Максим Гришин

Похоже заббикс такого не умеет, для графаны есть вот такой вопрос на SO: https://stackoverflow.com/questions/77682714/last-... возможно его решение вам подойдет.

Никак. Это открытая дверь на атаку на понижение (описание есть скажем тут https://www.ssldragon.com/ru/blog/what-is-downgrad... ), причем сразу наглухо. Плюс, найдите сейчас браузер, который не умеет в HTTPS. Разве что вы пилите какое-то легаси а-ля windows 95 update, под четвертый ИЕ, но здесь проще - не настраивайте HTTPS вообще, так как ваши клиенты это как раз те, кто HTTPS не умеет.

Frame challenge: а нафига они нужны? Надо L3 - бери роутер, не надо L3 - бери L2-свитч, строй на нем вланы, подключай роутер извне если надо, и на роутере управляй доступом, а свитч останется пакеты гонять, без лишнего функционала. ИМХО L3-свитч это "недо-роутер", зато с кучей портов, и нужен тем, кто не может поднять виртуалку хоть с routerOS хоть с линуксом, и делегировать роутинг на неё.

Прокси работает на седьмом уровне модели OSI, если ваше приложение не умеет работать с прокси в своём протоколе обмена данными, вы его трафик в socks-прокси не завернёте в принципе. VPN работает фактически на втором, что позволяет завернуть в него ЛЮБОЙ трафик поверх протокола IP, поэтому в него можно завернуть что угодно. То есть, ответ "никак", ибо "в Linux" трафик это IP и всё что выше, а IP в сокс-прокси не заворачивается.

Похоже, баг в прошивке роутера, DHCP-сервер которого по умолчанию или в остатке от конфига использует стартовые значения 192.168.0.100-199, и веб-морды, которая не дала применить полный пул /8 на сервер DHCP по причине кривой валидации формы.

( ip: 10.49.210.200, маска: 255.0.0.0)
маска означает, что за этим интерфейсом ВСЯ сеть 10.0.0.0, в то время как у вас на другом интерфейсе 10.х.х.х адрес. Укорачивайте маску (маски) так, чтобы сети не пересекались. Половина проблем уйдет, вторую уже разруливайте с мануалом наперевес и чтением таблиц маршрутизации, что куда заворачивается.

Создайте группу, запихните туда всех из отдела и выдайте права на группу. К сожалению, добавить по OU в динамическую группу не выйдет, максимум по атрибутам типа department и подобного, если у вас в AD они заданы для всех, можно построить динамическую группу вместо обычной. А вот подключить сам диск можно через групповую политику, создаете и вешаете на OU, все получают подключенный сетевой диск.

1. Настройте роутер, чтобы выпускал только прокси-сервер
2. Настройте прокси-сервер, чтобы запрашивал авторизацию пользователя, лучше всего по Kerberos
2.а. Домен у вас есть - настройте в нем группы, кому можно ходить в интернет
3. Настройте правила на прокси-сервере, чтобы он разрешал исходящий трафик только пользователям из конкретных групп.

И потом это поддерживайте в актуальном состоянии. Ну и не забывайте о вариантах вроде USB-WIFI плюс смарт с раздачей интернета.

https://discourse.haproxy.org/t/shared-frontends-h...
я так понимаю, что перед фронтом, который занимается терминированием SSL, ставится ещё один фронтэнд в режиме tcp, который занимается роутингом по бэкам с использованием списков по совпадению TLS SNI. В нем ставишь ACL на тот сервер, который требует HTTPS, ACL под его SNI и бэк по условию, а остальной трафик проваливаешь на второй фронт самого себя (то есть трафик отправляется по loopback на соседний порт, где висит тот же самый haproxy, но трафик уже остается тот, где нужно терминировать SSL). На нем терминируешь SSL и раскидываешь трафик по бэкам.

То есть схема такая: Интернет -> TCP frontend -> ACL фильтр по SNI, если фильтр не пройден, то default backend localhost:port2, на нем уже HTTP frontend -> SSL termination -> backend по имени. Если фильтр пройден, то простой редирект на SSL backend:443.

iptables -A FORWARD -p icmp -j ACCEPT, не?

nslookup -type=ns domain.com

dig +trace domain.com

Провайдеры чаще всего не используют собственных DNS-серверов с данными, а имеют настроенный кэширующий прокси с черным списком для роскомпозора и интерфейсом к системе биллинга, скажем, чтобы отдавать условно айпи 10.1.1.1 всем, у кого нет денег на счету. Данные о доменах обычно (не факт, но для клиента DNS-хостинга выглядит как истина) хранятся на серверах регистратора доменов, и сервер, который хранит записи для конкретного домена, это лучшее, что можно достать по поводу провайдера или целевой организации.

Никак.

Вы не имеете критериев уточнения поиска, не имеете критериев проверки найденного, так что математически вам помочь нечем.

1. Лучше всего выставить DHCP-сервер в подсеть к пользователям, вместо использования ip address-helper. Уже потом пользователи (если ПК с виндами, или если настроена DNS-регистрация) пойдут на DC за регистрацией своего IP-адреса и всем остальным от домена. Если у вас DHCP на роутере, то да, в каждый vlan нужно назначить один пул адресов вместе с остальными конфигами (gateway, DNS, что ещё требуется в сети). Хотя в серверной подсети держать DHCP малость некорректно в самом деле, но можно его там иметь на случай если кто-то левый подключится по DHCP, а сервер хоп и алерт пошлет, вида "у вас завелся враг!!11!". Ну или если конфиг на адаптере слетит, можно будет добраться до сервера и починить.
2. Нет, если vlan10 там ни одному устройству не требуется на уровне L2, а по схеме там ни одного устройства с vlan10 нет. Но добавить в транк - можно, "хуже не будет", свитчи знают, на каком порту у них какие устройства, и трафик по vlan10 в сторону свитча полетит только тогда, когда будет куда его отправлять.
3. То же самое
4. Работать будет, а понятие "правильно" тут не особо применимо. Вам понадобится разрешить на роутере доступ к принт-серверу из vlan пользователей и серверов (если в серверах есть RDP, с которых нужна печать), плюс со станции управления.
5. А так и пишете, iptables -A FORWARD -s 172.16.16.0/23 -d 172.16.30.1 -j ACCEPT (опционально фильтровать дополнительно порты, нужен 445 для SMB и могут понадобиться динамические порты, давно уже нет у меня принт-сервера). Все равно меж-влановым доступом управляет роутер на уровне L3/L4.

https://developer.android.com/training/monitoring-...
Если я правильно прочел, это не просит рута.

Создайте таблицу с флагом AUTO_INCREMENT в колонке id. Ваша форма об id не знает и не должна, поэтому и передает 4 значения в INSERT, а из-за необходимости указать полный список VALUES в вызове вам пришлось рисовать 5 вопросов вместо 4. На это указывает ошибка.
PS: точный синтаксис автоинкремента для sqlite смотрите сами.