Потому что браузер — это L7. А tcp — это L4 и занимается этим ОС. И как tcp отправляет данные — сугубо фиолетово вышележащим уровням. И надеяться, что уходить данные будут именно теми порциями, какими вы скарлимаваете их тсп с вышележащего уровня — нельзя. Пришел от удаленной стороны win 0 (ну не может удаленная сторона временно принимать наши данные) — и у нас копится буфер. Потом он начнет опорожняться, когда удаленная сторона прочихается. И вся ваша нарезка — собьется.
Так что DPI изначально это умеют (читать именно tcp поток), если это конечно полноценная DPI, а не простой match ip пакетов, как предполагает автор топика.
Вы написали — с любыми флагами. Что-то в статье не видно проверок (или я пропустил?), везде подразумевается метод tcp-коннект. Было бы интересно проделать что-то типа
Я привел вывод с cisco2960. У меня на них на всех снупинг включен. Факт есть факт — файл перезаписывается. То же самое юзаю на c3560 — такая же картина, файл перезаписывается, никакой кучи файлов нет. с3560 работают много лет, за это время все место исчерпалось бы много раз.
Настроено так
ip dhcp snooping database flash:dhcp_snooping
ip dhcp snooping database write-delay 60
ip dhcp snooping database timeout 60
Так что где-то может это проблема с невысвобождением места и есть, но к железу статьи это относится не должно.
>>Очень большая ошибка. Флеш быстро загадится морем файлов. Надо tftp хотя бы.
Сколько ни делал — ни разу не видел. Файл перезаписывается. Он нужен, что бы после внезапной перезагрузки железки у юзеров связь не пропала. Если они напрямую на свиче — они переполучат адреса и это «унюхается» снупингом, а если нет — то нет. А когда есть файлик — инфа подцепиться из него.
Хех. Ровно год назад хосты из этой /24 сканили наши внешние адреса на предмет tcp:80
При этом у нас веб-а своего отродясь не было, но домен свой есть, да.
Но это еще что. Работал я как-то в вузе в начале нулевых и однажды внешний адрес институтской транспарент-прокси просканали из сетки яндекса нехило (несколько раз по кругу все 65535 портов). Когда попытался выяснить, в чем же дело, ответ был примерно в том русле, что дескать подозрение на анонимный прокси, ряд поисковых запросов с вашего ip нарушил какую-то там политику поисковика. Надо было сохранить ту переписку для истории.
А у меня во дворе те, кто в аптеках постоянно «нафтизинку и инсулинку» стреляют ссут и срут где ни попадя и ревут за стеной моей квартиры потом, как дикие звери. Поэтому делать со своим телом строго все что угодно без причинения неудобств окружающим у вас не получится, поверьте. А еще они из окон выбрасываются, иногда — на головы прохожим.
net-geek.org/dbg/2007/10/reading-tcp-socket.html
Так что DPI изначально это умеют (читать именно tcp поток), если это конечно полноценная DPI, а не простой match ip пакетов, как предполагает автор топика.
www.vedomosti.ru/tech/news/15832871/filtr-dlya-rostelekoma
Стартовая цена конкурса — 1,12 млрд руб.
Есть альтернативы. Возможно остинато это умеет. Я пользовался олдовым nemesis
nemesis --help
TCP options:
…
-P Это точно то, что нужно.
Вот еще одно расследование от того же чела.
net-geek.org/dbg/2009/12/yota-scandal.html
net-geek.org/dbg/2007/06/lj-banned-words.html
"… Обратите внимание, мы цепляли payload к SYN-пакетам..."
Настроено так
ip dhcp snooping database flash:dhcp_snooping
ip dhcp snooping database write-delay 60
ip dhcp snooping database timeout 60
Так что где-то может это проблема с невысвобождением места и есть, но к железу статьи это относится не должно.
Сколько ни делал — ни разу не видел. Файл перезаписывается. Он нужен, что бы после внезапной перезагрузки железки у юзеров связь не пропала. Если они напрямую на свиче — они переполучат адреса и это «унюхается» снупингом, а если нет — то нет. А когда есть файлик — инфа подцепиться из него.
sh flash
…
5 -rwx 2097 Sep 3 2013 16:06:38 +04:00 dhcp_snooping
Вот например
109.207.1.108
gu.gas-u.ru
Авторизации просит.
HTTP/1.1 401 Unauthorized
Content-Length: 83
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: NTLM
MicrosoftSharePointTeamServices: 12.0.0.6318
X-Powered-By: ASP.NET
Date: Tue, 27 Aug 2013 13:46:26 GMT
Connection: keep-alive
При этом у нас веб-а своего отродясь не было, но домен свой есть, да.
Но это еще что. Работал я как-то в вузе в начале нулевых и однажды внешний адрес институтской транспарент-прокси просканали из сетки яндекса нехило (несколько раз по кругу все 65535 портов). Когда попытался выяснить, в чем же дело, ответ был примерно в том русле, что дескать подозрение на анонимный прокси, ряд поисковых запросов с вашего ip нарушил какую-то там политику поисковика. Надо было сохранить ту переписку для истории.
Ну да, и не нарики крокодильные, гниющие заживо.