FAQ по материалам FIDO-конференции RU.CISCO
RU.CISCO FAQ
Данный FAQ составлен по материалам FIDO-конференции RU.CISCO,
newsgroup comp.dcom.sys.cisco, списка рассылки inet-admins
и других источников.
Спасибо всем обитателям эхи RU.CISCO.
Спасибо всем, кто присылал ссылки, пары q/a.
Пытающийся иногда вести FAQ - Dmitriy Yermakov, dyer@sut.ru, 2:5030/1115
Дата последней модификации - 17 января 2001.
Дополнения, исправления лучше присылать на dyer@sut.ru
http://cube.sut.ru/~dyer/faq/cisco.html
Текстовая версия
ftp://ftp.east.ru/pub/inet-admins/cisco.txt
DISCLAIMER.
Составитель данного текста не является Cisco-гуру
и не осуществляет tech-support by e-mail or netmail.
0. Общие вопросы
1. Sync,Async,AUX,Callback
2. FR
3. X25
4. ACL
5. Traffic-shape
6. Routing
7. TACACS,RADIUS,AAA
8. Memory
9. NTP, TZ
10. NAT
11. Telco, ISDN
13. SNMP
14. Cables
15. TROUBLESHOOTING
97. Software
98. IOS Black Lis/White List/Recommendations
99. Misc
Заметки на полях
===========================================================
===========================================================
0.1>Q: Где можно что-то почитать про Cisco ?
>A: хором :)
UniverCD, идущий в поставке.
http://www.cisco.com и
http://www-europe.cisco.com
[11.09.2000] По поводу UniverCD.
A>:(Dmitry Morozovsky) 'Новые' DocCD от Cisco - gzip-compressed
------- httpd.conf:
Action text/gzipped /cgi-bin/gzcat.cgi?
AddHandler text/gzipped .html .htm
------- gzcat.cgi:
#!/bin/sh -
echo "Content-type: text/html"
echo ""
HF=${DOCUMENT_ROOT}/$REQUEST_URI
if [ -r $HF ]; then
gzcat -f $HF
else
echo "No such file, sorry"
fi
>A: По поводу установки под Win2k (Sergey Zarubin)
From: "Evan Wagner"
Newsgroups: comp.dcom.sys.cisco
Subject: Re: Windows 2000 & Cisco CD
Date: Thu, 20 Apr 2000 23:04:18 -0400
To get the Cisco documentation to work under Windows 2000:
Run regedit
Export your registry (as a precaution)
Locate the Windows 2000 Registry Key:
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/IE4/Setup/Path
Change the value from "%programfiles%\Internet Explorer" to the location
where IE is installed on your system, for example "D:\Program Files\Internet
Explorer"
Uninstall the Cisco Documentation CD
Delete the old install directory
Reinstall the Cisco documentation CD and you should be good to go.
>A: Александр Раинчик
Cisco Systems and Cisco Routers in a Nutshell
http://www.clark.net/pub/rbenn/cisco.html
Есть такой замечательный сервер: McGraw-Hill Beta Books
http://www.pbg.mcgraw-hill.com/betabooks/betabooks-home.html
>A: (Dmitriy Yermakov)
Кое-какие конкретные примеры конфигов есть на
Релкоме
http://relcom.eu.net/INFO/NOC-IP/FAQ/faq.html
DEOle
http://www.deol.ru/~bog/work/cisco_access.html
Sample Configurations на www.cisco.com
http://www.cisco.com/warp/public/700/tech_configs.html
Guide to Cisco Router Configuration
http://www.primenet.com/~web/router/cisco-configuration.html
Cisco роутеры и борьба с ними в библиотете М.Мошкова
http://www.parkline.ru/Library/koi/CISCO/
TACACS-FAQ - http://www.easynet.de/tacacs-faq
Список AV-pairs для TACACS - http://www.cisco.com/univercd/cc/td/doc/product/access/acs_soft/csacs4nt/csnt23/csnt23ug/ap_tacac.htm
CISCO-FAQ - comp.dcom.sys.cisco Frequently Asked Questions
http://cube.sut.ru/~dyer/faq/cisco-networking-faq.txt и
ftp://ftp.east.ru/pub/inet-admins/cisco-networking-faq.txt
CISCO-FAQ на сервере Cisco - http://www.cisco.com/warp/public/458/index.shtml
Архив mailing-list inet-admins http://info.east.ru/win/inetadm.html где тоже есть вопросы/ответы. И не только по Cisco.
Небольшой FAQ http://www.sunshine.dp.ua/os/reports/ciscofaq.html
Статьи с сообщениями из RU.CISCO на http://www.opennet.ru/base/cisco
[07.09.2000] >A: Martin McFlySr
Поиск по киске на движке Google http://cisco.google.com/cisco
[18.09.2000] Обзор литературы Cisco Press "S.Zaytsev"
0.2>Q: Где взять архив RU.CISCO ?
>A: (Dmitriy Yermakov)
http://www.dejanews.com :)
0.3>Q: Где взять свежий IOS ?
>A: (Denis Saveliev)
Бета версии лежат на ftp://ftpeng.cisco.com/isp
P.S. (DY) Вообщем-то IOS не бесплатен.
[13.06.2000] 0.4>Q: Что такое NetFlow и с чем его едят ?
>A: (DY)
Подробнее об этом можно почитать на Cisco http://www.cisco.com/warp/public/732/netflow
Программы для сборки и обработки статистики NetFlow.
http://www.auckland.ac.nz/net/NeTraMet
http://www.caida.org/Tools/Cflowd
На этих же сайтах есть еще ссылки, но эти - кажется самые популярные.
Есть еще http://www.ipmeter.com
(биллинг) нужен NeTraMet.
[05.09.2000]И еще ссылочка http://www.switch.ch/tf-tant/floma/software.html#netflow
>A: (Vladislav Nebolsine)
Примеры конфигурации -
http://www.cisco.com/univercd/cc/td/doc/product/software/ios120/120newft/120t/120t3/policyrt.htm
там же ссылки на дополнительную документацию.
===========================================================
===========================================================
1.1>Q: Подскажите как на Cisco 2509 сделать вход с модемов на IFCICO !
>A: (Dmitriy Yermakov)
При использовании TACACS см. ниже.
username **EMSI_INQC816 nopassword
username **EMSI_INQC816 autocommand telnet [host] [port_ifcico] /stream
необхобимость наличия ключика /stream лучше проверить опытным путем
по поводу
banner login # **EMSI_REQA77E #
надо/не надо к окончательному решению не пришли
у меня это есть
>A: (Alecsey Gusev)
username **EMSI_INQC816 nopassword noescape
username **EMSI_INQC816 autocommand telnet
username **EMSI_INQC816**EMSI_INQC816q. nopassword noescape
username **EMSI_INQC816**EMSI_INQC816q. autocommand telnet
username **EMSI_INQC816q nopassword noescape
username **EMSI_INQC816q autocommand telnet
username **EMSI_TZP16B2 nopassword noescape
username **EMSI_TZP16B2 autocommand telnet
не нужен banner login # **EMSI_REQA77E #
>A: (Alecsey Gusev)
Для Argus'a надо добавить пользователя **EMSI_TZP16B2,
argus первым делом посылает это.
[19.07.2000] (Sergei Shumakov) такого аргус точно не делает. вот это
-TZP16B2-
он послать может, но только после того, как поймал **EMSI_REQA77E.
>A: патчик для ifcico (Maksim Malchuk)
*** session.c.orig Wed Dec 27 16:22:31 1995
- --- session.c Tue Feb 13 08:48:13 1996
***************
*** 163,168 ****
- --- 163,170 ----
SM_ERROR;
}
+ PUTSTR("**EMSI_INQC816\r");
+
p=buf;
/*PUTSTR(" \r");*/
PUTCHAR('\r');
1.2>Q: Dialout service for unix или как прицепить порт NAS'a к чему нибудь.
>A: Alex Tutubalin, Vadim Mikhailov
Win95/NT
http://www.cisco.com - dialout serice или как там его.
FreeBSD,Linux
modemu-0.0.1 Эмулирует /dev/ttyXX через любой телнет.
Для циски это будет инверсный телнет на порт 2000+n.
Hо факсы вряд ли через это пошлешь, хотя кто его знает?
(AT): Hа 2000+n поpту нет flow control. А dialout ходит на 6000+n.
nettty - где-то в районе http://www.livingston.com
>A: (Leonid Kirillov)
Под Win'95/3.x/NT проблема решается при помощи
http://www.cisco.com/univercd/cc/td/doc/product/access/dialout/index.htm.
Способ решения проблемы под ДОСом неизвестен.
1.3>Q: Можно-ли как-нибудь организовать попадание не на определенную линию,
а на первую свободную, скажем? Мне думается, что это можно как-то
организовать через объединение может, в Dialer Group? Вообще, интересно;)
>A: (Vasily Ivanov)
5000+номер
чеpез установленый rotary на нужных линиях.
1.4>Q: Хотелось немногого - прицепить модем на AUX. Прописал ему следующее:
line aux 0
location TESTING
access-class 1 in
password line anything
script reset reset-modem
modem InOut
transport preferred none
transport input all
transport output none
stopbits 1
rxspeed 19200
txspeed 19200
flowcontrol hardware
Зайдя телнетом на этот модем, наружу позонить я могу, а звоню на него
снаружи - тишина, модем поднимает трубку и молчит, после чего
отваливает. Hикаких промптов, ничего. Остальные восемь модемов
работают нормально.
Куда мне пнуть киску, чтобы она признала AUX? IOS 11.2.
>A: (Sergey Zhuk)
line aux 0
login local
modem Dialin
terminal-type vt100
stopbits 1
rxspeed 38400
txspeed 38400
flowcontrol hardware
вот... работает...
с inout тоже работает...
1.5>Q: Что за номера 20xx, 40xx, 60xx портов на Cisco ?
>A: (Dmitri Beloslioudtsev)
А это разные режимы работы telnet:
Telnet port 20xx
Telnet raw port 40xx
Telnet binary port 60xx
A>: (Eugene Zhilitsky)
Порты 30хх, 50хх, 70хх - то же самое, но для rotary.
1.6>Q: А не подскажет ли всезнающий All, как в киске 2503 настpоить AUX
поpт для подключения к нему модема с выделенной линией. Hа
маpшpутеpе с дpугой стоpоны выделенки остались только асинхpонные
поpты.
>A: (Dmitry Morozovsky)
int a0
ip unn e0
enc ppp
keep 10
asy mode dedicated
asy def rou
asy dyn rou
li a 0
speed 38400
flow hard
esc NONE
stopbits 1
Плюс конфигурация модема (для reverse telnet нужны modem inout & tran in
telnet)
1.7>Q: Как заставить работать NT, Win c киской по нуль-модему ?
>A: (Alexander Karpoff)
ppp через Зелаксы и с 95, и с NT работают без проблем.
А надо всего-то сходить на http://www.mindspring.com/~kewells/net/
и скачать необходимые *.inf.
[19.07.2000] (zaruba@artelecom.ru)
предпочитаю скачивать с ftp://ftp.zelax.ru/pub/soft/mdmzelax.inf
http://www.zelax.ru/faq/faq76.html
P.S. (DY) говорят еще что, можно поставить на NT вместо модема - X.25 pad.
P.P.S. (DY) найти mdm3640t.inf или взять тут - http://cube.sut.ru/~dyer/faq/mdm3640t.inf.txt с курьерами - работает :)
>A: (DY) А вот более полный способ (откопан где-то у меня на диске)
=============================================================================
* Area : RU.WINDOWS.NT (RU.WINDOWS.NT)
* From : Dmitry Vashkovsky, 2:5020/168.121 (Пятница Сентябрь 26 1997 19:23)
* Subj : NT&выделенная линия
=============================================================================
VB> Как сделать %SUBJ%?
VB> Есть NT4+SP3+RAS&Routing+Motorola Premier 33.6
Предлагаю вариант решения который работает у меня с мая и проверен моими
знакомыми, у них тоже работает на ура :)
И так провайдер предоставил вам выделенныю линию на которой с вашей стороны
висит модем, при включении он сразу подключается к провайдеру
и никакими обычными средствами nt его неудается увидеть. Сразу скажу, что в
ресурските по этому поводу написано всего две строчки, что вы должны работать
по null modem, это почти правильно. Hа самом деле вы имитируете x25.
Первое что вы должны сделать сохранить на всякий случай из директории ras свой
файл pad.inf и вместо него положить новый я взял из nt3.51 файл modem.inf и
отредактировал его (только в нем! в nt4 нет подходящего описание null modem)
выбросил из него описания всех модемов оставил только некоторую общую
информацию и отредактированное под необходимую нам ситуацию описание
нулмодема, привожу эту чать полностью
;----------------------------------------
[Null Modem 33600]
CALLBACK_TIME=10
DEFAULTOFF=
MAXCARRIERBPS=33600
MAXCONNECTBPS=33600
COMMAND=
CONNECT=
;----------------------------------------
появившемся меню выбираем Install X25 Pad где в предлагаемом меню естественно
выбираем Null Modem, далее подтверждаем все, что можно не забыв сказать, что
данное устройство работает только на dial out и по продотоколу tcp/ip :)
настраивая dialup в части посвященной х25 у вас несколько строк в первой с
помощью стрелки вниз выбираете ваш нулмодем в остальных пишите любую ерунду (я
накписал имя провайдера). Все можете спокойно работать. Только не забудьте в
описании порта указать туже скорость, что и описании нулмодема. Если вам негде
взять modem.inf от nt3.51 можете забрать мой уже отредактированный pad.inf
(правда под 19200, ну да цифирки перебить не сложно) у меня по
ftp:\\www.advance.com.ru он там лежит прямо в корне.
Dmitry dva@skydive.ru http:\\www.advance.com.ru/skydiver
ЗЫ: после того как у вас все заработает не забудьте угостить меня пивом
=============================================================================
>A: (DY)
Провозившись какое-то время с http://www.mindspring.com/~kewells/net/
пошел несколько другим путем.
Пишу по памяти, что вспомнил.
Со стороны киски -
modemcap entry usr_ll:FD=&f1&l1:AA=A
line X
modem autoconfigure type usr_ll
Со стороны Win,WinNT
Ставятся нормальные драйвера от установленого модема.
Конфигурим модем
AT&F1
AT&W
Вариант 1.
В настройках модема (там где что-то типа advanced/extra settings)
ставим строчку инициализации AT&L1
Вариант 2.
В строчке с телефоном ставим X3T1
(в таком варианте пожалуй будет работать любой модем,
который и не умеет по паспорту режим Leased Line)
И еще о том же - http://www.psc.ru/sergey/TehSerenada/CISCO/ONLINE/wint4ll.html
1.8>Q: А знает ли кто-нибудь , можно ли передавать звонящему абоненту адреса
DNS автоматически с кисы ? Я слышал , что такое бывает.
>A: (Sergiy Zhuk)
async-bootp dns-server 192.168.3.100 192.168.3.110
это DNS ^^^
async-bootp nbns-server 192.168.3.2 192.168.2.2
а это netbios (wins)
1.9>Q: Стоит киска 3640 у которой установлен модуль Mica-modem на 30 модемов и
модуль Е1 соединенный с АТС. Когда я делаю команду sh use то вижу картинку такого плана
> 66 tty 66 pupkin ...
> 55 tty 55 vasya ...
Как мне узнать по какому таймслоту в потоке Е1 вышел пользователь т.е.
существует ли привязка line к bchannel, если нет то можно ли это зделать.
>A: (Andrew Lun)
sh modem csm
1.10>Q: Имеется Cisco 1005. Последовательный порт сконфигурирован
как синхронный. Подскажите, pls, как ее заставить работать с асихронным модемом?
>A: (Dmitry Morozovsky)
Для 1005 sync-async переключается софтом.
Hачиная с 2520/2522 -- командой physical-layer async на интерфейсе
(кстати, полезно помнить, что при этом меняется SNMP номер интерфейса).
1.11>Q: Проброс uucp-шников.
>A: (DY) про RADIUS взято из inet-admins, за точность не ручаюсь.
a. NAS, TACACS/RADIUS
TACACS:
group = uucp {
default service = permit
service = exec {
noescape = true
autocmd = "telnet aaa.bbb.ccc.ddd 540 /stream"
}
}
Для RADIUS, (Dmitry Morozovsky)
/var/spool/uucp/public/.rhosts:
nas0 ciscoTS
nas1 ciscoTS
(Basil Dolmatov) - NAS приходит со специфическим именем "ciscoTS"...
Именно его и надо разрешать...
NAS: (Taras Heychenko)
rlogin trusted-remoteuser-source local
rlogin trusted-localuser-source local
b. Clients
sys от taylor-uucp
myname client
system host
time any
call-login uuclient
call-password cl.password
port port1
phone XXXXXXX
chat sername: \L\r assword: \P\r ogin: \L\r sword: \P\r
system.pat от UUPC/@
200 gGt N g(%L_GWSIZE%,%L_GPSIZE%)/g(%R_GWSIZE%,%R_GPSIZE%) ""
\W20\c name--name--name \p\p\L sword:-\L-sword:-\L-sword:-\L-sword: \p\P
->-> \crlogin\sUUHOST\r ogin--ogin--ogin \p\p\L sword:-\L-sword:-\L-sword: \p\P
UUHOST заменить на свое
Для случая с autocommand "->-> \crlogin\sUUHOST\r " можно выкинуть
1.12>Q: Обратный звонок с Cisco в Windows
>A: (Vyacheslav V. Fedorov)
Hа Cisco 2511:
version 11.
service exec-callback
...
aaa authentication login execcheck tacacs+
aaa authentication ppp ppp_list tacacs+
...
interface Async2
ip unnumbered Ethernet0
ip tcp header-compression passive
encapsulation ppp
async mode interactive
peer default ip address x.x.x.x
ppp callback initiate
ppp authentication chap ppp_list
....
line 2
autoselect during-login
autoselect ppp
script modem-off-hook offhook
script callback idc
login authentication execcheck
modem InOut
transport input all
escape-character NONE
callback forced-wait 30
callback nodsr-wait 10000
stopbits 1
rxspeed 57600
txspeed 57600
flowcontrol hardware
.....
Hа сервере где tacacs+:
В файле tacacs.config
user= mylogin {
global = cleartext "xxxxxxxxxx"
service=ppp protocol = lcp {
callback-dialstring = 388888
}
service=ppp protocol=ip {
}
service=exec {
callback-dialstring = 388888
callback-line=2
nocallback-verify=1
}
}
>A: (Dmitry Valdov)
Для того, чтоб юзер мог вводить номер, из такакса должно приходить
callback-dialstring = ""
В общем:
cisco:
service exec-callback (это нужно только в случае, если предполагается
использовать callback со скриптами.)
....
chat-script dial ABORT ERROR TIMEOUT 50 "" "AT" "OK" "ATD\T" "CONNECT"
....
interface group-async 1
ppp authentication pap
ppp callback accept
...
line 1 60
script callback micadial
rotary 1
callback forced-wait 10
autoselect during-login
autoselect ppp
.....
В такаксе:
group = callback {
.....
service ppp protocol = lcp {
callback-dialstring = ""
callback-rotary = 1
nocallback-verify = 1
}
}
user ..... {
member = callback service = exec {
.....
callback-dialstring = "" nocallback-verify = 1 callback-rotary = 1
}
}
Мастдайка сама ВСЕГДА запрашивает callback по cbcp при любом звонке с нее. Если ей не
отказывают, то оно запрашивает номер телефона. Для HТ надо это все указать в
явном виде.
>A: (Andy Igoshin)
ftp://ftp.vsu.ru/pub/hardware/cisco/callback
1.13>Q: Как связать две Киски по Е1?
>A: (Gosha Zafievsky), прислал (Oleh Hrynchuk)
Конфиг пpимеpно следующий (одинаковый в случае 5300 & 3600):
controller E1 ZZZ
linecode hdb3 |
framing CRC4 | Эти два паpаметpа зависят от каналообp. обоpудования
clock source line primary | Hа 3600 есть только в 12.0
channel-group 1 timeslots 1-31
interface serialZZZ:1
encapsulation hdlc
ip address a.b.c.d x.y.z.t
ip route 0.0.0.0 0.0.0.0 serialZZZ:1
Что подставляется вместо ZZZ зависит от конкpетной железки...
1.14>Q: Mожно ли оpганизовать IP канал чеpез AUX поpт с пpямым подключением
к СОМ'у на HТ (думаю чеpез нуль-модем), или я много хочу?
>A: (??), прислал (Oleh Hrynchuk)
Нет проблем. Недавно самому понадобилось - у cisco3640 не было Ethernet.
Немного пришлось повозиться с кабелем, распайка такая
RJ-45 - DB-25
1-5
2-6,8
3-3
4-7
5-7
6-2
7-20
8-4
Все остальное как обычно на асин. порту.
[13.06.2000] 1.14>Q: Как лучше настроить модем на async порту ?
>A: (Mathey M. Teplov)
Я, например, да и многие вообще советуют сделать так:
1) убиваешь modem autoconfigure путем прописывания no modem autoconfigure
2) инициализируешь линию, как 115200 8,n,1
!
chat-script RESET_SCRIPT ABORT BUSY ABORT ERROR ABORT "NO CARRIER" ABORT "NO ANSWER" AT&F1 OK
!
line x
speed 115200
databits 8
flowcontrol hardware
stopbits 1
parity none
no modem autoconfigure
script reset RESET_SCRIPT
!
и после этого жестко прописываешь в F1 профиль в Courier следующее:
&A3&B1&C1&D2&G2&H1&I0&K1&L0&M4&N0&P1&R2&S0&T5&X0&Y0%N6
и выставляешь на нем джампера дабы он грузился из F1.
Проверено на горьком опыте.
[05.09.2000] 1.15>Q: Callback на линух
>A: (Eugene Crosser)
http://www.tartu.customs.ee/linux/callback.shtml
Я сам не проверял. Hа мой вкус скрипт кривой, но идея ясна.
===========================================================
===========================================================
2.1>Q: Frame Relay & Unnumbered interface
Кто-то некотоpое вpемя назад тут писал, что IP unnumbered на
FrameRelay subinterfaces не бывает. А у меня получилось.
>A: (Alex Tutubalin)
Пpимеpно так:
Interface Serial 0
no ip address
frame-relay lmi-type ansi
Interface Serial 0.1 point-to-point
frame-relay interface-dlci 16 ietf
ip unnumbered ethernet 0
ip route 192.168.111.48 255.255.255.240 Serial 0.1
C дpугой стоpоны стоит FreeBSD + Cronyx Sigma-22.
Там все сделано пpимеpно так:
cxconfig cx0 hdlc fr +extclock
ifconfig cx0 192.128.111.49 195.54.222.201
route add default 192.168.111.201
.49 - Ethernet на этой же машине
.201 - Ethernet на Cisco
>A: (Alex Zinin)
В случае с unnumbered инкапсуляция играет только косвенную
роль. А сабинтерфейсы -- лишь частный случай.
Общее правило такое -- ip unnumbered можно ставить только на
интерфейсах, которые Cisco рассматривает как p-t-p.
Для WAN интерфейсов тип определяется инкапсуляцией.
Т.е. hdlc - ptp, ppp-ptp, slip-ptp, fr-ptm, x25-ptm, smds-ptm
Отдельный случай -- dialer. Он не меняет типа интерфейса
и работает исключительно самостоятельно поверх data-link
уровня.
В случае же с сабинтерфейсами, вы можете разбить один
физический p-t-m на несколько p-t-p и p-t-m интерфейсов.
Соответственно на p-t-p можно использовать unnumbered.
===========================================================
===========================================================
Автор ответов - Eugene Zhilitsky, если не указано иное.
3.1>Q:
[DOS-COM1]--a1[Cisco2509]--[Cisco2522]-- -[?]--[UNIX-APP]
Hа Cisco2522 выполняется трансляция TCP в X.25, а 2509 просто
делает telnet на транслируемый адрес. HО, забрать с УHИХмашины
можно, а положить нет.
Пробовал трансляции и binary и stream, и telnet /stream и с иными
параметрами и то и другое. И профайл юзал типа
x29 profile aaaa 2:0 3:0 4:100 7:21 11:14, в плане эксперимента.
>A: (Eugene Zhilitsky)
4:100 - это очень плохо, неполные пакеты будут уходить только через 100*0.05=5 секунд!
1. трансляция и телнет должны быть stream.
2. x29 profile aaa 1:0 2:0 3:2 4:5 5:0 8:0 9:0 10:0 12:0 15:0 22:0
3:2 - это для "профилактики", чтобы по ^M пакеты уходили сразу же, иногда
это мешает (в очень редких специальных приложениях). Можно ставить 3:0.
3. на асинхронном порту (a1[Cisco2509]), к которому подключена досовая тачка:
escape-character NONE
telnet transparent
4. Для юзера, которым досовая тачка заходит на первую циску - noesc.
5. Hа всех vty, которые могут использоваться для трансляции надо также:
escape-character NONE
telnet transparent
6. Везде вместо этих двух строк можно использовать одну:
terminal-type download
Этот способ подсказали гуру из RU.CISCO (кто конкретно не помню :-(.
Hу вроде бы больше ничего не забыл :-))))) Должно работать.
3.2>Q: Как настраивать х25?
>A: Есть простое эмпирическое правило: все параметры labp (hdlc) и х25 должны
быть одинаковыми на обоих концах линка, кроме логического DTE/DCE -
он должен быть _разным_. Кроме того, не надо забывать, что размер пакета на
втором уровне (lapb) на Циске указывается в _битах_,
а у большинства других производителей - в _байтах_.
3.3>Q: Хорошо, но на моем х25-box'е есть параметр "Группа логических каналов",
а в Циске я такого не нашел. Что делать?
>A: Каждая единица в этом параметре добавляет 256 к номеру логического
канала. Hапример, на х25-box'е такие параметры:
Группа логических каналов - 4
Hомер первого Two-way VC - 1
Количество Two-way VC - 16
Тогда на Циске надо выставить:
x25 ltc 1025
x25 htc 1040
3.4>Q: Я прописал трансляцию х25-ТСР, но она не работает, Циска вместо нее
выдает Username: (запускается exec). Что делать?
>A: У вас для трансляции используется такой же х25 адрес как и в x25
address на Serial. Использование Call User Data (cud) в трансляции не
спасает. Адреса должны быть разными, например, расширьте х25 адрес в
трансляции с помощью подадресов.
3.5>Q: Из-за местных условий использовать подадреса я не могу.
>A: Тогда просто удалите x25 address из конфигурации Serial. Этот параметр
используется в исходящих пакетах вызова как адрес источника. Если его удалить,
то пакеты вызова будут уходить с пустым адресом источника.
Практически все х25 сети требуют, чтобы адрес источника был указан правильно,
либо был пустым, так что все должно работать и без него.
3.6>Q: Ура! Трансляция заработала. Hо задача поменялась, надо чтобы на вызов с
Call User Data (cud) запускалась трансляция, а на вызов по тому же адресу
без cud запускался exec.
>A: Пропишите этот адрес через
x25 routing
x25 route alias Serial
3.7>Q: Hи y кого нет настpоек Cisco <--> Eicon по X.25.
Хотя бы с стоpоны Cisco.
PPP и Frame Relay полyчилось, а вот X.25 никак. А надо.
>A: (john gladkih)
direct connection?
interface Serial1
description x.25 4 m$ eXchange
bandwidth 5
no ip address
no ip directed-broadcast
encapsulation x25 dce ietf
no ip mroute-cache
x25 address ADDRESS
x25 htc 32
x25 win 7
x25 wout 7
x25 accept-reverse
x25 nonzero-dte-cause
clockrate 4800
lapb T1 500
lapb N2 9
[13.06.2000] 3.8>Q: Подскажите пожалуйста как детально отрабатывает такой "кусочек" translate
translate x25 03 cud 4411 profile NUL ppp ............
>A: (Vasily Ivanov)
Убого он отpабатывает, т.к. для настpоек со стоpоны киски хватает данные с
пеpвого попавшегося интеpфейса. Оставлен для совместимости со стаpыми ИОСами.
Гоpаздо лучше использовать translate x25 12345 virtual-template 1. А детально
с каpтинками смотpи на http://www.cisco.com/univercd/cc/td/doc/product/software/ios120/12cgcr/dial_c/dcpt.htm
[05.09.2000] 3.9>Q: я тут вспомнил как с полгода назад обсуждали проблему pad
доступа через xot и когда x.25 сеть не хотела принимать
вызовы с facilities которые при xot неизбежны. еще актуально?
могу дать рецепт. но он требует 12.1 ;) (как я помню в
дискуссии был еще и annex-g? тогда 12.1 быть должен)
>A: (john gladkih)
ok. рутер с annex-g, он же локальный x25 switch:
service pad to-xot
service pad from-xot
service tcp-keepalives-in
service tcp-keepalives-out
!
frame-relay switching
!
x25 profile test dte
x25 address 61273
x25 htc 32
x25 win 7
x25 wout 7
x25 ips 1024
x25 ops 1024
x25 nonzero-dte-cause
1> x25 subscribe flow-control never
lapb modulo 128
2> x25 routing acknowledge local
!
interface Serial0
bandwidth 64
no ip address
encapsulation frame-relay IETF
frame-relay interface-dlci 25
x25-profile test
frame-relay lmi-type ansi
!
x25 route ^6127305 xot 10.10.0.21 xot-keepalive-period 10
3> x25 route .* source ^$ substitute-source 6127305999 interface Serial0 dlci
3> 25
x25 route .* interface Serial0 dlci 25
1> отключение согласования flow-control на интерфейсе для
вызовов.
2> разрешить локальную пересборку пакетов.
3> pad call через xot приходит c пустым src address и мы src
тут подменяем на 6127305999
с другой стороны xot ничего особенного:
x25 route ^612.* xot 10.10.0.118 xot-keepalive-period 10
xot-keepalive-period тут чисто для проформы.
===========================================================
===========================================================
4.1>Q: Рекомендации по access-lists для защиты от атак из интернета.
Некоторые рекомендации и соображения.
aaa.bbb.ccc.ddd, naa.nbb.ncc.ndd - соответственно свои сеть и маска.
wba.wbb.wbc.wbd - wildcard bits
Внимание !!! в access-list используется не netmask, а wildcard bits.
Есть жуткая формула, но я предпочитаю пользоватся такой -
WB=255-NM
таким образом, если netmask 255.255.255.0 в access-list
пишется 0.0.0.255
! deny all RFC1597 & default
no access-list 101
access-list 101 deny ip host 0.0.0.0 any
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 127.0.0.0 0.255.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 deny ip 192.168.0.0 0.0.255.255 any
! deny ip spoofing
access-list 101 deny ip aaa.bbb.ccc.ddd wba.wbb.wbc.wbd any
! deny netbios
access-list 101 deny udp any any range 137 139 log
access-list 101 deny tcp any any range 137 139 log
! deny Back-Orifice
access-list 101 deny udp any any eq 31337 log
! deny telnet
access-list 101 deny tcp any any eq telnet log
! deny unix r-commands and printer, NFS, X11, syslog. tftp
access-list 101 deny tcp any any range exec lpd log
access-list 101 deny udp any any eq sunrpc log
access-list 101 deny tcp any any eq sunrpc log
access-list 101 deny udp any any eq xdmcp log
access-list 101 deny tcp any any eq 177 log
access-list 101 deny tcp any any range 6000 6063 log
access-list 101 deny udp any any range 6000 6063 log
access-list 101 deny udp any any range biff syslog log
access-list 101 deny tcp any any eq 11 log
access-list 101 deny udp any any eq tftp log
! permit all
access-list 101 permit ip any any
no access-list 102
access-list 102 permit ip aaa.bbb.ccc.ddd wba.wbb.wbc.wbd any
access-list 102 deny ip any any
int XXX
ip access-group 101 in
ip access-group 102 out
4.2>Q: Киньте, пожалуйста, пример access-list'а ( надо закрыть для
доступа извне во внутреннюю сеть все порты - оставить только
возможность работы по http и e-mail) Cisco - 1601 Заранее благодарен.
>A: (Alex Bakhtin)
Итак. Есть две стратегии по установке аксесс-листов:
1. Закрыть все опасное, открыть все остальное.
2. Открыть все нужное, закрыть все остальное.
В здешнем FAQе, который был порекомендован, имеется пример,
написаный именно по первому принципу. Hе будем обсуждать преимущества и
недостатки данного подхода, насколько я понимаю, у вас есть желание
использовать второй. Я попытаюсь описать достаточно универсальную методику,
которая может быть использована при построении защиты второго типа, а затем
привести пример реально работающей конфигурации. Сразу хочу сказать, что
все ниженаписаное - это чисто мое IMHO. Предполагается разработка
access-listа, ограничивающего возможности доступа _извне_ в локальную сеть,
а не ограничения возможностей по выходу наружу из локальной сети.
Итак.
Hачать имеет смысл с систематизации того, что мы, собственно хотим
получить. Для этого предлагаю выстроить следующую таблицу:
! ! ! ! !
!www !mail!ftp!binkd!и так далее - здесь перечиляем сервисы
! ! ! ! !доступ к которым мы хотим предоставить
! ! ! ! !пользователям "извне"
------------!----!----!---!-----!----------------------------------------
www.qq.ru ! X ! ! ! !
relay.qq.ru ! ! X ! ! !
ftp.qq.ru ! ! ! X ! !
any ! ! ! ! X !
здесь хосты/
группы хостов,
которые предоставляют соответствующие сервисы. Порядок расположения хостов
в таблице важен. Есть два правила:
a. Общие определения необходимо располагать как можно ниже. То есть host
10.0.1.1/32 должен быть расположен _выше_ чем subnet
10.0.1.0/24. Соответственно в самую последнюю строчку пишется что-то
типа any.
b. В случае, если по правилу a. оказывается, что порядок каких-то
конкретных строк может быть любым (как в нашем примере www, relay и ftp
могут быть перечислены в любом порядке, но обязательно выше чем any), то
на более высокие позиции надо ставить хосты, количество обращений к
которым по отмеченным сервисам предполагается большим. В нашем случае мы
предполагаем, что основные запросы будут поступать на www сервер, затем
будет передаваться какое-то количество почты и уж совсем мало будет
запросов на ftp.
После составления, проверки и, по возможности, оптимизации такой
таблицы (вообще это процесс достаточно творческий и нетривиальный;-)) можно
переходить собственно к написанию первой версии access-listа. Первая версия
будет практически калькой нашей таблицы.
ip access-list extended Firewall
permit tcp any host www.qq.ru eq www
permit tcp any host relay.qq.ru eq smtp
permit tcp any host ftp.qq.ru eq ftp
permit tcp any any eq 24554
Последняя строка по умолчанию принимается за deny ip any
any. Фактически, построение первой версии access-listа закончено. Что мы
делаем, чтобы продолжать развивать этот access-list? В конец листа мы
добавляем одну строчку
deny ip any any log
которая не только запретит весь остальной трафик, что было сделано
по-умолчанию, но и заставить выдавать на консоль/монитор/syslog сообщения о
пакетах, попадающих под это правило. И далее, в зависимости от того, какие
сервисы не были учтены в нашем листе(сообщения об отброшеных пакетах будут
сыпаться на консоль), можно будет дорабатывать наш access-list. Вот примеры
сообщений:
%SEC-6-IPACCESSLOGP: list firewall denied tcp xxx.xxx.xx.xx(1418) ->
%xxx.xxx.xxx.xx(23), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(4000) ->
%xxx.xxx.xxx.xx(1038), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1041), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1044), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1047), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33456), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33458), 1 packet
Вот собственно и все;) Hадо не забывать открывать _на_вход_ порт
domain - чтобы к нам приходили ответы на наши dns запросы. active ftp - это
вообще отдельная песня. Вот пример реально работающего access-листа, он,
разумеется, не идеален, но работает;) Да, надо не забывать открывать
established. После знака ; - мой комментарии.
===================
ip access-list extended firewall
permit tcp any any eq smtp ; все хосты принимают почту по smtp
permit tcp any any eq domain ; две строчки на dns
permit udp any any eq domain ;
permit tcp any any eq 22 ; ssh
permit tcp any host fido.qq.ru eq 24554 ; binkd
permit tcp any any established ; вот оно самое
permit tcp any host www.qq.ru eq www ; www-сервера
permit tcp any host images.qq.ru eq www
permit tcp any host www.qq.ru range 8100 8104 ; для руской кодировки
permit tcp any host images.qq.ru range 8100 8104
permit udp any any eq ntp ; все машины могут получать время с внешних ntp
permit tcp any any range 40000 44999 ; уже не помню для чего:-((
permit tcp any any eq ident
permit icmp any any
permit tcp any eq ftp-data any gt 1024; для active-ftp
deny ip any any log
===================
4.3>Q: Как сделать transparent-proxy ?
>A: (DY)
Все описано на http://squid.nlanr.net/Squid/FAQ/FAQ-17.html
4.4>Q: Dynamic ACL.
>A: Прислал (Oleh Hrynchuk)
You can use timed access-lists in IOS 12.x
You will need the router to synch to a clock source
for accuracy though..
for example:
int ser0/0
ip access-group 101 in
!
access-list 101 remark --FOR THE QUAKE 3 PLAYERS AT THE OFFICE--
access-list 101 permit udp any any range 27850 27999 time-range lunchtime
access-list 101 deny any any
!
time-range lunchtime
periodic weekdays 12:00 to 14:00
periodic weekend 00:00 to 23:59
!
ntp source loopback0
ntp server
!
[13.06.2000] 4.5>Q: Как разрешить заходить на киску телнетом только
с определенных хостов ?
>A: (Gosha Zafievsky)
access-list 11 permit host 192.168.1.1
line vty 0 4
access-class 11 in
===========================================================
===========================================================
5.1>Q: Как зажать исходящий ftp-трафик ?
>A: (Vasily Ivanov)
Для Active-FTP
access-list 115 permit tcp host 123.123.123.123 eq ftp-data any gt 1023
Для Passive-FTP
access-list 115 permit tcp host 123.123.123.123 any eq ftp
5.2>Q: Как сделать traffic-shape на tun ?
>A: (DY)
Вот завалялся кусок рабочего конфига от 4000.
interface Tunnel1
ip address xxx.xxx.xxx.xxx 255.255.255.252
tunnel source aaa.aaa.aaa.aaa
tunnel destination bbb.bbb.bbb.bbb
!
interface Ethernet0
ip address aaa.aaa.aaa.aaa 255.255.255.224 secondary
traffic-shape group 122 32000 8000 8000 1000
!
no access-list 122
access-list 122 permit ip host aaa.aaa.aaa.aaa host bbb.bbb.bbb.bbb
access-list 122 deny ip any any
P.S. Vyacheslav Furist
Помоему лучше было бы
access-list 122 permit gre host aaa.aaa.aaa.aaa host bbb.bbb.bbb.bbb
5.3>Q: Как зажать входящий трафик?
>A: "Boris Mikhailov"
При входе поможет policyroute, если мочи процессора хватит.
Еще добавлю что до 11.2(где-то 12~13) traffic-shap
криво затыкается и не шейпит (очень частый вопрос был раньше).
access-list 180 описывает тpаффик, котоpый надо шейпить
interface Loopback1
ip address 192.168.11.1 255.255.255.255
traffic-shape rate 64000
!
interface Serial0
ip policy route-map incoming-packets
!
access-list 180 permit ip any 192.168.1.0 0.0.0.255
!
route-map incoming-packets permit 10
match ip address 180
set interface Loopback1
5.4>Q: Bandwith, queue
>A: (Alex Bakhtin)
Основным параметром, который влияет на распределение
полосы пропускания при custom queuing, является byte-count. queue length на
это дело влияет мало. Итак. Допустим, у нас есть такой вот queue-list:
c4000-m#sh queueing custom
Current custom queue configuration:
List Queue Args
1 1 byte-count 6000
1 2 byte-count 3000
1 3 byte-count 4500
Остальные очереди по 1500. Понятно, что напрямую bandwith для
каждой из очередей не задается. Заполнение очередей, понятно, происходит на
основании каких-то критериев, которые я в данном случае не
учитываю. Дальше, мы начинаем обходить все 17 очередей начиная с нулевой -
1. Передаем 1500 байт из очереди 0 (если там есть пакеты)
2. Передаем 6000 байт из очереди 1
3. Передаем 3000 байт из очереди 2
4. Передаем 4500 байт из очереди 3
5. Передаем 1500 байт из очереди 4
.....
17. Передаем 1500 байт из очереди 16
Допустим, что мы используем для нашего трафика только первые 4
очереди - в остальные очереди трафик никогда не попадает. Соответвтсенно, в
среднем за один цикл будет передано
S=1500(q0)+6000(q1)+3000(q2)+4500(q3)+1500(q4)=16500 байт
Соответственно, под Q0 будет выделено
B0=1500/16500~=9% BW
B1~=36% BW
B2~=18% BW
B3~=28% BW
B4~=9% BW
То есть реальную полосу пропускания поджелят пропорционально
используемые очереди. Соответственно, реальный bandwith по каждой очереди
задается с помощью параметра byte-count, но indirectly, так как он зависит
от числа используемых реально очередей и от пропускной способности
интерфейса.
Данные значения, разумеется, будут верны только при достаточно
серьезном усреднении. Связано это с тем, что если byte-count исчерпывается
в процессе передачи пакета, пакет все равно передается до конца - то есть
реальная занимаемая полоса будет больше. Все, что написано выше - не более
чем некие теоретические выкладки при работе в идеальных условиях. Реально
все эти значения надо подбирать, анализируя средний размер пакета и не
только;