Счас так сделано :) но вы в описании порекомендовали везде одинаковые время и пояс !

Я не советовал одинаковый часовой пояс.

Ок виноват за часовой пояс, синхронизации с однинаковой часовой меткой , то есть единый нтп сервер для всех устройств !

Ок виноват за часовой пояс, синхронизации с однинаковой часовой меткой , то есть единый нтп сервер для всех устройств !

Ну и точность сервера лучше бы побольше, это например линуксовый ntp показывает. А то бывают казусы.

Всегда обновляю софт на роутере, и что я вижу... У нас есть дыра в безопасности, кто то слил мои учётки с роутера но зайти не смог т.к. У меня стоит доступ по ип! Что за дичь творится?

Спасибо

Скорее всего слили до обновления,и ваш логин и пароль в общей базе данных паролей у злоумышленников :(

Да не за что. Просто когда-то с МТС бодались из-за падающего ipsec и расхождения времени платежей, тогда я и узнал, как важно иметь точный ntp. В тот раз кстати я доказал, что косячник был МТС)

Жизнь плавно переходит с винбокса в ssh key, мда.

Если так , то как тогда делать конекты с Тюмени в Молдову , или Германия Тюмень , США - Молдова ! ??? У них у всех разное время то :( ! ?

Вообще, на роутерах MT устанавливается GMT Offset. И на роутерах других вендоров тоже есть подобная опция

Криптография от времени часто зависит. Ловил эффекты от этого.

Но никто не мешает: 1) делать джамп и проверку по нескольким листам в цепочке 2) добавлять один и тот же адрес в два листа Логику любую, даже самую извращённую, можно реализовать. Главное, чтобы она была, логика эта

Очень простая вещь: какие бы джампы ни были, пакет никогда не покидает ту таблицу, где находится. Кастомная цепочка — просто расширение основной, но не для всего трафика.

Как раз, только в той же вкладке.

Другая вкладка – автоматом другая цепочка

кстати, если из джампа не вернуться реторном, то по завершении цепочки указатель вернется в место джампа или пойдёт по неизвестному пути?

дальше исходя из положения?

Вернётся на след правило после джампа

Не обязателен

Как такое может быть - интерфейс в апе, IP на него повешаны - но в маршрутах нет connected сети?

Такое бывает, когда без vrf пишите ip-адреса из одной сети на разные интерфейсы

Это объяснить 1с-кам нереально , вот только 80 , так как тонкий клиент с мобильного работает только по 80му..... Это анриал бороться с 1си

Тонкий клиент и "мобильный" клиент работают по тому порту, который настроишь. Проверено у себя в сети. Если 1Сник не умеет переназначить порт - трахать 1Сника мануалами по голове до просветления.

1с ники - это цари, а царей нельзя с трона двигать и что то им говорить и доказывать, заказчик сказал их требования выполнять и все ... Вот так жевем и мучаемся, дали бы возможность .....

1с ники - это цари, а царей нельзя с трона двигать и что то им говорить и доказывать, заказчик сказал их требования выполнять и все ... Вот так жевем и мучаемся, дали бы возможность .....

1Сников надо культурно опускать на место. У меня они знают, что за пределы 1С и максимум SQL им лезть некуда и нЕфига. Но это уже зависит от ваших личных способностей. и это уже оффтоп.

Но никто не мешает: 1) делать джамп и проверку по нескольким листам в цепочке 2) добавлять один и тот же адрес в два листа Логику любую, даже самую извращённую, можно реализовать. Главное, чтобы она была, логика эта

Вчера столкнулся с тем, что адрес не добавляется в лист, если там есть уже сеть, в которую входит этот адрес. Так и должно быть?

1Сников надо культурно опускать на место. У меня они знают, что за пределы 1С и максимум SQL им лезть некуда и нЕфига. Но это уже зависит от ваших личных способностей. и это уже оффтоп.

Поддерживаю. У меня они прирезаны намертво доменной политикой и l2tp/ipsec удаленно на определенные адреса. И точка. Админами работают только на своих виртуалах

Я один раз провернул грязный трюк. На совещании у генерального, на их "хАааатим так", ответил "нет технической возможности, и это не безопасно, могут быть плохие последствия в виде...". Настояли. Захотели. Пришлось чуть помочь случиться последствиям, немного ускорив событие.

А никто не сталкивался с подвисанием ipsec? Все настроено "по книжке", всё коннектится, обе сети прозрачны, всё летает. Но иногда сети становятся недоступны, хотя впн поднят и счётчики тикают. Потом связь сама по себе возобновляется

Могу дать ип 80 порта ... чтоб ломанули :)

IP не мне. В дарк. Или в какой "кульхацкерский" паблик. Заранее позаботься о бэкапах. Заранее предупреди начальство (желательно документально), что так делать нельзя. И только потом IP в даркнет. Когда ломанут - "спасёшь контору", достав актуальный бэкап. Но не сразу - чтобы почувствовали попоболь. Можно еще и премию взять за сверхплановые работы.

Могу дать ип 80 порта ... чтоб ломанули :)

просто ipsec или GRE+IPSec?

Ipsec без туннеля

Ipsec без туннеля

У туннеля с обеих сторон keepalive включен? Если нет - включите. Пакеты будут летать постоянно и не дадут протухнуть линку по таймауту.