Как работает, какие подводные камни , и т.д. ?

Общее количество не большое, но вопрос, почему это стало неожиданно массово 

[root@skat14 ~]# fdpi_ctrl list all status --service 11 | grep -c sess_tcp=2000
15
[root@skat14 ~]#

Держится в районе 20. Из предположений: вирусня на компьютере/или другом устройстве,  все кто жаловался пользуются Smart-TV. Вопрос, какая рекомендация по sess_tcp=, увеличивать как то не хочется, может сессии быстрее рубить lifetime_flow_long=300?

на текущий момент, внедрение длится уже не один месяц (с учётом разработки технического решения - 1.5 года) и ответа на вопрос "когда?" нет, зато есть срок обозначенный в плане внедрения и он закончится в этом году. на фоне этого есть пара вопросов:

1) кто нибудь имеет опыт успешного внедрения и как долго это всё длилось? а то, все это больше похоже на эксперимент по разработке и рабочего продукта не существует! 

2) в схеме использования СОРМ3 участвует СКАТ DPI(лицензия FLTR) для выгрузки абонентских данных по трафику на СОРМ3. После включения функционала FLTR поймали "клин" на сервере DPI и при условии отсутствия bypass'а на картах положили трафик клиентов. Кто нибудь с чем то подобным сталкивался? Ответа от разработчика "что это было?" мы так и не получили!

Кто-нибудь уже столкнулся с этой ситуацией? Производитель требует обновить ОС комплекса для того, что бы можно было накатить актуальную версию СКАТа.

Сие действие (по словам VAS Expert) может продолдаться несколько дней.

И все эти дни Ревизор будет сыпать алармы о том, что наш трафик больше не фильтруется. Вангую, предстоят разборки с РКН...

Кто-нибудь уже проходил через это? Как выкручивались?

К куратору из РКН просьба не отправлять - дедушка на пенсии, ему все равно.

---

Мы предлагаем вам следующий набор параметров, которые можно снимать с DPI СКАТ:

- Ошибки в логах процесса fastdpi /var/log/dpi/fastdpi_alert.log

- Ошибки в системном логе /var/log/messages

- Потери (Drop) на интерфейсах dna

- Объем трафика на интерфейсах

- Доступность интерфейсов управления

Для мониторинга можно использовать zabbix agent. Описание по установке.

1.Установить на сервер zabbix agent:

rpm -ivh http://repo.zabbix.com/zabbix/2.4/rhel/6/x86_64/zabbix-release-2.4-1.el6.noarch.rpm

yum install zabbix-agent

2.Обновить SELinux policy

yum update selinux-policy

3.Поместить skat_userparams.conf в директорию /etc/zabbix/zabbix_agent.d/ и zabbix_agentd.conf в /etc/zabbix/

4.Отредактировать файл /etc/zabbix/zabbix_agentd.conf:

Server=%адрес zabbix сервера%

ServerActive=%адрес zabbix сервера%

Hostname=%hostname сервера%

5.Изменить контекст файла /var/log/dpi/fastdpi_stat.log:

chcon unconfined_u:object_r:zabbix_log_t:s0 /var/log/dpi/fastdpi_stat.log

6.Добавить в /etc/sysconfig/iptables правило перед -A INPUT -j REJECT:\\

-A INPUT -p tcp --dport 10050 -j ACCEPT

7.Перечитать правила iptables:

service iptables reload

7.Добавить агента в автозапуск и запустить его:

chkconfig zabbix-agent on

service zabbix-agent start

8. Импортировать подготовленный шаблон в Zabbix zbx_template_dpi.xml. В панели управления Zabbix сервером добавить новый хост, привязать данный шаблон.

Добавление 31.10.2016:

9. В GUI zabbix отключить запросы по сетевым интерфейсам, которые не используются в dpi - кликнуть на enabled справа (на wiki есть картинка)

Не скажу что юзаем скат первый день, но до этого он использовался только в основном для блокировок по спискам РКН, так как на спутниковых канал приоритизация показала себя не очень эффективно, если скат стоит не на хабе.

Но притянули оптику и нам привалило счастье размером аж 200 мегабит аплинка на 1к абонентов. Вот тут то железка и пригодилась.

Настроили приоритеты, вырезали торренты, даже взяли на тест кэш. Все хорошо все довольны. Почти...

Первыми появились танкисты. Танк то телепортируется, то пинг начинает шкалить в самом клиенте, то еще что нибудь. Добавил ICMP в приоритет, из винды пинг ровненький и красивый 68мс до гугла, в клиенте танков 60-700, фризы, телепорты. Выделил AS варгаминга в приоритете даже выше https и прочего серфинга, не помогло.

Следующими были админы организаций которые понавесили сервисы на нестандартные порты и трафик у которых стал детектится как TCP(UDP) unknown и начал падать в низший приоритет, ниже только торренты.

Отсюда 2 просьбы о помощи:

1. Как сделать чтоб ехал этот несчастный танк без лагов и глюков?

2. Как поступить с приложениями которым назначили нестандартные порты и возможно ли назначение приоритетов по портам в принципе, чтоб в файле протоколов указать номер порта, а не название протокола?  

Но практика показала, что байпас не всегда помогает.

Сработает ли байпас, если сервер отключить по питанию?

А вообще б.у. Лицензии на по есть или только новые ?

вопрос по сути - есть ли реальный прок в настоящее время от работа предфильтра скат у тех у кого он уже стоит 

Вот уже несколько дней боремся с ситуацией, в которой не может разобраться.

Есть СКАТ, работает в прозрачном режиме на CentOS6. Из услуг на нем только CG-NAT + работает Radius монитор, на который зеркалим AAA трафик.

С прошлой недели СКАТ начал рандомно назначать клиентам "левые услуги", в частности

5 услугу(Белый список), из-за назначения которой с дефолтным профилем у клиентов отсутствует доступ в Интернет.

В дополнение к этому сейчас еще и начал писать PCAP файлы, хотя в конфигурации захват трафика явно отключен.

Никто не сталкивался с таким поведением? Сразу хочу сказать, что входы на сервер были только с наших рабочих мест и ручное назначение услуг тоже исключаем.

Общение с тех. поддержкой VasExperts  не внесло ясности. Да и в целом, они ведут себя крайне пассивно.

Если вдруг руководству VasExperts интересно, тикет: 5218.

Можно с примером на джунипере

Вроде бы СКАТ должен включаться в разрыв. В какой именно разрыв, бордер-ядро или ядро-агрегация?

Если первое, то непонятно, как туда попадет PPPoE. Если второе, то это понятно, но непонятна организация сети.

Например у меня десяток узлов L2-агрегации, по которым абоненты приходят на ядро (l2connected).

Можно сделать лишнюю петлю трафика и подключить СКАТ в разрыв этой петли, но это мне кажется каким-то надуманным и кривым.

Действительно ли кешируется youtube, который нынче стримится в HTTPS?

Немогу вкурить тему оптимизации полосы нескольких аплинков. Кто в курсе, помогите плиз.

Дано, 2 аплинка 200 и 80 мегабит, отдаются нам по разным вланам.

Как правильно приоритезировать в них трафик, чтоб в чнн у юзеров открывались странички.

Сейчас конфиг такой:

1. Основной конфиг приоритетов в fastdpi.conf

2. Основной канал 200Мб (vchannel1)

2. Дополнительный канал 80Мб (vchannel2)

cs0 - dns, пинги и прочая телефония

cs1 - туннели юрлиц и танчики

cs3 - дефолтный трафик

cs4 - googlevideo

cs7 - torrents

Может я что натупил и это работает не так, но даже вебстранички очень тяжело открываются когда канал в полке

Пока поставил предлагаемый ими ipfixreceiver2, но он валит в текстовый формат, что мягко говоря не айс.

Имею СКАТ 8.4 бета.

Заметил такой баг, на одном из абонентов он начал детекировать торрент как телеграм трафик.

Торренты у меня зарезаны под 0, у абонента заметил странную активность, скат говорит что телеграм, wireshark что торрент.

Как итог режу в 0 телеграм для посмотреть, у абонента объем трафика резко снизился, но у всех абонентов юрлиц перестали работать онлайн кассы, точнее перестали уходить чеки в налоговую. При отклчении болкировки телеграм, чеки пошли.

Прошу внимания разработчиков к данной проблеме.

Есть некий сервис "белый список", но из описания кажется, что это немного не то.

2. Можно ли повесить некий сервис с профилем Х на подсеть, скажем 10.0.0.0/8, а затем такой-же сервис с профилем Y на подсеть меньшего размера, скажем 10.1.2.0/24?

Чтобы пользователи из меньшей подсети использовали профиль Y, а из большей профиль X.

Тема: Опыт внедрения BRAS на сети Etherway
Ведущий: Артем Терещенко, руководитель направления DPI.
Представитель оператора: Андрей Ермишин, инженер-архитектор.
Представители биллинга Hydra

Программа вебинара

1. Разбор первоначальной схемы: вендор BRAS, технология подключения, интеграция с биллингом
2. Причины поиска альтернативы и замены решения
3. Этап тестирования и внедрения СКАТ
4. Интеграция с биллингом Hydra от компании Латера
5. Реализация резервирования BRAS и итоговая схема работы СКАТ
6. Впечатление от совместной работы и дальнейшее развитие
7. Ответы на вопросы
   
   Регистрация https://vasexperts.ru/events/

 у  кого нибудь еще есть?

СКАТ работает поверх него. Что дальше? Куда двигаться будет?

// Навеяно свежими дырами в SACK.

Подскажите, можно ли создавать белые списки для организаций, аналогично описанному в вики списку для школ, но со своим словарем?