Невиновность ISP

[Serhio Go]

Коллеги, всем доброе время суток.

На волне бушующих в соседней палате страстей возникла идея связки Catalyst3560E + WCCPv2 + Squid в транспарент-режиме в качестве частного решения DPI для блокировки урлов вида http://youtube.com/blablabla или http://vk.com/shkololo . Загоняем в аксесс-лист WCCP IP фронтендов трубки /вконтакта (их не так много), а уже на сквиде пишем лист для редиректа на сайт прокуратуры. Я правильно понимаю, что входящий траф с трубко пойдет мимо сквида? Если да, то траф через сквид получится небольшой, и проблема решается сравнительно малой кровью.

Понятно, что против https оно бессильно, это пока оставим за скобками.

 

Покритикуйте плз.

[st_re]

У вконтакта есть (как минимум была пол года назад) фича.. Если меняется IP в процессе перехода от фронтенда к серверу отдающему тяжелый контент, то 404.. е.г. я хожу по вконтактику, тычу мышем... нажимаю на ссылку и она мне отдается только если это была сссылка с вконтакта (хреф) и я пришел с того же IP с которого тыкался по ссылкам. (эт я творил безобразие в обратную сторону в плане закешировать тяжелый контент. у меня сам трафик к вконтакту шел мимо кешелки, а в кешелку завернулись запросы к кино.. пока не сделал одинаковый IP не работало)

[Ivan_83]

Заплатите авторам за допил nginx до понимания WCCPv2, и будет ещё сильно лучше, сквид как то не серьёзно работает, ИМХО, для продакшена.

Аксес листы я держу в map, получается быстро, но у меня для личного использования.

[Serhio Go]

У вконтакта есть (как минимум была пол года назад) фича.. Если меняется IP в процессе перехода от фронтенда к серверу отдающему тяжелый контент, то 404.. е.г. я хожу по вконтактику, тычу мышем... нажимаю на ссылку и она мне отдается только если это была сссылка с вконтакта (хреф) и я пришел с того же IP с которого тыкался по ссылкам. (эт я творил безобразие в обратную сторону в плане закешировать тяжелый контент. у меня сам трафик к вконтакту шел мимо кешелки, а в кешелку завернулись запросы к кино.. пока не сделал одинаковый IP не работало)

Так, насколько я понял идеологию решения, при транспаренте фокус как раз в том, что srcIP остается неизменным.

[Alex/AT]

У вконтакта есть (как минимум была пол года назад) фича..

Дома два оператора, NAT, балансировка. Подтверждаю - фича имеется. На динамике, к счастью, не проявляется - а вот статика (CDN'ка, видимо) - видео, музыка - глючит.

[snark]

Catalyst + Cisco-вская прокся

Каталист подойдет наверное любой L3, т.к. даже в стареньком 3550 есть WCCP + возможность сохранения IP адреса проксируемого, т.е. адрес не подменяется адресом прокси. На кеше обязательно наличие ACNS софта.

[st_re]

 

Так, насколько я понял идеологию решения, при транспаренте фокус как раз в том, что srcIP остается неизменным.

 

Я предупредил, чтобы были в курсе.. :) понятно, что все решаемо.

[Serhio Go]

Catalyst + Cisco-вская прокся

Есть достаточно подробные статьи, как скрещивать кошек с кальмарами в транспаренте. Ну, что с CCE будет работать - оно понятно, для того и делали.

Каталист подойдет наверное любой L3

А вот и нет. 4900М не умеет, печаль.

 

Ладно, с понедельника начну эксперименты.

Результаты ищите среди новостей о временных блокировках трубко там-сям :)

Edited September 21, 2012 by Serhio Go

[Дегтярев Илья]

Зачем вам вообще WCCPv2 и прокся?

 

PBR нужного исходящего на линуховый тазик, на нем l7filter по нужным словам, прошедшее дальше роутить обратно наинтерфейс без pbr.

[snark]

скрещивать кошек с кальмарами в транспаренте

Конечно можно плодить мулов, но лучше разводить скакунов, IMHO.

То о чем я писал в сквиде реализуется только с помощью tproxy, AFAIR.

 

4900М не умеет

На его скоростях это ... э-э-э ... мягко говоря, проблематично, Вы не находите?

В прочем, см. в тексте слово "наверное" ;)

 

линуховый тазик, на нем l7filter

strings еще почему-то вспомнился на ночь глядя.

[Serhio Go]

скрещивать кошек с кальмарами в транспаренте

Конечно можно плодить мулов, но лучше разводить скакунов, IMHO.

То о чем я писал в сквиде реализуется только с помощью tproxy, AFAIR.

Вероятно, я не точно выразил первоначальную идею. Под сквидом в транспарент моде имелась в виду как раз его связка с tproxy.

4900М не умеет

На его скоростях это ... э-э-э ... мягко говоря, проблематично, Вы не находите?

Ну, 4500E умеет, и скорости не мешают. Тут скорее дело в общей урезанности М-ки по сравнению с 45й платформой.

В-общем, не суть, 3560E умеет, мне этого пока хватит.

В прочем, см. в тексте слово "наверное" ;)

Да видел я ;)