Ответы пользователя по тегу Компьютерные сети
  • Попробуем в Информационную безопасность?

    @iddqda
    network engineer, netdevops
    выделить отдельный гостевой SSID приземляющий пользователей в отдельный изолированный влан с доступом только в интернет
    вайфай с доступом в локалку реализовать через EAP/TLS для чего на убунте настроить freeradius
    в локалке выделить сервера в отдельный влан
    про unifi router ничего не знаю, беглый гуглеж обнаружил некий USG - unifi security gateway
    если это оно то судя по его названию все политики безпасности дальше пилить на нем
    отдельные политики реализовывать на сервисах т.е. 1с фтп и тп

    кстати зачем фтп? оно было неудобно еще в 90-е
    на ту же убунту водрузи nextcloud

    з.ы. фтп, 1с и 90 юзеров ... в таком месте отдельный инфбезопасник застрелится от скуки
    Ответ написан
    1 комментарий
  • Как в больших организациях присваиваются ip-адреса для всех устройств?

    @iddqda
    network engineer, netdevops
    Ведь, максимумом является 255 IP-адресов в одной сети

    нет
    Ответ написан
    Комментировать
  • Как соединить 2 пк находящихся за нат?

    @iddqda
    network engineer, netdevops
    Забейте на НАТ
    просто используйте ipv6
    если провайдер не выдает v6 одному или обоим - пригоните от Hurricane Electric
    https://www.tunnelbroker.net/
    Ответ написан
  • В случае возникновения разрыва соединения между сегментами локальной сети, автоматическая организация туннеля между ними поверх Интернет?

    @iddqda
    network engineer, netdevops
    требование:
    Все конечные узлы сети должны находится в одной подсети

    при этом:
    проект находится на стадии разработки


    Так вот пока проект еще не взлетел не загоняйте себя в угол этим требованием с обязательным Л2
    Сразу закладывайте Л3. Там ваши хотелки реализуются элементарно любым тунелем + оспф
    Ответ написан
    Комментировать
  • Docker: почему локальный IP-адрес машины-хоста недоступен для соединений внутри кластера?

    @iddqda
    network engineer, netdevops
    вот тут почитайте как работает сеть в compose
    https://docs.docker.com/compose/networking/
    для вашего случая наверное стоит обратить внимание на два предложения
    By default Compose sets up a single network for your app. Each container for a service joins the default network and is both reachable by other containers on that network, and discoverable by them at a hostname identical to the container name.


    Instead of just using the default app network, you can specify your own networks with the top-level networks key. This lets you create more complex topologies and specify custom network drivers and options. You can also use it to connect services to externally-created networks which aren’t managed by Compose


    короче, если Вы НЕ указываете networks в docker-compose, то compose использует default bridge и сам увязывает контейнеры по имени между собой.
    Если указываете кастомный network (openweb-network в вашем случае) то с именами придется возиться самому

    и эта ...
    Адрес хоста в локальной сети - 192.168.1.104. До сего дня все контейнеры свободно "общались" между собой, используя этот IP

    нет это не так работает. У контейнеров своя сеть openweb-network. Адрес можно посмотреть командой
    docker network inspect openweb-network
    Ответ написан
    4 комментария
  • Как обратиться к локальному серверу извне?

    @iddqda
    network engineer, netdevops
    ngrok
    Ответ написан
    Комментировать
  • Как построить бесшовный переход между точками доступа в интернет?

    @iddqda
    network engineer, netdevops
    На самом деле очень просто (в теории):
    Настроить два сетевых интерфейса на сервере и настроить ваш сервис чтоб он слушал оба интерфейса.
    Дальше переписать клиента так чтобы он использовал оба интерфейса сервера и при отсутствии ответа от основного, перепосылал запрос на резервный

    Еще можно не переносить слой отказоустойчивости на уровень приложения, а выбрать готовый протокол транспортного уровня, который обеспечит необходимую функциональность, например SCTP. Правда в этом случае придется переписать еще и сервер :)

    Что касается предложенных вариантов с BGP тут надо иметь ввиду, что стандартный holdtime для BGP в интернет составляет 180 секунд. А для магистралов tier-1,2 в разы больше. Ни о каких сабсекундных переключениях посредством BGP и речи быть не может

    Ну а при взрослом подходе резервируют не только сеть, но и сами сервера. Собирают их в пулы и балансируют нагрузку лоадбалансерами (ЛБ). При этом вопрос отказоустойчивости переползает на уровень этих самих ЛБ. Отказоустойчивость ЛБ обеспечивается мощной инфраструктурой облачных и/или сервис провайдеров: AWS/GCP/Azure/CloudFlare
    Ответ написан
    Комментировать
  • Как сделать ping zabbixом с роутера?

    @iddqda
    network engineer, netdevops
    на роутере пропишите статики
    8.8.8.8 next-hop isp1
    8.8.4.4 next-hop isp2
    и пингуйте на здоровье

    правда имейте ввиду - без забикс агента пинг генерит не роутер, а непосредсвенно заббикс сервер (или прокси)
    а что за роутер? на нем нельзя собственную пинговалку настроить и по snmp результат собирать?
    в циске для такого есть ip sla, а в juniper rpm

    сто лет назад я как раз прикручивал zabbix к juniper rpm
    и даже статью (дебютную) на хабре написал про это https://habr.com/en/post/349128/
    Ответ написан
  • Пробросить несколько IP адресов из датацентра домой?

    @iddqda
    network engineer, netdevops
    ну да зачем в ДЦ айпишники
    дома то всяко надежней сервисы хостить

    а вобще реально конечно:
    статик арп для адреса который нужно угнать чтоб сервер отвечал на арп запросы
    + любой л3 ВПН от этого сервера домой
    + статик маршрут в впн тунель чтоб пакеты полетели в нужном напрвлении
    + угнанный адрес дома на лупбек
    Ответ написан
    Комментировать
  • Провайдер выделил подсеть на белом IP, как это работает?

    @iddqda
    network engineer, netdevops
    насколько я понял провайдер просто прописал у себя статический маршрут
    что выданная вам сеть 56.53.60.0/29 находится за адресом 56.53.64.202
    дальше можете ее использовать как вам угодно
    можете смаршрутизировать дальше, а можете натить внутренние сети в эти адреса.
    вижу подобную попытку на скринах, но из скринов непонятно что не так. впрочем вообще не сильно понятен вопрос и что не так, да и незнаком я с "виндовз" маршрутизацией

    на самом деле при желании можете даже натить в свободные адреса из транспортной сети 56.53.64.200/29
    но для этого нужно чтобы ваш шлюз отвечал своим маком на арп запросы к используемым адресам. на всякий случай эта фишка называется proxy-arp
    Ответ написан
    5 комментариев
  • Как можно обосновать необходимость организации услуг связи ВОЛС в тендере?

    @iddqda
    network engineer, netdevops
    ну пусть он так же обеспечит пинг до головного офиса в 20мс

    ну и может пригодится решение ФАС по подобному кейсу
    https://fas.gov.ru/documents/494397
    Ответ написан
    Комментировать
  • Как наверняка определить что куда подключено?

    @iddqda
    network engineer, netdevops
    зайти на свичи по очереди и посмотреть lldp

    Если я захожу на сам свитч (управляемый) то там я не вижу маков телефонов
    так не бывает.
    свич на основе маков работает и все маки ему известны иначе ничего бы не работало
    Ответ написан
    3 комментария
  • Почему не открываются некоторые сайты через EoIP?

    @iddqda
    network engineer, netdevops
    пингами вычисли MTU трубы EOIP
    и на рутере в инет выставь tcp mss adjust в значение mtu минус 40
    сайты будут открываться как и любое другое TCP

    но потенциально граблей от такого решения соберешь изрядно.
    переделывай на нормальный L3
    Ответ написан
    3 комментария
  • Проект сети 2xASA + 2xWanRouter?

    @iddqda
    network engineer, netdevops
    как то так например
    rzpzam0cbktzihxkceyvhuxpzlm.png

    с каждого роутера анонсировать default в ospf с одинаковой метрикой и будет балансировка по ECMP на выход (если аса в него умеет). на вход не будет. active/passive жеж
    Ответ написан
    Комментировать
  • Почему коммутатор CISCO светит свой мак во всех VLAN?

    @iddqda
    network engineer, netdevops
    то что ты прописал айпишник к мак-таблице никак не относится
    айпишник ищи в arp таблице

    таблица маков строится своя для каждого влана. вланы обеспечивают нужную изоляцию.
    поэтому нет смысла одному физическому интерфейсу в разных вланах назначать разные маки
    хотя многие поизводители так делают
    Ответ написан
  • Можно ли поднять домашний веб-сервер с серым ip?

    @iddqda
    network engineer, netdevops
    iddqd:~ $ sudo snap install ngrok
    ngrok 2.3.35 from Khiem Doan (khiemdoan) installed
    iddqd:~ $ ngrok http 80

    5f509a089b19e567867107.png
    Ответ написан
    Комментировать
  • Почему нет маршрутизации?

    @iddqda
    network engineer, netdevops
    потому что судя по всему на туполинке включен нат
    И скорей всего тебе маршрутизация вообще не нужна
    А просто надо чтоб он как свич и/или вайфай точка работал

    если так то не используй WAN порт. воткни все линки в LAN
    и выключи на туполинке DHCP
    Ответ написан
    9 комментариев
  • Как получит минимальный пинг между Москвой и Хельсинки?

    @iddqda
    network engineer, netdevops
    Можно теоретически снизить пинг на треть
    Известно, что скорость света в оптоволокне 0,69с (с - скорость света)
    Кроме того оптоволокно как правило проложено не по кратчайшему расстоянию,
    Хотя на участке между Москвой и Питером оптика зарыта вдоль ЖД, которую Николай I рисовал линейкой, так что много тут выиграть не получится

    Итак нам нужен радиоканал. Во первых скорость в воздухе близка к с
    а во вторых так мы получим минимальное расстояние по кратчайшему пути

    Единственный момент - нам нужно учесть кривизну земли.
    У Unifi есть такая клевая утилита https://link.ui.com
    с помощью нее вычисляем высоту на которой нужно установить радиопередающие устройства:
    5f3e76e7610c4801338493.png

    Оказывается чтобы снизить пинг на треть достаточно построить в Москве и Хельсинки радиовышки высотой в 15500 метров. Впрочем, на первое время, можно обойтись аэростатами.

    И кстати, это будет не кратчайшее расстояние.
    Для кратчайшего нам нужно прорыть абсолютно прямой тоннель прям через толщу планеты.
    Но боюсь на данном этапе развития науки и техники этот проект невозможен.
    Ответ написан
    10 комментариев
  • Парсер ACL Cisco, как правильно?

    @iddqda
    network engineer, netdevops
    не знаю как правильно
    А я для анализа ACL использую batfish
    ну и самописную тулзу обертку для удобства работы с ним
    в которой реализовал всего две необходимые мне функции
    1. проверяет пройдет ли пакет с заданными 5tuple (src ip, src port, dst ip, dst port, proto) через сеть или нет и благодаря какому правилу
    2. ищет ACE которые никогда не сработают

    батфиш умеет это делать сам. Достаточно скормить ему конфиги устройств и вызвать нужные функции
    И только что проверил. ObjectGroups он понимает

    вот пример:
    5f3e3623d47eb773658735.png
    Ответ написан
    4 комментария
  • Как решить сетевую проблему приложение из Docker контейнера не видит БД в другом контейнере?

    @iddqda
    network engineer, netdevops
    тут нужно понимать, что вот это 0.0.0.0:5000->5000/tcp - к самому контейнеру не относится
    это настройка порфорвардинга в сетевом драйвере самого докера
    И она нужна для того чтоб к контейнеру обратиться снаружи и не имеет отношения к связи контейнеров друг с другом.
    Возможно в вашем случае порт postgres выставлять вообще не стоит из соображений безопасности

    между собой контейнеры (внутри одного хоста) обращаются без выхода наружу по своим внутренним адресам
    postgres: "IPAddress": "172.17.0.3"
    flask: "IPAddress": "172.17.0.4"


    адреса контейнерам назначает докер, поэтому именно адреса использовать не стоит, а лучше использовать имена. докер для этого предоставляет параметр --link
    он нужен чтобы докер сделал запись (IP адрес -> имя_контейнера_с_которым_нужна_связь) в /etс/hosts контейнера

    так же необходимо передать имя_контейнера_с_которым_нужна_связь внутрь приложения
    потому что, понятно, что localhost ни разу не годится. он у каждого контейнера свой и не совпадает с localhost хоста
    для этого можо использовать переменные окружения и соответственно параметр -e
    ну и внутри приложения вот примерно такой строкой делаем приложение docker-ready
    PG_HOSTNAME = environ.get("PG_HOSTNAME") if environ.get("PG_HOSTNAME") else "localhost"


    контейнеры в итоге запускать примерно так:
    docker run -d --name postgress postgress
    docker run -d --name flask --link postgress -e PG_HOSTNAME=postgress flask


    disclaimer: я за докером давно не слежу. сейчас заметил, что параметр --link отмечен как legacy. Так что, возможно, я предлагаю немодное решение, но оно до сих пор работает
    Ответ написан
    Комментировать