forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, применяемом для PXE-загрузки, opennews (ok), 17-Янв-24, (0) [смотреть все]

Скрыто модератором, C00l_ni66a (ok), 22:04 , 17-Янв-24, (1) –2 //

Скрыто модератором, амоним (?), 22:08 , 17-Янв-24, (3)
Скрыто модератором, Аноним (-), 23:34 , 17-Янв-24, (8) –4
Скрыто модератором, Аноним (-), 00:15 , 18-Янв-24, (15) +2 //

Скрыто модератором, YetAnotherOnanym (ok), 12:54 , 18-Янв-24, (33)

да тут просто флеш рояль , амоним (?), 22:07 , 17-Янв-24, (2) +9 //

Точнее флеш фирмварь Но примерно то же самое в случае UEFI, Аноним (-), 22:49 , 17-Янв-24, (6) +6 //

а вот опенсорсный БИОС coreboot SeaBIOS этим вашим UEFI-дырам не подвержен - у, Аноним (60), 18:45 , 18-Янв-24, (60) +2 //

КМК его пишут все же не настолько ушибленные индусские коты Если просто посмотре, Аноним (-), 19:58 , 18-Янв-24, (67) –2
а вот опенсорсный БИОС Так эта штука и так опенсорсная уже 20 лет А у coreboo, Аноним (-), 20:07 , 18-Янв-24, (68)

вынипанимаити - ета другое , пох. (?), 22:52 , 18-Янв-24, (74)

Скрыто модератором, Аноним (-), 23:50 , 17-Янв-24, (10) +2
На автомате выпадает С С С С, музыка, звон монет, вы выиграли Джек-Пот , Аноньимъ (ok), 13:49 , 18-Янв-24, (41) –1

а вот был бы раст , Аноним (11), 23:57 , 17-Янв-24, (11) –5
Это кстати, эта штука не сильно и новая Интел ее открыл в 2004 году и подарил со, Аноним (-), 23:57 , 17-Янв-24, (12) +3 //

Вариант тупо не использовать UEFI, всё-равно он не может быть безопасным из-за п, Брат Анон (ok), 09:22 , 18-Янв-24, (25) +1 //

А толку Берем тот же coreboot - и видим там CVE-2022-29264 - arbitrary code exec, Аноним (-), 12:26 , 18-Янв-24, (32) +1 //

Для критических к безопасности вещей писать на голой сишке - это шиза Хоть с ан, Аноньимъ (ok), 13:45 , 18-Янв-24, (36) –1

да, надо сразу на markdown программировать Это безопастно код начальной иници, нах. (?), 13:47 , 18-Янв-24, (40)

Та не в коде инициализации аппаратуры ошибки , Аноньимъ (ok), 13:50 , 18-Янв-24, (43)

ну давай половину начального загрузчика напишем на си, а вторую на хаскеле Удач, нах. (?), 13:52 , 18-Янв-24, (45)

Хаскель кстати в сишку компилируется, никакой спец магии ненужно для этого Разме, Аноньимъ (ok), 14:07 , 18-Янв-24, (46)

сперва надо чтоб образовалось ЧТО компилировать - и именно в этом месте тебя жду, нах. (?), 14:29 , 18-Янв-24, (49) +1
Встретились 2 очень всех нужным штуки как-то, и стали меряться - кто же из них ч, Аноним (69), 20:10 , 18-Янв-24, (69)
Ты потом в этом коде разбираться будешь , Аноним (73), 22:42 , 18-Янв-24, (73)

Погоди-погоди, а мы зачем на хаскель-то собрались переписывать Никто не может , пох. (?), 23:01 , 18-Янв-24, (77)

А на чем писать Ты со своим с мозг что ли высушил Какой хаскель Ты видимо на, Аноним (73), 22:41 , 18-Янв-24, (72)

На Лиспе , Аноньимъ (ok), 15:31 , 19-Янв-24, (98)
Скрыто модератором, Аноним (-), 08:22 , 20-Янв-24, (100)

Практически всё Сообщество 89 согласно отчётам board_status использовало SeaB, Аноним (65), 19:54 , 18-Янв-24, (65) –1

Не зря гугля в своих материнках в ДЦ использует coreboot, Анонимус3000 (?), 01:35 , 18-Янв-24, (16) //

гугля старается писать на богомерзком расте куда им до настоящих сишников , амоним (?), 01:41 , 18-Янв-24, (17) –1 //

В том то и дело что старается, но ничего не напишет , Аноним (22), 08:58 , 18-Янв-24, (22) +1 //

Так делают все, кто пытался писать на расте , Аноним (24), 09:10 , 18-Янв-24, (24) +3
не, ну как же - пятнадцать прослоек к прокладкам уже написал шитотатам 80 нова, нах. (?), 10:17 , 18-Янв-24, (27) –2

Скрыто модератором, Аноним (-), 10:29 , 18-Янв-24, (28)

Скрыто модератором, нах. (?), 11:55 , 18-Янв-24, (30)

звиздишь как Троцкий Не с той стороны проценты взял, там было 21 год назад та, Аноним (92), 01:57 , 19-Янв-24, (92)

ведроид представляет собой линукс с кучкой прослоек и прокладок И jvm краденую , нах. (?), 12:13 , 19-Янв-24, (97) –1

Офигенно получается Так им понравилось это дело, что заявляют о стремлении всё , Аноним (92), 02:08 , 19-Янв-24, (94)

Красиво пошли , Аноним (18), 02:25 , 18-Янв-24, (18) +1
А qemu проблеме подвержена OVMF вроде бы тоже на EDK2 основана , Аноним (20), 07:40 , 18-Янв-24, (20) //

А кого там ломать самого себя , Аноним (22), 08:59 , 18-Янв-24, (23)
в QEMU коребутовский образ тоже с SeaBIOS ом идёт вместо UEFI-жирноты, Аноним (65), 19:56 , 18-Янв-24, (66) –1

Это был вопрос времени Выделить буфер фиксированного размера, а потом записать , Шарп (ok), 11:20 , 18-Янв-24, (29) +1 //

Нужно было использовать Эльбрус , kusb (?), 14:13 , 18-Янв-24, (47) +1 //

Как ты гору используешь Будешь сбрасывать нерадивых разработчиков с вершины , Аноним (92), 02:02 , 19-Янв-24, (93) //

да там у самих вершин полого все, далеко не улетят Можно просто их там бросать , пох. (?), 11:27 , 19-Янв-24, (96)

интересно, много ли серверных позволяют попасть неаутентифицированному пользоват, Аноним (31), 12:15 , 18-Янв-24, (31) //

полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по , mblp (??), 12:55 , 18-Янв-24, (34) //

вот и не бери помойкохостинги в помойкодц Там где мои коробочки тарахтят - ничег, нах. (?), 13:44 , 18-Янв-24, (35) //

Как реализуете , Аноньимъ (ok), 13:47 , 18-Янв-24, (39)

port isolationшироковещательный траффик просто никуда не дойдет кроме маршрутиза, нах. (?), 13:51 , 18-Янв-24, (44)

Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это , Tron is Whistling (?), 17:01 , 18-Янв-24, (54)

pxe - это не сеть управления, это сеть клиента , нах. (?), 18:13 , 18-Янв-24, (59)

ЩАЗ Не, если бареметал клиент хочет PXE с откуда попало - его право Изоляция по, Tron is Whistling (?), 19:49 , 18-Янв-24, (61)

тупой вопрос и даже vlan не спасёт , Аноним (31), 13:46 , 18-Янв-24, (37) //

не напасешься Но port isolation - таки да , нах. (?), 13:49 , 18-Янв-24, (42)

точно, про него забыл, спасибо, Аноним (31), 15:20 , 18-Янв-24, (51)
Да почему не напасёшься-то Более 4000 портов на свитч , Tron is Whistling (?), 17:02 , 18-Янв-24, (55)
Мы даже с port isolation не заморачиваемся - тупо влан на порт , Tron is Whistling (?), 17:03 , 18-Янв-24, (56)

а дальше Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-, нах. (?), 18:12 , 18-Янв-24, (58)

Ды ладно, всё не так плохо и сложно Отдельная адресация и отдельные маршруты дел, Tron is Whistling (?), 19:51 , 18-Янв-24, (62)

то есть ПОЛОВИНА адресов багровой шляпой накрыты Ну ок А можешь отсыпать 2, нах. (?), 20:14 , 18-Янв-24, (71)

23 не могу, 30 запросто Невдолбенные деньги - это сколько Десять баксов в мес, Tron is Whistling (?), 23:00 , 18-Янв-24, (75)

мля, ну куда мне совать твой 30 Мне надо что-то что можно хотя бы попросить а, пох. (?), 23:06 , 18-Янв-24, (80)

Ну что это означает Да ничего не означает, если не PI Всё так же будешь гонятьс, Tron is Whistling (?), 23:16 , 18-Янв-24, (84)

мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего не, пох. (?), 23:30 , 18-Янв-24, (90)
Абсолютно нормально Я бы сказал даже дёшево, у нас recurring дороже Правда без, Tron is Whistling (?), 09:54 , 19-Янв-24, (95)

Мы конечно в этом плане беднота уже 24 и шире вообще не даём, максимум 28 27, Tron is Whistling (?), 23:23 , 18-Янв-24, (85)

это не значит, что один клиент в теории не может себе нажрать 30 на целую 25 , Tron is Whistling (?), 23:25 , 18-Янв-24, (86)
26 то бишь, Tron is Whistling (?), 23:26 , 18-Янв-24, (87)
Ну и за шмот поясню у нас NAT до сих пор кроме как на мобилке - нет нигде Феер, Tron is Whistling (?), 23:28 , 18-Янв-24, (88)
Yes, даже у массы физиков нет NAT , Tron is Whistling (?), 23:29 , 18-Янв-24, (89)

Ну это для металла же Где-то даже 30, а не 31 VPS конечно сидят на 32 в анна, Tron is Whistling (?), 23:00 , 18-Янв-24, (76)

но зачем У вмвари все в порядке с port isolation, это бесплатно Еще и promis, пох. (?), 23:09 , 18-Янв-24, (81)

Но зачем, если проще положить клиента в совершенно изолированную подсеть наскво, Tron is Whistling (?), 23:11 , 18-Янв-24, (82)

а зачем нужен такой микроменеджмент Где я это делал - швыряли 24 на пару стоек, пох. (?), 23:39 , 18-Янв-24, (91)

Я кстати могу предположить вариант, при котором клиент даже промиск в своём влан, Tron is Whistling (?), 23:13 , 18-Янв-24, (83)

Есть варианты и без 31, есть варианты с 32 unnumbered, там тоже изоляция by de, Tron is Whistling (?), 19:53 , 18-Янв-24, (63)
Для совсем любителей есть VPLS , Tron is Whistling (?), 19:54 , 18-Янв-24, (64)

и чем оно нам тут поможет , нах. (?), 20:12 , 18-Янв-24, (70)

Оно тоже про изоляцию, на самом-то деле Порты ходят с меткой, и никого, кроме к, Tron is Whistling (?), 23:01 , 18-Янв-24, (78)
Это конкретно в тех местах, где свитчей либо ещё нет, либо уже нет , Tron is Whistling (?), 23:02 , 18-Янв-24, (79)

В случае VPS - VLAN на VPS Всё управление естественно отдельно ходит, туда вообщ, Tron is Whistling (?), 17:04 , 18-Янв-24, (57)

Сообщения [Сортировка по времени | RSS]

31. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноним (31), 18-Янв-24, 12:15

> для организации сетевой загрузки (PXE). Наиболее опасные уязвимости позволяют неаутентифицированному атакующему организовать удалённое выполнение своего кода на уровне прошивки
интересно, много ли серверных позволяют попасть неаутентифицированному пользователю во внутренний периметр, где происходит загрузка по PXE?

Ответить | Правка | Наверх | Cообщить модератору

34. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от mblp (??), 18-Янв-24, 12:55

полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по сети в рескуе ос

Ответить | Правка | Наверх | Cообщить модератору

35. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:44

вот и не бери помойкохостинги в помойкодц.
Там где мои коробочки тарахтят - ничего подсунуть между гейтом и твоей коробкой не получится.
Еще от тыщи и одной болячки помогает.
А не фильтровать траффик разных клиентов друг от друга - ну могут позволить себе либо очень глупые, либо владельцы собственной площадки.

Ответить | Правка | Наверх | Cообщить модератору

39. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноньимъ (ok), 18-Янв-24, 13:47

> ничего подсунуть между гейтом и твоей коробкой не получится
Как реализуете?

Ответить | Правка | Наверх | Cообщить модератору

44. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:51

port isolation
широковещательный траффик просто никуда не дойдет кроме маршрутизатора (поэтому перехватить начальный бродкаст не получится), целевой дойдет - но через маршрутизатор, а это палево да и фильтры там.
Незачем пользовательским коробкам между собой общаться. Ничего хорошего они все равно таким путем не передают.

Ответить | Правка | Наверх | Cообщить модератору

54. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:01

Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это вообще очень странно.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

59. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 18:13

pxe - это не сеть управления, это сеть клиента.

Ответить | Правка | Наверх | Cообщить модератору

61. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:49

ЩАЗ.
Не, если бареметал клиент хочет PXE с откуда попало - его право. Изоляция портов тут не спасёт.
А если речь о загрузке аппаратной ноды с PXE - клиенты которые попадут на эту ноду, вообще не в курсе, откуда оно загрузилось.

Ответить | Правка | Наверх | Cообщить модератору

37. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноним (31), 18-Янв-24, 13:46

тупой вопрос: и даже vlan не спасёт?

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

42. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 13:49

не напасешься. Но port isolation - таки да.

Ответить | Правка | Наверх | Cообщить модератору

51. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Аноним (31), 18-Янв-24, 15:20

точно, про него забыл, спасибо

Ответить | Правка | Наверх | Cообщить модератору

55. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:02

Да почему не напасёшься-то? Более 4000 портов на свитч? :)

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

56. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:03

Мы даже с port isolation не заморачиваемся - тупо влан на порт.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

58. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 18:12

> Мы даже с port isolation не заморачиваемся - тупо влан на порт.
а дальше? Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-ц, собирать потом вланы кучкой на один svi - здравствуй proxy arp когда не ждали.

Ответить | Правка | Наверх | Cообщить модератору

62. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:51

Ды ладно, всё не так плохо и сложно.
Отдельная адресация и отдельные маршруты делаются, факт.
Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.

Ответить | Правка | Наверх | Cообщить модератору

71. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 20:14

> Ды ладно, всё не так плохо и сложно.
> Отдельная адресация и отдельные маршруты делаются, факт.
> Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.
то есть ПОЛОВИНА адресов багровой шляпой накрыты? Ну...ок...
А можешь отсыпать /23, по братски? А то я тут плачу за /28 совершенно нев...нные деньги, а у тебя, смотрю, лишинх-то дохрена?

Ответить | Правка | Наверх | Cообщить модератору

75. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00

/23 не могу, /30 запросто.
Невдолбенные деньги - это сколько? Десять баксов в месяц?

Ответить | Правка | Наверх | Cообщить модератору

80. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:06

мля, ну куда мне совать твой /30 ? Мне надо что-то что можно хотя бы попросить анонсить хороших (нет) ребят.
> Невдолбенные деньги - это сколько? Десять баксов в месяц?
мля... как бы это так сформулировать... ааааа, да хрен с ним - как тебе нравится
/24 IP subnet (254 usable IPs) € 435.20 monthly / € 659.00 setup
(эх... кажется, мои шансы что-то поиметь нахаляву теперь равны нулю)
P.S. я надеюсь ты понимаешь почему 254 и что это означает?

Ответить | Правка | Наверх | Cообщить модератору

84. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:16

Ну что это означает. Да ничего не означает, если не PI.
Всё так же будешь гоняться через единственный аплинк.
Речь вроде про конские деньги за /28 шла?
А за /24 435 в месяц - это очень даже нормально.

Ответить | Правка | Наверх | Cообщить модератору

90. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:30

мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего неясного-то. Для этого нужен блок приличных размеров, а AS мы и твою предъявим, я же говорю что они не совсем "хорошие" пацаны.
Сервер-то я двигать никуда не буду, он нетранспортабелен.
Те вот чо, жалко, когда ты по /30 на одного вшивого клиента с физическим тазиком выкидываешь?
У тебя там этих ненужных /23 должны сотни пропадать просто так, на вланах per client, и наверняка есть запас на годы вперед. Ну чо тебе, одной жалко, даааа?
/28 это € 27.20 monthly / € 59.90 setup (да вы там уху ели?! Чтоб я столько за пять секунд работы получал!) и с тем же нае.. "14 usable" - т.е. ты и ЕЩЕ за одну /30 заплатишь, падла бохатая, одного адреса ей вишь мало. У меня старый сервер, где не было этого "setup", но в результате я ничего поменять там не могу.

Ответить | Правка | Наверх | Cообщить модератору

95. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 19-Янв-24, 09:54

> /28 это € 27.20 monthly / € 59.90
Абсолютно нормально. Я бы сказал даже дёшево, у нас recurring дороже. Правда без сетапа.

Ответить | Правка | Наверх | Cообщить модератору

85. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:23

Мы конечно в этом плане беднота уже.
/24 и шире вообще не даём, максимум /28.
/27 только по особому запросу и особо крупным.
Хотя в прошлый раз целую пачку /30 отдали особо крупному клиенту, спецзаказ. Я плакал кровавыми слезами, но ack'нул.

Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

86. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:25

(это не значит, что один клиент в теории не может себе нажрать /30 на целую /25 например через 16 портов, но это с учётом портов выйдет достаточно дорого)

Ответить | Правка | Наверх | Cообщить модератору

87. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:26

/26 то бишь

Ответить | Правка | Наверх | Cообщить модератору

88. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:28

Ну и за шмот поясню: у нас NAT до сих пор кроме как на мобилке - нет нигде.
Феерично, но факт. Поэтому риходится экономить даже имея резервы.

Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

89. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:29

Yes, даже у массы физиков нет NAT :)

Ответить | Правка | Наверх | Cообщить модератору

76. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00

Ну это для металла же. Где-то даже /30, а не /31.
VPS конечно сидят на /32 в аннамбередах.

Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

81. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:09

но зачем? У вмвари все в порядке с port isolation, "это бесплатно". Еще и promisc включить на виртуальном интерфейсе никто не даст.

Ответить | Правка | Наверх | Cообщить модератору

82. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:11

Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не полагаясь на софт?
И промиск включать бесполезно, даже если у него собственное железо. Ну а в виртуалках никто не даст, да.

Ответить | Правка | Наверх | Cообщить модератору

91. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от пох. (?), 18-Янв-24, 23:39

> Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не
> полагаясь на софт?
а зачем нужен такой микроменеджмент? Где я это делал - швыряли /24 на пару стоек, считать проще по цельным октетам, и не парились. "следи же, чтоб число их было нечетным" Клиент всвитча все равно ничегошеньки лишнего не увидит.
(ну да, с клиентами таки хотевшими видеть, грусть, печаль, миграция в отдельную стойку с другими конфигами - но это была старая вмварь, еще до пришествия nsx. В отдельной стойке был виртуальный nexus с полноценной лицензией.)

Ответить | Правка | Наверх | Cообщить модератору

83. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:13

Я кстати могу предположить вариант, при котором клиент даже промиск в своём влане в вм может получить и поюзать, всё равно ничего, кроме летящего в этом влане, он не увидит, но пока что никто не просил.

Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

63. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:53

Есть варианты и без /31, есть варианты с /32 unnumbered, там тоже изоляция by default, да и собирать особо ничего не приходится, и проксиарпа нет.
Для клиентов, которым нужна распределённая сеть - есть транзитные диапазоны UNI, которые с одинаковым NNI приводятся на все роутеры.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

64. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 19:54

Для совсем любителей есть VPLS.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

70. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от нах. (?), 18-Янв-24, 20:12

и чем оно нам тут поможет?

Ответить | Правка | Наверх | Cообщить модератору

78. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:01

Оно тоже про изоляцию, на самом-то деле. Порты ходят с меткой, и никого, кроме клиента, в них нет. Где-то оно вываливается на всю клиентскую /28-/29 в BVI, и уже оттуда уходит наружу.

Ответить | Правка | Наверх | Cообщить модератору

79. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 23:02

Это конкретно в тех местах, где свитчей либо ещё нет, либо уже нет.

Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

57. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..." +/–

Сообщение от Tron is Whistling (?), 18-Янв-24, 17:04

В случае VPS - VLAN на VPS.
Всё управление естественно отдельно ходит, туда вообще ничего и никак не подсунешь.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

31. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
Сообщение от Аноним (31), 18-Янв-24, 12:15
> для организации сетевой загрузки (PXE). Наиболее опасные уязвимости позволяют неаутентифицированному атакующему организовать удалённое выполнение своего кода на уровне прошивки интересно, много ли серверных позволяют попасть неаутентифицированному пользователю во внутренний периметр, где происходит загрузка по PXE?
Ответить \| Правка \| Наверх \| Cообщить модератору


	34. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от mblp (??), 18-Янв-24, 12:55
	полно таких, возьми любой хостинг ДЦ, везде есть возможность загрузить дедик по сети в рескуе ос
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:44
	вот и не бери помойкохостинги в помойкодц. Там где мои коробочки тарахтят - ничего подсунуть между гейтом и твоей коробкой не получится. Еще от тыщи и одной болячки помогает. А не фильтровать траффик разных клиентов друг от друга - ну могут позволить себе либо очень глупые, либо владельцы собственной площадки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноньимъ (ok), 18-Янв-24, 13:47
	> ничего подсунуть между гейтом и твоей коробкой не получится Как реализуете?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:51
	port isolation широковещательный траффик просто никуда не дойдет кроме маршрутизатора (поэтому перехватить начальный бродкаст не получится), целевой дойдет - но через маршрутизатор, а это палево да и фильтры там. Незачем пользовательским коробкам между собой общаться. Ничего хорошего они все равно таким путем не передают.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	54. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:01
	Не, ну не изолировать клиентов, а особенно не изолировать сеть управления - это вообще очень странно.
	Ответить \| Правка \| К родителю #35 \| Наверх \| Cообщить модератору


	59. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 18:13
	pxe - это не сеть управления, это сеть клиента.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 19:49
	ЩАЗ. Не, если бареметал клиент хочет PXE с откуда попало - его право. Изоляция портов тут не спасёт. А если речь о загрузке аппаратной ноды с PXE - клиенты которые попадут на эту ноду, вообще не в курсе, откуда оно загрузилось.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноним (31), 18-Янв-24, 13:46
	тупой вопрос: и даже vlan не спасёт?
	Ответить \| Правка \| К родителю #34 \| Наверх \| Cообщить модератору


	42. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 13:49
	не напасешься. Но port isolation - таки да.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Аноним (31), 18-Янв-24, 15:20
	точно, про него забыл, спасибо
	Ответить \| Правка \| Наверх \| Cообщить модератору


	55. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:02
	Да почему не напасёшься-то? Более 4000 портов на свитч? :)
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	56. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 17:03
	Мы даже с port isolation не заморачиваемся - тупо влан на порт.
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	58. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 18:12
	> Мы даже с port isolation не заморачиваемся - тупо влан на порт. а дальше? Выделять на каждое корыто отдельную адресацию и отдельно маршруты - п-ц, собирать потом вланы кучкой на один svi - здравствуй proxy arp когда не ждали.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	62. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 19:51
	Ды ладно, всё не так плохо и сложно. Отдельная адресация и отдельные маршруты делаются, факт. Зачем вланы на один SVI собирать? /31, и никаких проксиарпов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от нах. (?), 18-Янв-24, 20:14
	> Ды ладно, всё не так плохо и сложно. > Отдельная адресация и отдельные маршруты делаются, факт. > Зачем вланы на один SVI собирать? /31, и никаких проксиарпов. то есть ПОЛОВИНА адресов багровой шляпой накрыты? Ну...ок... А можешь отсыпать /23, по братски? А то я тут плачу за /28 совершенно нев...нные деньги, а у тебя, смотрю, лишинх-то дохрена?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	75. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00
	/23 не могу, /30 запросто. Невдолбенные деньги - это сколько? Десять баксов в месяц?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	80. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:06
	мля, ну куда мне совать твой /30 ? Мне надо что-то что можно хотя бы попросить анонсить хороших (нет) ребят. > Невдолбенные деньги - это сколько? Десять баксов в месяц? мля... как бы это так сформулировать... ааааа, да хрен с ним - как тебе нравится /24 IP subnet (254 usable IPs) € 435.20 monthly / € 659.00 setup (эх... кажется, мои шансы что-то поиметь нахаляву теперь равны нулю) P.S. я надеюсь ты понимаешь почему 254 и что это означает?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	84. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:16
	Ну что это означает. Да ничего не означает, если не PI. Всё так же будешь гоняться через единственный аплинк. Речь вроде про конские деньги за /28 шла? А за /24 435 в месяц - это очень даже нормально.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	90. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:30
	мне не нужен PI, мне нужна возможность анонсить блок не с твоих железок, чего неясного-то. Для этого нужен блок приличных размеров, а AS мы и твою предъявим, я же говорю что они не совсем "хорошие" пацаны. Сервер-то я двигать никуда не буду, он нетранспортабелен. Те вот чо, жалко, когда ты по /30 на одного вшивого клиента с физическим тазиком выкидываешь? У тебя там этих ненужных /23 должны сотни пропадать просто так, на вланах per client, и наверняка есть запас на годы вперед. Ну чо тебе, одной жалко, даааа? /28 это € 27.20 monthly / € 59.90 setup (да вы там уху ели?! Чтоб я столько за пять секунд работы получал!) и с тем же нае.. "14 usable" - т.е. ты и ЕЩЕ за одну /30 заплатишь, падла бохатая, одного адреса ей вишь мало. У меня старый сервер, где не было этого "setup", но в результате я ничего поменять там не могу.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 19-Янв-24, 09:54
	> /28 это € 27.20 monthly / € 59.90 Абсолютно нормально. Я бы сказал даже дёшево, у нас recurring дороже. Правда без сетапа.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	85. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:23
	Мы конечно в этом плане беднота уже. /24 и шире вообще не даём, максимум /28. /27 только по особому запросу и особо крупным. Хотя в прошлый раз целую пачку /30 отдали особо крупному клиенту, спецзаказ. Я плакал кровавыми слезами, но ack'нул.
	Ответить \| Правка \| К родителю #80 \| Наверх \| Cообщить модератору


	86. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:25
	(это не значит, что один клиент в теории не может себе нажрать /30 на целую /25 например через 16 портов, но это с учётом портов выйдет достаточно дорого)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	87. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:26
	/26 то бишь
	Ответить \| Правка \| Наверх \| Cообщить модератору


	88. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:28
	Ну и за шмот поясню: у нас NAT до сих пор кроме как на мобилке - нет нигде. Феерично, но факт. Поэтому риходится экономить даже имея резервы.
	Ответить \| Правка \| К родителю #85 \| Наверх \| Cообщить модератору


	89. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:29
	Yes, даже у массы физиков нет NAT :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	76. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:00
	Ну это для металла же. Где-то даже /30, а не /31. VPS конечно сидят на /32 в аннамбередах.
	Ответить \| Правка \| К родителю #71 \| Наверх \| Cообщить модератору


	81. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:09
	но зачем? У вмвари все в порядке с port isolation, "это бесплатно". Еще и promisc включить на виртуальном интерфейсе никто не даст.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	82. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от Tron is Whistling (?), 18-Янв-24, 23:11
	Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не полагаясь на софт? И промиск включать бесполезно, даже если у него собственное железо. Ну а в виртуалках никто не даст, да.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	91. "PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, примен..."	+/–
	Сообщение от пох. (?), 18-Янв-24, 23:39
	> Но зачем, если проще положить клиента в совершенно изолированную подсеть "насквозь", не > полагаясь на софт? а зачем нужен такой микроменеджмент? Где я это делал - швыряли /24 на пару стоек, считать проще по цельным октетам, и не парились. "следи же, чтоб число их было нечетным" Клиент всвитча все равно ничегошеньки лишнего не увидит. (ну да, с клиентами таки хотевшими видеть, грусть, печаль, миграция в отдельную стойку с другими конфигами - но это была старая вмварь, еще до пришествия nsx. В отдельной стойке был виртуальный nexus с полноценной лицензией.)
	Ответить \| Правка \| Наверх \| Cообщить модератору