May 2008 - UANOG - uanog.one

[ANN] bgpq3.
by Alexandre Snarskii 31 Dec '08

31 Dec '08

Hi! В связи с тем, что наши магистральщики начали вводить ipv6 на опорной сети, а в JunOS 9.1 появилась нормальная поддержка ASN32 - я таки собрался и довел до ума bgpq3 - генератор prefix-list'ов и as-path access-list'ов для Juniper и Cisco. Лежит пока тут: http://mon.eltel.net/~snar/bgpq3-0.1.3.tgz Основные отличия от "классического" bgpq: - код переписан полностью, "с нуля". Из старой версии перенесена не вся функциональность. В частности, не перенесена (и не будет переноситься) возможность создания prefix-list'ов "только по supernet'ам", все равно ей никто не пользуется. Также не планируются к переносу режимы генерации GateD'овских фильтров и standard access-list'ов. - основной режим генерации - prefix-lists (both Juniper & Cisco), генерация extended access-list'ов пока (?) не переносилась. - добавлена поддержка генерации ipv6 prefix-lists, ключ -6, пример: snar@chumadan:~/compile/bgpq3>./bgpq3 -J6 AS-RETN6 policy-options { replace: prefix-list NN { 2001:7fb:fe00::/48; 2001:7fb:fe01::/48; [....] - при генерации as-path filters поддерживается режим генерации для "asn32-safe" раутеров (JunOS 9.1 и выше, Cisco IOS пока не поддерживается), ключ -3: snar@chumadan:~/compile/bgpq3>./bgpq3 -J3f 112 AS-SPACENET policy-options { replace: as-path-group NN { [....] as-path a2 "^112(.)*(35052|41720|43628|44450|196611)$"; (обратите внимание на AS196611 в конце списка - Juniper отказался от поддержки asdot notation, и 32-битные AS'ы (AS3.3 в данном случае) пишутся одним числом) - если ключ -3 не указан - генерится "transitive format", вместо ASN32 подставляется AS23456, как и в "обычном" bgpq. - процесс резолвинга существенно ускорен за счет pipelining'а запросов к irrd. В результате даже довольно "толстые" as-set'ы резолвятся весьма быстро: snar@chumadan:~/compile/bgpq3>time ./bgpq3 AS-WNET > /dev/null real 0m1.878s Отключить этот режим можно с помощью ключа -T, результатом будет "обычная" скорость: snar@chumadan:~/compile/bgpq3>time ./bgpq3 -T AS-WNET > /dev/null real 2m30.645s - полностью переписан режим аггрегирования префиксов (для Cisco), эффективность повысилась процентов на двадцать. Просьба иметь в виду - это initial public release, в том обьеме, в котором тестировалось bgpq - пока не тестировалось. Так что по крайней мере на первое время желательно сравнивать результаты с результатами bgpq, и, если вылезут баги - писать ;) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 3

DDoS: четвертый вектор ?
by Alexandre Snarskii 26 Oct '08

26 Oct '08

Hi! Так уж получается, что одного из наших клиентов уже с недельку DDoS'ят.. Первый вектор DDoS'а - udp, dst ports 53, 80, 110, dst ip - клиентский. Отфильтровано на кошке. Второй вектор - в принципе, то же самое, только dst - транзитные маршрутизаторы. Juniper'ы справились, ими и прикрыли кошку, которая начала прогибаться с точностью до нестабильности работы bgp/ospf/ldp.. Третий вектор - dns as attack amplifier, ddos пошел на dns-сервера с подстановкой адреса клиента... Отфильтровали на кошке... Кто недавно попадал под DDoS'ы - подскажите, чего ждать дальше ? :) Я пока готовлюсь к massive flood на dns-сервера.. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

11 20

simple DDoS protection device
by Alexander Burnos 03 Jun '08

03 Jun '08

Добрый день, А существует ли какая-то мелкая DDoS protection железка, чтобы могла обработать мегабит этак 100. Возможно с минимум наворотов, но с возможностью отфильтровать icmp/udp/syn флуды в пределах этих 100 мбит? Про Cisco ADM/AGM модули я в курсе, щупал. Хочется что-то раз в 10 менее мощное и во столько же раз дешевое :) В общем есть ли коробка - дешевый аналог Detector/Guard модулей? Или может на таких объемах можно обойтись каким-нибудь решением на linux/bsd? -- WBR, Alexander Burnos =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

10 32

sms.kyivstar.net
by Gregory Edigarov 03 Jun '08

03 Jun '08

Добрый день, А это у одного меня сообщения, отправленные с е-майл на киевстар могут идти по часу? этак никакой мониторинг сделать не получается..... -- With best regards, Gregory Edigarov =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

7 8

RSP 720-3C FIB TCAM overflow
by Anton Turygin 01 Jun '08

01 Jun '08

Добрый день. Осмелюсь задать очень глупый вопрос ;-) А существует ли возможность заставить RSP 720-3C выкидывать то, что не влазит в FIB TCAM в software switching? Дефолтное поведение очень не устраивает: %CFIB-SP-7-CFIB_EXCEPTION: FIB TCAM exception for IPv4 unicast. Packets through some routes will be droped. Use "mls cef maximum-routes" to modify the FIB TCAM partition or/and consider a hardware upgrade. Examine your network and collect the necessary information from this setup. The only way to recover from this state is by reloading the router mls cef maximum-routes уже выставлен в максимум. Hеужели действительно единственный путь - в морг? -- RAZ-UANIC RAZ-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 4

Windows XP SP2 не воспринимает (дублирующиеся?) DHCP OFFER
by Vladimir Litovka 30 May '08

30 May '08

Привет, может кто сталкивался с такой ситуацией и может помочь? В broadcast-домене есть клиенты и два DHCP relays, которые форвардят запросы в один и тот же DHCP сервер. Соответственно, когда клиент посылает свой DHCP DISCOVER, то он попадает на сервер в двух экземплярах (с разными gi_addr); сервер отвечает двумя DHCP OFFER'ами, которые благополучно игнорируются виндой. Процесс (с точки зрения DHCPd) выглядит таким образом: May 29 15:16:10 management dhcpd: DHCPDISCOVER from xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.3 May 29 15:16:10 management dhcpd: DHCPOFFER on 172.17.0.4 to xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.3 May 29 15:16:10 management dhcpd: Lease for 172.17.0.4 raw option-82 info is CID: 1.4.71.48.47.49 AID: 1.6.50.52.49.2d.44.33 May 29 15:16:10 management dhcpd: DHCPDISCOVER from xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.2 May 29 15:16:10 management dhcpd: DHCPOFFER on 172.17.0.4 to xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.2 May 29 15:16:19 management dhcpd: Lease for 172.17.0.4 raw option-82 info is CID: 1.4.71.48.47.49 AID: 1.6.50.52.49.2d.44.33 May 29 15:16:19 management dhcpd: DHCPDISCOVER from xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.3 May 29 15:16:19 management dhcpd: DHCPOFFER on 172.17.0.4 to xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.3 May 29 15:16:19 management dhcpd: Lease for 172.17.0.4 raw option-82 info is CID: 1.4.71.48.47.49 AID: 1.6.50.52.49.2d.44.33 May 29 15:16:19 management dhcpd: DHCPDISCOVER from xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.2 May 29 15:16:19 management dhcpd: DHCPOFFER on 172.17.0.4 to xx:xx:xx:xx:xx:xx:xx (winxp-001) via 172.17.0.2 все это время винда ждет в режиме "ipconfig /renew", и через какое-то время отваливается без адреса. Если клиент - nix's "dhclient", то никаких проблем - он подхватывает адрес. То есть проблема - в винде. Никто не знает, куда копать и что смотреть? relay настроен банально: interface Vlan102 ip dhcp relay information trusted ip address 172.17.0.3 255.255.255.0 ip helper-address 172.16.200.100 Спасибо. -- /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 2

experimental
by Michael Petrusha 30 May '08

30 May '08

Hi! А правда, что 240.0.0.0/4 ("class E") во всех-подряд Windows, router'ах и подобных железяках завернут в /dev/null? Как-то мне это удивительно слышать :) -- Michael =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 3

Google in UAIX
by Michail Litvak 30 May '08

30 May '08

Hi all, Занятно.... $ traceroute google.com traceroute: Warning: google.com has multiple addresses; using 64.233.167.99 traceroute to google.com (64.233.167.99), 64 hops max, 40 byte packets 1 xxxxxxxxxxxxxxxxxxx (xxxxxxxxxxx) 1.315 ms 1.302 ms 3.272 ms 2 xxxxxxx (xxxxxxxxxxxx) 3.621 ms 0.915 ms 1.197 ms 3 xxxxxxxxxxxxxxxxcom (xxxxxxxxxxx) 0.925 ms 0.843 ms 0.994 ms 4 ar3-ge-uk-topnet.google.com (88.81.240.166) 1.030 ms 0.678 ms 1.048 ms 5 209.85.241.54 (209.85.241.54) 2.254 ms 0.739 ms 3.653 ms 6 209.85.241.52 (209.85.241.52) 22.885 ms 22.201 ms 23.313 ms 7 72.14.232.102 (72.14.232.102) 37.558 ms 37.640 ms 37.357 ms 8 209.85.248.44 (209.85.248.44) 38.621 ms 72.14.232.105 (72.14.232.105) 48.957 ms 48.771 ms 9 72.14.236.220 (72.14.236.220) 119.984 ms 124.832 ms 209.85.250.140 (209.85.250.140) 46.166 ms 10 209.85.248.216 (209.85.248.216) 138.634 ms 125.777 ms 125.176 ms 11 209.85.248.216 (209.85.248.216) 127.288 ms 216.239.46.224 (216.239.46.224) 146.610 ms 145.688 ms 12 72.14.238.89 (72.14.238.89) 153.407 ms 153.020 ms 158.646 ms 13 72.14.238.89 (72.14.238.89) 154.210 ms 64.233.175.26 (64.233.175.26) 157.065 ms 72.14.232.70 (72.14.232.70) 161.442 ms 14 py-in-f99.google.com (64.233.167.99) 160.998 ms 72.14.232.70 (72.14.232.70) 161.367 ms py-in-f99.google.com (64.233.167.99) 158.911 ms -- //ShaD0w =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

CryptoIP-428 вже сертифіковано.
by Oleh Hrynchuk 29 May '08

29 May '08

Доброго ранку, колеги. Прошу не вважати за рекламу. Просто дійсно може виявитись комусь цікавим. "Украинский разработчик и поставщик продуктов и решений информационной безопасности компания "АВТОР" представляет свои новые разработки, предназначенные для обеспечения информационной безопасности компаний. 3 апреля 2008 года компания "АВТОР" получила экспертное заключение Государственной службы специальной связи и защиты информации Украины на IP-шифратор CryptoIP-428. Согласно выводам экспертной комиссии, IP-шифраторы правильно реализуют алгоритмы: ГОСТ 28147-89, ГОСТ 34.311-95, ДСТУ 4145-2002 и могут использоваться для криптографической защиты конфиденциальной информации. IP-шифратор CryptoIP-428 (ТУ У 32.2-32248356-012:2007) – устройство криптографической защиты информации, предназначенное для защиты IP-трафика терминалов и автоматизированных рабочих мест, может использоваться при построении виртуальных частных сетей (VPN)." Повна інфа (з малюнком :)) тут: http://author.kiev.ua/data.php?id=12 По цінам зараз не скажу нічого. Але якщо когось зацікавить - можу взнати. Точно знаю одне - абсолютно недорого. -- Regards, /oleh

6 22

украинский сертификат cisco 2610
by Artem Grishin 29 May '08

29 May '08

Здравствуйте, Uanog. UMC/MTS настойчиво требуют сертификат на циску. Есть у кого-го сертификат УкрСЕПРО на cisco 2610? -- Не важно, веришь ли ты в бога, важно верит ли он в тебя... SUI-UANIC GAS-RIPE ______________________________________________ --== Omega Group ==-- =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 2