April 2004 - UANOG

DNS flood
by Dmitry Alyabyev 09 Apr '04

09 Apr '04

Привет кто-то сталкивался в последнее время с большим потоком DNS запросов (40..90req/s), идущих от клиентов, с попытками отрезолвить преимущественно не существующие RR (результат - ServFail) ? похоже на какого-то вируса или трояна ... подобные flood-ы, идущие от десятка клиентов забивают named до 90% CPU, а dnscache достигает лимита обслуживаемых udp-сокетов вот пример: 07:26:47.463988 x.x.x.x.53 > 212.109.32.9.53: 61469+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.472189 x.x.x.x.53 > 212.109.32.9.53: 58321+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.479816 x.x.x.x.53 > 212.109.32.9.53: 35610+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.487805 x.x.x.x.53 > 212.109.32.9.53: 29221+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.495766 x.x.x.x.53 > 212.109.32.9.53: 8759+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.503929 x.x.x.x.53 > 212.109.32.9.53: 50373+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.511752 x.x.x.x.53 > 212.109.32.9.53: 65083+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.519669 x.x.x.x.53 > 212.109.32.9.53: 19788+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.527803 x.x.x.x.53 > 212.109.32.9.53: 12924+ [1au] AAAA? nets.net.pk. (40) 07:26:47.535174 x.x.x.x.53 > 212.109.32.9.53: 23021+ [1au] AAAA? nets.net.pk. (40) 07:26:47.543165 x.x.x.x.53 > 212.109.32.9.53: 42790+ [1au] A? nets.net.pk. (40) 07:26:47.551420 x.x.x.x.53 > 212.109.32.9.53: 22016+ [1au] AAAA? nets.net.pk. (40) 07:26:47.559606 x.x.x.x.53 > 212.109.32.9.53: 34973+ [1au] AAAA? nets.net.pk. (40) 07:26:47.567507 x.x.x.x.53 > 212.109.32.9.53: 1548+ [1au] AAAA? nets.net.pk. (40) 07:26:47.575554 x.x.x.x.53 > 212.109.32.9.53: 47170+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.583591 x.x.x.x.53 > 212.109.32.9.53: 64130+ [1au] AAAA? nets.net.pk. (40) 07:26:47.590856 x.x.x.x.53 > 212.109.32.9.53: 5940+ [1au] AAAA? nets.net.pk. (40) 07:26:47.598734 x.x.x.x.53 > 212.109.32.9.53: 23396+ [1au] AAAA? nets.net.pk. (40) 07:26:47.607422 x.x.x.x.53 > 212.109.32.9.53: 42058+ [1au] AAAA? nets.net.pk. (40) 07:26:47.615186 x.x.x.x.53 > 212.109.32.9.53: 64316+ [1au] AAAA? nets.net.pk. (40) 07:26:47.623431 x.x.x.x.53 > 212.109.32.9.53: 26530+ [1au] A? nets.net.pk. (40) 07:26:47.631047 x.x.x.x.53 > 212.109.32.9.53: 40459+ [1au] AAAA? nets.net.pk. (40) 07:26:47.638964 x.x.x.x.53 > 212.109.32.9.53: 16196+ [1au] AAAA? nets.net.pk. (40) 07:26:47.647043 x.x.x.x.53 > 212.109.32.9.53: 17007+ [1au] AAAA? nets.net.pk. (40) 07:26:47.654921 x.x.x.x.53 > 212.109.32.9.53: 11072+ [1au] A? nets.net.pk. (40) 07:26:47.663050 x.x.x.x.53 > 212.109.32.9.53: 47466+ [1au] AAAA? nets.net.pk. (40) 07:26:47.670925 x.x.x.x.53 > 212.109.32.9.53: 5928+ [1au] A? nets.net.pk. (40) 07:26:47.678804 x.x.x.x.53 > 212.109.32.9.53: 59100+ [1au] AAAA? nets.net.pk. (40) 07:26:47.686734 x.x.x.x.53 > 212.109.32.9.53: 56945+ [1au] AAAA? nets.net.pk. (40) 07:26:47.694702 x.x.x.x.53 > 212.109.32.9.53: 19687+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.702742 x.x.x.x.53 > 212.109.32.9.53: 9431+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.710870 x.x.x.x.53 > 212.109.32.9.53: 8694+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.718747 x.x.x.x.53 > 212.109.32.9.53: 63382+ [1au] AAAA? nets.net.pk. (40) 07:26:47.726188 x.x.x.x.53 > 212.109.32.9.53: 58946+ [1au] AAAA? nets.net.pk. (40) 07:26:47.734546 x.x.x.x.53 > 212.109.32.9.53: 47164+ [1au] A? nets.net.pk. (40) 07:26:47.742372 x.x.x.x.53 > 212.109.32.9.53: 53485+ [1au] PTR? 177.55.6.69.in-addr.arpa. (53) 07:26:47.750558 x.x.x.x.53 > 212.109.32.9.53: 33237+ [1au] PTR? 200.55.6.69.in-addr.arpa. (53) 07:26:47.758730 x.x.x.x.53 > 212.109.32.9.53: 24234+ [1au] AAAA? nets.net.pk. (40) 07:26:47.766006 x.x.x.x.53 > 212.109.32.9.53: 61989+ [1au] A? nets.net.pk. (40) пока не могу придумать чем спасаться от такого -- Dimitry Тpезвость - ноpма загpобной жизни =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 8

cbq
by Alex Radetsky 09 Apr '04

09 Apr '04

Всем привет! Есть Linux, есть куча vlan. Vlan's - родные, не интелячьи. Все работает, кроме шейпера. При попытке повесить tc qdisc на dev vlan3 (for example) , возникает ошибка. Если повести на dev eth4 (на котором висит vlan3), то нифига не шейпериться. Что курить? man что? -- Alex Radetsky AR2657-RIPE RAD-UANIC =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 10

zebra/quagga и ospf - баг или фича ?
by Andrey Elperin 09 Apr '04

09 Apr '04

Добрый день. Ситуация - имеется некая сетка не самого маленького размера. Маршрутизация внутри - ospf. В качестве маршрутизаторов - в основном линуксы с gated (gated - это так сложилось исторически, "это еще до вас, в 15 веке") и несколько тазиков с w2k (увы и ах, тоже сложилось исторически). С недавнего времени появилась необходимость исполнять на одном из линуксов не только ospf, но и bgp. Вследствие чего на одной конкретно взятой машине gated был заменен на zebra. Изначально версия зебры - 0.92a (штатная для debian woody). После установки зебры стабильно наблюдается следующая картина - какое-то количество времени ospfd работает гладко (на глаз - в среднем до получаса), после чего зебра удаляет из таблицы маршрутизации все маршруты, полученные via ospf и сама перестает что-либо отдавать своим соседям. В логах это обычно сопровождается записями вида AS-external-LSA is MAXAGE для каждого маршрута и последующей руганью про LSA от Unknown neighbour. При этом sh ip ospf nei показывает полный и корректный список neighbours, а в выводе sh ip ospf data продолжают присутствовать все удаленные из таблицы маршрутизации маршруты. После перезапуска ospfd все снова на какое-то время оживает, но через некоторое время опять падает с вышеописанными симптомами. gated, работавший на этой же машине раньше - исполнял ospf без малейших проблем. В процессе эксеприментов текущий линуховый kernel 2.2.25-ow2 был заменен на 2.4.25-ow1, а штатная для woody зебра - на quagga 0.96.4. Ситуация осталась без изменений. Соответственно, вопрос - сталкивался ли кто-то еще с таким поведением zebra/quagga (гугглинг выдает пару ссылок на описание похожей ситуации в lkml, но там вопросы остаются без ответа) ? Если да - то лечится ли это ? Возможно, в настройке zebra/quagga есть какие-то тонкости, которые я не учел ? (честно говоря, гонять ospf на zebra до этого не доводилось). Возможно, это я просто на такие "удачные" версии софта попал ? Если нужно что-то показать из логов - готов. Только уточните, что именно, по причине отсутствия практического опыта использования ospf на зебре в логах зебры я еще "несколько" путаюсь :) P.S. Куски из конфига, которые касаются собственно ospf : ! interface eth1 ip ospf authentication-key <hidden> ip ospf priority 254 ! router ospf ospf router-id x.y.z.b redistribute connected redistribute static passive-interface dummy0 passive-interface eth0 passive-interface gre0 passive-interface lo passive-interface shaper0 passive-interface tunl0 network x.y.z.a/24 area 0.0.0.0 area 0 authentication ! -- Andrey Elperin =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 4

Маленький вопрос по inn.
by Alex Radetsky 09 Apr '04

09 Apr '04

Доброе утро! Как говорит dear Netch@:" Может пора в ru.unix.prog?". Нашел ее аж в unwanted.log. Отсюда вопрос: как грамотно создать ее у себя? Что бы соблюдались все условия fido7.* ? ctlinnd newgroup fido7.ru.unix.prog ... а дальше что? Подскажите, пожалуйста. -- Alex Radetsky AR2657-RIPE RAD-UANIC =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

6 15

named error
by Paul Arakelyan 08 Apr '04

08 Apr '04

А что эт такое? И когда такое возникает? Apr 7 15:02:34 doublebolt named[289]: bad referral (34.211.in-addr.arpa !< 241.34.211.in-addr.arpa) from [210.104.1.3].53 -- Best regards, Paul Arakelyan. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

cyrus-imapd's shared folders
by Alexander Moskalenko 08 Apr '04

08 Apr '04

а что пользователю нельзя никак разрешить скадывать письма в shared folder? щас работает fetchmail и скармливает все локальному sendmail, тот в свою очередь передает все в lmtpunix при попытке sieve скриптом уложить письмо в нужный shared folder пишет sieve runtime error for user_name id <20040407_013408_059340.billing(a)xyz.com>: Fileinto: Permission denied на папку для этого пользователя выставлены все права Thunderbird говорит что можно только lrs вобщем как можно письма пришедшие пользователю распихать по общим папкам? =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

probros telefona
by Andy Vasilenko 07 Apr '04

07 Apr '04

Задача: Есть офисная АТС с n городскими линиями/номерами и N внутренними; требуется пробросить по IP внутренний номер/линию до удаленной точки, причем должна быть возможность позвонить как с удаленной площадки в город/офис, так и наоборот. Интересует минимальный набор железок которые это могут реализовать... пара Cisco ATA186, насколько я понимаю, сами по себе не могут :( NSG-800 (пара FXO/FXS) вроде как могут... подскажите еще варианты? =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 5

riverstone
by Roman Emelyanov 07 Apr '04

07 Apr '04

Здравствуй! У кого-нибудь есть опыт работы с железками по имени riverstone? http://www.riverstonenet.com/ Интересует живость/надежность/гибкость. -- R:Em =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

�� Sa4-Sa8 �� E1 ��
by Yury Yaroshevsky 07 Apr '04

07 Apr '04

Добрый день. Есть такая схема: E1 (voice) __ __ E1 (voice) ------------| | E1 comp.___ E1 compr. | |-------------- E1 (voice) |1 |--------| 2 |----------|3 | E1 (voice) ------------|__| |___| |__|-------------- | V.35 | | E1 _|_ |4 | |___| | V.35 1,3 - это оборудование Черниговского завода некие АДИКМ (предназначены для компрессии 2xE1 voice через 1xE1) 2,4 - Cronyx E1-XL Схема предполагает вырезание из скомпрессированного потока некоторого количества таймслотов и подача их на V.35 Cronyx-а. При попытке запустить работу по указанной схеме сталкиваемся с непропускание через Cronyx 2 битов Sa4-Sa8 в 0 канальном интервале. Вернее Cronyx выставляет их в некоторе значения по умолчанию. АДИКМ же использует эти биты для своего внутреннего обмена. Если в схеме, предложенной выше, Cronyx 2 переставить и включить в АДИКМ 1 (так же как Cronyx 4 включен в АДИКМ 3) то схема работает без каких-либо проблем. Можно ли заставить Cronyx 2 пропускать эти биты (Sa4-Sa8) прозрачно не меняя значение с одного E1 порта на другой E1 порт. PS. В точку 2 пытались встроить RAD DXC. Без каких либо результатов :( Может быть посоветуете оборудование для того что бы в точке 2 заменить Cronyx? Из за объективных причин мне нужно запустить это решение по указанной выще схеме. :( -- YY18-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

Странность с WS-C2950-24
by Vladimir Melnik 07 Apr '04

07 Apr '04

Добрый день. Есть странность, которую я как-то всё никак не могу побороть. Стоит ZyXEL IES-2000 (модуль MSC-1000 с прошивкой V3.50(DS.5) и модуль SLC-1024 с прошивкой V2.04(DX.1)), впрочем, стоял и ZyXEL IES-1000 с модулем SAM-1008, эффект наблюдался тот же. В один из SHDSL-портов сего девайса приходит медь, которая вторым концом попадает в Comtrend CT-320 с прошивкой 3.52, впрочем, тот же эффект наблюдался и на 2.48. Из модема витая пара приходит в Cisco Catalyst WS-C2950-24 с прошивкой c2950-i6q4l2-mz.121-14.EA1. На каталисте в этот порт dot1q-таггинг отключен, на зикселе - аналогично. Если вместо зикселя ставить какой-нибудь модем, никаких проблем не наблюдается, линк работает без сбоев. При описаной же схеме наблюдается следующее природное явление: сразу же после установки соединения между маршрутизаторами успевает проскочить один или два ежесекундных пинга, после чего модему становится "мягко говоря, не очень" и он начинает сиять индикатором "Tx", на каталисте же порт уходит в даун "%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernetX/Y, changed state to down" и не "раздупляется" до тех пор, пока GSHDSL-линк между концентратором и модемом не будет разорван. Прошу прощения у тех, кто увидит этот же вопрос и в inet-admins@, но в самом деле, что же это может быть? Буду благодарен за любые подсказки, идеи и советы. -- V.Melnik =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 5