- UANOG - uanog.one

RE: [uanog] Re: RE: Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> Собственно, и я не призваю всех отказываться от cisco-based solutions > (у самого большАя часть сети именно на cisco и живет), я > просто говорю, что не одной cisco все живо... а я вообще даже не про cisco, а в ответ на твое предложение о подходе к построению сети :) > Вот сейчас начнем мериться у кого опыт работы больше Ж:-) :-) > btw, тяпница! :) да, скоро на 81-й поезд :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: [uanog] RE: [uanog] Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Andriashevich Alexander 28 Jan '05

28 Jan '05

> From: Vladimir Litovka (vlitovka) [mailto:vlitovka@cisco.com] > Sent: Friday, January 28, 2005 3:59 PM > To: uanog(a)uanog.kiev.ua [skip] > собственно, я не агитирую именно за PGW. Я всего-лишь говорю > о том, что решение, которое предлагаешь ты - собрать на > коленке из подручных средств сеть и заставить ее потом > взлететь - это неправильно. Да, оно будет работать, но в > какой-то момент времени эксплуатация этого зверятника > превратится в ночной кошмар админа :) ночной кошмар админа != ночной кошмар начальства, ну, ты знаешь :) Володя, в некоторых конторах топ-менеджмент больше всего волнует CapEx, в некоторых конторах - OpEx, а в совсем некоторых - TCO. Так что некоторые конторы выбирают полный аутсорсинг (придут умные дяди, всё построят, запустят, сами будут приглядывать за этим, а мы им только бабла отвалим), а некоторые строят всё сами из подручных материалов. Истина, как обычно, где-то посередине :) -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: [uanog] Re: RE: Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> А если топов прежде всего инетересует throwaway acquisition cost, > а не трудозатраты по поддержке этого решения персоналом, которые, > для большинства местных топов есть величина постоянная, независимая > от реальной нагрузки на персонал ? ok, тогда сужаем область применения. Я говорю об операторах уровня Укртелеком, Инфоком, Утел, Голден Телеком и подобных - тех, для которых сбой сети будет серьезным финансовым и имиджевым ударом. > > и поверь - это мне не на тренинге в цыске рассказали, а > опыт работы :) > > К сожалению, мой опыт работы говорит об обратном :( не в тех компаниях, дядя, ты работаешь, наверное :-( /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: [uanog] Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > Как обеспечить приемлемую гибкость и стоимость решения, > минимизировав > > при этом стоимость эксплуатации? :) > > Прости за нескромный вопрос, но тебя что, понизили в должности, и > ты теперь манагер по продажам ? :) :) собственно, я не агитирую именно за PGW. Я всего-лишь говорю о том, что решение, которое предлагаешь ты - собрать на коленке из подручных средств сеть и заставить ее потом взлететь - это неправильно. Да, оно будет работать, но в какой-то момент времени эксплуатация этого зверятника превратится в ночной кошмар админа :) и поверь - это мне не на тренинге в цыске рассказали, а опыт работы :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

RE: [uanog] Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > а если нужно все эти пункты объединить в одном флаконе? :) > > Спроси просто - а как сделать все то же самое на базе cisco-решений ? > Ж:-) Не совсем так :) Как обеспечить приемлемую гибкость и стоимость решения, минимизировав при этом стоимость эксплуатации? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: [uanog] RE: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > кают какие нужны, и кейсы открывать могут. BTW некоторые проду > > кты вообще невозможно купить без саппорта. > > Володя, ты ж всё знаешь - чисто для общего развития - а > какие, например? например, PGW2200 :-) > И даже если заказываешь partnumber как spare (т.е. со знаком > "=") - то тоже support надо купить? сходу не скажу. спроси лучше у дистрибутора, у которого берете :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 6

RE: [uanog] Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> Если телефонисты настаивают на том, что они будут отдаваться тебе > только по ss7 - альтернативой является покупка станции с ss7 и > isdn pri интерфейсами (и я не удивлюсь, если это окажется дешевле > pgw c саппортом). > > Если тебе нужно обьединить несколько ss7 сетей over ip - возможно, > альтернативой будет построение наложенной сети на RAD IPMux, > которые будут просто прозрачно пробрасывать межстанционные двойки > over ip. > > Если тебе нужно управлять кучкой железа в h323 сети - это тоже > необязательно делать на pgw. У нас этим занимается сильно самописный > gatekeeper. а если нужно все эти пункты объединить в одном флаконе? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

[q] ripe charging scheme
by Edward Melnik 28 Jan '05

28 Jan '05

Hello! 1. А правильно ли я понимаю сабж, если у LIR'a есть 1 AS (1999 year) 1 /19 (1999 year) Score = 1*(1999-1992) + 2*(1999-1992) = 21 (SMALL) при этом, никаких других заявок на PI, PA (более /23), без IPv6 вплоть до 2005. ? 2. Если через него успешно будет получен 1 /24 + 1 AS: Score = 1*(2005-1992) + 1*(2005-1992) = 26 И если сложить 21+26=47, то LIR останется SMALL, а в 2006 его Score снова будет = 21, если не будет других заявок? -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 5

Linux vs Pix vs ipsec
by Alexander Trotsai 28 Jan '05

28 Jan '05

Hi all пытаюсь спарить по ipsec linux с cisco pix построил ipsec и racoon ----------- uname -a Linux blackhole.adamant.net 2.6.10-cko3 #1 Fri Jan 21 17:28:57 EET 2005 i686 i686 i386 GNU/Linux ----------- #!/sbin/setkey -f flush; spdflush; spdadd 10.100.102.0/24 10.100.101.0/24 any -P out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require; spdadd 10.100.101.0/24 10.100.102.0/24 any -P in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require; ----------- remote 10.0.0.1 { exchange_mode main; lifetime time 24 hour; proposal { encryption_algorithm 3des; hash_algorithm md5; authentication_method pre_shared_key; dh_group 1; } } sainfo address 10.100.102.0/24 any address 10.100.101.0/24 any { lifetime time 1 hour; encryption_algorithm 3des; authentication_algorithm non_auth; compression_algorithm deflate ; pfs_group 1; } -------------- на pix соответственно access-list remote-net permit ip 10.100.101.0 255.255.255.0 10.100.102.0 255.255.255.0 ip address outside 10.0.0.1 255.255.255.252 ip address inside 10.100.101.1 255.255.255.0 nat (inside) 0 0.0.0.0 0.0.0.0 0 0 route outside 10.100.102.0 255.255.255.0 10.0.0.2 1 sysopt connection tcpmss 1280 sysopt connection permit-ipsec crypto ipsec transform-set simple esp-3des crypto map ipsec-map 10 ipsec-isakmp crypto map ipsec-map 10 match address remote-net crypto map ipsec-map 10 set pfs crypto map ipsec-map 10 set peer 10.0.0.2 crypto map ipsec-map 10 set transform-set simple crypto map ipsec-map interface outside isakmp enable outside isakmp key ******** address 10.0.0.2 netmask 255.255.255.255 no-xauth no-config-mode isakmp identity address isakmp policy 10 authentication pre-share isakmp policy 10 encryption 3des isakmp policy 10 hash md5 isakmp policy 10 group 1 isakmp policy 10 lifetime 86400 --------------------------------- DH группу пробовал и 2, и 5 шифрование пробовал 3des и des результат одинаковый ------------------------ инфа с pix show crypto isakmp sa Total : 1 Embryonic : 0 dst src state pending created 10.0.0.1 10.0.0.2 QM_IDLE 0 1 show crypto ipsec sa interface: outside Crypto map tag: ipsec-map, local addr. 10.0.0.1 local ident (addr/mask/prot/port): (10.100.101.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.100.102.0/255.255.255.0/0/0) current_peer: 10.0.0.2:500 PERMIT, flags={origin_is_acl,} #pkts encaps: 5501, #pkts encrypt: 5501, #pkts digest 0 #pkts decaps: 4939, #pkts decrypt: 4942, #pkts verify 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0 #send errors 30, #recv errors 3 local crypto endpt.: 10.0.0.1, remote crypto endpt.: 10.0.0.2 path mtu 1500, ipsec overhead 44, media mtu 1500 current outbound spi: 54eb4fb inbound esp sas: spi: 0x54b459b(88819099) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 3, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607864/2263) IV size: 8 bytes replay detection support: N inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0x54eb4fb(89044219) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 4, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607874/2259) IV size: 8 bytes replay detection support: N outbound ah sas: outbound pcp sas: ------------------------ setkey -D на линуксе 10.0.0.2 10.0.0.1 esp mode=tunnel spi=88819099(0x054b459b) reqid=0(0x00000000) E: 3des-cbc c02e061c ebb71f36 214a9740 fd0b9537 29d1e792 d5aa6e05 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: Jan 25 13:38:54 2005 hard: 0(s) soft: 0(s) current: 203360(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 1640 hard: 0 soft: 0 sadb_seq=1 pid=7380 refcnt=0 10.0.0.1 10.0.0.2 esp mode=tunnel spi=89044219(0x054eb4fb) reqid=0(0x00000000) E: 3des-cbc ce0e427f 8f6c79e6 f166d527 d60c82b0 f3ed1031 0d4bce00 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: hard: 0(s) soft: 0(s) current: 0(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 0 hard: 0 soft: 0 sadb_seq=0 pid=7380 refcnt=0 setkey -DP на линуксе 10.100.101.0/24[any] 10.100.102.0/24[any] any in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require created: Jan 25 13:38:52 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=1000 seq=9 pid=7356 refcnt=1 10.100.102.0/24[any] 10.100.101.0/24[any] any out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require created: Jan 25 13:38:52 2005 lastused: Jan 25 14:05:26 2005 lifetime: 0(s) validtime: 0(s) spid=993 seq=8 pid=7356 refcnt=2 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=963 seq=7 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=947 seq=6 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:39:21 2005 lifetime: 0(s) validtime: 0(s) spid=931 seq=5 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=915 seq=4 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=972 seq=3 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=956 seq=2 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:38:53 2005 lifetime: 0(s) validtime: 0(s) spid=940 seq=1 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=924 seq=0 pid=7356 refcnt=1 ------------------------- в обоих концов на "внутренних" интерфейсах повесил по пингвину таким образом - ключи согласовались pix пакеты от linux-а видит получает и передает дальшеs (их видно tcpdump-ом на оконечном пингвине) полученные ответы pix шифрует и передает на linux их ТОЖЕ видно tcpdump-ом 13:55:12.513078 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d2) 13:55:12.513516 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.512954 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d3) 13:55:13.513387 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.947616 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:14.512815 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d4) 13:55:14.513245 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:15.512682 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d5) 13:55:15.513117 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:16.512551 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d6) 13:55:16.513068 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:17.522446 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d7) 13:55:17.522887 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) но linux эти пакеты или не дешифрует или фиг его знает, но на внутренний интерфейс ответы не уходят единственно что смущает - линукс seq ставит, а pix нет у кого-то есть идеи как это все заставить работать? -- Best regard, Aleksander Trotsai aka MAGE-RIPE aka MAGE-UANIC My PGP key at ftp://blackhole.adamant.ua/pgp/trotsai.key[.asc] Печатаю со скоростью 1200 знаков в минуту. Такой бред получается... =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 11

2620 и 2950 рядышком
by Alexey Balabushevich 28 Jan '05

28 Jan '05

Привет, стоят рядышком в одном шкафу кошки 2620 и 2950 Full-duplex, 100Mb/s. Время от времени вываливается input errors в 2620 в FastEther-e, в течение 2-3 секунд пару тысяч. Затем час все чисто, затем минут через 15 - опять за пару секунд полтыщи ошибок, и так с непонятной периодичностью. Со стороны каталиста - ни одной input errors. Патчкорд один раз уже менял... Никто не наблюдал такого глюка у себя? -- Alexey Balabushevich nic-hdl: AB433-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

9 21