- UANOG - uanog.one

Re: [uanog] Extreme Networks PD4-1545813874 ACL issue
by Виталий Туровец 08 Nov '11

08 Nov '11

Ну, она есть в наличии)) 7 ноября 2011 г. 16:49 пользователь Yury Yaroshevsky <yk(a)donbass.net> написал: > 07.11.2011 12:00, Виталий Туровец пишет: >> >> Доброго времени суток, коллеги! >> Имеется вот такая железка - "System Type: X480-24x(10G4X)". >> С software ситуация такая: >> >> Current State: OPERATIONAL >> Image Selected: secondary >> Image Booted: secondary >> Primary ver: 12.4.0.9 >> Secondary ver: 12.5.2.6 >> . >> Суть проблемы: >> >> При обновлении (refresh) ingress/egress политики на>= 290 ACL >> entries, примененной к порту/портам 480й саммит глубоко задумывается >> на минут 30-45, при этом процесс hal кушает ~100% процессорного >> времени. >> Workaround: >> При удалении политики и применении ее заново саммит также уходит в >> ступор, но теперь уже минуты на 3. >> Проблема описана в KB extremenetworks, и имеет номер PD4-1545813874. >> >> Вопрос в следующем: >> Кто-нибудь тут имеет достоверную информацию, исправляет ли 12.6.1.3 >> эту ситуацию, или, возможно, есть другие (!нормальные!) способы >> решения этой проблемы? >> Доп.инфо: >> Официальный workaround выглядит так: >> Configure only dynamic ACLs or policy files on the switch for >> identitymanager. Using a combination of these on a switch, results in >> system instability. >> >> Но это явно не выход. >> Так же буду признателен за release notes к 12.6.1.3. > > А интересует именно 12.6.1.3? > > > -- ~~~ WBR, Vitaliy Turovets Systems Administrator Corebug.Net +38(093)265-70-55 CORE16-RIPE

1 0

Extreme Networks PD4-1545813874 ACL issue
by Виталий Туровец 07 Nov '11

07 Nov '11

Доброго времени суток, коллеги! Имеется вот такая железка - "System Type: X480-24x(10G4X)". С software ситуация такая: Current State: OPERATIONAL Image Selected: secondary Image Booted: secondary Primary ver: 12.4.0.9 Secondary ver: 12.5.2.6 . Суть проблемы: При обновлении (refresh) ingress/egress политики на >= 290 ACL entries, примененной к порту/портам 480й саммит глубоко задумывается на минут 30-45, при этом процесс hal кушает ~100% процессорного времени. Workaround: При удалении политики и применении ее заново саммит также уходит в ступор, но теперь уже минуты на 3. Проблема описана в KB extremenetworks, и имеет номер PD4-1545813874. Вопрос в следующем: Кто-нибудь тут имеет достоверную информацию, исправляет ли 12.6.1.3 эту ситуацию, или, возможно, есть другие (!нормальные!) способы решения этой проблемы? Доп.инфо: Официальный workaround выглядит так: Configure only dynamic ACLs or policy files on the switch for identitymanager. Using a combination of these on a switch, results in system instability. Но это явно не выход. Так же буду признателен за release notes к 12.6.1.3. -- ~~~ WBR, Vitaliy Turovets Systems Administrator Corebug.Net +38(093)265-70-55 CORE16-RIPE

1 0

Cisco Easy VPN Radius AAA
by Vladimir Scherbinin 05 Nov '11

05 Nov '11

Добрый вечер. Есть Cisco 2811 c Easy VPN Server. Аутентификация пользователей локальная. Всё чудесно работает. Хочется аутентифицировать пользователей через RADIUS. Читал http://blog.ine.com/2009/05/18/understanding-external-easy-vpn-authorizatio… честно говоря, мало что понял про ту часть, что касается именно RADIUS. Есть у кого-то опыт скрещивания этих двух сущностей? Заранее благодарен. -- Vladimir "vovin" Scherbinin.

1 0

АМКУ вмешался в инфраструктурное шоу Киеврады
by Andrew Stesin 03 Nov '11

03 Nov '11

http://proit.com.ua/news/internet/2011/11/03/123307.html

2 2

google не UA-IX ?
by Serge Negodyuck 02 Nov '11

02 Nov '11

Помнится, в 2008 году google тихонько появился в UA-IX. Никаких громких анонсов не было, но были восторженные посты пользователей в разных блогах и форумах. Теперь, так же тихонько, google пропал из UA-IX. Кто-нить может сказать, почему и как надолго?

4 3

Подключить интерент в Киеве
by Lystopad Olexandr 02 Nov '11

02 Nov '11

Привет! Простите, что такую муру тут спрашиваю. Нужно подключить клиента к интернет по адресу г.Киев, ул. Васильковская,34. Предложите, у кого есть присутствие! Сейчас клиент пользуется Комстаром с довольно дорогим тарифом, Комтсар уступать не хочет. :( Ответы лучше в личку. Спасибо. -- Lystopad Olexandr

1 0

nas
by Vasiliy P. Melnik 01 Nov '11

01 Nov '11

hi all кто-нибудь знает nas на один диск десктопного уровня и цены, чтобы сам включался, после возобновления подачи питания? чтобы кнопка питания в исполнении "тумблер" -- ------------------------------------------------------------------------------- Vasiliy P. Melnik VPM-UANIC

1 0

ниччего не понимаю
by Gregory Edigarov 01 Nov '11

01 Nov '11

Дано: Linux hn 2.6.32-5-openvz-686 #1 SMP Mon Oct 3 06:36:30 UTC 2011 i686 GNU/Linux сетевые интерфейсы eth0, eth1, смотрят на разные свичи, и находятся в разных ip сетях. default route - прописан на eth0. проблема в том, что два интерфейса сразу поднять не удается, так как ответы от IP, прописанного на eth1 все-равно уходят через eth0. Бред? Или что-то недонастроил? на eth1 планируется отдельная виртуалка, на eth0 - виртуалки уже живут и работают. -- With best regards, Gregory Edigarov

7 16

Интересно, тряхнет ли рынок?
by Andrew Stesin 28 Oct '11

28 Oct '11

http://internet.ru/news/2011-10-22191#node-22191 ... и интересно, что ж это за партнер в Украине у них.

9 15

solving fragmentation issues
by Vladimir Litovka 27 Oct '11

27 Oct '11

привет, возился с одной проблемкой... похоже, нашел workaround, но хочу свериться с коллективным разумом. Итак: 1. я подключен к домонету по PPPoE 2. и со своего компьютера поднимаю L2TP до работы 3. поэтому на Virtual-Template на LNS@work написал: mtu 1452 <<-- 1500 - PPPoE[8] - IP[20] - UDP[8] - L2TP[12] ip tcp adjust-mss 1412 <<-- MTU[1452] - IP[20] - TCP[20] вроде правильно? но есть проблема с нелинейным ростом загрузки CPU при росте трафика и я для проверки одной из теорий сделал вот такие ACL'и: Extended IP access list 101 10 permit tcp any any fragments Extended IP access list 102 10 permit udp any any fragments (7420 matches) и включал "debug ip packet NNN det", чтобы посмотреть на наличие фрагментации. Как видно из счетчиков, TCP не фрагментируется. А дальше интересно - как только я включаю uTorrent (я-я, сильная программа), то дебаг начинает ловить сумасшедше много фрагментированных пакетов: Oct 27 03:02:31.176: IP: s=92.249.101.154 (FastEthernet2/1/0), d=62.244.59.200 (Virtual-Access2), len 34, sending last fragment Oct 27 03:02:31.176: IP Fragment, Ident = 14591, fragment offset = 1432 Oct 27 03:02:31.852: IP: s=92.244.112.163 (FastEthernet2/0/0), d=62.244.59.200 (Virtual-Access2), len 34, sending last fragment Oct 27 03:02:31.852: IP Fragment, Ident = 20890, fragment offset = 1432 Исходя из того, что именно в этот момент происходит резкий и довольно серьезный скачок нагрузки на CPU (в процессе IP Input), я делаю вывод, что фрагментация делается именно этим устройством. Поскольку кошка не шибко мощная (7500/VIP4-80), то в качестве workaround было придумано следующее: на интерфейсах, которые смотрят во внешний мир, я поставил "ip mtu 1452", что теоретически привело к смещению функции фрагментации на предыдущее устройство (Sup2/PFC2), которое справляется с этим незаметно для нагрузки. Во-всяком случае, запуск торрента на моем компе больше не приводит к резкому скачку нагрузки. Скажите мне, коллеги - 1) к каким последствиям может привести использованный мною трюк? 2) винда ваще кладет с прибором на мой mtu и ставит свой - 1400. Есть какие-то магические команды у цыски, которые могут сделать винду более сговорчивой в части MTU? Или лучше отталкиваться от MTU 1400 во всей вышеописанной процедуре? 3) как понимать "offset 1432" в дебагах выше? Это ж каким протоколом прикидывается uTorrent? Спасибо. -- /doka ~~~~~~~~ http://doka-ua.blogspot.com/ http://omar-ha-em.blogspot.com/ "Справа не в церкві і не в наркотиках. Справа у відповідальності та вдячності. Якщо в тебе це є, маєш шанс померти не останньою скотиною." (с) С.Жадан, "Ворошиловград"

4 7