вот там написал чуть выше как пофиксить. если надо могу кусок кода кинуть.

У меня кейс другой. Мне нужно из inet.0 direct ликать в VRF. Пока решил костылем через static в next-table открыли кейс в JTAC.

дак from protocol direct from route-filter ... или даже from interface irb.111

Не работает. В том и проблема что полиси игнорится..

может она после запрещающей?

Нет. Там все ок..

у нас с тобой софт одинаковый как я понял, у меня это работает.... правда и с RIB группами работает тоже. и через community

Не в софте дело.. Пробовали на разных софтах - оно везде вылазит на QFX10k

какая у тебя модель?

36Q. Но как я уже говорил, дело не в конкретной модели. На vQFX проблема тоже воспроизводится..

у меня чутка пожирнее 72Q но не важно вряд ли в этом дело. т.е. не важно как leaking просходит rib группами или evpn, у тебя полиси не цепляет connected адрес?

ликаются все direct из inet.0 в VRF, не важно что в полиси разрешено. Кроме того, если удалить interface-routes stanza, ликинг все равно продолжает работать пока не удалить rib-group.

Заметка длиной полтора года не для слабых духом, а для интересующихся BPF. Камрады из facebook рассказывают, как смогли организовать нулевые потери при рестарте L7 проксей, а заодно добились 100% консистентной маршрутизации пакетов от L4LB(Katran) -> L7.
Начиналось всё вот здесь: https://research.fb.com/publications/zero-downtime-release-disruption-free-load-balancing-of-a-multi-billion-user-website/
А пришло вот к этому: https://linuxplumbersconf.org/event/11/contributions/950/attachments/889/1704/lpc_from_xdp_to_socket_fb.pdf
Сам доклад можно найти на канале водопроводчиков, куда выложили записи стримов прошедшей Linux Plumbers Conference: https://www.youtube.com/watch?v=igJLKyP1lFk

Нужно платить сразу двум испам за 2 дорогостоящих канала и самому настраивать резервирование. Или просто реализовать sd-wan поверх интернета.

Просто реализовать sd-wan? И сколько стоит это ваше "просто"?
А настроить резервирование между двумя каналами может любой эникей с микротиком умеющий в гугл.
П. С. Не обязательно платить двум ISP за два канала. Можно купить у одного защищённый канал, будет дешевле. Это на будущее.

А что такое «защищённый канал»? Не слышал раньше

Военные строят такие. Ну и эникеи на микротиках.

Ethernet Cat9  может

Например, когда ваш CE подключается к разным PE вашего ISP и дальше vpls идут разными путями до другой ваши точки.

Ну тут sdwan + пара интернет каналов точно дешевле выйдет