forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, применяемом для PXE-загрузки, opennews (ok), 17-Янв-24, (0) [смотреть все]

Скрыто модератором, C00l_ni66a (ok), 22:04 , 17-Янв-24, (1) –2 //

Скрыто модератором, амоним (?), 22:08 , 17-Янв-24, (3)
Скрыто модератором, Аноним (-), 23:34 , 17-Янв-24, (8) –4
Скрыто модератором, Аноним (-), 00:15 , 18-Янв-24, (15) +2 //

Скрыто модератором, YetAnotherOnanym (ok), 12:54 , 18-Янв-24, (33)

да тут просто флеш рояль , амоним (?), 22:07 , 17-Янв-24, (2) +9 //

Точнее флеш фирмварь Но примерно то же самое в случае UEFI, Аноним (-), 22:49 , 17-Янв-24, (6) +6 //

а вот опенсорсный БИОС coreboot SeaBIOS этим вашим UEFI-дырам не подвержен - у, Аноним (60), 18:45 , 18-Янв-24, (60) +2 //

КМК его пишут все же не настолько ушибленные индусские коты Если просто посмотре, Аноним (-), 19:58 , 18-Янв-24, (67) –2
а вот опенсорсный БИОС Так эта штука и так опенсорсная уже 20 лет А у coreboo, Аноним (-), 20:07 , 18-Янв-24, (68)

вынипанимаити - ета другое , пох. (?), 22:52 , 18-Янв-24, (74)

Скрыто модератором, Аноним (-), 23:50 , 17-Янв-24, (10) +2
На автомате выпадает С С С С, музыка, звон монет, вы выиграли Джек-Пот , Аноньимъ (ok), 13:49 , 18-Янв-24, (41) –1

а вот был бы раст , Аноним (11), 23:57 , 17-Янв-24, (11) –5
Это кстати, эта штука не сильно и новая Интел ее открыл в 2004 году и подарил со, Аноним (-), 23:57 , 17-Янв-24, (12) +3 //

Вариант тупо не использовать UEFI, всё-равно он не может быть безопасным из-за п, Брат Анон (ok), 09:22 , 18-Янв-24, (25) +1 //

А толку Берем тот же coreboot - и видим там CVE-2022-29264 - arbitrary code exec, Аноним (-), 12:26 , 18-Янв-24, (32) +1 //

Для критических к безопасности вещей писать на голой сишке - это шиза Хоть с ан, Аноньимъ (ok), 13:45 , 18-Янв-24, (36) –1

да, надо сразу на markdown программировать Это безопастно код начальной иници, нах. (?), 13:47 , 18-Янв-24, (40)

Та не в коде инициализации аппаратуры ошибки , Аноньимъ (ok), 13:50 , 18-Янв-24, (43)

ну давай половину начального загрузчика напишем на си, а вторую на хаскеле Удач, нах. (?), 13:52 , 18-Янв-24, (45)

Хаскель кстати в сишку компилируется, никакой спец магии ненужно для этого Разме, Аноньимъ (ok), 14:07 , 18-Янв-24, (46)

сперва надо чтоб образовалось ЧТО компилировать - и именно в этом месте тебя жду, нах. (?), 14:29 , 18-Янв-24, (49) +1
Встретились 2 очень всех нужным штуки как-то, и стали меряться - кто же из них ч, Аноним (69), 20:10 , 18-Янв-24, (69)
Ты потом в этом коде разбираться будешь , Аноним (73), 22:42 , 18-Янв-24, (73)

Погоди-погоди, а мы зачем на хаскель-то собрались переписывать Никто не может , пох. (?), 23:01 , 18-Янв-24, (77)

А на чем писать Ты со своим с мозг что ли высушил Какой хаскель Ты видимо на, Аноним (73), 22:41 , 18-Янв-24, (72)

На Лиспе , Аноньимъ (ok), 15:31 , 19-Янв-24, (98)
Скрыто модератором, Аноним (-), 08:22 , 20-Янв-24, (100)

Практически всё Сообщество 89 согласно отчётам board_status использовало SeaB, Аноним (65), 19:54 , 18-Янв-24, (65) –1

Не зря гугля в своих материнках в ДЦ использует coreboot, Анонимус3000 (?), 01:35 , 18-Янв-24, (16) //

гугля старается писать на богомерзком расте куда им до настоящих сишников , амоним (?), 01:41 , 18-Янв-24, (17) –1 //

В том то и дело что старается, но ничего не напишет , Аноним (22), 08:58 , 18-Янв-24, (22) +1 //

Так делают все, кто пытался писать на расте , Аноним (24), 09:10 , 18-Янв-24, (24) +3
не, ну как же - пятнадцать прослоек к прокладкам уже написал шитотатам 80 нова, нах. (?), 10:17 , 18-Янв-24, (27) –2

Скрыто модератором, Аноним (-), 10:29 , 18-Янв-24, (28)

Скрыто модератором, нах. (?), 11:55 , 18-Янв-24, (30)

звиздишь как Троцкий Не с той стороны проценты взял, там было 21 год назад та, Аноним (92), 01:57 , 19-Янв-24, (92)

ведроид представляет собой линукс с кучкой прослоек и прокладок И jvm краденую , нах. (?), 12:13 , 19-Янв-24, (97) –1

Офигенно получается Так им понравилось это дело, что заявляют о стремлении всё , Аноним (92), 02:08 , 19-Янв-24, (94)

Красиво пошли , Аноним (18), 02:25 , 18-Янв-24, (18) +1
А qemu проблеме подвержена OVMF вроде бы тоже на EDK2 основана , Аноним (20), 07:40 , 18-Янв-24, (20) //

А кого там ломать самого себя , Аноним (22), 08:59 , 18-Янв-24, (23)
в QEMU коребутовский образ тоже с SeaBIOS ом идёт вместо UEFI-жирноты, Аноним (65), 19:56 , 18-Янв-24, (66) –1

Это был вопрос времени Выделить буфер фиксированного размера, а потом записать , Шарп (ok), 11:20 , 18-Янв-24, (29) +1 //

Нужно было использовать Эльбрус , kusb (?), 14:13 , 18-Янв-24, (47) +1 //

Как ты гору используешь Будешь сбрасывать нерадивых разработчиков с вершины , Аноним (92), 02:02 , 19-Янв-24, (93) //

да там у самих вершин полого все, далеко не улетят Можно просто их там бросать , пох. (?), 11:27 , 19-Янв-24, (96)

интересно, много ли серверных позволяют попасть неаутентифицированному пользоват, Аноним (31), 12:15 , 18-Янв-24, (31) //

полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по , mblp (??), 12:55 , 18-Янв-24, (34) //

вот и не бери помойкохостинги в помойкодц Там где мои коробочки тарахтят - ничег, нах. (?), 13:44 , 18-Янв-24, (35) //

Как реализуете , Аноньимъ (ok), 13:47 , 18-Янв-24, (39)

port isolationшироковещательный траффик просто никуда не дойдет кроме маршрутиза, нах. (?), 13:51 , 18-Янв-24, (44)

Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это , Tron is Whistling (?), 17:01 , 18-Янв-24, (54)

pxe - это не сеть управления, это сеть клиента , нах. (?), 18:13 , 18-Янв-24, (59)

ЩАЗ Не, если бареметал клиент хочет PXE с откуда попало - его право Изоляция по, Tron is Whistling (?), 19:49 , 18-Янв-24, (61)

тупой вопрос и даже vlan не спасёт , Аноним (31), 13:46 , 18-Янв-24, (37) //

не напасешься Но port isolation - таки да , нах. (?), 13:49 , 18-Янв-24, (42)

точно, про него забыл, спасибо, Аноним (31), 15:20 , 18-Янв-24, (51)
Да почему не напасёшься-то Более 4000 портов на свитч , Tron is Whistling (?), 17:02 , 18-Янв-24, (55)
Мы даже с port isolation не заморачиваемся - тупо влан на порт , Tron is Whistling (?), 17:03 , 18-Янв-24, (56)

а дальше Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-, нах. (?), 18:12 , 18-Янв-24, (58)

Ды ладно, всё не так плохо и сложно Отдельная адресация и отдельные маршруты дел, Tron is Whistling (?), 19:51 , 18-Янв-24, (62)

то есть ПОЛОВИНА адресов багровой шляпой накрыты Ну ок А можешь отсыпать 2, нах. (?), 20:14 , 18-Янв-24, (71)

23 не могу, 30 запросто Невдолбенные деньги - это сколько Десять баксов в мес, Tron is Whistling (?), 23:00 , 18-Янв-24, (75)

мля, ну куда мне совать твой 30 Мне надо что-то что можно хотя бы попросить а, пох. (?), 23:06 , 18-Янв-24, (80)

Ну что это означает Да ничего не означает, если не PI Всё так же будешь гонятьс, Tron is Whistling (?), 23:16 , 18-Янв-24, (84)

мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего не, пох. (?), 23:30 , 18-Янв-24, (90)
Абсолютно нормально Я бы сказал даже дёшево, у нас recurring дороже Правда без, Tron is Whistling (?), 09:54 , 19-Янв-24, (95)

Мы конечно в этом плане беднота уже 24 и шире вообще не даём, максимум 28 27, Tron is Whistling (?), 23:23 , 18-Янв-24, (85)

это не значит, что один клиент в теории не может себе нажрать 30 на целую 25 , Tron is Whistling (?), 23:25 , 18-Янв-24, (86)
26 то бишь, Tron is Whistling (?), 23:26 , 18-Янв-24, (87)
Ну и за шмот поясню у нас NAT до сих пор кроме как на мобилке - нет нигде Феер, Tron is Whistling (?), 23:28 , 18-Янв-24, (88)
Yes, даже у массы физиков нет NAT , Tron is Whistling (?), 23:29 , 18-Янв-24, (89)

Ну это для металла же Где-то даже 30, а не 31 VPS конечно сидят на 32 в анна, Tron is Whistling (?), 23:00 , 18-Янв-24, (76)

но зачем У вмвари все в порядке с port isolation, это бесплатно Еще и promis, пох. (?), 23:09 , 18-Янв-24, (81)

Но зачем, если проще положить клиента в совершенно изолированную подсеть наскво, Tron is Whistling (?), 23:11 , 18-Янв-24, (82)

а зачем нужен такой микроменеджмент Где я это делал - швыряли 24 на пару стоек, пох. (?), 23:39 , 18-Янв-24, (91)

Я кстати могу предположить вариант, при котором клиент даже промиск в своём влан, Tron is Whistling (?), 23:13 , 18-Янв-24, (83)

Есть варианты и без 31, есть варианты с 32 unnumbered, там тоже изоляция by de, Tron is Whistling (?), 19:53 , 18-Янв-24, (63)
Для совсем любителей есть VPLS , Tron is Whistling (?), 19:54 , 18-Янв-24, (64)

и чем оно нам тут поможет , нах. (?), 20:12 , 18-Янв-24, (70)

Оно тоже про изоляцию, на самом-то деле Порты ходят с меткой, и никого, кроме к, Tron is Whistling (?), 23:01 , 18-Янв-24, (78)
Это конкретно в тех местах, где свитчей либо ещё нет, либо уже нет , Tron is Whistling (?), 23:02 , 18-Янв-24, (79)

В случае VPS - VLAN на VPS Всё управление естественно отдельно ходит, туда вообщ, Tron is Whistling (?), 17:04 , 18-Янв-24, (57)

Сообщения [Сортировка по времени | RSS]

34. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от mblp (??), 18-Янв-24, 12:55

полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по сети в рескуе ос

Ответить | Правка | Наверх | Cообщить модератору

35. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:44

вот и не бери помойкохостинги в помойкодц.
Там где мои коробочки тарахтят - ничего подсунуть между гейтом и твоей коробкой не получится.
Еще от тыщи и одной болячки помогает.
А не фильтровать траффик разных клиентов друг от друга - ну могут позволить себе либо очень глупые, либо владельцы собственной площадки.

Ответить | Правка | Наверх | Cообщить модератору

39. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноньимъ (ok), 18-Янв-24, 13:47

> ничего подсунуть между гейтом и твоей коробкой не получится
Как реализуете?

Ответить | Правка | Наверх | Cообщить модератору

44. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:51

port isolation
широковещательный траффик просто никуда не дойдет кроме маршрутизатора (поэтому перехватить начальный бродкаст не получится), целевой дойдет - но через маршрутизатор, а это палево да и фильтры там.
Незачем пользовательским коробкам между собой общаться. Ничего хорошего они все равно таким путем не передают.

Ответить | Правка | Наверх | Cообщить модератору

54. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:01

Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это вообще очень странно.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

59. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 18:13

pxe - это не сеть управления, это сеть клиента.

Ответить | Правка | Наверх | Cообщить модератору

61. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:49

ЩАЗ.
Не, если бареметал клиент хочет PXE с откуда попало - его право. Изоляция портов тут не спасёт.
А если речь о загрузке аппаратной ноды с PXE - клиенты которые попадут на эту ноду, вообще не в курсе, откуда оно загрузилось.

Ответить | Правка | Наверх | Cообщить модератору

37. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноним (31), 18-Янв-24, 13:46

тупой вопрос: и даже vlan не спасёт?

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

42. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:49

не напасешься. Но port isolation - таки да.

Ответить | Правка | Наверх | Cообщить модератору

51. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноним (31), 18-Янв-24, 15:20

точно, про него забыл, спасибо

Ответить | Правка | Наверх | Cообщить модератору

55. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:02

Да почему не напасёшься-то? Более 4000 портов на свитч? :)

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

56. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:03

Мы даже с port isolation не заморачиваемся - тупо влан на порт.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

58. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 18:12

> Мы даже с port isolation не заморачиваемся - тупо влан на порт.
а дальше? Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-ц, собирать потом вланы кучкой на один svi - здравствуй proxy arp когда не ждали.

Ответить | Правка | Наверх | Cообщить модератору

62. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:51

Ды ладно, всё не так плохо и сложно.
Отдельная адресация и отдельные маршруты делаются, факт.
Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.

Ответить | Правка | Наверх | Cообщить модератору

71. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 20:14

> Ды ладно, всё не так плохо и сложно.
> Отдельная адресация и отдельные маршруты делаются, факт.
> Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.
то есть ПОЛОВИНА адресов багровой шляпой накрыты? Ну...ок...
А можешь отсыпать /23, по братски? А то я тут плачу за /28 совершенно нев...нные деньги, а у тебя, смотрю, лишинх-то дохрена?

Ответить | Правка | Наверх | Cообщить модератору

75. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00

/23 не могу, /30 запросто.
Невдолбенные деньги - это сколько? Десять баксов в месяц?

Ответить | Правка | Наверх | Cообщить модератору

80. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:06

мля, ну куда мне совать твой /30 ? Мне надо что-то что можно хотя бы попросить анонсить хороших (нет) ребят.
> Невдолбенные деньги - это сколько? Десять баксов в месяц?
мля... как бы это так сформулировать... ааааа, да хрен с ним - как тебе нравится
/24 IP subnet (254 usable IPs) € 435.20 monthly / € 659.00 setup
(эх... кажется, мои шансы что-то поиметь нахаляву теперь равны нулю)
P.S. я надеюсь ты понимаешь почему 254 и что это означает?

Ответить | Правка | Наверх | Cообщить модератору

84. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:16

Ну что это означает. Да ничего не означает, если не PI.
Всё так же будешь гоняться через единственный аплинк.
Речь вроде про конские деньги за /28 шла?
А за /24 435 в месяц - это очень даже нормально.

Ответить | Правка | Наверх | Cообщить модератору

90. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:30

мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего неясного-то. Для этого нужен блок приличных размеров, а AS мы и твою предъявим, я же говорю что они не совсем "хорошие" пацаны.
Сервер-то я двигать никуда не буду, он нетранспортабелен.
Те вот чо, жалко, когда ты по /30 на одного вшивого клиента с физическим тазиком выкидываешь?
У тебя там этих ненужных /23 должны сотни пропадать просто так, на вланах per client, и наверняка есть запас на годы вперед. Ну чо тебе, одной жалко, даааа?
/28 это € 27.20 monthly / € 59.90 setup (да вы там уху ели?! Чтоб я столько за пять секунд работы получал!) и с тем же нае.. "14 usable" - т.е. ты и ЕЩЕ за одну /30 заплатишь, падла бохатая, одного адреса ей вишь мало. У меня старый сервер, где не было этого "setup", но в результате я ничего поменять там не могу.

Ответить | Правка | Наверх | Cообщить модератору

95. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 19-Янв-24, 09:54

> /28 это € 27.20 monthly / € 59.90
Абсолютно нормально. Я бы сказал даже дёшево, у нас recurring дороже. Правда без сетапа.

Ответить | Правка | Наверх | Cообщить модератору

85. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:23

Мы конечно в этом плане беднота уже.
/24 и шире вообще не даём, максимум /28.
/27 только по особому запросу и особо крупным.
Хотя в прошлый раз целую пачку /30 отдали особо крупному клиенту, спецзаказ. Я плакал кровавыми слезами, но ack'нул.

Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

86. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:25

(это не значит, что один клиент в теории не может себе нажрать /30 на целую /25 например через 16 портов, но это с учётом портов выйдет достаточно дорого)

Ответить | Правка | Наверх | Cообщить модератору

87. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:26

/26 то бишь

Ответить | Правка | Наверх | Cообщить модератору

88. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:28

Ну и за шмот поясню: у нас NAT до сих пор кроме как на мобилке - нет нигде.
Феерично, но факт. Поэтому риходится экономить даже имея резервы.

Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

89. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:29

Yes, даже у массы физиков нет NAT :)

Ответить | Правка | Наверх | Cообщить модератору

76. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00

Ну это для металла же. Где-то даже /30, а не /31.
VPS конечно сидят на /32 в аннамбередах.

Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

81. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:09

но зачем? У вмвари все в порядке с port isolation, "это бесплатно". Еще и promisc включить на виртуальном интерфейсе никто не даст.

Ответить | Правка | Наверх | Cообщить модератору

82. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:11

Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не полагаясь на софт?
И промиск включать бесполезно, даже если у него собственное железо. Ну а в виртуалках никто не даст, да.

Ответить | Правка | Наверх | Cообщить модератору

91. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:39

> Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не
> полагаясь на софт?
а зачем нужен такой микроменеджмент? Где я это делал - швыряли /24 на пару стоек, считать проще по цельным октетам, и не парились. "следи же, чтоб число их было нечетным" Клиент всвитча все равно ничегошеньки лишнего не увидит.
(ну да, с клиентами таки хотевшими видеть, грусть, печаль, миграция в отдельную стойку с другими конфигами - но это была старая вмварь, еще до пришествия nsx. В отдельной стойке был виртуальный nexus с полноценной лицензией.)

Ответить | Правка | Наверх | Cообщить модератору

83. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:13

Я кстати могу предположить вариант, при котором клиент даже промиск в своём влане в вм может получить и поюзать, всё равно ничего, кроме летящего в этом влане, он не увидит, но пока что никто не просил.

Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

63. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:53

Есть варианты и без /31, есть варианты с /32 unnumbered, там тоже изоляция by default, да и собирать особо ничего не приходится, и проксиарпа нет.
Для клиентов, которым нужна распределённая сеть - есть транзитные диапазоны UNI, которые с одинаковым NNI приводятся на все роутеры.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

64. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:54

Для совсем любителей есть VPLS.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

70. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 20:12

и чем оно нам тут поможет?

Ответить | Правка | Наверх | Cообщить модератору

78. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:01

Оно тоже про изоляцию, на самом-то деле. Порты ходят с меткой, и никого, кроме клиента, в них нет. Где-то оно вываливается на всю клиентскую /28-/29 в BVI, и уже оттуда уходит наружу.

Ответить | Правка | Наверх | Cообщить модератору

79. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:02

Это конкретно в тех местах, где свитчей либо ещё нет, либо уже нет.

Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

57. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:04

В случае VPS - VLAN на VPS.
Всё управление естественно отдельно ходит, туда вообще ничего и никак не подсунешь.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	34. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от mblp (??), 18-Янв-24, 12:55
	полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по сети в рескуе ос
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:44
	вот и не бери помойкохостинги в помойкодц. Там где мои коробочки тарахтят - ничего подсунуть между гейтом и твоей коробкой не получится. Еще от тыщи и одной болячки помогает. А не фильтровать траффик разных клиентов друг от друга - ну могут позволить себе либо очень глупые, либо владельцы собственной площадки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноньимъ (ok), 18-Янв-24, 13:47
	> ничего подсунуть между гейтом и твоей коробкой не получится Как реализуете?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:51
	port isolation широковещательный траффик просто никуда не дойдет кроме маршрутизатора (поэтому перехватить начальный бродкаст не получится), целевой дойдет - но через маршрутизатор, а это палево да и фильтры там. Незачем пользовательским коробкам между собой общаться. Ничего хорошего они все равно таким путем не передают.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	54. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:01
	Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это вообще очень странно.
	Ответить \| Правка \| К родителю #35 \| Наверх \| Cообщить модератору


	59. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 18:13
	pxe - это не сеть управления, это сеть клиента.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 19:49
	ЩАЗ. Не, если бареметал клиент хочет PXE с откуда попало - его право. Изоляция портов тут не спасёт. А если речь о загрузке аппаратной ноды с PXE - клиенты которые попадут на эту ноду, вообще не в курсе, откуда оно загрузилось.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноним (31), 18-Янв-24, 13:46
	тупой вопрос: и даже vlan не спасёт?
	Ответить \| Правка \| К родителю #34 \| Наверх \| Cообщить модератору


	42. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:49
	не напасешься. Но port isolation - таки да.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноним (31), 18-Янв-24, 15:20
	точно, про него забыл, спасибо
	Ответить \| Правка \| Наверх \| Cообщить модератору


	55. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:02
	Да почему не напасёшься-то? Более 4000 портов на свитч? :)
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	56. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:03
	Мы даже с port isolation не заморачиваемся - тупо влан на порт.
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	58. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 18:12
	> Мы даже с port isolation не заморачиваемся - тупо влан на порт. а дальше? Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-ц, собирать потом вланы кучкой на один svi - здравствуй proxy arp когда не ждали.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 19:51
	Ды ладно, всё не так плохо и сложно. Отдельная адресация и отдельные маршруты делаются, факт. Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 20:14
	> Ды ладно, всё не так плохо и сложно. > Отдельная адресация и отдельные маршруты делаются, факт. > Зачем вланы на один SVI собирать? /31, и никаких проксиарпов. то есть ПОЛОВИНА адресов багровой шляпой накрыты? Ну...ок... А можешь отсыпать /23, по братски? А то я тут плачу за /28 совершенно нев...нные деньги, а у тебя, смотрю, лишинх-то дохрена?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	75. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00
	/23 не могу, /30 запросто. Невдолбенные деньги - это сколько? Десять баксов в месяц?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	80. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:06
	мля, ну куда мне совать твой /30 ? Мне надо что-то что можно хотя бы попросить анонсить хороших (нет) ребят. > Невдолбенные деньги - это сколько? Десять баксов в месяц? мля... как бы это так сформулировать... ааааа, да хрен с ним - как тебе нравится /24 IP subnet (254 usable IPs) € 435.20 monthly / € 659.00 setup (эх... кажется, мои шансы что-то поиметь нахаляву теперь равны нулю) P.S. я надеюсь ты понимаешь почему 254 и что это означает?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	84. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:16
	Ну что это означает. Да ничего не означает, если не PI. Всё так же будешь гоняться через единственный аплинк. Речь вроде про конские деньги за /28 шла? А за /24 435 в месяц - это очень даже нормально.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	90. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:30
	мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего неясного-то. Для этого нужен блок приличных размеров, а AS мы и твою предъявим, я же говорю что они не совсем "хорошие" пацаны. Сервер-то я двигать никуда не буду, он нетранспортабелен. Те вот чо, жалко, когда ты по /30 на одного вшивого клиента с физическим тазиком выкидываешь? У тебя там этих ненужных /23 должны сотни пропадать просто так, на вланах per client, и наверняка есть запас на годы вперед. Ну чо тебе, одной жалко, даааа? /28 это € 27.20 monthly / € 59.90 setup (да вы там уху ели?! Чтоб я столько за пять секунд работы получал!) и с тем же нае.. "14 usable" - т.е. ты и ЕЩЕ за одну /30 заплатишь, падла бохатая, одного адреса ей вишь мало. У меня старый сервер, где не было этого "setup", но в результате я ничего поменять там не могу.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 19-Янв-24, 09:54
	> /28 это € 27.20 monthly / € 59.90 Абсолютно нормально. Я бы сказал даже дёшево, у нас recurring дороже. Правда без сетапа.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	85. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:23
	Мы конечно в этом плане беднота уже. /24 и шире вообще не даём, максимум /28. /27 только по особому запросу и особо крупным. Хотя в прошлый раз целую пачку /30 отдали особо крупному клиенту, спецзаказ. Я плакал кровавыми слезами, но ack'нул.
	Ответить \| Правка \| К родителю #80 \| Наверх \| Cообщить модератору


	86. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:25
	(это не значит, что один клиент в теории не может себе нажрать /30 на целую /25 например через 16 портов, но это с учётом портов выйдет достаточно дорого)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	87. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:26
	/26 то бишь
	Ответить \| Правка \| Наверх \| Cообщить модератору


	88. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:28
	Ну и за шмот поясню: у нас NAT до сих пор кроме как на мобилке - нет нигде. Феерично, но факт. Поэтому риходится экономить даже имея резервы.
	Ответить \| Правка \| К родителю #85 \| Наверх \| Cообщить модератору


	89. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:29
	Yes, даже у массы физиков нет NAT :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	76. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00
	Ну это для металла же. Где-то даже /30, а не /31. VPS конечно сидят на /32 в аннамбередах.
	Ответить \| Правка \| К родителю #71 \| Наверх \| Cообщить модератору


	81. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:09
	но зачем? У вмвари все в порядке с port isolation, "это бесплатно". Еще и promisc включить на виртуальном интерфейсе никто не даст.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	82. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:11
	Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не полагаясь на софт? И промиск включать бесполезно, даже если у него собственное железо. Ну а в виртуалках никто не даст, да.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	91. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:39
	> Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не > полагаясь на софт? а зачем нужен такой микроменеджмент? Где я это делал - швыряли /24 на пару стоек, считать проще по цельным октетам, и не парились. "следи же, чтоб число их было нечетным" Клиент всвитча все равно ничегошеньки лишнего не увидит. (ну да, с клиентами таки хотевшими видеть, грусть, печаль, миграция в отдельную стойку с другими конфигами - но это была старая вмварь, еще до пришествия nsx. В отдельной стойке был виртуальный nexus с полноценной лицензией.)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	83. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:13
	Я кстати могу предположить вариант, при котором клиент даже промиск в своём влане в вм может получить и поюзать, всё равно ничего, кроме летящего в этом влане, он не увидит, но пока что никто не просил.
	Ответить \| Правка \| К родителю #81 \| Наверх \| Cообщить модератору