может это major-in-the-middle уже?

да не очень похоже

транстелоком пров )

ну можно проверить на RST по SNI

что host youtube.com показывает?

хотя и может ) но почему в осле оно работает без сертификата ?

что host youtube.com показывает?

погоди щас сяду отличное от венды )

да как вы вообще там на windows живёте крайние лет 10?

это ж невозможная боль. и продуктивность никакая.

это ж невозможная боль. и продуктивность никакая.

А на чем сам живешь?

ну 7ка ещё туда-сюда

на работе стоит

А на чем сам живешь?

я уже сообщал.

танки вот не на всех линуксах работают

так и живем

я уже сообщал.

Огласите весь список, пожалуйста.

ну ubuntu на декстопе же.

так и живем

дома

@Fd https://paste.pound-python.org/show/lisJBZM8OD7OOy5mSkdJ/

самый юзабельный и не красноглазый на текущий момент.

ну ubuntu на декстопе же.

18.04 бету не накатывал?

на homelab в server редакции сейчас.

ну ubuntu на декстопе же.

у меня генту везде ) только на работе винда из-за esxi )

ждём 18.04. да.

Сервер не интересно

у меня генту везде ) только на работе винда из-за esxi )

старый vsphere?

даже не esxi а vSphere полностью проплаченный ) да 5.5 старый ) u3

консоль то в браузере есть но она не вменяемая

ладно не об этом

@Fd https://paste.pound-python.org/show/lisJBZM8OD7OOy5mSkdJ/

Fd

ну он от google, вроде.

замените на него youtube.com в том запросе выше.

что покажет? :)

какие идеи ?

ну написал же :) true | openssl s_client -connect 216.58.207.206:443 | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' | openssl x509 -noout -issuer

что показывает? тоже refused?

У них даже домашних роутеров с антеннами нет

RB2011

RB2011

ну да

ну ток коня оно стоит

~> curl -s https://raw.githubusercontent.com/zapret-info/z-i/master/dump.csv | grep 216.58.207.20 -a ~>

и хз чот

так-то в реестре нет этого IP, есличо

Apr 24 15:15:50: %SEC_LOGIN-1-QUIET_MODE_ON: Still timeleft for watching failures is 0 secs, [user: bildad] [Source: 104.245.98.202] [localport: 80] [Reason: Login Authentication Failed - BadPassword] [ACL: ACL_ADMIN_LOGIN] at 15:15:50 TMN Tue Apr 24 2018

а я что показал ?

там было с доменом

а здесь с IP

Fd пардон у меня просто чат порциями приходит )

я прям вотщас запущу wireshark и посмотри на client hello при первом и втором

у второго не должно быть sni, по идее.

а может и у первого... давайте смотреть :)

да тоже refused

не, вроде по ипу тоже sni передает. надо tls 1.0 врубить

оп-па.

я как то хитро делал, но уже не помню даже(

SNR на доступ как вообще? Норм?

2990 2985 норм

и по s_client youtube.com:443 нет sni

ну тогда ISP парсит нефига не SNI.

чот странно

возможно, они резолвят IP с разных локаций и банят их потом по 443 порту.

сам так в 2014 делал :(

но тогда этого ещё не было в рекомендациях.

/me запрещал интернеты в рф, когда это ещё не было мейнстримом :(

iWAN 2.2.2

да тоже refused

короче, domain fronting и без sni ходить не поможет. там по dst ip шлют rst, видимо.

только оверлеи и вот это вот всё.

блин... я подозревал, надо на свежую голову почитать еще раз.. сегодня уже устал этим заниматься....

2990 2985 норм

Спасибо

но спасибо в любом случае

@gngbng еще один аргумент в пользу статик маков вместо virtual-gateway: sflow с таких интерфесов нормально не собирается, поток не определяется как L3 из-за того что dest mac не считается своим

@gngbng еще один аргумент в пользу статик маков вместо virtual-gateway: sflow с таких интерфесов нормально не собирается, поток не определяется как L3 из-за того что dest mac не считается своим

буду знать, спс. Но я вирт-гв даже не пробовал юзать, сразу для себя решил, что маки хардкорить - тру вей.

Так, а вот сейчас важно, да. Как известно, в любой войне (а сейчас без преувеличения «Битва за Телеграм») есть предатели. Некоторые просто #зассавшие, а есть еще деятельные предатели. Ну, которые за сало и самогон вместе с гестаповцами сараи с людьми жгли, помните? Так вот, у нас есть #пособник_террористов в лице корпорации Mail.ru Group (что не удивительно совсем). Довольно много подписчиков в ЛС сообщили, что были совершенно приватные прокси-впн, как ВНЕЗАПНО хостеру прилетал абуз. Или сразу бан в реестр. Как они вычисляли? Очень просто. Напомню, что у МРГ есть еще и поисковик. Так вот, последние дни весь интернет сканировали на предмет Telegram проксей c внутренних IP-адресов Mail.ru. Например, очень много с 128.140.175.98 Как узнали: РКН начал банить даже те прокси, которые никогда реально не пропускали трафик юзеров и вообще себя никак не проявляли. Стали собирать логи. Нашли, что первый запрос всегда от Mail.ru, затем бан. Можете убедиться сами, кто пострадал. Что можно сделать: 1. Никогда не общаться с пособниками террористов. Не пользоваться их сервисами. Не платить денег за рекламу. Убрать счетчики МРГ со своих страниц. 2. Удалить аккаунты на МРГ — мейл.ру, ВК, ОК. Я напомню, что иметь там акки — это еще и небезопасно в физическом плане. ВСЕ «посадки за репост» были за сервисы МРГ. 3. Чтоб обезопасить свои ресурсы — запретить доступ к ним с IP МРГ. Ну, например, 128.140.168.0/21 access-list, ip-tables, .hosts — вот это все. Вы лучше знаете. 4. Всячески порицать, осуждать и упрекать сотрудников МРГ. Парни, я знаю, что вы, может быть, прекрасные специалисты и хорошие люди. Но вы работаете на террористов и карателей. Сами решайте, как вам поступить. Требуйте от начальства отказа от сотрудничества с РКН. Увольняейтесь. 5. Попытаться, чтоб информация этого псто разошлась как можно шире. Страна должна знать своих предателей. #digitalresistance

меньше магии

Перевозишь свои сорвора теперь?

буду знать, спс. Но я вирт-гв даже не пробовал юзать, сразу для себя решил, что маки хардкорить - тру вей.

ага но у нас успели запилить в принципе не так уж страшно - прописали sampling in/out на аплинках, но попотеть пришлось прежде чем стало понятно

Ееее

а инфра?

ага но у нас успели запилить в принципе не так уж страшно - прописали sampling in/out на аплинках, но попотеть пришлось прежде чем стало понятно

у меня ipfix на бордере и так влючен только на аплинков, пиров на ин/аут

@Kvitex слушай, а хотел спросить, qfx10k ipfix не могет ?

у меня ipfix на бордере и так влючен только на аплинков, пиров на ин/аут

это правильно но тут хотелось еще мониторить горизонтальный трафик в итоге решили что не так уж это и важно