The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

VPN WireGuard принят в основной состав OpenBSD, opennews (?), 22-Июн-20, (0) [смотреть все] +1

Сообщения [Сортировка по времени | RSS]


22. "VPN WireGuard принят в основной состав OpenBSD"  –2 +/
Сообщение от Аноним (22), 22-Июн-20, 07:27 
Пока не будет по удобству на уровне openvpn в помойку это. Может точка точка и хорошо но когда куча клиентов wg это просто ад.
Ответить | Правка | Наверх | Cообщить модератору

28. "VPN WireGuard принят в основной состав OpenBSD"  +2 +/
Сообщение от Аноним (30), 22-Июн-20, 08:25 
И не будет пока ты свои хотелки не напишешь сам.
Ответить | Правка | Наверх | Cообщить модератору

31. "VPN WireGuard принят в основной состав OpenBSD"  +6 +/
Сообщение от Аноним (31), 22-Июн-20, 08:39 
Лучше пусть в опенвпн остается, не надо из вайргада такое же энтерпрайз-монстрило с кучей баззвордов делать.
Ответить | Правка | Наверх | Cообщить модератору

29. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (31), 22-Июн-20, 08:38 
Спасибо, удобство openvpn'а все ощутили на своем окороке. Начиная с безопасных настроек SSL, на которых все отродясь налетают и заканчивая традиционными вулнами в libssl раз в месяц.
Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

32. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (30), 22-Июн-20, 08:39 
Ты не понимаешь "это другое"!
Ответить | Правка | Наверх | Cообщить модератору

36. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (36), 22-Июн-20, 09:14 
Это - вымахало в голимую энтерпрайзятину с баззвордами. Впрочем оно с самого начала этим и пыталось быть.
Ответить | Правка | Наверх | Cообщить модератору

33. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от llolik (ok), 22-Июн-20, 08:47 
> Может точка точка и хорошо но когда куча клиентов wg это просто ад

Он же и делался для задачи точка-точка. То, что его пытаются натягивать туда, для чего его изначально и не пытались проектировать, а потом героически страдают - это проблема WG?

Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

34. "VPN WireGuard принят в основной состав OpenBSD"  –3 +/
Сообщение от Аноним (34), 22-Июн-20, 09:09 
Ну ладно OpenBSD так хз что было ... а в linux то он зачем ? ipsec лет 20 уже в ядре и по скорости не хуже wg, да и всякие net-net там без проблем.
Ответить | Правка | Наверх | Cообщить модератору

38. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 09:19 
> а в linux то он зачем

для васянов с локалхостами же ж.

Разобраться в линуксных (кстати, сколько их - три, больше?) нагромождениях ike-демонов и правильно все это настроить - не для среднего васяна задачка - и демоны убогие, и ненадежно это все, и настраивать непросто.

> ipsec лет 20 уже в ядре

то что в ядре - это шифрование на (статических!) ключах, увы, не шибко-то надежно и не шибко удобно (еще неудобнее чем вайргад)

А снаружи - чудища обла, озорны, стодыры и лают. Для поднять себе туннельчик в другой локалхост где-нибудь подальше от роспозора и ответственности за лайки - абсолютный оверкилл с повышенными требованиями к провайдеру.

Ответить | Правка | Наверх | Cообщить модератору

40. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (36), 22-Июн-20, 09:22 
Знаешь, пох, виндовые админы когда это видят - тоже в ступор выпадают. Нет, там в теории даже гуй есть, но толку от него при таком устройстве протоколов... :)
Ответить | Правка | Наверх | Cообщить модератору

46. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 09:41 
> Знаешь, пох, виндовые админы когда это видят - тоже в ступор выпадают.

значит это не админы, а недоучки-васяны.

Я когда всякие энтерпрайзные штуки в ней вижу - тоже в ступор выпадаю и иногда трусливо бегу за помощью к настоящим админам. Но ipsec себе настроить таки могу без особых затруднений. Конфиги racoon вызывают куда большую тошноту, а уж отладка - вообще п-ц какой-то.

У цисок вон никаких проблем ни с конфигом, ни с отладкой - при том что протокол устроен точно так же. (главное, вовремя догадаться, что в некоторых psk не может быть длиннее то ли 8, то ли 12 символов ;-) И работает потом кое-где по пятнадцать лет без присмотра.


Ответить | Правка | Наверх | Cообщить модератору

51. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (58), 22-Июн-20, 10:11 
А чего такого особенного в цисках? Cisco VPN - это обычные IPsec и XAuth. И на макоси, внезапно, клиент реализован через тот же самый racoon, которого 99.9% юзеров никогда и не увидят.
Ответить | Правка | Наверх | Cообщить модератору

105. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 15:03 
> А чего такого особенного в цисках?

что конфигурация для site2site vpn - хорошо если десяток вполне понятных строчек в конфиге.
И работает обычно с первой попытки.

> и XAuth. И на макоси, внезапно, клиент реализован через тот же
> самый racoon, которого 99.9% юзеров никогда и не увидят.

что-то помнится на ипхоне клиент рисовал знакомый такой логотипчик. На макоси не помню.

Ответить | Правка | Наверх | Cообщить модератору

59. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 10:30 
> значит это не админы, а недоучки-васяны.

Найти виндовых админов круче - большая проблема. Умных людей искуственные проприетаропроблемы довольно быстро заколебывают и они понимают что есть гораздо более приятные ОС.

> ipsec себе настроить таки могу без особых затруднений. Конфиги racoon вызывают
> куда большую тошноту, а уж отладка - вообще п-ц какой-то.

Как по мне - я не горю желанием настраивать не то ни другое.

> что в некоторых psk не может быть длиннее то ли 8,
> то ли 12 символов ;-) И работает потом кое-где по пятнадцать лет без присмотра.

Угу, а за сколько лет 8-символьный PSK извините брутом подбирается? :)

Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

71. "VPN WireGuard принят в основной состав OpenBSD"  –1 +/
Сообщение от iPony129412 (?), 22-Июн-20, 11:28 
> Умных людей искуственные проприетаропроблемы довольно быстро заколебывают и они понимают что есть гораздо более приятные ОС

Так не в том, что чего-то проприетарное или нет. А как сделано.
Пользуюсь линуксами с их аудио и видео системой более десяти лет вот только могу завидовать тому, что есть в проприетарных ОС.

А как-то раз попробовал Windows настроить в качестве шлюза для раздачи интернета в локалку, так такое получилось что сразу побежал за роутером в магазин. Ничего искуственного нет, просто плювали с колокольни на такой юзкейс.

Ответить | Правка | Наверх | Cообщить модератору

80. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от Аноним (80), 22-Июн-20, 13:12 
Кто ж тебя насильно-то заставляет линуксами пользоваться? Пользуйся уж проприетарными. Но и на форумы тогда ходи про проприетарные ОС, ага.
Ответить | Правка | Наверх | Cообщить модератору

82. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от iPony129412 (?), 22-Июн-20, 13:20 
> Кто ж тебя насильно-то заставляет линуксами пользоваться? Пользуйся уж проприетарными.

таких к сожалению нет

Ответить | Правка | Наверх | Cообщить модератору

85. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от пох. (?), 22-Июн-20, 13:41 
> А как-то раз попробовал Windows настроить в качестве шлюза для раздачи интернета
> в локалку, так такое получилось что сразу побежал за роутером в
> магазин. Ничего искуственного нет, просто плювали с колокольни на такой юзкейс.

что ты там такое сделал уникальное? Я тыщи мелких лавочек видел с "share this connection" - и ни одна от этого не помирала.


Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

111. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 15:39 
> Так не в том, что чего-то проприетарное или нет. А как сделано.
> Пользуюсь линуксами с их аудио и видео системой более десяти лет вот
> только могу завидовать тому, что есть в проприетарных ОС.

А я вот не могу - потому что в проприетарной ОС я наелся приколов дров звуковух, висяков через месяц аптайма дров видео и прочих прелестей, когда после реинсталла ОС вообще случается термоядерный апокалипсис и половина железа недееспособно пока 2 дня не попрыгаешь.

А на серваке винда это вообще полная задница. Там бывает вплоть до того что придется сервиспак к драйверам подбирать, ровно тот который к работоспособной версии дров катит.

> А как-то раз попробовал Windows настроить в качестве шлюза для раздачи интернета
> в локалку, так такое получилось что сразу побежал за роутером в
> магазин. Ничего искуственного нет, просто плювали с колокольни на такой юзкейс.

Там это вообще ацкий трэш. А в лине сие делается копипастой пары строк из поискаря, есчо.

Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

121. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от iPony129412 (?), 22-Июн-20, 17:11 
> А я вот не могу - потому что в проприетарной ОС я наелся приколов дров звуковух, висяков через месяц аптайма дров видео и прочих прелестей, когда после реинсталла ОС вообще случается термоядерный апокалипсис и половина железа недееспособно пока 2 дня не попрыгаешь.

ну ты альтернативной ориентации... бывает.

Ответить | Правка | Наверх | Cообщить модератору

184. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 20:57 
> ну ты альтернативной ориентации... бывает.

Альтернативной относительно тебя с твоим яблофапом? Пожалуй! Я не люблю, когда ВНЕЗАПНО сзади всякие подозрительные господа пытаются меня натянуть и всячески обламываю такие инициативы :P

Ответить | Правка | Наверх | Cообщить модератору

130. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 18:53 
> Там это вообще ацкий трэш. А в лине сие делается копипастой пары  строк из поискаря, есчо.

Очень, очень интересно в 100500-ый раз читать очередные откровения 294^W пингвиноида - заходя в новость об опенке прям аж предвкушаю, как буду читать мудрые высказывания перепончатых или их споры "винда или все же линь", млин.
(это сарказм, если что)

Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

194. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 22:30 
Ну ты конечно покажешь как с командлайна нарулить сие в винде?  :)
Ответить | Правка | Наверх | Cообщить модератору

196. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от анонн (ok), 24-Июн-20, 01:10 
>>> VPN WireGuard принят в основной состав OpenBSD
>> заходя в новость об опенке прям аж предвкушаю, как буду читать мудрые высказывания перепончатых или их споры "винда или все же линь"
>> (это сарказм, если что)
> Ну ты конечно покажешь как с командлайна нарулить сие в винде? :)

Кто о чем, а пингвинятники о наболевшем^W венде.

Ответить | Правка | Наверх | Cообщить модератору

197. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 03:08 
> Кто о чем, а пингвинятники о наболевшем^W венде.

Ну так я стал пингвинятником когда меня заколебла винда и я заметил что в пингвине дофига всего делается проще и быстрее. Ах, как приятно обнаружить что ты столько времени страдал геморроем на ровном месте...

Ответить | Правка | Наверх | Cообщить модератору

207. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonymoustus (ok), 24-Июн-20, 06:35 
>> Кто о чем, а пингвинятники о наболевшем^W венде.
> Ну так я стал пингвинятником когда меня заколебла винда и я заметил
> что в пингвине дофига всего делается проще и быстрее. Ах, как
> приятно обнаружить что ты столько времени страдал геморроем на ровном месте...

У тебя нет никаких задач, кроме горсточки микроконтроллеров, и тебе не надо никакого софта, кроме той кучки мусора, которая есть в линухе. А мир намного шире.

Ответить | Правка | К родителю #197 | Наверх | Cообщить модератору

225. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 14:34 
> У тебя нет никаких задач, кроме горсточки микроконтроллеров,

А также в кадах порисовать, попрогать, иногда фоточки в darktable порихтовать, звук в audacity подрихтовать, вон тот линух одноплатнику пересобрать, вон тот прайс в xls проштудировать, ...

> и тебе не надо никакого софта, кроме той кучки мусора, которая есть в линухе. А
> мир намного шире.

Мне кажется что я под линухом гоняю гораздо больше продвинутых активностей чем 99.9% маздайцев. И да, открыть плоский DXF я могу и без тыринга дорогущего када, который для начала осваивать заманаешься, в отличие от :)

Ответить | Правка | К родителю #207 | Наверх | Cообщить модератору

235. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 15:44 
>  И да, открыть плоский DXF я могу и без тыринга дорогущего када, который для начала осваивать заманаешься, в отличие от :)

Уже все поняли что у тебя только друг медведь, что за баню ходит. И результатами ты ни с кем не обмениваешься. Как и не читаешь снипы с санпинами. Потом в доме таких рисователей в свободных кадах ступеньки по 20 см высотой. На второй этаж они не ходят - сложновато. Экономят на обогреве. А по истечению нескольких лет имеют проблемы с нынешними стройматериалами. Точка то росы от их использования свободного софта никуда не делась. Ну и прочие веселухи когда итшничек начинает лезть в другие области где он не в зуб ногой, но мнение имеет.

Ответить | Правка | К родителю #225 | Наверх | Cообщить модератору

216. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от анонн. (?), 24-Июн-20, 12:20 
>> Кто о чем, а пингвинятники о наболевшем^W венде.
> Ну так я стал пингвинятником когда меня заколебла винда и я заметил что в пингвине дофига всего делается проще и быстрее.

Повторю: очень, очень интересно (на самом деле: нет) читать о сложностях взаимоотношений и любовной ненависти пингвинятников с вендой, именно в новости об OpenBSD!
Соcедняя новость о дефендере для Linux для этого не подходит - там все свои, там не интересно?


Ответить | Правка | К родителю #197 | Наверх | Cообщить модератору

206. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonymoustus (ok), 24-Июн-20, 06:32 
> Кто о чем, а пингвинятники о наболевшем^W венде.

Либо о BSD. :-)

Ответить | Правка | Наверх | Cообщить модератору

217. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от анонн. (?), 24-Июн-20, 12:25 
>> Кто о чем, а пингвинятники о наболевшем^W венде.
> Либо о BSD. :-)

Ну да, с это стороны новости о БСД для них просто идеальны - можно совмещать 2 в одном :)

Ответить | Правка | К родителю #206 | Наверх | Cообщить модератору

211. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 10:37 
В ответ предложу показать как с командлайна линуха получить всё то что делается цмдлетами Get-CimInstance, convertto*, convertfrom*, все цмдлеты для AD.
Ах да, совсем забыл. Ты в своём линушочке такое можешь парой строк сделать. А на всех линухах за последние десяток лет твои пара строк сработают? Со всеми системами инициализации и сервисами в разных дистрах что плодились как тараканы на помойке. А шаринги самбовые тоже просто так отрулишь в командной строчке? А там полная идентичность команд с 7 версии до последней.

ЗЫ. суметь нануглить пару строчек для линуха и не суметь пару команд для винды, с дооплнительным цмдлетом, это особый талант нужен.

Ответить | Правка | К родителю #194 | Наверх | Cообщить модератору

226. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 14:35 
> делается цмдлетами Get-CimInstance, convertto*, convertfrom*, все цмдлеты для AD.

Ггг, кто о чем а маздайцы про АД :)

Ответить | Правка | Наверх | Cообщить модератору

230. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 15:13 
То есть ты подтверждаешь невозможность выполнить работу и как следствие свою профнепригодность?
Ответить | Правка | К родителю #226 | Наверх | Cообщить модератору

84. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 13:39 
> Найти виндовых админов круче - большая проблема.

просто не ищи в пингвиньем гуано и около - не будет никакой проблемы.
У нас нет свободных вакансий виндоадмина - хотя их пятеро (разной степени озадаченности начальственными обязанностями, но все админят винду). А нормального девопа найти - невозможно. Блжад. При том что требования к квалификации админов энтер-прайса с тысячами рабов и сотнями серверов и сервисов - несколько повыше будут чем к девляпсу толком даже не вышедшего в продакшн проекта.

> понимают что есть гораздо более приятные ОС.

где можно ничего не уметь и вешать лапшу начальству на уши что "оно так работает" - в винде-то оно не поверит.
А попросил убрать постгрез с виртуального диска не влезающего уже в наш вмварьский стор - причем по заявам там эктив-эктив и отказоустойчивый cross-dc кластер - с АПРЕЛЯ не могут осилить. "А мы не умеем!"

> Угу, а за сколько лет 8-символьный PSK извините брутом подбирается? :)

а хз - ни одного пока не подобрали. Учитывая что psk используется-то обычно для site2site с фиксированными по обоим концам адресами - не так чтоб и просто было несколько лет развлекаться и чтоб не спалили.

Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

113. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 15:45 
> просто не ищи в пингвиньем гуано и около - не будет никакой проблемы.

Пардон, я лично видел какие рожи в виндовых энтерпрайзах, так что вот не надо тут очки втирать.

> У нас нет свободных вакансий виндоадмина - хотя их пятеро (разной степени
> озадаченности начальственными обязанностями, но все админят винду).

В этом блабла вообще не фигурирует оценка их интеллекта. И если это про ростелеком - то я со своей стороны считаю эту контору достаточно парашной, я куда более приличные видел.

> А нормального девопа найти - невозможно. Блжад.

Нормальным нехрен делать в ростелекоме. На них видите ли спрос в более приятных компаниях, с неплохим дофигом бабла - и они могут позволить себе привилегию не работать в таком климате.

> кластер - с АПРЕЛЯ не могут осилить. "А мы не умеем!"

Лол :D

> а хз - ни одного пока не подобрали. Учитывая что psk используется-то
> обычно для site2site с фиксированными по обоим концам адресами - не
> так чтоб и просто было несколько лет развлекаться и чтоб не спалили.

Ну просто 8-символьный пароль по современным меркам обычно живет до первого GPU-крякера.

Ответить | Правка | Наверх | Cообщить модератору

127. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 18:15 
> Пардон, я лично видел какие рожи в виндовых энтерпрайзах

ну видимо в заляпанных гуано валенках только в такие энтерпрайзы и пускают.
Попробуй переодеться хотя бы в ботинки.

> В этом блабла вообще не фигурирует оценка их интеллекта.

ну да, конечно, зачем им интеллект - все ж само работает, сразу после нажатия кнопки "сделать 36сь"

> И если это про ростелеком

это ни разу не ростелеком.
(в котором мильен с тыщами подразделений и поглоченных "дочек" - и где-то вполне себе ничего так попадаются админы, обычно там где от их работы таки что-то зависит)

> Нормальным нехрен делать в ростелекоме. На них видите ли спрос в более приятных компаниях,
> с неплохим дофигом бабла

понятно - то есть если у тебя нет дофига бабла за зажравшуюся обезьянку - нехрен лезть. Я примерно так и говорю в соответствующих случаях.

А виндовые админы не то чтоб прямо дешевы (те что на самом деле не next-next-next умеют да и тот с sysadmins.su скопипастили), но ни разу не миллионеры.

> Ну просто 8-символьный пароль по современным меркам обычно живет до первого GPU-крякера.

это PSK. _shared_secret_. Все слова понятны? Запихивать в маршрутизатор сертификат, да еще с неизвлекаемым ключом (иначе символов шибко много, а надежность ровно та же) - теоретически, можно, практически за двадцать лет работы в отрасли ни разу я такого не видел.

При этом вряд ли его можно восстановить даже перехватив траффик, при том что ike обычно происходит примерно раз в год, когда экскаватор перерубает кабель, и это вызывает некоторый баттхерт у подключенных к нему.

А если у тебя вредители к тем кабелям имеют непосредственный доступ - вероятнее всего у них есть много гораздо более простых способов - например, кабель с обратной стороны роутера.


Ответить | Правка | Наверх | Cообщить модератору

185. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 21:05 
> ну видимо в заляпанных гуано валенках только в такие энтерпрайзы и пускают.

Изначально я вообще DOS -> Win -> WinNT. И кроме всего прочего умею быть энтерпрайзадмином. Но теперь это как в том анекдоте - "умеет, но не любит". MS изгадил винду до состояния когда мне оно такое даром не уперлось.

> Попробуй переодеться хотя бы в ботинки.

Been there, done that. И кстати ранние погрузчики ботинок пришлись мне по вкусу :)

> ну да, конечно, зачем им интеллект - все ж само работает, сразу
> после нажатия кнопки "сделать 36сь"

Ггг, я в курсе как оно после этого работает и чего потом бывает.

> вполне себе ничего так попадаются админы, обычно там где от их
> работы таки что-то зависит)

А, мне казалось что ты там. Значит не угадал.

> понятно - то есть если у тебя нет дофига бабла за зажравшуюся
> обезьянку - нехрен лезть. Я примерно так и говорю в соответствующих случаях.

Принцип "как заплачено так и зафигачено" никто не отменял :)

> А виндовые админы не то чтоб прямо дешевы (те что на самом деле не next-next-next умеют
> да и тот с sysadmins.su скопипастили), но ни разу не миллионеры.

Ну да, как-то так. При том таковых еще и не слишком то много, тех которым не сыкотно дать энтерпрайз или хотя-бы домен в нем.

> это PSK. _shared_secret_. Все слова понятны?

Абсолютно. И при наличии GPU секрет из 8 символов довольно быстро перестает быть таковым.

> что ike обычно происходит примерно раз в год, когда экскаватор перерубает
> кабель, и это вызывает некоторый баттхерт у подключенных к нему.

Если сильно надо, этому процессу можно немного помочь.

> А если у тебя вредители к тем кабелям имеют непосредственный доступ -
> вероятнее всего у них есть много гораздо более простых способов -
> например, кабель с обратной стороны роутера.

А ты вот прямо на зубок знаешь все hop'ы по пути трафа и железно уверен что каждый из них офигеть какой дружелюбный и никогда не жульничает?

Ответить | Правка | Наверх | Cообщить модератору

189. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 23-Июн-20, 21:59 
> И кроме всего прочего умею быть энтерпрайзадмином.

а точно-точно умеешь, а не "плавали, знаем", а на деле знания застряли на той winnt? ;-)

> MS изгадил винду до состояния когда мне оно такое даром не уперлось.

это вот в смысле - добавил в нее ssh, а заодно шелл которым вполне можно ей управлять в мелких деталях? Все бы так "гадили".

> А, мне казалось что ты там. Значит не угадал.

я работал в одной из дочек, тогда еще - сохранявшей независимость. И с еще одной "дружил". Но я ничего не имею против там поработать и дальше - только вариантов чтоб не в Румянцево или вовсе Реутове и при этом что-то приличное - не так много и не так часто как хотелось бы попадаются.

> Принцип "как заплачено так и зафигачено" никто не отменял :)

ну так проще без обезьянок.

> Ну да, как-то так. При том таковых еще и не слишком то много, тех которым не сыкотно дать
> энтерпрайз или хотя-бы домен в нем.

ну вот повторяю - у нас незакрытых вакансий нет, не смотря на небольшую текучку. Была одна, но там больше СХД надо было уметь чем домен - в конце-концов, плюнули и забили - наняли умеющего в домен, а полки обслуживать дело наживное.
А девляпс сбежал, оставив после себя типовую девляпсью разруху без описаний и внятного понимания работы. Нового нанять хрен там (и прошлого искали тоже долго). Либо хотят мильен, либо им скучно (и все равно подавай мильен) либо не умеют ничерта (при этом им скучно и давай миллион).

Угадай, как теперь в этой компании относятся к девляпсу и линуксным поделкам вообще?

А винда - работает себе.

> Если сильно надо, этому процессу можно немного помочь.

повторяю - если ты можешь этому процессу помочь, скорее всего гораздо проще добраться до нешифрованного траффика по другую сторону шифровалки.

> А ты вот прямо на зубок знаешь все hop'ы по пути трафа и железно уверен что каждый из них
> офигеть какой дружелюбный

я уверен что им во-первых есть чем заняться, во-вторых активно вмешаться в траффик им сложно - и оборудование совсем не для этого предназначено, и по шее дадут быстро.
В том числе и потому, что начавший мигать канал мгновенно вызовет нежелательное внимание.

А фсб, анб и рептилоиды действуют более простыми и надежными путями.
Вот когда ты сможешь им ставить условия, а не покорно подставлять задницу - тогда будет иметь смысл переживать из-за короткого psk.


Ответить | Правка | Наверх | Cообщить модератору

195. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 22:44 
> на той winnt? ;-)

Последний из плотно щупаных NT назыалось 2008. В виде восьмерки это совсем адЪ, а как серверное ... ну, 2003 мне больше нравился, а 2000 - еще больше. Во всяком случае он просто работал - и делал это довольно неплохо.

> это вот в смысле - добавил в нее ssh, а заодно шелл которым вполне можно ей управлять
> в мелких деталях? Все бы так "гадили".

Ой, не надо про MS и шеллы. Не умеют они это, как и командлайны. До них стало доползать только к десятке. Только нафиг мне полунедолинукс, тормознее в разы, без сорцов, с бэкдорами и подписями от меня в ядре? :)

> вовсе Реутове и при этом что-то приличное - не так много
> и не так часто как хотелось бы попадаются.

Ну, говоря за себя я в такие шараги просто не ходок. А тебе то сойдет :)

> ну вот повторяю - у нас незакрытых вакансий нет, не смотря на небольшую текучку.

Не, ну при необходимости dcpromo можно научить запускать даже обезьяну, конечно. Однако при минимально нестандартных взбрыках всей этой шляпу бывает довольно много ололо :)

> Была одна, но там больше СХД надо было уметь чем домен - в конце-концов,
> плюнули и забили - наняли умеющего в домен, а полки обслуживать дело наживное.

Странные люди - не особо пересекающиеся епархии. Хотя у некоторых и круче бывает - вон совдеповские КБ пытаются найти электронщиков умеющих за трех разных рож, на зарплату кассира петерочки. Вот им тяжко - настолько эпичные лохи все же уже вымерли.

> А девляпс сбежал, оставив после себя типовую девляпсью разруху без описаний и
> внятного понимания работы.

Ну а вон freehck производит впечатление правильного девляпса, никуда не сбегает вроде, но у него вероятно и фирма с относительно вменяемой организацией процессов, где не будут виндоадмина припахивать полками рулить :D.

> Угадай, как теперь в этой компании относятся к девляпсу и линуксным поделкам вообще?

В душе не ипу.

> А винда - работает себе.

Дык линух тоже работает. Только не в фирмах где похобразных для этого нанимают, конечно.

> повторяю - если ты можешь этому процессу помочь, скорее всего гораздо проще
> добраться до нешифрованного траффика по другую сторону шифровалки.

Если некто может прикалываться на транзитном роутере, это не дает ему никаких особых доступов в виртуалки само по себе. И половина пойнта впн это защита от таких приколистов.

> я уверен что им во-первых есть чем заняться, во-вторых активно вмешаться в
> траффик им сложно - и оборудование совсем не для этого предназначено,

Ну как бы сложно и невозможно - разные вещи.

> и по шее дадут быстро.

Хочу посмоетреть как ты дашь какому там товарищмайору из нса и его дружкам из equation по шее :)

> В том числе и потому, что начавший мигать канал мгновенно вызовет нежелательное внимание.

Как-то не всетречал админов напрягающихся на простой рекей протокола.

> А фсб, анб и рептилоиды действуют более простыми и надежными путями.
> Вот когда ты сможешь им ставить условия, а не покорно подставлять задницу
> - тогда будет иметь смысл переживать из-за короткого psk.

Ну как бы фсб, анб и рептилоиды конкурируют за ресурс и то что доступно одним означает что для других поляна уже занята. Это конечно не всегда так, но...

Ответить | Правка | Наверх | Cообщить модератору

208. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonymoustus (ok), 24-Июн-20, 06:45 
> Ой, не надо про MS и шеллы. Не умеют они это, как
> и командлайны.

Смотри на PowerShell как на язык программирования, к которому прилагается встроенный шелл.

Ответить | Правка | К родителю #195 | Наверх | Cообщить модератору

214. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonim (??), 24-Июн-20, 11:08 
Это даже платформа дотнет, с приложением языка и к языку шелла.
Надеюсь что у МС оно стрельнет через год.
Ответить | Правка | К родителю #208 | Наверх | Cообщить модератору

228. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 14:40 
> Надеюсь что у МС оно стрельнет через год.

Ггг, оно уже который год стреляет, при том в основном своим юзерам в пятку, выступая якорем :)

Ответить | Правка | К родителю #214 | Наверх | Cообщить модератору

231. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 15:19 
Сейчас конечно же мы увидим как ПШ стрелял? Или ты и тут сольешься? Кстати только к концу года выпустят дотнет5. И всё на его основе придёт на основные ОС. Так что да, я жду через годик роста дотнета и его производных.
Ответить | Правка | К родителю #228 | Наверх | Cообщить модератору

227. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 14:39 
> Смотри на PowerShell как на язык программирования, к которому прилагается встроенный шелл.

Я не понимаю нахрен это надо вот так. Для тех кто хотел хардкорно попрогать и так были всякие дотнеты, а вот консоль взлетающая в VM добрую минуту таки конкретно заколебывает. Как и придирки по части типов данных и прочее счастье. Так что вместо мелкой системной автоматизации по месту получается какой-то хардкор. И поэтому половину задач становится проще и быстрее наобезьянить мышкой чем поюзать этот кошмарик.

А так чуваки вон козыряют какими-то краплетами для АДъ'а - но скрипты для этого на js/vbs пинаемые из консоли гуляли и без этого кошмаренция, так что ничего нового оно не привнесло. Кроме взлета рантайма на VM дочерта времени.

Ответить | Правка | К родителю #208 | Наверх | Cообщить модератору

234. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 15:28 
О выдирание из контекста. Кто бы сомневался. Там было предложено взять то что можно сделать под ПШ. И тебе, хвастунишке консольному, продемонстрировать как в консольке линуха ты это сделаешь. На быстром баш-зш-кш.
Ответить | Правка | К родителю #227 | Наверх | Cообщить модератору

252. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonymoustus (ok), 27-Июн-20, 09:29 
>> Смотри на PowerShell как на язык программирования, к которому прилагается встроенный шелл.
> Я не понимаю нахрен это надо вот так.

Это надо прежде всего для управления серверами в редакциях Core. В них нет привычных кнопочек и оснасток администрирования, только голый PowerShell — главное средство автоматизации всего в виндовых серверах текущего поколения (NT6).


> Для тех кто хотел
> хардкорно попрогать и так были всякие дотнеты, а вот консоль взлетающая
> в VM добрую минуту таки конкретно заколебывает. Как и придирки по
> части типов данных и прочее счастье.

Долго взлетает, зато летит куда надо.


> Так что вместо мелкой системной
> автоматизации по месту получается какой-то хардкор. И поэтому половину задач становится
> проще и быстрее наобезьянить мышкой чем поюзать этот кошмарик.

Не для мелкой, а для _всей_ автоматизации. PowerShell — это такой пульт управления современной серверной виндой. Только без кнопок, все команды надо писать руками. Можешь писать и отлаживать их загодя и запускать готовыми — PowerShell даёт тебе полную свободу в этом смысле.


> А так чуваки вон козыряют какими-то краплетами для АДъ'а - но скрипты
> для этого на js/vbs пинаемые из консоли гуляли и без этого
> кошмаренция, так что ничего нового оно не привнесло. Кроме взлета рантайма
> на VM дочерта времени.

Вот-вот, чуваки дело знают и говорят.


Но, в общем, если это не твоя тема, то тебе оно и не надо, и спорить как бы не о чем.

Ответить | Правка | К родителю #227 | Наверх | Cообщить модератору

253. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonim (??), 27-Июн-20, 12:05 
> Не для мелкой, а для _всей_ автоматизации. PowerShell — это такой пульт управления
> современной серверной виндой. Только без кнопок, все команды надо писать руками.
> Можешь писать и отлаживать их загодя и запускать готовыми — PowerShell даёт
> тебе полную свободу в этом смысле.

Судя по наблюдаемому - автоматизация не только современного сервера. С прошлого года наблюдаю как люди пишут всё больше и больше заметок по ажуру и другим облачкам. И эти же люди раньше писал как на этом шеле решать локальные, серверные проблемы. А теперь почти нет заметок как поскриптовать локальные сервисы. Только этакий щенячий восторг как в несколько цмдлетов-команд делается связка с облачком и поднимаются сервисы.

Ответить | Правка | К родителю #252 | Наверх | Cообщить модератору

254. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Anonymoustus (ok), 27-Июн-20, 12:12 
Не только сервера, конечно, а любой винды, на которую можно установить PowerShell. Но васяны и домохозяйки его не используют, о них незачем и говорить.
Ответить | Правка | К родителю #253 | Наверх | Cообщить модератору

212. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 10:48 
>  Последний из плотно щупаных NT назыалось 2008. В виде восьмерки это совсем адЪ, а как серверное ... ну, 2003 мне больше нравился, а 2000 - еще больше. Во всяком случае он просто работал - и делал это довольно неплохо.

Мы ещё по прошлым здешним обсуждениям выяснили какой ты и твои вендоадмины энтерпрайзники. Процесс накатывания обновлений даже организовать не могут. Позорише.

Ответить | Правка | К родителю #195 | Наверх | Cообщить модератору

213. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 11:03 
> а точно-точно умеешь, а не "плавали, знаем", а на деле знания застряли на той winnt? ;-)

бинго. Он в прошлый раз рассказывал что он сам, что его дгузья энтерпрайзники обрулились так что большинству и не снилось. И восстановление из порушенного состояния домена, и тонкая настройка эксченджа. Один прокол вышел. Проговорился что обновления у него видите ли сбои вызывают. Допустим накатывают обновления и у вмваре что-то отваливается. И узнают они об этом со стороны. И таких примеров у него вагон и тележка.
Это же эникейщики натуральные - ченджлог не читают, обновления не тестируют а сразу некст-некст жмут.

У меня таких примеров с горкой. От виндовых - они теперь боятся кнопку обновить нажать, перезагружать придётся. До линуховых - они парой строчек из гугла настраивают свои линух железки так что рушат кусочно-незаметно сеть. В первом случае мне приходится за них ченджлоги читать, тестить обновы и вкатывать на сервера. Во втором случае - копаться в их помойке настроек и убирать какую-нибудь зловонючую строчечку из гугла. И все эти люди, за которых я нормализовывал ситуацию, считают себе энтерпрайзами. По мне странное мнение, себя я считаю обычным середнячком.

Ответить | Правка | Наверх | Cообщить модератору

229. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 24-Июн-20, 14:42 
> Это же эникейщики натуральные - ченджлог не читают, обновления не тестируют а
> сразу некст-некст жмут.

Ну вы то покажете нам мастеркласс? =)

> У меня таких примеров с горкой.

Ты там что, коллега поха? :)

Ответить | Правка | К родителю #213 | Наверх | Cообщить модератору

233. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (235), 24-Июн-20, 15:24 
И смайлики, смайлики. Какой стыд.
Ты даже не понял что в таких случаях настраивается процесс управления изменениями. Понимаю это выше твоего уровня восприятия. Ты как и твои коллеги энеикейщики осилили только некст жамкать и играться с тем что под руку попадется. Чисто алхимики средневековые что мешают в ступе жабу с куриным фе калием - а ну как красная ртуть получится. Сделать так что бы обновление стряляло на тестовом а не боевом сервере таким как ты не по силам. Ну что-то не выходит у вашего брата.
Ответить | Правка | К родителю #229 | Наверх | Cообщить модератору

39. "VPN WireGuard принят в основной состав OpenBSD"  –2 +/
Сообщение от Аноним (36), 22-Июн-20, 09:21 
Wireguard использует хорошие современные алгоритмы, которые куда быстрее. И настраивается с полоборота. Вся эта айписятина - пример того как делать не надо. В теории вроде расово верно, на практике ужасные тормозные алгоритмы, протоколы не от мира сего и настройка вида "проще запустить спэйсшатл чем это".
Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

48. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 09:43 
> Wireguard использует хорошие современные алгоритмы, которые куда быстрее.

"хорошесть" никем не проверялась, так что не "современные" а "малоисследованные". "куда быстрее" - в линуксе разница на десяток процентов в лучшем случае.

У openbsd еще и ipsec, оказывается, был тормоз? Ну кто бы удивлялся...

Ответить | Правка | Наверх | Cообщить модератору

60. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (60), 22-Июн-20, 10:34 
> "хорошесть" никем не проверялась,

Это неправда - DJB и его тусовочка это криптографы, так что во всем этом добре покопалось дофейхоа криптографов.

На salsa/chacha даже некоторые атаки известны - проблема только в том что они прошибают сильно ослабленные версии с меньшим числом раундов и в с такими соотношениями что на практике даром не сдались. То-есть криптоанализы - были, но ничего интересного не нашли.

> так что не "современные" а "малоисследованные".

С разморозкой. Это комбо уже несколько лет как разошлось на цитаты везде, от микроконтроллеров до TLSных энтерпрайз монстров.

> "куда быстрее" - в линуксе разница на десяток процентов в лучшем случае.

Очень сильно от систем зависит. На каком-нибудь ARM или MIPS оно и поболее бывает, а RSA так просто сам по себе тормоз. Я 25519 на мизерном микроконтроле завел. На котором RSA тупо без шансов - жирный больно.

> У openbsd еще и ipsec, оказывается, был тормоз? Ну кто бы удивлялся...

Да он у всех вроде медленнее вайргада.

Ответить | Правка | Наверх | Cообщить модератору

64. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от пох. (?), 22-Июн-20, 10:49 
> неправда - DJB и его тусовочка это криптографы

и все новые модные протоколы держатся _только_ на репутации той тусовочки - и больше ни на чем, поскольку проверять их задаром некому, а за деньги - не поделятся результатами.

> С разморозкой. Это комбо уже несколько лет как разошлось на цитаты везде, от микроконтроллеров
> до TLSных энтерпрайз монстров.

и как это противоречит малоисследованности? Да никак.

> Да он у всех вроде медленнее вайргада.

по собственным замерам афтыря (причем на своей версии а не кастрированной для принятия с поклоном в линухе) - маргинально медленнее. А тут - в разы.

Вариант раз - что это в линухе вайргад даже тот что дореформенный был медленнее из-за каких-то линуксячьих врожденных проблем - маловероятен, вариант два - что таки в опенке ипсек написали с какими-нибудь глобальными локами и упиранием в единственную очередь в 99м году и с тех пор толком не переделывали (хотя в 2010м якобы переписали-переписали с нуля) - значительно более вероятен, там такого много.

Если когда-нибудь появится порт в freebsd - учитывая что ее ipsec регулярно переписывается для соответствия современному железу и современным задачам - можно будет сравнить более-менее честно. Но пока, увы, 3d party васянский в userspace, afaik даже не через ng, а просто tap.

Ответить | Правка | Наверх | Cообщить модератору

117. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 16:18 
> и все новые модные протоколы держатся _только_ на репутации той тусовочки -

И еще кучи смежных тусовочек, посмотревших на творчество коллег и попытавшихся это все распатронить. Они всегда так делают.

> и больше ни на чем, поскольку проверять их задаром некому, а
> за деньги - не поделятся результатами.

Ну вообще-то эта подборочка алгоритмов даже в TLS уже пролезла - потому что всякие гуглы заколеблись оплачивать обсчет RSA своими серваками.

> и как это противоречит малоисследованности? Да никак.

Оно уже довольно много лет с нами и много кем ковыряно. RC4 за то же время распатронили в хлам, да и косвенные признаки проблем были.

> по собственным замерам афтыря (причем на своей версии а не кастрированной для
> принятия с поклоном в линухе) - маргинально медленнее. А тут - в разы.

Ну я не эксперт в коде openbsd. Однако для себя я предпочту сабж, мелкий, компактный, шустрый и просто настраиваемый, а ipsec - пусть фанаты бессмысленного и беспощадного энтерпрайза жрут, я не понимаю зачем такой крап нужен когда есть сабж.

> - что таки в опенке ипсек написали с какими-нибудь глобальными локами
> и упиранием в единственную очередь в 99м году и с тех пор толком не переделывали

Ну так опеночники и вообще сроду никогда не блистали перфомансом.

> Если когда-нибудь появится порт в freebsd - учитывая что ее ipsec регулярно
> переписывается для соответствия современному железу и современным задачам - можно будет
> сравнить более-менее честно. Но пока, увы, 3d party васянский в userspace,
> afaik даже не через ng, а просто tap.

Это явно не конкурент по скорости штуке в кернеле. Впрочем фре оно накой? Мелочевка типа опенврты на линуксе будет рада вайргаду, это да. А фря на такое все-равно не вхожа.

Ответить | Правка | Наверх | Cообщить модератору

138. "VPN WireGuard принят в основной состав OpenBSD"  –1 +/
Сообщение от пох. (?), 22-Июн-20, 19:58 
> И еще кучи смежных тусовочек

ну вот как-то не видно ни кучи, ни что брались действительно всерьез. Не там читаю?

> Ну вообще-то эта подборочка алгоритмов даже в TLS уже пролезла - потому что всякие гуглы
> заколеблись оплачивать обсчет RSA своими серваками.

а твоих данных им ни разу ведь и не жалко, ага.

> Оно уже довольно много лет с нами и много кем ковыряно.

много это сколько? arcfour - протокол 87го года, мало опеннетовских анонимов тогда существовало хотя бы в виде сперматозоида. Причем проблему в нем нашли почти сразу же, как он стал общедоступен, но реальной угрозы от нее не видели еще лет десять - ну так, считалось не очень надежным но приемлемым шифром для тех, кто не прячется разом от ФСБ, ФБР и рептилоидов, а объемы нужны большие.
И только к 15му году всерьез озаботились его запретить.

> Это явно не конкурент по скорости штуке в кернеле.

смотря как написано. Но то что есть - на от...сь, потому что авторам хотелось хоть как нибудь, а не хорошо или надежно, но не сегодня.
Поэтому проще поднять ipsec - на статических ключах, на крайний случай. В конце-концов, рептилоиды и так в курсе, у товарищмайора паяльник отвалился, но провод в розетку остался, он и им все расшифровывает без проблем, а васяну не расшифровать.
А если душа жаждет приключений - то и if_ipsec теперь - есть.

> Впрочем фре оно накой?

ну по прямому ж назначению - мелкие васян-локалхосты вязать вручную. Без этих вот ваших ентерпрайсных технологий.  Которые и правда могут оказаться оверкилом там где надо просто наложенную сеть из двух пиров поднять.

Ответить | Правка | Наверх | Cообщить модератору

186. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 21:15 
> ну вот как-то не видно ни кучи, ни что брались действительно всерьез. Не там читаю?

Видимо не там. Я почему-то видел криптоанализы salsa/chacha. Но там нифига интересного, полные схемы о 20 раундах никто не смог шатнуть вообще. Кривая 25519 известна дофига лет, опять же.

А в случае квантовых компов если Шор реально заработает в крупном масштабе - 25519, RSA и прочие D-H выкусят вместе, одинаково. На этот случай есть PSK и post-quantum крипто, но первое не схемы с публичным ключом, а второе только начинается и пока довольно кривое, ресурсожоркое и что хуже с довольно жирными ключами. У 25519 ключ с стойкостью между RSA-2048 и 4096 весит жалкие 256 битов, 32 байта. Так что даже смской при сильном желании отсылается, попробуй так с публичным ключом RSA-2048 хотя-бы.

> а твоих данных им ни разу ведь и не жалко, ага.

Гугл вообще довольно щепетильно относится к несанкционированному тырингу данных - извольте через них тырить, а не мимо :)

> много это сколько? arcfour - протокол 87го года, мало опеннетовских анонимов тогда
> существовало хотя бы в виде сперматозоида.

1) Не протокол а алгоритм.
2) И уже довольно давно криптографы видели индикацию проблем в его выхлопе.

> от ФСБ, ФБР и рептилоидов, а объемы нужны большие.
> И только к 15му году всерьез озаботились его запретить.

Ага, когда народ стал за цать секунд вваливаться в запароленые вафельницы на половине глобуса, стало заметно что "что-то идет не так" :)

> смотря как написано.

Переключения контекста все же никуда не денутся.

> Поэтому проще поднять ipsec - на статических ключах, на крайний случай.

Кому проще - тот пусть и поднимает, имхо. И это буду явно не я, thank you very much.

> ну по прямому ж назначению - мелкие васян-локалхосты вязать вручную.

Так оных с фрей в диком виде хрен найдешь.

Ответить | Правка | Наверх | Cообщить модератору

145. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (145), 22-Июн-20, 21:00 
> и все новые модные протоколы держатся _только_ на репутации той тусовочки - и больше ни на чем, поскольку проверять их задаром некому, а за деньги - не поделятся результатами.

Да ладно, неужто нет желающих попилить гранты на криптоанализе? Не верю. Дай-ка глянем…
https://www.cryptrec.go.jp/exreport/cryptrec-ex-2601-2016.pdf
https://eprint.iacr.org/2014/613.pdf
https://eprint.iacr.org/2017/1021.pdf
https://www.researchgate.net/profile/William_Buchanan2/publi...

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

146. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 22:01 
есть же некоторая разница между желающими и умеющими?

Тут (кроме, может, японца, но там я половину слов только понимаю) больше похоже на желающих.
И это, заметьте, только chacha/poly - а вайргад (ну, не он один, конечно) приволок с собой еще мешок новых изобретений примерно той же компании. Других то ли нет, то ли они кроме попила грантов ничего не могут, то ли не хотят.

И это реально напрягает.

Да, были времена когда вообще всю криптографию контролировала RSA, но те трахались за деньги, и их, соответственно, очень много кто непрочь были либо пограбить, либо подставить. А сейчас только мелкие гранты и персональный интерес.


Ответить | Правка | Наверх | Cообщить модератору

187. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 21:16 
Айписек притаскивает еще не такое - и вся эта этажерка настолько жирная и кривая что ее даже просто всем впадлу аудитить. Возможных комбо слишком дофига.
Ответить | Правка | Наверх | Cообщить модератору

81. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (80), 22-Июн-20, 13:15 
Оверинжинирнутое ..."добро" этот ваш IPSec.
Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

97. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от Онаним (?), 22-Июн-20, 14:20 
Угу, "без проблем".
Какой swan предпочитаете в вашем дистре? open, libre, free?
В каждой модификации разные глюки, приходится ещё за совместимостью дистров и версий следить.
Если надо что-то с динамикой или отказоустойчивостью - туннельных интерфейсов нет, приходится GRE/IPIP/... поверх лепить.
С iptables и вообще сетевым стеком тоже отношения особые, поснифать декапсулированный трафик проблема.
Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

139. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 20:04 
> С iptables и вообще сетевым стеком тоже отношения особые

russel не успел, а последователи не умели кодить. esp match в iptables есть, только ниработаит. Матчи через tc, хрен ли.

А подглядывать нехорошо!

Ну и да - раньше три перпендикулярных реализации в одном только линухе - зато теперь красота - одна реализация в линухе и вторая в опенбеэсде которую никто не использует. А хочешь interoperability - никаких проблем с совместимостью, просто выкидываешь и возвращаешься к ipsec ;-)

Ответить | Правка | Наверх | Cообщить модератору

147. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Онаним (?), 22-Июн-20, 23:20 
> russel не успел, а последователи не умели кодить. esp match в iptables
> есть, только ниработаит. Матчи через tc, хрен ли.

esp match кстати работает :) Вот только хотелось-то не esp match, а декапсулированный трафик пофильтровать. Чтобы клиенты через ipsec куда попало не ходили. Это кстати жёсткая проблема.

> А подглядывать нехорошо!

Хорошо-хорошо. Особенно когда когорта телефонов к SPBX ходит поверх IPSec, а тебе надо бы посмотреть, что там прилетело до попадания в софт.

Ответить | Правка | Наверх | Cообщить модератору

153. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 23-Июн-20, 00:50 
> esp match кстати работает :)

точно-точно? Именно  -m esp --espspi 12356 ? _протокол_ esp мне неинтересно матчить.

> Вот только хотелось-то не esp match, а декапсулированный трафик пофильтровать. Чтобы клиенты
> через ipsec куда попало не ходили. Это кстати жёсткая проблема.

ставь фрю и ее ipfw. Но там это ТАК выглядит, что лучше бы не.

Чуть получше в cisco asa - но там зато нет туннелей, а есть уродливый ospf over ipsec. По одному-единственному пиру на интерфейс.

Но что мешает отфильтровать самой политикой? Мы так делали еще в винде2000.


> Хорошо-хорошо. Особенно когда когорта телефонов к SPBX ходит поверх IPSec, а тебе надо бы
> посмотреть, что там прилетело до попадания в софт.

ну так и нехрен мешать pbx с шифрогейтом...
Вот уж чего бы мне в голову сотворить не пришло.

Ответить | Правка | Наверх | Cообщить модератору

176. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Онаним (?), 23-Июн-20, 11:01 
> Чуть получше в cisco asa - но там зато нет туннелей, а есть уродливый ospf over ipsec. По одному-единственному пиру на интерфейс.

Да не, новомодные туннельные интерфейсы уже есть, и даже работают. Вот только поверх работает далеко не всё. BGP работает. В последних версиях DHCP Relay заработал. Но в целом конечно куцый огрызок, пригодный только для сборки извращённых L2L (увы, пользуемся).

> Но что мешает отфильтровать самой политикой? Мы так делали еще в винде2000.

Ну вот да, так и приходится, только она при этом становится жутко монструозной.
На самом деле решили по-другому, через ip rule загоняем на псевдоинтерфейс, и оттуда разбираем. Извращение, и прилично увеличивает оверхед на CPU, но по-другому пока не сделать.

> ну так и нехрен мешать pbx с шифрогейтом...

А приходится. Не только IPSec, но и OpenVPN. Агрегируют "свои" клиентские CPE, за которыми телефоны. Или сами телефоны, поверх OpenVPN, они умеют :)

Ответить | Правка | Наверх | Cообщить модератору

168. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (34), 23-Июн-20, 07:37 
> С iptables и вообще сетевым стеком тоже отношения особые, поснифать декапсулированный трафик проблема.

А как работать с WG трафиком в iptables ?

Ответить | Правка | К родителю #97 | Наверх | Cообщить модератору

175. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Онаним (?), 23-Июн-20, 10:26 
> А как работать с WG трафиком в iptables ?

Так wg представляет из себя обычный псевдоинтерфейс, на котором нормально видно весь трафик, и трафик идёт по всем цепочкам. В ipsec и из ipsec трафик заруливается странненькими махинациями, не попадая в фильтры вообще.

Ответить | Правка | Наверх | Cообщить модератору

190. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от пох. (?), 23-Июн-20, 22:04 
> А как работать с WG трафиком в iptables ?

как с любым туннельным - он туннель. C собственной парой адресов по обоим концам и собственным интерфейсом.

А ipsec - это прозрачно надеваемая обертка поверх обычного траффика, в результате для траффика она не видна, а для iptables невидим траффик - он видит только обертку, а разбирать ее за двадцать лет так и не научился.

У freebsd чуть получше - можно отдельным пинком уже со снятой оберткой загнать на повторное прохождение правил фильтра. Но, поскольку этот фильтр - ipfw, то ну его нафиг.

Ответить | Правка | К родителю #168 | Наверх | Cообщить модератору

35. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от пох. (?), 22-Июн-20, 09:12 
Все смешалось в головах опеннетовских недоучек....

"задача точка-точка" и "куча клиентов", внезапно - не противоречивы - куча клиентов вполне может подключаться именно точка-точка, а не hub&spoke или mesh (гуглите)

Он изначально делался для васянов, у которых ровно один шифрованный линк между локалхостом и другим локалхостом - это да. После первой пятерки разобраться где у тебя кто и какие ключи надо завтра отключать потому что истек срок контракта - только скриптовать какие-то обертки.

Не то чтобы невозможно, но пока низачем ненужно - пока нет нормальных клиентов под распространенные клиентские ОС.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

50. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (58), 22-Июн-20, 10:06 
Да нет, не только для васянов. Шифрованный линк между датацентрами тоже отлично работает. И настраивается элементарно - поднял и сконфигурировал сетевой интерфейс, и все.

Чтобы подключать кучу клиентов, оно и не нужно, для этой задачи ipsec/l2tp прекрасно подходит и нет смысла его на что-либо менять.

Ответить | Правка | Наверх | Cообщить модератору

218. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от gaga (ok), 24-Июн-20, 12:41 
> Чтобы подключать кучу клиентов, оно и не нужно, для этой задачи ipsec/l2tp прекрасно подходит и нет смысла его на что-либо менять.

В чем принципиальная разница настройки WG и ipsec/l2tp для кучи клиентов? Т.е. понятно, что WG требует по ключу на клиента, и их надо как-то распространять. Но так же надо распространять и pre-shared ключи/сертификаты в других протоколах, просто все забивают на безопасность и копипастят ключ в корпоративный слак/шлют по почте.

Ответить | Правка | Наверх | Cообщить модератору

37. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (36), 22-Июн-20, 09:15 
> То, что его пытаются натягивать туда, для чего его изначально и не пытались проектировать, а
> потом героически страдают - это проблема WG?

Да ну ладно тебе, фирмочка героически решит все проблемы за скромное вознаграждение.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

62. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 10:40 
Теоретически. Обычно эти васян-лавки ничего толком решить не умеют.

Создатели предполагают что им будут платить деньги только ради поддержки шва6одной разработки и вот это вот все.

Скорее уж амазон за них все порешает - там, вроде, заинтересовались.

Ответить | Правка | Наверх | Cообщить модератору

118. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 22-Июн-20, 16:21 
> Создатели предполагают что им будут платить деньги только ради поддержки шва6одной разработки
> и вот это вот все.

Может и будут. Судя по тому как народ лихо накинул тугриков тем кто кодил драйвер для allwinner'скоро видеодекодера - это бывает.

> Скорее уж амазон за них все порешает - там, вроде, заинтересовались.

Черт их там знает, чего этот очередной всеядный ктулха порешает.

Ответить | Правка | Наверх | Cообщить модератору

128. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 22-Июн-20, 18:19 
ну, напишет какую-нибудь rest-api обертку для управления ключами и настройками кто к кому сегодня должен ходить, а кого пора отключить. И может даже нескучную веб морду к ней.

И может даже выложит на гитшлак или гитхлам. Они иногда любят поиграть в опенсорсие, когда им самим код нахрен не сдался.

А самому подобный костылинг городить - ну его в баню. Посидят через openvpn, ресурсы cpu нынче дешевы. Или вообще через энтер-прайсный файрвол. Он, кстати, пару тыщ юзверей держит в легкую, он от внутрисетевого траффика дохнет регулярно только.

Ответить | Правка | Наверх | Cообщить модератору

188. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (-), 23-Июн-20, 21:18 
> кому сегодня должен ходить, а кого пора отключить. И может даже
> нескучную веб морду к ней.

Ну вот манагеры скажут "вау" и навнедряют. А чего еще надо? :)

> А самому подобный костылинг городить - ну его в баню. Посидят через
> openvpn, ресурсы cpu нынче дешевы.

Почему-то хостеры впнов так не думают :)

Ответить | Правка | Наверх | Cообщить модератору

192. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от пох. (?), 23-Июн-20, 22:26 
> Ну вот манагеры скажут "вау" и навнедряют. А чего еще надо? :)

ну вот пока внедрять нечего. поэтому не внедряем - после десятого пира уже мальчик с феноменальной памятью не сможет всю эту вермишель распутывать вовремя.

>> А самому подобный костылинг городить - ну его в баню. Посидят через
>> openvpn, ресурсы cpu нынче дешевы.
> Почему-то хостеры впнов так не думают :)

Они ж за гроши работают, поэтому каждый грош и норовят сэкономить - и похрен чего это будет стоить обслуживающим все это рабам (но их разработкой с нами не поделятся) - для того их и кормят.
А у меня - кговавый ентер-прайс. Который если уж выделил ящик под софтовый vpn-концентратор вместо коммерческого файрвола - ему совершенно все равно, на десять процентов тот нагружен или на 80. Но времени тщательно полировать это глюкало нет, потому что это всего лишь одна из миллиона фиговин, требуемых для работы.

btw, никто из присутствующих не в курсе -в paloalto с буковками RU в серийнике - vpn по прежнему нахрен отрезан, или что изменилось за десять лет?

Ответить | Правка | Наверх | Cообщить модератору

49. "VPN WireGuard принят в основной состав OpenBSD"  +1 +/
Сообщение от Ананимус (?), 22-Июн-20, 10:00 
Просто не все читали автора, который говорил, что рассматривает WG как peer-to-peer туннель, который вполне хорош как для задач "связать три офиса друг с другом", так и как компонент для для "дать удаленный доступ куче клиентов". Но во втором случаетпотребуется еще софт.
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

52. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от microsoft (?), 22-Июн-20, 10:14 
Тогда перестаньте рекламировать свой вг как полная замена опенвпн и все вопрос снят
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

54. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (58), 22-Июн-20, 10:21 
А никто и не рекламирует. Рекламируют как более производительное решение.
Ответить | Правка | Наверх | Cообщить модератору

55. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Аноним (58), 22-Июн-20, 10:24 
Да и написать обвязку никто не запрещает. wg это юниксвейная штука и делает одну вещь хорошо, а не пытается стать комбайном как systemd. Нужно управление ключами и dhcp - напиши, выложи в опенсорс, люди скажут спасибо.
Ответить | Правка | Наверх | Cообщить модератору

61. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Ананимус (?), 22-Июн-20, 10:35 
DHCP там есть. Правда, только в IPv6 :)
Ответить | Правка | Наверх | Cообщить модератору

65. "VPN WireGuard принят в основной состав OpenBSD"  +/
Сообщение от Ананимус (?), 22-Июн-20, 10:50 
Нет, вру, есть router advertisement, правда ручной.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру