Нужны ли ALG-и в ISP NAT44?

[s.lobanov]

Голосуем. Кто не знает, что это такое - https://ru.wikipedia.org/wiki/Application-level_gateway

[Dimka88]

Нужны ipv4 и уже скорее всего ipv6. Сам по себе NAT для ISP это не только проблема с оборудованием для провайдера, но и многое негативное, вытекающее от недостаточной уникальности в идентификации клиентов для всяких сервисов. Его надо не дорабатывать, а всячески стараться убирать. Это моё мнение и оно может быть ошибочным для каких то случаев.

[pppoetest]

Есть некоторые клиенты пользующие pptp.

[nuclearcat]

PPTP - самая распространенная проблема

За ней идет FTP.

[s.lobanov]

Есть некоторые клиенты пользующие pptp.

 

Есть контрпример. NAT на IOS-XE с включенным pptp ALG(по умолчанию), в какой-то момент времени заглючил (на IOS-XE вообще часто глючат ALG-и), после выключения pptp ALG, клиент, использующий pptp с внешним сервером заработал.

 

Т.е. ALG-и вроде бы и нужно, но например, ftp-клиенты, почти все шлют сразу PASV, SIP-клиенты что я видел, тоже работают без ALG-ов без проблем с популярными сервисами

 

За ней идет FTP.

 

вот какие современные клиенты не шлют PASV сразу же? Штук 6, что я нашёл за 5 минут шлют PASV

 

Нужны ipv4 и уже скорее всего ipv6. Сам по себе NAT для ISP это не только проблема с оборудованием для провайдера, но и многое негативное, вытекающее от недостаточной уникальности в идентификации клиентов для всяких сервисов. Его надо не дорабатывать, а всячески стараться убирать. Это моё мнение и оно может быть ошибочным для каких то случаев.

 

это всё лирика. сейчас ситуация такова, что даже внедрив ipv6, вам всё равно нужен nat44 чтоб выходить на ipv4 ресурсы

[dazgluk]

PPTP, на остальное ни разу не жаловались

[[anp/hsw]]

после выключения pptp ALG, клиент, использующий pptp с внешним сервером заработал.

pptp ALG нужен не для того, чтобы работал pptp-клиент через NAT, а для того, чтобы работало БОЛЬШЕ ОДНОГО клиента через один и тот же внешний адрес.

для pptp просто нужен GRE демультиплексер, т.к. GRE штатных средств распознавания множественных подключений к одному IP не имеет.

т.е. без ALG второй подключившийся клиент либо не получит поток GRE вообще, либо получит какие-то пакеты в перемешку с пакетами уже работающего (как клиентское ПО этот случай отработает - хз).

[pppoetest]

' timestamp='1448004143' post='1203187']pptp ALG нужен не для того, чтобы работал pptp-клиент через NAT, а для того, чтобы работало БОЛЬШЕ ОДНОГО клиента через один и тот же внешний адрес.

+1

[tehmeh]

ALG не юзаем, проблем с FTP не наблюдалось (ну может пару), PPTP уж тем более. Физикам оно не надо, юрикам публичный даем.

[rdc]

pptp

[pavel.odintsov]

Кто-то еще использует ftp?! :)

[pppoetest]

Вы так говорите, как будто фтп это что-то плохое.

[rdc]

Вы так говорите, как будто кто-то ещё использует фтп.

[SyJet]

Постоянно

[pavel.odintsov]

Он же небезопасен донельзя и тормозен донельзя. Зачем, правда? :)

[GrandPr1de]

бекапы сливать удобно по ftp :/

в фоне скриптами само льется

а что есть альтернативы когда вопрос о безопасности не стоит?

и да, многие до сих пор сидят на HTTP который "небезопасен донельзя" и никого это не останавливает :)

[pavel.odintsov]

Время жизни http сочтено :)

[s.lobanov]

Кто-то еще использует ftp?! :)

 

конечно. Лично я не доверяю серт. центрам потенциального противника и не считаю https со "стандартным" набором CA безопасным. Тем более, что прецеденты были уже. Или вы не в курсе?

 

поэтому шифрую и подписываю данные своими ключами и нисколько не брезгую небезопасным транспортом таким как ftp или http

[pavel.odintsov]

Вы правда верите, что потенциальному противнику ваши данные нужны больше, чем местному хакеру Васе, который засниффит Вашу карточку и купит себе хабара на иностранных сайтах? Да еще и спасибо скажет - какой молодец без httpS :)

[Ivan_83]

Хз упарыватся по https/TLS.

Это херня средней надёжности/безопасности, в локалке оно и нах не надо, в инете - иногда может помочь.

Единственный макстхэв это при хождениях через публичную вафлю, в остальных случаях перехват ближе к фантастике.

[SyJet]

Ребят, а SIP без alg у клиентосов нормально работает?

[DimaM]

а SIP без alg у клиентосов нормально работает

 

SIP сейчас в основном шифрованный - тут никакие ALG уже не помогут :)

А если серьезно, то вроде проблемы и нет.

Провайдер SIPNET, например, вообще рекомендует ALG отключать, так как по их словам "SIP ALG в маршрутизаторах, как правило, работают некорректно"

[Sonne]

а SIP без alg у клиентосов нормально работает

 

SIP сейчас в основном шифрованный - тут никакие ALG уже не помогут :)

А если серьезно, то вроде проблемы и нет.

Провайдер SIPNET, например, вообще рекомендует ALG отключать, так как по их словам "SIP ALG в маршрутизаторах, как правило, работают некорректно"

 

Кака раз пару раз приходилось отключать.

[Alex/AT]

SIP ALG точно. FTP. PPTP. IKE/IPSec. Это как минимум.