l1ght

слабо моё сообщение прочитать полностью про 42111 порт что б понять кто слушает?

при чем тут софтфлоуд? адрес биллинга верно указан (10.0.0.254)? может ты шлешь нетфлоу не туда

это вообще здесь при чем? старгейзер сразу должен быть собран с модулем netflow (nf_cap) и слушать 42111 порт, если пользоваться штатным инсталлером то всё работает из каробки

у екстендед формат другой если по правильному AS - второй аргумент в списке для juniper вот такой формат (буква L для 32 bit ASN обязательна) target:199524L:0

лукавишь, архитектурно фаервол от роутера весьма далек (по крайней мере современные инкарнации) и фичи типо ната, ips, антивирус и остальные очень нехерово едят перфоманс фаервола asa 5585x это вообще сервер с х86 процами и оффлоадами в которую можно сунуть 16 sfp+ портов но перфоманс она даст только 40 гигабит на коробку максимум, чем больше фич включишь то и 20 гбит получить уже будет крайне сложно 1) лицухи, 10ж порты отдельно лицензируются и куча фич активируются ток с лицухами и RTU там и не пахнет 2) про нат забудь на этой коробке 3) 9хх циски это для мобильщиков

в кратце: железный фиревол он стейтфул, рухтеры обычно оперируют ACL в стейтлес режиме фаервол имеет кучу фичей что б следить за трафиком в реалтайме сессии (даже если нет ната), анализ, логи и всякие таки штуки (у асы есть крутой packet tracer в котором видно какое правило блокирует трафик, хорошо помогает в отладке свои правил) но понятно что меньше перфоманс чем у рухтера из-за активированых фичей в целом пророутить он может дохрена (без фичей), но опять же нету упора на фичи рухтеров asa не умеет в врф и всякие такие штуки, зато она умеет в контексты (несколько полноценных и отдельных фаерволов внутри одной коробки)

с сервисной платой (не забываем про нат) и лицухами официально это удовольствие будет стоит весьма интересных денег ТС же хочет новое и официально купленное я бы смотрел больше в сторону фиреволов типо srx/asa

лютый кастрат, если аппетиты возрастут то младшая может уже и не вытащить, а за цену старшой так лучше что-то другое посмотреть может в сторону фаерволов таки посмотреть? стоило упомянуть это ничего про новое не говорилось в первом посте ну у ASR1k там гайки подкрутили, если смотреть на HX (типо ASR1002-HX) платформу там всё очень печально с лицензиями, они нужны буквально на всё, даже на BGP отдельная лицуха и не совсем понятно почему именно цуско и только она там иногда и новое железо продается и даже актуальное которое ещё в официальных продажах есть

asr 1001/1002 что б на верочку, но судя по винде и потугам с микротиками не твой бюджет

del

Логи дхцп почистить и вообще научится в ротацию логов

которую?

вы так сильно людей ненавидите что б это советовать?

доку чуть исправил что б не вводить людей в заблуждение

ну это не гибко бы получилось в данном кейсе, но врф это нормально, никакой это не п@зд#ц

ну да, перекинь так СоА запросами с одного ната на другой пару тыщ юзеров с учетом калькуляторности МХ80

l1ght@BRAS-1> show configuration dynamic-profiles inet variables { speed-var-out; speed-var-in; fw-name-in { equals "'FW-IN'"; uid; } fw-name-out { equals "'FW-OUT'"; uid; } policer-in { equals "'PLR-IN'"; uid; } policer-out { equals "'PLR-OUT'"; uid; } burst-in equals " ($speed-var-in * 0.6 / 8) "; burst-out equals " ($speed-var-out * 0.6 / 8) "; } interfaces { "$junos-interface-ifd-name" { unit "$junos-interface-unit" { family inet { filter { input "$fw-name-in" precedence 100; output "$fw-name-out" precedence 100; } } } } } firewall { family inet { filter "$fw-name-out" { interface-specific; term 0 { then policer "$policer-out"; } } filter "$fw-name-in" { interface-specific; term 0 { then policer "$policer-in"; } } } policer "$policer-out" { if-exceeding { bandwidth-limit "$speed-var-out"; burst-size-limit "$burst-out"; } then discard; } policer "$policer-in" { if-exceeding { bandwidth-limit "$speed-var-in"; burst-size-limit "$burst-in"; } then discard; } } скорость передаю в битах в параметрах сервиса радиусом

я ж выше показал на основе source-ip который в nat-list l1ght@BRAS-1> show configuration policy-options prefix-list nat-list 172.16.0.0/16; мне всё равно как создаются интерфейсы, это просто на основе роутинга (смотрим в начало пасты про forwarding-options) у меня одно статичное правило а не миллион динамических на каждого сабскрибера, как у вас в данном случае

l1ght@BRAS-1> show configuration forwarding-options family inet { filter { input custom-flow-fbf; } } l1ght@BRAS-1> show configuration firewall family inet filter custom-flow-fbf term local { from { source-prefix-list { local-traffic; } destination-prefix-list { local-traffic; } } then accept; } term nat { from { source-prefix-list { nat-list; } } then { routing-instance nat; } } term default { then accept; } ну только сделать на своё количество и можно динамически менять это правило фаервола когда удобно в этой схеме это даже вредно

полного нет, замена только конкретных аттрибов для конкретного юзера

не, это ж дхцп который игнорит PoD/CoA ему смотреть в сторону POD_ON_MAC_CHANGE который заодно и базу апдейтит

ну для начала убедится что регенерация аттрибутов происходит с вызовом ubapi

а 409 собсно какая? есть билды rc2 и rc5 чую что там системд в отличии от 7-го деба и вы не умеете в юниты и вообще не ебете что у вас на линукс тачке творится нет, это ж херня я за весь тред так и не понял схерали разные насы должны обслуживать абонов одной сети это "а я изобрел аннамберед на разных серверах в разных сегментах"? очевидно ему прислали команду с сиг 17, вопрос сх#$ли но это как раз к мадфу (мож там колбек на рестарт, а инит\системд скрипт шлет сиг 17)

вики читать пробовал? там... кхм... весьма пошагово

sighup / restart старгейзера после добавления насов