только в прероутинге

это козлу понятно но суть в том что при работе с своим адресом прероутинг работает скрин из манглов выше. Как видим дстадрес=локальному при прероутинге имеет статистику. дст.адрес=другому хосту - статистика в прероутинге нулевая. Да и откуда ей взяться если прероутинг раньше аутпута

возможно, что в манглах это особый, латвийский прероутинг?

да походу так и есть

Нат не отрабатывает. Второй тонель ломится на айпишку свою. хотя НАТ должен перенаправлять на другой хост.

пробовал Л2ТП, для полного повторения ситуации лисы.

Свою идею щас не могу повторить. Был пьян(девушки на работе вином накачали) когда ее писал. Щас даже в голове представить не могу 😄

В моей схеме было ещё роуте руле что дст10.172.172.172 лукап онли врф1 а дст10.172.172.173 лукап онли врф2 Врф 1 и 2 на исходящих интерфейсах

Пинги ходили. Тунель тоже в лом поднимать

и что это нам даст?

ведь адреса то всеравно надо менять

Ну нам же нужно срц что бы разный был

Александр, а ну еще раз по пунктах повтори свою идею. Вполне вероятно что я ее не так понял

Мы в нате меняем только дст А рулами выбираем срц.

Мы в нате меняем только дст - тут и затык. не меняет

Ну как так то? Что ему мешает поменять дст? При аутпуте

ПРИ АУТПУТЕ - вселенная

😂

Сейчас потрачу время покажу

Создание тонеля ПОСЛЕ ДСТНАТа

если совсем грубо то ДСТНАТ ловит только трафик ВХОДЯЩИЙ в интерфейс тика. При локальном процесе нифига в интерфейс не входит.

Логично блин. Но сейчас перепроверю.

Ну я проверял на реальных железках а не лабе. поэтому вероятность ошибки маловата. Но ты перепроверь, в любом случае это будет полезно

У меня при трасеровке только одна смущающая деталь была. Все хопы были 10.172.172.172 😂

Давайте следующей безумной идеей будет раздача адресов в дхцп в зависимости от вендора....

а что такого? писанины много - минут 10 но можна сделать

Я не придумал как решить (( ведь если лиз появился, то устройство уже получило адрес

ну время оренды 10 сек. потом уже скриптами выдаем другой пул и задаем адрес

Провести обучение и в след раз выдать нужный.

Надо выяснить мак устройства до того, как оно получит адрес.... Многие устройства плевали на время аренды и остаются жить с адресом до потери линка

Надо выяснить мак устройства до того, как оно получит адрес.... Многие устройства плевали на время аренды и остаются жить с адресом до потери линка

после обучения, благословенный ребут :)

А это уже не тру

А это уже не тру

всё тру что приводит к цели

у тебя сервак не замучается флапать интерфейсом при каждой лисе? 😊

даже лопата

а как срц указать при создании л2тп, можно разве?

да вот никак. Александр предлагал уже в момент выхода через интерфейс менять СРЦ. адрес И то для других целей

а как срц указать при создании л2тп, можно разве?

Нельзя конечно. Вот и извращаемся. Уже сел. Сейчас посмотрим

Короч. Сейчас повторить не могу. Вероятно не прав все же.

значит будем искать другие методы

например поднимать метароутер и натить на нем 😊

Завтра вернусь у теме. Сейчас работы полно.

например поднимать метароутер и натить на нем 😊

превозмогая трудности )

Напомните исходную. Р1 — два провайдера. С обоих нужно поднять туннель на один и тот же сервер?

да

ну пока что самый простой вариант так как ты писал - через N-th

Сек, щас N-th попробую

10 минут есть, потом — спать

Хм, удивлён, но лаба не собралась. Завтра перед сном ещё подумаю.

Доброе утро, господа, я с микротиками крайне мало знаком, почему может не работать такое решение? add action=drop chain=forward content="Location: http://warning.rt.ru/\?" protocol=tcp src-port=80 Интерфейс указывал-не помогает. Естественно правило в самый верх поднимаю, но пакеты, содержащие редирект, продолжают доходить. Сразу отмечу, что вопрос не в самом подходе, это отлично работает c iptables: iptables -I INPUT -p tcp --sport 80 -m string --string "Location: http://warning.rt.ru/" --algo bm -j DROP

а что конкретно надо зарезать?

попробуй не контент юзать. а layer7

провайдер присылает ответ от имени заблокированного сайта в виде 302 редиректа. нужно дропать этот пакет, тогда приходит ответ от сайта и все работает

суть та же, но Л7 боле гибок в плане регулярок и т.д.

суть та же, но Л7 боле гибок в плане регулярок и т.д.

а почему может эта проверка не работать? l7 для меня вообще темный лес

http://warning.rt.ru/\?

а ты точно уверен что строка именно такая?

в айпитейблсах у тебя другая строка

я уже успел попробовать и content="warning.rt.ru"

вот все равно не пашет

https://rutracker-zerkalo.appspot.com/forum/viewtopic.php?sid=atO3RaqfvExU2Ze&p=73659878#73659878

тут тоже без локейшена указано, но от этого все равно работать не начинает

а, читал когда то. Но на деле не пробовал. Возьми для начала вайршарком заснифай СВОЮ сесию на сайт

точно ли такой ответ щас прилетает. может РТ что то изменил последнее время

1. уже смотрел 2. все так же 3. iptables работает

ну всё же попробуй Л7 тоесть идешь в заклдку layer7 добавляешь новую запись в правиле файрвола опираешся на эту запись(в закладке Advanced есть даное поле)

Билайн, кстати, начал просто сбрасывать соединение)

Dpi

Билайн, кстати, начал просто сбрасывать соединение)

это просто лечится-дропаем еще rst пакеты

Там refused

А не rst

под сбросом я так понял

Да, я не верно выразился)

в любом случае всегда можно найти что зарезать, если не бан по ip

Да это понятно. У меня в подчинении провайдер и пассивным дпи, обходится одним правилом в файерволл)

Только с https сложнее