лучше нарисуй )

и адресацию везде да

По вашему описанию у вас вообще два шлюза

Про один из которых хосты не особо в курсе

Сетка: 10.0.0.0/16 Шлюз: eth0: 10.0.0.1 VPN сервер: eth0: 10.0.0.2 tun0: 10.9.0.1 на на серваках сети просто прописан дефолтный гейтвей 10.0.0.1, как выше правильно заметили, о 10.0.0.2 и клиентах из 10.9.0.0/24 они не в курсе. Но на шлюзе прописан маршрут до 10.9.0.0/24 via 10.0.0.2

Кто нибудь знает ПОЧЕМУ ЭТО РАБОТАЕТ?

т.е. получается когда клиент, подключившись через VPN пингует например хост 10.0.0.5, пакеты К нему идут напрямую, а ОТ него идут через шлюз. Причем я на шлюзе их вижу, реплаи эти. Но вот до VPN хоста они уже не доходят.

Кто нибудь знает ПОЧЕМУ ЭТО РАБОТАЕТ?

а чего не так то?)) все хосты отвечают дефотному гейтвею, потому что у них нет маршрута. А гейтвей имея маршрут отправляет уже куда надо.

Может я чего-то не понимаю, но расскажите мне зачем нужна маска сети?

Короче пилите транзитную сеть на пару адресов и будет вам счастье

на шлюзе reply два раза отсвечивается? (входящее от клиента и исходящее на впн сервер)

Короче пилите транзитную сеть на пару адресов и будет вам счастье

транзитную между чем и чем?

на шлюзе reply два раза отсвечивается? (входящее от клиента и исходящее на впн сервер)

неа, 1 раз

значит шлюз это режет

смотреть фаервол там видимо надо

может он асимметричный трафик не любит

может ещё что

но схема да, так себе :)

А как правильно? Разливать на все серваки маршрут до vpn сервера?

например да

igp запилить какой-нибудь, ospf там

если нет возможности опенвпн на шлюзе поднять

А сейчас еще одна ахуенная идея))) А если я его по DHCP раздам, это ок?)

да почему бы и нет )

главное чтобы он появился

а каким способом - это уже от фантазии зависит

и от религии

Самое удивительное что это все работало с месяц примерно. И работало вообще причем без проблем

Сегодня маленько шлюз пошатал, ipsec настраивал. И чота вот теперь оно не оч работает))

Кто нибудь знает ПОЧЕМУ ЭТО РАБОТАЕТ?

Вот так кстати выглядит маршрут если на хост таки удалось зайти 10.9.0.6 via 10.0.0.2 dev eth0 src 10.0.1.20 cache <redirected> expires 190sec

Утро в чат

утро!

а кто-то еще не ложился спать... :-)

а ростелеком чо, блокирует 192.88.99.1? пинги ходят, туннель не понимается

через них вроде никогда и не работало

странно, что пинги есть, раньше даже этого не было

Видимо таки повешали где-то на лупбэк

от черти

а через ттк задержки по 150 и потери до 50%

у меня через мтс не лучше)

а ростелеком чо, блокирует 192.88.99.1? пинги ходят, туннель не понимается

Он deprecated и не должен анонсироваться в Интернет, только своим пользователям

а чо, native v6 не подвезли чтоли?

+. Требуйте натив.

а чо, native v6 не подвезли чтоли?

да подвезли, почему не подвезли

Там большая книга

не дают нэйтив

все эти в6 в туннеле так себе работают, скорей намучаешься и отключишь нафег

все эти в6 в туннеле так себе работают, скорей намучаешься и отключишь нафег

ну вон таннел брокер от he нормас пашет

и блокировочки обходятся)

сколько задержки до россии получаются?

ну там Стокгольм, не знаю, сколько от вас до них

короч гугл и яру 190-200 ms

но я-то в jebenях

ну хотя с учетом где вы находитесь это вроде неплохо :)

я на сёрфинге не замечаю даже

а вот ютубчек не оч, но я его с ойпеда смотрю, а туда в6 я не прокидывал

Утро

прива. Боги джунипера помогите есть вот такая дока: https://www.juniper.net/documentation/en_US/junos/topics/concept/layer-2-ethernet-firewall-filters-overview-mx-solutions.html там написано Note: Broadcast, unicast unknown, and multicast (BUM) traffic are not affected by input and output policers. BUM traffic can only be filtered by forwarding table policies. как то грустно это

типо нельзя на юните бродкаст подрезать для бриджа

так чтоль?

@blademd @kmisak @gngbng

лучше наверное @orlik :)

Да точно

Толя держи ответ

а в чем такая зачсада?

архитектурно почему так?

у нас было так на vpls

прост на интрефейс можно интерфес специфик

а тут получается что надо на каждую таблицу свой фаер писать

инача будет один обсчий счетчик на все

:(

да это все от того что хочется не пропустить шторм с одного куска сети на другой

но сейчас фаервол есть в firwarding optiopns

но один хер mx80 складывается

так говорит что нехер энтерпрайз железке таким заниматься )

а как интерфейс специфик к форвардинг оптионс засунуть?

[edit firewall family vpls filter vpls-broadcast-limit-3407] + interface-specific; [edit routing-instances vlan-2300] + forwarding-options { + family vpls { + flood { + input vpls-broadcast-limit-3407; + } + } + } [edit routing-instances vlan-2300 forwarding-options family vpls] 'flood' Interface specific filter vpls-broadcast-limit-3407 cannot be as an FTF [edit routing-instances vlan-2300 forwarding-options] 'family' Cannot extract filter: error: Failed to read config commit-check failed commit-check failed error: configuration check-out failed

замена flood на фильтер не помогает admin@A2-97# commit check [edit routing-instances vlan-2300 forwarding-options family vpls] 'filter' Interface specific filter vpls-broadcast-limit-3407 cannot be as an FTF [edit routing-instances vlan-2300 forwarding-options] 'family' Cannot extract filter: error: Failed to read config commit-check failed commit-check failed error: configuration check-out failed

кароч вот такая жопа

чот пипец. в календаре на сегодня 5 митингов