HTTPS FBF filtering via JunOS

Усложним задачу - теперь на DPI нужно отправить и HTTPS-трафик. Так как DPI требуется "просматривать" сертификат сервера, то и обратный HTTPS-трафик от сервера тоже должен идти через DPI.

# небольшая добавка к нашему фильтру
set firewall family inet filter FL-WEB-IN term web from destination-port 80
set firewall family inet filter FL-WEB-IN term web from destination-port 443
set firewall family inet filter FL-WEB-IN term web then count CN_WEB_REQ
set firewall family inet filter FL-WEB-IN term web then next-interface xe-3/2/1.0
set firewall family inet filter FL-WEB-IN term web then next-interface routing-instance ZAPRET
set firewall family inet filter FL-WEB-IN term default then accept

# ещё один фильтр, который завернёт обратный HTTPS на DPI
set firewall family inet filter FL-ZAPRET-HTTPS-IN term https from destination-prefix-list pl-myAS-routes-v4
set firewall family inet filter FL-ZAPRET-HTTPS-IN term https from protocol tcp
set firewall family inet filter FL-ZAPRET-HTTPS-IN term https from source-port 443
set firewall family inet filter FL-ZAPRET-HTTPS-IN term https then count CN_HTTPS_RES
set firewall family inet filter FL-ZAPRET-HTTPS-IN term https then next-interface xe-3/2/2.0
set firewall family inet filter FL-ZAPRET-HTTPS-IN term default then accept

# применяем его к uplink-интерфейсу:
set interfaces ge-0/0/0 unit  0 family inet filter input FL-ZAPRET-HTTPS-IN

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

streaming multicast IPTV to HLS (nginx+RTMP)

Получаем контент 239.192.1.1, 239.192.1.2 и 239.192.1.3. Будем раздавать его через WEB по протоколу HLS , что позволяет смотреть видео не только на компьютере с flash, но и на устройствах под управлением iOS(iPhone/iPad), а также на Android. Для этого будем использовать nginx c поддержкой RTMP-модуля , модуль распространяется по лицензии BSD. Он собирается и работает под Linux и FreeBSD. Собираем nginx с поддержкой RTMP-модуля : cd NGINX source directory & run this: ./configure --add-module=/path/to/nginx-rtmp-module make make install RTMP поддерживает ограниченный набор кодеков, а для просмотра HLS на iPhone нужно кодировать в H264 и AAC. Для multicast-потока потребуется перекодировка, для этого будем использовать FFMPEG. nginx-rtmp.conf: user www; worker_processes 1; worker_rlimit_nofile 65535; worker_priority -5; error_log  /var/log/http/rtmp-error.log error; events {     worker_connections  1024;     use kqu...
Далее...

using pg_partman to help partitioning postgresql for zabbix

WARNINGS: PostgreSQL partitioning is not supported by Zabbix SIA technical support Changing partition configuration on existing datasets requires a great deal of care and is not recommended for newbies. The Zabbix server and web server should be stopped when making changes to DB. There are some solutions in Internet, but I have used my own with help of pg_partman - pg_partman is an extension to create and manage both time-based and serial-based table partition sets. These scripts cater for partitioning any Zabbix tables that include the clock column. Partitioning is recommended for large tables such as history* , trends* and events where the data size might exceed total physical RAM. When selecting a partitioning interval, try find a balance between minimising the number of partitions (e.g. use yearly or monthly), preventing empty partitions and preventing partition size from exceeding total physical RAM. For current version of pg_partman (>= 3.0.0): -- Create m...
Далее...