Belize Опубликовано 7 мая, 2009 · Жалоба Здравствуйте, коллеги. Прошу совета. Ситуация такая. Имеется сеть на 11 тысяч абонентов. Недавно получили LIR и PA сеть /18. УФСБ с прошлой осени напрягает установить СОРМ. Договорились с вышестоящим провайдером использовать их оборудование СОРМ. Согласовали с УФСБ. Прокинули канал от УФСБ до нашей сети. И вот встала задача сделать так чтоб этот самый СОРМ заработал. Radius запросы-ответы победили, прогнав их через петлю с сормовской коробкой. И упёрлись в NAT... УФСБ надо однозначно знать соответствие логина - "белого" IP-адреса. Попробовали такие варианты: Первый вариант: Сделать всё красиво - использовать динамическое выделение "белых" IP-адресов. Попробовали внедрить. Оказалось билинг UTM5 cовсем не годится для этой задачи: пуляет трафик не в того юзера, начинает зависать, падать каждые 2 часа. C freeradius-ом подружить так, чтоб выполнялось всё что надо - тоже не вышло. Второй вариант: Согласно требованиям, оборудование СОРМ должно стоять до того места где делается NAT. Возможно было бы вынести свои натилки вместе bgp бордером на площадку аплинка, но эта схема откровенно "колхозная", ни о каком резервировании каналов не может быть и речи. Плюс такой момент - на сормовской коробке видно соответствие логина-"серого" IP и УФСБ затребовало "хранить где-то соответствие серого-белого адресов в таблице NAT". Честно говоря, не представляю как обрабатывать эту информацию: как извлекать еще более менее понятно, а вот где её хранить, какие там будут объемы и как привязывать это к СОРМ совсем туммано. Третий вариант: выдать каждому абоненту по "белому" адресу сейчас рассматривается. Тут возникают новые вопросы. Отправляли в RIPE план освоения адресного пространства на 3 года вперед. План писался честно и по нему через 3 года будут использованы 14 тысяч адресов из 16. Если сейчас выдать каждому абоненту по "белому" адресу, то через 3 года понадобится 30 тысяч адресов. Если через полгода начать просить у RIPE еще сеть /18, то как они к этому отнесутся? Могут ли быть проблемы из-за нарушение плана освоения? Выдадут ли в итоге еще сеть, если обосновать грамотно?. Какие еще проблемы могут быть? Ну и конечно есть еще варианты с покупкой своего оборудования СОРМ или своего вменяемого билинга. Заранее спасибо за помощь. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Magnum72 Опубликовано 7 мая, 2009 · Жалоба Стукни в аську помогу Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
bitbucket Опубликовано 7 мая, 2009 · Жалоба Если через полгода начать просить у RIPE еще сеть /18, то как они к этому отнесутся?Если аргументируете необходимость такого блока - должны дать. Но со скрипом. Хотя на 11к абонов 16к адресов - а не жирно ли ? вам для счаться надо /21 на динамический пулл вообще-то и будет счастье как вам, так и юзерам. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Belize Опубликовано 7 мая, 2009 · Жалоба Если аргументируете необходимость такого блока - должны дать. Но со скрипом. Хотя на 11к абонов 16к адресов - а не жирно ли ? вам для счаться надо /21 на динамический пулл вообще-то и будет счастье как вам, так и юзерам. Спасибо за ответ. Динамические пулы - это первое что проверили, очень хотелось их внедрить. Не вышло. /21 мало, вчера около 6 сессий было в пике. Так что не жирно, ведь 16к это на 3 года движения вперед :-) Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
bitbucket Опубликовано 7 мая, 2009 · Жалоба Так что не жирно, ведь 16к это на 3 года движения вперед :-) Сейчас сетки выдают на 1 год. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
leveler Опубликовано 7 мая, 2009 · Жалоба Лучше, пока не стало совсем поздно, смените биллинг. ) Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
mt6561 Опубликовано 7 мая, 2009 · Жалоба Если сейчас выдать каждому абоненту по "белому" адресу, то через 3 года понадобится 30 тысяч адресов. Если через полгода начать проситьу RIPE еще сеть /18, то как они к этому отнесутся? Если грамотно просить - все выдадут и проблем не будет. Обращайтесь =) Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Ura Опубликовано 12 мая, 2009 · Жалоба А не пробовали 2-3-4-... точки съема выгрузить в одну физическую 2-3-4-...мя vlan-ами? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Digital Man Опубликовано 13 мая, 2009 · Жалоба СОРМ спецификации Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
No_name Опубликовано 14 мая, 2009 · Жалоба Я офигеваю. На 11т рыл легко можно поставить сорм только за счет своих средств, причем не напрягаясь. Нафик вам эти заморочки? Вы или в минус работаете или у вас не правильная ценовая политика что приходится извращаться с чужим сормом? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Галушко Дмитрий Опубликовано 14 мая, 2009 · Жалоба Я офигеваю. На 11т рыл легко можно поставить сорм только за счет своих средств, причем не напрягаясь... У ФСБ несколько иное мнение... Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
DSC Опубликовано 19 мая, 2009 (изменено) · Жалоба У ФСБ несколько иное мнение... Что вы имеете в виду? Изменено 19 мая, 2009 пользователем DSC Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Andrei Опубликовано 19 мая, 2009 · Жалоба Что вы имеете в виду? Наверное имеется ввиду, что расходы на материально-техническое обеспечение СОРМ по федеральному закону об ОРД являются расходным обязательством бюджета РФ. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
ksm Опубликовано 19 мая, 2009 · Жалоба Что вы имеете в виду?Наверное имеется ввиду, что расходы на материально-техническое обеспечение СОРМ по федеральному закону об ОРД являются расходным обязательством бюджета РФ. уже нет. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
ilia_2s Опубликовано 19 мая, 2009 · Жалоба Что вы имеете в виду?Наверное имеется ввиду, что расходы на материально-техническое обеспечение СОРМ по федеральному закону об ОРД являются расходным обязательством бюджета РФ. уже нет. А это почему? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Andrei Опубликовано 20 мая, 2009 · Жалоба уже нет. Что поменялось? Пожалуйста сразу со ссылкой на нормативный правовой акт. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Галушко Дмитрий Опубликовано 20 мая, 2009 · Жалоба Стукни в аську помогу И ответ на стуки в асю - молчание... Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
San Опубликовано 20 мая, 2009 · Жалоба Если не можете обойтись без натов, то на съемник трафа нужно подавать логи радиуса, кидайте их через зеркало отдельным вланом. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
grfmaniak Опубликовано 21 мая, 2009 · Жалоба Первый вариант: Сделать всё красиво - использовать динамическое выделение "белых" IP-адресов. Попробовали внедрить.Оказалось билинг UTM5 cовсем не годится для этой задачи: пуляет трафик не в того юзера, начинает зависать, падать каждые 2 часа. Мы реализовали именно так. Динамический пул белых адресов, биллинг - Lanbilling. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
Belize Опубликовано 22 мая, 2009 · Жалоба Если не можете обойтись без натов, то на съемник трафа нужно подавать логи радиуса, кидайте их через зеркало отдельным вланом. Так и сделали, с радиусом проблем нет, запросы и ответы оседают на съемнике. Но. Вот на съемнике осело что абонент pupkin подключился и получил адрес 10.x.x.x. А когда pupkin хулиганит в интернете и пишет гадости про чиновников на форумах, то там "светится" белый адрес из натовского пула. Потому УФСБ и требует таблицу соответствий "серого"/"белого" адресов. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
San Опубликовано 29 мая, 2009 (изменено) · Жалоба Так соответствие адресов - формальность. Дайте соответствие адресов, вот эта подсеть натится туда, а эта - сюда. В итоге требования выполнили, выполнили, и даже поспособствовали проведению мероприятий. Хотя на самом деле основная задача всей этой канители - однозначная идентификация пользователя. По идее, установив время нахождения и зная пул адресов все должно сложится. Веди переговоры и ищите решение совместно, там тоже люди... Изменено 29 мая, 2009 пользователем San Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
