Ответы пользователя по тегу Сетевое администрирование
  • Почему OSPF Hello не проходят через GRE/IPSec VPN туннель в одну сторону?

    athacker
    @athacker
    Респект за подробно описанную ситуацию :-) Всё ниасилил, но имею предложить следующее :-) У некоторых провайдеров (замечены Ростелеком, Онлайм) некорректно отрабатывает то ли cgnat, то ли какой-то ALG по дороге. Что приводит к блокированию НЕКОТОРЫХ типов пакетов в туннелях, либо при согласовании туннелей. У меня по этой схеме не устанавливаются L2TP сессии -- просто блочится определённый пакет в ответе клиента серверу, и всё.

    Так я это всё к чему. Попробуйте поменять тип туннеля с проблемным IP. Либо попробуйте включить шифрование в этом туннеле, чтобы скрыть трафик. Возможно, тогда всё заработает.
    Ответ написан
  • Какой тип агрегации каналов использовать для максимальной пропускной способности?

    athacker
    @athacker
    Вряд ли вам в такой конфигурации поможет балансировка. Лишняя конфигурация и обслуживание, а профита не будет. Балансировка хорошо помогает, когда у вас много клиентов подключаются -- тогда их общий трафик размазывается на несколько физических каналов. Но всё равно, ни один клиент не получит скорость больше, чем скорость одного интерфейса, т. е. 1G в вашем случае.

    Возможна и обратная ситуация -- клиентов мало, но они ходят на кучу адресов (типичный вариант -- офисный интернет). Тогда LAG можно утилизировать В СУММЕ более полно. Но опять-таки, каждый клиент не получит больше скорости одного интерфейса. Так как пакеты одного соединения не размазываются на несколько интерфейсов.

    Я бы, наверное, в такой ситуации настроил бы статически так, чтобы для каждого сервера его оба партнёра были доступны через выделенный интерфейс. Т.е.:

    - сервер1 -- подключается к серверу2 через NIC1, а к серверу3 -- через NIC2
    - сервер2 -- подключается к серверу 1 через свой NIC1, к серверу3 -- через свой NIC2
    - сервер3 -- подключается к серверу 1 через свой NIC1, к серверу2 -- через NIC2

    Меньше будет оверхеда на вычисление hash-ей в балансировке.
    Ответ написан
    Комментировать
  • Как безопаснее организовать удаленное подключение к серверу?

    athacker
    @athacker
    > Через рдп у него будет доступ только к одному серверу, права ограничены, особо не развернешься.

    А сервер, значит, к сети доступа не имеет? :-)

    Когда известны логины-пароли -- нужно делить полномочия на несколько учётных записей. Управление сетевым оборудованием -- одна учётка, доменом -- вторая, железом и самими серверами (имеется в виду ОС) -- третья. Для каждой системы, короче -- отдельная учётная запись с отдельным паролем.

    И настроить мониторинг использования этих записей. Каждому своей. Типа, залогинился на сервак -- чик, СМС-ка пришла, типа "с вашей учёткой залогинились на сервер такой-то". Если это не ты -- то стопудово палево :-)
    Ответ написан
    Комментировать
  • Будет ли работать на скорости 1000Mb/s?

    athacker
    @athacker
    Смотря что за коммутатор. В теории, современные коммутаторы для клиентов, подключенных на 1G, будут гонять трафик на 1G. Но во времена оные попадались модели, которые при наличии подключенных клиентов на 100М, всех переключали на 100М.
    Ответ написан
    1 комментарий
  • Как настроить раздачу адресов dhcp на две сети?

    athacker
    @athacker
    Реализовать было можно, но только в случае виндовых клиентов. Смотрите в сторону NAP -- Network access policy, и её связи с DHCP.
    Ответ написан
    3 комментария
  • На сколько безопасно располагать 1000 виртуальных машин в одном сегменте сети и какие есть риски?

    athacker
    @athacker
    Броадкаст сожрёт заметную часть пропускной способности сети. Учитывая, что у вас это ещё и на несколько датацентров будет растянуто -- пропускная способность будет падать ещё заметнее, учитывая длинные пинги между датацентрами.

    Второй момент -- смотря что это будут за виртуалки. Если это всё виртуалки разных клиентов, то безопасность будет страдать, это факт. Если, конечно, у вас там не будет каких-то хитрых технологий изоляции клиентов друг от друга, типа vmware-вской vapp fencing.
    Ответ написан
    Комментировать
  • Как правильно настроить L2TP VPN в Микротике?

    athacker
    @athacker
    Не очень понятно, при чём тут вообще микротик, если вы L2TP с винды поднимаете.

    Если вы хотите L2TP с микротика -- так и настраивайте его на микротике, при чём тут винда вообще?
    Ответ написан
  • Где искать информацию о серверном "железе"?

    athacker
    @athacker
    Вы серьёзно думаете, что решения от разных вендоров в равных технологических линейках будут отличаться по производительности? :-) Там процы Интел, память -- перемаркированный самсунг или hynix или kingston, сетевые адаптеры -- перемаркированный Intel или Broadcom, диски -- перемаркированный Seagate или Hitachi. Выбирать нужно только по цене и наличию техсаппорта.

    Опыт, если его суммировать, то будет выглядеть всегда одинаково: "Вендор XXX -- редкостный компост!". На прошлой работе я имел грабли с хранилками IBM, на этой -- вот прямо сейчас бодаемся с граблями с хранилками Dell, у стороннего заказчика бодались с HP MSA, бывшие коллеги сейчас бодают Huawei OceanStor...

    У них у всех есть проблемы, просто у каждого вендора разные, и в различных конфигурациях/сценариях эти проблемы могут всплывать, а могут и не всплывать, но это равновероятно для любого вендора.

    И, по большому счёту, выбор вендора зависит только от тех денег, которые вы готовы на оборудование потратить. Если денег до фига -- берите IBM, HP, Dell. Если не до фига -- STSS, Aquarius, Kraftway, SuperMicro.

    Напишите примерную конфигурацию в виде "нужно N серверов 1U, процы такие-то с таким-то количеством ядер, памяти столько то, сетевые адаптеры 2 x 10G, диски SAS, M штук по X Гб", и закиньте нескольким поставщикам. Потом плачьтесь каждому, что денег мало, и столько вы не потянете, и через несколько итераций снижения цены выбирайте того, кто подвинется по цене сильнее. А какой там бренд они вам предложат в итоге -- дело, по большому счёту, десятое.
    Ответ написан
    1 комментарий
  • Возможно ли реализовать подмену адреса источника входящего пакета?

    athacker
    @athacker
    Дорисуйте на схеме IP-адреса, которые фигурируют в процессе, а то разобраться как-то тяжело.

    Перенаправление трафика как конкретно осуществляется?
    Ответ написан
  • Куда уходит интернет траффик?

    athacker
    @athacker
    На вашем роутере этого не сделать. Надо или ставить перед роутером сервер с NAT, или менять роутер на нечто такое, что может показать список соединений.
    Ответ написан
    Комментировать
  • Как произвести анализ загруженности локальной сети и выявить источник большого трафика?

    athacker
    @athacker
    1) Настроить мониторинг своих свичей, и смотреть по графикам, на каких портах максимум трафика. Начать с аплинк-портов -- сколько трафика уходит в направлении "север-юг" (т.е. с коммутатора "наверх", к маршутизатору). Затем искать, в какой порт этот трафик вошёл.

    2) Ваш роутер не поддерживает netflow. Поменяйте его на какой-нибудь микротик, он умеет netflow. Анализируя netflow, можно понять, какой трафик превалирует, с каких локальных адресов и куда.
    Ответ написан
    1 комментарий
  • Кто каким образом документирует локальную сеть?

    athacker
    @athacker
    Вики. Схемы конкретных мест -- в визио, сетевые топологии -- картами в Zabbix. Для учёта оборудования, IP-адресов, вланов -- можно попробовать Racktables или iTOP с соответствующими плагинами.
    Ответ написан
  • Какую карту выбирает сервер для PPPoE?

    athacker
    @athacker
    Если у вас PPPoE именно средствами Kerio поднимается, то вот в методичке: kb.kerio.com/product/kerio-control/interfaces/conf...

    указано, что в настройках PPPoE есть некая вкладка Dialing Settings, на которой можно якобы выбрать исходящий интерфейс.
    Ответ написан
  • Как организовать Failower IPSEC туннель на FreeBSD?

    athacker
    @athacker
    Динамическая маршрутизация спасёт благородного дона. Поднимите в обоих туннелях две BGP-сессии, анонсируйте в туннелях два маршрута в удалённую подсеть, только с разными приоритетами. Если отвалится один туннель -- маршрутизация перейдёт на другой. IPSec, кстати, лучше строить будет где-нибудь на loopback-адресе удалённой сети, чтобы этот адрес был доступен, независимо от того, через какой туннель доступна удалённая площадка.

    Только не уверен, что PFSence умеет BGP. Возможно, придётся ставить чистую фрю.
    Ответ написан
  • Какую выбрать тему для диплома(сети)?

    athacker
    @athacker
    Ваш диплом что конкретно предполагает-то? Разработку или развёртывание? Это принципиально разные вещи.
    Ответ написан
  • В чем проблема с подключением к ipsec+ikev2 через сертификаты?

    athacker
    @athacker
    Есть основания полагать, что это криво настроенный ALG на сети провайдера. У вас клиент за провайдерским NAT'ом, и этот NAT режет пакеты. У Онлайма в сети такое происходит с L2TP -- сервер шлёт пакет согласования параметров соединения, клиент его получает и ОТВЕЧАЕТ. Но до сервера ответ не доходит. Вывод -- режется провайдером. Бороться с этим, вероятнее всего, бесполезно. Я с онлаймом с апреля бодаюсь по этому поводу. "Ваше обращение передано в профильный отдел, бла-бла-бла". Причём какой конкретно отдел является "профильным" -- они не говорят. Ну то есть, иными словами, болт они кладут на такие заявки, и ни в какие "профильные отделы" оно не перенаправляется.

    В вашем случае выход -- строить IPSec в другом туннеле -- L2TP или PPTP.
    Ответ написан
    8 комментариев
  • Как из Windows 7 сделать маршрутизатор?

    athacker
    @athacker
    На маршрутизаторе не нужны никакие маршруты, чтобы маршрутизировать сети, подключенные непосредственно к нему. Достаточно включить IP forwarding, и всё будет работать само. Маршруты нужно указывать на клиентах, которые находятся в разных подсетях.

    Допустим, у вас две сети -- 192.168.1.0/24 и 10.0.0.0/24. На win7 два интерфейса -- у одного IP 192.168.1.1, у второго -- 10.0.0.1. В реестре нужно прописать ключ, разрешающий переброс пакетов между интерфейсами. Название ключа не помню, но гугль подскажет.

    Соответственно, на машинах в сети 192.168.1.1 нужно указывать маршрут в подсеть 10.0.0.0/24:
    route -p add 10.0.0.0 mask 255.255.255.0 192.168.1.1 (синтаксис команды -- для винды);

    На машинах в сети 10.0.0.0/24 указываем маршрут в сеть 192.168.1.1:

    route -p add 192.168.1.0 mask 255.255.255.0 10.0.0.1

    Тогда будет работать.
    Ответ написан
    Комментировать
  • Проблемы с сетью - Hetzner + Ростелеком, в чем может быть причина?

    athacker
    @athacker
    Судя по разнице маршрутов на основе порта, вероятнее всего, Ростелеком намудрил что-то со схемами, обеспечивающими блокировку по спискам Роскомнадзора. Теоретически, помимо портов 80 и 8080 должны наблюдаться аналогичные грабли и с 443.
    Ответ написан
  • Как передать интернет на большое расстояние?

    athacker
    @athacker
    1) Направленная антенна с усилителем и поиск операторов/вышек в округе с более быстрым интернетом.

    2) Если 1 не помогает -- то односторонний спутник. Запросный канал по мобильной сети, ответ -- через спутник. Вешаем любую оффсетную антенну диаметром от 1.2 метра (хотя ХЗ, смотря какой провайдер/спутник/географическое положение, может, И на 0.6 м можно сносно ловить будет), в комп ставим DVB-карту (цена от 3000 руб), настраиваем и вуаля. Скорость, конечно, будет зависеть от запросной (наземной) сети, но всяко будет выше, чем 1 кб/сек.

    Есть также компрессоры/ускорители трафика, как раз для односторонних спутников. Например, globax.biz

    Кстати, вашего DSL-провайдера тоже можно использовать как запросный канал, трафик там при запросе небольшой. Только если что-то в интернет заливать будете -- тогда да, расход исходящего трафика будет выше. Но с другой стороны, провайдер исходящий трафик может как раз и не тарифицировать, надо условия подключения смотреть :-)
    Ответ написан
    Комментировать
  • Что посоветуете использовать: strongswan или openvpn, etc?

    athacker
    @athacker
    Из трассировки никак не следует, что у вас там именно два NAT :-) Маршрутизаторы в сети провайдера вполне могут использовать серые адреса, маршрутизируя при этом интернет-трафик с белыми IP-шниками.

    Поддержу оратора выше -- лучше строить L2TP-туннель, внутри которого уже пускать IPsec.
    Ответ написан
    Комментировать