Разбираюсь, как работают сети в Azure Stack HCI - не потому, что собираюсь эту штуку строить (вряд ли в ближайшее время обломится такой случай, а жаль), а потому, что это проливает свет на то, как работает SDN в настоящем облаке Микрософт Лазурь ( Read more... )

Недавно задался сетевым вопросом, казавшимся мне элементарным: как сделать так, чтобы трафик между виртуальными сетями Azure, а также между ними и удалёнными сетями, подключёнными по VPN, ходил через файерволл - без того, чтобы прописывать всякий раз статические маршруты при добавлении этих сетей. К моему удивлению, вопрос неожиданно оказался очень ( Read more... )

Вот пара вещей, которые бы хотелось иметь в цифровом мире:

1. Есть много систем, предоставляющих "удалённый рабочий стол" - RDS, Citrix, Azure Virtual Desktop, VMware Horizon... Они все, разумеется, проверяют юзерскую личность на входе. А вот интересно, какие-нибудь из них умеют регулировать трафик, исходящий с этих удалённых десктопов - причём не ( Read more... )

Спросили меня насчёт интервью, которое дал украинскому сайту "Гордон" какой-то бизнесмен Михаил Талан, утверждающий, что российские спецслужбы рутинно проводят массовую "man-in-the-middle" атаку на TLS-соединения российских пользователей.

- Каким образом россиянам удалось вставить туда "посредника" и считывать зашифрованный трафик?
- Подсунув ( Read more... )

Накатал в технобложик на модную тему изоляции:

https://blog.mucius.tk/2020/09/dangers-of-air-gapped-networks.html

Если у вас как-нибудь зародится идея использовать Фортигейт в качестве балансировщика нагрузки - сделайте себе одолжение и придушите её сразу. Сэкономите себе много часов со сниффером в обнимку.

Для разбрасывания TCP-соединений по серверам он ещё годится - когда он не пытается умничать и просто пересыпает потоки байт из одной трубы в другую. Ещё SSL ( Read more... )

Микрософт лапочки. Читаешь про Azure Files и про безопасность трафика в SMB 3.0 - шифрование, цифровые подписи, все дела - и восхищаешься: вот здорово! А потом думаешь - а как, ёлы-палы, ты вообще знаешь, что подключаешься к настоящему серверу \\mydearfiles.file.core.windows.net, а не к липовому? И тут понимаешь, что никак ( Read more... )

В продолжение мечтаний:

Вот интересно, существует ли на белом свете сетевая хреновина типа файерволла, умеющая обрабатывать исходящий HTTPS-трафик следующим образом:
1. Ответить на попытку установить TCP-соединение на любой адрес - от имени этого адреса.
2. Получить от юзера пакет "Client Hello", прочесть оттуда хостнейм из поля SNI - сегодня его ( Read more... )

Нашёл ответ на давно мучивший меня вопрос, который, я уверен, и вам покоя не давал, дорогие читатели - почему в виртуальных сетях микрософтовского облачка, Azure, нельзя передавать любой трафик, что не на unicast IPv4. Не значит ли это, что у них там не привычный Ethernet, а что-то своё эзотерическое?

Ну в общем-то да.

К этому посту: по-моему, эту задачку сегодня вполне несложно решить с помощью on-demand overlay network, типа всяких SDN или FortiGate ADVPNТо есть, допустим, таким вот образом ( Read more... )