Дмитрий
как IPSec в тунельном режиме
Anibius
презенташку смотрел, да, но на сколько понял правила выше для оптимизации скорости работы при включеном фасттрек
Да.как вариант(совсем уж мистика) при включении возникает фрагментация пакетов и что то теряется , а остальные отбрасываются
Дмитрий
фрагментацию перепроверил выставил везде MTU 1400
Дмитрий
кроме того пролема исчезает если IPSec отрубить
Дмитрий
ну и фастрек у меня на всех роутерах отключен
Anibius
фрагментацию перепроверил выставил везде MTU 1400
Там вроде советуют 1400-40 для TCP,а для туннеля выставить руками
Алексей
Парни, у меня крыша едет, или схр глючит, не пойму, лабу сегодня делал опять, прикол в том что, в адрес лист добавлен айпи адрес из локалки, на который должно действовать ограничение, на вкладке адвансед выбираю срц-адрес-листом тот самый лист о котором говорил выше, правило не работает, без адрес листа работает. Если выбирать в правиле вместо срц дст-адрес-лист то работает, я что то запутался, разве не срц должно быть?
Илья
Кто нить обходил dpi билайна?
Anibius
не делал, сам IPSec работает, но буду заниматься смотреть тогда
Next, configure the firewall to not NAT traffic destinated for the IPSec tunnel.
Алексей
А ограничение вовнутрь или наружу?
Ну например нельзя адрес листу открывать ВК через опцию content
Андрей
Вк - это исходящее, значит срц
Алексей
А ни хрена не срц почему-то, как так?
Moneron 🇷🇺
Алексей
Срц-лист значит С него же
Alexandr
Мы рады приветствовать нас в нашем тёплом ламповом чате! (c)
Алексей
Одно правило
Cumberbatch
Ок
Андрей
Парни, у меня крыша едет, или схр глючит, не пойму, лабу сегодня делал опять, прикол в том что, в адрес лист добавлен айпи адрес из локалки, на который должно действовать ограничение, на вкладке адвансед выбираю срц-адрес-листом тот самый лист о котором говорил выше, правило не работает, без адрес листа работает. Если выбирать в правиле вместо срц дст-адрес-лист то работает, я что то запутался, разве не срц должно быть?
Дст работает потому чтотзапрос обратно прилетел и фильтранулся..... Поставь логировать то правило на дст
Андрей
И посмотри что в логе
Cumberbatch
Сейчас правило посмотрим
Алексей
https://pastebin.com/hyjEcKBg
Алексей
вот экспорт
Алексей
лабу делаю в еве, за лан-интерфейсом хр-шка, с адресом 192.168.145.100
Алексей
ну да вот так вот оно пашет
Алексей
я хз что такое и как так возможно
Алексей
если убрать вообще адрес лист из опций то работает нормально
Cumberbatch
А как не работает. Покажите
Алексей
ну потому что весь форвард читается
Алексей
не работает если срц-лист
Алексей
могу выгрузить но там поменяется только дст лист на срц-лист
Cumberbatch
А tcp-reset точно можно в момент соединения вставлять?
Cumberbatch
Его смысл то когда синак есть
Алексей
Алексей
вот как щас работает
Cumberbatch
А его ещё вроде как и нет когда только туда идёт
Алексей
а опция content разве не работает с https? похоже при кол в том что страничка редиректит на https
Cumberbatch
Вот тоже хотел узнать как?
Cumberbatch
Не должна
Андрей
если убрать вообще адрес лист из опций то работает нормально
А если вообще убрать работает видимо для всех адресов сети?
Alexandr
Alexandr
Или mitm
Alexandr
Ну это читерство
Cumberbatch
Да ну?!
Cumberbatch
Митм понятно. А uri как?
Дмитрий
продолжение про IPSec - сейчас сделел дебаг, отключил все правила и манглы, стал гонять трафик, как оказалось роутер который является клиентом не отправляет трафик в тонель с включенным IPSec, но принимает на максимальной скорости, соединения устанавливаются правильно и без ошибок, на всех bagfix, 6.38.7, не знаю пока в чем глюк, другой роутер подключил, работет коректно. попробую переустановить и отпишу..
Alexandr
Все равно не понятно. Как он поймёт какие домены?
Я не читал переписку, забей в общем. Я L7 вообще обрабатываю на dpi
Cumberbatch
Я не читал переписку, забей в общем. Я L7 вообще обрабатываю на dpi
Но https то все равно нет. Да?
Cumberbatch
Ну да
Alexandr
Так откуда ей взяться?
Cumberbatch
Ну все. Закрыт вопрос.
Alexandr
Только урлы
Alexandr
В смысле доменные имена
Алексей
Ну все. Закрыт вопрос.
не закрыт вопрос, дело было не в бобине, а в том что л7 и контент почему-то не работают, или я кривой.
Cumberbatch
не закрыт вопрос, дело было не в бобине, а в том что л7 и контент почему-то не работают, или я кривой.
Попробуйте любой сайт без https
Алексей
я в еве тетсирую, там только хр, щас пробую туда хром поставить ибо с осла непонятно куда редиректит
Cumberbatch
А curl просто запустить не?
Alexandr
А wireshark не варик?
Cumberbatch
Или телнет на80 порт
Cumberbatch
Или так да