Vladimir
Пришёл клиент в кафе с WiFi - и кто знает, с какой as трафик пойдёт)
Nikolai
Однажды на месторождениях подключенных через спутник упали туннели. Внезапно. Без объявления войны. 1-я линия прова не в курсе. Вторая или третья только созналась "а мы больше не пропускаем IPSec. Просто так решили и всё. А вам он зачем вообще?"
Vladimir
Ну, вот мне кажется, что в интернете и так много сложностей, чтобы дополнительные плодить своими руками.
Vladimir
С точки зрения безопасности конечно вообще в впн не надо пускать - только за терминал на своей территории с проверкой паспорта и отпечатков пальцев. Но неудобно.
Nikolai
Угу. Двухконтурная сеть. А то и трехконтурная.
Vladimir
А скрипт против упырей с попытками подбора l2tp over ipsec я у себя сделал только потому, что красное в логах бесило.
VD
Добрый вечер.
Раз зашёл разговор о безопасности, кто использует порт кнокинг, какие программы используете?
Общался с Янисом на муме, возможно в будущем добавят в винбокс такой функционал
Александр
А скрипт против упырей с попытками подбора l2tp over ipsec я у себя сделал только потому, что красное в логах бесило.
А скриптом не поделишься? А то тоже достают
Nikolai
VD
А с телефона?
VD
Хотелось бы софтинку со списком
Что попало ставить с плеймаркета, стремно
Vladimir
А скриптом не поделишься? А то тоже достают
Щас нет, а завтра стукниТЕСЬ в личку и напомниТЕ, если нужно будет, между 10 и 15 мск)
Александр
Щас нет, а завтра стукниТЕСЬ в личку и напомниТЕ, если нужно будет, между 10 и 15 мск)
Буду очень Вам признателен
Vladimir
Добрый вечер.
Раз зашёл разговор о безопасности, кто использует порт кнокинг, какие программы используете?
Общался с Янисом на муме, возможно в будущем добавят в винбокс такой функционал
Фигнёй занимаются. Добавили бы уже bgp нормальный. Да и оспф больше 20 тысяч маршрутов так себе работает.
Moneron 🇷🇺
Еве-нг показала себя менее прожорливой до ресурсов
Vladimir
А с телефона?
Добавить в разрешённые ip, с которого сотни тысяч клиентов в интернет выходят?)
Moneron 🇷🇺
Фигнёй занимаются. Добавили бы уже bgp нормальный. Да и оспф больше 20 тысяч маршрутов так себе работает.
20к маршрутов в оспф на любой железяке будет так себе работать. Ибо не предназначен он для такого количества роутов. Делайте оспф для лупбэков, делите на эреа, суммируйте. Для большого количества роутов есть bgp
VD
Добавить в разрешённые ip, с которого сотни тысяч клиентов в интернет выходят?)
Так там он добавляется на пару минут.
А что не так с бгп у микротиков?
Vladimir
20к маршрутов в оспф на любой железяке будет так себе работать. Ибо не предназначен он для такого количества роутов. Делайте оспф для лупбэков, делите на эреа, суммируйте. Для большого количества роутов есть bgp
Работаете хорошо. Сессия устанавливается далеко не с первого раза. С другими железками нормально при этом.
Vladimir
Так там он добавляется на пару минут.
А что не так с бгп у микротиков?
Всё.) два-три фуллвью, меняешь что-то в фильтрах, и идёшь курить. Причём лучше трубку - больше шансов, что результат уже будет.
Vladimir
20к маршрутов в оспф на любой железяке будет так себе работать. Ибо не предназначен он для такого количества роутов. Делайте оспф для лупбэков, делите на эреа, суммируйте. Для большого количества роутов есть bgp
В общем не вижу фундаментальной проблемы с ospf на таком количестве. Bgp в интернете используется потому, что у ospf таблица была бы невообразимо большой в принципе.
Moneron 🇷🇺
Проблема в том, что у OSPFа есть LSDB. И она не может быть бесконечно большой
Nikolai
Я вот всегда удивляюсь с граждан. Покупают железку за $1000 и хотят функционала на $12 000.
Воткнуть CCR вместо ASR это ж суперэкономично.
Только потом работает вот так...
Nikolai
https://vignette.wikia.nocookie.net/absurdopedia/images/8/83/Priora_i_kirpichi.jpg/revision/latest?cb=20170623220039
Moneron 🇷🇺
Соглашусь. Необходимо подбирать железо, отталкиваясь от задачи. И кроилово ведёт к попадалову.
Vladimir
Проблема в том, что у OSPFа есть LSDB. И она не может быть бесконечно большой
Ну она не очень большая на 20 тыщ маршрутов с путем в один хоп
Vladimir
Я вот всегда удивляюсь с граждан. Покупают железку за $1000 и хотят функционала на $12 000.
Воткнуть CCR вместо ASR это ж суперэкономично.
Только потом работает вот так...
Любой ящик на нещастном атоме это быстрее делает.
Vladimir
Да чего уж там, нещастная малинка с bird быстрее это делает.
Moneron 🇷🇺
У CCR процессор заточен не под вычисления, а под обработку пакетов. Поставьте роутерос на атом, и получите более высокую производительность бгп.
Nikolai
Любой ящик на нещастном атоме это быстрее делает.
Вы про этот атом? 😂
https://habr.com/post/370151/
Vladimir
У CCR процессор заточен не под вычисления, а под обработку пакетов. Поставьте роутерос на атом, и получите более высокую производительность бгп.
У ccr процессор общего назначения вообще-то. Не спец-асик
Vladimir
У CCR процессор заточен не под вычисления, а под обработку пакетов. Поставьте роутерос на атом, и получите более высокую производительность бгп.
Ну там кстати вывод маршрутов в консоль и прочие диагностические штуки тоже очень медленно работают. Очень.
Maxim
Вечер добрый.
Maxim
Moneron 🇷🇺
Ну там кстати вывод маршрутов в консоль и прочие диагностические штуки тоже очень медленно работают. Очень.
Знаете, я на х86 с кваггой тож вывел один раз роут-тейбл из двух фуллвью с фильтрами. Ждал минут 10, потом нажал ctrl-c
Moneron 🇷🇺
Vladimir
Знаете, я на х86 с кваггой тож вывел один раз роут-тейбл из двух фуллвью с фильтрами. Ждал минут 10, потом нажал ctrl-c
Ну квагга как бы тоже не фонтан. Так что, может, дело и не в процессоре, а в софте таки. О чем я и говорю)
Moneron 🇷🇺
Ну квагга как бы тоже не фонтан. Так что, может, дело и не в процессоре, а в софте таки. О чем я и говорю)
https://youtu.be/xcgdGA1W_0o
https://mum.mikrotik.com/presentations/EU18/presentation_5188_1524562405.pdf
Очень рекомендую к просмотру.
Nikolai
Там всего помаленьку. Аппаратная архитектура для такой задачи не совсем соответствует.
Кроме самого проца, есть шина, память и физические модули интерфейсов со своими ограничениями.
Vladimir
Там всего помаленьку. Аппаратная архитектура для такой задачи не совсем соответствует.
Кроме самого проца, есть шина, память и физические модули интерфейсов со своими ограничениями.
Интерфейсы тут причём? Тормозит контрол плейн.
Nikolai
Они могут нехило прерываний выставить
Vladimir
https://youtu.be/xcgdGA1W_0o
https://mum.mikrotik.com/presentations/EU18/presentation_5188_1524562405.pdf
Очень рекомендую к просмотру.
Дело таки в софте. Пятьсот тысяч префиксов за четыре с половиной минуты - серьёзно???
Vladimir
А, 26 секунд без нагрузки - ну туда - сюда. Долго, но не драматично. Но про фильтры нет ничего.
Vladimir
А не, долго. Две таблицы за минуту тридцать восемь без нагрузки.
Moneron 🇷🇺
Давайте Вы досмотрите, а потом уже одним предложением отрезюмируете.
Vladimir
Дочитал pdf. Долго и плохо, и не тестировали на 10g картах.
Moneron 🇷🇺
Хм. Вариант остаётся очень простой: не используйте микротик.
Vladimir
Ну и не используем для этого. И плачем. Потому что он нам вообще очень нравится.
Moneron 🇷🇺
Просто у любой железки есть сильные стороны и компромиссы. Если на компромисс Вы идти не готовы — подбирайте другую железку под задачу. У микротика и цена, и функционал — это сильные стороны. Компромиссы — производительность некоторых конфигураций. Использовать или нет — каждый решает для себя.
Vladimir
Это понятно, просто объективно нет причины, по которой bgp в микротике плохо. Но вот никак не допилят.
Vladimir
Ни одной причины нет, например, тому, что bgp грузит ядро процессора под сто процентов - я понимаю прием таблицы, а дальше, при обновлениях - явно чот не то делает.
Roman
За тыщу баксов можно купить ксеон от супермикро в корпусе 1u и двумя 10 g
Из опыта показало что сервера dell Hp , при больших нагрузках (1.5 - 5 G) - есть провалы , заменили на ccr за 1к и все как бабка пошептела , ровно стабильно и четко
Vladimir
Это потому что надо почитать в гугле Linux tuning 10gbit - там надо длину очереди интерфейса увеличивать и ещё несколько вещей делать. 10gbit прокачивает, по ощущениям можно больше раз в пять, но это уже не проверял.
Roman
Roman
Вот эти же провалы
Vladimir
Ну гиперви вообще в этом плане штука интересная - в пдф нет настроек сетевой карты на гипервизоре. С 710 интелом я в гиперви ни на чем не смог больше 5gbit получить, и артефакты такие же были
Vladimir
Но на меланоксах, я читал, разгоняли.
Roman
Но на меланоксах, я читал, разгоняли.
Читаем все и много , а в результате нужна практика , которой сильно не хватает! 😁
Vladimir
ну четырехпортовую карту купить для практики - затратное удовольствие
Roman
ну четырехпортовую карту купить для практики - затратное удовольствие
А программатор под sfp - который пригодиться в редких случаях 😁
Roman
ну четырехпортовую карту купить для практики - затратное удовольствие
Мы брали бу с Европы прошлую модель, значительно дешевле !
Vladimir
скажем так - я не вижу практического в этом смысла, ни малейшего. А все потому, что фиг с ней со скоростью перекладывания пакетов, изначально я говорил про то, что bgp тупит. При таком раскладе сколько микротик через себя пропустит - вопрос не первый.
Vladimir
потому что в том же виосе bgp работает шустро например в той же виртуалке.
Ну пакеты так же грустно маршрутизирует, конечно.
Nick
Подскажите плз, микрот по дефолту (без настроек) смотрит в поле dscp, формирует очередь на его основе?
Roman
скажем так - я не вижу практического в этом смысла, ни малейшего. А все потому, что фиг с ней со скоростью перекладывания пакетов, изначально я говорил про то, что bgp тупит. При таком раскладе сколько микротик через себя пропустит - вопрос не первый.
У меня возник вопрос пропускной способности cisco 2960-24, на ней 24 порта 100 Ки , и 4 гиговых поставили 3 сервера ipref и с 24 машин клиенты , игрались 1 поток , 5,10,20. - свитч cisco как молотилка , заявлено 12.8 G пропускной способности (24 порта на 100 вход и 100 выход , также 4 интерфейса по 1G вход и выход 2.4+2.4+1+1+1+1+1+1+1+1==12,8)
Свитч тестировали 2 часа, один сервак стал по причине сетевой карты риалтек на борту , заменили на брендовый системник, и полетели , вот когда подключили mikrotik 2011 , да посчитали матрицу микрота 5 по 1 гигу tx rx = 10G а 5 портов 100 tx rx =1G, итого 11G в итоге запустив тесты вышло 5.3 G и проц 💯% , и сейчас используется микротик как роутер нат и фаервол а свист cisco не новые а бу. Вот планируется покупка crs 328, хосется договориться с заказчиком в офис уних много компов , чтоб подключить и протестировать crs ку ... То как вы говорите написано одно а по факту другое ! Извиняюсь за не тему микротика, чтоб не писали "развели демогогию"
Bomberman
а как можно сравнивать свич и роутер?
Moneron 🇷🇺
Подскажите плз, микрот по дефолту (без настроек) смотрит в поле dscp, формирует очередь на его основе?
Зачем ему это делать? Конечно, нет
Moneron 🇷🇺
У меня возник вопрос пропускной способности cisco 2960-24, на ней 24 порта 100 Ки , и 4 гиговых поставили 3 сервера ipref и с 24 машин клиенты , игрались 1 поток , 5,10,20. - свитч cisco как молотилка , заявлено 12.8 G пропускной способности (24 порта на 100 вход и 100 выход , также 4 интерфейса по 1G вход и выход 2.4+2.4+1+1+1+1+1+1+1+1==12,8)
Свитч тестировали 2 часа, один сервак стал по причине сетевой карты риалтек на борту , заменили на брендовый системник, и полетели , вот когда подключили mikrotik 2011 , да посчитали матрицу микрота 5 по 1 гигу tx rx = 10G а 5 портов 100 tx rx =1G, итого 11G в итоге запустив тесты вышло 5.3 G и проц 💯% , и сейчас используется микротик как роутер нат и фаервол а свист cisco не новые а бу. Вот планируется покупка crs 328, хосется договориться с заказчиком в офис уних много компов , чтоб подключить и протестировать crs ку ... То как вы говорите написано одно а по факту другое ! Извиняюсь за не тему микротика, чтоб не писали "развели демогогию"
Посмотрите презентацию Яниса Мегиса с евромума этого года (Германия). Там затрагиваются ошибки при выборе/настройке оборудования.
Nick
Зачем ему это делать? Конечно, нет
Ну просто вроде в современных и не очень линуксах по дефолту он смотрит
Roman
Неправильно тестировали. У 2011 два свитч-чипа, и это обязательно надо учитывать.
Да это не учитывали , втыкнули и погнали :(
Roman
Ни хрена не понял, что с чем вы сравнивание и чем недовольны.
Мы довольны и микротиком и циской свитч и поэтому используем роутера микротик а свичи циско