CHR - Лицензирование

[a25k03]

Всем доброго времени суток!
Стоит вопрос о покупке софтового роутера для установки в качестве VM, для ipsec тунелей, выбираем из RouterOS или CHR от производителя mikrotik.
Главный вопрос в лицензировании, в случае RouterOS все просто, купил ключик, ввел и все норм, но в случае CHR, там вроде как нужен аккаунт на сайте mikrotik, для активации надо на сайте уже вбивать ключик, тем самым имеется теоретически техническая возможность отзыва данных лицензий в случае очередных санкций и т.п.
Аргументы за CHR это то что лучшая заточенность под системы виртуализации...
Что скажете, стоит ли рисковать c CHR или лучше все же не париться и использовать RouterOS?

@Saab95 я полагаю в этом вопросе должен быть компетентен, если не сложно напиши пожалуйста в ЛС

[jffulcrum]

Купить лицензию в РФ нереально практически. После первого же выхода роутера с РФ IP - сразу блокируется ЛК, пусть даже если кабинет оформлялся на зарубежные e-mail через VPN. Отозвать лицензии не отзовут, но в будущем просто могут перекрыть доступ к серверу лицензирования, куда CHR ходит каждые два месяца.

 

Скрытый текст

Но уже имеется "альтернативное лицензирование"

 

[sdy_moscow]

4 часа назад, jffulcrum сказал:

Отозвать лицензии не отзовут, но в будущем просто могут перекрыть доступ к серверу лицензирования, куда CHR ходит каждые два месяца.

Покупать что-то по подписке - самый гнусный вариант, т.к. потом наступает час Х, когда железо еще рабочее, а лицензии уже не продляются.

[Saab95]

7 часов назад, a25k03 сказал:

я полагаю в этом вопросе должен быть компетентен, если не сложно напиши пожалуйста в ЛС

 

7 часов назад, a25k03 сказал:

лучше все же не париться и использовать RouterOS

 

Вот и ответ на вопрос=)

 

7 часов назад, a25k03 сказал:

Аргументы за CHR это то что лучшая заточенность под системы виртуализации.

Оно будет заточено под систему зарабатывания денег. Т.к. многие используют OS микротик на серверах для роутинга, т.к. мало готовых устройств у микротика для работы на больших скоростях. А на практике выходит так - покупают лицензию и привязывают ее к диску, дальше этот диск 5-10 и более лет переезжает из одного микротика, в другой, естественно лицензия оплачена один раз и все.

 

7 часов назад, jffulcrum сказал:

Но уже имеется "альтернативное лицензирование"

Сколько оно проработает?

[sirmax]

8 часов назад, jffulcrum сказал:

Купить лицензию в РФ нереально практически. После первого же выхода роутера с РФ IP - сразу блокируется ЛК, пусть даже если кабинет оформлялся на зарубежные e-mail через VPN. Отозвать лицензии не отзовут, но в будущем просто могут перекрыть доступ к серверу лицензирования, куда CHR ходит каждые два месяца.

 

  Скрыть содержимое

Но уже имеется "альтернативное лицензирование"

 

А вы пробовали альтернативу? 

[jffulcrum]

Оно работает. Но есть два нюанса:

- автор подменяет ключ цифровой подписи. То есть обновляться можно только с его же релизов. При желании можно заменить ключ и собирать обновления самому, инструментарий там же.

- автор не выложил в паблик исходники одного из бинарников его пакета. Так что там может быть что угодно, включая таймбомбу и бекдор.

[a25k03]

Поделитесь плз, где можно приобрести лицензию RouterOS?
Ну и еще вопрос по нюансам, правильно ли я понимаю что данная лицензия привязана к аккаунте на сайте микротика?

[jffulcrum]

59 минут назад, a25k03 сказал:

Поделитесь плз, где можно приобрести лицензию RouterOS?

Сейчас только через авито - трансфер ключа, и, надо принимать, что будет только одна попытка. Инструкции перекупы обычно дают подробные.

 

59 минут назад, a25k03 сказал:

правильно ли я понимаю что данная лицензия привязана к аккаунте на сайте микротика?

Да, если речь о CHR. Если x86 - то привязана к ЛК до активации. После активации привязана к устройству, фактически  - к носителю, на который установлена.

[Ivan_83]

13 hours ago, jffulcrum said:

- автор подменяет ключ цифровой подписи. То есть обновляться можно только с его же релизов. При желании можно заменить ключ и собирать обновления самому, инструментарий там же.

- автор не выложил в паблик исходники одного из бинарников его пакета. Так что там может быть что угодно, включая таймбомбу и бекдор.

Выглядит очень похоже на то что мы использовали для внутреннего тестирования но не микротика 🙂

Скорее всего там банальный openssl статически слинкованный с простой прогой на С, которая читает инпут - вон тот серийник девайса и примерно вот так генерит подпись:

openssl dgst -sha1 -sign "${PKEY}" -out "${TMP_FILE}" "${FILE_WITH_SERIAL}"
openssl base64 -in "${TMP_FILE}" 

последняя команда собственно и выдаёт только без хэдера и футера типа лицензию.

И наверное там не sha1 а sha2-256 или что то ещё.

Приватный ключ - пара от того публичного что записали в образ микротика.

Может оно сложнее в обработке вводимого серийника и туда что то дописывается типа уровня лицензии или версии, но криптографическая часть должна быть примерно такой.

[VolanD666]

А почему не использовать VyOS или pfSense?

[jffulcrum]

37 минут назад, VolanD666 сказал:

pfSense?

Бесплатный скатился в какое-то уныние. Плюс, Netgate анально огородился от санкционнохолопов, обновления теперь все ручками.