- UANOG - uanog.one

Problem with racoon
by Andrey Loginov 30 Jan '05

30 Jan '05

Добрый день! Есть связка Cisco 831<--AES256-->racoon<-AES256->Checkpoint VPN-1 | | | 192.168.38.32/27 192.168.38.0/27 150.0.0.0/16 Проблема заключается в следущем: Находясь в сети 192.168.38.32/27 если я пытаюсь послать пакетик на сеть 192.168.38.0/27 IPSEC поднимается и в этом направлении все работает. Пытаюсь слать пакетик на 150.0.0.0/16 - тишина. Чищу крипто мапу на роутере. Шлю пакетик снова на 150.0.0.0/16. Все работает с точностью до наоборот-не ходит траффик в сторону 192.168.38.0/27. Вот мой конфиг racoonа: remote <ip аддресс checkpoint vpn-1> { exchange_mode main; # For Firewall-1 Aggressive mode nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } remote <ip аддресс Cisco 831> { exchange_mode main; nonce_size 16; lifetime time 1440 min; # sec,min,hour initial_contact on; support_mip6 on; proposal_check obey; # obey, strict or claim proposal { encryption_algorithm aes 256; hash_algorithm md5; authentication_method pre_shared_key; dh_group 2 ; } } sainfo address 192.168.38.0/24 any address 150.0.0.0/16 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 192.168.38.0/27 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } sainfo address 150.0.0.0/16 any address 192.168.38.32/27 any { pfs_group 2; lifetime time 3600 sec; encryption_algorithm aes 256; authentication_algorithm hmac_md5; compression_algorithm deflate ; } Вот конфиг с роутера Cisco 831 относяшийся к IPSECу: crypto isakmp policy 1 encr aes 256 hash md5 authentication pre-share group 2 crypto isakmp key <key> address <адресс racoonа> crypto isakmp peer address <адресс racoonа> crypto ipsec transform-set trans1 esp-aes 256 esp-md5-hmac crypto map CRYPTO1 10 ipsec-isakmp set peer <адрес racoonа> set transform-set trans1 set pfs group2 match address 199 interface Ethernet1 ip address <адрес cisco 831> crypto map CRYPTO1 access-list 199 permit ip 192.168.38.32 0.0.0.31 192.168.38.0 0.0.0.31 access-list 199 permit ip 192.168.38.32 0.0.0.31 150.0.0.0 0.0.255.255 Подскажите плз как проблему эту полечить. Заранее благодарен. -- С уважением Андрей Логинов. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

PLANET FGSW-2402RS & dot1q VLAN's
by Alexander Tomashpolsky 29 Jan '05

29 Jan '05

Здравствуйте! Может, кому-то удалось понять, что означает заявленная поддержка 802.1Q VLAN в свичах PLANET FGSW-2402RS... 1. Могут ли эти свичи снимать тэг VLAN'а при передаче в конкретные порты, включенные в 802.1Q VLAN (нетегированные порты) и передавать вместе с тегом в другие (тегированные порты) для организации транка (в терминах CISCO)? 2. Если "да", то как это настраивается? 3. Если "нет" - то смысл "поддержки" 802.1Q VLAN сводится лишь к возможности обрабатывать тэгированные пакеты, которые поступают от внешних устройств? Спасибо! -- АТ. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

linux TCP: drop open request
by Michail Litvak 29 Jan '05

29 Jan '05

Hi all! а никто не сталкивался со следующим -- дано linux 2.4.29 ядро, на нем апач, который отдает порядка 45 Mbit потока - в dmesg ядро начало ругаться: TCP: drop open request from x.x.x.x/56192 TCP: drop open request from x.x.x.x/56193 NET: 275 messages suppressed. TCP: drop open request from x.x.x.x/56202 NET: 338 messages suppressed. загрузка системы: 6:26am up 6:50, 1 user, load average: 1.87, 1.02, 0.96 288 processes: 272 sleeping, 1 running, 15 zombie, 0 stopped CPU0 states: 4.4% user, 7.4% system, 0.0% nice, 87.0% idle CPU1 states: 3.1% user, 2.2% system, 0.0% nice, 94.0% idle CPU2 states: 4.3% user, 4.1% system, 0.0% nice, 90.4% idle CPU3 states: 1.4% user, 2.0% system, 0.0% nice, 95.4% idle Mem: 2068188K av, 2038520K used, 29668K free, 0K shrd, 51596K buff Swap: 1052248K av, 24K used, 1052224K free 1041116K cached в google ничего внятного не нашел. CU! -- //ShaD0w =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 2

Info wanted
by Oleksandr Pantus 29 Jan '05

29 Jan '05

Hello ! Коллеги, разыскиваются любые сведения о свитчах/бриджах, которые имеют bridge indentifier: 000c.462a.30c0 0060.b313.a063 0060.b313.b41b Эти свичи вероятнее всего расположены в районе silicon yard на Леонтовича, или же имеют линки туда. И на них активирован STP. Информация необходима для проверки одной гипотезы. ;) -- S/Y, Oleksandr Pantus, MD nic-hdl: AJP-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 7

RE: AS5300-8E1-240DMM
by Andriashevich Alexander 29 Jan '05

29 Jan '05

> Есть вопрос о том, сможет ли реально AS5300, в которой наличествует > модуль на 8 E1-портов и 2 модуля по 120 модемов разруливать эти 240 > линий одновременно? Не загнётся ли она под нагрузкой? такой вопрос уже задавался здесь и на него отвечали. впрочем, можно и ещё раз ответить :) вот пример с кошки, в которую воткнуто все 8 E1 as0.Kiev>sh ver Cisco Internetwork Operating System Software IOS (tm) 5300 Software (C5300-IS-M), Version 12.1(8)AA, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1) TAC Support: http://www.cisco.com/cgi-bin/ibld/view.pl?i=support Copyright (c) 1986-2001 by cisco Systems, Inc. Compiled Wed 02-May-01 15:10 by hwcheng Image text-base: 0x60008948, data-base: 0x60CD6000 ROM: System Bootstrap, Version 12.0(2)XD1, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1) BOOTFLASH: 5300 Software (C5300-BOOT-M), Version 12.0(4)T1, RELEASE SOFTWARE (fc1) as0.Kiev uptime is 41 weeks, 2 days, 20 hours, 17 minutes System returned to ROM by reload at 23:06:56 EET Tue Apr 13 2004 System restarted at 23:07:33 EET Tue Apr 13 2004 System image file is "flash:c5300-is-mz.121-8.AA.bin" cisco AS5300 (R4K) processor (revision A.32) with 131072K/16384K bytes of memory. Processor board ID 17395386 R4700 CPU at 150Mhz, Implementation 33, Rev 1.0, 512KB L2 Cache Channelized E1, Version 1.0. Bridging software. X.25 software, Version 3.0.0. SuperLAT software (copyright 1990 by Meridian Technology Corp). Primary Rate ISDN software, Version 1.1. Backplane revision 2 Manufacture Cookie Info: EEPROM Type 0x0001, EEPROM Version 0x01, Board ID 0x30, Board Hardware Version 3.1, Item Number 800-2544-3, Board Revision D0, Serial Number 17395386, PLD/ISP Version 0.0, Manufacture Date 16-Dec-1999. 1 Ethernet/IEEE 802.3 interface(s) 1 FastEthernet/IEEE 802.3 interface(s) 252 Serial network interface(s) 240 terminal line(s) 8 Channelized E1/PRI port(s) 128K bytes of non-volatile configuration memory. 16384K bytes of processor board System flash (Read/Write) 8192K bytes of processor board Boot flash (Read/Write) Configuration register is 0x2102 as0.Kiev>sh proc cpu CPU utilization for five seconds: 13%/7%; one minute: 12%; five minutes: 12% -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

[q] squid
by Edward Melnik 28 Jan '05

28 Jan '05

Hello! Господа, а есть в природе у сабжа возможность делать authentication + authorization в одном флаконе? Вот чего от него нужно добиться: 1. Блокируются запросы с ip из списка 1 (назовем его так). 2. пускать в инет без логин и пароля пользователей из списка 2 3. остальным - вывод приглашения для ввода логина и пароля. При этом - нужно реализовать доступ не просто по login&pass, а и по login&pass&src_ip (должны жить эти два варианта). Фокус в следующем: а) пункт 1 и 2 можно реализовать на squid.conf через ACL, но они статические, а мне нужно брать эти ip из динамического списка (при изменении которого, не нужно будет рестартовать squid - процесс 1.6GB в памяти. Машинка сек на 20 замирает полностю :) . юзверям не приятно). б) для реализации пункта 3 как-то не нашел готовой auth компоненты, куда будет передаваться login,pass,src_ip. Если есть что-то готовое - жду с нетерпением ответа, если нет - помогите, куда копать в сурсах для дописывания такой логики. Еще вопрос - у squid в FAQ описано, что он умеет метод DELETE по HTTP/1.1. А кто из FTP-прог strict HTTP/1.1 и работает через него DELETE на ftp сервере? Еще - в логику access.log забито, что поле bytes содержит только информацию о трафике, который приехал к клиенту. А как заставить его писать туда и исходящий трафик? Если готовых патчей нет - просьба ткнуть в нужно место logfile.c, если я правильно понял, что именно там это делается. Если нет - ткнуть в правильную часть сурсов. Заранее спасибо. -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 3

AS5300-8E1-240DMM
by Vladimir Melnik 28 Jan '05

28 Jan '05

Здравствуйте. Есть вопрос о том, сможет ли реально AS5300, в которой наличествует модуль на 8 E1-портов и 2 модуля по 120 модемов разруливать эти 240 линий одновременно? Не загнётся ли она под нагрузкой? -- V.Melnik =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: [uanog] Re: RE: Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> Собственно, и я не призваю всех отказываться от cisco-based solutions > (у самого большАя часть сети именно на cisco и живет), я > просто говорю, что не одной cisco все живо... а я вообще даже не про cisco, а в ответ на твое предложение о подходе к построению сети :) > Вот сейчас начнем мериться у кого опыт работы больше Ж:-) :-) > btw, тяпница! :) да, скоро на 81-й поезд :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: [uanog] RE: [uanog] Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Andriashevich Alexander 28 Jan '05

28 Jan '05

> From: Vladimir Litovka (vlitovka) [mailto:vlitovka@cisco.com] > Sent: Friday, January 28, 2005 3:59 PM > To: uanog(a)uanog.kiev.ua [skip] > собственно, я не агитирую именно за PGW. Я всего-лишь говорю > о том, что решение, которое предлагаешь ты - собрать на > коленке из подручных средств сеть и заставить ее потом > взлететь - это неправильно. Да, оно будет работать, но в > какой-то момент времени эксплуатация этого зверятника > превратится в ночной кошмар админа :) ночной кошмар админа != ночной кошмар начальства, ну, ты знаешь :) Володя, в некоторых конторах топ-менеджмент больше всего волнует CapEx, в некоторых конторах - OpEx, а в совсем некоторых - TCO. Так что некоторые конторы выбирают полный аутсорсинг (придут умные дяди, всё построят, запустят, сами будут приглядывать за этим, а мы им только бабла отвалим), а некоторые строят всё сами из подручных материалов. Истина, как обычно, где-то посередине :) -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

RE: [uanog] Re: RE: Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> А если топов прежде всего инетересует throwaway acquisition cost, > а не трудозатраты по поддержке этого решения персоналом, которые, > для большинства местных топов есть величина постоянная, независимая > от реальной нагрузки на персонал ? ok, тогда сужаем область применения. Я говорю об операторах уровня Укртелеком, Инфоком, Утел, Голден Телеком и подобных - тех, для которых сбой сети будет серьезным финансовым и имиджевым ударом. > > и поверь - это мне не на тренинге в цыске рассказали, а > опыт работы :) > > К сожалению, мой опыт работы говорит об обратном :( не в тех компаниях, дядя, ты работаешь, наверное :-( /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0