Думал сделать route map, и пакеты в null направлять, а теперь задумался, проходят-ли пакеты внутри влана через интерфейс влана на котором роут мап будет?Пакеты (фреймы) могут скоммутироваться от источника до адресата уже на уровне access, где, я предполагаю, L3-интерфейсов для этого влана нет.
Вот я и подумал, авось знает кто что. Может есть неизвестный мне человек, что написал монументальный труд, являющийся чем-то всеобъемлющим.У меня создалось впечатление, что у вас отношение к математике, как к некоей "царице наук", что есть какая-то всеобъемлющая математическая теория и т.д. С моей (инженерной) точки зрения, к математике следует относиться как к дисциплине, предоставляющей некоторые модели. Как выразился один человек, все модели неверны, но некоторые из них в определенных условиях полезны. Вы же не видите в реальной жизни "прямые", "сферы" и "цилиндры", но эти сущности могут быть полезны при моделировании (предсказании поведения и т.д.) реальных объектов. Или пример из статистики - какая вам разница, 60% пациентов, получивших лекарство, выздоравливают, или 40%? Вам, если вы сами пациент, важно, подействует ли лекарство на вас.
Ибо математика сейчас сама себя раздирает.Не понял о чем вы, но если о "противоречиях" (геометрии Евклида, Римана, Лобачевского как пример), то, по-моему, "пусть цветут тысячи цветов". Каждая из "противоречащих" моделей имеет определенное приложение к реальной жизни и некие полезные результаты. Хотя могут пройти годы, прежде чем созданная модель (поля Галуа, геометрия Лобачевского) найдет применение.
Возникла необходимость запретить трафику ходить из vlan2 в vlan, но из vlan во vlan 2 доступ должен остаться прежним, т.е. полным.Необходимо понимать, что ACL в данном случае (Catalyst 3750) - это пакетный фильтр без отслеживания состояния. Соответственно, он может только разрешать/запрещать перенаправлять пакеты от одного интерфейса к другому. Если вы уверены, что именно это вам и нужно, и если маршрутизацией занимается 3750, то вам следует:
ip access-list extended deny_vlan2_to_vlanX
deny ip 10.0.2.0 0.0.0.255 10.0.1.0 0.0.0.255
permit ip any anyinterface vlanX
ip access-group deny_vlan2_to_vlanX outЗнаю, что это как-то запрещается и разрешается на уровне ACL, но никак не могу настроить, в основном трафик вообще пропадает.Необходимо понимать, что если "доступ" из влана X во влан 2 подразумевает какой-либо двусторонний протокол (т.е. практически любой), то "доступа" из влана X во влан 2 не будет.
ip access-list extended deny_vlan2_to_vlanX_variant2
permit tcp 10.0.2.0 0.0.0.255 10.0.1.0 0.0.0.255 established
deny ip 10.0.2.0 0.0.0.255 10.0.1.0 0.0.0.255
permit ip any anyПример: нужно фильтровать все сайты, которые содержат точку и расширение файла из списка.Я не знаю, что означает "сайты, которые содержат точку". Если вам нужно среди всех URL исключить те, которые указывают на файл с определенным расширением, то я бы на вашем месте воспользовался строковым методом endswith:
import timeit
setup_code="""
sites_list = ["http://google.com",
"http://www.yandex.com",
"http://rambler.com/ololo.jpg",
"http://ya.ru/a.bmp"]
format_files = ['jpg', 'bmp', 'jpeg']
"""
print timeit.timeit("x=list(filter(lambda url: not any('.' + format_file in url for format_file in format_files), sites_list))",setup=setup_code,number=100000)
print timeit.timeit("x=list(url for url in sites_list if not url.endswith(tuple(format_files)))",setup=setup_code,number=100000)1.01494306967
0.616600117219В результате сайт полег от атаки через пару часов.Вы уверены, что это именно целенаправленная атака? Исходя из каких данных вы делаете такой вывод? В моем опыте были пациенты, у которых сервер генерировал главную страничку при помощи SQL-запроса с множеством операторов join, с полным отсутствием кэширования, со специфической конфигурацией (nginx на windows). Сайт переставал работать при 30 одновременных клиентах. Естественно, внешние мероприятия по фильтрации трафика могли гарантировать работоспособность сервера только при условии его доступности узкому кругу веб-клиентов. Как правило, объяснить это таким людям было затруднительно.
Я вчера подключила couldflare, не знаю поможет ли это при уже идущей атакеМожет помочь. Но, насколько мне известно, можно узнать ip-адрес, на который cloudflare переадресовывает трафик, и соответственно направить атаку. Соответственно, нужны дополнительные меры защиты на вашем хостинге (запретить входящий трафик, кроме перенаправляемого с cloudflare)
Атака http - флуд. Есть ли какие-то еще способы защиты?Я как сетевик выскажу свое мнение (стоит учитывать проф. деформацию личности). Я полагаю, что говорить о дополнительных мерах защиты (аппаратные решения и прочая) имеет смысл только если входящий трафик на сервер составляет значительную долю (50-60%) пропускной способности интерфейса. Я полагаю, что сервер, в идеале, должен выдерживать line-rate объем трафика, то есть объем трафика, полностью утилизирующего пропускную способность сетевого интерфейса. И только исчерпав возможности оптимизации сервера, имеет смысл обращаться к внешним решениям. Незрелая оптимизация в данном случае, я полагаю, вредна. Однако, учитывая наличие сервисов вроде cloudflare, использовать их в ряде случаев (вроде вашего) полезно.
Слышала о каких-то фаерволах, плагинах для wordpress (сайт на нем стоитЕсли много запросов из нецелевых стран, что бывает при покупке вероятным злоумышленником дешевого ботнета, то можете попробовать фильтровать клиентов по странам, используя базы geoIP. Но будьте готовы к ошибкам определения. Также стоит задуматься о настройках кэширования.
Дорогой хостинг пока нет возможности купить...У вас используется shared-хостинг? Если да, то задумайтесь о покупке VPS, настроив кэширование при помощи cloudflare. Это даст вам гибкость настроек. Хотя в редких случаях shared-хостинг может быть более устойчив к некоторым атакам, нежели дешевый VPS.
Вообще главная задача у меня это такой мониторинг загрузки канала на web-сервере с разделением по доменам. Может будут советы по алгоритмам измерения?Я правильно понимаю, ваш веб-сервер обслуживает несколько доменных имен и вы хотите узнать статистику запросов по доменным именам? В таком случае, полагаю, как SNMP, так и netflow вам помогут вряд ли. Дело в том, что в общем случае, эти запросы отличаются заголовком "Host:" HTTP-сообщений. Я сомневаюсь, что SNMP-агент вашего маршрутизатора предоставит подобную информацию. В netflow эти параметры тоже не учитываются. Если я правильно понял вашу задачу, логичнее парсить access-логи. Полученные данные можно отправлять на collectd/graphite, например.
def foo(s):
try:
s_int=int(s)
return s_int
except ValueError:
try:
s_float=float(s)
return s_float
except ValueError:
print "Incorrect string!"
print foo('123')
print foo('123.5')
print foo('1e-10')
print foo('toster')Насколько жизнеспособна подобная схема?Вполне жизнеспособна, для "домашнего" использования (если смотреть со стороны клиента во влане 2, download+upload в сумме ограничен гигабитом, хотя, думаю, гораздо раньше, чем вы упретесь в это ограничение, истощатся ресурсы cubieboard).
Есть ли какие-то принципиальные проблемы?Принципиальных нет, только нюансы. В случае использование оборудования cisco, например, я бы заменил влан 1 на любой другой.
Тут получается, что веб-интерфейс коммутатора будет доступен и в подсети провайдера. Насколько это небезопасно?Если будет доступен - то это небезопасно, с возможными последствиями от подбора пароля и изменения настроек вашего коммутатора до потенциальных DoS-атак. В качестве защиты или измените настройки доступа к веб-интерфейсу (уже упомянутый management vlan, acl, и т.д.) или вообще отключите его, если есть возможность настройки коммутатора через консоль.
Ответте пожайлуста можно ли его перепаятьПочему нет? Правда, трудно издалека утверждать, что после перепайки у вас все гарантированно заработает.
и как называется эта деталь.
маленький прямоуголтничекЭто или резисторная сборка, или, что вероятнее, специальный развязывающий трансформатор. Но вообще говоря, без фото судить затруднительно.
Есть пользователь с закрепленным за ним id (например, 10 цифр). Надо получить уникальную строку из букв и цифр большей длинны (около 200). Надо что бы в любой момент эту строку можно было получить зная только id юзера, не прибегая к БД.
на точках интернет работает, sip через спутник работает, никаких проблем, я могу подключиться к серверам через ammyy admin, но! Не работает RDP, я не могу подключиться к админке роутера, то есть не работают ни пробросы, ни роутер не отвечает. Пинг в это время идет. Еще получалось подключиться телнетом, в самом начале, потом я не проверял. ССШ висит, висит, отваливается по таймауту. Winbox - mikrotik утилита для конфигурирования - может висеть очень-очень долго. RDP аналогично висит, устанавливает соединение. Проброс в админки ip-камер аналогично не отрабатывает, браузер очень быстро выдает что не удается отобразить страницу.Я предполагаю, проблема наблюдается в случае использования по крайней мере некоторых протоколов, работающих поверх TCP. Есть предположение, что провайдер, вероятно, каким-то образом дифференцирует TCP-трафик от UDP. Это может быть связано с использованием "ускорителей интернета" а-ля Transport Flow Optimization в Cisco WAAS.
в какую сторону копать?Убедиться в различном поведении TCP и UDP (я не уверен, какой именно протокол использует ammyy admin). Если возможно, завернуть часть "проблемного" трафика в VPN-over-UDP. Пронаблюдать ситуацию. Изучить поведение TCP между интересующими вас точками. Вы говорите, есть доступ через ammyy admin до серверов. На вашем месте я бы поднял на одном из серверов tcp-сервис (настроив соответствующим образом NAT ("проброс портов")), периодически обращался к нему с клиента, сохраняя дампы трафика на обоих концах. В моем представлении, это можно автоматизировать. Если гипотеза подтвердится, и обнаружится разница в дампах, с этими данными можно задать представителям провайдера предметный вопрос.
SEPARATORS=",.;?! "
def toster_word_split(s):
result=[]
current_word=''
for char in s:
if char in SEPARATORS:
if current_word: result.append(current_word)
current_word=''
else:
current_word+=char
return result
print toster_word_split("Lorem,ipsum;bingo.Bongo? King of Kongo.")Насколько опасно это для ноута?Трудно сказать, но вообще говоря ситуация, как я понимаю, нештатная.
есть идеи?Основная идея - узнать, чем отличаются эти три проблемных компьютера от остальных. Практические приложения этой идеи таковы:
Наша компания участвует в одном тендере и там указано что обязательным условием является Win7, типа у них есть ПО которое работает только под ним.Мое видение таково - кому-то очень надо, чтобы тендер выиграл определенный поставщик. Причины могут быть разные - от освоения бюджетов уважаемыми людьми до нежелания менять существующего поставщика.