Перейти к содержимому
Калькуляторы

DVDrom4ik

Пользователи
 Просмотреть профиль  Активность

  • Публикации

    17

  • Зарегистрирован

  • Посещение

 Тип публикации 

Сообщения, опубликованные пользователем DVDrom4ik

  4. Опубликовано · Жалоба на ответ

    Quote

    Если Вы хотите сливать лог в СОРМ-3 - то, скорее всего, не получиться. Когда у нас жили SE100 вендоры СОРМ говорили, что лог NATa у Эриксона не полный и не пойдёт для разбора.

    Да, нужен для СОРМ.

    Пока никак не получается связать события NAT c обращениями наружу.

     

    Quote

    Это то что с эриксона

    tcpdump -i eth1.16 -ttttt -vvv -T cnfp port 9996 | grep 10.41.

    10.41.192.101:23902 > x.x.x.x:46403 >> 67.96.67.127

    85.141.249.3:2601 > 10.41.9.249:50537 >> x.x.x.x

    85.141.248.71:21901 > 85.141.249.3:63747 >> 10.41.192.101

    тут же у коллеги вышла правильная цепочка

  6. Опубликовано · Жалоба на ответ

    Всем здравствовать.

     

    Нужны динамические acl для dot1q pvc static subcribers.Кто то нибудь знает как для redback'a правильно составить радиус-атрибут Ascend-Data-Filter ?

    В документации единственное что нашел - что это binary string. Пробовал по аналогии с другими вендорами - не получается.

     

    Суть проблемы в том что нужно изолировать абонентов(схема vlan-per-subcriber, multibind, несколько подсетей) друг от друга до шлюза и исключить возможность подмены IP со стороны абонента.

     

    Source-Validation - не отрабатывает

    X-Ascend-Data-Filter - se видит в виде String, например, ip in drop, но явно не использует.

     

    se600 SEOS-12.1.1.5-Release

     

    Может есть еще мысли ?

    Может кому то пригодится. В общем проблему решил выключение проксирования ARP включив режим security-arp на мультибинд интерфейсе. Что дало исключение попадания в ARP таблицу IP не присвоенного subscriber'y.

  7. Опубликовано · Изменено пользователем DVDrom4ik · Жалоба на ответ

    Всем здравствовать.

     

    Нужны динамические acl для dot1q pvc static subcribers.Кто то нибудь знает как для redback'a правильно составить радиус-атрибут Ascend-Data-Filter ?

    В документации единственное что нашел - что это binary string. Пробовал по аналогии с другими вендорами - не получается.

     

    Суть проблемы в том что нужно изолировать абонентов(схема vlan-per-subcriber, multibind, несколько подсетей) друг от друга до шлюза и исключить возможность подмены IP со стороны абонента.

     

    Source-Validation - не отрабатывает

    X-Ascend-Data-Filter - se видит в виде String, например, ip in drop, но явно не использует.

     

    se600 SEOS-12.1.1.5-Release

     

    Может есть еще мысли ?

  8. Опубликовано · Жалоба на ответ

    как-то поздно вы с этой проблемой столкнулись.

     

    Проблема в интерпретации его релеем dns ответов с учетом регистра символов. Начиная с какой-то версии bind в ответе на запрос пишет домен в таком регистре, как он попал в кеш.

    Один клиент запросил YANDEX.RU, второй home.yandex.ru - в кеш попал home.YANDEX.RU

    Один запрос через асусовский роутер к home.yandex.ru - и от ответа в роутере падает релей.

    Тоже столкнулись масово с данной проблемой - сегодня проверили - оно. В итоге откатили DNS сервер. Спасибо за подсказку.

    +1 Zyxel + Asus

     

     

    Лечится прописыванием своих сетей в

     

    no-case-compress {

     

    };

     

    В разделе option {…}

     

    после этого ответ всегда будет в нижнем регистре

  9. Опубликовано · Изменено пользователем DVDrom4ik · Жалоба на ответ

    Все здравствовать.

    Муки настройки vrrp на se600 привели к следующему тупику:

     

    SE1

     

    interface vrrp6

    ip address 10.0.0.1/30

    vrrp 6 owner

    virtual-address 10.0.0.1

    log-state-change

     

    interface vrrp7

    ip address 10.0.0.5/30

    vrrp 7 owner

    virtual-address 10.0.0.5

    log-state-change

     

    port ethernet 1/1

    no shutdown

    encapsulation dot1q

    dot1q pvc 6

    bind interface vrrp6 ipoe

    dot1q pvc 4000

    bind interface vrrp7 ipoe

     

     

    SE2

     

    interface vrrp6

    ip address 10.0.0.2/30

    vrrp 6 backup

    virtual-address 10.0.0.1

    priority 100

    init-wait 1

    log-state-change

    !

    interface vrrp7

    ip address 10.0.0.6/30

    vrrp 7 backup

    virtual-address 10.0.0.5

    log-state-change

     

    port ethernet 1/1

    no shutdown

    encapsulation dot1q

    dot1q pvc 6

    track vrrp 7 vrrp7 ipoe

    bind interface vrrp6 ipoe

    dot1q pvc 10

    track vrrp 6 vrrp6 ipoe

    bind interface XXX ipoe

    dot1q pvc 4000

    bind interface vrrp7 ipoe

     

    между ними соответствующие вланы кинуты

     

    При "разрыве" вланов vrrp 6 и 7 отрабатывают в Master и при восстановлении вланов в Backup нормально и соответственно, но при статусе backup - "track vrrp 6 vrrp6 ipoe" или "track vrrp 7 vrrp7 ipoe" для pvc 6 и 10 не останавливают трафик !?!?

    Путем экспериментов пришел к тому что track vrrp работает только если в pvc bind subscriber, если bind interface то трафик продолжает идти.

    Что я делаю не так?

     

     

    P.S. Модератору просьба поправить название, опечатка, SE600 конечно же. Спасибо.