[zlolotus]

Коллеги, расскажите про асимметричную схему включения (фильтрация только исходящего трафика).

 

Можно с примером на джунипере

[Valaskor]

Переадресация же не будет работать? На страницу блокировки.

[taf_321]

Работает переадресация на асимметричном.

[zlolotus]

Работает переадресация на асимметричном.

 

можно пример?

[taf_321]

Поднимаем от брасов до dna0 ската отдельный влан, к примеру 901, от пограничника до dna1 второй влан - 902. На брасах для интерфейсов в 901 влане и на пограничнике в 902 назначаем адреса из одной подсети.

 

На брасах просто прописываем, что default у нас будет IP навешанный на пограничник в 902 влане. В результате трафик для адресов не входящих в наши сети уходит через 901-й влан на интерфейс dna0 СКАТА, и потом через dna1 по влану 902 приходит на пограничник и далее в интернет. Входящий трафик проходит от пограничкника к брасам минуя СКАТ. Естественно что все наши локальные адреса должны в брасах присутствовать (у нас через iBGP это сделано), тогда через СКАТ будет проходить только исходящий в мир.

[alexdirty]

Успешно ли в таком случае блокируется HTTPS ?

[taf_321]

В этой схеме пакет запроса к серверу вообще не уходит.