Как этот человек попал в лабу, снова MX жопой наружу, как завещал дадимводичкин? :)

Тоже чей-то любопытный нос прищемился :)

А чо чуть что сразу косой?

а кто-то пробовал eNSP на линукс ставить через вино?

В процессе изучения изумительного протокола Ethernet VPN (все любят EVPN!), а если быть точнее, при разборе типов маршрутов, возник вопрос: зачем разработчики ввели отдельный тип маршрута (type 4), предназначенный для выборов DF среди multi-homing маршрутизаторов? Вопрос звучит достаточно странно, но подумайте вот о чём: каждый mh PE так же обязан анонсировать маршрут type 1 (A-D per ES). И мне кажется, сумма того, что каждый PE, подключенный к mh ES, анонсирует его, и того, что назначение этого маршрута — auto discovery, дают в сумме ровно тот же эффект, что и наличие выделенного типа маршрута номер 4. Да, в type 1 нет поля Originator ID, на котором основана процедура выборов DF, но его можно было добавить. Да, type 4 «скрыт» от остальных PE благодаря специальной ES-Import RT, но это больше похоже на «патч», нежели на серьёзное решение, который бы и не потребовался, если бы выборы DF возложили на type 1 per ES. Единственный, кто эксплуатирует подобную декомпозицию, это PBB, в котором type 1 маршруты не требуются ни в каком виде, но multi-homing поддерживается, и DF необходим, как и type 4. Но вряд ли это и была основная причина, а может быть её и не было вовсе? Так как точного ответа у меня нет, могу предположить только лишь, что разработчики заранее разделили задачи с некоторым залогом под потенциальные коррективы в процедуре выборов DF. Текущий механизм выборов сильно критикуется сообществом, существует несколько драфтов, предлагающих внести в него изменения, с описанием текущих недостатков и процедурами интеграции с текущими реализациями. И если, например, в type 1 и можно было просто добавить поле Originator ID, то возложить какие-то более сложные роли уже, возможно, труднее. В общем, ворону — вороново.

https://habrahabr.ru/post/329100/

прочитал. Бесполезная болтовня какая-то. Итога нет, просто рассуждение

Дерзко

Глянул канал, все посты в виде выдержек или рассуждений

mpls sdn era глава 8

Это про что?

Всем привет. Ребят, скажите, реально ли на OpenVPN построить VPN для роадвариоров, не направляя весь трав внутрь VPN, но в то же время чтоб DNS использовался внутренний (для резолва адресов интрасети)? Под Win/OS X/Linux актуальных версий.

Всем привет. Ребят, скажите, реально ли на OpenVPN построить VPN для роадвариоров, не направляя весь трав внутрь VPN, но в то же время чтоб DNS использовался внутренний (для резолва адресов интрасети)? Под Win/OS X/Linux актуальных версий.

Но утечку dns-запросов никто не отменял

а можно чуть подробнее с этого места?

Это когда клиент (в силу своих архитектурных особенностей и особенностей мировоззрения своих разработчиков) может запрашивать адреса внутренних хостов у внешних dns-серверов

Отлично, тогда другой вопрос. А это вообще нормальная практика? Суть в чем. Есть ДЦ в нем своя локалка/dhcp/dns. Туда нужно пускать юзеров. Сейчас сделано диким костылем, просто делегирована зона 3го уровня на DNS который торчит на ружу и естественно все работает. Но хочу выпилить эти костыли и сделать по взрослому. Во первых хочется сделать какой нибудь короткий локальный домен, аля hostname.loc и ну чтоб это все работало кроссплатформенно.

А на сколько оно кроссплатформенно?

Работать будет везде, под что в природе есть openvpn-клиент

Ещё вопрос. Каким образом можно запретить людям поднимать vpn со своей тачки если они пришли в офис, который уже подключён к дц по vpn?

Запретить доступ из офисной сети к впн-серверу.

А как быть в ситуациях когда адресация пересекается, например с домашней сеткой юзера?

B2C VPN там строите, что ли?

Можно пользователю отдать рабочую сеть как 2 подсети с меньшей маской

Ну, по возможности, для внутренних ресурсов стоит использовать редко встречающиеся адреса. Иначе потом без костылей со спецификами не обойтись

А можно чуть подробнее? Вот есть у меня: ДЦ в котором 10.0.0.0/16 как мне ее отдать?

У пользователя дома будет скорее всего что-то из 192.168/16

100.64

Фу использовать его без cgnat

Нет ли возможности сказать тачке после коннекта, что мол вот, конкретно эти адреса ходи в VPN