Да, да, чисто для репутации и чтобы перетянуть с центоси еще больше, типа вот вам реальный RHEL

Думаю, их основная ошибка была в уменьшении ожидаемых сроков поддержки CentOS 8

Они прямо многих этим напугали

да оставили бы до 2029 и всё было бы ок

первая ошибка то, что затянули выход центос на год. потом поддержку убрали. понятно что они хотят больше платных подписок. но де тариф норм. скажем 10$ в мес. за репозиторий без поддержки

Всем привет! В кратце: есть машина на которой 2 интерфейса, один с публичным адресом в зоне external, а второй в зоне internal(серый IP), настроен маскарад для NAT из зоны internal в интернет. Сейчас построили IPsec с коллегами из другой компании, но они не могут указать нашу приватную сеть из зоны internal, так как пересекаются с их сетью. Они указалаи наш внешний интерфейс из external зоны. как мне выпустить мою приватную сеть в ipsec тунель? Заранее спасибо!

на самой машине которая NATирует приватную сеть достучатся до удаленной приватной сети удалось! т.е. ipsec работает, не могу сообразить как построить NAT для своей приватной сети, до удаленного узла в ipsec

для NAT использую firewalld

ipsec строю на libreswan

Всем привет.

Если поменять ip домена, то слетит ли сертификат или он привязывается только к имени?

смело меняй, только DNS записи поправить не забудь

Спасибо

DNS записи могут не сразу обновится, лучше всего сначала сделать у записей TTL 3600 секунд, или даже меньше, подождать, пока они разместяться на всех корневых днс серверах (гдето сутки подождать надо), потом поменять на новые (также с малым временем), а потом новым сделать нормальное время

хотя да, сертификат IP обычно не включает

сертификат только на имя. на каком ип оно висит - пофигу.
на самом деле технически можно и ип в серт указать, но это позволено только избранным и нонеймам с самоподписанными сертами =)

при такой архитектуре надо или мудрить с натом, чтобы скрыть адресаодной из внутренних сетей, либо менять адресацию. второе полагаю совсем не вариант.

просто маршрутизация не будет работать. они из своих сетей тупо не будут отправлять пакеты в твои сети, т.к. это их локальные адреса. даже на роутер не будет отправляться. то же самое с твоей стороны

может можно как-то извратиться, и выделить адреса в каждой сети, которые не будут использоваться локально, а бдут служить для перенаправления трафика за туннель. типа правилом ловить по дст полю и делать нат. хз насколько такое реально

уверен многим пригодится:
https://highon.coffee/blog/security-harden-centos-7/

#EX294 #RHCE