Új hozzászólás Aktív témák

• #7035 crok nagyúr bambano #7033

  Új Válasz 2017-03-01 20:30:48 #7035

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  crok

  nagyúr

  válasz bambano #7033 üzenetére

  Nem, mert azt írja hogy az ADSL fix IP-re csatlakozik valami VPN-el. A NAT nem is játszik. A forráscím pedig a leírás szerint csak az ADSL fix IP lehet, mert arra jött be - itt természetesen csak feltételezem hogy a router a VPN-t termináló eszköz és ténylegesen az ADSL fix IP-t használja a session felépítésére és fenntartására mert az is egy processz és ha változna a kimenő interface és azáltal a forrás cím akkor az már más SPI lenne, más session és természetesen leszakadna (pontosabban nem menne az eredeti session) de itt erről nincs szó, csak arról hogy ha a timeout-ot megemeli akkor jön a pingre válasz - szvsz mert a webstick-en megy a válasz de az ADSL-en jön a kérés.. tökmindegy hogy most az VPN. Alapvetően igaz, hogy a legtöbb router a kimenő interface IP-jét használja mint source ha pl. NAT-ol (természetesen) de a VPN innentől kezdve más más káposzta, ott valahogy session-t kell csinálni, új SSTP session kell csinálni.. ott nincs lehetőség hogy megváltozik a source IP csak úgy pacsira, azt nem engedheti meg a processz csak tervezetten (failover situation) - de, mint írtam a ping megy ha a timeout nagyobb. Egy tracepath esetleg segíthet ping helyett de én inkább annak a routernek a routing tábláját nézném meg, de alaposan.

  "mindig azzal a source-szal megy ki, ami az adott interfészé, mert annak a csomagnak a vpn a forrása, ezért azt az ip címet kapja, amelyiken kimegy" - nem. Ez igaz ha a routeren átmenő forgalomról beszélsz, de itt ha az SSTP-t a router terminálja akkor az már nem átmenő hanem feldolgozott forgalom. (Lentebb leírom miért lesz más a source).

  "ettől független, hogy a vpnbe, mint adatkapcsolatba, egy belső hálózati ip csomag van belecsomagolva" - ha a VPN-ben megy akkor az a forrás ami a session-ben be van állítva. Ha más az exit interface akkor más, az SSTP session attól még SSTP session, TCP, van neki forrása, célja, ami nem változik meg attól hogy más interface-en megy ki a csomag. Ennek megakadályozására jó az ISP oldalon az uRPF (mert ez így spoof-olt csomagforgalom amúgy).

  Egyébként meg Wireshark a megfelelő helyen megmondja ki merre van arccal ( :
  Meg egy ábra jól jönne ha nagyon bele akarunk menni, ajánlom a draw.io-t ha nem használtátok még esetleg, bal oldalon More shapes és Cisco majd szép routereket/switcheket/bármit be lehet tenni. Gyors és ingyé' van (és nem mellesleg 100% használhatóbb mint az M$ Visio valaha lesz IMHO).

Új hozzászólás Aktív témák