как?
Пользователи ставят свой серт при подключении (на айфы ссыль редиректом)
Kostiantyn
Kostiantyn
Всё
Kostiantyn
Ngfw инспектит
Khanapi
Кто нибудь в продакшене на провайдере пользовался juniper fusion?
Kostiantyn
На устройства шлется под видом левого серта
Misak
серт думаю не будет ставится в системное хранилище сертов
Misak
а только для шифрования соединения вайфай пакетов от телефона к АР
Misak
сразу будет МИТМ
Leo 🦁
ребзя, ну куча аппов сразу сломается от митма
Leo 🦁
там во многих свои хранилища сертов и СА
Leo 🦁
и запинено нахуй всё подряд
✙ БессзуГик
Ну андроид точно не нравится кастомный серт
Roman
Народ, а насколько убог Junos Space?
Misak
а наш любимый админ Максимы не в канале? Он же точно все это смотрел
ewcha
Viktorich
скоро все поползут на penned-crt и хер всем мидлам с подсовыванием CA сертов
vitex
Misak
а кто компетентен это все пояснить? есть кто в чяте?
Viktorich
а кто компетентен это все пояснить? есть кто в чяте?
про подсовывание CA серта? сомнительно...
Viktorich
особенно в обычный гаджет
Misak
ну вот да
Misak
но аргументированно
Viktorich
ну не знаю как все гаджеты, но в мой HW без рута CA серт не установить
Misak
ну типа уже есть от вайфай альянса
Misak
и интермедиэйт от него к максиме
Misak
а максима митм-ит
Misak
я думаю оно вообще к хттпс никакого отношения не имеет
Misak
а только для шифрования между гаджетом и ар
Viktorich
ну вот да, скорее между гаджетом и ап
Viktorich
но если у тебя всё везде с рутом и ты бесстрашный, то можно затащить в хранилку сертов что угодно и "наслаждаться"
Yaroslav
Скажите а как у топ вендоров (хуавей, джун) обстоят дела с хранением arp хистори на коробке, до какой глубины можно посмотреть как менялся arp для конкретного ip на агрегации где терминируются вланы
Roman
арп же ~актуальная таблица
Yaroslav
кейс такой арп-инспекшена нету, некто берет анонсит себя с чужого мака и роняет сервис на время арп-эйджинга, задача вычислить постфактум
Yaroslav
скажем через сутки надо понять
Roman
там скорее логи агрегации будут кричать что мак флап, вот это всё
Roman
ну или на каком свиче оно будет пересекатся
Yaroslav
анонсит себя с другого мака означает что мак-флапа не будет
Roman
чего это вдруг
был мак на одном порту - появился на другом
Roman
вот и флап
Yaroslav
я грю что зломышленник анонсит ip с нового мака, старый остался за совим старым портом
Yaroslav
мак-флапа нету
Roman
а, я не так понял
Roman
я грю что зломышленник анонсит ip с нового мака, старый остался за совим старым портом
ну гугол говорит что джун в лог срет
Roman
Mar 27 23:55:45 mitrofan-re1 /kernel: %KERN-6-KERN_ARP_ADDR_CHANGE: arp info overwritten for 10.255.1.2 from 00:23:9c:9a:d1:4c to 00:23:9c:9a:d1:4b
Roman
но это не история арп, это конфликт который высрало в лог
Roman
опять таки если конфликты возможны
Yaroslav
тоже 6кой - сислог ок, считаем что его нету, интересует механизмы внутреннего хистори
Roman
у кого они есть эти механизмы?
Roman
я мож чето не знаю
Yaroslav
у кого они есть эти механизмы?
ну на нексусах есть евент-хистори туда пишется история, но снять не успели
Yaroslav
мне интересно как у джуна - это кроме сислога можно ухватить или у хуавея
Yaroslav
то есть доказать что арп менялся я могу а вот сказать какой мак был нет
Roman
то есть доказать что арп менялся я могу а вот сказать какой мак был нет
ты точно всё правильно делаешь? кмк это вообще странный кейс
Andrey
Твои данные не утекают, если ты сам соглашаешься отдать их. Синк абоут ит, рил толк
Yaroslav
ты точно всё правильно делаешь? кмк это вообще странный кейс
точно ли кейс неправильный, если он кажется тебе странным?
Roman
ну как-то DAI нету, ничо нету, хочу что б меджик какой-то был
Roman
пока это так вижу
Yaroslav
и потом я помощи как таковой не прошу) мне хочется понять как решается задача у других вендоров
Roman
ну есть вот https://www.juniper.net/documentation/en_US/junos/topics/reference/configuration-statement/traceoptions-edit-interfaces.html
Roman
там есть всякие евенты для интерфейса
Roman
но опять же сислог
Roman
и не вижу проблемы с централизованым сислогом для сетевых железок
Roman
пусть хранит себе, не на свиче ж хранить
Roman
ну и ток такое нашел
https://www.juniper.net/documentation/en_US/junos/topics/reference/command-summary/show-ethernet-switching-mac-learning-log-bridging-ex-series.html
Roman
ну и я до сих пор думаю что задача очень странная
Yaroslav
представь, ты приходишь в кафе - за столиком сидит девченка симпотная, она увидела что ты чето в консоли набираешь - подходит спрашивает ты сетевик, говоришь да! она такая я тоже, поговорили дал ей пару советов, приглашаешь в кино, а она тебе я с радостью но у меня проблема на работе, поможешь решить и пошли в кино, ты такой говно вопрос - а она тебе вчера лег сервис из-за арп поизонинга, а dai не внедрен и в логе ничего нет, и генеральный спршивает кто виноват, неззнаю уж что делать помоги плиз, ну и ты такой - “ну и я до сих пор думаю что задача очень странная” и остался девственником
Volodymyr
работа такая
Ща по хипстоте зайду
https://apps.juniper.net/telemetry-explorer/explore?software=Junos%20OS&release=18.4R1&moduleId=All&tagId=59741&tagName=link-layer-address
Volodymyr
Снимай трусики
Yaroslav
Yaroslav
101058) Event:E_DEBUG, length:204, at 474490 usecs after Mon Sep 2 14:12:12 2019
[116] [8148]: Entry added to ARP pt, added to AM for 10.10.10.10, 6005.ab4f.3238, state 2 on interface Vlan13, physical interface port-channel1, ismct 0. Rearp (interval: 0, count: 0), TTL: 1500 seco
Yaroslav
но перезатирается быстро с дефолтными настройками, можно поставить побольше но как обыно нужна машина времени
Roman