August 2008 - UANOG

[ANN] bgpq3.
by Alexandre Snarskii 31 Dec '08

31 Dec '08

Hi! В связи с тем, что наши магистральщики начали вводить ipv6 на опорной сети, а в JunOS 9.1 появилась нормальная поддержка ASN32 - я таки собрался и довел до ума bgpq3 - генератор prefix-list'ов и as-path access-list'ов для Juniper и Cisco. Лежит пока тут: http://mon.eltel.net/~snar/bgpq3-0.1.3.tgz Основные отличия от "классического" bgpq: - код переписан полностью, "с нуля". Из старой версии перенесена не вся функциональность. В частности, не перенесена (и не будет переноситься) возможность создания prefix-list'ов "только по supernet'ам", все равно ей никто не пользуется. Также не планируются к переносу режимы генерации GateD'овских фильтров и standard access-list'ов. - основной режим генерации - prefix-lists (both Juniper & Cisco), генерация extended access-list'ов пока (?) не переносилась. - добавлена поддержка генерации ipv6 prefix-lists, ключ -6, пример: snar@chumadan:~/compile/bgpq3>./bgpq3 -J6 AS-RETN6 policy-options { replace: prefix-list NN { 2001:7fb:fe00::/48; 2001:7fb:fe01::/48; [....] - при генерации as-path filters поддерживается режим генерации для "asn32-safe" раутеров (JunOS 9.1 и выше, Cisco IOS пока не поддерживается), ключ -3: snar@chumadan:~/compile/bgpq3>./bgpq3 -J3f 112 AS-SPACENET policy-options { replace: as-path-group NN { [....] as-path a2 "^112(.)*(35052|41720|43628|44450|196611)$"; (обратите внимание на AS196611 в конце списка - Juniper отказался от поддержки asdot notation, и 32-битные AS'ы (AS3.3 в данном случае) пишутся одним числом) - если ключ -3 не указан - генерится "transitive format", вместо ASN32 подставляется AS23456, как и в "обычном" bgpq. - процесс резолвинга существенно ускорен за счет pipelining'а запросов к irrd. В результате даже довольно "толстые" as-set'ы резолвятся весьма быстро: snar@chumadan:~/compile/bgpq3>time ./bgpq3 AS-WNET > /dev/null real 0m1.878s Отключить этот режим можно с помощью ключа -T, результатом будет "обычная" скорость: snar@chumadan:~/compile/bgpq3>time ./bgpq3 -T AS-WNET > /dev/null real 2m30.645s - полностью переписан режим аггрегирования префиксов (для Cisco), эффективность повысилась процентов на двадцать. Просьба иметь в виду - это initial public release, в том обьеме, в котором тестировалось bgpq - пока не тестировалось. Так что по крайней мере на первое время желательно сравнивать результаты с результатами bgpq, и, если вылезут баги - писать ;) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 3

DDoS: четвертый вектор ?
by Alexandre Snarskii 26 Oct '08

26 Oct '08

Hi! Так уж получается, что одного из наших клиентов уже с недельку DDoS'ят.. Первый вектор DDoS'а - udp, dst ports 53, 80, 110, dst ip - клиентский. Отфильтровано на кошке. Второй вектор - в принципе, то же самое, только dst - транзитные маршрутизаторы. Juniper'ы справились, ими и прикрыли кошку, которая начала прогибаться с точностью до нестабильности работы bgp/ospf/ldp.. Третий вектор - dns as attack amplifier, ddos пошел на dns-сервера с подстановкой адреса клиента... Отфильтровали на кошке... Кто недавно попадал под DDoS'ы - подскажите, чего ждать дальше ? :) Я пока готовлюсь к massive flood на dns-сервера.. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

11 20

Замучался с голосовой кошкой
by Gregory Edigarov 29 Aug '08

29 Aug '08

Добрый день, Прошу совета. Периодически в логах голосовой кошки ( Cisco IOS Software, 5350 Software (C5350-IS-M), Version 12.4(5a), RELEASE SOFTWARE (fc3) ) проскакивают такие вот сообщения и отваливается dialup. Aug 29 12:38:02 dial0 2820: Aug 29 12:37:55: %CCH323-2-GTWY_REGSTR_FAILED: Gateway Dial0GW failed to register with Gatekeeper MainGK even after 2 retries Aug 29 12:38:52 dial0 2821: Aug 29 12:38:50: %CCH323-6-REGSTR: Gateway Dial0GW registered with Gatekeeper MainGK т.е. оно то отваливается на 30-40 секунд, то регистрируется снова. Что может быть причиной такого странного поведения? Кабель вроде в порядке, все пингуется. Атаку - тоже предположить не могу, так как гейткипер зафайрволен по самое немогу. tcpdump & debug h323 - ничего необычного не показывают. Куда копать дальше? Менять кабель и порт свича еще не пробовал.... Но, имхо, не в кабеле дело. Все ж пингуется аж бегом.... -- With best regards, Gregory Edigarov

1 0

Fwd: [news] Исследователи нашли простой способ перехвата интернет-трафика
by Alexander V Soroka 27 Aug '08

27 Aug '08

===8<==============Original message text=============== Исследователи нашли простой способ перехвата интернет-трафика Специалисты по IT-безопасности Антон Капела из 5Nines Data и Алекс Пилосов из Pilosoft продемонстрировали методику, позволяющую тайно перехватывать интернет-трафик и даже модифицировать его на пути к адресату. Это позволяет сделать протокол интернет-маршрутизации BGP (Border Gateway Protocol, протокол граничного шлюза). Эксперты уже назвали обнаруженную «дырку» одной из самых крупных в Интернете и сравнивают ее с недавно обнаруженной DNS-уязвимостью, теоретически позволявшей злоумышленнику перенаправлять пользователя вместо нужного на любой сайт. http://proit.com.ua/news/internet/2008/08/27/125553.html ===8<===========End of original message text=========== -- Best regards, Alexander V Soroka http://www.unet.net.ua AS106-RIPE http://www.spacegate.kiev.ua mailto:alex@euro.net.ua

3 2

Вопрос по IOS-су для 76xx
by Yury Yaroshevsky 26 Aug '08

26 Aug '08

Есть ссылка на такие IOS : 12.2(32.8.11)SR132 12.2(32.8.11)SR138 12.2(32.8.11)SR147 Где такое чудо брать?

3 3

Delivery0 - перша українська CDN
by Oleh Hrynchuk 24 Aug '08

24 Aug '08

Сабдж. Нарешті й Україна вписується в технологічну цивілізацію... - http://www.delivery0.net/<https://mail.incom.ua/exchweb/bin/redir.asp?URL=http://www.delivery0.net/> - http://www.delivery0.net/description.php<https://mail.incom.ua/exchweb/bin/redir.asp?URL=http://www.delivery0.net/de…> Any comments? Цікаво, як в людей вибудувана бізнес-модель... Але хто ж про це скаже :)) Побачимо далі по непрямих ознаках... Я вже зачіпав тему CDN в наступних місцях: - http://lists.qq.org.ua/pipermail/lean-operators/2008-March/000147.html - http://lists.qq.org.ua/pipermail/lean-operators/2008-March/000148.html - http://lists.qq.org.ua/pipermail/lean-operators/2008-March/000149.html - http://lists.qq.org.ua/pipermail/lean-operators/2008-March/000151.html - http://zmejgorynych.blogspot.com/2008/07/cdn_26.html - http://zmejgorynych.blogspot.com/2008/07/cdn-from-akamai-technology-end-use… -- Regards, /oleh

1 1

Re: [uanog] Внутренний resolve в другой адрес.
by Aliv Cherevko 24 Aug '08

24 Aug '08

On Fri, Aug 22, 2008 at 10:36:38PM +0300, Oleg Cherevko wrote: > Aliv Cherevko wrote: > > Уважаемый, All. > > > > Есть зона, в ней есть одно имя, которое смотрит на реальный IP. Зона размещена на неком внешнем DNS сервере. > > Есть внутренняя сетка, где есть свой внутренний DNS сервер. Как сделать так, чтобы этот внутренний DNS сервер для всех внутренних машин резолвил это имя в некий внутренний IP. > > На этом внутреннем DNSе этой зоны пока нет. Все остальное в зоне должно резолвиться честно. > > > > Спасибо, > > На внешнем DNS-е ничего не меняется. [...] > На внутреннем DNS-е заводишь зону blah-blah-blah.acvitas.com. [...] > В этой зоне пишешь что-то типа такого: [...] > IN A 10.2.3.4 ; внутренний IP > ------------------------------------------------------ > > -- > Olwi Спасибо за исчерпывающий ответ! -- Aliv

1 0

Внутренний resolve в другой адрес.
by Aliv Cherevko 23 Aug '08

23 Aug '08

Уважаемый, All. Есть зона, в ней есть одно имя, которое смотрит на реальный IP. Зона размещена на неком внешнем DNS сервере. Есть внутренняя сетка, где есть свой внутренний DNS сервер. Как сделать так, чтобы этот внутренний DNS сервер для всех внутренних машин резолвил это имя в некий внутренний IP. На этом внутреннем DNSе этой зоны пока нет. Все остальное в зоне должно резолвиться честно. Спасибо, -- Aliv

5 4

А как такое дебажить?
by Gregory Edigarov 22 Aug '08

22 Aug '08

Дано: Cisco IOS Software, 5350 Software (C5350-IS-M), Version 12.4(5a), RELEASE SOFTWARE (fc3) один раз в 30 секунд - идет такое странное обращение к радиусу: Fri Aug 22 14:45:32 2008 : Auth: Login OK: [7048080] (from client dial0 port 0) Fri Aug 22 14:45:55 2008 : Auth: Login incorrect (No password configured for the user): [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:45:55 2008 : Auth: Login incorrect: [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:46:23 2008 : Auth: Login incorrect (No password configured for the user): [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:46:23 2008 : Auth: Login incorrect: [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:46:48 2008 : Auth: Login incorrect (No password configured for the user): [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:46:48 2008 : Auth: Login incorrect: [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:47:17 2008 : Auth: Login incorrect (No password configured for the user): [5199362832664/5199362832664] (from client dial0 port 0) Fri Aug 22 14:47:17 2008 : Auth: Login incorrect: [5199362832664/5199362832664] (from client dial0 port 0) debug radius показывает тоже самое. как понять, откуда приходит этот событие (не знаю как назвать) то что это не звонок - однозначно. -- With best regards, Gregory Edigarov

2 3

владельци Zyxel P793H - отзовитесь
by Alexander Krikunenko 19 Aug '08

19 Aug '08

Добрый день! Прошу откликнутся владельце Zyxel P793H. -- Best regards, Alexander mailto:ak@aw.kiev.ua

4 5