Raw-Filter в цепочке Prerouting выполняются, практически, в самом начале обработки. Первее проверяются и фильтруются только подключения Hotspot-клиентов, но для устройств без Wi-Fi, как я понимаю, это вообще не актуально.
Так что, пакет на закрытые в Raw-Filter порты будет отброшен сразу по приходу.
исключить доступ из Интернета к административным сервисам маршрутизатора по следующим сетевым портам: 22/tcp (ssh) 80/tcp (http) 443/tcp (https) 2000/udp и 2000/tcp (bandwidth-test) 8291/tcp (winbox) 8728/tcp и 8729/tcp (API и API-SSL RouterOS).
Бред какой-то.
Ну, допустим, 22, 8291, 8728 и 8729 у нас и так закрыты. 2000 закроем без проблем.
Но как закрыть 80 и 443, если по этим портам идёт проброс на наш веб-сервер?
А я несколько лет назад разбирал на работе залежи металлолома. Нашел Voodoo 2. Раритет, но не работала. Сдал на утилизацию, как и какой-то процессор на адаптере Slot 1.
Кстати, GAG тоже был на двух дисках. Но он не ставился на комп, а игрался с CD. Сами диски были нужны в приводе (или в виртуальном приводе) и их надо было менять несколько раз в процессе прохождения. И их наличие проверялось каким-то примитивным способом (кажется, по метке CD).
Благодаря ёмкости дисков в 640 МиБ (в три раза больше, чем жёсткий диск PC на то время) ...
Ну да, ну да ...
В середине 90-х была внедрена адресация LBA, позволявшая на тот момент адресовать свыше 8 Gb дискового пространства. А до середины 90-х была распространена адресация CHS, с ограничением около 500 Mb.
Т.е. никак "в три раза больше" не получается. Разве что совсем древний на то время хард раскопать.
Мы должны с ряда объектов передавать сведения в центральную базу при АРКИ МО. Причем, каждый час. Если перерыв 3 часа, то начинаются гневные звонки: что там у вас случилось?
Раньше при потере связи (чаще всего из-за выхода из строя контроллера с встроенным модемом или отдельного модема) выезжали туда и резвенько меняли проблемное оборудование. Иногда, не один раз. Теперь же придется заменить оборудование, перерегистрировать его, убедиться, что не в нем дело, почесать правой рукой то, что чешет левая, выматериться и продолжать плясать с бубном по жопе ...
Насколько я помню, Murmur-хеширование устроено посложнее. Там и сложения и умножения и сдвиги пр. Константы MurmurHash авторы алгоритма подбирали так, чтобы обеспечить лавинный эффект и приемлемую равномерность отображения в 32-битное число (для уменьшения частоты коллизий).
Приведенный фрагмент "Murmur-like finalizer" не оставляет впечатления удовлетворяющего этим требованиям.
Хотелось бы увидеть статистику заполнения хеш-таблиц на реальных кортежах.
Ведь если она заполняется очень неравномерно (где густо, а где пусто), то это приведет у удлинению списков и снижению эффективности их обработки.
— Это же п-проблема Бен Б-бецалеля. К-калиостро же доказал, что она н-не имеет р-решения.
— Мы сами знаем, что она не имеет решения, — сказал Хунта, немедленно ощетиниваясь. — Мы хотим знать, как ее решать.
— К-как-то ты странно рассуждаешь, К-кристо… К-как же искать решение, к-когда его нет? Б-бессмыслица какая-то…
— Извини, Теодор, но это ты очень странно рассуждаешь. Бессмыслица — искать решение, если оно и так есть. Речь идет о том, как поступать с задачей, которая решения не имеет. Это глубоко принципиальный вопрос, который, как я вижу, тебе, прикладнику, к сожалению, не доступен.
(C) А. и Б. Стругацкие. "Понедельник начинается в субботу".
Например, новый запрос инвалидирует все предыдущие ссылки.
Офигенный способ положить аккаунт. Достаточно задудосить его запросами на смену пароля. Если пользователь, действительно, забудет пароль, то назначить новый он не сможет, т.к. его ссылка на смену пароля очень быстро станет невалидной.
Еще круче будет, если раз в пару месяцев система будет требовать сменить пароль. Вместо кнопки "Вход" - кнопка "Сменить пароль". На мыло падает ссылка для смены, но ... она уже не действительна.
Только вот дело в том, что Cisko имеет свой проприетарный протокол STP - PVST (Per-VLAN Spanning Tree), в котором для каждого VLAN строится своё собственное дерево STP.
Прочие производители используют RSTP или MSTP, которые относятся к CST (Common Spanning Tree), в котором дерево общее для всех VLAN.
Это приводит к тому, что при организации Port-based VLAN (разделение VLANами портов на отдельные виртуальные коммутаторы) STP может определить дублирующие линии, хотя на самом деле они принадлежат разным виртуальным сетям. И одну линии связи, а в месте с ней и часть сети обрубит.
Чтобы такого не случалось, приходится отключать на этих портах STP. Или вообще выключать его на коммутаторах - разные коммутаторы позволяют делать либо одно, либо другое.
Raw-Filter в цепочке Prerouting выполняются, практически, в самом начале обработки. Первее проверяются и фильтруются только подключения Hotspot-клиентов, но для устройств без Wi-Fi, как я понимаю, это вообще не актуально.
Так что, пакет на закрытые в Raw-Filter порты будет отброшен сразу по приходу.
У меня в прошлом году Keenetic обновил прошивку, хотя я обновление прошивки в опциях отключил.
И в этом году - еще раз.
исключить доступ из Интернета к административным сервисам маршрутизатора по следующим сетевым портам:
22/tcp (ssh)
80/tcp (http)
443/tcp (https)
2000/udp и 2000/tcp (bandwidth-test)
8291/tcp (winbox)
8728/tcp и 8729/tcp (API и API-SSL RouterOS).
Бред какой-то.
Ну, допустим, 22, 8291, 8728 и 8729 у нас и так закрыты. 2000 закроем без проблем.
Но как закрыть 80 и 443, если по этим портам идёт проброс на наш веб-сервер?
А вот и нет. По дефолту там открыто много чего ненужного. Приходится отключать сервисы, закрывать порты, ставить ханипоты и пр.
Ячейка Шрёдингера?
А я несколько лет назад разбирал на работе залежи металлолома. Нашел Voodoo 2. Раритет, но не работала. Сдал на утилизацию, как и какой-то процессор на адаптере Slot 1.
Кстати, GAG тоже был на двух дисках. Но он не ставился на комп, а игрался с CD. Сами диски были нужны в приводе (или в виртуальном приводе) и их надо было менять несколько раз в процессе прохождения. И их наличие проверялось каким-то примитивным способом (кажется, по метке CD).
Я себе первый комп купил в 1998 году с рук. Ему было на тот момент 2-3 года. И в нем стоял хард на 1,3 Gb.
И как раз гонял на нём Heretic, Hexen, Doom. Но из 3D-шутеров больше всего нравилось мочить кабанов и рептилоидов в порнокинотеатре в Дюке Нюкеме :)
Ну да, ну да ...
В середине 90-х была внедрена адресация LBA, позволявшая на тот момент адресовать свыше 8 Gb дискового пространства. А до середины 90-х была распространена адресация CHS, с ограничением около 500 Mb.
Т.е. никак "в три раза больше" не получается. Разве что совсем древний на то время хард раскопать.
Одна рука не ведает, где чешет вторая :(
Мы должны с ряда объектов передавать сведения в центральную базу при АРКИ МО. Причем, каждый час. Если перерыв 3 часа, то начинаются гневные звонки: что там у вас случилось?
Раньше при потере связи (чаще всего из-за выхода из строя контроллера с встроенным модемом или отдельного модема) выезжали туда и резвенько меняли проблемное оборудование. Иногда, не один раз. Теперь же придется заменить оборудование, перерегистрировать его, убедиться, что не в нем дело, почесать правой рукой то, что чешет левая, выматериться и продолжать плясать с бубном по жопе ...
Словевов нет, товарисчи :(
Насколько я помню, Murmur-хеширование устроено посложнее. Там и сложения и умножения и сдвиги пр. Константы MurmurHash авторы алгоритма подбирали так, чтобы обеспечить лавинный эффект и приемлемую равномерность отображения в 32-битное число (для уменьшения частоты коллизий).
Приведенный фрагмент "Murmur-like finalizer" не оставляет впечатления удовлетворяющего этим требованиям.
Хотелось бы увидеть статистику заполнения хеш-таблиц на реальных кортежах.
Ведь если она заполняется очень неравномерно (где густо, а где пусто), то это приведет у удлинению списков и снижению эффективности их обработки.
А в их релизе таких стран нет. Только указанные правительственные группировки и COMET для коммерческих и прочих группировок.
— Это же п-проблема Бен Б-бецалеля. К-калиостро же доказал, что она н-не имеет р-решения.
— Мы сами знаем, что она не имеет решения, — сказал Хунта, немедленно ощетиниваясь. — Мы хотим знать, как ее решать.
— К-как-то ты странно рассуждаешь, К-кристо… К-как же искать решение, к-когда его нет? Б-бессмыслица какая-то…
— Извини, Теодор, но это ты очень странно рассуждаешь. Бессмыслица — искать решение, если оно и так есть. Речь идет о том, как поступать с задачей, которая решения не имеет. Это глубоко принципиальный вопрос, который, как я вижу, тебе, прикладнику, к сожалению, не доступен.
(C) А. и Б. Стругацкие. "Понедельник начинается в субботу".
Penetration Rate.
Офигенный способ положить аккаунт. Достаточно задудосить его запросами на смену пароля. Если пользователь, действительно, забудет пароль, то назначить новый он не сможет, т.к. его ссылка на смену пароля очень быстро станет невалидной.
Еще круче будет, если раз в пару месяцев система будет требовать сменить пароль. Вместо кнопки "Вход" - кнопка "Сменить пароль". На мыло падает ссылка для смены, но ... она уже не действительна.
Может быть, потому, что на кредитках стали делать не выдавленные номера, а просто напечатанные? Такие копиркой не снимешь.
А некоторые, даже, голову при этом подключали.
Только вот дело в том, что Cisko имеет свой проприетарный протокол STP - PVST (Per-VLAN Spanning Tree), в котором для каждого VLAN строится своё собственное дерево STP.
Прочие производители используют RSTP или MSTP, которые относятся к CST (Common Spanning Tree), в котором дерево общее для всех VLAN.
Это приводит к тому, что при организации Port-based VLAN (разделение VLANами портов на отдельные виртуальные коммутаторы) STP может определить дублирующие линии, хотя на самом деле они принадлежат разным виртуальным сетям. И одну линии связи, а в месте с ней и часть сети обрубит.
Чтобы такого не случалось, приходится отключать на этих портах STP. Или вообще выключать его на коммутаторах - разные коммутаторы позволяют делать либо одно, либо другое.
Проблема не в том, что сертификаты некому выпускать, а в том, что сертификаты, выпущенные этим ОТУЦем, не будут признаваться забугорными браузерами.
"Caedite eos. Novit enim Dominus qui sunt eius". (C) Аббат Арно Амальрик.