Je to jen dalsi demonstrace faktu, jak zvraceny je fakt, ze novodobi "tranzitni" operatori od svych zakazniku akceptuji prakticky cokoliv (jakykoliv bordel) a filtry na vstupu maji jen minimalni. Technici a "designeri siti" si tam timto znacne usnadnuji svuj vlastni zivot, filtry na vstupu jsou jen jednoduche, pokud vubec nejake. Udrzba filtru je samozrejme (casove) narocnejsi a nikomu se do ni moc nechce. Zacina to bezne tim, ze se akceptuji zbytecne deagregovane prefixy a pousti dale do sveta, cimz umele zvetsuji uz tak velke globalni routovaci tabulky (a fakticky tim ovlivnuji delku konvergence), a konci podobnymi faux-paux (ktere samozrejme taky jde ufiltrovat)...
Programatorovi by za tohle nekdo urazil ruce za nedostatecnou input sanitization, vetsina "sitaru" vsak postizena nikdy neni.
A to vse se deje jen pro penize, ktere se utrzi...
Vlákno názorů k článku
Malý český ISP způsobil světový kolaps
19. 2. 2009 8:14
Re: Kdyz se nefiltruje...
Ale je to LEVNY. Navic je KRIZE a SETRIT se MUSI.
Nejlevnejsi je setrit na lidech.
Udrzba filtru je jedna vec, druha je udrzba zaznamu v RIR (protoze podle neceho se filtrovat musi). A obavam se, ze tady mame maslo na hlave skoro vsichni.
Nejlevnejsi je setrit na lidech.
Udrzba filtru je jedna vec, druha je udrzba zaznamu v RIR (protoze podle neceho se filtrovat musi). A obavam se, ze tady mame maslo na hlave skoro vsichni.
Danny (neregistrovaný)
---.jups.junix.cz
19. 2. 2009 8:39
Re: Kdyz se nefiltruje...
RIR databaze je obecnym nastrojem na predani informace o tom, co ma byt smerovano, ta informace samozrejme muse byt predana i jinou cestou (treba emailem). Systemovejsi je to samozrejme zanaset do databaze... nicmene filtry jde delat podle ledacehoz. Ale musi tu byt nejaka vule ty filtry na vstupu technicky aplikovat, tam je zakopany pes. Pritomnost / absence zaznamu v RIR DB typicky na filtrech nic nemeni (zvlaste v nasich koncinach)... a zatimco chybejici zaznam v RIR DB globalni katastrofy nepusobi, chybejici vstupni filtry na smerovacich ISP obcas ano (tento pripad, Pakistan/YT a dalsi).
V kontextu doby, kdy se stale vice hovori o bezpecnosti (nejen) na internetu a lide jsou na nem stale vice zavisli je pristup k elementarnimu zabezpeceni infrastruktury vice nez zvlastni... sitovi admini by proste meli zacit poradne delat svou praci :-)
V kontextu doby, kdy se stale vice hovori o bezpecnosti (nejen) na internetu a lide jsou na nem stale vice zavisli je pristup k elementarnimu zabezpeceni infrastruktury vice nez zvlastni... sitovi admini by proste meli zacit poradne delat svou praci :-)
19. 2. 2009 9:08
Re: Kdyz se nefiltruje...
Mno pokud se citis, ze nedelas jako sitovy admin svoji praci, tak to je smutne ;-)
Co ma v teto chvili smysl, je sirit znalosti a best current practices. V jedne organizaci, ktera se pro takovou vec extremne hodi, pracujes. A zaplatpanbuh letos zacala podobne aktivity vyvijet. Takze doufejme v lepsi zitrky.
Moje krabice zaplatpanbuh v pozici tranzitniho operatora nejsou :-)
Co ma v teto chvili smysl, je sirit znalosti a best current practices. V jedne organizaci, ktera se pro takovou vec extremne hodi, pracujes. A zaplatpanbuh letos zacala podobne aktivity vyvijet. Takze doufejme v lepsi zitrky.
Moje krabice zaplatpanbuh v pozici tranzitniho operatora nejsou :-)
19. 2. 2009 10:14
Re: Kdyz se nefiltruje...
To ovšem Michale neznamená, že podobný bordel nemůžou vygenerovat, že? ;-)
Prvotní problém je u zdroje, PAK teprve u prostředníka ve formě tranzitního ISP...
Prvotní problém je u zdroje, PAK teprve u prostředníka ve formě tranzitního ISP...
19. 2. 2009 10:25
Re: Kdyz se nefiltruje...
Urcite muzou obdobny bordel vygenerovat. To ostatne jakekoliv krabice :-) Nastesti vim, ze ten, kdo ten bordel vygeneroval, jsem bud ja a muzu si nadavat a nebo nekdo konkretni, koho mam "na dosah ruky". Nikoliv anonymni zakaznik, na ktereho muze nadavat maximalne obchodnik, ktery mu nadavat nebude, protoze ma z toho obchodu provizi.
Souhlasim, ze problem je u zdroje a pomuze mu pouze edukace potencialnich zdroju.
Souhlasim, ze problem je u zdroje a pomuze mu pouze edukace potencialnich zdroju.
19. 2. 2009 11:37
Re: Kdyz se nefiltruje...
Problem je prece uplne vsude, jen nejaky nestastnik se upsal a tim ho odhalil. Problem je ve specifikaci BGP, ktera nema stanovene omezeni, problem je v implemetaci, ktera se chova jak se chova, problem je ve filtrech, ktere problem nezachytily a neomezily na nejakou izolovanou oblast.
Takova chyba se v zasade muze stat i nekomu, kdo ma dvacet ridicaku na BGP. Pouze je u nej mene pravdepodobna. Typicka chyba z neznalosti je propagace neceho z 10.0.0.0/8 do public Internetu, ale tohle zrova je chyba, ktera by se dala povazovat klidne za preklep.
Takova chyba se v zasade muze stat i nekomu, kdo ma dvacet ridicaku na BGP. Pouze je u nej mene pravdepodobna. Typicka chyba z neznalosti je propagace neceho z 10.0.0.0/8 do public Internetu, ale tohle zrova je chyba, ktera by se dala povazovat klidne za preklep.
19. 2. 2009 12:47
Re: Kdyz se nefiltruje...
Co nabizis jako reseni toho, ze problem je uplne vsude? :-)
Ja proboha nerikam nic o ridicaku na BGP. Je o vymenu informaci / best current practices.
Ja proboha nerikam nic o ridicaku na BGP. Je o vymenu informaci / best current practices.
19. 2. 2009 16:19
Re: Kdyz se nefiltruje...
Reseni nenabizim, stejne je kazdemu zucastnenemu jasne, udelat neco proto, aby prave muj system nepodlehl tak snadno. Kazda krize vede v konecnem dusledku ke zlepseni stavu.
Vymenu informaci by to jiste podporit chtelo. NI[XC] by treba mohl udelat nejake setkani BGP magu z velkych siti s temi zacinajicimi, kde by mohli povypravet na co si maji lide dat pozor a z jakych chyb se ucili.
Vymenu informaci by to jiste podporit chtelo. NI[XC] by treba mohl udelat nejake setkani BGP magu z velkych siti s temi zacinajicimi, kde by mohli povypravet na co si maji lide dat pozor a z jakych chyb se ucili.
19. 2. 2009 23:47
Re: Kdyz se nefiltruje...
V podstatě máte pravdu oba... ono je třeba i dost problém, že člověk minimálně na C platformě vlastně ani nevidí co posílá zrovna z hlediska metrik či as-path.
19. 2. 2009 14:20
Re: Kdyz se nefiltruje...
To si nejsem jistej. problém je u toho, kdo je placen za to, aby to fungovalo - což ten malý chudák z Moravy, který si za tranzitní konektivitu určitě tvrdě platí, zcela jistě není.
Prostě nějaká lama přesunula ikonku Internet na své ploše do opadkového koše, no. Nevím co se Zbyněk z Dialu tak diví... :-)
Prostě nějaká lama přesunula ikonku Internet na své ploše do opadkového koše, no. Nevím co se Zbyněk z Dialu tak diví... :-)
Danny (neregistrovaný)
---.jups.junix.cz
19. 2. 2009 23:49
Re: Kdyz se nefiltruje...
Mluvim o ostatnich - a kdyz se zactes do Zbynkovych reakci, pochopis, na co z praxe narazim. Podobne debaty se vedly uz v minulosti neverejne (na tema umela deagregace, tedy potazmo filtering vstupu) a vystup byl stejny jako dnes... ti ISP, co filtry neresi to delaji hlavne (a je to tu dokumentovane) kvuli ekonomickym duvodum.
Neztotoznuju se s nazorem, ze je ekonomicka krize a nejsou penize na lidi - ti lide, co jsou za toto zodpovedni na svych pozicich zustavaji a penize za praci pobiraji - tak by ji prece meli taky odvadet.... a ne jen plkat ve verejnych diskuzich.
Osvetove aktivity narazi na jeden zasadni problem - ochota nekoho neco odprezentovat a sdilet sve know-how se svymi (jinak) "konkurenty". Ja ty lidi ochotne prezentovat prakticke zkusenosti schanim dost tezko... sami se nehlasi a premluvit radu z nich take neni snadne.
A kdyz se to snazi podporit zpratelena organizace, tak autor tohoto clanku si do (ted uz -radeji??- vymazane) signature napise, ze bojuje proti podpore veskerych aktivit nesouvisejicich primo s chodem TLD (tedy i proti teto edukaci, zjevne proto, ze ho vytaci ta peti-desetikoruna v cene domeny navic...). Autorovi clanku proste jde o vsechno mozne, jen ne o to, aby se obecna edukace adminu zlepsila, o zlepseni fungovani internetu, atd... i tento clanek toho je dukazem, jen kope do lidi kolem, ale sam neprichazi s navrhem, jak se tomu branit - a kdyz ten navrh v diskuzi padne, tak "zduvodnuje", proc tyto problemy ignorovat (a tedy podporovat zivnou pudu pro podobne problemy v budoucnu)...
Neztotoznuju se s nazorem, ze je ekonomicka krize a nejsou penize na lidi - ti lide, co jsou za toto zodpovedni na svych pozicich zustavaji a penize za praci pobiraji - tak by ji prece meli taky odvadet.... a ne jen plkat ve verejnych diskuzich.
Osvetove aktivity narazi na jeden zasadni problem - ochota nekoho neco odprezentovat a sdilet sve know-how se svymi (jinak) "konkurenty". Ja ty lidi ochotne prezentovat prakticke zkusenosti schanim dost tezko... sami se nehlasi a premluvit radu z nich take neni snadne.
A kdyz se to snazi podporit zpratelena organizace, tak autor tohoto clanku si do (ted uz -radeji??- vymazane) signature napise, ze bojuje proti podpore veskerych aktivit nesouvisejicich primo s chodem TLD (tedy i proti teto edukaci, zjevne proto, ze ho vytaci ta peti-desetikoruna v cene domeny navic...). Autorovi clanku proste jde o vsechno mozne, jen ne o to, aby se obecna edukace adminu zlepsila, o zlepseni fungovani internetu, atd... i tento clanek toho je dukazem, jen kope do lidi kolem, ale sam neprichazi s navrhem, jak se tomu branit - a kdyz ten navrh v diskuzi padne, tak "zduvodnuje", proc tyto problemy ignorovat (a tedy podporovat zivnou pudu pro podobne problemy v budoucnu)...
20. 2. 2009 0:39
Re: Kdyz se nefiltruje...
No ja se priznam, ze ze Zbynkovych reakci jsem nepochopil na co narazis :-)
Nechapu take, jak muzes na jedne strane napsat, ze se filtry neresi kvuliva ekonomickym duvodum, ale zaroven pomijis aspekt "setrime, pac je krize".
Neznam situaci u vsech ISP, nicmene u tech, kde situaci znam to neni tak, ze by tam jeden clovek (ci vice lidi) sedel nad hranicnim smerovacem a stroural se v nose. A obvykle jsou oblasti, ktere dotycne firme prinaseji vic penez nez filtrovani.
Muj nazor na aktivity dotycne organizace se myslim dost se Zbynkovym neshoduje, na druhou stranu si nedelejeme iluze, ze by jeho nazor v te organizaci byl vetsinovy a navic je tu jina organizace, ktera to ma vic v popisu prace nez ta, co ma neco spolecneho s domenami.
Co se tyce lidi, skutecne neverim tomu, ze bys byl tak omezen, ze bys myslel, ze odbornici na BGP jsou jen v CR. A ze by letenka z Londyna byla v rozpoctu i te mensi organizace nejaky problem, to se mi nezda. Priznam se, ze bych radeji videl speakery mluvici o vecnych problemech nez "top level execs" na valnych hromadach (i kdyz chapu, ze socializace je potreba - takze kdyz dorazi ti technici na odborny seminar, tak at klidne dorazi i ti exekove na valne hromady).
Na zaver doporucuju, ze jestli mas se Zbynkem osobni problem a hodlas "odhalovat jeho ledvi", tak je to Vas osobni spor a pokus se v diskusi se mnou ho neresit :-) Ver, ze ho se mnou nevyresis (at je jakykoliv).
Nechapu take, jak muzes na jedne strane napsat, ze se filtry neresi kvuliva ekonomickym duvodum, ale zaroven pomijis aspekt "setrime, pac je krize".
Neznam situaci u vsech ISP, nicmene u tech, kde situaci znam to neni tak, ze by tam jeden clovek (ci vice lidi) sedel nad hranicnim smerovacem a stroural se v nose. A obvykle jsou oblasti, ktere dotycne firme prinaseji vic penez nez filtrovani.
Muj nazor na aktivity dotycne organizace se myslim dost se Zbynkovym neshoduje, na druhou stranu si nedelejeme iluze, ze by jeho nazor v te organizaci byl vetsinovy a navic je tu jina organizace, ktera to ma vic v popisu prace nez ta, co ma neco spolecneho s domenami.
Co se tyce lidi, skutecne neverim tomu, ze bys byl tak omezen, ze bys myslel, ze odbornici na BGP jsou jen v CR. A ze by letenka z Londyna byla v rozpoctu i te mensi organizace nejaky problem, to se mi nezda. Priznam se, ze bych radeji videl speakery mluvici o vecnych problemech nez "top level execs" na valnych hromadach (i kdyz chapu, ze socializace je potreba - takze kdyz dorazi ti technici na odborny seminar, tak at klidne dorazi i ti exekove na valne hromady).
Na zaver doporucuju, ze jestli mas se Zbynkem osobni problem a hodlas "odhalovat jeho ledvi", tak je to Vas osobni spor a pokus se v diskusi se mnou ho neresit :-) Ver, ze ho se mnou nevyresis (at je jakykoliv).
Danny (neregistrovaný)
---.jups.junix.cz
20. 2. 2009 7:59
Re: Kdyz se nefiltruje...
U anglickeho speakera muze byt problem jazykova bariera. Jsou kolem lidi, kteri maji problem anglicky porozumet obecne (natoz pak nejak vic odbornemu projevu), to je proste praxi zjisteny fakt. A pritom prave tihle lidi jsou z one primarni cilove skupiny pro edukaci, guru pracujici deset let v oboru asi skolit netreba... Argument "at se dotycni nauci nejdriv anglicky" asi neni uplne spravny. Obecne anglicky psanych materialu jsou mraky, ale tech tech v cestine je jen poskrovnu...
Do diskuze o tom, ktera organizace je vhodnejsi bych se radeji nepoustel. Je tu cela rada "vhodnych" organizaci, at uz na narodni, tak i mezinarodni urovni. Pro jednu ostatne pracujes i ty, ta ma dokonce sireni vzdelanosti primo v oficialnim predmetu cinnosti ;-)
Do diskuze o tom, ktera organizace je vhodnejsi bych se radeji nepoustel. Je tu cela rada "vhodnych" organizaci, at uz na narodni, tak i mezinarodni urovni. Pro jednu ostatne pracujes i ty, ta ma dokonce sireni vzdelanosti primo v oficialnim predmetu cinnosti ;-)
20. 2. 2009 10:47
Re: Kdyz se nefiltruje...
Ano, urcite je problem jazykova bariera, ale v takovem pripade to docela snadno vyresis simultannim prekladem. Neni to dokonale a kdyz nedokazes dostat ceskeho speakera na podium, je to jedina cesta sahnout po zahranicim.
Existuji mraky dalsich moznosti, napriklad preklad nejake publikace o BGPcku. A nejmenovana organizace uz vydani nekterych knih sponzorovala.
Co se tyce sireni vzdelanosti, v mem primarnim oboru sirim, az se ze mne kouri :-) Siris take?
sartori (neregistrovaný)
212.96.161.---
20. 2. 2009 14:12
Re: Kdyz se nefiltruje...
To bys musel sirit vzdelanost k necemu realne pouzitelnemu... ;-)
20. 2. 2009 14:42
Re: Kdyz se nefiltruje...
hele ale simultanni preklad prednasky o BGP by mohla byt docela sranda :)
ZP (neregistrovaný)
---.inway.net
20. 2. 2009 6:40
Re: Kdyz se nefiltruje...
Jiste, ty mas take delat svoji praci, spravovat uzel, ktery si ISP plati. Ten uzel tady neni od toho, aby rikal sitim, co maji delat - naopak, operatori si jej zalozili prave za tim ucelem, aby on slouzil jim. To je primarne vhodne si uvedomit, nez jim zacnes chtit rozkazovat, co maji delat.
Krome toho - do nikoho nekopu. Stalo se, co se stalo. Kdybych o tom nenapsal clanek ja, neudelal by to tu nikdo a udalost, ktera se ceskeho Internetu dotyka, by v zemi sveho puvodu zustala zcela nepovsimnuta (mimochodem, dukazem o tom, ze "jen nekopu" jsou dva me lednove clanky zde na Lupe). Vina za tuto chybu byla pochopitelne v konkretnich implementacich, filtrovani je pouze workaround, ktery ovsem omezuje zakaznikem ocekavanou flexibilitu (teprve od ni se odviji ty ekonomicke duvody, ne od toho, ze to zabira vice casu, to je skutecne marignalni).
A ano, autorovi jde zejmena o osobni a ekonomickou svobodu, jejiz soucasti je to, ze kdyz si chce koupit domenu, plati pouze domenu a ne tisic veci, ktere nepotrebuje, navic, kdyz si chce koupit datovy nosic, plati datovy nosic a ne mafii mizernych mistnich hudebniku atd. Takovymi detaily, ze se veci nazyvaji jinak (tedy poplatek za domenu je ve skutecnosti poplatek za domenu plus prispevek na publikacni cinnost pana Satrapy plus prispevek na ENUM plus prispevek na programatorskou soutez plus prispevek na par mezinarodnich organisaci atd.) a subvencuji se z nich ruzne, feedbackem zakaznika hlasujiciho svoji penezenkou nedisponujici zalezitosti, to zacina a Rathy, Paroubky a Gottwaldy to konci. Ano, autorovi jde presne o totez, o cem dnes (pardon, vlastne uz vcera) hovoril pan president v EP.
Krome toho - do nikoho nekopu. Stalo se, co se stalo. Kdybych o tom nenapsal clanek ja, neudelal by to tu nikdo a udalost, ktera se ceskeho Internetu dotyka, by v zemi sveho puvodu zustala zcela nepovsimnuta (mimochodem, dukazem o tom, ze "jen nekopu" jsou dva me lednove clanky zde na Lupe). Vina za tuto chybu byla pochopitelne v konkretnich implementacich, filtrovani je pouze workaround, ktery ovsem omezuje zakaznikem ocekavanou flexibilitu (teprve od ni se odviji ty ekonomicke duvody, ne od toho, ze to zabira vice casu, to je skutecne marignalni).
A ano, autorovi jde zejmena o osobni a ekonomickou svobodu, jejiz soucasti je to, ze kdyz si chce koupit domenu, plati pouze domenu a ne tisic veci, ktere nepotrebuje, navic, kdyz si chce koupit datovy nosic, plati datovy nosic a ne mafii mizernych mistnich hudebniku atd. Takovymi detaily, ze se veci nazyvaji jinak (tedy poplatek za domenu je ve skutecnosti poplatek za domenu plus prispevek na publikacni cinnost pana Satrapy plus prispevek na ENUM plus prispevek na programatorskou soutez plus prispevek na par mezinarodnich organisaci atd.) a subvencuji se z nich ruzne, feedbackem zakaznika hlasujiciho svoji penezenkou nedisponujici zalezitosti, to zacina a Rathy, Paroubky a Gottwaldy to konci. Ano, autorovi jde presne o totez, o cem dnes (pardon, vlastne uz vcera) hovoril pan president v EP.
Danny (neregistrovaný)
---.jups.junix.cz
20. 2. 2009 8:32
Re: Kdyz se nefiltruje...
Jako soukroma osoba si ve svem volnem (!!) case muzu delat co chci, a to vcetne prezentace vlastnich nazoru. Pokud ti jde o osobni svobodu, tak se laskave podivej na hodinky driv, nez se zacnes navazet do neci prace. A muj soukromy nazor je, ze rada lidi svym laxnim pristupem ke konfiguraci BGP smerovacu trvale ohrozuje bezpecnost a stabilitu internetu a pripravuje zivnou pudu pro budouci utoky.
To je stejne, jako "nebezpecnost" Windows je dana tim, ze vetsina user-space aplikaci bezi ve vychozim stavu zbytecne s administratorskymi pravy. Prave kvuli "pohodlnosti" koncoveho uzivatele. Flexibilita a bezpecnost dohromady proste nejdou a pro me je bezpecnost prvorada otazka.
Udalost samozrejme bez povsimnuti neprosla a diskutovala se na ruznych mistech. Sam jsem dotycnym psal uz v pondeli navecer upozorneni na mozny problem. Jenze zatimco Renesys se pustil do vecne analyzy, tady se objevuje vata o mlikarich, farmarich (mliko se mimochodem nerozvazi vecer, ale rano) a narazky na "zmatene obsluhy" od cloveka, co sam dokazal v nedavne minulosti ze svych smerovacu sirit vice prefixu nez by mel...
Autor mozna nepotrebuje treba knihy od pana Satrapy, protoze vsude byl, vsechno vi a zna nejlepe (jen se divim, ze to neprednasi na univerzite, kdyz je tak "genialni"). My ostatni se pred praci pana Satrapy poklonime a vazime si ji, protoze je to snad jedina ceska publikace venovana IPv6 protokolu a jeste na velmi vysoke urovni (o jeho dalsi publikacni cinnosti nemluve). A ono vydat knihu neni az takova sranda - a jsou temata, ktera z regalu knihkupectvi nemizi rychlosti svetla (a do vydavani techto se malokdo hrne).
Zverejni seznam drzenych domen, udelame sbirku Nx 5Kc (ono vic penez to v cene jedne domeny nebude), aby chudak autor psychicky netrpel tim, ze se podporuje a stimuluje odborna vzdelanost verejnosti...
uživatel si přál zůstat v anonymitě
193.179.197.---
20. 2. 2009 9:14
Re: Kdyz se nefiltruje...
Nenechávejte prchlivost cloumat vaším majestátem. Vendelínovi nikdo nic nevydal. Protože nikdy nic pořádného nenapsal. A tak jen hlasitě závidí těm ostatním. Těm, co narozdíl od něj něco doopravdy dokázali.
ZP (neregistrovaný)
---.dialtelecom.cz
20. 2. 2009 9:40
Re: Kdyz se nefiltruje...
1. Proti presentaci soukromych nazoru nikde neprotestuji. Proti tomu, aby se pouzivaly penize uzlu k necemu jinemu, nez jsou urceny, vcetne pokusu o to vysvetlovat ISP, jak maji delat svoji praci, ano. Je zvlastni, ze kdyz takove veci zvladas dle tveho nazoru vyrazne lepe nez oni, nezalozis si vlastniho ISP a ty stavajici lepsimi sluzbami neprevalcujes.
2. Ty davas prednost bezpecnosti, ja davam prednost flexibilite, zakaznici take - je tedy rozhodnuto. Se divim, ze nevolis KSCM, tak chce take bezpeci na ukor flexibility. Pod zaminkou bezpeci a poradku uz bylo nastoleno vice tyranii, nez je zdravo (vlastne vsechny) - a ty se snazis presne o totez (i kdyz uznavam, ze v jinem meritku).
3. Pokud se ti nelibil text clanku, pak nechapu, proc jsi to nenapsal hned. Takhle to vypada, ze to pouzivas pouze jako ucelove vytazene argumenty. Ostatne, v te knize o IPv6 je podobnych odlehceni tematu (dle tebe blabolu) take spousta, je tedy zvlastni, ze si na ne nestezujes. Inu, to by se ti zrovna argumentacne nehodilo, ze.
4. Ano, donedavna jsem ti posilal na tvoji vlastni zadost vice prefixu, nez jsem mel. Vidim, ze to podle tebe byla chyba, tak jsem se take postaral o to, aby byla napravena.
5. Knih o IPv6 vyslo v anglictine vice nez dost. Vydavani takovych publikaci v cestine pripomina aktivity obrozencu z 19. stoleti, kteri meli potrebu vyrovnat cesky narod v kazdem ohledu nemeckemu, at to stoji, co to stoji. Pokud je ta kniha tak dobra, jak tvrdis, tak by prece musela byt i komercne uspesna... ;-)
2. Ty davas prednost bezpecnosti, ja davam prednost flexibilite, zakaznici take - je tedy rozhodnuto. Se divim, ze nevolis KSCM, tak chce take bezpeci na ukor flexibility. Pod zaminkou bezpeci a poradku uz bylo nastoleno vice tyranii, nez je zdravo (vlastne vsechny) - a ty se snazis presne o totez (i kdyz uznavam, ze v jinem meritku).
3. Pokud se ti nelibil text clanku, pak nechapu, proc jsi to nenapsal hned. Takhle to vypada, ze to pouzivas pouze jako ucelove vytazene argumenty. Ostatne, v te knize o IPv6 je podobnych odlehceni tematu (dle tebe blabolu) take spousta, je tedy zvlastni, ze si na ne nestezujes. Inu, to by se ti zrovna argumentacne nehodilo, ze.
4. Ano, donedavna jsem ti posilal na tvoji vlastni zadost vice prefixu, nez jsem mel. Vidim, ze to podle tebe byla chyba, tak jsem se take postaral o to, aby byla napravena.
5. Knih o IPv6 vyslo v anglictine vice nez dost. Vydavani takovych publikaci v cestine pripomina aktivity obrozencu z 19. stoleti, kteri meli potrebu vyrovnat cesky narod v kazdem ohledu nemeckemu, at to stoji, co to stoji. Pokud je ta kniha tak dobra, jak tvrdis, tak by prece musela byt i komercne uspesna... ;-)
Danny (neregistrovaný)
---.jups.junix.cz
20. 2. 2009 19:52
Re: Kdyz se nefiltruje...
Vskutku kuriozni misto na oznamovani zmen ve smerovaci politice. Dal to uz komentovat radsi nebudu...
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 7:23
Re: Kdyz se nefiltruje...
Inu, uvadim pouze na pravou miru to, s cim jsi zde zacal ty sam. Informace, ktere zde vytahujes na svetlo, maji uzkou vazbu na informacni zdroje, ktere rozhodne nejsou verejne. Muj clanek z jinych nez verejnych zdroju cerpat nemusel (z neverejnych jsem si ty verejne pouze overoval). Cili kdyz na nekoho zautocis s pouzitim informaci, ktere by v zasade mely zustat neverejne a pak se takhle rozcilujes, tak jednas nefer, protoze protistrane odpiras pravo na verejnou obhajobu (tedy se ji snazis dostat do argumentacne napadne nevyhodne situace).
A nekomentovat je velmi dobry zpusob, jak se v diskusi vyhnout argumentacni porazce.
A nekomentovat je velmi dobry zpusob, jak se v diskusi vyhnout argumentacni porazce.
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 10:27
Re: Kdyz se nefiltruje...
Výše v diskuzi Vy sám tvrdíte cosi o pokusech vysvětlovat poskytovatelům, jak mají dělat svoji práci. Na co tady narážíte? Ve veřejně dostupných pramenech o aktivitách národního propojovacího uzlu nenacházím informaci, která by podporovala Vaše tvrzení. A vyjádření Dannyho jsou prokazatelně vyjádření jeho soukromých postojů, sám to zdůraznil. Nevyužíváte tu v argumentaci těch neveřejných zdrojů, ke kterým máte přístup, zrovnatak?
V době vydání článku nebyla veřejná ani informace o použitém software na straně původce problému. Veřejnými konferencemi tato informace prošla až po vydání článku. Také bývá zvykem použité zdroje uvádět, svůj pramen údajně veřejné informace o Mikrotiku jste vůbec neuvedl.
To samé se týká i problematiky domén. Ve svých textech občas zmiňujete informace, které veřejné nejsou a ke kterým se dostáváte pravděpodobně z titulu své funkce ve strukturách sdružení CZ.NIC.
Pokud doménu chcete, tak si jí kupte, cena je známá a je na Vás, zda ji za tu cenu pořídíte. Kupovat ji nemusíte, nic Vás k tomu nenutí. A je na podniku, jak s utrženými penězi posléze naloží. Veřejně dostupné ekonomické ukazatele CZ.NIC i statistiky růstu a počtů registrovaných domén dokazují správnost zvolené strategie.
Pokud chcete oponovat, tak se nejprve zamyslete vlastními aktivitami. Vyčítáte tu, že peníze doménového registru se využívají v rámci podniku i pro podporu jiných aktivit. Sám si ale užíváte v rámci jiného podniku podobného. V ceně služeb od Dial Telecomu je zahrnuto třeba i Vaše diskutování na Lupě, Vaše zahraniční výlety po konferencích. Týden v Berlíně či Dubaii byla jistě pěkná dovolená (pramen: www.ripe.net). Vše ale nakonec zaplatí zákazník Dial Telecomu v odebraných službách. Proč by v tomto případě měl? Máte tu skvělou šanci snížit cenu služeb Dial Telecomu. Odepřete si ty Vaše výlety, snížíte tím náklady a tím i zbytečné zatížení peněženek zákazníků, o které Vám tak jde. Zatím to ale vypadá, že kážete vodu a u kázání sám popíjíte vína.
V době vydání článku nebyla veřejná ani informace o použitém software na straně původce problému. Veřejnými konferencemi tato informace prošla až po vydání článku. Také bývá zvykem použité zdroje uvádět, svůj pramen údajně veřejné informace o Mikrotiku jste vůbec neuvedl.
To samé se týká i problematiky domén. Ve svých textech občas zmiňujete informace, které veřejné nejsou a ke kterým se dostáváte pravděpodobně z titulu své funkce ve strukturách sdružení CZ.NIC.
Pokud doménu chcete, tak si jí kupte, cena je známá a je na Vás, zda ji za tu cenu pořídíte. Kupovat ji nemusíte, nic Vás k tomu nenutí. A je na podniku, jak s utrženými penězi posléze naloží. Veřejně dostupné ekonomické ukazatele CZ.NIC i statistiky růstu a počtů registrovaných domén dokazují správnost zvolené strategie.
Pokud chcete oponovat, tak se nejprve zamyslete vlastními aktivitami. Vyčítáte tu, že peníze doménového registru se využívají v rámci podniku i pro podporu jiných aktivit. Sám si ale užíváte v rámci jiného podniku podobného. V ceně služeb od Dial Telecomu je zahrnuto třeba i Vaše diskutování na Lupě, Vaše zahraniční výlety po konferencích. Týden v Berlíně či Dubaii byla jistě pěkná dovolená (pramen: www.ripe.net). Vše ale nakonec zaplatí zákazník Dial Telecomu v odebraných službách. Proč by v tomto případě měl? Máte tu skvělou šanci snížit cenu služeb Dial Telecomu. Odepřete si ty Vaše výlety, snížíte tím náklady a tím i zbytečné zatížení peněženek zákazníků, o které Vám tak jde. Zatím to ale vypadá, že kážete vodu a u kázání sám popíjíte vína.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 10:55
Re: Kdyz se nefiltruje...
Dekuji vam za tento prispevek. Vzhledem k mire jeho drzosti a vlezlosti (nevahate se ani vmesovat do hospodareni soukromeho subjektu) je mi uz nyni naprosto jasne, s kym mam tu cest. Muzete se klidne podepsat, uz mi tim zadnou novou informaci neposkytnete :-)
Dale, v mem clanku ohledne domen nebylo zmineno nic, co by nebylo verejne (a take jste tam nic nenalezl, protoze byste se na te dane konkretni veci uz davno vozil).
Kazdopadne jestli si myslite, ze ucast na konferencich je prijemne stravena dovolena, pak jsem z hlediska konkurencnich vyhod jen rad, ze mame na trhu i subjekty, ktere takto uvazuji...
Dale, v mem clanku ohledne domen nebylo zmineno nic, co by nebylo verejne (a take jste tam nic nenalezl, protoze byste se na te dane konkretni veci uz davno vozil).
Kazdopadne jestli si myslite, ze ucast na konferencich je prijemne stravena dovolena, pak jsem z hlediska konkurencnich vyhod jen rad, ze mame na trhu i subjekty, ktere takto uvazuji...
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 11:10
Re: Kdyz se nefiltruje...
Vy sám se očividně vměšujete naprosto do všeho. Vše víte vždy nejlépe. Zatímco ti kolem Vás všechno dělají očividně špatně.
PS: volně dostupné fotografie z oněch dovolených jsou například zde... nechť každý vidí, jak se tam maká :)
PS: volně dostupné fotografie z oněch dovolených jsou například zde... nechť každý vidí, jak se tam maká :)
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 11:13
Re: Kdyz se nefiltruje...
A také je otázkou, nakolik je onen soukromý majitel podniku seznámen s Vašimi konkrétními aktivitami. Vy majitelem onoho podniku nejste.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 11:36
Re: Kdyz se nefiltruje...
Nic Vam nebrani s tim onoho soukromeho majitele jit seznamit. Mnoho uspechu preji.
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 12:37
Re: Kdyz se nefiltruje...
Vtipné! Vy sám jistě dobře víte, že o kyperském majiteli Dial Telecomu se toho mnoho zjistit nedá. A na to hřešíte.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 12:56
Re: Kdyz se nefiltruje...
Musim rici, ze je s Vami cim dal vetsi legrace... Muzete kontaktovat s takovym podezrenim statutarni organy a myslim, ze byste to opravdu mel udelat.
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 13:17
Re: Kdyz se nefiltruje...
A co mají statutární orgány společného s majitelem? Vůbec nic, ty oním vlastníkem nejsou a jen hospodaří se svěřeným kapitálem.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 13:29
Re: Kdyz se nefiltruje...
Chapu to spravne, ze obvinujete i statutarni organy z cehosi jako je spatne hospodareni se sverenymi prostredky? ;-)
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 13:49
Re: Kdyz se nefiltruje...
Máte velmi rozbujelou fantazii. Nic takového řečené nebylo.
ZP (neregistrovaný)
---.inway.net
19. 2. 2009 9:04
Re: Kdyz se nefiltruje...
Tady se nabizi otazka, co vsechno filtrovat. Takze nejprve prefixy, aby si nebylo mozne pujcit nejake cizi. Pak AS-path, idealne se vsemi moznymi variantami prependu. Delky konfiguraci dale narustaji a narustaji... Zakaznik je nastvany na providera A, ktery filtruje tohle vsechno a je potreba mu explicitne sdelit, ze bude oznamovat nejaky dalsi prefix, kdezto u providera B to potreba neni a tak dale...
Na obezne draze se srazila ruska a americka druzice a EU uz tam chce zavadet nejake dopravni predpisy (pricemz kazdy vi, ze ani existence dopravnich predpisu nedokaze zabranit tomu, ze nekdo udela chybu a take kazdy vi, ze se temer nikdo cilene nesnazi zpusobit nehodu, nehlede na to, zda nejake predpisy existuji ci nikoli a te male skupine, co se o nehodu snazi, v ni ty predpisy take nezabrani). Logika cele veci je uplne stejna. Hlavne, ze si tu Danny stezuje na ceske NSP, aniz by resil to, ze velci svetovi hraci vuci nim uplatnuji velmi podobnou filtrovaci politiku, jako ti cesti NSP vuci svym zakaznikum.
Na obezne draze se srazila ruska a americka druzice a EU uz tam chce zavadet nejake dopravni predpisy (pricemz kazdy vi, ze ani existence dopravnich predpisu nedokaze zabranit tomu, ze nekdo udela chybu a take kazdy vi, ze se temer nikdo cilene nesnazi zpusobit nehodu, nehlede na to, zda nejake predpisy existuji ci nikoli a te male skupine, co se o nehodu snazi, v ni ty predpisy take nezabrani). Logika cele veci je uplne stejna. Hlavne, ze si tu Danny stezuje na ceske NSP, aniz by resil to, ze velci svetovi hraci vuci nim uplatnuji velmi podobnou filtrovaci politiku, jako ti cesti NSP vuci svym zakaznikum.
19. 2. 2009 9:19
Re: Kdyz se nefiltruje...
Receno s Dannym, ridici operatori druzic v SSSR (teda pardon v Rusku) a USA musej poradne delat svoji praci :-)
Jinak Zbynku, chapu Tvoji snahu o hyperkorektnost, ale pro bezneho ctenare LUPY (BFRoL) je to asi obtizne rozkodovatelne.
Jinak Zbynku, chapu Tvoji snahu o hyperkorektnost, ale pro bezneho ctenare LUPY (BFRoL) je to asi obtizne rozkodovatelne.
ZP (neregistrovaný)
---.inway.net
19. 2. 2009 9:27
Re: Kdyz se nefiltruje...
Ja si to samozrejme uvedomuji, bylo to samozrejme kompromisni (a tedy z definice problematicke) reseni z kategorie tech "nejmene spatnych".
Danny (neregistrovaný)
---.jups.junix.cz
19. 2. 2009 18:27
Re: Kdyz se nefiltruje...
Spousta svetovych hracu (pusobicich na ceskem trhu) ale uplatnuje pomerne striktni filtrovaci politiku na vstupu a ZP to moc dobre vi. Samozrejme si ucelove vypichne ty, co to nedela, aby tim "obhajil" skutecnost, ze on to taky nedela...
Argumentace "kasleme na zabezpeceni, protoze jini na to kaslou taky a jen to obtezuje" je skutecne zvracena. BGP a jeho implementace poskytuje celou radu nastroju a moznosti, jak se potencialnim problemum branit - skutecny problem je, ze neni vule je vyuzivat. Primarnim duvodem je obycejna lenost a pohodlnost nekterych lidi zodpovednych za konfigurace systemu. Muzeme mit sebelepsi implementace BGP, sebelepsi moznosti zabezpeceni, ale pokud neni ochota je v praxi nasadit, pak k podobnym problemum dochazet bohuzel bude - a nikoliv jen omylem mene zkuseneho administratora, ale naopak cilene od lidi, co se vyznaji velmi dobre.
Filtr na as-path s vyuzitim regularnim vyrazu jde napsat i v jednom radku (alespon ten zakladni), staci to umet. Kdyz si budu chtit hodne zjednodusit zivot, tak ten jediny radek budu mit univerzalne aplikovatelny na vsechny zakazniky. Ale porad tam bude aspon nejake zakladni omezeni - ktere je vzdy lepsi, nez vubec zadne omezeni (tak jak je beznou praxi)...
Kdyz jsme u tech primeru - byt si taky kazdy zamykame, byt jsme si obvykle vedomi faktu, ze kazde zabezpeceni jde ne az tak tezce prekonat. Ale presto malokdo necha byt dobrovolne odemceny s dvermi dokoran...
Argumentace "kasleme na zabezpeceni, protoze jini na to kaslou taky a jen to obtezuje" je skutecne zvracena. BGP a jeho implementace poskytuje celou radu nastroju a moznosti, jak se potencialnim problemum branit - skutecny problem je, ze neni vule je vyuzivat. Primarnim duvodem je obycejna lenost a pohodlnost nekterych lidi zodpovednych za konfigurace systemu. Muzeme mit sebelepsi implementace BGP, sebelepsi moznosti zabezpeceni, ale pokud neni ochota je v praxi nasadit, pak k podobnym problemum dochazet bohuzel bude - a nikoliv jen omylem mene zkuseneho administratora, ale naopak cilene od lidi, co se vyznaji velmi dobre.
Filtr na as-path s vyuzitim regularnim vyrazu jde napsat i v jednom radku (alespon ten zakladni), staci to umet. Kdyz si budu chtit hodne zjednodusit zivot, tak ten jediny radek budu mit univerzalne aplikovatelny na vsechny zakazniky. Ale porad tam bude aspon nejake zakladni omezeni - ktere je vzdy lepsi, nez vubec zadne omezeni (tak jak je beznou praxi)...
Kdyz jsme u tech primeru - byt si taky kazdy zamykame, byt jsme si obvykle vedomi faktu, ze kazde zabezpeceni jde ne az tak tezce prekonat. Ale presto malokdo necha byt dobrovolne odemceny s dvermi dokoran...
ZP (neregistrovaný)
---.inway.net
19. 2. 2009 18:33
Re: Kdyz se nefiltruje...
Nezlob se na mne, ale v danem pripade problem postihl pouze site, ktere pouzivaly implementaci BGP, ktera obsahovala chyby. A ti tim take byli postizeni, v tomto ohledu to bylo pomerne spravedlive a ucinne filtrovani (nikdy nebude, vzdy se najde nekdo, kdo ho nebude aplikovat) by jen umoznilo zachovat stavajici stav s tim, ze priste by jej mohl cilene vyuzit nejaky utocnik.
Velmi se mi ostatne libil jeden z komentaru na Renesys, tak jej zde odcituji:
---
Jim, pull your head out.
The fact of the matter is that the administrators of the largest backbones identified this problem within 15-20 minutes of it happening, and, using the appropriate WHOIS records, contacted the responsible parties who got it corrected within 2 hours, maximum.
I challenge anyone to find a global ANYTHING even half the size of the Internet, that identifies and corrects problems this rapidly.
Contrast this story to the Salmonella contamination in the US Peanut products industry. That is a FOOD distribution network, not unlike the Internet in structure, and we are still finding contaminated products. And it's just in the US only - not global - it's VASTLY smaller.
If the food industry responded as quickly as the Internet's administrators do, after the first Salmonella death, there wouldn't have been any other ones. Talk about drivers licenses and incompetence!!!!!!!!
---
Velmi se mi ostatne libil jeden z komentaru na Renesys, tak jej zde odcituji:
---
Jim, pull your head out.
The fact of the matter is that the administrators of the largest backbones identified this problem within 15-20 minutes of it happening, and, using the appropriate WHOIS records, contacted the responsible parties who got it corrected within 2 hours, maximum.
I challenge anyone to find a global ANYTHING even half the size of the Internet, that identifies and corrects problems this rapidly.
Contrast this story to the Salmonella contamination in the US Peanut products industry. That is a FOOD distribution network, not unlike the Internet in structure, and we are still finding contaminated products. And it's just in the US only - not global - it's VASTLY smaller.
If the food industry responded as quickly as the Internet's administrators do, after the first Salmonella death, there wouldn't have been any other ones. Talk about drivers licenses and incompetence!!!!!!!!
---
Danny (neregistrovaný)
---.jups.junix.cz
19. 2. 2009 18:53
Re: Kdyz se nefiltruje...
Problemu slo vhodnym nastavenim predejit, to je pointou sdeleni.
Reakce byla pomerne rychla, nejspis ale take i diky tomu, ze problem nastal v podvecer, kdy jsou vsichni jeste vzhuru. Ve ctyry rano by ty dopady byly mozna i horsi a reakcni doby podstatne delsi... ale to je jen spekulace.
Komentare jsou tam jine, treba i takovyto:
This situation falls right into the same category as bogon filtering. If everyone followed bogon principles and filtered invalid sources and destinations at their border, there would be no source or destination address-spoofing anywhere on the Internet. Likewise, if everyone filtered AS path advertisements down to a "reasonable" number, this excessive path problem would never have occured and would never occur in the future. Maybe it's time for a new RFC that not enough people will read and think "hey, that really IS a good idea"...
Reakce byla pomerne rychla, nejspis ale take i diky tomu, ze problem nastal v podvecer, kdy jsou vsichni jeste vzhuru. Ve ctyry rano by ty dopady byly mozna i horsi a reakcni doby podstatne delsi... ale to je jen spekulace.
Komentare jsou tam jine, treba i takovyto:
This situation falls right into the same category as bogon filtering. If everyone followed bogon principles and filtered invalid sources and destinations at their border, there would be no source or destination address-spoofing anywhere on the Internet. Likewise, if everyone filtered AS path advertisements down to a "reasonable" number, this excessive path problem would never have occured and would never occur in the future. Maybe it's time for a new RFC that not enough people will read and think "hey, that really IS a good idea"...
ZP (neregistrovaný)
---.inway.net
19. 2. 2009 19:09
Re: Kdyz se nefiltruje...
Zapominas, ze kdyz je v Evrope podvecer, je v Cine hluboka noc, na vychodnim pobrezi USA dopoledne a na zapadnim se take jeste spi...
Kazdemu problemu lze nejakym "vhodnym nastavenim" predejit, i tem umrtim po poziti zkazenych burskych orisku, druha vec je, kolik novych problemu to zpusobi.
Kazdemu problemu lze nejakym "vhodnym nastavenim" predejit, i tem umrtim po poziti zkazenych burskych orisku, druha vec je, kolik novych problemu to zpusobi.
Danny (neregistrovaný)
---.eurotel.cz
19. 2. 2009 19:21
Re: Kdyz se nefiltruje...
Problem vznikl.. vyzadoval reakci a byl odstranen v CR, poznamka o Cinanech je dost mimo...
Mard (neregistrovaný)
---.i4g.tmcz.cz
20. 2. 2009 23:42
Re: Kdyz se nefiltruje...
Pane, vy trpíte nějakým Paroubkovským syndromem ublíženosti. Nic se vám nelíbí a pravdu máte jedině vy. Místo toho aby jste se radoval že díky šťastné shodě okolností se podařilo odhalit bezpečnostní mezeru dřív než toho masivně využili hackeři, tak prudíte o filtrování. Vy by jste člověče vyhodil Fleminga, že mu zplesnivěla kultura, ještě dřív než by něco mohl zjistit!
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 0:02
Re: Kdyz se nefiltruje...
Mýlíte se v zásadním, pane. Bezpečnostní mezery jsou dlouhodobě známé a tato diskuze jen zviditelňuje přístupy některých ISP k eliminaci popsaných potenciálních problémů. Když se začtete do reakcí pana Pospíchala, tak nelze přehlédnout neochotu zabezpečovat a eliminovat tyto v zásadě známá rizika, protože by tím utrpěl komfort jeho zákazníků. Tam je zakopaný pes. Drobnou obhajobou budiž, že pan Pospíchal není zdaleka jediný s podobnými sklony.
To, co obhajuje Danny je jen racionální snaha o elementární zabezpečení na vstupu, zatímco pan Pospíchal fakticky obhajuje anarchii.
To, co obhajuje Danny je jen racionální snaha o elementární zabezpečení na vstupu, zatímco pan Pospíchal fakticky obhajuje anarchii.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 7:16
Re: Kdyz se nefiltruje...
Ne, pan Pospichal tvrdi, ze zabezpecen ma byt kazdy konkretni smerovac, protoze duverovat celemu svetu zkratka nelze (rozhodne si nebudete filtrovat routy z upstreamu). Paradoxne dokonce ono mnou propagovane zabezpeceni toho smerovace komfort zakaznika, narozdil od onoho filtrovani, neomezuje.
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 10:51
Re: Kdyz se nefiltruje...
V první řadě má být zabezpečen vstup, směr od koncového zákazníka. Supro se dopustilo jen nepěkné lidské chyby, nikoliv však záměrně. Chyby, která se občas povede každému, Vás osobně nevyjímaje. Ale kdyby byla uplatněna striktnější pravidla na vstupu u Sloane, problém by za hranicemi neregistroval nikdo a vlastně by nebylo o čem psát. Ten Váš pofidérní komfort může být někdy zneužit k cílenému útoku. A cílených útoků na internetovou infrastrukturu přibývá.
ZP (neregistrovaný)
---.inway.net
21. 2. 2009 11:43
Re: Kdyz se nefiltruje...
"Ma byt". Zijeme v realnem svete. To ma byt mi pripomina utopicke tvrzeni, ze kdyby nikdo nemel zbrane, tak by se vsem zilo mnohem lepe. Jenze ve svete zbrane (a nefiltrujici site) zkratka jsou a nenadelate s tim vubec nic.
uživatel si přál zůstat v anonymitě
193.179.197.---
21. 2. 2009 11:51
Re: Kdyz se nefiltruje...
Vaše názory zas připomínají komunistické "kdo nekrade, okrádá vlastní rodinu".
Michal Kára (neregistrovaný)
---.topnet.cz
19. 2. 2009 9:04
Re: Kdyz se nefiltruje...
Mne tenhle konkretni problem prijde spis jako problem specifikace. BGP evidentne neomezuje delku cesty - coz je spatne, to se neda na realnem pocitaci naprogramovat ;-) Kdyby standard specifikoval, ze maximalni delka cesty je 255, vsichni musi tuto delku korektne zpracovat, ale session ktera posle delsi cestu MUSI byt zahozena (nebo zahozena jen ona cesta / ...), problem by nevznikl.
Danny (neregistrovaný)
---.jups.junix.cz
20. 2. 2009 0:00
Re: Kdyz se nefiltruje...
Implementace (ty novejsi) toto omezuji. Pravda, nikoliv na zaklade nejakych RFC, ale na zaklade nejakych real-life experiences... takze ty "nove" implementace maji jako default limit 75 AS hopu, konfiguracne zvednutelny az na 2000 (!)...
Je treba si uvedomit, ze tyto specifikace jsou pomerne stare. Tyka se to uz samotneho IP protokolu - samozrejme v dobe vzniku specifikaci nikdo nepredpokladal tak masove nasazeni a bezpecnost byla otazkou spise okrajovou...
Problem by zarucene nevznikl i pri dnesni specifikaci - staci adekvatne vyuzit nabizenych moznosti, ale jak tato diskuze nazorne prezentuje - nekde neni ochota...
Je treba si uvedomit, ze tyto specifikace jsou pomerne stare. Tyka se to uz samotneho IP protokolu - samozrejme v dobe vzniku specifikaci nikdo nepredpokladal tak masove nasazeni a bezpecnost byla otazkou spise okrajovou...
Problem by zarucene nevznikl i pri dnesni specifikaci - staci adekvatne vyuzit nabizenych moznosti, ale jak tato diskuze nazorne prezentuje - nekde neni ochota...
19. 2. 2009 14:23
Re: Kdyz se nefiltruje...
Šálí mě zrak, nebo si se poprvé v životě zastal programátorů na úkor adminů ? :-)
Danny (neregistrovaný)
---.jups.junix.cz
19. 2. 2009 18:29
Re: Kdyz se nefiltruje...
Nesali te zrak. Existuji dobri a spatni admini, stejne tak jako existuji dobri a spatni programatori.
20. 2. 2009 11:35
Re: Kdyz se nefiltruje...
no... to je tak eklektický názor, že s ním opravdu nelze polemizovat :-) Mám pokušení tvrdit, že musí určitě existovat i nějaká "třetí cesta", ale radši nebudu provokovat :-))