June 2008 - UANOG - uanog.one

[ANN] bgpq3.
by Alexandre Snarskii 31 Dec '08

31 Dec '08

Hi! В связи с тем, что наши магистральщики начали вводить ipv6 на опорной сети, а в JunOS 9.1 появилась нормальная поддержка ASN32 - я таки собрался и довел до ума bgpq3 - генератор prefix-list'ов и as-path access-list'ов для Juniper и Cisco. Лежит пока тут: http://mon.eltel.net/~snar/bgpq3-0.1.3.tgz Основные отличия от "классического" bgpq: - код переписан полностью, "с нуля". Из старой версии перенесена не вся функциональность. В частности, не перенесена (и не будет переноситься) возможность создания prefix-list'ов "только по supernet'ам", все равно ей никто не пользуется. Также не планируются к переносу режимы генерации GateD'овских фильтров и standard access-list'ов. - основной режим генерации - prefix-lists (both Juniper & Cisco), генерация extended access-list'ов пока (?) не переносилась. - добавлена поддержка генерации ipv6 prefix-lists, ключ -6, пример: snar@chumadan:~/compile/bgpq3>./bgpq3 -J6 AS-RETN6 policy-options { replace: prefix-list NN { 2001:7fb:fe00::/48; 2001:7fb:fe01::/48; [....] - при генерации as-path filters поддерживается режим генерации для "asn32-safe" раутеров (JunOS 9.1 и выше, Cisco IOS пока не поддерживается), ключ -3: snar@chumadan:~/compile/bgpq3>./bgpq3 -J3f 112 AS-SPACENET policy-options { replace: as-path-group NN { [....] as-path a2 "^112(.)*(35052|41720|43628|44450|196611)$"; (обратите внимание на AS196611 в конце списка - Juniper отказался от поддержки asdot notation, и 32-битные AS'ы (AS3.3 в данном случае) пишутся одним числом) - если ключ -3 не указан - генерится "transitive format", вместо ASN32 подставляется AS23456, как и в "обычном" bgpq. - процесс резолвинга существенно ускорен за счет pipelining'а запросов к irrd. В результате даже довольно "толстые" as-set'ы резолвятся весьма быстро: snar@chumadan:~/compile/bgpq3>time ./bgpq3 AS-WNET > /dev/null real 0m1.878s Отключить этот режим можно с помощью ключа -T, результатом будет "обычная" скорость: snar@chumadan:~/compile/bgpq3>time ./bgpq3 -T AS-WNET > /dev/null real 2m30.645s - полностью переписан режим аггрегирования префиксов (для Cisco), эффективность повысилась процентов на двадцать. Просьба иметь в виду - это initial public release, в том обьеме, в котором тестировалось bgpq - пока не тестировалось. Так что по крайней мере на первое время желательно сравнивать результаты с результатами bgpq, и, если вылезут баги - писать ;) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 3

DDoS: четвертый вектор ?
by Alexandre Snarskii 26 Oct '08

26 Oct '08

Hi! Так уж получается, что одного из наших клиентов уже с недельку DDoS'ят.. Первый вектор DDoS'а - udp, dst ports 53, 80, 110, dst ip - клиентский. Отфильтровано на кошке. Второй вектор - в принципе, то же самое, только dst - транзитные маршрутизаторы. Juniper'ы справились, ими и прикрыли кошку, которая начала прогибаться с точностью до нестабильности работы bgp/ospf/ldp.. Третий вектор - dns as attack amplifier, ddos пошел на dns-сервера с подстановкой адреса клиента... Отфильтровали на кошке... Кто недавно попадал под DDoS'ы - подскажите, чего ждать дальше ? :) Я пока готовлюсь к massive flood на dns-сервера.. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

11 20

Проблема при выдаче статического ip адреса через tacacs на C5350.
by Yury Yaroshevsky 22 Jul '08

22 Jul '08

Добрый день. Пытаясь запустить dialin modems в работу на Сisco 5350, столкнулся с проблемой выдачи статического IP адреса через TACACS ... IOS - Cisco IOS Software, 5350 Software (C5350-IK9SU2-M), Version 12.4(6)XE2, RELEASE SOFTWARE (fc1) Т.е. у меня настроена выдача динамических IP адресов через локальный pool на CISCO, но для некоторых юзеров используется выдача статических адресов. Для этой цели, в TACACS (inet-admin версия) используется конструкция: group = ppp { login = file /etc/tac_passwd pap = file /etc/tac_passwd message = "PPP enabled." users = s* maxsess = 1 after authorization "/usr/local/tac_plus/tac_auth_ip $user $port $name $address" service = ppp protocol = ip { addr-pool = "default" inacl = "100" } service = ppp protocol = lcp { } service = ppp protocol = ipcp { } service = exec { autocmd = "ppp negotiate" } При этом, если не привязывать пользователя к статическому IP я не наблюдаю проблем: [skip Jun 22 18:19:30.059 EEST: T+: Version 192 (0xC0), type 2, seq 2, encryption 1 Jun 22 18:19:30.059 EEST: T+: session_id 244252136 (0xE8EFDE8), dlen 58 (0x3A) Jun 22 18:19:30.059 EEST: T+: AUTHOR/REPLY status:2 msg_len:0, data_len:0 arg_cnt:4 Jun 22 18:19:30.059 EEST: T+: msg: Jun 22 18:19:30.063 EEST: T+: data: Jun 22 18:19:30.063 EEST: T+: arg[0] size:11 Jun 22 18:19:30.063 EEST: T+: service=ppp Jun 22 18:19:30.063 EEST: T+: arg[1] size:11 Jun 22 18:19:30.063 EEST: T+: protocol=ip Jun 22 18:19:30.063 EEST: T+: arg[2] size:9 Jun 22 18:19:30.063 EEST: T+: inacl=100 Jun 22 18:19:30.063 EEST: T+: arg[3] size:17 Jun 22 18:19:30.063 EEST: T+: addr-pool=default Jun 22 18:19:30.063 EEST: T+: End Packet Jun 22 18:19:30.063 EEST: TPLUS(000C0FA7)/1/641076BC: Processing the reply packet Jun 22 18:19:30.063 EEST: TPLUS: Processed AV service=ppp Jun 22 18:19:30.063 EEST: TPLUS: Processed AV protocol=ip Jun 22 18:19:30.063 EEST: TPLUS: Processed AV inacl=100 Jun 22 18:19:30.063 EEST: TPLUS: Processed AV addr-pool=default Jun 22 18:19:30.063 EEST: TPLUS: received authorization response for 790439: PASS Jun 22 18:19:30.063 EEST: As2/01 IPCP: Received AAA AUTHOR Response PASS Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: service Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: inacl: Peruser Jun 22 18:19:30.063 EEST: As2/01 PPP/AAA: Check Attr: addr-pool Jun 22 18:19:30.063 EEST: As2/01 AAA/AUTHOR/FSM: We can start IPCP [skip] Но стоит выполнить привязку и возвратить на NAS AV pair c выделенным IP адресом, то получаем отлуп: [skip] Jun 22 18:24:14.314 EEST: T+: Version 192 (0xC0), type 2, seq 2, encryption 1 Jun 22 18:24:14.314 EEST: T+: session_id 1419378946 (0x549A0102), dlen 61 (0x3D) Jun 22 18:24:14.314 EEST: T+: AUTHOR/REPLY status:2 msg_len:0, data_len:0 arg_cnt:4 Jun 22 18:24:14.314 EEST: T+: msg: Jun 22 18:24:14.314 EEST: T+: data: Jun 22 18:24:14.314 EEST: T+: arg[0] size:11 Jun 22 18:24:14.314 EEST: T+: service=ppp Jun 22 18:24:14.314 EEST: T+: arg[1] size:11 Jun 22 18:24:14.314 EEST: T+: protocol=ip Jun 22 18:24:14.314 EEST: T+: arg[2] size:9 Jun 22 18:24:14.314 EEST: T+: inacl=100 Jun 22 18:24:14.314 EEST: T+: arg[3] size:20 Jun 22 18:24:14.314 EEST: T+: addr=195.184.193.135 Jun 22 18:24:14.314 EEST: T+: End Packet Jun 22 18:24:14.314 EEST: TPLUS(000C0FA9)/1/63A22220: Processing the reply packet Jun 22 18:24:14.314 EEST: TPLUS: Processed AV service=ppp Jun 22 18:24:14.314 EEST: TPLUS: Processed AV protocol=ip Jun 22 18:24:14.314 EEST: TPLUS: Processed AV inacl=100 Jun 22 18:24:14.314 EEST: TPLUS: Failed to decode AV addr=195.184.193.135 - FAIL Jun 22 18:24:14.318 EEST: As2/22 IPCP: Received AAA AUTHOR Response FAIL Jun 22 18:24:14.318 EEST: As2/22 AAA/AUTHOR/FSM: We cannot start IPCP [skip] В такой же конфигурации на CISCO 5300 все работает без проблем. Возникают вопросы к тем, кто эксплуатирует у себя 5350 : 1) Что можно волшебного сказать моей 5350 что бы она стала понимать приходящую AV пару. 2) Если это ошибка IOS-a - то какой IOS постабильнее посоветуете для переезда. Нужно учитывать что помимо dialup эта железка обслуживает еще и VoIP. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 2

DATAGROUP.
by Aliv Cherevko 09 Jul '08

09 Jul '08

Вопрос к обладающим информацией. Нужна выделенка домой на 2Mb ко мне и на максимум того, что получится, от меня (мин 512). К ней нужен хотя бы один статический IP, а лучше два (и побольше, и побольше :). Бюджет в месяц - где-то 200 грн. В подъезде моего дома была обнаружена серенькая коробочка внушительного размера с subj в виде надписи. Соответственно, вопрос - насколько адекватен DATAGROUP для решения поставленной задачи? А именно: - выдается ли заявленное качество? - вменяемая ли тех поддержка в случае чего? - вменяемые ли менеджеры продажи услуг? Контакты на тему к кому обратиться для заключения договора в сжатые сроки, если все срастется, приветствуются. Пока используется ого от Укртелекома. Всем доволен, кроме отсутствия реального IP за вменяемые деньги. Спасибо, -- Aliv =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

21 100

hacktivities
by Vladimir Litovka 27 Jun '08

27 Jun '08

http://vugluskr.mml.org.ua/~doka/Hacker%20Season-computerra_22_2008.pdf -- /doka

1 0

TransTelecom
by Volodymyr Yakovenko 26 Jun '08

26 Jun '08

Hello! А из Транстелекома тут ктото есть? -- Regards, Volodymyr. ╧╘Х┌f╒√)Ю√+-N┘'╡ФЛr╦⌡zг╖vf╒√з&j:+v┴╗╧╘Х┌H·╬Ф╟┼ьn·к⌡╠йБmК ·┬"·ь^n┤r║Шazg╛╠╗

8 11

презентации с CiscoExpo'08
by Vladimir Litovka 26 Jun '08

26 Jun '08

Привет, по адресу http://www.ciscoexpo.ru/kiev/2008/rus/download.html выложены презентации с недавней CiscoExpo'08 в Киеве. В принципе, названия в большинстве случаев говорят сами за себя и там много интересного, рекомендую для ознакомления Хотелось бы обратить внимание на две презентации, кое в чем пересекающиеся - http://www.ciscoexpo.ru/kiev/2008/download/pdf_pre/42.pdf (Владислав Патенко, "Проектирование управляемости в сервисно-ориентированых сетях") http://www.ciscoexpo.ru/kiev/2008/download/pdf_pre/048.pdf (me) и паровозиком к этому - статья в тему: http://www.securitylab.ru/analytics/309557.php Спасибо. -- /doka

1 0

Купить распаянный HD-44
by Alexander Shikoff 26 Jun '08

26 Jun '08

Приветствую! Подскажите кто-нибудь пожалуйста, можно ли где-то купить готовый штекер D-SUB HD-44 (44 контакта в три ряда), распаянный кабелем L907? Спасибо. -- Kind Regards, Alexander Shikoff AMS1-UANIC

1 0

Re: [uanog] Re: TransTelecom
by Volodymyr Yakovenko 26 Jun '08

26 Jun '08

2008/6/26 Michail Litvak <mci(a)owl.openwall.com>: > Hello Volodymyr Yakovenko! > > Thu, Jun 26, 2008 at 08:42:45AM +0100, vovik wrote about "[uanog] Re: TransTelecom": > >> Попытка номер два. > > Имеется ввиду TTK росийский ? Или ETT украинский ? Российский. >> 2008/6/25 Volodymyr Yakovenko <vovik(a)dumpty.org>: >> > Hello! >> > >> > А из Транстелекома тут ктото есть? > > CU! > -- > //ShaD0w > -- Regards, Volodymyr.

1 0

thunderbird add-on required
by Vladimir Litovka 26 Jun '08

26 Jun '08

Коллеги, прошу прощения за возможный offtopic, есть вопрос следующего плана - имею необходимость переключать булевскую переменную в true или false в зависимости от моего желания :) собственно, речь идет о переменной mail.server.default.autosync_offline_stores, которую нужно ставить в true, если я на нормальном включении и сообщения можно даунлодить полностью для offline use; или в false, если я на gprs и мне нужно видеть только headers. Вариант - лезть в config editor, но хотелось бы иметь просто кнопку на каком-нибудь тулбаре, переключатель состояний или параметров. Сходу я не нашел такого addon'а, которому можно было бы указать переменную и, в зависимости от ее типа, варианты параметров с комментариями и (идеально) разными иконками для разных состояний :-) Может кто уже решал похожую задачу? Спасибо -- /doka

2 1