>[оверквотинг удален]
>>> вот есть такая никому не нужная штука называется ipsec. вот вы когда
>>> портировали вышеназванные крютии проГамы, не задумывались и том что всемогущий архитектор
>>> туп до безобразия или вам было нас-рать на то, что вы
>>> изобретаете очередной вилосипед.
>> Задумывался. VipNet обязан был работать на клиентских машинах с WIn98/NT - данные
>> OS не имеют встроенной поддержки  IPSec, да и файрвола -
>> VipNet (рабочее название iplir) предосталял возможности файрвола и vpn даже на
>> этих OS.
> это да это круто... а что , в конце 90 вы не
> стали поддерживать win 3.0 с пятилетним то циклом разработки?

Что требовал заказчик то и поддерживали. По ТЗ положено.

>> Теперь пойдем дальше - не существует сертифицированного модуля ГОСТ 28147 для Ipsec.
> да модуль для ipsec было наверное сложнее написать чем невообразимое то, что
> вы отписали выше -- что чтj выше - одназначно в мемориз
> и не говорите мне что это не быдлокод -- это ИМХО
> его одно из лучших примеров

Сложнее. Видимо вы не очень представляете маштабы задачи.
Хотя для человека который мыслит категориями быдло кода - это не удивительно.

>> Пойдем дальше - IPSec это постотранспорт - нужно еще создать инфраструктуру обмена
>> ключами, генерацию и раздачу сертификатов.  Ну лана - обмен ключами
>> есть для ipsec, а инфраструтура ключевого центра? Создание ключа, отзыв рассылка
>> по всем нодам? Каким боком это релизуется в IPSec  ?
> дык почитайте -- в отличие от ваших велосибедов все доступно в открытом
> виде

вы подразумеваете под IPSec нечто другое чем в стандарте.
IPSec это просто транспорт с шифрованием трафика.
Никой инфраструктуры для ключевого центра в нем не заложено.
В тоже время ценность вещей типа VipNet именно в централизованном управлении и ключевом центре.
Который может оперативно управлять видимостью абонентов общей виртуальной сети.

>> Ах да, кроме собственно сетевых задач - в состав VipNet входит почтовый
>> сервис с шифрование переписки.
> костыли

Костыли или не костыли - не вам решать. По ТЗ было такое требование - оно реализовано.

>> Это тоже IPSec накрывает? И сколько политик надо создать в IPSec что
>> бы объединить 4 филиала у которых по 3-4 внутренних сети -
>> причем надо использовать только тунельный ipsec.
> одну политику -- одну политику на один эндпоинт достаточно, но если необходимо
> есть возможность хоть по отдельной политике на каждый ip.

Да да :) 4 филала дают дофига политик, каждый с каждым, а если в каждой еще 4 независимых сети,
то количество политик растет оччень сильно.

>> PPS. если так брать то более близким аналогом VipNet будет OpenVPN -
>> но вы же не отказываете OpenVPN в праве на существование, на
>> основании того что есть IPSec? который к тому же работает хреново
>> через nat.
> да ни отказываю я не чему -- пусть будет -- пусть будет
> голимая закрытая ни на что не похожая пропиетарь, с доступом к
> докам по NDA -- но пусть любимое государство потом эту какашку
> не суёт во все щели, особенно если есть более лёгкие и
> уже существуюшие (не говоря о распростаннённости) решения. Как вы понимаете --
> openvpn в отличии от этой ....,такой  грудой недостатков не обладает.

Страдает другими :) В частности отсутсвием вменяемого ключевого центра.
Ибо набор скриптов easy-rsa входящий в его комплект таковым не назвать.
Не - можно написать свое.

> про нат согласен, в ipsec бывает сложно, а вот про протокол ip
> с номером 225 или какой он тым использовался всё вообще заиб^Wзамечательно
> на натах -- полная жопа

За исключением того что у него был свой NAT :-) хотя может с тех пор что-то там придумали.
А про nat-t лучше не вспоминать, о том как оно работает я чуть чуть вкурсе и то что разные реализации его с трудом совместимы.