- UANOG - uanog.one

[q] ripe charging scheme
by Edward Melnik 28 Jan '05

28 Jan '05

Hello! 1. А правильно ли я понимаю сабж, если у LIR'a есть 1 AS (1999 year) 1 /19 (1999 year) Score = 1*(1999-1992) + 2*(1999-1992) = 21 (SMALL) при этом, никаких других заявок на PI, PA (более /23), без IPv6 вплоть до 2005. ? 2. Если через него успешно будет получен 1 /24 + 1 AS: Score = 1*(2005-1992) + 1*(2005-1992) = 26 И если сложить 21+26=47, то LIR останется SMALL, а в 2006 его Score снова будет = 21, если не будет других заявок? -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 5

Linux vs Pix vs ipsec
by Alexander Trotsai 28 Jan '05

28 Jan '05

Hi all пытаюсь спарить по ipsec linux с cisco pix построил ipsec и racoon ----------- uname -a Linux blackhole.adamant.net 2.6.10-cko3 #1 Fri Jan 21 17:28:57 EET 2005 i686 i686 i386 GNU/Linux ----------- #!/sbin/setkey -f flush; spdflush; spdadd 10.100.102.0/24 10.100.101.0/24 any -P out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require; spdadd 10.100.101.0/24 10.100.102.0/24 any -P in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require; ----------- remote 10.0.0.1 { exchange_mode main; lifetime time 24 hour; proposal { encryption_algorithm 3des; hash_algorithm md5; authentication_method pre_shared_key; dh_group 1; } } sainfo address 10.100.102.0/24 any address 10.100.101.0/24 any { lifetime time 1 hour; encryption_algorithm 3des; authentication_algorithm non_auth; compression_algorithm deflate ; pfs_group 1; } -------------- на pix соответственно access-list remote-net permit ip 10.100.101.0 255.255.255.0 10.100.102.0 255.255.255.0 ip address outside 10.0.0.1 255.255.255.252 ip address inside 10.100.101.1 255.255.255.0 nat (inside) 0 0.0.0.0 0.0.0.0 0 0 route outside 10.100.102.0 255.255.255.0 10.0.0.2 1 sysopt connection tcpmss 1280 sysopt connection permit-ipsec crypto ipsec transform-set simple esp-3des crypto map ipsec-map 10 ipsec-isakmp crypto map ipsec-map 10 match address remote-net crypto map ipsec-map 10 set pfs crypto map ipsec-map 10 set peer 10.0.0.2 crypto map ipsec-map 10 set transform-set simple crypto map ipsec-map interface outside isakmp enable outside isakmp key ******** address 10.0.0.2 netmask 255.255.255.255 no-xauth no-config-mode isakmp identity address isakmp policy 10 authentication pre-share isakmp policy 10 encryption 3des isakmp policy 10 hash md5 isakmp policy 10 group 1 isakmp policy 10 lifetime 86400 --------------------------------- DH группу пробовал и 2, и 5 шифрование пробовал 3des и des результат одинаковый ------------------------ инфа с pix show crypto isakmp sa Total : 1 Embryonic : 0 dst src state pending created 10.0.0.1 10.0.0.2 QM_IDLE 0 1 show crypto ipsec sa interface: outside Crypto map tag: ipsec-map, local addr. 10.0.0.1 local ident (addr/mask/prot/port): (10.100.101.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.100.102.0/255.255.255.0/0/0) current_peer: 10.0.0.2:500 PERMIT, flags={origin_is_acl,} #pkts encaps: 5501, #pkts encrypt: 5501, #pkts digest 0 #pkts decaps: 4939, #pkts decrypt: 4942, #pkts verify 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0 #send errors 30, #recv errors 3 local crypto endpt.: 10.0.0.1, remote crypto endpt.: 10.0.0.2 path mtu 1500, ipsec overhead 44, media mtu 1500 current outbound spi: 54eb4fb inbound esp sas: spi: 0x54b459b(88819099) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 3, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607864/2263) IV size: 8 bytes replay detection support: N inbound ah sas: inbound pcp sas: outbound esp sas: spi: 0x54eb4fb(89044219) transform: esp-3des , in use settings ={Tunnel, } slot: 0, conn id: 4, crypto map: ipsec-map sa timing: remaining key lifetime (k/sec): (4607874/2259) IV size: 8 bytes replay detection support: N outbound ah sas: outbound pcp sas: ------------------------ setkey -D на линуксе 10.0.0.2 10.0.0.1 esp mode=tunnel spi=88819099(0x054b459b) reqid=0(0x00000000) E: 3des-cbc c02e061c ebb71f36 214a9740 fd0b9537 29d1e792 d5aa6e05 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: Jan 25 13:38:54 2005 hard: 0(s) soft: 0(s) current: 203360(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 1640 hard: 0 soft: 0 sadb_seq=1 pid=7380 refcnt=0 10.0.0.1 10.0.0.2 esp mode=tunnel spi=89044219(0x054eb4fb) reqid=0(0x00000000) E: 3des-cbc ce0e427f 8f6c79e6 f166d527 d60c82b0 f3ed1031 0d4bce00 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: Jan 25 13:38:53 2005 current: Jan 25 14:06:16 2005 diff: 1643(s) hard: 3600(s) soft: 2880(s) last: hard: 0(s) soft: 0(s) current: 0(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 0 hard: 0 soft: 0 sadb_seq=0 pid=7380 refcnt=0 setkey -DP на линуксе 10.100.101.0/24[any] 10.100.102.0/24[any] any in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require created: Jan 25 13:38:52 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=1000 seq=9 pid=7356 refcnt=1 10.100.102.0/24[any] 10.100.101.0/24[any] any out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require created: Jan 25 13:38:52 2005 lastused: Jan 25 14:05:26 2005 lifetime: 0(s) validtime: 0(s) spid=993 seq=8 pid=7356 refcnt=2 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=963 seq=7 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=947 seq=6 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:39:21 2005 lifetime: 0(s) validtime: 0(s) spid=931 seq=5 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any in none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=915 seq=4 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=972 seq=3 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=956 seq=2 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: Jan 25 13:38:53 2005 lifetime: 0(s) validtime: 0(s) spid=940 seq=1 pid=7356 refcnt=1 0.0.0.0/0[any] 0.0.0.0/0[any] any out none created: Jan 25 13:33:15 2005 lastused: lifetime: 0(s) validtime: 0(s) spid=924 seq=0 pid=7356 refcnt=1 ------------------------- в обоих концов на "внутренних" интерфейсах повесил по пингвину таким образом - ключи согласовались pix пакеты от linux-а видит получает и передает дальшеs (их видно tcpdump-ом на оконечном пингвине) полученные ответы pix шифрует и передает на linux их ТОЖЕ видно tcpdump-ом 13:55:12.513078 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d2) 13:55:12.513516 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.512954 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d3) 13:55:13.513387 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:13.947616 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:14.512815 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d4) 13:55:14.513245 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:15.512682 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d5) 13:55:15.513117 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:16.512551 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d6) 13:55:16.513068 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) 13:55:17.522446 IP 10.0.0.2 > 10.0.0.1: ESP(spi=0x054b459b,seq=0x3d7) 13:55:17.522887 IP 10.0.0.1 > 10.0.0.2: ESP(spi=0x054eb4fb,seq=0x0) но linux эти пакеты или не дешифрует или фиг его знает, но на внутренний интерфейс ответы не уходят единственно что смущает - линукс seq ставит, а pix нет у кого-то есть идеи как это все заставить работать? -- Best regard, Aleksander Trotsai aka MAGE-RIPE aka MAGE-UANIC My PGP key at ftp://blackhole.adamant.ua/pgp/trotsai.key[.asc] Печатаю со скоростью 1200 знаков в минуту. Такой бред получается... =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

3 11

2620 и 2950 рядышком
by Alexey Balabushevich 28 Jan '05

28 Jan '05

Привет, стоят рядышком в одном шкафу кошки 2620 и 2950 Full-duplex, 100Mb/s. Время от времени вываливается input errors в 2620 в FastEther-e, в течение 2-3 секунд пару тысяч. Затем час все чисто, затем минут через 15 - опять за пару секунд полтыщи ошибок, и так с непонятной периодичностью. Со стороны каталиста - ни одной input errors. Патчкорд один раз уже менял... Никто не наблюдал такого глюка у себя? -- Alexey Balabushevich nic-hdl: AB433-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

9 21

7206 и 2950 рядышком...
by Alexander Ignatyev 27 Jan '05

27 Jan '05

Hi. Кошка 7206/NPE-200, Каталист на WS-C2950-24 порта. На FastEthernet 7206 несколько doq1Q вланов. Трафик - до 15 мег. Патчкорд на пол-метра, 100/full указано с обоих сторон. Постоянно растут input errors (CRC) и giants. На каталисте по sh interface все чисто. Может кто встречался.. или есть идеи как побороть ошибки ? Кошка - C7200-IS-M, Version 12.2(27) Каталист - C2950-I6Q4L2-M, Version 12.1(22)EA1 На кошке... FastEthernet0/0 is up, line protocol is up Hardware is DEC21140, address is ... MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec, reliability 255/255, txload 20/255, rxload 20/255 Encapsulation 802.1Q Virtual LAN, Vlan ID 1., loopback not set Keepalive set (10 sec) Full-duplex, 100Mb/s, 100BaseTX/FX 30 second input rate 8215000 bits/sec, 2946 packets/sec 30 second output rate 8204000 bits/sec, 2912 packets/sec 18562692 packets input, 2342113291 bytes Received 399 broadcasts, 0 runts, 35542 giants, 0 throttles 59255 input errors, 59237 CRC, 0 frame, 0 overrun, 18 ignored 18302486 packets output, 2331055541 bytes, 0 underruns #show controllers FastEthernet 0/0 Interface FastEthernet0/0 Hardware is DEC21140 dec21140_ds=0x6237E114, registers=0x3C0C0000, ib=0x4B01D100 rx ring entries=128, tx ring entries=256, af setup failed=0 rxring=0x7B01D200, rxr shadow=0x6237E340, rx_head=72, rx_tail=0 txring=0x7B01DA40, txr shadow=0x6237E56C, tx_head=230, tx_tail=230, tx_count=0 PHY link up ... TX state: idle - tx underflow or no tx descriptor RX state: running - waiting for rx packet Far End Fault Indication (For FX Interface): OFF ... throttled=0, enabled=0, disabled=0 rx_fifo_overflow=0, rx_no_enp=0, rx_state=0 tx_underrun_err=0, tx_jabber_timeout=0, tx_carrier_loss=0 tx_no_carrier=0, tx_late_collision=0, tx_excess_coll=0 tx_collision_cnt=0, tx_deferred=0, fatal_tx_err=0, tbl_overflow=0 rx_pak_len_err = 0, filtered_pak_cnt = 0 tx_limited=0(256) HW addr filter: 0x4B031AC0, ISL Disabled CPU utilization for five seconds: 13%/10%; one minute: 13%; five minutes: 13% Это с каталиста... На инетерфейсе ошибок ноль. #sh controllers ethernet-controller fa0/4 Transmit Receive 1793949123 Bytes 1040073613 Bytes 777419904 Frames 719646455 Frames 5405680 Multicast frames 0 FCS errors 57951 Broadcast frames 0 Multicast frames 0 Pause frames 11099 Broadcast frames 0 Single defer frames 0 Control frames 0 Multiple defer frames 0 Pause frames 0 1 collision frames 0 Unknown opcode frames 0 2-15 collisions 0 Alignment errors 0 Late collisions 0 Length out of range 0 Excessive collisions 0 Symbol error frames 0 Total collisions 3 False carrier errors 0 Control frames 0 Valid frames, too small 0 VLAN discard frames 0 Valid frames, too large 0 Too old frames 0 Invalid frames, too small 775385462 Tagged frames 0 Invalid frames, too large 0 Aborted Tx frames 0 Discarded frames Transmit and Receive 1625423211 Minimum size frames 852001512 65 to 127 byte frames 618736358 128 to 255 byte frames 453648873 256 to 511 byte frames 668089073 512 to 1023 byte frames 470607582 1024 to 1518 byte frames 1103538207 1519 to 1522 byte frames Спасибо. -- Alexander Ignatyev (alex(a)pfts.com) AI-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

cisco [q]
by Maxim Mazurok 27 Jan '05

27 Jan '05

Парни, вопрос теоретический, достаточно. а можно ли на 2611 поднять portchannel на рядом стоящий каталист? а можно ли, если туда вставить NM-2E2W, поднять portchannel на всех портах? а можно ли использовать как элемент portchannel'a WIC-1ENET? что-то я заблудился на cisco.com. может у кого есть практический опыт? -- Maxim Mazurok (MMP2-RIPE) =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

10 13

RE: [uanog] Re: RE: RE: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 27 Jan '05

27 Jan '05

> > например, PGW2200 :-) > > Гадость эта ваша PGW. :-|. Даже с саппортом... а шо не гадость? :) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0

Ресурсы по SVR4 а пределах UA-IX
by Oleg V. Nauman 27 Jan '05

27 Jan '05

А нету ли в дебрях UA-IX ресурсов, посвященных современным SVR4 (в частности интересуют Solaris i386 и UnixWare)? Интересуют upgrades, и свалки типа www.sunfreeware.com для свободного ПО. Родные ресурсы какие-то мечтательные, а ftp.sco.com кого хочешь доведет до отчаяния кривой реализацией epsv :) -- NO37-RIPE

2 1

RE: [uanog] RE: [uanog] Re: [uanog] RE: [uanog] Re: Чтобы это значило ?
by Andriashevich Alexander 27 Jan '05

27 Jan '05

> > >>> Жаль. этого как раз и нет. > > >> > > >> А что, сложно купить? > > > > > > а сколько стоит? > > а оно стоит по разному - под разные модели маршрутизаторов и > коммутаторов. Например, для 7206VXR software support сроком > на год стоит (по GPL) $2559. Для Catalyst 2950-24 - $45. Hint: если просто нужен логин на CCO, то можно купить поддержку на что-нибудь подешевле - типа SOHO91 (саппорт на год - $32) правда, купить саппорт за $32 и с этим открывать support cases на GSR - это верх наглости :) да и IOSы утянуть может быть не на все модели удастся. Ну, правда, тянуть IOS не на свою железку вообще-то нелегально, но бинарник от этого факта запускаться не отказывается [skip] > > > А если это пара тройка кошек привезенных с eBay ? ;) > > > > А если полсотни? > > Нормальный оператор либо сразу понимает, либо со временем > приходит к пониманию, что покупать на e-bay - себе дороже. Эт смотря что считать нормальным оператором :/ -- Alexander Andriashevich <gash(a)goldentele.com> GASH1-RIPE =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

5 5

RE: [uanog] Re: RE: Re: Чтобы это значило ?
by Vladimir Litovka (vlitovka) 27 Jan '05

27 Jan '05

> > мне самому облом вычитывать это все и разбираться, > > Мне тем более. > > > но саппорт бывает очень разный > > Я же сказал SmartNet. смартнеты бывают разные. А если разбираться облом - то и получается, что IOS нельзя тянуть ;-) /doka =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

2 1

[q] shaper
by Edward Melnik 27 Jan '05

27 Jan '05

Hello! Есть: один роутер с freebsd 4.10-stable. на него приходит инет и раздается в локалку через gif's и vlan's, etc iface'es. Кстати, все это (включая приходящий инет и ua-ix) живет на одном bge. a) Хочу получить приоритезацию инет трафа в пределах _одного_ роутера: 1. root_class 2. first_sub_root_class, second_sub_root_class, etc 3. first_sub_first_sub_root_class, second_sub_first_sub_root_class, etc - это для класса first_sub_root_class first_sub_second_sub_root_class, second_sub_second_sub_root_class, etc - для second_sub_root_class класса. И т.д. b) Соотв., определить kbps для каждого, burst, queue type and size (may be что-то еще ? %). c) возможность маркать по dscp/tos некоторые пакеты, которые пролетают мимо классификаторов из пункта а) и определенных пакетов из пункта а) (не классов) для дальнейшего phb в локалке (в данной схеме - опциональное пожелание). Что лучше freebsd(altq or ?)/linux(htb or ?)/openbsd(?) ? Хочется получить мнения с вариантами для дальнейших экспериментальных исследований (и последующего внедрения), а не перепробовать туеву хучу грабель :) -- Edward Melnik. =================================================================== uanog mailing list. To Unsubscribe: send mail to majordomo(a)uanog.kiev.ua with "unsubscribe uanog" in the body of the message

1 0