KV
красота
Size: a a a
2021 November 10
KH
Вообще в теории можно включить оверлап, или поднять 5 vdom :) и натить
АК
Я не понимаю в чем проблема, вам нужен VIP, создавайте, там будет другой IP и другой MAC
KH
Вчера я так и делал, трафик не шол....
Правда, зная эр телеком там могло быть все что унодно
Правда, зная эр телеком там могло быть все что унодно
IM
только , похоже, придется до 4.0.1 обновиться (скрин из release notes)
да и уязвимости неплохо закрыть
https://www.fortiguard.com/psirt/FG-IR-20-178
https://www.fortiguard.com/psirt/FG-IR-20-234
да и уязвимости неплохо закрыть
https://www.fortiguard.com/psirt/FG-IR-20-178
https://www.fortiguard.com/psirt/FG-IR-20-234
АК
Так это уже другая история. В этом случае у вас два IP два MAC на интерфейсе
KH
Я это понимаю, да. Ладно завтра, все завтра
VK
Могу предположить, что причина в том, что SP терминируют абонентов на брасах. Там автоматически создаётся абонентский интерфейс и к нему применяется динамический профиль. В этом профиле может применяться к интерфейсу rpf-check-filter для исключения спуфинга. Но это предположение, как там у них реализовано неизвестно.
VK
Просто по описанной ситуации очень похоже на работу spf-check-filter. То есть трафик со стороны провайдерского интерфейса проверяется на соответствие mac-ip.
VK
Если это так, то нужно каким-то образом пробиться через первую линию саппорта и достучаться до инженеров, которые действительно понимают как у них сеть работает. Но возможно ли пробиться сильно зависит от адекватности провайдера и желания идти навстречу клиенту. Хотя обычно с юриками охотнее навстречу идут.
KH
Вот кстати, спасибо, реально похоже.
АК
Это все нормально делается и в рамках одного интерфейса может быть много IP и MAC.
VK
Конечно может. Я же говорю о том, что применяется общий абонентский профиль. Чтобы изменить настройки под конкретные хотелки конкретного абонента нужно достучаться.
АК
Надо не пользоваться услугами рукожопов, которые считают, что как они придумали подходит всем и ничего не делают для того, чтобы это изменить
DS
все проще, таким образом однозначно идентифицируется сессия на bras
VK
Это да, но есть исключения же. Например если клиенту допустим сетка /28 выделяется. Сессия то все равно одна должна быть. Подходы в реализации разные применяются.
DS
в таком случае сессия привязывалась по другому пользователь = ip + interface (vlanX) и судя по тому что я вижу в своем городе, брасы у них такие же как были у нас во время работы в операторе связи, т.е. ~ juniper
VK
Juniper - отличные брасы. Но мы тут о другом же. Речь о том, что все можно сделать под клиента. В данном конкретном случае просто ( или не очень) надо добиться того, что нужно.
DS
это никому не нужно, к сожалению
2021 November 11
E
ребята привет, а подскажите как на фортигейте натить в лупбэк интерфейсы?)