Как настроить соответствие между поддоменами и хостами в локальной сети?

Drno,

Вроде haproxy умеет проксировать tcp на основе SNI

SNI это расширение для SSL/TLS, логично что это TCP, но не всякий TCP это TLS. Мало того, SNI не обязательное поле. Если коротко, это не будет работать.

Если твое приложение использует TLS при подключении к порту 1234, то возможно у тебя есть шанс выдернуть из TLS имя домена в поле SNI и завернуть трафик на нужный сервер. Если это просто TCP - то забудь.

Можно попробовать настроить балансировку, что бы порт 1234 рандомно прокидывался на один из серверов, если соединение не успешное, то на второй север. Но это такой костыль.

Тебе нужен второй IP, вариант с VPS не плохой. Возможно твое приложение умеет работать с DNS SRV записями?

Туннель IPSec работает, но почему я не могу пинговать IP-адреса назначения?

Nicolayka,
Зачем это?

-A POSTROUTING -s 195.209.130.9/32 -o eth2 -j SNAT --to-source 10.0.0.10

Где правила маскарада на сервер 2? Где симетричные правила на сервер 2?

Как ты вообще настраиваешь firewall, используешь какую-то утилиту?

Туннель IPSec работает, но почему я не могу пинговать IP-адреса назначения?

Nicolayka, давай ещё раз посмотрим на iptables-save, как он выглядит после всех правок.

Туннель IPSec работает, но почему я не могу пинговать IP-адреса назначения?

Nicolayka, Так нельзя с ipsec

-A POSTROUTING -s 10.0.0.0/24 -d 20.0.0.0/24 -j MASQUERADE

Попробуй так

# это удалить 
#-A POSTROUTING -s 10.0.0.0/24 -d 20.0.0.0/24 -j MASQUERADE 
# это поменять на
#-A POSTROUTING -s 10.0.0.0/24 -o eth2 -j MASQUERADE 
# это
-A POSTROUTING -s 10.0.0.0/24 ! -d 20.0.0.0/24 -o eth2 -j MASQUERADE

И вот это
-A INPUT -p udp -m udp --dport 500 -j ACCEPT
-A INPUT -p esp -j ACCEPT
-A INPUT -p ah -j ACCEPT

и forward
-I FORWARD -s 10.0.0.0/24 -d 20.0.0.0/24 -j ACCEPT

То же самое с обратной стороны соблюдая симметрию

Какой существует самый новый ThinkPad с возможность замены CPU?

https://frame.work/

Туннель IPSec работает, но почему я не могу пинговать IP-адреса назначения?

Про это не забыл?

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.ip_no_pmtu_disc = 1

Что с firewall? Покажи iptables-save

Как установить модуль filter в aiogram?

https://docs.aiogram.dev/uk_UA/latest/dispatcher/f...

from aiogram.filters import Filter

Почему несколько L2TP IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?

Kenny00, Похоже что это проблема в самом IPsec, которую решили в IKEv2.

Когда L2TP из коробки в винде есть уже)

IKEv2 - тоже есть из коробки.

Как изменить свою локализацию для корпоративного VPN?

pankratov_tolik,

насколько безопасно VPN в микротике для корпоративных данных

Ты ведь будешь запускать VPN в VPN, безопасность VPN на микротике вообще не важна в такой ситуации, все что видит микротик это VPN между ноутом и сервером.

Есть какие то VPN клиенты которые считаются золотым стандартом безопасности?

Честно говоря еще не встречал что ты VPN трафик расшифровали) При выборе VPN компании основной критерий не только безопасность, а поддержка split туннеля, аутентификация через radius, совместимость с максимальным количество клиентов. Лидерами тут выступают IPsec в разных вариациях и OpenVPN, реже SSTP.

Как заставить firefox открывать сайт через VPN без его перезапуска?

Александр,

Для доступа к рабочим ресурсам используется один впн

Если он не заворачивает к себе все ресурсы, то никаких проблем нет.

локальные шары работают без впн

Под локальными подразумевают ресурсы в той же под сети, маршрут для подсети LAN интерфейса находиться в приоритете и не должен заворачиваться в VPN, соответственно ресурсы в той же подсети должны быть доступны и с включенным VPN. Если это не так, то что-то настроено не правильно.

Если есть возможность указать браузеру через какой интерфейс работать

WARP VPN можно включить в режиме прокси, а в настройках Firefox указать использовать этот прокси. В таком варианте только firefox будет использовать этот VPN.

У себя вынес обход блокировок на роутер, роутер поднимает VPN и роутит заблокированные ресурсы в VPN.

Как заставить firefox открывать сайт через VPN без его перезапуска?

локальные ресурсы через него недоступны.

Настроить VPN что бы локальные ресурсы были доступны.

Почему BASH скрипт по проверке самоподписанного SSl сертификата выдает неверную дату окончания и начала?

Максим Ткачев, может у тебя прокси стоит, покажи CN и Issuer или весь сертификат.
❯ openssl s_client -connect aero-city.com:443 2>/dev/null | openssl x509 -text -noout | egrep 'CN|Issu'

Почему BASH скрипт по проверке самоподписанного SSl сертификата выдает неверную дату окончания и начала?

Выдает то что написано в сертификате

openssl s_client -connect aero-city.com:443 2>/dev/null | openssl x509 -text -noout | grep GMT
Not Before: May 18 07:17:14 2023 GMT
Not After : Aug 16 07:17:13 2023 GMT

Почему данный вебсайт имеет 2 root сертификатов?

Дополню. Еще есть кросс-сертификация, в таких случая разные браузеры могу строить разные цепочки сертификатов, один будет показывать три сертификата, второй только два.

Debian, терминал, ls проблема?

edc77,

что надо я приложил на скрине

А можешь приложить в скрине что выводит?

Можно ли в локальной сети обнаружить несанкционированное подключение WiFi-роутера?

Если есть подмена МАК, то сложно обнаружить подмену.
- можно настроить прокси для выхода в интернет и усложнить использование роутера.
- можно настроить 802.1X
- можно настроить мониторинг на ПК и уведомлять когда IP компьютера не соответствует корпоративному пулу
- есть WIFI с поддержкой обнаружения других точек доступа в эфире и можно настроить оповещение

Как настроить vmware для удаленного доступа?

Korifa, не забывай наживать на ответ что бы приходили уведомления когда оставляешь комментарий. Переключи на бридж.

Как настроить vmware для удаленного доступа?

Korifa, переключи на бридж.

Как создать VLAN между kerio control (на hyper-v) и cisco 2960?

Скорее всего проблема в конфигурации hyper v. Сетевая карта на hyper v умеет работать с vlan?

Как настроить vmware для удаленного доступа?

Скорее всего надо изменить тип интерфейса вируальной машины с NAT на BRIDGE, тогда CentOS получит IP из тоже сети что и ноутбук.