from:"Andrey"

On 13.04.2017 20:48, Irina Liakh wrote:
> On Thu, Apr 13, 2017 at 07:00:02PM +0300, Andrey V. Elsukov wrote:
>> Спасибо. Подозрение было на то, что флаги проверки контрольной
>> суммы полученные от сетевой карты и подсчитанные для внешнего IP и
>> UDP заголовков используются и на передоваемые внутри туннеля
>> данные.
> Ясно, спасибо!
> 
>> Судя по тому что у вашей сетевой карты только один флаг оффлоада
>> RXCSUM, она не умеет полный оффлоад и благодаря этому UDP/TCP
>> протоколы делают небольшой подсчёт контрольной суммы используя
>> данные от сетевой карты.
> А чем отличается небольшой подсчет от обычного? Этот алгоритм - 
> freebsd-specific или общий? Пока не нахожу соотв. доку...

Обычный подсчёт включает суммирование данных всего пакета, а в случае с
"небольшим" подсчётом, нужно только сосчитать сумму псевдозаголовка
TCP/UDP используя информацию от чипа который уже выполнил суммирование
данных пакета. Т.е. это грубо говоря нужно сложить 3 числа.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature
___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

On 13.04.2017 20:08, Yuriy B. Borysov wrote:
> Вероятно, не только в таких случаях. На нескольких FreeBSD, работающих 
> на хостах hyper-v проблема проявлялась при включении NAT.
> 
> Картина такая, включаем NAT (проверял ipfw и pf) - доступ по SSH 
> снаружи пропадает, ftp работает только active. Отключаем NAT - всё 
> работает исправно. Отключение всего offload на интерфейсах, проблему 
> решает.

Для ipfw nat нужно не забывать отключать TSO. О чём написано в man.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature
___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

On 13.04.2017 19:31, Vladislav V. Prodan wrote:
> 
> 
> 13 апреля 2017 г., 19:00 пользователь Andrey V. Elsukov
> <bu7c...@yandex.ru <mailto:bu7c...@yandex.ru>> написал:
> 
> On 13.04.2017 18:07, Irina Liakh wrote:
> >>>> раз уж мы говорим о решении, сможете протестировать патч?
> >>>> https://people.freebsd.org/~ae/udp_csum_flags.diff
> <https://people.freebsd.org/~ae/udp_csum_flags.diff>
> >>>>
> >>>> Нужно пересобрать ядро.
> >>>
> >>> Все работает с этим патчем. Проверяла только IPv4.
> >>
> >>  Для однозначности - и TCP работает?
> >
> > Работает и TCP и UDP, хотя для меня было неожиданно, исходя из того,
> > что патчились только udp_* файлы. Но мне, недоучке, простительно)
> 
> Спасибо. Подозрение было на то, что флаги проверки контрольной суммы
> полученные от сетевой карты и подсчитанные для внешнего IP и UDP
> заголовков используются и на передоваемые внутри туннеля данные.
> 
> Судя по тому что у вашей сетевой карты только один флаг оффлоада RXCSUM,
> она не умеет полный оффлоад и благодаря этому UDP/TCP протоколы делают
> небольшой подсчёт контрольной суммы используя данные от сетевой карты.
> 
> Так как передаваемая картой контрольная сумма расчитана для внешнего
> заголовка, то когда те же самые данные участвуют в расчёте контрольной
> суммы для заголовков внутри туннеля, то и получается неверный результат.
> 
> --
> WBR, Andrey V. Elsukov
> 
> 
> 
> Теперь вопрос.
> Как детектить сетевые карты с подобными проблемами? Или сразу
> вырубать -rxcsum -txcsum ?

Теряющиеся пакеты детектить в netstat -s. От карты тут мало что зависит,
бывают конечно проблемы в самих картах, но это обычно быстро становится
известно.

> Будет ли вышеуказанный патч в 11 ветке? Будут ли с патчем проблемы на
> других сетевых картах? например igb и ixgbe ?

https://svnweb.freebsd.org/base?view=revision=316770
Через неделю будет в stable/10-11.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature
___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

On 13.04.2017 18:07, Irina Liakh wrote:
>>>> раз уж мы говорим о решении, сможете протестировать патч?
>>>> https://people.freebsd.org/~ae/udp_csum_flags.diff
>>>>
>>>> Нужно пересобрать ядро.
>>>
>>> Все работает с этим патчем. Проверяла только IPv4.
>>
>>  Для однозначности - и TCP работает?
> 
> Работает и TCP и UDP, хотя для меня было неожиданно, исходя из того,
> что патчились только udp_* файлы. Но мне, недоучке, простительно)

Спасибо. Подозрение было на то, что флаги проверки контрольной суммы
полученные от сетевой карты и подсчитанные для внешнего IP и UDP
заголовков используются и на передоваемые внутри туннеля данные.

Судя по тому что у вашей сетевой карты только один флаг оффлоада RXCSUM,
она не умеет полный оффлоад и благодаря этому UDP/TCP протоколы делают
небольшой подсчёт контрольной суммы используя данные от сетевой карты.

Так как передаваемая картой контрольная сумма расчитана для внешнего
заголовка, то когда те же самые данные участвуют в расчёте контрольной
суммы для заголовков внутри туннеля, то и получается неверный результат.

-- 
WBR, Andrey V. Elsukov

signature.asc
Description: OpenPGP digital signature
___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

On 13.04.2017 11:04, Irina Liakh wrote:
> On Thu, Apr 13, 2017 at 02:24:28PM +0700, Eugene Grosbein wrote:
>> Баг в ядре, значит. Пока пропишите в /etc/rc.conf:
>>
>> ifconfig_fxp0="inet 192.168.12.2/24 -rxcum"
>>
>> Ну и желательно сделать PR, да, со всей этой диагностикой.
> 
> Благодарю Вас за помощь!
> И вообще всех кто помогал.
> Здорово, что есть эта отличная рассылка. Я предварительно перекопала
> все что нашел гугль на эту тему - ничего кроме жалобы еще одного человека
> на те же симптомы, без решения. Спасибо, Валентин Нечаев!

Добрый день,

раз уж мы говорим о решении, сможете протестировать патч?
https://people.freebsd.org/~ae/udp_csum_flags.diff

Нужно пересобрать ядро.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature
___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

Re: [freebsd] Повторный запуск скрипта в cron

2017-01-25 Пенетрантность Andrey Marshalenko

Hi.

Можно реализовать через файл блокировки (в примере ниже переменная LOCK). Т. е. 
при запуске скрипта создается файл, который не удаляется если задание не 
завершено (например первый бакап длится больше заданного интервала вркмкни).

Пример бакапа домашних папок пользователей по времени (типа «Машина времени»):

# cat rbackup.sh 
=
#!/bin/sh
date=`date "+%Y-%m-%d-%H%M%S"`
rsync=/usr/local/bin/rsync
LOCK=/var/spool/lock/rbackup.lock
LOG=/var/log/rbackup.log

SRC=/home/
TARGET=/var/data/backups/homes/$date
P_TARGET=/var/data/backups/homes/Latest

if [ -f $LOCK ]; then
exit 0
fi

touch $LOCK
date >> $LOG
mkdir -p $TARGET

$rsync -auvAHX --link-dest=$P_TARGET $SRC $TARGET >>$LOG 2>&1

rm -f $P_TARGET
ln -s $TARGET $P_TARGET
rm $LOCK

exit 0
=


__
With best regards,
Andrey Marshalenko.
System & Network Administrator
AM1000-UANIC
mailto: marsh...@marshall.kiev.ua
tel (mob) +380676574197
Skype: marshalenko
JabberID: marsh...@marshall.kiev.ua

> 25 янв. 2017 г., в 14:52, Valentin Nechayev <ne...@netch.kiev.ua> написал(а):
> 
> hi,
> 
> Wed, Jan 25, 2017 at 14:49:46, krylov wrote about "[freebsd] Повторный запуск 
> скрипта в cron": 
> 
>> Есть задача в cron'e rsync'ом делать зеркало раз в минуту
>> Как правильно обезопаситься от повторного запуска скрипта?
>> 
>> нашел https://habrahabr.ru/post/114622/
>> но в портах нет lockrun
>> 
>> flock кошерно использовать?
> 
> Фрёвая тулза зовётся lockf, и таки да, кошерно и прельстиво.
> 
> 
> -netch-
> ___
> freebsd mailing list
> freebsd@uafug.org.ua
> http://mailman.uafug.org.ua/mailman/listinfo/freebsd

___
freebsd mailing list
freebsd@uafug.org.ua
http://mailman.uafug.org.ua/mailman/listinfo/freebsd

[Freebsd] Тестирование projects/ipsec

2017-01-12 Пенетрантность Andrey V. Elsukov

Всем привет,

возможно не все пользователи этой рассылки читают freebsd@ мэйл листы,
поэтому на всякий случай пишу ещё сюда.

Некоторое время назад я занялся переработкой реализации IPsec в FreeBSD
с целью сделать код более пригодным для параллельной работы.
В результате появился проект, приняти участие в тестировании которого
хочу предложить вам.

https://lists.freebsd.org/pipermail/freebsd-current/2016-December/064050.html

Здесь примерно то же самое, но по-русски:
http://bu7cher.blogspot.ru/2016/12/projectsipsec.html

Т.к. тестирование идёт неохтно, я портировал изменения в stable/11:
https://lists.freebsd.org/pipermail/freebsd-net/2017-January/046888.html

Проще всего вытянуть исходники из git'а, но пока патч вроде бы
прикладывается на stable/11, если у вас есть исходники из svn, то для
прикладывания патча используйте "svn patch" или "svnlite patch".

Коротко о том что содержит патч:
1. Реализация SADB полностью переработана для ухода от эксклюзивных
блокировок. Теперь используются рефкаунты, шаред локи и хэш таблицы.

В связи с этим могло измениться поведение системы при поиске подходящей SA.

2. Т.к. переработана SADB, пришлось переделывать бОльшую часть
реализации PF_KEY. IKE демоны могут перестать работать как раньше.

3. Поддержка NAT-T переработана и теперь всегда включена. Удалён код UDP
инкапсуляции из начальных драфтов по NAT-T, теперь поддерживается только
вариант описанный в RFC. Теперь есть возможность
править/игнорировать/пересчитывать контрольные суммы для TCP/UDP в
транспортном режиме.

https://svnweb.freebsd.org/base?view=revision=309808

4. Добавлен INPCB кеш для политик безопасности, это должно заметно
снизить оверхед для локальных сетевых приложений от наличия политик IPsec.

https://lists.freebsd.org/pipermail/freebsd-net/2015-April/042121.html

5. Появилась возможность загружать реализацию IPsec и TCP-MD5 в виде
модуля ядра. Для этого ядро должно быть скомпилировано с опцией
IPSEC_SUPPORT вместо IPSEC.

5. Добавлен новый виртуальный интерфейс if_ipsec(4), реализующий route
based IPsec.

https://svnweb.freebsd.org/base?view=revision=309115
https://reviews.freebsd.org/P112

6. Ещё куча всего мелкого и незаметного на первый взгляд, но кто его
знает. Хотелось бы всётаки, чтоб народ попробовал хотя бы на своих
обычных конфигурациях, не сломалось ли, прежде чем мержить это базу.

--
WBR, Andrey V. Elsukov
___
Freebsd mailing list
Freebsd@uafug.org.ua
http://078.vps.ho.ua/mailman/listinfo/freebsd

[freebsd] Re: [freebsd] FreeBSD 11.0 и анализ дампов упавших приложений

2016-12-16 Пенетрантность Andrey V. Elsukov

On 14.12.2016 12:42, Vladislav V. Prodan wrote:
> Здравствуйте.
> 
> Подскажите внятный мануал по сабжу
> 
> В консоли nping (входит в nmap) написал:
> ...
> nping_event_handler(): READ-PCAP killed: Invalid argument
> nping_event_handler(): READ-PCAP killed: Invalid argument

Вот эти строки говорят о том:

> Assertion failed: (nse->iod->events_pending >= 0), function
> nsock_pool_delete, file nsock_pool.c, line 233.
> Abort trap (core dumped)

что приложение покончило с собой вызвав функцию assert(3).
Чтобы тут что-то дебажить, нужно начать с прочтения кода в обозначенном
файле.

-- 
WBR, Andrey V. Elsukov

signature.asc
Description: OpenPGP digital signature

Re: [freebsd] load averages on 10.3

2016-10-30 Пенетрантность Andrey

У меня такая же беда на VPS при переходе с 9 на 10 появилась. Причем пробовал 
разных провайдеров везде на KVM показывает нагрузку а по факту ее нет даже на 
только что установленной и отключенной от сети. на 9ке раньше норм было но это 
было давно 12-13 годы и гипервизор тогда вроде был XEN у известного немецкого 
хостера.

 
 --- Исходное сообщение ---
 От кого: "Alexander Sheiko" 
 Дата: 30 октября 2016, 16:19:42
  


> Здравствуйте, коллеги.
> 
> После обновления системы с версии 9.3 на версию 10.3 замечено необычное
> увеличение load averages с типичного значения при простое в районе 0.05
> на вот такое (фрагмент top):
> 
> last pid: 14392; load averages: 0.40, 0.56, 0.51
> 53 processes: 1 running, 52 sleeping
> CPU: 0.4% user, 0.0% nice, 1.1% system, 0.0% interrupt, 98.5% idle
> 
> Конфиг ядра, выполняемые задачи - всё то же самое. Машина -
> однопроцессорная. Нагрузки на диск практически никакой нет.
> 
> Кто-нибудь может объяснить такое увеличение la?
> 
> P.S. На графике загрузки процессора, величины system и user после
> обновления упали где-то на 15% при средней загрузке в районе 3% при
> усреднении за неделю.
> 
> -- 
> WBR, Alexander Sheiko
> 
>

Re: [freebsd] Re: [freebsd] Freebsd гость на хосте win8.1 в виртуал бокс и тегированый траффик

2016-07-09 Пенетрантность Andrey

понял. у меня риалтек сетевая. попробую драйыера под нее обновить.

 
 --- Исходное сообщение ---
 От кого: "Eugene Grosbein" <eu...@grosbein.net>
 Дата: 9 июля 2016, 23:52:02
  


> 10.07.2016 1:32, Andrey пишет:
> > Есть хост на вин8.1 с виртуалбоксом и на нем настроено несколько вланов.
> > Сталкивался ли кто с пробросом freebsd-гостю тегированого трафика?
> > У гостя (параметры ВМ) сетевая настроена мостом на самом госте настроен 
> > влан но трафик он не принмиает.
> 
> Работает на 8.1 вот в такой конфигурации:
> 
> - физическая сетевая Intel 82579LM (интегрированная)
> - стандарный драйвер сетевой windows 8.1 обновлен на интелевский драйвер
> из пакета https://downloadmirror.intel.com/21642/eng/PROWinx64.exe
> со страницы 
> https://downloadcenter.intel.com/download/21642/Intel-Network-Adapter-Driver-for-Windows-8-?
> 
> Пакет версии 21.0 от 20 мая 2016, ставит драйвер e1c64x64.sys версии 
> 12.15.31.4 от 23 марта 2016.
> 
> - с этим драйвером в диспетчере устройств в свойствах сетевой появляется 
> вкладка VLANs
> и в ней можно создать, скажем, VLAN10
> - после этого в диспетчере устройств появляется новый "сетевой адаптер"
> по имени Intel(R) 82579LM Gigabit Network Connection - VLAN : VLAN10
> (физическая сетевая именуется просто Intel(R) 82579LM Gigabit Network 
> Connection)
> - в настройках VirtualBox в свойствах виртуальной машины FreeBSD 10.3 тип 
> подключения
> задан "Сетевой мост" и сетевой интерейс хоста упомянутый выше "... VLAN10"
> и тип адаптера virtio-net
> - в госте появляется сетевой интерфейс vtnet0 (драйвер есть в ядре GENERIC)
> и всё работает, хотя для гостя трафик выглядит нетегированным.
> 
> VirtualBoX позволяет прокидывать гостю до восьми сетевых интерфейсов,
> первые четыре можно настроить через графический интерфейс плюс ещё четыре
> командой VBoxManage modifyvm
> https://www.virtualbox.org/manual/ch08.html#vboxmanage-modifyvm
> 
> То есть, таким образом можно прокинуть до восьми предконфигуренных вланов в 
> FreeBSD.
> Можно ли прокинуть целиком транк (или хотя бы только все тегированне фреймы) 
> - не знаю.
> 
>

Re: [freebsd] Re: [freebsd] Freebsd гость на хосте win8.1 в виртуал бокс и тегированый траффик

2016-07-09 Пенетрантность Andrey

судя по этому https://www.virtualbox.org/manual/ch06.html раздел 6.5 то умеет


но tcpdump -i em0 в госте  трафик уже без тегов.

видимо не судьба.
 
 --- Исходное сообщение ---
 От кого: "Vladislav V. Prodan" 
 Дата: 9 июля 2016, 22:57:30
  


> 
> 
> 
> Вы для начала прочитайте документацию VirtualBox'a, умеет ли он пробрасывать 
> vlan теги.
>

[freebsd] Freebsd гость на хосте win8.1 в виртуал бокс и тегированый траффик

2016-07-09 Пенетрантность Andrey

Есть хост на вин8.1 с виртуалбоксом и на нем настроено несколько вланов. 
Сталкивался ли кто с пробросом freebsd-гостю тегированого трафика? У гостя 
(параметры ВМ) сетевая настроена мостом на самом госте настроен влан но трафик 
он не принмиает.

Re: [freebsd] 10.3 swap usage

2016-05-25 Пенетрантность Andrey Blochintsev

Hi!

On Wed, May 25, 2016 at 10:30 +0300, Golub Mikhail wrote:

> Доброго времени суток.
> 
> Был виртуальный сервер под FreeBSD 8.3 x86 с 2 Гб ОЗУ.
> Перевел его (чистая установка на новый виртуальный сервер) на 10.3 amd64.
> Функционал тот же, только новая ОС и новые версии ПО.
> 
> Напрягает - swap 27% Inuse.
> На старом хватало 2 Гб. А сейчас сделал уже 3 - не хватает.
> 
> CPU: 19.9% user,  0.0% nice,  9.1% system,  0.0% interrupt, 71.1% idle
> Mem: 121M Active, 604M Inact, 2079M Wired, 18M Cache, 274M Buf, 145M Free
> ARC: 1524M Total, 64M MFU, 1297M MRU, 144K Anon, 7289K Header, 156M Other
> Swap: 1536M Total, 418M Used, 1118M Free, 27% Inuse
> 
> # swapinfo
> Device  512-blocks UsedAvail Capacity
> /dev/da0p3 3145728   855120  229060827%
> 

А после такого:

cd /<куда-то-где-есть-больше-16G-места
for i in `jot 16 101`
do
 bs=1m count=1024 if=/dev/zero of=file_$i.bin
done
rm file_1??.bin


swap не заканчивается?
Я на каких-то 10.2-stable (на UFS) это видел.

Re: [freebsd] Re: gpt disk problem

2016-04-30 Пенетрантность Andrey


шлейфы поменять на всяк случай. нормально ли в разъеме сидят. смарт в студию. 
да и модель винчестера с датой производства.
 
 --- Исходное сообщение ---
 От кого: "Андрій Добровольський" 
 Дата: 30 апреля 2016, 16:18:07
  


> 2016-04-30 15:58 GMT+03:00 Андрій Добровольський :
> > Всем доброго дня,
> > Есьб машина с FreeBSD10.1. До вчерашнего вечера вполне работала. Вчера
> > сделал очередной freebsd-update, перезагрузил и система не видит, я
> > так думаю, часть разделов.
> > Т.е. приглашенте загрузки появляется и оно грузится с руганью на
> > отсутствие файлов и не работает как ожидается.
> > Где написано как лечить диски с файловыми системами и разделами BSD?
> > Ну и диагностировать.
> > Очень срочно надо... :(
> >
> > --
> > Regards,
> > Andrii Dobrovol`s`kyj
> 
> gpart show
> в сингл режиме загрузки показывает что gpt таблицы испорчены но все
> разделы пишет правильно. Попытка сделать
> gpsrt restore ad0
> пишет что все теперь зашибись, но при перезагрузке вообще диск
> отваливается и приходится его подключать сперва в биосе а потом он
> снова испорчен.
> Как понять, что с диском?
> 
> -- 
> Regards,
> Andrii Dobrovol`s`kyj
>

Re[2]: [freebsd] Openvpn is very slow

2016-04-29 Пенетрантность Andrey

Да так и есть 130+ до штатов пинг. 
Я хотел лишь сказать что на похожей ситуации как у ТС имею такие результаты.

 
 --- Исходное сообщение ---
 От кого: "Eugene Grosbein" <eu...@grosbein.net>
 Дата: 29 апреля 2016, 10:29:03
  


> On 29.04.2016 04:56, Andrey wrote:
> > у меня на роутере asus rt-n10u сабж 7-8 Мбит дает но проц роутера полностью 
> > нагружен и пинг между точками 130мс сервер в сша.
> 
> До США через океан пинг может быть 130 и безо всякого OpenVPN,
> и даже больше может быть - из Сибири, например.
> 
> 
>

Re[2]: [freebsd] Openvpn is very slow

2016-04-28 Пенетрантность Andrey

у меня на роутере asus rt-n10u сабж 7-8 Мбит дает но проц роутера полностью 
нагружен и пинг между точками 130мс сервер в сша.

 
 --- Исходное сообщение ---
 От кого: "skele...@lissyara.su" 
 Дата: 25 апреля 2016, 12:29:33
  


> 24.04.2016 19:37, Alexander Sheiko пишет:
> >
> > В письме от Вск, 24 Апр 2016, 19:26 skeletor пишет:
> >
> >> Есть канал 100 мбит/с между 2-мя точками, но openvpn между ними не
> >> поднимается больше 20 мбит/с
> >
> > Напрашивается два вопроса:
> >
> > 1. Достигается ли 100 мбит между этими точками на других сервисах.
> > 2. Насколько загружены сами точки, в частности - сабжевым сервисом.
> >
> 
> 
> Тестировал я банально: curl'ом (поскольку между точками люди просто 
> гоняют файлы по http/ftp, то тестировать многопоточными утилитами и 
> доказывать, что типа нужно всё теперь лить в несколько потоков - не 
> вариант) скачивал файл в /dev/null и замерял скорость. Сами точки не 
> загружены, пробовал даже полностью отключать сжатие и шифрование, то 
> есть по сути был простой канал. Ситуация не менялась, лишь слегка 
> возрастала скорость.
> 
> Насчёт MPD спасибо за наводку, протестирую.
> 
> Забыл упомянуть, что клиент - это openwrt роутер, возможно из-за 
> слабоватого CPU больше не вытягивает.
> 
> Ссылка на хабр - смотрел, читал комментарии, но не помогло.
>

Re: [freebsd] gpart Stripeoffset

2016-01-21 Пенетрантность Andrey V. Elsukov

On 21.01.16 14:08, Nick Kostirya wrote:
> Получается, что для не 4k дисков, а с секторами в 512, для которых
> Stripesize показывается как 0, цифры Stripeoffset ничего не значат?

Когда sectorsize == stripesize, stripeoffset не может быть не нолём.
Это всё актуально для дисков с 4к физическими секторами, но 512б
логическими. Желательно чтобы diskinfo -v <провайдер раздела/слайса>
всегда показывало stripeoffset == 0.
Так же это имеет смысл смотреть у разных софтовых RAID'ов.

-- 
WBR, Andrey V. Elsukov

signature.asc
Description: OpenPGP digital signature

Re: [freebsd] gpart Stripeoffset

2016-01-21 Пенетрантность Andrey V. Elsukov

On 21.01.16 12:46, Nick Kostirya wrote:
> Привет.
> 
> Вот любопытно, что такое Stripeoffset (в gpart и diskinfo).
> Нашел только в исходниках, что это 
> "the offset of the first device's optimal access block in bytes."
> А сдвиг от чего?
> 

Наглядно можно изобразить вот так:

 точка - это sectorsize
 =>| |<= вот это stripesize
ada0:   [.][.][.][.][.][.][.]
ada0s1:[.][.][.][.][.]
 =>|   |<= вот это будет stripeoffset

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

[freebsd] Re: [freebsd] [freebsd] [ОТ]: Борьба с кульхацкерами

2016-01-09 Пенетрантность Andrey Marshalenko

Ну если есть таки FreeBSD/Linux, то можно и arpwatch для начала задействовать.
With best regards,Andrey Marshalenko.System & Network AdministratorAM1000-UANICmailto: marsh...@marshall.kiev.uatel (mob) +380676574197Skype: marshalenkoJabberID: marsh...@marshall.kiev.ua

8 янв. 2016 г., в 11:52, Anton Sayetsky <vsasja...@gmail.com> написал(а):8 янв. 2016 г. 11:43 пользователь "Alexander Bolshakov" <albor...@gmail.com> написал:
>
> Добрый день сообществу и с прошедшими и наступающими праздниками!
>
> Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в соседях кульхацкер и развлекается тем, что ломает его домашний wifi-роутер, делая открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к. дома у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли - за последний месяц этот хацкер уже три раза открывал роутер. WPS отключен, но, похоже, это только в вебморде, т.к. взломы продолжаются. В голову приходит только настройка какого-нибудь snmp-монитора с отслеживанием МАС-адреса и занесением его в бан-лист с возможным последующим вычислением и занесением в личность.
> Может, у кого есть другие конструктивные мысли по этому поводу?
>
> PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно, что молодняк, только освоивший пару методов взлома; понятно, что надо учить, по-возможности, законными и культурными методами. Поэтому, прошу о конструктивной дискуссии по существу поднятого вопроса.
> PS2: никогда не задумывался, но вот сейчас пришлось: как можно (теоретически - можно, а вот практически, на бытовом уровне, бытовыми ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене. Есть софтинки, мониторящие эфир на эту тему?
>
> Спасибо всем, кто откликнется по теме!
Казалось бы, при чём здесь FreeBSD...

[freebsd] Re: [freebsd] [freebsd] Нормально работаююющий ноут (кросс-пост questions@)

2015-12-22 Пенетрантность Andrey V. Elsukov

On 15.12.15 21:35, Anton Sayetsky wrote:
> Приветствую, коллеги,
> 
> Уже несколько лет ищу сабж, но всё безуспешно. Обязательные требования ниже:

Можно попробовать из этого списка что-то выбрать
https://wiki.freebsd.org/Laptops

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] sendmail + roundcube

2015-10-15 Пенетрантность Andrey

Пока что решил остановится на sendmail + courier (с PAM аутентификацией 
системных пользователей). Да и домен 1.
Видил в сендмайле насчет виртуальных доменов но это пока что на потом почитать.


Спасибо за помощь.

Re[4]: [freebsd] Балансировка. Помогите с ключевыми словами для гугления

2015-06-14 Пенетрантность Andrey

Ответ уходил тудой откуда пришел запрос.

14 июня 2015, 13:44:55, от Vladyslav Kolesnyk vector...@ukr.net:

Так все-таки что необходимо???
Чтобы ДНС отдавал разные йп в зависимости откуда пришел запрос?

--- Исходное сообщение ---
От кого: Andrey ss25_sat...@ukr.net
Дата: 14 июня 2015, 12:50:23

Я видимо не совсем понятно описал ситуацию.

Есть сервер с двумя аплинками от провайдеров адреса статические. В ДНС для
сайта создается 2 А записи.
Проблема в том чтобы ответы не уходили в defaultroute, а шли тудой откуда
пришли.

На один запрос ДНС отдал один ИП в А записи на другой запрос другой ИП.
;; ANSWER SECTION:
ya.ru. 7200 IN A 213.180.204.3
ya.ru. 7200 IN A 93.158.134.3
ya.ru. 7200 IN A 213.180.193.3

--- Исходное сообщение ---
От кого: Nike k-n...@yandex.ru
Дата: 13 июня 2015, 23:43:31

12.06.2015 21:20, Andrey пишет:
Ситуация. В днс для хоста есть 2 А записи из разных сетей от разных
провайдеров.

ИП1 1.1.1.1 интерфейс fxp1
ИП2 2.2.2.2 интерфейс fxp2

defaultroute 1.1.1.2

Если запрос приходит с интерфейса fxp2 на 2.2.2.2 то ответ должен уйти
тоже с 2.2.2.2 через fxp2

Не понятно.
Проблема в маршрутизации или в том что возвращает ДНС?

Re[2]: [freebsd] Балансировка. Помогите с ключевыми словами для гугления

2015-06-14 Пенетрантность Andrey

Я видимо не совсем понятно описал ситуацию.

Есть сервер с двумя аплинками от провайдеров адреса статические. В ДНС для 
сайта создается 2 А записи.
Проблема в том чтобы ответы не уходили в defaultroute, а шли тудой откуда 
пришли. 

На один запрос ДНС отдал один ИП в А записи на другой запрос другой ИП.
;; ANSWER SECTION:
ya.ru.  7200IN  A   213.180.204.3
ya.ru.  7200IN  A   93.158.134.3
ya.ru.  7200IN  A   213.180.193.3


 --- Исходное сообщение ---
 От кого: Nike k-n...@yandex.ru
 Дата: 13 июня 2015, 23:43:31
  


 12.06.2015 21:20, Andrey пишет:
  Ситуация. В днс для хоста есть 2 А записи из разных сетей от разных 
  провайдеров.
 
  ИП1 1.1.1.1 интерфейс fxp1
  ИП2 2.2.2.2 интерфейс fxp2
 
  defaultroute 1.1.1.2
 
 
  Если запрос приходит с интерфейса fxp2 на 2.2.2.2 то ответ должен уйти тоже 
  с 2.2.2.2 через fxp2
  
  
 
 Не понятно.
 Проблема в маршрутизации или в том что возвращает ДНС?

Re: [freebsd] freebsd 10.1-stable после обновлении до r283303 во время загрузки уходит в повторный ребут.

2015-06-13 Пенетрантность Andrey V. Elsukov

On 12.06.2015 18:31, Eugene V. Boontseff wrote:
 Здравствуйте, коллеги.
 
 10.1-stable после обновления до r283303 и выше перестаёт нормально
 грузится. Процесс загрузки доходит до места, после которого должна была
 бы появится строка: Timecounters tick every 1.000 msec. Hо вместо этого
 следует ребут. И так до бесконечности.
 
 r283303 это: Bump MAXCPU on amd64 from 64 to 256.
 
 Проверил, поменяв в sys/amd64/include/param.h MAXCPU с 256 снова на 64 -
 дело именно в этом.
 
 Остаюсь пока на r283289.
 Поиск в сети не дал ничего по данной проблеме.
 Вопросы: что делать и кто виноват?

Добавьте в конфиг ядра опцию MAXCPU с нужным вам количеством и откройте
PR в багзилле.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] Балансировка. Помогите с ключевыми словами для гугления

2015-06-12 Пенетрантность Andrey

Спасибо за подсказки. Направление понятно.

[freebsd] Балансировка. Помогите с ключевыми словами для гугления

2015-06-12 Пенетрантность Andrey

Ситуация. В днс для хоста есть 2 А записи из разных сетей от разных провайдеров.

ИП1  1.1.1.1интерфейс fxp1 
ИП2  2.2.2.2интерфейс fxp2

defaultroute 1.1.1.2


Если запрос приходит с интерфейса fxp2 на 2.2.2.2 то ответ должен уйти тоже с 
2.2.2.2 через fxp2

Re: [freebsd] IPsec VPN and NAT

On 28.04.2015 11:39, Golub Mikhail wrote:
 Ситуация не изменилась.
 11:38:04.901422 (authentic,confidential): SPI 0xc2e51929: IP 10.7.0.12 
 10.7.0.41: IP 192.168.44.1  192.168.58.1: ICMP echo request, id 65250, seq
 0, length 64 (ipip-proto-4)
 11:38:05.903056 (authentic,confidential): SPI 0xc2e51929: IP 10.7.0.12 
 10.7.0.41: IP 192.168.44.1  192.168.58.1: ICMP echo request, id 65250, seq
 1, length 64 (ipip-proto-4)
 11:38:06.913052 (authentic,confidential): SPI 0xc2e51929: IP 10.7.0.12 
 10.7.0.41: IP 192.168.44.1  192.168.58.1: ICMP echo request, id 65250, seq
 2, length 64 (ipip-proto-4)
 11:38:07.933118 (authentic,confidential): SPI 0xc2e51929: IP 10.7.0.12 
 10.7.0.41: IP 192.168.44.1  192.168.58.1: ICMP echo request, id 65250, seq
 3, length 64 (ipip-proto-4)

А можете ещё сделать bpf_mask=3 для входящих пакетов? Для каждого
входящего пакета тогда будет по две записи.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

On 28.04.2015 11:21, Golub Mikhail wrote:
 net.enc.out.ipsec_filter_mask: 1

Здесь нужно чтобы pfil вызывался до того, как IPSec прилепит свой IP
хидер, т.е. значение 1 нас устраивает.

 net.enc.in.ipsec_filter_mask: 1

Чтобы pfil вызывался, когда внешний IP заголовок уже будет отрезан и
трансляция выполнялась с адресами 192., нужно установить в 2.

 sysctl net.inet.ipsec.filtertunnel
 # sysctl net.inet.ipsec.filtertunnel
 net.inet.ipsec.filtertunnel: 0

Чтобы pfil вызывался из кода IPSec это нужно в 1 установить.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

On 28.04.2015 12:03, Golub Mikhail wrote:
 А можете ещё сделать bpf_mask=3 для входящих пакетов? Для каждого
 входящего пакета тогда будет по две записи.

Да. Жаль что в BPF пакет отправляется до pfil, не видно отнатился он или
нет... :)
Предлагаю перейти к отладке с помощью dtrace :)

# kldload dtraceall
# cat  ./ipsec.d
#!/usr/sbin/dtrace -s

fbt::ipsec_filter:entry
{
self-mbuf = (struct mbuf **)arg0;
m = *(struct mbuf **)arg0;
ip = (struct ip *)m-m_data;
printf(%s-%s, inet_ntoa(ip-ip_src.s_addr),
inet_ntoa(ip-ip_dst.s_addr));
}

fbt::ipsec_filter:return
/arg1 != 0/
{
printf(%d, (int)arg1);
}

fbt::ipsec_filter:return
/arg1 == 0/
{
m = *(struct mbuf **)(self-mbuf);
ip = (struct ip *)m-m_data;
printf(%s-%s, inet_ntoa(ip-ip_src.s_addr),
inet_ntoa(ip-ip_dst.s_addr));
}
^D

# chmod +x ipsec.d
# ./ipsec.d

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

On 28.04.2015 12:37, Golub Mikhail wrote:
 Предлагаю перейти к отладке с помощью dtrace :)
 
 Вот что получается.
 
 # ./ipsec.d
 dtrace: script './ipsec.d' matched 3 probes
 CPU IDFUNCTION:NAME
   0  50792   ipsec_filter:entry 10.7.0.12-10.7.0.41
   0  50793  ipsec_filter:return 10.7.0.12-10.7.0.41
   0  50792   ipsec_filter:entry 192.168.44.1-192.168.58.1
   0  50793  ipsec_filter:return 192.168.44.1-192.168.58.1

Трансляции не видно, видимо проблема в PF. Я с ним не работал, не знаю
какие там есть методы отладки...

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

On 28.04.2015 11:04, Golub Mikhail wrote:
 А дальше ситуация аналогичная как было и на 10.1, и на 9.3 - ответов нет,
 так как нет преобразования пакетов, пришедших по туннелю.

А покажите что у вас в это время выводят:
setkey -DP
setkey -D
sysctl net.enc
sysctl net.inet.ipsec.filtertunnel

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

2015-04-24 Пенетрантность Andrey V. Elsukov

On 24.04.2015 12:44, Golub Mikhail wrote:
Скачал вчера FreeBSD-11.0-CURRENT-amd64-20150421-r281832-disc1.iso
Сегодня установил.
Что касается IPSEC, то в ядре его нет.
Ладно, пересобрал ядро.

Ну это во всех версиях так :)

Вот это все опции, что добавил в конфиг от GENERIC:
options IPSEC
options IPSEC_NAT_T
device crypto
device enc
device pf
device pflog

В системе правил pf нет (просто pf в ядро включил).

Есть несколько виртуалок - FreeBSD 9.3 (racoon), 10.1 (strongswan), 11.0
(strongswan), pfsense 2.2.2 (strongswan)
У всех по две сетевухи. На вторых сетевых разная адресация и разные
виртуальные свичи.
ipsec-туннели построены меджу этими 4-мя хостами в разных комбинациях.
Везде все хорошо - в плане туннели поднимаются, пакеты в туннелях ходят
между разными хостами.
Кроме FreeBSD 11.0
Здесь туннели поднимаются со всеми хостами.
Но пакеты в туннеле ходят только с pfsense.
strongswan был установлен пакаджем. Поставил из портов - ситуация не
изменилась.

До натирования дело не дошло.

А как настраиваются туннели?
Вот здесь в test plan у меня есть пара конфигов для тестирования в
ручном режиме: https://reviews.freebsd.org/D2304

--
WBR, Andrey V. Elsukov

Re: [freebsd] IPsec VPN and NAT

2015-04-23 Пенетрантность Andrey V. Elsukov

On 23.04.2015 14:27, Golub Mikhail wrote:
Добрый день.

Задал вопрос на форуме - был один ответ, что никак подобное не сделать.
Но все же ...
Никто не делал подобное на FreeBSD?

Хочу на FreeBSD 10.1 натировать сеть в сеть средствами pf перед
заворачиванием в ipsec-туннель (например, локалку 192.168.1.0/24 в
172.16.1.0/24)
pfsense такое делает (а там 10.1-RELEASE-p9 FreeBSD).
В pfsense есть два параметра:
net.inet.ip.pfil.inbound: pf
net.inet.ip.pfil.outbound: pf

На 10.1, 9.3, 8.4, 7* - таких oid-ов нет.

Судя по названию, эти оиды регулируют порядок или необходимость запуска
pfil хуков на input/output. Т.е. к сути дела не имеют.
А есть у вас возможность попробовать head/?

По сути вам нужно включить filtertunnel, настроить filter_mask так,
чтобы исходящий пакет отправлялся в NAT до инкапсуляции, а входящий
после отрезания внешнего заголовка (см. if_enc(4)).

В политике ipsec вам нужно указать туннельный режим с неотначенными
адресами в качестве адресов матчинга src_range/dst_range и endpoint
адресами туннеля. Эти же endpoint адреса туннеля должны быть указаны в
соответствующих SA.

При такой конфигурации secpolicy отправляет ваши неотначенные пакеты на
обработку в ipsec, тот отправляет их в pfil, который должен выполнить
трансляцию, после возвращения из pfil к пакету будет прилеплен новый IP
заголовок с endpoint адресами тунеля из SA. Далее он шифруется и уходит
в сеть. На принимающей стороне пакет благодаря обратной SA дешифруется,
ему отрезается внешний IP заголовок и уже этот оттранслированный пакет
приходит в хост систему.

На вид как-то вот так это должно работать в head/.

--
WBR, Andrey V. Elsukov

signature.asc
Description: OpenPGP digital signature

Re: [freebsd] IPsec VPN and NAT

2015-04-23 Пенетрантность Andrey V. Elsukov

On 24.04.2015 08:09, Golub Mikhail wrote:
В pfsense есть два параметра:
net.inet.ip.pfil.inbound: pf
net.inet.ip.pfil.outbound: pf

На 10.1, 9.3, 8.4, 7* - таких oid-ов нет.

Судя по названию, эти оиды регулируют порядок или необходимость
запуска pfil хуков на input/output. Т.е. к сути дела не имеют.

Экспериментально проверил, что имеют (могу ошибаться).
Когда выполнил команду - пакеты в ipsec-туннель перестали заворачиваться.
sysctl net.inet.ip.pfil.inbound=

Могу предположить, что таким образом вы убрали пакетный фильтр с
обработки входящих пакетов.
Пару лет назад andre@ кажется предлагал подобные патчи, где можно было
через sysctl выбирать порядок в котором будут вызываться фильтры. Но
тогда они не нашли сторонников, или реализация была неочень. В pfsense
видимо нашли.

А есть у вас возможность попробовать head/?

Скачал вчера, пробую.

В pfsense net.inet.ipsec.filtertunnel=0

У них там и реализация AES-GCM есть в ipsec, и strongswan патченный для
этого. Ещё и ipsec можно включать через sysctl. eri@ ещё полгода назад
хотел это всё в базу внедрить. Даже от FF был грант прошлой осенью про
IPSec. Но что-то не задалось у него...

--
WBR, Andrey V. Elsukov

Re: [freebsd] IPsec VPN and NAT

2015-04-21 Пенетрантность Andrey V. Elsukov

On 21.04.2015 12:47, Eugene Grosbein wrote:
 On 21.04.2015 14:14, Golub Mikhail wrote:
 
 Есть две сети с одинаковой адресацией сетей за шлюзами.
 Задача - объединить их через ipsec.
 Чтобы проверить работу схемы сделал сети отличающимися.

 Имеется FreeBSD 10.1
 Два интерфейса (em0 - outside, em1 - inside).
 Используется pf.

 Хочу с одной стороны сделать NAT для адресов локальной сети перед тем, как
 
 Не взлетит: http://dadv.livejournal.com/202710.html

pfil(9) на интерфейсе enc(4) вызывается из кода IPSec, так что эта
заметка не особо подходит. Другое дело что некотрое время в этом коде
было много багов, так или иначе связанных.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] Write failed

2015-04-03 Пенетрантность Andrey Blochintsev

Hi!

On Fri, Apr 03, 2015 at 13:22 +0300, George L. Yermulnik wrote:

 On Fri, 03 Apr 2015 at 12:35:35 (+0300), Taras Heychenko wrote:
 
  Apr  2 15:08:48 academ bruteblock[50817]: Blocking failed for 218.65.30.92
  Apr  2 15:08:48 academ sshd[50821]: fatal: Write failed: Permission denied 
  [preauth]
 
  Интересует собственно вот эти Write failed и Blocking failed - откуда и 
  почему?
  Адрес 218.65.30.92 в table 1 в ipfw присутствует.
 
 Write failed вероятно из-за того, что таймаутится либо само соединение,
Permission denied - это попадание в ipfw-шное правило deny

 либо какое-то динамическое правило в файрволе. А Blocking failed
 вероятно из-за того, что 218.65.30.92 уже присутствует в таблице.

Re: [freebsd] nginx on openvpn's tun interface

2014-10-29 Пенетрантность Andrey V. Elsukov

On 29.10.2014 14:00, Anton Sayetsky wrote:
 mbuf_packet: 16380,
mbuf: 2,
mbuf_cluster: 18015,
 mbuf_jumbo_page: 0,
   mbuf_jumbo_9k: 0,
  mbuf_jumbo_16k: 0,
 mbuf_ext_refcnt: 0,
 
 Значения иногда увеличиваются на 2-3 и в течение нескольких секунд
 возвращаются обратно.

То что оно изменяется - это нормально. Ганс говорит, что при down/up tun
интерфейса счётчики увеличиваются. А если это происходит часто, то через
несколько недель ресурсы системы исчерпываются.

-- 
WBR, Andrey V. Elsukov

Re: [freebsd] nginx on openvpn's tun interface

2014-10-28 Пенетрантность Andrey V. Elsukov

On 27.10.2014 14:51, Anton Sayetsky wrote:
 Машина - OpenVPN-сервер, туннель такой:
 root@support00:/usr/local/etc/nginx# ifconfig tun0
 tun0: flags=8051UP,POINTOPOINT,RUNNING,MULTICAST metric 0 mtu 1500
 options=8LINKSTATE
 inet6 fe80::21e:67ff:fead:6ab0%tun0 prefixlen 64 scopeid 0x3
 inet 192.168.89.1 -- 192.168.89.1 netmask 0xff00
 nd6 options=21PERFORMNUD,AUTO_LINKLOCAL
 Opened by PID 4047

У вас OpenVPN сервер на FreeBSD? Тут есть один репорт по утекающим
mbuf'ам в связке openvpn+tun. Не замечали ничего такого?

В выводе: vmstat -z | awk '/mbuf/ {printf %16s %s\n, $1, $4 }'
нет у вас постоянно увеличивающего счётчика?

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] nginx on openvpn's tun interface

2014-10-28 Пенетрантность Andrey V. Elsukov

On 28.10.2014 20:00, Владимир Друзенко wrote:
 28.10.2014 17:39, Alexey Markov пишет:
 28.10.2014, 15:53, Andrey V. Elsukov bu7c...@yandex.ru:
 On 27.10.2014 14:51, Anton Sayetsky wrote:

 У вас OpenVPN сервер на FreeBSD? Тут есть один репорт по утекающим
 mbuf'ам в связке openvpn+tun. Не замечали ничего такого?

 В выводе: vmstat -z | awk '/mbuf/ {printf %16s %s\n, $1, $4 }'
 нет у вас постоянно увеличивающего счётчика?
 Я проверил на двух машинках с 8.4-p18, счётчики колеблются, но не растут.
 
 Тоже самое - за 10 минут мониторинга (надо больше?) роста не замечено,
 RELENG_9 от 19 февраля 2012.

Вот сам баг репорт:
https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=194577

-- 
WBR, Andrey V. Elsukov

Re: [freebsd] Re[2]: [freebsd] Странные падения сервера при переключении defaultroute

On 24.10.2014 15:03, Eugene Grosbein wrote:
 On 24.10.2014 17:59, Alexander wrote:
 
 EG Вообще крайне желательно обновиться хотя бы до 8.4,
 EG так как в более ранних восьмерках есть известные баги в netgraph,
 EG которые приводят к паникам.

 Тырнет  ходит  через  mpd,  так  что  отключить  его  пока  не могу. А
 обновление сегодня запущу вечером.
 
 Рекомендую ещё после обновления src приложить этот патч:
 http://www.grosbein.net/freebsd/patches/dang2.diff
 
 Он повышает стабильность связки netgraph+mpd, я его ко всем своим
 серверам с mpd прикладываю.

подорожник, я его ко всему прикладываю :)
Прежде чем начинать лечить, нужно диагноз поставить.
Спонтанные ребуты без всяких сообщений могут быть следствием аппаратных
проблем.

-- 
WBR, Andrey V. Elsukov



signature.asc
Description: OpenPGP digital signature

Re: [freebsd] nginx on openvpn's tun interface

On 27.10.2014 15:09, Eugene Grosbein wrote:
 On 27.10.2014 19:06, Anton Sayetsky wrote:
 Всё есть:
 root@support00:/usr/local/etc/nginx# netstat -rn | fgrep '192.168.89.'
 192.168.89.0/24192.168.89.1   UGS 0 12917434   tun0
 192.168.89.1   link#3 UH  0   72   tun0
 
 В этом-то и проблема. У link#3 маршрут смотрит в tun0, а должен в lo0.
 Удали и пересоздай как я написал.

у него оба конца туннеля указывают на один адрес, вот опенвпн и добавил
маршрут к дальнему конецу через tun0.

-- 
WBR, Andrey V. Elsukov

Re: [freebsd] nginx on openvpn's tun interface

On 27.10.2014 15:41, Anton Sayetsky wrote:
 Проверили на других машинах:
 фря, topology subnet - не пингуется
 фря, topology net30 - пингуется
 убунта, topology subnet - пингуется

Если вам так уж необходимо, чтобы в выводе ifconfig показывалась
маска сети /24, и всё работало, укажите там:
# ifconfig tun0 inet 192.168.89.1 broadcast 192.168.89.255
# route add 192.168.89.0/24 -iface tun0

А так, это ж point-to-point интерфейс, тут вообще всё это неважно.

-- 
WBR, Andrey V. Elsukov

Re: [freebsd] nginx on openvpn's tun interface