Секция 2 из 7 - Предыдущая - Следующая
Все секции
- 1
- 2
- 3
- 4
- 5
- 6
- 7
Номер первого Two-way VC - 1
Количество Two-way VC - 16
Тогда на Циске надо выставить:
x25 ltc 1025
x25 htc 1040
3.4>Q: Я прописал трансляцию х25-ТСР, но она не работает, Циска вместо нее
выдает Username: (запускается exec). Что делать?
>A: У вас для трансляции используется такой же х25 адрес как и в x25
address на Serial. Использование Call User Data (cud) в трансляции не
спасает. Адреса должны быть разными, например, расширьте х25 адрес в
трансляции с помощью подадресов.
3.5>Q: Из-за местных условий использовать подадреса я не могу.
>A: Тогда просто удалите x25 address из конфигурации Serial. Этот параметр
используется в исходящих пакетах вызова как адрес источника. Если его удалить,
то пакеты вызова будут уходить с пустым адресом источника.
Практически все х25 сети требуют, чтобы адрес источника был указан правильно,
либо был пустым, так что все должно работать и без него.
3.6>Q: Ура! Трансляция заработала. Но задача поменялась, надо чтобы на вызов с
Call User Data (cud) запускалась трансляция, а на вызов по тому же адресу
без cud запускался exec.
>A: Пропишите этот адрес через
x25 routing
x25 route alias Serial
3.7>Q: Ни y кого нет настpоек Cisco <--> Eicon по X.25.
Хотя бы с стоpоны Cisco.
PPP и Frame Relay полyчилось, а вот X.25 никак. А надо.
>A: (john gladkih)
direct connection?
interface Serial1
description x.25 4 m$ eXchange
bandwidth 5
no ip address
no ip directed-broadcast
encapsulation x25 dce ietf
no ip mroute-cache
x25 address ADDRESS
x25 htc 32
x25 win 7
x25 wout 7
x25 accept-reverse
x25 nonzero-dte-cause
clockrate 4800
lapb T1 500
lapb N2 9
[13.06.2000] 3.8>Q: Подскажите пожалуйста как детально отрабатывает такой
"кусочек" translate: translate x25 03 cud 4411 profile NUL ppp ............
>A: (Vasily Ivanov)
Убого он отpабатывает, т.к. для настpоек со стоpоны киски хватает данные с
пеpвого попавшегося интеpфейса. Оставлен для совместимости со стаpыми ИОСами.
Гоpаздо лучше использовать translate x25 12345 virtual-template 1. А детально
с каpтинками смотpи на [95]Configuring Protocol Translation and Virtual Asynchr
onous Devices
[05.09.2000] 3.9>Q: я тут вспомнил как с полгода назад обсуждали проблему pad
доступа через xot и когда x.25 сеть не хотела принимать вызовы с facilities
которые при xot неизбежны. еще актуально?
могу дать рецепт. но он требует 12.1 ;) (как я помню в
дискуссии был еще и annex-g? тогда 12.1 быть должен)
>A: (john gladkih)
ok. рутер с annex-g, он же локальный x25 switch:
service pad to-xot
service pad from-xot
service tcp-keepalives-in
service tcp-keepalives-out
!
frame-relay switching
!
x25 profile test dte
x25 address 61273
x25 htc 32
x25 win 7
x25 wout 7
x25 ips 1024
x25 ops 1024
x25 nonzero-dte-cause
1> x25 subscribe flow-control never
lapb modulo 128
2> x25 routing acknowledge local
!
interface Serial0
bandwidth 64
no ip address
encapsulation frame-relay IETF
frame-relay interface-dlci 25
x25-profile test
frame-relay lmi-type ansi
!
x25 route ^6127305 xot 10.10.0.21 xot-keepalive-period 10
3> x25 route .* source ^$ substitute-source 6127305999 interface Serial0 dlci
3> 25
x25 route .* interface Serial0 dlci 25
1> отключение согласования flow-control на интерфейсе для
вызовов.
2> разрешить локальную пересборку пакетов.
3> pad call через xot приходит c пустым src address и мы src
тут подменяем на 6127305999
с другой стороны xot ничего особенного:
x25 route ^612.* xot 10.10.0.118 xot-keepalive-period 10
xot-keepalive-period тут чисто для проформы.
[19.10.2001] 3.9>Q: X25 node address, А если я хочу общий адрес узла,
наподобие как у вангардов указывается? Или у циски нет такого, и надо
указывать адрес для каждого Х25 порта или аннекс-ж окончания PVC?
Адреса выставляемые на х25 боксах могут иметь два смысла:
1. Адрес линка, который участвует в процедуре вызова.
2. Адрес собственно железки. На вызов по нему дается командный интерфейс
(аналог у Циско - exec).
В "чистых" х25 боксах эти адреса различаются и задаются отдельно.
В Циске это не так. Тут более уместна аналогия с IP-адресом на интерфейсе.
Указав его, получаем сразу две вещи:
1. Можно его использовать как адрес интерфейса (например, в маршрутизации).
2. Этот адрес выступает как адрес бокса, т.е. телнетом по нему можем получить
exec.
Х25 в Циске сделано аналогично. Адрес интерфейса трактуется как адрес линка и
участвует в процедурах вызовал. И как адрес собственно устройства. Это не
всегда полезно, иногда их нужно развести. Для этого есть специальные команды.
Например, чтобы Циска "откликалась" на адрес, но он не участвовал в процедурах
вызова, его можно задать через Alias (в FAQ есть пример).
[02.12.2001] 3.10>Q: А не подскажете полностью прозрачный профиль x29 для циски
?
Сейчас стоит вот такой:
x29 profile default 1:0 2:0 3:0 4:1 5:0 7:0 9:0 10:0 12:0 13:0 14:0 16:0 17:0 1
8:0
Не прозрачен :( Не проходит, скорее-всего, xon/xoff.
>A: (Евгений Новоселов)
У нас работало когда-то
x29 profile default 1:0 2:0 3:2 4:2 5:0 6:5 7:21 8:0 9:0 10:0 11:16 12:0
13:4 14:0 15:0 16:8 17:24 18:2 19:0 20:0 21:0 22:0
А под другие нужды (какие не помню не пытайте)
x29 profile tdt 1:0 2:1 3:2 4:0 5:0 6:0 7:21 8:0 9:0 10:0 11:16 12:0 13:0
14:0 15:0 16:127 17:24 18:18 19:0 20:0 21:0 22:0
>A: (john gladkih)
x29 profile default 1:1 2:0 3:127 4:1 5:0 6:0 7:0 8:0 9:0 10:0 12:0 13:0 14:0 1
5:0 19:0 21:0
>A: (Serge Patokov)
1:0 2:0 3:0 4:1 5:1 6:0 7:21 8:0 9:0 10:0 12:0 13:0 14:0 15:0 18:0 19:0 21:0
[08.10.2002] 3.11>Q: А кто нибудь делал SWIFT Через Киску? Енкриптор не инкрити
рует...
>A: (Shpak Vladimir)
Пробовали, работает.
Вот такая схема:
CyLink(encryptor)<----x25---->cisco1720<-----AnnexG----->cisco2610<-----x25----
->To x25 network
Енкриптор CyLink. Только дело совсем не в нем.
Циска не пропускает некоторые facility.
Лечится скрытой командой "x25 version 1993" на x25 интерфейсе.
[11.11.2002] 3.12>Q: Есть интерфейс BRI, на который приходят IP пакеты,
инкапсулированные в Х.25. Надо их принять, вытащить и отправить дальше по Ether
net.
>A: (Oleg V Prokofiev)
[96]X.25 over ISDN Bi-Directional Call
[97]Configuring X.25 on ISDN
===========================================================
4. ACL
===========================================================
4.1>Q: Рекомендации по access-lists для защиты от атак из интернета.
Некоторые рекомендации и соображения.
aaa.bbb.ccc.ddd, naa.nbb.ncc.ndd - соответственно свои сеть и маска.
wba.wbb.wbc.wbd - wildcard bits
ВНИМАНИЕ !!! в access-list используется не netmask, а wildcard bits.
Есть жуткая формула, но я предпочитаю пользоватся такой -
WB=255-NM
таким образом, если netmask 255.255.255.0 в access-list
пишется 0.0.0.255
! deny all RFC1597 & default
no access-list 101
access-list 101 deny ip host 0.0.0.0 any
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 127.0.0.0 0.255.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 deny ip 192.168.0.0 0.0.255.255 any
! deny ip spoofing
access-list 101 deny ip aaa.bbb.ccc.ddd wba.wbb.wbc.wbd any
! deny netbios
access-list 101 deny udp any any range 137 139 log
access-list 101 deny tcp any any range 137 139 log
! deny Back-Orifice
access-list 101 deny udp any any eq 31337 log
! deny telnet
access-list 101 deny tcp any any eq telnet log
! deny unix r-commands and printer, NFS, X11, syslog. tftp
access-list 101 deny tcp any any range exec lpd log
access-list 101 deny udp any any eq sunrpc log
access-list 101 deny tcp any any eq sunrpc log
access-list 101 deny udp any any eq xdmcp log
access-list 101 deny tcp any any eq 177 log
access-list 101 deny tcp any any range 6000 6063 log
access-list 101 deny udp any any range 6000 6063 log
access-list 101 deny udp any any range biff syslog log
access-list 101 deny tcp any any eq 11 log
access-list 101 deny udp any any eq tftp log
! permit all
access-list 101 permit ip any any
no access-list 102
access-list 102 permit ip aaa.bbb.ccc.ddd wba.wbb.wbc.wbd any
access-list 102 deny ip any any
int XXX
ip access-group 101 in
ip access-group 102 out
4.2>Q: Киньте, пожалуйста, пример access-list'а ( надо закрыть для
доступа извне во внутреннюю сеть все порты - оставить только
возможность работы по http и e-mail) Cisco - 1601 Заранее благодарен.
>A: (Alex Bakhtin)
Итак. Есть две стратегии по установке аксесс-листов:
1. Закрыть все опасное, открыть все остальное.
2. Открыть все нужное, закрыть все остальное.
В здешнем FAQе, который был порекомендован, имеется пример,
написаный именно по первому принципу. Не будем обсуждать преимущества и
недостатки данного подхода, насколько я понимаю, у вас есть желание
использовать второй. Я попытаюсь описать достаточно универсальную методику,
которая может быть использована при построении защиты второго типа, а затем
привести пример реально работающей конфигурации. Сразу хочу сказать, что
все ниженаписаное - это чисто мое IMHO. Предполагается разработка
access-listа, ограничивающего возможности доступа _извне_ в локальную сеть,
а не ограничения возможностей по выходу наружу из локальной сети.
Итак.
Начать имеет смысл с систематизации того, что мы, собственно хотим
получить. Для этого предлагаю выстроить следующую таблицу:
! ! ! ! !
!www !mail!ftp!binkd!и так далее - здесь перечиляем сервисы
! ! ! ! !доступ к которым мы хотим предоставить
! ! ! ! !пользователям "извне"
-+----------!----!----!---!-----!----------------------------------------
www.qq.ru ! X ! ! ! !
relay.qq.ru ! ! X ! ! !
ftp.qq.ru ! ! ! X ! !
any ! ! ! ! X !
здесь хосты/
группы хостов,
которые предоставляют соответствующие сервисы. Порядок расположения хостов
в таблице важен. Есть два правила:
a. Общие определения необходимо располагать как можно ниже. То есть host
10.0.1.1/32 должен быть расположен _выше_ чем subnet
10.0.1.0/24. Соответственно в самую последнюю строчку пишется что-то
типа any.
b. В случае, если по правилу a. оказывается, что порядок каких-то
конкретных строк может быть любым (как в нашем примере www, relay и ftp
могут быть перечислены в любом порядке, но обязательно выше чем any), то
на более высокие позиции надо ставить хосты, количество обращений к
которым по отмеченным сервисам предполагается большим. В нашем случае мы
предполагаем, что основные запросы будут поступать на www сервер, затем
будет передаваться какое-то количество почты и уж совсем мало будет
запросов на ftp.
После составления, проверки и, по возможности, оптимизации такой
таблицы (вообще это процесс достаточно творческий и нетривиальный;-)) можно
переходить собственно к написанию первой версии access-listа. Первая версия
будет практически калькой нашей таблицы.
ip access-list extended Firewall
permit tcp any host www.qq.ru eq www
permit tcp any host relay.qq.ru eq smtp
permit tcp any host ftp.qq.ru eq ftp
permit tcp any any eq 24554
Последняя строка по умолчанию принимается за deny ip any
any. Фактически, построение первой версии access-listа закончено. Что мы
делаем, чтобы продолжать развивать этот access-list? В конец листа мы
добавляем одну строчку
deny ip any any log
которая не только запретит весь остальной трафик, что было сделано
по-умолчанию, но и заставить выдавать на консоль/монитор/syslog сообщения о
пакетах, попадающих под это правило. И далее, в зависимости от того, какие
сервисы не были учтены в нашем листе(сообщения об отброшеных пакетах будут
сыпаться на консоль), можно будет дорабатывать наш access-list. Вот примеры
сообщений:
%SEC-6-IPACCESSLOGP: list firewall denied tcp xxx.xxx.xx.xx(1418) ->
%xxx.xxx.xxx.xx(23), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(4000) ->
%xxx.xxx.xxx.xx(1038), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1041), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1044), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1047), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33456), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33458), 1 packet
Вот собственно и все;) Надо не забывать открывать _на_вход_ порт
domain - чтобы к нам приходили ответы на наши dns запросы. active ftp - это
вообще отдельная песня. Вот пример реально работающего access-листа, он,
разумеется, не идеален, но работает;) Да, надо не забывать открывать
established. После знака ; - мой комментарии.
===================
ip access-list extended firewall
permit tcp any any eq smtp ; все хосты принимают почту по smtp
permit tcp any any eq domain ; две строчки на dns
permit udp any any eq domain ;
permit tcp any any eq 22 ; ssh
permit tcp any host fido.qq.ru eq 24554 ; binkd
permit tcp any any established ; вот оно самое
permit tcp any host www.qq.ru eq www ; www-сервера
permit tcp any host images.qq.ru eq www
permit tcp any host www.qq.ru range 8100 8104 ; для руской кодировки
permit tcp any host images.qq.ru range 8100 8104
permit udp any any eq ntp ; все машины могут получать время с внешних ntp
permit tcp any any range 40000 44999 ; уже не помню для чего:-((
permit tcp any any eq ident
permit icmp any any
permit tcp any eq ftp-data any gt 1023; для active-ftp
deny ip any any log
===================
P.S. Для того чтобы в логе все-таки были номера портов надо:
deny tcp any any range 0 65535 log
deny udp any any range 0 65535 log
P.P.S. (Anatoly Gerasimov)
Как я понимаю - не обязательно. Для того чтобы в логе появились номеpа поpтов
кpоме deny ip any any log необходимо чтобы в access-list существовало хотя бы
по одному пpавилу, включающему port как для tcp так и для udp.
4.3>Q: Как сделать transparent-proxy ?
>A: (DY)
Для SQUID'a [98]SQUID Frequently Asked Questions: Interception Caching/Proxying
Для oops'a [99]oops F.A.Q.
[19.06.2001] (Denis V. Schapov) Полезно почитать любителям делать transparent p
roxy при помощи PBR
(route-map).
[100]Access Control Lists and IP Fragments
[27.04.2001] (Max T) [101]Cookbook for setting up transparent wccp caching usin
g squid and a cisco access server
[05.10.2001] [102]How To Make a Transparent WWW Proxy
4.4>Q: Dynamic ACL.
>A: Прислал (Oleh Hrynchuk)
You can use timed access-lists in IOS 12.x
You will need the router to synch to a clock source
for accuracy though..
for example:
int ser0/0
ip access-group 101 in
!
access-list 101 remark --FOR THE QUAKE 3 PLAYERS AT THE OFFICE--
access-list 101 permit udp any any range 27850 27999 time-range lunchtime
access-list 101 deny any any
!
time-range lunchtime
periodic weekdays 12:00 to 14:00
periodic weekend 00:00 to 23:59
!
ntp source loopback0
ntp server
!
[13.06.2000] 4.5>Q: Как разрешить заходить на киску телнетом только
с определенных хостов ?
>A: (Gosha Zafievsky)
access-list 11 permit host 192.168.1.1
line vty 0 4
access-class 11 in
===========================================================
5. Traffic-shape, QoS
===========================================================
[07.12.2001] (Denis V. Schapov) [103]Policing and Shaping Overview
Там же формула для [104]расчета параметров CAR
[105]Comparing Traffic Policing and Traffic Shaping for Bandwidth Limiting
5.1>Q: Как зажать исходящий ftp-трафик ?
>A: (Vasily Ivanov)
Для Active-FTP
access-list 115 permit tcp host 123.123.123.123 eq ftp-data any gt 1023
Для Passive-FTP
access-list 115 permit tcp host 123.123.123.123 any eq ftp
5.2>Q: Как сделать traffic-shape на tun ?
>A: (DY)
Вот завалялся кусок рабочего конфига от 4000.
interface Tunnel1
ip address xxx.xxx.xxx.xxx 255.255.255.252
tunnel source aaa.aaa.aaa.aaa
tunnel destination bbb.bbb.bbb.bbb
!
interface Ethernet0
ip address aaa.aaa.aaa.aaa 255.255.255.224 secondary
traffic-shape group 122 32000 8000 8000 1000
!
no access-list 122
access-list 122 permit ip host aaa.aaa.aaa.aaa host bbb.bbb.bbb.bbb
access-list 122 deny ip any any
P.S. Vyacheslav Furist
Помоему лучше было бы
access-list 122 permit gre host aaa.aaa.aaa.aaa host bbb.bbb.bbb.bbb
5.3>Q: Как зажать входящий трафик?
>A: "Boris Mikhailov"
При входе поможет policyroute, если мочи процессора хватит.
Еще добавлю что до 11.2(где-то 12~13) traffic-shap
криво затыкается и не шейпит (очень частый вопрос был раньше).
access-list 180 описывает тpаффик, котоpый надо шейпить
interface Loopback1
ip address 192.168.11.1 255.255.255.255
traffic-shape rate 64000
!
interface Serial0
ip policy route-map incoming-packets
!
access-list 180 permit ip any 192.168.1.0 0.0.0.255
!
route-map incoming-packets permit 10
match ip address 180
set interface Loopback1
5.4>Q: Bandwith, queue
>A: (Alex Bakhtin)
Основным параметром, который влияет на распределение
полосы пропускания при custom queuing, является byte-count. queue length на
это дело влияет мало. Итак. Допустим, у нас есть такой вот queue-list:
c4000-m#sh queueing custom
Current custom queue configuration:
List Queue Args
1 1 byte-count 6000
1 2 byte-count 3000
1 3 byte-count 4500
Остальные очереди по 1500. Понятно, что напрямую bandwith для
каждой из очередей не задается. Заполнение очередей, понятно, происходит на
основании каких-то критериев, которые я в данном случае не
учитываю. Дальше, мы начинаем обходить все 17 очередей начиная с нулевой -
1. Передаем 1500 байт из очереди 0 (если там есть пакеты)
2. Передаем 6000 байт из очереди 1
3. Передаем 3000 байт из очереди 2
4. Передаем 4500 байт из очереди 3
5. Передаем 1500 байт из очереди 4
......
17. Передаем 1500 байт из очереди 16
Допустим, что мы используем для нашего трафика только первые 4
очереди - в остальные очереди трафик никогда не попадает. Соответвтсенно, в
среднем за один цикл будет передано
S=1500(q0)+6000(q1)+3000(q2)+4500(q3)+1500(q4)=16500 байт
Соответственно, под Q0 будет выделено
B0=1500/16500~=9% BW
B1~=36% BW
B2~=18% BW
B3~=28% BW
B4~=9% BW
То есть реальную полосу пропускания поджелят пропорционально
используемые очереди. Соответственно, реальный bandwith по каждой очереди
задается с помощью параметра byte-count, но indirectly, так как он зависит
от числа используемых реально очередей и от пропускной способности
интерфейса.
Данные значения, разумеется, будут верны только при достаточно
серьезном усреднении. Связано это с тем, что если byte-count исчерпывается
в процессе передачи пакета, пакет все равно передается до конца - то есть
реальная занимаемая полоса будет больше. Все, что написано выше - не более
чем некие теоретические выкладки при работе в идеальных условиях. Реально
все эти значения надо подбирать, анализируя средний размер пакета и не
только;)
5.5>Q: Traffic-shape на Loopback'e, Tunnel'е есть или нет ?
>A: (Alex Bakhtin)
Некоторое время назад мне понадобился шейпер на
BVI интерфейсе в связи с чем я достаточно серьезно занимался этой
проблемой. Итак.
1. Шейпер работает. В 12.x - <=12.0(2a), в 11.3 тоже до какой-то версии.
2. Шейпер работает криво - шейпит только process-switched пакеты. (btw, это
как раз причина того, что шейпер на группу асинков через policy-route
работает)
3. Шейпер на виртуальных интерфейсах (которыми являются BVI, loopback и
Tunnel) unsupported by Cisco. То есть официально его нет. То, что он
раньше был - это баг такой в парсере конфигов/командной строки, который
позволял его включать. Я открывал по этому поводу кейс в циске - мне
предложили послать реквест на фичу.
Так что, боюсь, про замечательный способ шейпить на лупбаке
придется забыть если используется 11.3 или 12.x:-((
5.6>Q: Как зажать фтп ?
>A: (Alexander Kazakov)
В общем я отдал постоянные 32к для фтп. Все pаботает и вполне меня устpаивает.
фpэйм-pелэй делать пока не стал, буду сначала пpобовать на стендовой кошке.
как обещал - pабочий конфиг:
=== Cut ===
interface Serial2/0
description xxx XXX
ip address aaa.bbb.ccc.ddd 255.255.255.0
no ip route-cache
no ip mroute-cache
bandwidth 128
ipx network B021
ipx accounting
priority-group 2
traffic-shape group 191 32000 8000 8000 1000
!
access-list 191 permit tcp any any eq ftp
access-list 191 permit tcp any any eq ftp-data
priority-list 2 protocol ip medium list 101
priority-list 2 protocol ipx low
priority-list 2 protocol ip high tcp telnet
priority-list 2 protocol ip high udp snmp
priority-list 2 protocol ip high tcp echo
priority-list 2 protocol ip high udp echo
5.7>Q: Кто-то сталкивался с задачей совместить какую-нибудь приоритизацию
трафика с IPsec? Согласно тому, что я нашел в сайте и опыту с Priority Queuing,
QoS "работает" в самом конце, после всех access-list, NAT, fw, cef, ipsec, etc
.
Т.е. если я буду что-то криптовать, что разделить "это" по приоритеттам уже
не смогу. Извечный вопрос: что делать?
>A: (Denis V. Schapov)
qos pre-classify
71xx/72xx
[106]Quality of Service for Virtual Private Networks
[107]Quality of Service for Virtual Private Networks
26xx/36xx
[108]Quality of Service for Virtual Private Networks
17xx - 12.2(8)T
[109]Quality of Service for Virtual Private Networks
и т.д.
Для 26xx,36xx - 12.2(2)T4 пойдет
Для 17xx - можно попробовать 12.2(4)YB
===========================================================
6. Routing
===========================================================
[110]IP Routing Protocols
[111]BGP Case Studies
[112]BGP (Border Gateway Protocol)
(Slawa Olhovchenkov) [113]Why Are Some OSPF Routes in the Database but Not in t
he Routing Table?
6.1>Q: Есть две Cisco2511, которые должны соединятся двумя линками,
один через serial, второй через async, оба линка по выделенках.
В этом проблем нет, но хочется иметь ОДИН бэкап через коммутирумую
линию. То есть надо, что бы бакап поднимался только тогда когда
ОБА линка пропадут.
>A: (Vasily Ivanov)
ip route 216
Все пpотоколы pутинга имеют метpику <= 200, поэтому данная стpочка появится в
локальной таблице pутинга только когда упадут оба твоих интеpфейса. Когда
main-линк восстановится, она опять будет вытеpта пpотоколами pутинга из
таблицы, и циска начнет отсчитывать dialer idle-timeout до бpосания тpубы.
6.2>Q: Подскажите что надо шепнуть киске, чтобы она аннонсила рипом
на Ethernet ppp-линки с маской /32, а не аггрегатировала
их в подсеть.
>A: Dmitry Morozovsky, Mike Shoyher, Gosha Zafievsky
router rip
version 2
! просто полезно
redistribute static subnets
no auto-summary
! Тоже не помешает
redistribute connected subnets
6.3>Q: OSPF, RIP
>A: (Alex Bakhtin)
router ospf 10
redistribute connected metric 1 subnets route-map only_public_net
redistribute static metric 1 subnets route-map only_public_net
redistribute rip
network 194.186.108.0 0.0.0.63 area 0
!
router rip
version 2
redistribute connected route-map only_public_net
redistribute static route-map ony_public_net
redistribute ospf 10 metric 4
redistribute ospf 200 metric 4
network 194.186.108.0
neighbor 194.186.108.10
neighbor 194.186.108.138
!
Разумеется, стоит ip classless и ip subnet-zero.
6.4>Q: У меня сеть класса C, в которой заняты не все адреса. Если от провайдера
приходит пакет на отсутствующий адрес (или отвалившегося dialup-юзера)
то моя Cisco и Cisco этого провайдера начинают этим пакетом перебрасываться.
Почему это и как от этого избавиться.
>A: (Basil (Vasily) Dolmatov)
У провайдера стоит route на весь ваш класс C.
В следующей (вашей) Cisco прописаны только routes, которые она выяснила из
адресов активных интерфейсов и каких- либо роутинг-протоколов. Остальное
роутится по default route, то есть на провайдера.
Как этого избежать?
В Cisco есть замечательный интерфейс Null0. Конфигурируется он всего одной
командой:
int Null0
ip unreachables
Теперь достаточно добавить еще один route в конфигурацию Cisco (предположим,
что сеть класса C - 193.193.193.0/24)
ip route 193.193.193.0 255.255.255.0 Null 0 100
В этом случае, если адрес используется, и route на него известен Cisco,
то именно этот route и будет активен (поскольку его метрика меньше),
если же адрес неизвестен, то активным станет route на Null0 и Null0
ответит на пришедший пакет icmp !H. То есть, никакого пинг-понга на
канале уже не будет.
Кстати, рекомендуется еще прописать такие же routes для private-networks,
это предотвратит их случайное выбрасывание в сторону провайдера.
ip route 10.0.0.0 255.0.0.0 Null0 100
ip route 172.16.0.0 255.240.0.0 Null0 100
ip route 192.168.0.0 255.255.0.0 Null0 100
6.5>Q: Есть два канала к провайдерам, есть две сетки, как сделать, чтобы
каждая сеть ходила по своему каналу ?
>A: (Dmitriy Yermakov)
policy-routing, пример есть на CD.
Для примера ( в очень простом случае )
access-list 110 permit ip aaa.aaa.aaa.0 0.0.0.255 any
access-list 111 permit ip bbb.bbb.bbb.0 0.0.0.255 any
route-map XXXX permit 10
match ip address 110
set default interface Serial 0
route-map XXXX permit 20
match ip address 111
set default interface Serial 1
int eth 0
ip policy route-map XXXX
P.S. [29.11.2001] [114]2 провайдера, 2 канала, 2 сети, policy routing + NAT + b
ackup
6.6>Q: Не поделится ли кто-нибудь URL или просто секретом запуска OSPF
между Gated и Cisco ?
>A: (Alex Bakhtin)
В gated и в Cisco по умолчанию выставлены разные hello/dead интервалы.
Лечится выставлением соответствующих интервалов в gated.
P.S. (DY) в последних GateD может и поправили, deb ip ospf
поможет выяснить.
>A: (Basil (Vasily) Dolmatov)
Ospf yes {
backbone {
authtype none;
interface aaa.bbb.ccc.ddd
cost 1 {
retransmitinterval 5;
transitdelay 1;
priority 0;
hellointerval 10;
routerdeadinterval 40;
};
};
};
import proto ospfase {
ALL ;
};
export proto ospfase type 1 {
proto ospfase {
ALL
metric 1; };
proto static {
All
metric 1; };
proto direct {
ALL
metric 1; };
};
6.7>Q: Есть статический маршрyт: ip route 0.0.0.0 0.0.0.0 Serial 0/0
Как мне исключить его из ospf'ных анонсов?
Убрать redistribute static - не предлагать ;)
>A: (Dmitry Morozovsky)
1. Убрать
default-information originate always, или заменить его на
default-information originate , если таки нужно его куда-то анонсить
2. Отфильтровать ;)
distribute-list out [interface name]
access-list permit 0.0.0.0 0.0.0.0
6.8>Q: Не мог ли бы кто-нибудь из уважаемых гуру толково объяснить с точки
зрения практики (с небольшим примерчиком), что такое stubby areas и в каких
случаях их введение оправдано?
Правильно ли я понимаю, что они в общем-то нужны для экономии ресурсов роутера?
>A: (Alex Mikoutsky), прислал (Oleh Hrynchuk)
В цисках есть три типа тупиковых арий - stub, totally stub, Not-so-stubby.
Про последние две Халлаби мог и не написать.
Stub - это такая ария, роутерам в которой не нужно знать, куда кидать
пакеты, предназначенные external адресам. Заметь - только external, т.е.
тем, которые сами редистрибьютятся в домен оспф. Вместо этих анонсов ASBR
будет выкидывать дефолт маршрут для посылки на него соответствующих пакетов.
Если такая ария имеет несколько выходов в бэкбон, то каждый ASBR бужет слать
свой дефолт. От тебя зависит, какой из них рассматривать первым, а какой -
вторым. Это делается, ясное дело, метрикой по команде на ASBR: area 1
default-cost где ария 1 - типа stub.
Все остальные маршруты, приходящие из других арий, кроме external будут
анонсироваться.
Totally stub и Not-so-stubby - это специфические цисочные прилады,
помогающие фильтровать также анонсы маршрутов из других арий типа interdoman
(totally stub), однако, только в том случае, если в этой тотально тупиковой
арии нет ни одного external маршрута. Чтобы преодолеть последнее
ограничение, арию можно сделать типа NSSA (начиная с версии 11.3). В
последних случаях в арию вообще будет анонсироваться только дефолт по
команде default-information originate. Так же, как и в предыдущем случае,
ASBRов может быть несколько.
Я понятно написал?
[03.08.2000] 6.9>Q: Надо подружить на синхронном линке роутеры
Nortel ARN и CISCO-3640. Сейчас они дружат по ppp и rip. Хочется,
чтобы дружили по frame-relay и ospf.
>A: (Sergey Y. Afonin)
Сделано на ARN с BayRS 13.20 и CISCO 3640 IOS version 12.0
Фрагмент конфига ARN (as-boundary-router true к делу не относится,
он говорит то том, что роутер может редистрибутить все, что есть и
не зафильтровано специально; если false - то редистрибутится только
только ospf):
ospf router-id xxx.xxx.xxx.234
as-boundary-router true
area area-id 0.0.0.0
back
back
serial slot 1 connector 1
cable-type v35
bofl disabled
promiscuous enabled
service transparent
circuit-name S11
frame-relay
dlcmi
management-type none
back
default-service
pvc dlci 16
vc-state active
back
ip address xxx.xxx.xxx.218 mask 255.255.255.252
address-resolution arp-in-arp
ospf area 0.0.0.0
mtu 1480
back
arp
back
back
back
back
Фрагмент конфига 3640 (тут тоже лишнее есть, правда):
!
interface Serial2/0
ip address xxx.xxx.xxx.217 255.255.255.252
ip access-group nasprotect out
ip directed-broadcast
encapsulation frame-relay
ip ospf network broadcast
no ip mroute-cache
no keepalive
no fair-queue
frame-relay map ip xxx.xxx.xxx.218 16 broadcast IETF
!
router ospf 13227
router-id aaa.aaa.aaa.234
redistribute connected subnets
redistribute static subnets
network xxx.xxx.xxx.216 0.0.0.3 area 0.0.0.0
!
Под управлением BayRS у Nortel работают так же ASN и роутеры
серии BN, та что, полагаю, и для них подойдет.
6.10>Q: Routing, metric, distance, etc.
>A: (Alex Bakhtin)
1. Routing Protocol - пpотокол динамической маpшpутизации, OSPF/EIGRP/etc.
2. Routing Process - пpоцесс, выполняющий алгоpитм какого-либо pоутингового
пpотокола. Хаpактеpизуется двумя паpаметpами:
1. Routing Protocol
2. ID (AS для EIGRP, process number для OSPF, etc).
Пpоцесс выбоpа маpшpута, котоpый будет установлен в таблицу
маpшpутизации следующий.
Пусть у нас есть сеть A, и pаботают два Routing Process: EIGRP 1
(дистанция, допустим 55), OSPF 1(дистанция 54), таблица маpшpутизации пуста.
1. Пpоцесс EIGRP 1 получает апдейт о маpшpуте к сети A (или несколько
маpшpутов - совеpшенно не важно)
2. В соответствии со своим алгоpитмом он выбиpает наилучший маpшpут к сети
A и пеpедаст его пpоцессу, отвечающему за включение pоутов в таблицу
маpшpутизации.
3. Этот пpоцесс посмотpит на маpшpут A, поищет в таблице маpшpутизации
аналогичный маpшpут, не найдет и вставит маpшpут A в таблицу с
дистанцией 55.
4. Пpоцесс OSPF 1 получит апдейт о маpшpуте к A.
5. OSPF 1 выбеpет наилучший маpшpут к A и пеpедаст его пpоцессу,
отвечающему за включение pоутов в таблицу маpшpутизации:)
6. Этот пpоцесс посмотpит на маpшpут А, найдет в таблице аналогичный
маpшpут с дистанцией 55, сpавнит 55 и 54 и вставит в таблицу
маpшpутизации новый маpшpут.
Тепеpь внимание, вопpос. Что должно пpоисходить, если оба пpоцесса
имеют администpативную дистанцию 55? На какую метpику они должны, по
Секция 2 из 7 - Предыдущая - Следующая
© faqs.org.ru
