- UANOG - uanog.one

Cisco IOS EAP-MSCHAPv2 client
by Volodymyr Litovka 01 Oct '18

01 Oct '18

Привет, а кто-нибудь когда-нибудь учил кошку быть EAP-MSCHAPv2 клиентом? По стандартной схеме - в рамках IKEv2 происходит аутентификация на основе username/password с использованием публичного ключа сервера, как это реализовано в винде, макоси? У меня не получается - кошка пишет в дебаге следующее: Oct 1 13:48:32.459: IKEv2:(SESSION ID = 1,SA ID = 1):Constructing IDi payload: '10.10.10.117' of type 'IPv4 address' Oct 1 13:48:32.459: IKEv2:(SA ID = 1):[IKEv2 -> PKI] Retrieve configured trustpoint(s) Oct 1 13:48:32.459: IKEv2:(SA ID = 1):[PKI -> IKEv2] Retrieved trustpoint(s): NONE Oct 1 13:48:32.459: IKEv2:Failed to retrieve Certificate Issuer list Oct 1 13:48:32.459: IKEv2-ERROR:(SESSION ID = 1,SA ID = 1):: Failed to build or process a certificate request Oct 1 13:48:32.459: IKEv2:(SESSION ID = 1,SA ID = 1):Auth exchange failed ключи сервера получены у letsencrypt. Я полагаю, надо каким-то образом на кошке сконфигурировать trustpoint (?) в который записать что-то, что позволит валидировать сертификат, полученный от сервера. И вот это у меня не получается. * конфигурация PKI сделана вот так: crypto pki trustpoint DST-X3 enrollment terminal pem usage ike revocation-check none ! ! ! crypto pki certificate chain DST-X3 certificate ca S/N [ ... CERT DATA ... ] * сертификат, который присылает сервер: issuer=C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 subject=CN = myfqdn * соответственно, "crypto pki authenticate DST-X3" наполнялся вот таким: issuer=O = Digital Signature Trust Co., CN = DST Root CA X3 subject=C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 * если это имеет значение, то вот конфигурация собственно IKEv2 (proposals exchange в соответствии с этой конфигурацией происходит корректно) : crypto ikev2 proposal QLD-pro encryption aes-gcm-128 prf sha256 group 14 ! crypto ikev2 policy QLD-policy match fvrf any proposal QLD-pro ! crypto ikev2 profile QLD-prof match identity remote fqdn myfqdn authentication local eap mschapv2 username user password p123456 authentication remote rsa-sig ! crypto ipsec transform-set QLD-ts esp-aes esp-sha256-hmac mode tunnel ! crypto map QLD-map 10 ipsec-isakmp set peer remote-ip set transform-set QLD-ts set ikev2-profile QLD-prof match address cryptoacl ! ip access-list extended cryptoacl permit ip 10.10.10.0 0.0.0.255 25.0.0.0 0.255.255.255 На стороне сервера - strongswan и он работает: OSX, например, коннектится к нему успешно, в полной мере реализовывая EAP-MSCHAPv2 :) В общем, кто-то пробовал делать что-то подобное с кошками? Спасибо. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

1 0

Мобильная связь
by Taras Heichenko 26 Sep '18

26 Sep '18

Hi! В селе очень плохая мобильная связь. Говорить можно еще кое-как, данные вообще никак не передаются. Для того, чтобы заглянуть в Интернет, нужно пройти метров 200-500 до центра, где есть приличное покрытие. Кроме того хотелось бы поставить камеру видеонаблюдения (может несколько), с возможностью иногда на нее заглядывать. Посоветуйте, на какие дивайсы смотреть? Я видел в интернете какие-то репитеры/ретрансляторы, но интересуют личные отзывы. Поскольку нужно видеонаблюдение, то вполне может быть вариант подключения сервера с хорошей антеной к сети (без ретранслятора), и раздача wifi на участке. Посоветуйте, плз, на какие дивайсы имеет смысл смотреть? -- Taras Heichenko tasic(a)academ.kiev.ua

10 18

IPSec intro
by Volodymyr Litovka 25 Sep '18

25 Sep '18

Привет, писал туториал для unaware people пару лет назад, подумал - чего ему в загашниках валяться, может кому полезным будет: https://www.slideshare.net/dokainua/ipsec-116445221/ Enjoy :-) -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

1 0

ввести обязательную предустановку отечественного антивирусного софта
by Vasiliy P. Melnik 21 Sep '18

21 Sep '18

https://www.kommersant.ru/doc/3745820 «Антивирус может собрать информацию и потом ее где-то проанализировать. Как это будет выглядеть с точки зрения безопасности страны Не палятся ни грамма.

1 0

radius web interface
by Volodymyr Litovka 20 Sep '18

20 Sep '18

Привет, а может кто посоветовать web-морду к какому-нибудь radius'у, чтобы там можно было управлять юзерами/паролями и чтобы оно саппортилось еще как-то на предмет security? Спасибо! -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

5 8

Консультація по обладнанню для аквапарків/рекреацій needed
by Oleh Hrynchuk 19 Sep '18

19 Sep '18

Доброго дня, шановні колеги. Сабдж. Задача наступна. Є рекреаційна зона з точками надання різних сервісів (прокат коней, готель, кафе, площадка для стрільби тощо). Треба впровадити систему, котра би дозволяла відвідувачам зручно оплачувати бажані послуги. На зразок: 1. прийшов відвідувач на вхід/рецепшен парку, 2. отримав браслет/карточку з RFID-чіпом, 3. кинув на депозит якусь суму (на отой чіп) 4. і гуляє собі по парку. 5. Захотів якусь послугу - підійшов до точки надання, оплатив (прихиливши браслет до сканера) і скористався нею. 6. Гуляє собі далі. 7. бабло закінчилось - в любій точці вніс готівку, чи списав з банківської карти на свій депозит і далі гуляє. 8. Хоче йти додому - виходить з парку через рецепцію, здійснив перерахунок, отримав здачу назад готівкою, чи на свою банківську картку. Хто займається впровадженням таких систем і поставкою усього необхідного hardware-обладнання? Дайте "на водку", будь-ласка. Дякую. -- Regards, /oleh hrynchuk http://zmejgorynych.blogspot.com

3 4

Питання щодо правильного бекап-інструментарію
by Oleh Hrynchuk 18 Sep '18

18 Sep '18

Доброго дня. Ситуація наступна. Є потужний хардверний сервак під якимсь MustDie Server OS (Host OS) На цьому серваку крутиться під Hyper-V купа різних VHD-віртуалок (мастдаї, лінуха...). Як правильно організувати бекап ВСЬОГО? Регулярно кудись скидати VHD не пропонувати - там їх дохрена. Ніякого space не вистачить ніде. Якось думка крутиться в напрямку "робити регулярні differential backups самої Host OS, мати по одній копії чистої Guest OS, і робити регулярний differential backup всередині кожної віртуалки, скидаючи усі differential backups кудись в хмару". Чи як воно зараз робиться? І чим (open souce)? Хтось дасть "на водку"? Дякую. -- Regards, /oleh hrynchuk

3 4

Airgrid M2 16dBi
by Volodymyr Litovka 12 Sep '18

12 Sep '18

Привет, а кто знает, где можно найти Ubiq Airgrid M2 16dBi? Они сняты с производства и у продаванов их уже нет (пробил по пяти разным компаниям), а надо вот одну штучку такую. Спасибо. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

2 3

Посоветуйте домашние маршрутизатор и точку.
by Alex Cherevko 11 Sep '18

11 Sep '18

Привет, Сейчас дома в качестве маршрутизатора и точки Wi-Fi "2 в 1" использую TP-Link TL-WR1043ND ver 1.8 (такой https://goo.gl/m7iAqu) с прошивкой DD-WRT v24-sp2 (11/11/14). Всего порядка 10-12 мобильных устройств (4 ноута, 6 телефонов ну и там еще что-то было), в него воткрут 24 портовый гигабитный HP, в который еще с добрый десяток проводных железок. Все бы хорошо, но есть пара проблем: 1. Периодически отваливается инет. Бывает, что все очень-очень медленно, а бывает, что не работает резолвер доменов. 100% лечится ребутом. Бывает не частно, примерно 1-2 раза в месяц. Привык, но не радует. 2. Wi-Fi умеет только 2.4, а соседских точек уже с добрый десяток. 3. Security старой прошивки, которую никак нельзя обновить, мягко говоря, не радует. 4. Одна из машинок, включенная проводной сетью, хостит с десяток вирутальных машинок. Активно используется Static Leases + локальный резолв имен и доступ из Инета через редирект портов. 5. Конфигурация квартиры сложная - не везде хорошо добивает сигнал. Мечтаю о конфигурации: 1. Обычный маршрутизатор без Wi-Fi, который примет WAN, обеспечит NAT, Firewall, Static Leases, DNS, OpenVPN, доступ "извне" и прочие плюшки (желательно вообще Ubuntu или другой Linux какой-то). 2. Отдельная современная точка (или несколько) для устойчивого хорошего сигнала по всей квартире. 3. Хотелось бы это все еще за не очень большие деньги. Подскажите, пожалуйста, есть ли добротные реальные железки для указанных хотелок? Возможно уже проскакивали удачные варианты - просьба напомнить. Mikrotik + Routerboard просьба не предлагать. Имел дело с их глючным машрутизатором "2 в 1", где толком не работала Wi-Fi часть, а потом он вообще умер. Отдельная стоечная железка routerboard 1100 работала нормально, но веб интерфейс настолько "вещь в себе", что такого просто не хочу даже бесплатно. С уважением, Александр _______________________________________________ uanog mailing list uanog(a)uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

18 38

.УКР
by Taras Heichenko 11 Sep '18

11 Sep '18

Hi! Какие-то проблемы у subj? koala:~ tasic$ dig xn--j1amh ns ; <<>> DiG 9.10.6 <<>> xn--j1amh ns ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30659 ;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 0, ADDITIONAL: 9 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;xn--j1amh. IN NS ;; ANSWER SECTION: xn--j1amh. 3600 IN NS dns2.u-registry.net. xn--j1amh. 3600 IN NS dns1.u-registry.com. xn--j1amh. 3600 IN NS nsi.uanic.net. xn--j1amh. 3600 IN NS tier1.num.net.ua. xn--j1amh. 3600 IN NS dns3.dotukr.com. ;; ADDITIONAL SECTION: dns1.u-registry.com. 91691 IN A 173.208.218.43 dns1.u-registry.com. 91691 IN AAAA 2604:4300:a:8c:5054:ff:fe47:8582 dns2.u-registry.net. 91691 IN A 195.123.1.7 dns2.u-registry.net. 91691 IN AAAA 2a02:128:2::5 dns3.dotukr.com. 91691 IN A 37.187.75.31 dns3.dotukr.com. 91691 IN AAAA 2001:41d0:a:2b1f::1 tier1.num.net.ua. 91691 IN A 193.110.163.134 nsi.uanic.net. 4890 IN A 212.1.66.247 ;; Query time: 926 msec ;; SERVER: 10.10.1.1#53(10.10.1.1) ;; WHEN: Tue Sep 11 12:49:03 EEST 2018 ;; MSG SIZE rcvd: 348 koala:~ tasic$ dig xn--j1amh ns @nsi.uanic.net. ; <<>> DiG 9.10.6 <<>> xn--j1amh ns @nsi.uanic.net. ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 37642 ;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1 ;; WARNING: recursion requested but not available ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;xn--j1amh. IN NS ;; Query time: 1 msec ;; SERVER: 212.1.66.247#53(212.1.66.247) ;; WHEN: Tue Sep 11 12:48:52 EEST 2018 ;; MSG SIZE rcvd: 38 Он даже не признается, что он авторитетный... -- Taras Heichenko tasic(a)academ.kiev.ua

1 0