- UANOG - uanog.one

RE: [uanog] Re: RE: Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > Как обеспечить приемлемую гибкость и стоимость решения, > минимизировав > > при этом стоимость эксплуатации? :) > > Прости за нескромный вопрос, но тебя что, понизили в должности, и > ты теперь манагер по продажам ? :) :) собственно, я не агитирую именно за PGW. Я всего-лишь говорю о том, что решение, которое предлагаешь ты - собрать на коленке из подручных средств сеть и заставить ее потом взлететь - это неправильно. Да, оно будет работать, но в какой-то момент времени эксплуатация этого зверятника превратится в ночной кошмар админа :) и поверь - это мне не на тренинге в цыске рассказали, а опыт работы :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 2

RE: [uanog] Re: RE: Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > а если нужно все эти пункты объединить в одном флаконе? :) > > Спроси просто - а как сделать все то же самое на базе cisco-решений ? > Ж:-) Не совсем так :) Как обеспечить приемлемую гибкость и стоимость решения, минимизировав при этом стоимость эксплуатации? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

RE: [uanog] RE: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> > кают какие нужны, и кейсы открывать могут. BTW некоторые проду > > кты вообще невозможно купить без саппорта. > > Володя, ты ж всё знаешь - чисто для общего развития - а > какие, например? например, PGW2200 :-) > И даже если заказываешь partnumber как spare (т.е. со знаком > "=") - то тоже support надо купить? сходу не скажу. спроси лучше у дистрибутора, у которого берете :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

4 6

RE: [uanog] Re: RE: RE: RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 28 Jan '05

28 Jan '05

> Если телефонисты настаивают на том, что они будут отдаваться тебе > только по ss7 - альтернативой является покупка станции с ss7 и > isdn pri интерфейсами (и я не удивлюсь, если это окажется дешевле > pgw c саппортом). > > Если тебе нужно обьединить несколько ss7 сетей over ip - возможно, > альтернативой будет построение наложенной сети на RAD IPMux, > которые будут просто прозрачно пробрасывать межстанционные двойки > over ip. > > Если тебе нужно управлять кучкой железа в h323 сети - это тоже > необязательно делать на pgw. У нас этим занимается сильно самописный > gatekeeper. а если нужно все эти пункты объединить в одном флаконе? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

[q] ripe charging scheme
by Edward Melnik 28 Jan '05

28 Jan '05

Hello! 1. А правильно ли я понимаю сабж, если у LIR'a есть 1 AS (1999 year) 1 /19 (1999 year) Score = 1*(1999-1992) + 2*(1999-1992) = 21 (SMALL) при этом, никаких других заявок на PI, PA (более /23), без IPv6 вплоть до 2005. ? 2. Если через него успешно будет получен 1 /24 + 1 AS: Score = 1*(2005-1992) + 1*(2005-1992) = 26 И если сложить 21+26=47, то LIR останется SMALL, а в 2006 его Score снова будет = 21, если не будет других заявок? -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 5

Linux vs Pix vs ipsec
by Alexander Trotsai 28 Jan '05

28 Jan '05

Hi all пытаюсь спарить по ipsec linux с cisco pix построил ipsec и racoon ----------- uname -a Linux blackhole.adamant.net 2.6.10-cko3 #1 Fri Jan 21 17:28:57 EET 2005 i686 i686 i386 GNU/Linux ----------- #!/sbin/setkey -f flush; spdflush; spdadd 10.100.102.0/24 10.100.101.0/24 any -P out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require; spdadd 10.100.101.0/24 10.100.102.0/24 any -P in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require; ----------- remote 10.0.0.1 { exchange_mode main; lifetime time 24 hour; proposal { encryption_algorithm 3des; hash_algorithm md5; authentication_method pre_shared_key; dh_group 1; } } sainfo address 10.100.102.0/24 any address 10.100.101.0/24 any { lifetime time 1 hour; encryption_algorithm 3des; authentication_algorithm non_auth; compression_algorithm deflate ; pfs_group 1; } -------------- на pix соответственно access-list remote-net permit ip 10.100.101.0 255.255.255.0 10.100.102.0 255.255.255.0 ip address outside 10.0.0.1 255.255.255.252 ip address inside 10.100.101.1 255.255.255.0 nat (inside) 0 0.0.0.0 0.0.0.0 0 0 route outside 10.100.102.0 255.255.255.0 10.0.0.2 1 sysopt connection tcpmss 1280 sysopt connection permit-ipsec crypto ipsec transform-set simple esp-3des crypto map ipsec-map 10 ipsec-isakmp crypto map ipsec-map 10 match address remote-net crypto map ipsec-map 10 set pfs crypto map ipsec-map 10 set peer 10.0.0.2 crypto map ipsec-map 10 set transform-set simple crypto map ipsec-map interface outside isakmp enable outside isakmp key ******** address 10.0.0.2 netmask 255.255.255.255 no-xauth no-config-mode isakmp identity address isakmp policy 10 authentication pre-share isakmp policy 10 encryption 3des isakmp policy 10 hash md5 isakmp policy 10 group 1 isakmp policy 10 lifetime 86400 --------------------------------- DH группу пробовал и 2, и 5 шифрование пробовал 3des и des результат одинаковый ------------------------ инфа с pix show crypto isakmp sa Total : 1 Embryonic : 0 dst src state pending created 10.0.0.1 10.0.0.2 QM_IDLE 0 1 show crypto ipsec sa interface: outside Crypto map tag: ipsec-map, local addr. 10.0.0.1 local ident (addr/mask/prot/port): (10.100.101.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.100.102.0/255.255.255.0/0/0) current_peer: 10.0.0.2:500 PERMIT, flags={origin_is_acl,} #pkts encaps: 5501, #pkts encrypt: 5501, #pkts digest 0 #pkts decaps: 4939, #pkts decrypt: 4942, #pkts verify 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0 #send errors 30, #recv errors 3 local crypto endpt.: 10.0.0.1, remote crypto endpt.: 10.0.0.2 path mtu 1500, ipsec overhead 44, media mtu 1500 current outbound spi: 54eb4fb inbound esp sas: spi: 0x54b459b(88819099) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 3, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607864/2263) IV size: 8 bytes replay detection support: N inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0x54eb4fb(89044219) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 4, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607874/2259) IV size: 8 bytes replay detection support: N outbound ah sas: outbound pcp sas: ------------------------ setkey -D на линуксе 10.0.0.2 10.0.0.1 esp mode=tunnel spi=88819099(0x054b459b) reqid=0(0x00000000) E: 3des-cbc c02e061c ebb71f36 214a9740 fd0b9537 29d1e792 d5aa6e05 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: Jan 25 13:38:54 2005 hard: 0(s) soft: 0(s) current: 203360(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 1640 hard: 0 soft: 0 sadb_seq=1 pid=7380 refcnt=0 10.0.0.1 10.0.0.2 esp mode=tunnel spi=89044219(0x054eb4fb) reqid=0(0x00000000) E: 3des-cbc ce0e427f 8f6c79e6 f166d527 d60c82b0 f3ed1031 0d4bce00 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: hard: 0(s) soft: 0(s) current: 0(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 0 hard: 0 soft: 0 sadb_seq=0 pid=7380 refcnt=0 setkey -DP на линуксе 10.100.101.0/24[any] 10.100.102.0/24[any] any in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require created: Jan 25 13:38:52 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=1000 seq=9 pid=7356 refcnt=1 10.100.102.0/24[any] 10.100.101.0/24[any] any out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require created: Jan 25 13:38:52 2005 lastused: Jan 25 14:05:26 2005 lifetime: 0(s) validtime: 0(s) spid=993 seq=8 pid=7356 refcnt=2 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=963 seq=7 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=947 seq=6 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:39:21 2005 lifetime: 0(s) validtime: 0(s) spid=931 seq=5 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=915 seq=4 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=972 seq=3 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=956 seq=2 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:38:53 2005 lifetime: 0(s) validtime: 0(s) spid=940 seq=1 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=924 seq=0 pid=7356 refcnt=1 ------------------------- в обоих концов на "внутренних" интерфейсах повесил по пингвину таким образом - ключи согласовались pix пакеты от linux-а видит получает и передает дальшеs (их видно tcpdump-ом на оконечном пингвине) полученные ответы pix шифрует и передает на linux их ТОЖЕ видно tcpdump-ом 13:55:12.513078 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d2) 13:55:12.513516 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.512954 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d3) 13:55:13.513387 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.947616 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:14.512815 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d4) 13:55:14.513245 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:15.512682 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d5) 13:55:15.513117 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:16.512551 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d6) 13:55:16.513068 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:17.522446 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d7) 13:55:17.522887 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) но linux эти пакеты или не дешифрует или фиг его знает, но на внутренний интерфейс ответы не уходят единственно что смущает - линукс seq ставит, а pix нет у кого-то есть идеи как это все заставить работать? -- Best regard, Aleksander Trotsai aka MAGE-RIPE aka MAGE-UANIC My PGP key at ftp://blackhole.adamant.ua/pgp/trotsai.key[.asc] Печатаю со скоростью 1200 знаков в минуту. Такой бред получается... =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 11

2620 и 2950 рядышком
by Alexey Balabushevich 28 Jan '05

28 Jan '05

Привет, стоят рядышком в одном шкафу кошки 2620 и 2950 Full-duplex, 100Mb/s. Время от времени вываливается input errors в 2620 в FastEther-e, в течение 2-3 секунд пару тысяч. Затем час все чисто, затем минут через 15 - опять за пару секунд полтыщи ошибок, и так с непонятной периодичностью. Со стороны каталиста - ни одной input errors. Патчкорд один раз уже менял... Никто не наблюдал такого глюка у себя? -- Alexey Balabushevich nic-hdl: AB433-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

9 21

7206 и 2950 рядышком...
by Alexander Ignatyev 27 Jan '05

27 Jan '05

Hi. Кошка 7206/NPE-200, Каталист на WS-C2950-24 порта. На FastEthernet 7206 несколько doq1Q вланов. Трафик - до 15 мег. Патчкорд на пол-метра, 100/full указано с обоих сторон. Постоянно растут input errors (CRC) и giants. На каталисте по sh interface все чисто. Может кто встречался.. или есть идеи как побороть ошибки ? Кошка - C7200-IS-M, Version 12.2(27) Каталист - C2950-I6Q4L2-M, Version 12.1(22)EA1 На кошке... FastEthernet0/0 is up, line protocol is up Hardware is DEC21140, address is ... MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec, reliability 255/255, txload 20/255, rxload 20/255 Encapsulation 802.1Q Virtual LAN, Vlan ID 1., loopback not set Keepalive set (10 sec) Full-duplex, 100Mb/s, 100BaseTX/FX 30 second input rate 8215000 bits/sec, 2946 packets/sec 30 second output rate 8204000 bits/sec, 2912 packets/sec 18562692 packets input, 2342113291 bytes Received 399 broadcasts, 0 runts, 35542 giants, 0 throttles 59255 input errors, 59237 CRC, 0 frame, 0 overrun, 18 ignored 18302486 packets output, 2331055541 bytes, 0 underruns #show controllers FastEthernet 0/0 Interface FastEthernet0/0 Hardware is DEC21140 dec21140_ds=0x6237E114, registers=0x3C0C0000, ib=0x4B01D100 rx ring entries=128, tx ring entries=256, af setup failed=0 rxring=0x7B01D200, rxr shadow=0x6237E340, rx_head=72, rx_tail=0 txring=0x7B01DA40, txr shadow=0x6237E56C, tx_head=230, tx_tail=230, tx_count=0 PHY link up ... TX state: idle - tx underflow or no tx descriptor RX state: running - waiting for rx packet Far End Fault Indication (For FX Interface): OFF ... throttled=0, enabled=0, disabled=0 rx_fifo_overflow=0, rx_no_enp=0, rx_state=0 tx_underrun_err=0, tx_jabber_timeout=0, tx_carrier_loss=0 tx_no_carrier=0, tx_late_collision=0, tx_excess_coll=0 tx_collision_cnt=0, tx_deferred=0, fatal_tx_err=0, tbl_overflow=0 rx_pak_len_err = 0, filtered_pak_cnt = 0 tx_limited=0(256) HW addr filter: 0x4B031AC0, ISL Disabled CPU utilization for five seconds: 13%/10%; one minute: 13%; five minutes: 13% Это с каталиста... На инетерфейсе ошибок ноль. #sh controllers ethernet-controller fa0/4 Transmit Receive 1793949123 Bytes 1040073613 Bytes 777419904 Frames 719646455 Frames 5405680 Multicast frames 0 FCS errors 57951 Broadcast frames 0 Multicast frames 0 Pause frames 11099 Broadcast frames 0 Single defer frames 0 Control frames 0 Multiple defer frames 0 Pause frames 0 1 collision frames 0 Unknown opcode frames 0 2-15 collisions 0 Alignment errors 0 Late collisions 0 Length out of range 0 Excessive collisions 0 Symbol error frames 0 Total collisions 3 False carrier errors 0 Control frames 0 Valid frames, too small 0 VLAN discard frames 0 Valid frames, too large 0 Too old frames 0 Invalid frames, too small 775385462 Tagged frames 0 Invalid frames, too large 0 Aborted Tx frames 0 Discarded frames Transmit and Receive 1625423211 Minimum size frames 852001512 65 to 127 byte frames 618736358 128 to 255 byte frames 453648873 256 to 511 byte frames 668089073 512 to 1023 byte frames 470607582 1024 to 1518 byte frames 1103538207 1519 to 1522 byte frames Спасибо. -- Alexander Ignatyev (alex(a)pfts.com) AI-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

cisco [q]
by Maxim Mazurok 27 Jan '05

27 Jan '05

Парни, вопрос теоретический, достаточно. а можно ли на 2611 поднять portchannel на рядом стоящий каталист? а можно ли, если туда вставить NM-2E2W, поднять portchannel на всех портах? а можно ли использовать как элемент portchannel'a WIC-1ENET? что-то я заблудился на cisco.com. может у кого есть практический опыт? -- Maxim Mazurok (MMP2-RIPE) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

10 13

RE: [uanog] Re: RE: RE: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 27 Jan '05

27 Jan '05

> > например, PGW2200 :-) > > Гадость эта ваша PGW. :-|. Даже с саппортом... а шо не гадость? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0