- UANOG - uanog.one

Problem with racoon
by Andrey Loginov 31 Jan '05

31 Jan '05

Добрый день! Есть связка Cisco 831<--AES256-->racoon<-AES256->Checkpoint VPN-1 | | | 192.168.38.32/27 192.168.38.0/27 150.0.0.0/16 Проблема заключается в следущем: Находясь в сети 192.168.38.32/27 если я пытаюсь послать пакетик на сеть 192.168.38.0/27 IPSEC поднимается и в этом направлении все работает. Пытаюсь слать пакетик на 150.0.0.0/16 - тишина. Чищу крипто мапу на роутере. Шлю пакетик снова на 150.0.0.0/16. Все работает с точностью до наоборот-не ходит траффик в сторону 192.168.38.0/27. Вот мой конфиг racoonа: remote <ip аддресс checkpoint vpn-1> { exchange_mode main; # For Firewall-1 Aggressive mode nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } remote <ip аддресс Cisco 831> { exchange_mode main; nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } sainfo address 192.168.38.0/24 any address 150.0.0.0/16 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 192.168.38.0/27 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 150.0.0.0/16 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } Вот конфиг с роутера Cisco 831 относяшийся к IPSECу: crypto isakmp policy 1 encr aes 256 hash md5 authentication pre-share group 2 crypto isakmp key <key> address <адресс racoonа> crypto isakmp peer address <адресс racoonа> crypto ipsec transform-set trans1 esp-aes 256 esp-md5-hmac crypto map CRYPTO1 10 ipsec-isakmp set peer <адрес racoonа> set transform-set trans1 set pfs group2 match address 199 interface Ethernet1 ip address <адрес cisco 831> crypto map CRYPTO1 access-list 199 permit ip 192.168.38.32 0.0.0.31 192.168.38.0 0.0.0.31 access-list 199 permit ip 192.168.38.32 0.0.0.31 150.0.0.0 0.0.255.255 Подскажите плз как проблему эту полечить. Заранее благодарен. -- С уважением Андрей Логинов. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

Вакансия
by Pavel Narozhnyy 31 Jan '05

31 Jan '05

Добрый день, в очередной раз спешу сообщить Вам о открытой вакансии. Если быть точным, то вакансий 3. Детали: в киевское представительство компании Huawei требуются инженеры. Компания Huawei один из лидеров в производстве телекоммуникационного оборудования, подробности на сайте http://www.huawei.com/. Размер оплаты очень гибкий, то есть грамотный специалист может получать вполне достойную зарплату. 1) Datacom. Основное направление деятельности - пакетная передача данных. Установка оборудования, суппорт клиентов и так далее. Требования: высшее образование, желательно в области коммуникаций. опыт работы, желательно в ISP/NSP, с оборудованием Cisco, Nortel, Juniper, etc. глубокое знание в области сетевых технологий. technical leadership. 2), 3) switch and access network. Основное направление деятельности - фиксированные сети, broadband & narrowband access, DSLAM, etc. Требования: высшее образование, желательно в области коммуникаций. опыт работы, желательно в ISP/NSP, с оборудованием Cisco, Nortel, Juniper, etc. глубокое знание в области сетевых технологий. Если есть какие-то вопросы, готов ответить по почте (личной, не в списке рассылки) или по телефону. -- Pavel Narozhnyy Product manager - Datacom O. Gonchara, 73, 5 floor, Kiev, Ukraine Phone/fax: +380-44-490-22-18 mobile: +380-50-276-00-84 http://data.huawei.com/ =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

linux iptables: limit number of TCP connections
by Paul Arakelyan 31 Jan '05

31 Jan '05

Hi! Надо каким-то каком ограничить количество входящих tcp-connections на заданный порт - как это сделать с помощью iptables? 2.4.20-021stab022.1.777-smp #1 SMP Sat Jun 26 16:57:13 MSD 2004 i686 i686 i386 GNU/Linux iptables v1.2.8 -- Best regards, Paul Arakelyan. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

Problem with racoon
by Andrey Loginov 30 Jan '05

30 Jan '05

Добрый день! Есть связка Cisco 831<--AES256-->racoon<-AES256->Checkpoint VPN-1 | | | 192.168.38.32/27 192.168.38.0/27 150.0.0.0/16 Проблема заключается в следущем: Находясь в сети 192.168.38.32/27 если я пытаюсь послать пакетик на сеть 192.168.38.0/27 IPSEC поднимается и в этом направлении все работает. Пытаюсь слать пакетик на 150.0.0.0/16 - тишина. Чищу крипто мапу на роутере. Шлю пакетик снова на 150.0.0.0/16. Все работает с точностью до наоборот-не ходит траффик в сторону 192.168.38.0/27. Вот мой конфиг racoonа: remote <ip аддресс checkpoint vpn-1> { exchange_mode main; # For Firewall-1 Aggressive mode nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } remote <ip аддресс Cisco 831> { exchange_mode main; nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } sainfo address 192.168.38.0/24 any address 150.0.0.0/16 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 192.168.38.0/27 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 150.0.0.0/16 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } Вот конфиг с роутера Cisco 831 относяшийся к IPSECу: crypto isakmp policy 1 encr aes 256 hash md5 authentication pre-share group 2 crypto isakmp key <key> address <адресс racoonа> crypto isakmp peer address <адресс racoonа> crypto ipsec transform-set trans1 esp-aes 256 esp-md5-hmac crypto map CRYPTO1 10 ipsec-isakmp set peer <адрес racoonа> set transform-set trans1 set pfs group2 match address 199 interface Ethernet1 ip address <адрес cisco 831> crypto map CRYPTO1 access-list 199 permit ip 192.168.38.32 0.0.0.31 192.168.38.0 0.0.0.31 access-list 199 permit ip 192.168.38.32 0.0.0.31 150.0.0.0 0.0.255.255 Подскажите плз как проблему эту полечить. Заранее благодарен. -- С уважением Андрей Логинов. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

PLANET FGSW-2402RS & dot1q VLAN's
by Alexander Tomashpolsky 30 Jan '05

30 Jan '05

Здравствуйте! Может, кому-то удалось понять, что означает заявленная поддержка 802.1Q VLAN в свичах PLANET FGSW-2402RS... 1. Могут ли эти свичи снимать тэг VLAN'а при передаче в конкретные порты, включенные в 802.1Q VLAN (нетегированные порты) и передавать вместе с тегом в другие (тегированные порты) для организации транка (в терминах CISCO)? 2. Если "да", то как это настраивается? 3. Если "нет" - то смысл "поддержки" 802.1Q VLAN сводится лишь к возможности обрабатывать тэгированные пакеты, которые поступают от внешних устройств? Спасибо! -- АТ. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

linux TCP: drop open request
by Michail Litvak 29 Jan '05

29 Jan '05

Hi all! а никто не сталкивался со следующим -- дано linux 2.4.29 ядро, на нем апач, который отдает порядка 45 Mbit потока - в dmesg ядро начало ругаться: TCP: drop open request from x.x.x.x/56192 TCP: drop open request from x.x.x.x/56193 NET: 275 messages suppressed. TCP: drop open request from x.x.x.x/56202 NET: 338 messages suppressed. загрузка системы: 6:26am up 6:50, 1 user, load average: 1.87, 1.02, 0.96 288 processes: 272 sleeping, 1 running, 15 zombie, 0 stopped CPU0 states: 4.4% user, 7.4% system, 0.0% nice, 87.0% idle CPU1 states: 3.1% user, 2.2% system, 0.0% nice, 94.0% idle CPU2 states: 4.3% user, 4.1% system, 0.0% nice, 90.4% idle CPU3 states: 1.4% user, 2.0% system, 0.0% nice, 95.4% idle Mem: 2068188K av, 2038520K used, 29668K free, 0K shrd, 51596K buff Swap: 1052248K av, 24K used, 1052224K free 1041116K cached в google ничего внятного не нашел. CU! -- //ShaD0w =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 2

Info wanted
by Oleksandr Pantus 29 Jan '05

29 Jan '05

Hello ! Коллеги, разыскиваются любые сведения о свитчах/бриджах, которые имеют bridge indentifier: 000c.462a.30c0 0060.b313.a063 0060.b313.b41b Эти свичи вероятнее всего расположены в районе silicon yard на Леонтовича, или же имеют линки туда. И на них активирован STP. Информация необходима для проверки одной гипотезы. ;) -- S/Y, Oleksandr Pantus, MD nic-hdl: AJP-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 7

RE: AS5300-8E1-240DMM
by Andriashevich Alexander 29 Jan '05

29 Jan '05

> Есть вопрос о том, сможет ли реально AS5300, в которой наличествует > модуль на 8 E1-портов и 2 модуля по 120 модемов разруливать эти 240 > линий одновременно? Не загнётся ли она под нагрузкой? такой вопрос уже задавался здесь и на него отвечали. впрочем, можно и ещё раз ответить :) вот пример с кошки, в которую воткнуто все 8 E1 as0.Kiev>sh ver Cisco Internetwork Operating System Software IOS (tm) 5300 Software (C5300-IS-M), Version 12.1(8)AA, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1) TAC Support: http://www.cisco.com/cgi-bin/ibld/view.pl?i=support Copyright (c) 1986-2001 by cisco Systems, Inc. Compiled Wed 02-May-01 15:10 by hwcheng Image text-base: 0x60008948, data-base: 0x60CD6000 ROM: System Bootstrap, Version 12.0(2)XD1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1) BOOTFLASH: 5300 Software (C5300-BOOT-M), Version 12.0(4)T1, RELEASE SOFTWARE (fc1) as0.Kiev uptime is 41 weeks, 2 days, 20 hours, 17 minutes System returned to ROM by reload at 23:06:56 EET Tue Apr 13 2004 System restarted at 23:07:33 EET Tue Apr 13 2004 System image file is "flash:c5300-is-mz.121-8.AA.bin" cisco AS5300 (R4K) processor (revision A.32) with 131072K/16384K bytes of memory. Processor board ID 17395386 R4700 CPU at 150Mhz, Implementation 33, Rev 1.0, 512KB L2 Cache Channelized E1, Version 1.0. Bridging software. X.25 software, Version 3.0.0. SuperLAT software (copyright 1990 by Meridian Technology Corp). Primary Rate ISDN software, Version 1.1. Backplane revision 2 Manufacture Cookie Info: EEPROM Type 0x0001, EEPROM Version 0x01, Board ID 0x30, Board Hardware Version 3.1, Item Number 800-2544-3, Board Revision D0, Serial Number 17395386, PLD/ISP Version 0.0, Manufacture Date 16-Dec-1999. 1 Ethernet/IEEE 802.3 interface(s) 1 FastEthernet/IEEE 802.3 interface(s) 252 Serial network interface(s) 240 terminal line(s) 8 Channelized E1/PRI port(s) 128K bytes of non-volatile configuration memory. 16384K bytes of processor board System flash (Read/Write) 8192K bytes of processor board Boot flash (Read/Write) Configuration register is 0x2102 as0.Kiev>sh proc cpu CPU utilization for five seconds: 13%/7%; one minute: 12%; five minutes: 12% -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

[q] squid
by Edward Melnik 29 Jan '05

29 Jan '05

Hello! Господа, а есть в природе у сабжа возможность делать authentication + authorization в одном флаконе? Вот чего от него нужно добиться: 1. Блокируются запросы с ip из списка 1 (назовем его так). 2. пускать в инет без логин и пароля пользователей из списка 2 3. остальным - вывод приглашения для ввода логина и пароля. При этом - нужно реализовать доступ не просто по login&pass, а и по login&pass&src_ip (должны жить эти два варианта). Фокус в следующем: а) пункт 1 и 2 можно реализовать на squid.conf через ACL, но они статические, а мне нужно брать эти ip из динамического списка (при изменении которого, не нужно будет рестартовать squid - процесс 1.6GB в памяти. Машинка сек на 20 замирает полностю :) . юзверям не приятно). б) для реализации пункта 3 как-то не нашел готовой auth компоненты, куда будет передаваться login,pass,src_ip. Если есть что-то готовое - жду с нетерпением ответа, если нет - помогите, куда копать в сурсах для дописывания такой логики. Еще вопрос - у squid в FAQ описано, что он умеет метод DELETE по HTTP/1.1. А кто из FTP-прог strict HTTP/1.1 и работает через него DELETE на ftp сервере? Еще - в логику access.log забито, что поле bytes содержит только информацию о трафике, который приехал к клиенту. А как заставить его писать туда и исходящий трафик? Если готовых патчей нет - просьба ткнуть в нужно место logfile.c, если я правильно понял, что именно там это делается. Если нет - ткнуть в правильную часть сурсов. Заранее спасибо. -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 3

AS5300-8E1-240DMM
by Vladimir Melnik 28 Jan '05

28 Jan '05

Здравствуйте. Есть вопрос о том, сможет ли реально AS5300, в которой наличествует модуль на 8 E1-портов и 2 модуля по 120 модемов разруливать эти 240 линий одновременно? Не загнётся ли она под нагрузкой? -- V.Melnik =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0