Забавно, по прямому назначению opeflow используется мало, а вот в openvswitch в виде комбайна для всего на свете прижился)

Суток! Почти оффтоп, но рядом ходит. =) Коллеги, а не ковырял ли кто ovs в попытках на нем full-nat делать. То есть над одним пакетом делать и snat и dnat в один проход.

Именно с использованием conntrack? Так-то ovn snat_and_dnat умеет и stateless делать. По части stateful не помню, сколько там рециркуляций через conntrack.

Нет, именно чистый ovs. OVN это вроде по отдельности тоже делает только. Хотя надо будет попробовать его в извращенные условия загнать, может что полезного из flow удастся подрезать.

Что значит «по отдельности»?

Я, честно сказать, не представляю как на одних только flow таблицах сделать стейтфул нат или файрвол. В нём же нет никаких структур для хранения данных о соединении. Через learn сотни тысяч флоу определять?

Я, честно сказать, не представляю как на одних только flow таблицах сделать стейтфул нат или файрвол. В нём же нет никаких структур для хранения данных о соединении. Через learn сотни тысяч флоу определять?

Это подход старого NSX. Сейчас есть action ct() с флагом commit

Когда он еще Nicira был? =)

Ну так это получается всё равно с conntrack. А вы, ребята, про "чистое" решение, вроде, говорите.

С conntrack. Либо learn, либо ct. Иначе никак.

С conntrack. Либо learn, либо ct. Иначе никак.

C learn как то совсем жестко. Я вокруг ct пляшу. Но кто то явно путается в зонах толи я, толи ovs...

Активно используем OVS под OVN’ом с conntrack. Проблем нету.

Мне надо на ванильке =)

Ну я к тому, что работает все ок.

Чуть позже стенд соберу, посмотрю какие потоки он под dnat_and_snat строит. За наводку спасибо!

Собственно, чтобы сделать snat_and_dnat, не нужен conntrack (только если очень хочется). Достаточно переписать l3 заголовки

Собственно, чтобы сделать snat_and_dnat, не нужен conntrack (только если очень хочется). Достаточно переписать l3 заголовки

Собственно, чтобы сделать snat_and_dnat, не нужен conntrack (только если очень хочется). Достаточно переписать l3 заголовки

С маскарадом всё понятно. Просто речь шла о snat and dnat. Подумал, что есть однозначный маппинг заранее.

Напомните как называется консольный SSH который как anydesk работает? Там запускаешь он токен дает, потом по нему коннектишся

Напомните как называется консольный SSH который как anydesk работает? Там запускаешь он токен дает, потом по нему коннектишся

ну тут такие времена, некторые без гуи запускать не умют

ну тут такие времена, некторые без гуи запускать не умют

https://tmate.io/

ИБ лютует

Всем привет! Можно сделать штатными средствами, чтобы админ проекта мог создавать пользователей для этого проекта, но был ограничен только своим проектом и не видел лишнего.

вот сюда смотрите

ну policy.json?

ну я последний раз лет 5 назад его менял ))) тогда работал ))) собственно а чего бы ему ломаться ?

Не через кейклок такие кейсы решаются?

Всем привет! Можно сделать штатными средствами, чтобы админ проекта мог создавать пользователей для этого проекта, но был ограничен только своим проектом и не видел лишнего.

а там не подвезли для этого разве роль owner?

а еще можно использовать waf

ну нахер =)

дока не актуальная уже для yoga и правила не переписать - он где-то их ещё ведёт и жалуется что ты написал дубль в policy keystone

я всегда говорил что кейстоун пишут рукоблудеры

я всегда говорил что кейстоун пишут рукоблудеры

я всегда говорил что кейстоун пишут рукоблудеры

дока не актуальная уже для yoga и правила не переписать - он где-то их ещё ведёт и жалуется что ты написал дубль в policy keystone

не ну webguard топчик

А есть у тебя ссылки на багрепорты или мейл листы какие-нибудь?

Это шо за зверь, кроме как с отсылом на ацентос не гуглится

у меня нет :( мы попробовали и нам не понравилось. Дальше не нашли причину и пока забили. При этом для nova policy правили и там всё ок

А то ведь могли и починить)

не, мы искали актуальную доку, но с yoga по bobcat она не менялась

не, мы искали актуальную доку, но с yoga по bobcat она не менялась

Да не, я не про документацию. Домуентация то могла и не меняться. Мож вот тут что-то менялось? https://docs.openstack.org/keystone/latest/configuration/samples/policy-yaml.html

Тут прикол в том что оно то не менялось и в приципе оно работает, но от релиза к релизу, переодически контейнер с кейстоуном падает от таких вот policy

Ну мож контейнер какой не такой)

дело не в контейнере.. а в том что фактически мы пытаемся закатывать солнце в ручную, во всяком случае при деплое колой это заранее надо переопределять.

Не понял тебя. Конкетно что переопределять?

Почему?