дык яж наоборот в черную дыру направляю 😂

Это же дыра... И не важно какая...

Это. Я дебил. Помогите написать джуниперовский префикс лист, который бы содержал только адреса на самой коробке как /32

Это. Я дебил. Помогите написать джуниперовский префикс лист, который бы содержал только адреса на самой коробке как /32

Чо?

Есть же слово exact

Волшебное

нужен префикс лист для фаервола. В нем должны быть только адреса коробки.

Адрессбук

Есть же слово exact

чем поможет слово exact?

чем поможет слово exact?

Я о другом подумал

root@prt30-vsrx# show policy-options prefix-list LOCAL_ADDRESS| display inheritance ## ## apply-path was expanded to: ## 192.168.36.0/22; ## 10.200.25.64/28; ## 10.24.10.0/24; ## apply-path "interfaces <ge-0/0/*> unit <*> family inet address <*>";

у меня пока вот такая петрушка. Это явно не то

мне нужны сами адреса а не сети

Я в ждунах лох, но нужно, вроде как, в нужной зоне замутить адрес бук и уже адресами из него оперировать в полиси

Или я не так понел

Задача-то какая?

мне нужно ловить трафик, который приходит на определенную сеть и его логать. При этом я не должен логать трафик, который приходит мне лично.

у коробки могут быть на произвольных интерфейсах произвольные адреса из интересной сети

задача написать фильтр, который будет работать для большинства случаев

загнать его в группу и применить его, желательно, тупо аплай группом

в противном случае придется как-то городить скрипт. А это будет противно.

мне нужны сами адреса а не сети

apply-path берёт только то, что есть в конфиге. Есть там маска /28, префикс будет приведён к этой маске. Никаких изменений не будет сделано. Твой путь - это действительно скрипт.

apply-path берёт только то, что есть в конфиге. Есть там маска /28, префикс будет приведён к этой маске. Никаких изменений не будет сделано. Твой путь - это действительно скрипт.

Хм. Флоуспек?

Что если я флоуспек зафигачу?

commit-script наверное, или вообще внешний

Флоуспек чот не отдупляю, каким боком к твоей задаче

Флоуспек чот не отдупляю, каким боком к твоей задаче

Та же проблема. При определении флоуспек маршрута нужен сурс адрес в виде префикса...

Флоуспек чот не отдупляю, каким боком к твоей задаче

Ну, если бы можно было получить волшебным образом флоуспек маршруты из обычных маршрутов и дописать тупо нужные поля...

Ну в inet.0 то у тебя будут эти /32, их оттуда можно погрепать

Ну в inet.0 то у тебя будут эти /32, их оттуда можно погрепать

Это скрипт уже

Вотвот

Или типа show conf int | d s | m ge-0/0 | m addr и sed'ом /?? менять на /32

Но вообще, я придумал как решить проблему. Нужно помечать весь трафик на входе. А на выходе тупо считать и дропать помеченный трафик

Не нужно никаких волшебных префикс-листов

А трафик для ре не пометится типа?

Собственный трафик коробки исходящий будет немеченным, входящий будет тупо ею съеден

Логично

Тут просто смешная проблема с устройствами, маршрутизирующими трафик, который к ним приходит, но при этом мак-адрес не совпадает с маком их интерфейсов. И который, по идее, должен быть дропнут

А они его честно роутят, наплевав на мак-адреса

Проблема, разумеется, редкая. То-есть - они его иногда роутят

Тут просто смешная проблема с устройствами, маршрутизирующими трафик, который к ним приходит, но при этом мак-адрес не совпадает с маком их интерфейсов. И который, по идее, должен быть дропнут

о, я вчера похожую историю ковырял

@troy_ntwrk http://seoi.net/penint/ - аналог архитекторского визио, ток онлайн

лол

о, я вчера похожую историю ковырял

и чем закончилось?

у меня там другая задача была, но тоже маки не те использовал, что предполагал

для mpls трафика оно там outgoing интерфейса мак шлёпает

а я везде irb вшил

@blademd а ты в сорм льёшь мплс трафик ?

да

а как балансишь?

ручками :(

standalone порты в сторону съёмника и вланы раскидываю "на глазок"

у нас traffic-policy, где отбираются по src dst ипам пакеты

и редиректятся

у меня тоже такое есть

но с мплс такое не работает (

не, у меня схема такая: я на приёмных интерфейсах от plc делаю stacked port-based, для svlan делаю learning disable, на каждый порт уникальный vlan

и потом это всё руками раскидываю

а у тебя не может одна сессия лечь в разные порты ?

собирал статик-бандлы, но там балансится с перекосом

а у тебя не может одна сессия лечь в разные порты ?

сессия какая, tcp? вряд ли

абон может размазаться, да

это разве проблема?

типа исходняк на один бордюр, а входящий льётся через другой бордюр ?

аа, не, у меня же перед брасами трафик собирается

ааа

к бордюрам уже с натом льётся трафик, они такое не уважают

))

у нас такое не сканает ) ну и мы специально нат подняли на бордюр, выше сорма

а я ушёл как раз с ната на бордюре

и радый

но снимать попроще было, ага

но не сказать, что сейчас прям сложно

блин, чо с мплс-ом то придумать, чтобы ручками балансить можно было )

у меня pbr, кстати, не заработал в vrf на 6320

пришлось fbf делать на ex'е

но там у меня не сормовские дела, для другого

у нас для сорма норм робит, но там конеш без vrf

я бы уходил на сплиттеры, но, конечно, не всё знаю)