблицу маршрутизации. Сеть например 172.16.0.0/24, src ip адреса сервера 172.16.0.10-172.16.0.50, есть роутеры с выходом в интернет, они имеют адреса 172.16.0.100-172.16.0.150. Соответственно для этого и используется src-NAT. Все построено на правилах Mangle и отдельных таблицах маршрутизации. Если вы знаете как упростить, то буду рад подсказке.

более того, NGFW сразуц и напишет, что это именно SSTP

а зачем менять src-адрес запроса из интернета? на него же должен быть ответ. Т.е. его нужно будет вернуть обратно. Почему нельзя строить работу без первоначальной замены?

да нет в том решении что я использовал сстп

Потому что эту роль выполняет проси сервер

Решение опишите.

Прокси-сервер - nginx?

SHUTLE TSplus сервер терминалов

Могу более детально описать задачу. Есть прокси сервер, на него поступают запросы из интернета, далее он подставляет нужный ip в src.address, уже на основании src адреса пакет попадает в нужную таблицу маршрутизации. Сеть например 172.16.0.0/24, src ip адреса сервера 172.16.0.10-172.16.0.50, есть роутеры с выходом в интернет, они имеют адреса 172.16.0.100-172.16.0.150. Соответственно для этого и используется src-NAT. Все построено на правилах Mangle и отдельных таблицах маршрутизации. Если вы знаете как упростить, то буду рад подсказке.

Это все прекрасно видится через инспекцию.

но никто ничего не предъявил, хотя все было наглухо закрыто

3proxy

Закрыть просто порты и анализировать траффик, это разные вещи.

Все сводится к интрументам, современные увы, не обмануть уже вещи, либо крайне тяжело замаскировать.

у нас был дпи, я не буду называть контору, она фередальная

ну вот вы и научили DPI этому виду трафика )

Могу более детально описать задачу. Есть прокси сервер, на него поступают запросы из интернета, далее он подставляет нужный ip в src.address, уже на основании src адреса пакет попадает в нужную таблицу маршрутизации. Сеть например 172.16.0.0/24, src ip адреса сервера 172.16.0.10-172.16.0.50, есть роутеры с выходом в интернет, они имеют адреса 172.16.0.100-172.16.0.150. Соответственно для этого и используется src-NAT. Все построено на правилах Mangle и отдельных таблицах маршрутизации. Если вы знаете как упростить, то буду рад подсказке.

И схемку бы... а то звучит очень странно. Какой-то запрос, попапает на проксю, прокся меняю src зачем то, потом по src выбирается таблица и в неё летит трафик. Какая задача решается такой схемой?

Только что вы сказали что для src один адрес. Теперь оказывается много.

ну вот вы и научили DPI этому виду трафика )

там или проблема в непонимании направления, или в описании. Схемку бы...

ну это дело не дурное. имхо я бы понял ,если бы закрыли. но не закрыли :)

похоже снова обход блокировки. и наверное снова абхазия, и наверное снова майнинг )

Только что вы сказали что для src один адрес. Теперь оказывается много.