Или это у меня какие-то плагины в хроме это...надо анализировать

SunOS finder 5.9 Generic_118558-11 sun4u sparc SUNW,Sun-Fire-V240

в одном маленьком опсосе из большой тройки все такое барахло собрали и выкинули нахрен, заменив на несколько серверов с linux.

На сквид всё зарулил : ) И HTTPS забанил : )

вообще весь?

Лол

в одном маленьком опсосе из большой тройки все такое барахло собрали и выкинули нахрен, заменив на несколько серверов с linux.

Правильный подход, жизнь на солярке - боль

спарк

тут не в солярке дело

а в спарке

а в спарке

есть приложения которые работают только на спрках ?

дооооо

:)

Солярка ж все

хотя конечно новые процессоры у них выглядят очень интересно . 4.27 GHz, 8-core/64-thread

особенно забавляет (SQL in Silicon)

плохо себе представляю как это , но звучит офигенно

Ну да

скажите

а кто то тут пользовал оракловую виртуализацию?

вообще весь?

80 и 443 порты по найденным адресам ;) стандартная схема, как я понимаю ;)

80 и 443 порты по найденным адресам ;) стандартная схема, как я понимаю ;)

Абоненты спасибо скажут ага. У них и так гта и евки всякие моросят

Изза цднов

Да я как настрою, так отдельную, сеть для ревизора поставлю ;) людям то чего страдать? ;)

Пусть он себе на здоровье проверяет там ;)

Там основная фишка что надо быстро и часто резолвить. Иначе будут пролазить.

Там основная фишка что надо быстро и часто резолвить. Иначе будут пролазить.

Мы решили сделать БД и накопительно туда пихать адреса выданные 6 DNSами - гугла, яндекса и свои. Время жизни, если не повторялся ни разу 2 месяца и пускать эти адреса через прокси. Что-то будет блокироваться, а что-то проходить мимо : ) И всё это делать раз в 2 часа.

Плюс белый список

Все равно ревизор пропустит ченить

Расскажите потом про отчеты ревизора

Ага

ревизоник сказал, что можэно с ним потестить сначала

подсказка: в списке не только 80 и 443 порты ;)

Это тоже увидали. Карбон поставили, для посмотреть : )

?

подсказка: в списке не только 80 и 443 порты ;)

Но за подсказку спасибо : )))

Там основная фишка что надо быстро и часто резолвить. Иначе будут пролазить.

чем блокируете ?

чем блокируете ?

запретсервис у нас

по бгп заворачивате ?

На сквид всё зарулил : ) И HTTPS забанил : )

Память не течёт при ssl bump'инге

по бгп заворачивате ?

да

для того чтобы решить проблему с ипами есть отличный вариант , завернуть весь трафик с ревизора сразу на запретсервис

для того чтобы решить проблему с ипами есть отличный вариант , завернуть весь трафик с ревизора сразу на запретсервис

идея неплохая. надо попробовать

идея отличная :)

Подстава отличная =)

Подстава отличная =)

это намного правильнее чем глушить по всем ипам

как предлагается выше

А запрет будет обрабатывать трафик до адресов не из списка ?

Яблоки на его месте не стал

Яб

Сука запарила эта клавиатура

А запрет будет обрабатывать трафик до адресов не из списка ?

мне кажется вы не очень представляете ка кэто работает

А запрет будет обрабатывать трафик до адресов не из списка ?

-A PREROUTING -i vlan303 -p tcp -m multiport —dports 80,81,888,8001,8080,8081 -j DNAT —to-destination 127.0.0.1:3128

всех рулит на прокси

анализируется весь трафик далее или отправляем на страницу уведомления либо пропускаем далее, в случае если заворачиваем ревизор принудительно на фильтр, то получается что его трафик мы анализируем полностью, а от остальных клиентов только тот что попадет на фильтр по анонсам бгп

Заплатить на запрет трафик не сложно.

Зароутить

Вопрос будет ли он обрабатывать адреса не из списка

будет

Ну и зря )))

список ип адресов нужен только на этапе заворота на фильтр, далее анализируется содержание всего трафика

Ну и зря )))

почему

Ну и зря )))

ой все

Ну а нахера лопатить лишнее

по идее это одна строчка фрвола

дык лопатится только то что завенется по бгп или по PBR, это копейки

дык лопатится только то что завенется по бгп или по PBR, это копейки

да, на этом этапе уже отобрано что лопатить а что нет

Я просто смотрю с точки зрения запрета

ERROR: S client not available

А не оператора

Память не течёт при ssl bump'инге

Нормально вроде всё : )

Нормально вроде всё : )

И youtube пропускаешь?

Я пока не баню. Просто в логах сквида я вижу SSL только IP адреса.

Списочки составлю, попробую посмотреть : )

А с Host header forgery detected встречался?

Неа, такого не видел пока что

Какая версия сквида у тебя?

в cache.log нет записей типа SECURITY ALERT: Host header forgery detected on ?

squid -v Squid Cache: Version 3.5.22

У тебя весь трафик через сквид проходит или анонсируешь определенные адреса?

Ща гляну : )

Только определённые адреса

В режиме тестирования всё пока что : )

Какой объем трафика проходит? Графики строил? Сколько запросов в секунду на сквид?

16/12/21 12:29:21 kid1| SECURITY ALERT: Host header forgery detected on local=173.194.32.132:443 remote=171.25.194.23:38721 FD 44491 flags=33 (local IP does not match any domain IP) 2016/12/21 12:29:21 kid1| SECURITY ALERT: on URL: clients6.google.com:443 2016/12/21 12:29:22 kid1| SECURITY ALERT: Host header forgery detected on local=173.194.44.68:443 remote=171.25.194.86:34157 FD 44281 flags=33 (local IP does not match any domain IP) 2016/12/21 12:29:22 kid1| SECURITY ALERT: on URL: clients3.google.com:443 2016/12/21 12:29:22 kid1| SECURITY ALERT: Host header forgery detected on local=74.125.232.231:443 remote=171.25.195.147:41519 FD 44485 flags=33 (local IP does not match any domain IP) 2016/12/21 12:29:22 kid1| SECURITY ALERT: on URL: clients1.google.com:443 2016/12/21 12:29:22 kid1| SECURITY ALERT: Host header forgery detected on local=173.194.122.192:443 remote=171.25.194.11:27442 FD 44492 flags=33 (local IP does not match any domain IP)

Вот такая штука в cache.log

У меня копеечные : )

Ну вот да, это очень плохая штука

Он мне гугл банит, если я запрет делаю

Надо разбираться дальше : ))

Пишут, что надо поставить версию Squid ниже 3.5.8

До 3.5.8 всё работало, потом случился баг

Думаешь это баг, а не фича?))

Думаю, больше баг, чем фича : )

бабло победит зло

Как nfq? эффективно работает?

Вроде бы норм

Как поведет себя система, если я обращусь с клиентским сертификатом к ресурсу? Ну ведь не влезете в диалог между браузером и сервером, не отработает же, верно?

Коллеги, что скажите про 3420

Мультикаст он нормально пропускает? )