sshutdownow

Усложним задачу - теперь на DPI нужно отправить и HTTPS-трафик. Так как DPI требуется "просматривать" сертификат сервера, то и обратный HTTPS-трафик от сервера тоже должен идти через DPI. # небольшая добавка к нашему фильтру set firewall family inet filter FL-WEB-IN term web from destination-port 80 set firewall family inet filter FL-WEB-IN term web from destination-port 443 set firewall family inet filter FL-WEB-IN term web then count CN_WEB_REQ set firewall family inet filter FL-WEB-IN term web then next-interface xe-3/2/1.0 set firewall family inet filter FL-WEB-IN term web then next-interface routing-instance ZAPRET set firewall family inet filter FL-WEB-IN term default then accept # ещё один фильтр, который завернёт обратный HTTPS на DPI set firewall family inet filter FL-ZAPRET-HTTPS-IN term https from destination-prefix-list pl-myAS-routes-v4 set firewall family inet filter FL-ZAPRET-HTTPS-IN term https from protocol tcp set firewall family inet filter F...

У нас есть маршрутизатор Juniper, к нему подключен DPI, который, для примера, осуществляет фильтрацию WEB-трафика по "реестру" росскомнадзора. # DPI включен в Juniper двумя портами:   set interfaces xe-3/2/1 description "DPI input interface" set interfaces xe-3/2/1 unit 0 family inet mtu 1500 set interfaces xe-3/2/1 unit 0 family inet no-redirects set interfaces xe-3/2/1 unit 0 family inet address 10.0.0.1/30 set interfaces xe-3/2/2 description "DPI output interface" set interfaces xe-3/2/2 unit 0 family inet mtu 1500 set interfaces xe-3/2/2 unit 0 family inet no-redirects set interfaces xe-3/2/2 unit 0 family inet address 10.0.0.2/30 # vrf для FBF # После нескольких попыток пришёл к выводу, что самый простой и рабочий вариант сделать, чтобы default route смотрел в глобальную таблицу. В DPI (порт xe-3/2/1) трафик будем загонять через PBR FBF set routing-instances ZAPRET instance-type virtual-router set routing-instances ZAPRET interface...