Cisco Portable Resource Blog

An ISR 819 Router in Extreme Conditions

2011-10-20T10:34:00.002+07:00

สุดยอดของเราเตอร์ Cisco ISR819 แกร่ง ทน อึด เอาไปใช้กับพื้นที่เสียงที่จะเกิดอุทกภัยได้เลยครับ :)

Cut Through Authentication on the ASA

2011-09-15T13:23:00.003+07:00

Cut-Through Authentication proxy on the ASA is an excellent way to track and authorize users when they access resources on the network that you may not want them to access to originally. I have used it to track user activities, authorize users to different network devices from time to time that they really should not be accessing whenever they feel, and to provide a user a way to override the firewall policies that have been defined for a given subnet. In other words, it is a very useful function and I believe it’s function is vital for users as well as the network administrator. Just so you know, this feature is just like the Auth-Proxy or Network Admission technologies on an IOS router.

Here is the topology we will be working with. I have setup a PC so we can simulate a typical user experience.

Guidelines

Any user on the 192.0.2.0/24 subnet (Inside) will have to authenticate through to the ASA when accessing the IOS Firewall Router.
This user authentication through the ASA will be of the most secure form.
The ASA will use local authentication for the users for the time being
Setup Cut-Through Proxy

So the first step would be to define IP addressing and initialize interfaces as well as routing. The HTTP services have been enabled on the IOS router as well as local authentication/authorization of users to this service. We will focus our efforts on the ASA for our cut through authentication.

So step one is going to make sure we have connectivity to the devices first. So let us make sure we can ping 198.18.0.2 from our PC (PC is 192.0.2.100 in my environment)

C:\ >ping 198.18.0.2
Pinging 198.18.0.2 with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Ping statistics for 198.18.0.2:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
Ok, already not a good start. From the ASA I can ping the PC as well as the IOS router. The default gateway of each of these devices points to the ASA. Hmmm. Don’t forget about icmp inspection or allowing icmp echo-replies back through the firewall on the outside interface. Here we will inspect icmp.

ciscoasa(config)# fixup protocol icmp
INFO: converting ‘fixup protocol icmp ‘ to MPF commands
Ok, now lets try our ping again

C:\ >ping 198.18.0.2
Pinging 198.18.0.2 with 32 bytes of data:
Reply from 198.18.0.2: bytes=32 time<1ms TTL=63
Reply from 198.18.0.2: bytes=32 time<1ms TTL=63
Reply from 198.18.0.2: bytes=32 time<1ms TTL=63
Reply from 198.18.0.2: bytes=32 time<1ms TTL=63
Ping statistics for 198.18.0.2:
Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),
oximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms
Ok, that looks better. The other test I like to do is access the http server on the IOS Router to make sure that we are able to get the default web page from the router so we know that this worked before we started our configuration. This will make it so there is one less thing to check if it doesn’t work. So let’s define an access-list to classify the interesting traffic for cut-through proxy:

ciscoasa(config)# access-list ctap permit ip any host 198.18.0.2
And let’s configure our local username and password as our guidelines say to use the local database:

ciscoasa(config)# username cisco password cisco
Now we will enable cut-through proxy with our interesting traffic and local database authentication :

ciscoasa(config)# aaa authentication match ctap inside LOCAL
So what should we see at this point is a web authentication box popup that is asking us for credentials. This is the cut through authentication service requesting user credentials before allowing the connection onto the IOS router. So we will enter our credentials of cisco/cisco. Then click on “OK” for the web authentication and we should be allowed to the IOS Router now.

Let’s verify the user on the ASA

ciscoasa(config)# sh uauth
Current Most Seen
Authenticated Users 1 1
Authen In Progress 1 1
user ‘cisco’ at 192.0.2.100, authenticated
absolute timeout: 0:05:00
inactivity timeout: 0:00:00
With the ASA we have another option in which the user authentication experience occurs. Instead of the popup, we can have a webpage display the authentication prompt. It is a little more user friendly this way and is more like the auth-proxy http web page from an IOS router, only better. To do this we enter the following command.

ciscoasa(config)# aaa authentication listener http inside redirect
Using the above option, we could also redirect the authentication to another port if needed using the argument “port ‘#’” in the command shown above.

So in our guidelines we actually wanted the most secure mode of communications. Well, using http in this fashion is not secure at all. So we will want to change our configuration so that we request the user credentials using https.

To do this, we will install 2 commands.

ciscoasa(config)# aaa authentication listener https inside redirect
ciscoasa(config)# aaa authentication secure-http-client
Now depending on how the ASA is configured for PKI support, you will either come to a page with a certificate warning or you will go right the authentication page. This is now a secure login screen for the user.

This concludes our quick introduction into Cut-Through Authentication on the ASA. There are several more features than can become involved such as including an ACS server for authentication/authorization, virtual telnet/http, and even downloadable access-lists that can override an interface access-list. Join me in feature posts where we will discuss these enhancements. I hope this is useful to you and thank you for visiting this post.

How to enable web-based authentication on Cisco Catalyst Series Switches

2011-09-14T13:10:00.001+07:00

Use the web-based authentication feature, known as web authentication proxy, to authenticate end users on host systems that do not run the IEEE 802.1x supplicant. You can configure web-based authentication on Layer 2 and Layer 3 interfaces.

When you initiate an HTTP session, web-based authentication intercepts ingress HTTP packets from the host and sends an HTML login page to the users. The users enter their credentials, which the web-based authentication feature sends to the authentication, authorization, and accounting (AAA) server for authentication.
If authentication succeeds, web-based authentication sends a Login-Successful HTML page to the host and applies the access policies returned by the AAA server.
If authentication fails, web-based authentication forwards a Login-Fail HTML page to the user, prompting the user to retry the login. If the user exceeds the maximum number of attempts, web-based authentication forwards a Login-Expired HTML page to the host, and the user is placed on a watch list for a waiting period.

This example shows how to enable web-based authentication

Switch(config)# ip admission name webauth1 proxy http

Switch(config)# interface fastethernet 5/1

Switch(config-if)# ip admission webauth1

Switch(config-if)# exit

Switch(config)# ip device tracking

This example shows how to verify the configuration:

Switch# show ip admission configuration

Authentication Proxy Banner not configured

Authentication global cache time is 60 minutes

Authentication global absolute time is 0 minutes

Authentication global init state time is 2 minutes

Authentication Proxy Watch-list is disabled

Authentication Proxy Rule Configuration

Auth-proxy name webauth1

http list not specified inactivity-time 60 minutes

Authentication Proxy Auditing is disabled

Max Login attempts per user is 5

What is Cisco Virtualization Experience Infrastructure (VXI)?

2011-08-15T09:11:00.002+07:00

What is Cisco Virtualization Experience Infrastructure (VXI)?

Cisco VXI is an end-to-end system that spans three architectures: Borderless Networks, Collaboration, and Data Center/Virtualization, to deliver a fully virtualized collaborative workspace. VXI enables IT organizations, business owners, and end-users to benefit from the convergence of virtual desktops and media-rich collaborative applications, hosted by Cisco's data center fabric and delivered across a pervasive, secure and efficient networking infrastructure to any device, anywhere. This provides users a converged virtual desktop that embraces the suite of communications tools that workers depend on today without sacrificing user experience.

VXI de-risks the move to the fully virtualized collaborative workspace, by providing an end-to-end system and roadmap that’s underpinned by Cisco Validated Designs, enabling organizations to move from small pilots to large scale production, with consistent performance, and predictable results.

What is Desktop Virtualization and VDI?

Desktop virtualization is a mainstream IT initiative designed to improve the flexibility and security of traditional desktops, while reducing costs. VDI, the fastest growing desktop virtualization model is estimated by Gartner to grow by 56 million desktops between 2012 and 2014. VDI abstracts the operating system, applications, and user profile settings traditionally associated with a user’s desktop, and delivers a virtualized instance of the desktop, hosted on a server-based virtual machine from within a data center infrastructure.

Cisco has partnered with desktop virtualization leaders, Citrix and VMware to deliver optimized desktop virtualization infrastructure solutions based on Cisco UCS, as a pillar of the broader Cisco VXI cross architecture initiative.

What are the Benefits of Cisco Data Center Fabric for VXI?

Cisco's Data Center Fabric and Cisco UCS are ideally suited to hosting desktop virtualization, and form a key pillar of the broader VXI solution by offering:

A highly scalable data center fabric that delivers consistent application performance and user experience from hundreds of users through thousands of users
A simplified IT operational model that enables the rapid deployment and scaling of virtual desktops with greater efficiency and reduced cost
A more secure, controlled environment that ensures desktop workloads are isolated from mission-critical enterprise applications, while enabling virtual-machine level policy

New 200/300 Series Switching Maintenance Release V.1.1

2011-08-11T15:36:00.000+07:00

วันนี้ผมจะมาอัพเดทถึงตัว Feature ใหม่ๆ บน Switch ในกลุ่มของ SBTG Product หรือ Small Business Technology Group นะครับ ซึ่งทางซิสโก้ได้นำ Feature ใหม่หลักๆ มาให้ 2 ฟังก์ชั่น ที่ผมจะแจ้งมาตามด้านล่างนี้นะครับ

1. เรื่อง Voice Feature - สวิตซ์สามารถสร้าง Voice VLAN ได้ภายในตัว interface เดียวกันกับ Data vlan ผ่านทางโปรโตคอล CDP (Cisco Discovery Protocol) สามารถทำผ่านทาง smartport บนตัว CCA software (Cisco Configuration Assistance – ดาวน์โหลดได้ฟรี) ได้เลยครับ หรือบนตัว GUI ที่ Embedded มากับตัวสวิตซ์เลยก็ได้ครับ ตัว Feature นี้จะมีอยู่ทั้ง Cisco 200 (SLM Switch) และ Cisco 300 (SRW Swtich) นะครับ
2. เรื่องของ CLI (Cisco Textview) – หลายๆ ท่านที่เคย configure สวิตซ์ Cisco Classic ในตระกูล Catalyst switch แล้วใช้ command line ในการทำคำสั่งให้กับสวิตซ์มา คงรอ Feature นี้อยู่นะครับ ส่วนตัวผมมองว่า CLI (Command Line Interface) ช่วยให้เราเก็บรายละเอียด configure ได้ทั่วถึงกว่า ถ้าเป็น GUI (Graphic User Interface) อาจจะมีบางแง่มุมที่เราลืมเช็คได้ง่ายๆ

การทำ configuration template สำหรับ CLI ก็ง่ายกว่า แค่ text file เล็กๆ ไฟล์เดียว คนที่พอจะมีความรู้ความเข้าใจอยู่บ้าง ดู template แป๊บเดียวก็จะเก็บรายละเอียดเกือบจะทั้งหมดได้ในทันทีครับ และนี่คือประโยชน์ของการ Configure อุปกรณ์สวิตซ์บน Command Line ครับ ซึ่ง Cisco 300 Series (SRW Switch) ได้ให้มาในตัว firmware release 1.1 ใหม่แล้ว (ใครที่ใช้ release 1.0 อยู่สามารถ download release 1.1 มา upgrade firmware ให้กับ Switch ได้ครับ) และคำสั่งก็คล้ายๆ กับบนตัว Cisco Classic มากครับ ทำให้เราไม่ค่อยงงกับคำสั่ง ยกตัวอย่างเช่น show run ก็ไว้สำหรับดูรายละเอียดของ configuration ทั้งหมด เป็นต้นครับ

telephony SIP trunk by using CallManager Express

2010-08-23T12:08:00.001+07:00

The Cisco Call Manager Express product can be used as the telephony SIP trunk gateway between the local IP telephony network and the IP Telephony Service Provider. Calls from and to PSTN will be handled by a SIP PROXY server located in the Service Provider network.

A sample Call Manager Express configuration for SIP trunking is shown below (a snippet of the complete configuration is shown):

voice service voip
allow-connections sip to sip
sip
registrar server expires max 3600 min 3600
localhost dns:mycompany.test.com

voice class codec 1
codec preference 1 g711ulaw

!— Inbound Translation Rule
!— for Auto Attendant pilot number “500″
voice translation-rule 1
rule 1 /5552222100/ /500/

voice translation-profile AutoAttendant
!— Applied to the inbound dial-peers for AA
translate called 1

!— SIP Trunk Configuration —
dial-peer voice 1 voip
description **Incoming Call from SIP Trunk**
translation-profile incoming AutoAttendant
voice-class codec 1
voice-class sip dtmf-relay force rtp-nte
session protocol sipv2
session target sip-server
incoming called-number .%
dtmf-relay rtp-nte
no vad

dial-peer voice 2 voip
description **Outgoing Call to SIP Trunk**
destination-pattern 9……….
voice-class codec 1
voice-class sip dtmf-relay force rtp-nte
session protocol sipv2
session target sip-server
dtmf-relay rtp-nte
no vad

dial-peer voice 3 voip
description **International Outgoing Call to SIP Trunk**
destination-pattern 9011T
voice-class codec 1
voice-class sip dtmf-relay force rtp-nte
session protocol sipv2
session target sip-server
dtmf-relay rtp-nte
no vad

!— SIP UA Configuration —
sip-ua
authentication username 5552222100 password 075A701E1D5E415447425B
no remote-party-id
retry invite 2
retry register 10
retry options 0
timers connect 100
registrar dns: mycompany.test.com expires 3600
sip-server dns: mycompany.test.com
host-registrar
!

Cisco Cius: Hands On Demo from the Show Floor at CiscoLive 2010

2010-08-23T10:39:00.005+07:00

Cisco Cius แอนดรอยด์แท็บเล็ทติดกล้องเอชดี คอมพิวเตอร์แท็บเล็ท Cisco Cius มากับอุปกรณ์ Docking Station ที่ใช้เป็นแท่นวางสำหรับการโทร ตอบสนองการใช้งานสำหรับลูกค้าที่เป็นนักธุรกิจ รองรับระบบปฏิบัติการ Android

หน่วยประมวลผล Intel Atom 1.6 Ghz จอแสดงผล ระบบสัมผัส ความละเอียด 800 x 600 พิกเซล (7") หน่วยความจำในตัว 32 GB กล้องด้านหน้ารองรับวีดีโอสตรีมมิ่ง ความละเอียด HD 720p (30 เฟรมต่อวินาที) ด้านหลังใช้กล้องความละเอียด 5 ล้านพิกเซล รองรับการสนทนาหลายสายพร้อมกัน คุณภาพเสียงชัดเจนด้วยไมโครโฟนดักเสียงรบกวนรอบข้าง Cisco Cius สนับสนุนการเชื่อมต่อ Wi-Fi a/b/g/n, Bluetooth 3.0, Micro USB แบตเตอรี่ใช้งานได้นาน 8 ชั่วโมง

http://www.youtube.com/watch?v=YaVTAAuObhY&feature=player_embedded#!

How to use CallManager Express

2010-08-21T13:21:00.006+07:00

วันนี้ผมจะมา update วิธีการ Configure CME แบบใช้ CLI นะครับ เอาที่เราต้องทำบ่อยๆนะครับ ทั้งการ add phone และ Extension/Name ที่เป็น Skinny Phone(SCCP) และ SIP Phone ครับ หากเราไม่ได้ใช้คำสั่ง telephony-service setup ที่ Configuration Mode เราต้อง manual ไปทีละเบอร์แบบนี้แหละครับ :)

ลองทำตามกันไปดูนะครับ router ที่เราสามารถรองรับได้ก็ตั้งแต่ CISCO1750, 2600XM, 2800, 2900, 3800, 3900 รวมทั้ง UC500 ที่เป็น CISCO SMB ด้วยครับ ส่วน ios ที่ใส่ไปในเราเตอร์ เพื่อให้รองรับการใช้งาน Call Manager Express ได้ก็ใช้ ios ตั้งแต่ ip-voice จนถึง advanced enterprise service ได้เลยนะครับ

Add a SIP Trunk

The dial-peer convention used is:

To CCM dial-peer voice 6xxx voip where xxx is the CCM you're trunking to
To CUAE dial-peer voice 5xxx voip where xxx is the last octet of the CUAE IP you're trunking to

To do this, enter configuration mode...

voice translation-rule 8675309
rule 1 /^[68]..\(......\)/ /\1/
rule 2 /^[57]...\(......\)/ /\1/
!
voice translation-profile xlateRulez
translate called 8675309
!
dial-peer voice 6060 voip
description points to m-ccm-60 sip
translation-profile outgoing xlateRulez
destination-pattern 660......
session protocol sipv2
session target ipv4:10.89.31.41

Add a SIP Phone

enable
configure terminal
voice register dn dn-tag
number number
exit
voice register pool phone-tag
id mac [mac-address]
type phone-type
number button-number dn dn-tag
username username password password
codec codec
end

Example
voice register dn 1
number 4444
!
voice register pool 1
id mac 0018.1936.E50D
type 7960
number 1 dn 1
username aaa password aaa
codec g711ulaw

Add a SCCP Phone

enable
configure terminal
ephone-dn dn-tag [dual-line]
number number [secondary number] [no-reg [both | primary]]
name name
exit
ephone phone-tag
mac-address [mac-address]
type phone-type [addon 1 module-type [2 module-type]]
button button-number{separator}dn-tag [,dn-tag...] [button-number{x}overlay-button-number] [button-number...]
keepalive seconds
keypad-normalize
end

Example
ephone-dn 1
number 5554
name danCIPC
!
ephone 1
mac-address 0015.5828.731C
type CIPC
button 1:1
keypad-normalize
keepalive 200

Cisco ASA to Cisco IOS Router Site to Site VPN reference

2010-07-09T11:33:00.001+07:00

วิธีการทำ VPN Site to Site ระหว่าง ASA และ IOS Router นะครับ ผมแนะนำใช้ Wizard ทั้ง 2 ฝั่งจะง่ายกว่าครับ ซึ่งต้องทำการ set encryption algorithm ทั้ง 2 ฝั่งให้ตรงกัน มันก็จะสามารถทำ tunnel connection กันได้แล้วครับ แต่หากใครอยากจะใช้ CLI ก็ตามด้านล่างเลยนะครับ

Cisco IOS Router Configuration

crypto isakmp policy 10
encryption 3des
auth pre-share
hash md5
group 2

crypto isakmp key address

ip access-list extended vpn-acl permit ip

crypto ipsec transform-set 3DES-MD5 esp-3des esp-md5-hmac

crypto map VPN 10 ipsec-isakmp
set transform 3DES-MD5
match address vpn-acl
set peer

interface FastEthernet 0/0
crypto map VPN

——————————————————————-

Cisco ASA configuration

sysopt connection permit-vpn

crypto isakmp policy 10
authentication pre-share
encryption 3des
hash md5

tunnel-group type ipsec-l2l
tunnel-group ipsec-attributes
pre-shared-key

access-list vpn-acl permit ip

crypto ipsec transform-set 3DES-MD5 esp-3des esp-md5-hmac

crypto map VPN 10 set transform-set 3DES-MD5
crypto map VPN 10 match address vpn-acl
crypto map VPN 10 set peer

crypto isakmp enable outside
crypto map VPN interface outside

Related posts:

1.ASA VPN Setup Configuration reference commands.
2.Cisco ASA troubleshooting Commands
3.IPv4 Multicast Addressing Quick Reference.
4.Cisco Site-to-Site VPN Comparison Sheet

2010-06-19T09:35:00.005+07:00

Introducing IDS and IPS
Intrusion Detection Systems (IDS)
มีความสามารถในการตรวจจับ Traffic ที่เป็นอันตรายต่อระบบได้แต่ไม่สามารถหยุดหรือป้องกันได้ด้วยตัวเอง เพราะว่ามันทำงานในการวิเคราะห์ Traffic ที่ถูก Copy มาจาก Traffic จริงๆ ทำให้การทำงานจะไม่ส่งผลกระทบต่อประสิทธิภาพของเครือข่ายที่ใช้งานอยู่
โดยปกติ monitor interface ของ Sensor จะทำงานใน Promiscuous Mode หมายถึงว่ามันจะตรวจสอบ Traffic ทั้งหมดที่ถูกส่งมาหามันโดยให้อุปกรณ์เครือข่ายตัวอื่นๆ ทำการคัดลอกข้อมูลและส่งมาให้มัน โดยมันสามารถทำได้แค่แจ้งเตือน เพื่อให้ผู้ดูแลระบบทราบถึงปัญหาหรือภัยคุกคามในระบบ และดำเนินการแก้ไขต่อไป โดย Sensor ที่ทำงานใน Mode นี้สามารถใช้เพียง Interface เดียวสำหรับการ monitor Traffic ในหนึ่ง segment ได้
Intrusion Prevention Systems (IPS)
เป็น IDS ที่ทำงานใน Mode in-line คือวิเคราะห็ Traffic จริงๆของระบบเครือข่าย มีความสามารถในการตรวจจับและหยุดยั้ง Traffic ที่เป็นอันตรายได้ อาจจะส่งผลกระทบต่อเครือข่ายได้ เช่นการ Drop Packet ต่างๆ
ใน Inline Mode Sensor จะถูกวางไว้บนเส้นทางที่ใช้รับ-ส่งข้อมูลในระบบ IPS สามารถที่จะหยุดหรือป้องกันการโจมตีได้ โดย sensor ที่ทำงานใน mode นี้จะต้องใช้อย่างน้อย 2 Interface โดยจะต้อง Configure ทั้ง 2 Interface เป็น Pair interface กัน โดยจะทำงานใน Layer 2

IDS and IPS Common Characteristics
Cisco Sensor นั้นจะใช้กฏที่เรียกว่า Signature ในการตรวจสอบ Traffic โดย Signature-Based คือกลุ่มของรูปแบบของกฏ ที่ไว้ใช้เปรียบเทียบกับ Traffic โดยจะทำการบันทึกรูปแบบการโจมตีต่างๆไว้เป็น Signature โดยมันจะตรวจสอบทุกๆ Packet ที่ผ่านเข้า-ออกตัวมันและเมื่อมี Traffic ใดที่มีลักษณะตรงกับที่ Signature ได้ระบุไว้มันก็จะทำตาม Action ที่ได้ระบุไว้ใน Signature นั้นๆ เช่น แจ้งเตือน หรือ Drop Packet นั้นทิ้ง บาง Signature จะเรียกว่า atomic signature โดยจะตรวจสอบ Traffic ที่มีลักษณะเป็น Packet เพียง Packet เดียว หรือ Composite Signature ที่ตรวจสอบ Traffic โดยการระบุรูปแบบของ Packet หลายๆ Packet ต่อเนื่องกันมาตามลำดับก็ได้
Placement of IDS and IPS Sensors
ในการที่จะตัดสินใจว่าจะให้ Sensor ทำงานใน Mode ใดระหว่าง Promiscuous (IDS) หรือ In-line (IPS) ควรจะดูจากลักษณะของความต้องการใช้งาน โดยทั้ง 2 โหมดจะมีลักษณะดังนี้

IPS มีลักษณะ
-เมื่อต้องการให้ Sensor สามารถทำการ Drop หรือ Deny Packet ได้
-การ Drop หรือ Deny สามารถหยุด Packet ที่เป็นอันตรายหรือผิดปกติได้
-Sensor สามารถตรวจสอบ Stream normalization ได้
-IPS Action สามารถหยุดการทำงานของ Worm ได้
-ถ้าตัวอุปกรณ์ error หรือ fail จะส่งผลกระทบต่อเครือข่าย
-อาจส่งผลกระทบต่อประสิทธิภาพของเครือข่าย เช่นความเร็วโดยรวมลดลง
-สามารถทำงานร่วมกับ Time-Sensitive Application ได้ เช่น VoIP
IDS มีลักษณะ
-เมื่อไม่ต้องการให้ Sensor Drop หรือ Deny Packet ใดๆ
-การทำงานของ Sensor จะไม่ส่งผลกระทบต่อเครือข่ายที่ใช้งานปกติ
-ถ้าตัวอุปกรณ์ error หรือ fail จะไม่ส่งผลกระทบต่อเครือข่าย
-ไม่สามารถหยุดการโจมตีหรือภัยคุกคามได้ ด้วยตัวมันเอง
Sensor Placementควรที่จะวาง Sensor ไว้บริเวณ ทางเข้า-ออกของเครือข่ายส่วนที่ต้องการจะป้องกัน ซึ่งใน Sensor จะมีการกำหนด Security Policy สำหรับเครือข่ายนั้นๆ ซึ่ง Security Policy นี้สามารถใช้อันเดียวกันทั้งหมด หรือแยกแต่ละ Policy ตามแต่ละส่วนของเครือข่ายได้ และควรที่จะมีการกำหนดเครื่องที่อนุญาตให้เข้ามาจัดการ Sensor ได้ด้วย
Sensor on Outside
-Monitor all Traffic
-อาจมี False Positive จำนวนมาก
-ไม่สามารถตรวจจับการโจมตีที่เกิดขึ้นภายในได้
Sensor on Inside
-Monitor Traffic ที่ถูกคัดกรองมากแล้วจาก Firewall หรือ Gateway
-มี False Positive น้อยกว่า
-สามารถหยุด Traffic ที่เป็นอันตรายในระดับ Application Layer ที่ Firewall ไม่สามารถตรวจพบได้

Types of IDS and IPS Sensors
Profile-Based Intrusion Dectectionจะมีการสร้าง Profile ขึ้น และจะทำการแจ้งเตือนเมื่อมีเหตุการณ์ที่อยู่นอกเหนือจาก Profile นี้ขึ้น โดย Profile จะสร้างมาจากการเก็บตัวอย่างการใช้งานปกติของผู้ใช้ตามช่วงเวลาที่กำหนด เพื่อเก็บไว้เป็นตัวอย่างใช้ในการเปรียบเทียบ Traffic ต่อไป
ปัญหาของวิธีการนี้ก็คือ ผู้ใช้อาจจะมีการใช้งานที่ไม่ตรงกับ Profile ที่ได้เก็บตัวอย่างไว้เสมอไป ซึ่ง Profile ที่ใช้เป็นการใช้งานปกติในปัจจุบัน อาจจะไม่สามารถใช้เป็น Profile สำหรับวันอื่นๆก็ได้ ซึ่งจะทำให้เกิด False Positive จำนวนมากตามมา
Signature-Based Intrusion Dectection
Signature-Based สามารถที่จะลดจำนวนการเกิด False Positive ลง โดย Signature คือกลุ่มรูปแบบของกฏ หรือรูปแบบการโจมตีประเภทต่างๆ ที่ไว้ใช้เปรียบเทียบกับ Traffic
Cisco Sensor นั้นใช้ Signature-Based ในการทำงาน โดยจะตรวจสอบทุกๆ Packet ถ้าพบว่ามี Traffic ใดที่มีรูปแบบที่ตรงกับ Signature มันจะไปทำตาม Action ที่ได้ระบุไว้ใน Signature นั้นๆ เช่นแจ้งเตือน หรือ Drop Packet
ข้อเสียของวิธีนี้ก็คือ ถ้าการโจมตีเป็นรูปแบบใหม่ที่ไม่มีใน Signature มันจะไม่สามารถตรวจจับได้ ซึ่งจะต้องมีการ Update Signature เสมอเพื่อให้สามารถตรวจจับรูปแบบการโจมตีใหม่ๆได้

Access Point รุ่น AP 541N

2010-06-19T09:16:00.004+07:00

วันนี้ก็คงพูดถึง Access Point ตัวใหม่ ก็คือรุ่น AP 541N ถ้าเพื่อนๆเข้าไปที่ Cisco web ก็จะเห็นรูปของ AP 541N สำหรับ AP541N จะเหมาะกับลูกค้ากลุ่ม SMB สำหรับ feature มีดังนี้

1.AP 541N สามารถรองรับ 802.11 a/b/g/n สำหรับ 802.11n ทำงานในลักษณะที่เป็น MIMO (multiple-input, multiple-output) dual band (2.4GHz และ 5GHz).
2.AP541N ยังมีความสามารถที่เรียกว่า Advanced clustering intelligence. AP ที่อยู่ใน cluster เดียวจะสามารถ share – SSID, security feature เช่น การตั้งค่า encryption, access lists, MAC address filters เป็นต้น, user names และ passwords, QoS setting, Radio setting, wireless interface setting, และ Guest Welcome screen. ซึ่ง admin สามารถตั้งค่าเหล่านี้ให้กับ cluster แล้ว AP ที่อยู่ใน cluster ก็จะได้ค่า setting เหล่านี้ โดยที่ไม่ต้องใช้ wireless controller
3.Highly secure guest access: AP 541N มี GUI สำหรับที่จัดการ guest network ซึ่งแยกจาก network ขององค์กร เพราะฉะนั้น guest ก็ไม่ได้เข้าไป access company network
4.Strong security: AP 541N สามารถรองรับ WPA2 (Wi-Fi Protected Access) encryption, มี feature ที่ค้นหา rogue access point, access control lists และ MAC address filtering
5.รองรับทั้ง standard AC และ PoE
6.สามารถใส่ external antenna ได้ 3 antenna

ขอบคุณบทความจากฉบับ Cisco Borderless Network Newsletter#11 ครับ

Media Ready Wireless LAN

2010-06-19T09:04:00.002+07:00

ในฉบับนี้ ซึ่งเป็นเรื่องเกี่ยวกับ Wireless LAN นะครับ ผมจะแนะนำให้รู้จัก Media Ready Wireless LAN ครับ ในปัจจุบัน Video นับเป็นสิ่งที่มีความสำคัญกับองค์กรธุรกิจอย่างมากนะครับ และการนำ Video มาใช้ในบริษัท ถ้าหากเป็น Wire Network ซึ่งมี Bandwidth ที่มากกว่าคงจะไม่มีปัญหามากนัก แต่เนื่องจาก Wireless LAN 802.11n ก็เป็นเทคโนโลยีที่มี Bandwidth มากขึ้น การที่เราจะใช้ Video บน Wireless LAN ก็มีความเป็นไปได้มากขึ้น แต่เราคงไม่สามารถใช้ Video บน Wireless LAN ได้ ถ้าหากว่าเราไม่มีเทคโนโลยีอื่นประกอบ เพราะว่า Wireless LAN เป็น Share Network ซึ่งมีข้อจำกัดดังต่อไปนี้
1. Bandwidth ที่ใช้งานได้เวลาหนึ่งจะมีลักษณะเป็น Variable Data Rate ขึ้นอยู่กับสิ่งแวดล้อมของ Client ที่ใช้งานในขณะเวลานั้น
2. Packet Loss ลักษณะของ Wireless LAN เมื่อเทียบกับ Wire LAN ก็คือ มี Packet Loss มากกว่า Wire LAN เมื่อมีจำนวนคนใช้งานมากขึ้น ไม่ว่าจะเนื่องมาจาก Collision และ สัญญาณรบกวน
3. Multicast Unreliability เมื่อเรานำ Multicast มาใช้บน Wireless LAN จะทำให้ Client บางเครื่องอาจจะไม่ได้รับ Quality เท่ากัน เนื่องจาก Condition ของแต่ละ Client ต่างกัน
จากปัญหาที่กล่าวมาข้างต้น Cisco จึงมี Technology ที่จะช่วยให้เราสามารถส่ง Video ได้บน Wireless LAN อย่างไม่มีปัญหาได้แก่
1. Stream Admission and Prioritization – เราสามารถให้ Priority แก่ Streaming ใน Priority ที่แตกต่างกัน ขึ้นอยู่กับแต่ละองค์กร
2. Resource Reservation Control – เปรียบเสมือน Call Admission Control ซึ่งทำให้เราสามารถจำกัดจำนวนผู้ชมได้ เพื่อที่จะทำให้ Quality ของ Video ที่ส่งไปไม่ถูกลดทอนลงเมื่อจำนวนผู้ชมมากเกินกว่าจะสามารถรองรับได้ ซึ่งจะทำให้ Quality ของผู้ชมคนอื่นมีผลกระทบไปด้วย
3. Multicast Direct หรือ Reliable Multicast ถึงแม้ว่าเราจะใช้ IGMP เพื่อจะทราบได้ว่า Video จะส่งให้กับ Client เครื่องไหนบ้าง แต่แทนที่ Steam จะถูกส่งไปให้ทุก Client ด้วย Multicast Stream ซึ่ง Bandwidth และ Condition ที่จะส่งเหมือนกันทุก Client แต่ใน Wireless LAN นั้น แต่ละ Client จะมี Bandwidth ที่ได้รับไม่เท่ากัน ดังนั้น Reliable Multicast จะทำการส่ง Stream ไปแต่ละ Client ใน Multicast Group นั้นด้วย คุณลักษณะที่เหมาะสมกับแต่ละ Client ซึ่งจะทำให้ทุก Client ได้รับ Experience ที่ดีเหมือนกัน ไม่ว่า Client นั้นๆ จะได้รับ Bandwidth เท่ากันหรือไม่ก็ตาม
4. Monitoring มีความสามารถในการ Monitor Resource ให้ใช้งานได้อย่างมีประสิทธิภาพ
5. Higher Scaling on Clients ซึ่งจากการทดสอบโดย 3rd Party Cisco Wireless LAN Media Ready network สามารถรองรับจำนวน Client ได้มากกว่า ที่ Experience ของ User ที่ดีกว่า

ซึ่ง Cisco มั่นใจว่า Cisco Media Ready Wireless LAN นี้ จะช่วยเพิ่มผลผลิตให้กับลูกค้าของเรา ด้วยความสามารถในการรองรับ Video ใน Wireless LAN นะครับ
Link ด้านล่างนี้จะเป็น Web Page และ Whitepaper ที่เกี่ยวข้องนะครับ
Cisco Media Ready Wireless LAN (CCO)
http://www.cisco.com/en/US/prod/wireless/ideas_in_motion.html
Optimizing Enterprise Video Over Wireless LAN (Whitepaper)
http://wwwin.cisco.com/ewtg/wnbu/campaigns/docs/Optimizing_Enterprise_Video_Over_WLAN_White_Paper.pdf
Miercom Report on Cisco Media Ready Wireless LAN
http://www.cisco.com/en/US/prod/collateral/wireless/ps6302/ps8322/ps10315/ps10325/Cisco_5508WC_Miercom_Report.pdf
Youtube – Cisco Media Ready Wireless (Video ที่จะทำให้เข้าใจ Business Concept ว่าทำไมต้อง Cisco Media Ready Wireless)
http://www.youtube.com/watch?v=InWWHKsG8bg

ขอขอบคุณบทความจาก Borderless Network Newsletter ของพี่ Phithakkit ด้วยนะครับ

Set up DDNS for Cisco IOS Router

2010-06-16T11:44:00.005+07:00

วันนี้ผมจะมา update เรื่องของการทำ DDNS บนตัว IOS เราเตอร์นะครับ ซึ่งส่วนใหญ่มักจะเป็น ADSL Router ซึ่งจะทำการ negotiate ip มาจากทางผู้ให้บริการอินเตอร์เน็ต เพราะฉะนั้นแล้วจะมีการเปลี่ยนแปลงของ IP เกิดขึ้นตลอดห้วงเวลา โดยปกติแล้วหากเราอยู่ภายนอกเครือข่าย LAN ของเรานั้น แต่มีความต้องการที่จะเข้ามาใช้ resource บางอย่างใน LAN เราต้องทำ Port Forwarding และต้องมี Public IP หรือ IP จริงที่เรามักจะใช้กัน เราสามารถใช้ DDNS เป็นตัวที่ทำการจับไอพีที่เปลี่ยนแปลงไปตลอดของขา WAN ฝั่งเราได้โดยไปลงทะเบียนกับทางผู้ให้บริการต่างๆ เช่น dyndns.org เป็นต้น วิธีการ configure สามารถดูตัวอย่างได้จากด้านล่างนี้ครับ

router#configure terminal
router(config)#ip domain lookup
router(config)#ip domain name dyndns.org
router(config)#ip host members.dyndns.org 63.208.196.96
router(config)#ip ddns update method mydyndns
router(config)#http
routerconfig#add ..................... >>> ใส่ username และ password
router(config)#interval maximum 28 0 0 0
router(config)#interval minimum 28 0 0 0
router(config)#end
router#configure terminal
router(config)#interface dialer0
router(config-if)#ip ddns update hostname myhostname.dyndns.org
router(config-if)#ip ddns update mydyndns host members.dyndns.org

ดูข้อมูลเพิ่มเติมได้จาก http://www.cisco.com/en/US/docs/ios/ipaddr/configuration/guide/iad_ddns_ps6441_TSD_Products_Configuration_Guide_Chapter.html#wp1221892

วิธีการทำ Port Forwarding เพื่อจะให้ผู้ใช้งานสามารถเข้าผ่าน Dynamic DNS มาที่อุปกรณ์ภายในเครือข่ายของเรา เช่น Server, IP Camera, DVR เป็นต้น

- หากเราจะเข้ามาที่ web server เบอร์ไอพีเป็น 192.168.1.21 จากฝั่งนอก เราจะต้องใช้คำสั่งตามด้านล่างนี้
ip nat inside source static tcp 192.168.1.21 80 int di0 80

- อีกทั้งเราสามารถ add Port Forwarding จาก CLI ได้เรื่อยๆ ทีละหลายๆ อุปกรณ์ได้ตัวอย่างตามด้านล่างนี้ครับ
ip nat inside source static udp 192.168.1.220 53 interface Dialer0 53
ip nat inside source static tcp 192.168.1.220 53 interface Dialer0 53
ip nat inside source static tcp 192.168.1.220 143 interface Dialer0 143
ip nat inside source static tcp 192.168.1.220 443 interface Dialer0 443
ip nat inside source static tcp 192.168.1.220 110 interface Dialer0 110
ip nat inside source static tcp 192.168.1.220 25 interface Dialer0 25
ip nat inside source static tcp 192.168.1.220 22 interface Dialer0 22
ip nat inside source static tcp 192.168.1.220 80 interface Dialer0 80
ip nat inside source static tcp 192.168.1.220 21 interface Dialer0 21
ip nat inside source static tcp 192.168.1.220 5222 interface Dialer0 5222
ip nat inside source static tcp 192.168.1.220 7777 interface Dialer0 7777
ip nat inside source static udp 192.168.1.220 5060 interface Dialer0 5060
ip nat inside source static udp 192.168.1.220 10000 interface Dialer0 10000
ip nat inside source static udp 192.168.1.220 10001 interface Dialer0 10001
ip nat inside source static udp 192.168.1.220 10003 interface Dialer0 10003
ip nat inside source static udp 192.168.1.220 10004 interface Dialer0 10004

Cisco Virtualization Solution

2010-05-06T07:00:00.002+07:00

ผมจะขอเล่าถึงผลิตภัณฑ์ใหม่เกี่ยวกับ Cisco MDS 9000 ครับ เป็นโมดูลใหม่ที่รองรับพอร์ต 8Gbps Fiber Channel มีออกมาด้วยกันหลายโมดูลตามจำนวนพอร์ตและการนำไปใช้งานดังนี้ครับ

· 24-Port 8-Gbps FC Module ใช้สำหรับเชื่อมต่อกันระหว่าง SAN Switches (Inter-Switch Links) หรือ High-end Storage
· 48-Port 8-Gbps FC Module ใช้สำหรับเชื่อมต่อกับ Server ประสิทธิภาพสูง หรือ Virtualized Server ต่างๆ
· 4/44-Port 8-Gbps Host-Optimized Module เป็นโมดูลที่รองรับ 8-Gbps FC จำนวน 4 พอร์ต และ 4Gbps FC จำนวน 44 พอร์ต เหมาะจะใช้สำหรับการเชื่อมต่อกับ Server ทั่วไป

โมดูล 8Gbps FC ใหม่ที่ออกมานี้จะต้องใช้ร่วมกับ Supervisor-2 นะครับ เพราะฉะนั้น ถ้าลูกค้าท่านใดที่ใช้ Supervisor-1 กับ MDS 9500 อยู่ และต้องการ Upgrade พอร์ต FC จาก1/2-Gbps เป็น 8-Gbps จะต้อง Upgrade Supervisor ด้วยนะครับ

เพื่อนๆสามารถหาข้อมูลเพีมเติมเกี่ยวกับ Cisco MDS 9000 ได้จาก Link ด้านล่างนี้ครับ
http://www.cisco.com/en/US/products/ps5990/index.html

สุดท้ายนี้ขอให้เพื่อนๆเริ่มงานกันอย่างมีความสุขนะครับ ขออย่าให้เครียดเกินไปกับเหตุการณ์บ้านเมืองที่ยังไม่เป็นปกติสุขนี้อยู่ครับ

Credit : Cisco Virtualization Newsletter ประจำวันที่ 19 April 2010

Shotcut Keys for Cisco Unity Connection (VoiceMail)

2009-08-30T09:02:00.003+07:00

ก่อนอื่นต้องขอเท้าความเกี่ยวกับ Cisco Unity Connection ก่อนนะครับ ซึ่งได้รวมเอาฟังก์ชันการทำงานทางด้านระบบข้อความ, การจดจำเสียง และการจัดการการโทรไว้ในรูปแบบที่จัดการได้ง่าย (easy-to-manage system) รองรับกับองค์กรขนาดผู้ใช้งาน 1500 คน Cisco Unity Connection ควบคุมและตั้งค่าได้ผ่านทาง Web browser ทำให้ง่ายต่อการติดตั้ง การดูแล และการจัดการระบบ และพร้อมเสริมด้วยความสามารถพิเศษ ในการจัดการการโทรที่รวมไว้ทั้ง automated-attendant และ call-screening รวมถึงฟังก์ชันการเตือนเมื่อมีข้อความ คราวนี้ผมสรุปวิธีกดปุ่มต่างๆ เพื่อจะจัดการกับ voice mail ที่ฝากไว้บน extension ของเรานะครับ เผื่อบางคนที่ฟังไม่ค่อยชัดมากนักครับ

Main Menu Shotcut Keys
เมนูหลักในการฟังข้อความเสียง
1 - ฟังข้อความใหม่ (Listen to new messages)
2 - ส่งข้อความ (Send a message)
3 - ฟังข้อความเก่า (Review old message)
4 - เปลี่ยน Setup Option (Chage Setup Opiton)
0 - ขอความช่วยเหลือในคำอธิบายรูปแบบการใช้งานต่าง ๆ (Help)
* - ออก (Exit)
41 - เปลี่ยนข้อความต้อนรับส่วนตัว (Change Personal Greeting)

ระหว่างการข้อความเสียง(During-Message Shortcut Keys)
1 - ฟังข้อความซ้ำ (Repeat message)
2 - บันทึกข้อความ (Save)
3 - ลบข้อความ (Delete)
4 - ฟังข้อความแบบช้า (Slow playback)
5 - ข้ามไปยังข้อความทันที (skip message header/go straight to voice Msgs)
6 - กลับมาฟังข้อความแบบปกติ (Fast playback)
7 - ฟังข้อความในประโยคนั้นซ้ำ (Rewind)
8 - หยุด/กลับมาใช้งาน (Pause/Resume)
9 - จบการฟังข้อความเลย (Fast Forward)
* - ยกเลิก (Cancel)

After-Message Shortcut Keys
1 - ฟังข้อความซ้ำ (Repeat message)
2 - บันทึกข้อความ (Save)
3 - ลบข้อความ (Delete)
5 - ส่งข้อความต่อไป (Forward message)
6 - ทำเครื่องหมายไว้ (Mark it new)
7 - ข้ามกลับไป (Skip back)
9 - ไปที่เมนู (Play message properties)
* - ยกเลิก (Cancel playing messages)
กด ## เพื่อสลับระหว่าง spelling และ numbering entry

หวังว่าคงช่วยในเรื่องการเข้าไปเมนูต่างๆ ผ่านทางหัวโทรศัพท์ได้ง่ายมากขึ้นนะครับ

ASA URL filtering

2009-08-27T15:58:00.006+07:00

มีคนถามมาเยอะนะครับ เกี่ยวกับการ block url ต่างๆ หรือ url filtering ผ่านตัว Firewall ASA เพียวๆ ที่บอกว่าเพียวๆ หมายความว่า มันไม่มี module CSC, AIP เสียบอยู่เลยนะครับ ซึ่งบางคนอาจจะประยุกต์โดยการเอา ip ของเว็บไซต์นั้นไป deny ไม่ให้ network ข้างในออกไปที่ ip นั้นๆ ตัว url filtering เป็นหนึ่งใน Feature ที่ ASA สามารถทำได้นะครับ

ผมไป search มาแล้วไปเจอวิธีการใช้งาน regular expressions นำมา map เพื่อจะ block ได้ โดย configuration ก็จะมีตามด้านล่างนี้นะครับ โดยการที่เราอาจจะใช้ domain name จาก url หรือคำต่างๆ จาก uri ได้ สมมุติว่า เราจะ block เว็บไซต์ cisco และ link ที่มีคำว่า test ซึ่งอยู่ภายใน url cisco เราสามารถสร้าง regular expressions (regex) และนำไป map เข้ากับ class-maps ชนิด http และจะใช้ policy-maps ไป drop action ของ class-map นี้อีกทีนึง โดยต้องไปทำที่ interface ใดๆ หรือ global ของ ASA ตามตัวอย่างด้านล่างนี้

regex blockex1 "/test/"
regex blockex2 "cisco\.com"

class-map type inspect http match-any block-url-class
match request uri regex blockex1
match request header host regex blockex2

policy-map type inspect http block-url-policy
parameters
class block-url-class
drop-connection log
policy-map global_policy
class inspection_default
inspect http block-url-policy

service-policy global_policy global

แต่หากเป็นการ block เว็บไซต์เยอะๆ แนะนำว่าให้ใช้ websense หรือ N2H2 ที่ integrate มากับ ASA อยู่แล้วมาใช้งานนะครับ ซึ่งมันจะสามารถ provide web filtering ได้ดีกว่าการที่เรามาใช้ regex ครับ :)

Firewall ASA Basic Configuration

2009-08-27T14:31:00.003+07:00

บทความจะขอกล่าวถึงเรื่อง Firewall ของ Cisco นะครับ ซึ่งเป็นตระกูล ASA ซึ่งจะรวมความสามารถของ PIX Firewall และ VPN มาอยู่ใน Box เดียวกัน อีกทั้งยังสามารถเลือกใส่ Module Anti-X หรือ IPS อย่างใดอย่างหนึ่งได้อีกด้วยนะครับ เอาหละ .... ผมจะแปะ command เบื้องต้นไว้ให้ โดยครั้งแรกที่เราได้ ASA มา เราก็จัดการ console เข้าไปที่ CLI นะครับ แล้วก็พิมพ์ตามด้านล่างนี้ แต่ ip อาจจะแตกต่างกัน เพื่อจะ manage ASA ได้ผ่านทาง GUI หรือผ่านโปรแกรม ASDM อีกในคราวถัดไปครับ ลองเอาไปประยุกต์เข้ากับ site ที่เราจะไป implement ดูครับ

ปกติแล้ว Firewall จะมี interface 3 ฝั่งนะครับ ก็คือ inside, outside และ dmz เราจะเริ่มที่ set ขา interface ของ Firewall ก่อนนะครับ

Firewall(config)# interface gigabitethernet0
Firewall(config-if)# speed auto
Firewall(config-if)# duplex auto
Firewall(config-if)# nameif inside
Firewall(config-if)# security-level 100
Firewall(config-if)# ip address 172.16.1.1 255.255.0.0
Firewall(config-if)# no shutdown

Firewall(config)# interface gigabitethernet1
Firewall(config-if)# speed auto
Firewall(config-if)# duplex auto
Firewall(config-if)# nameif outside
Firewall(config-if)# security-level 0
Firewall(config-if)# ip address 172.17.1.1 255.255.0.0
Firewall(config-if)# no shutdown

Firewall(config)# interface gigabitethernet2
Firewall(config-if)# speed auto
Firewall(config-if)# duplex auto
Firewall(config-if)# nameif dmz
Firewall(config-if)# security-level 50
Firewall(config-if)# ip address 172.18.1.1 255.255.0.0
Firewall(config-if)# no shutdown

กำหนดให้สามารถ http หรือใช้ GUI ได้ผ่านทาง interface ไหน และ password เป็นอะไร

Firewall(config)# http server enable
Firewall(config)# http 172.16.0.0 255.255.0.0 inside
Firewall(config)# enable password cisco

หมดมุขแล้วครับ ... คนที่คลุกคลีกับ Firewall ของ Cisco อยู่คงจะคุ้นเคยกับ command เหล่านี้ดี ไว้จะมา update ที่ยากๆ ขึ้นกว่านี้นะครับ ไว้เจอกันใหม่โอกาสหน้า สวัสดีครับ ....

Setting up a voice gateway with Cisco IPtoIP gateway

2009-08-18T14:36:00.003+07:00

ทิ้งไปนานกับการ update นะครับ ต้องขอประทานโทษด้วยครับ วันนี้เลยขอฝากตัววิธี configure Voice Gateway บน ISR Router ในซีรี่ Cisco 2800 ซึ่งสามารถนำมาใช้เป็น Voice Gateway ได้ในรูปแบบ และโปรโตคอลที่แตกต่างกันครับ โดยที่การ configure เราจะไปเกาะกับ SIP Server ของผู้ให้บริการ SIP (SIP Provider) ที่ต่างๆได้ เช่น TOTNetcall, CAT2Call, Call Cafe ของ TT&T เป็นต้น นะครับ ส่วนค่าบริการในการโทร ก็สามารถเข้าไปดูได้ผ่านเว็บของผู้ให้บริการเหล่านี้ ซึ่งผมทำ Link url ให้ไว้ตามล่างแล้วเช่นกันครับ

SIP dial peer that uses configured sip-server.
dial-peer voice 211 voip
destination-pattern 90........
voice-class codec 200
session protocol sipv2
session target sip-server

SIP dial peer that routes traffic to ip.
dial-peer voice 211 voip
destination-pattern 91........
voice-class codec 200
session protocol sipv2
session target ipv4:5.6.7.8

H.323 dial peer that uses RAS (configured gatekeeper).
dial-peer voice 1 voip
destination-pattern 10.........
voice-class codec 200
session target ras

H.323 dial peer that routes to another gw or endpoint
dial-peer voice 1 voip
destination-pattern 11.........
voice-class codec 200
voice-class h323 500
session target ipv4:9.8.7.6

SIP UA settings
sip-ua
nat symmetric role passive
nat symmetric check-media-src
sip-server dns:domain.dom

สามารถเข้าไปดูรายละเอียดเพิ่มเติมได้จาก url ด้านล่างนี้ครับ

TOTnetcall : www.totnetcall.com

CAT2Call : www.cat2call.com

TT&T : www.callcafe.info

Enabling NetFlow on a Catalyst 6500

2009-06-20T12:56:00.004+07:00

บทความนี้จะพูดถึง netflow ซึ่งเป็น protocol propietary ของ Cisco นะครับ ซึ่งก็คือ Cisco เป็น vendor เดียวที่พัฒนาโปรโตคอลนี้ขึ้นมาและนำมาใช้ในลักษณะการบริหารจัดการเครือข่ายผ่านอุปกรณ์ที่รองรับได้

เมื่อเราเปิดพอร์ตหรือ VLAN ให้เริ่มฟังก์ชั่นการทำงานของ Netflow ขึ้นบนอุปกรณ์ สิ่งที่เกิดขึ้นก็คือ พอร์ต หรือ VLAN นั้นๆ จะทำการพ่นข้อมูลตามตัวอย่างด้านล่างออกมาครับ

• IP source address
• IP destination address
• Source port
• Destination port
• Layer 3 protocol type
• Type of service
• Router or switch interface

ปัจจุบัน Netflow ได้ออก version มาหลายๆ version ได้แก่ V.1, 5, 7 (บน Cat6500) และ 9 ตามลำดับ ปกติแล้วทั่วๆ ไป admin มักจะเปิดการทำงาน version 5 ส่วน vesion 9 ก็จะเหมือน version 5 เกือบทุกอย่างครับ ยกเว้นสิ่งที่มันเพิ่มขึ้นมาก็คือ มันจะบอก Source และ Destination MAC Addresses ด้วยครับ

โดยปกติแล้ว Netflow สามารถ enable ได้บนเราเตอร์เกือบทุก Series ของ Cisco แต่บนสวิตซ์จะสามารถใช้งานได้บาง Series เท่านั้นนะครับ อย่างเช่นตระกูลของ Catalyst 4500+Sup V, Catalyst 4500+Sup IV+Netflow daughter card และ Catalyst 6500 Series เท่านั้นครับ

เอาหละครับ คราวนี้ก็เป็นตัวอย่างของการเปิด Netflow บน ios ของ Catalyst 6500 Series นะครับ ผมเชื่อว่าหลายๆ มหาวิทยาลัยก็ใช้งานกันอยู่เหมือนกัน เพราะ Netflow มันมีประโยชน์มากจริงๆ โดยเฉพาะหากเรามี Netflow Collector Software อยู่แล้วด้วย เช่น CS-MARS, Netflow Analyzer ของ Manage Engine เป็นต้น

IOS(config)# mls netflow
IOS(config)# mls flow ip interface-full
IOS(config)# mls flow ipv6 interface-full
IOS(config)# mls nde sender version 7
IOS(config)# ip flow-export source vlan 1
IOS(config)# ip flow-export destination 10.10.10.100 200

วิธีตรวจสอบบน ios นะครับ เราจะใช้คำสั่ง

IOS# sh mls netflow ip

ขอขอบคุณหนังสือ LAN Switching Security 2007 จาก Cisco Press ด้วยครับ :)

How do I connect multiple CallManager Express systems?

2009-06-14T21:18:00.002+07:00

วิธีการเชื่อมต่อ CallManager Express ทั้ง 2 ฝั่งเข้าหากัน หรือการทำ SIP Trunk นะครับ สามารถทำได้โดยตัวอย่างด้านล่าง ซึ่งเราจะใช้คำสั่ง dial-peer บน ios ที่อยู่ในเราเตอร์ ISR ของ Cisco นะครับ

CCME-A
dial-peer voice 10 voip
description Connection to CCME-B
destionation-pattern 11..
session target ipv4:192.168.2.1

telephony-service
call-forward pattern 1...
transfer-system full-consult
transfer-pattern 1...

CCME-B

dial-peer voice 10 voip
description Connection to CCME-A
destionation-pattern 10..
session target ipv4:192.168.1.1

telephony-service
call-forward pattern 1...
transfer-system full-consult
transfer-pattern 1...

802.11N For Next Generation WIFI

2009-06-14T12:51:00.007+07:00

ผมขออนุญาตพูดถึงเรื่องอุปกรณ์ WLAN นะครับ โดยเฉพาะ 802.11n standard ซึ่งเป็น มาตรฐานที่เราหลายคนรู้จักกันไปแล้วบ้างนะครับ ไม่มากก็น้อย อาจจะรู้จักผ่านทาง เครื่องคอมพิวเตอร์โน๊ตบุ๊คที่เราได้ซื้อมา เพราะการ์ด wireless เรารองรับ 802.11 b/g/n อะไรทำนองนี้นะครับ ก่อนอื่นผมขออนุญาตเล่าก่อนนะครับว่า 802.11n นี้มันจะเป็น generation ใหม่ของ WIFI ซึ่งสามารถให้ throuput ในการรับส่งข้อมูลระหว่างอุปกรณ์ได้ถึง 300 Mbps ซึ่งจะมากกว่ามาตรฐาน 802.11a/b/g ในปัจจุบันที่รองรับได้แค่เพียง 54 Mbps เกือบ 6 เท่าเลยทีเดียวครับ นึกภาพง่ายๆ ครับ เมื่อก่อนเราขับรถช่องทางเดียว แถมดินลูกรัง แต่ปัจจุบัน และอนาคตมีเลน หรือช่องทางเดินรถเพิ่มขึ้นมาเป็น 6 ช่องทาง แถมทางเรียบขึ้นอีก ก็จะทำให้รถวิ่งได้เร็วมากขึ้นนั่นเองครับ

ในช่วงนี้เราสามารถใช้งาน 11n แบบเป็น draft ก่อนนะครับ ซึ่ง vendor หลายๆ สำนักก็ได้ทำการผลิต chip ที่รองรับมาตรฐานตัวนี้ Feature ที่น่าสนใจก็คือ MIMO (Multiple Input Multiple Output) มันสามารถรวม channel และเร่งในการส่ง Frame ข้อมูลได้ อีกทั้งยังกันสัญญาณรบกวน Wireless Network ข้างเคียง รวมทั้งอุปกรณ์อื่นๆที่ใช้ความถี่เหมือนกัน ซึ่งตัว802.11n นี้รองรับความถี่ได้ที่ 2.4 และ 5 GHz ครับ

ที่เล่าๆ มาเนี่ย เพื่อจะมาจับโยงเข้ากับตัว Cisco SMB ตัวนึงครับ :) ก็คือ WAP4410N ซึ่งเหมาะสำหรับ SMB Solution ครับ หากเป็น Enterprise Solution Cisco จะใช้ product อีกตัว ซึ่งไว้มีโอกาสผมจะมาแนะนำให้ฟังนะครับ ตัว Access Point ที่เหมาะสำหรับ Enterprise Solution นั้น ถูก Implement ไปที่โรงแรมโอเรียลเต็ล ไปเรียบร้อยแล้วครับ

เอาหละผมจะอธิบาย Feature หลักๆ ที่มันสามารถทำได้นะครับ และเป็น key สำคัญของอุปกรณ์ตัวนี้ครับ
- มี LAN พอร์ตเป็นแบบ Gigabit Ethernet (เน้นนะครับว่าเป็น gigabit หากวิ่งได้เพียง 10/100Mbps ก็จะเป็น bottleneck นะครับ เนื่องจาก wireless มันรับอยู่ที่ 300 Mbps เพราะฉะนั้นแล้วต้องสังเกตดีๆ นะครับ บาง product เองบอกว่ารองรับ 802.11n แต่พอร์ตสวิตซ์ที่เชื่อมต่อเข้ากับ network switch นั้นรองรับเพียงแค่ 10/100 Mbps ก็อาจจะทำให้เกิดปัญหาเรื่องคอขวดขึ้นมาได้ครับ)
- รองรับ POE และ DC Power ครับ เพราะฉะนั้นเราสามารถใช้ power injector มาเสียบเข้ากับตัวนี้ได้ครับ แต่ต้องหา 3'rd party ที่รองรับ 802.3af นะครับ เพราะ Cisco SMB ไม่ได้ทำการผลิต power injector ครับ- รองรับทำ Multiple SSID ได้ไม่น้อยกว่า 4 SSID และสามารถ map เข้ากับ vlan ได้ มีประโยชน์ในการทำ policy แต่ละ SSID ครับ เช่น เราแยกวง guest ออกจากวง office นั่นเองครับ

- สามารถเลือกโหมดการทำงานอุปกรณ์ได้ดังนี้ครับ
1. Access Point Mode
2. Point-to-point Bridge Mode
3. Point-to-multipoint Bridge Mode
4. Repeater Mode
5. Wireless Client Mode

- รองรับระบบความปลอดภัยต่างๆ ดังนี้ครับ
1. WEP 64-Bit/128-Bit
2. WPA-PSK, WPA2-PSK
3. WPA2-ENT
4. WPA-ENT authentication
5. SSID Broadcast enable/disable
6. IEEE 802.1X, IEE 802.1X supplicant

- รองรับการทำ QoS 4 Queues และ WMM Wireless Priority
- Rogue AP detection สามารถ detect access point แปลกปลอมที่เข้ามา network ภายในบริษัท หรือสำนักงานของเราได้
- Auto-Channel selection มันสามารถเลือก channel เองได้ และ switch channel ไม่ชนกันครับ feature นี้จะคล้ายๆ กับ Cisco Aironet เลยครับ
- รองรับการบริหารจัดการอุปกรณ์ผ่าน WEB Brower (HTTP/HTTPS) และ SNMP Version 1, 2c ได้เผื่อใครจะเก็บ log ก็ใช้ SNMP sync ไปเก็บไว้ที่ Log Server ของเราครับ
- เป็น Linux fireware ดังนั้นมันจึงสามารถ upgrade หรือเขียน code ใส่เพิ่มให้มันได้ ซึ่งหลายๆ คนคงชอบครับ :)

รักษาสุขภาพด้วยนะครับ ปลอดภัยจากชิคุนกุนยา และหวัดใหญ่ 2009 โรคนี้มันเริ่มเข้ามาแถวบ้านเราเยอะขึ้น ผมได้รับฟังจากข่าว ที่สงขลาและภูเก็ตก็มีผู้ติดเชื้อหวัดใหญ่ 2009 แล้วด้วย ฝากไว้นิดหน่อยครับ กินของร้อน ช้อนกลาง ล้างมือบ่อยๆ ครับ ฉบับนี้ไว้แค่นี้ก่อนนะครับ ไว้เจอกันใหม่ฉบับหน้า สวัสดีครับ :)

From Linksys COBO to Cisco SMB

2009-06-12T22:03:00.003+07:00

เป็นที่ทราบกันดีว่า Cisco ได้ทำการซื้อ Linksys มาเป็นกรรมสิทธิ์ในการทำตลาด SOHO และ SMB (Small and Middle Business) ในช่วง 4-5 ปีที่ผ่านมา โดยตั้งแต่เดือนมิถุนายนนี้ (2009) Linksys COBO เดิม จะเริ่มทยอยเปลี่ยนโลโก้ไปเป็น Cisco System เต็มตัวแล้วนะครับ อย่างไรก็ตาม Linksys SOHO ที่มีอยู่เดิมเช่น WAP54G, WRT54GL ก็จะยังคงเป็นฝั่ง Linksysbycisco เป็นคนดูแลเหมือนเดิมครับ

โดยการเปลี่ยนแปลงนี้มีผลทำให้ warranty ต่างๆ ของ Linksys COBO (Cisco SMB) เดิมนั้นกลายมาเป็นหน้าที่ความรับผิดชอบของ Cisco เต็มตัว.... แต่ ครับแต่ แต่ตัว Cisco SBM นี้ไม่สามารถซื้อ SMARTNet ได้นะครับ (ยกเว้นตัว Virus and Spam Blocker ที่ต้องซื้อ SMARTNet) มันจะเป็นอุปกรณ์ที่ติด warranty มาแล้วเช่น

รับประกัน 1 ปี - ส่วนใหญ่ก็จะเป็นอุปกรณ์ประเภท IP Camera, NAS (Network Attached Storage), Router ตระกูล RV ต่างๆ ที่หลายคนเอาไปทำ Load balance Link กัน และอุปกรณ์ VoIP ต่างๆ
รับประกัน 3 ปี - ส่วนใหญ่จะเป็นอุปกรณ์ WLAN
รับประกัน 5 ปี - ส่วนใหญ่จะเป็นอุปกรณ์ Switch ตระกูล SGE, SR, SRW เป็นต้น
Lifetime warranty - ก็คือ รับประกันตลอดอายุการใช้งานแบบมีข้อจำกัด :) ส่วนใหญ่จะเป็นอุปกรณ์ Switch ตัวเล็กตระกูล SD

สามารถเข้าไปดูรายละเอียดเพิ่มเติมได้ที่ http://www.cisco.com/go/smb

New Cisco IP Phone 69XX Series

2009-06-05T23:11:00.003+07:00

วันนี้ผมมาอัพเดทข้อมูลเกี่ยวกับหัว phone ของ Cisco ครับ ซึ่งได้ออก IP Phone ตัวใหม่ออกมาอีก Series นึงแล้วครับซึ่งจะประกอบไปด้วย 3 รุ่นคือ 6921, 6941และ 6961 ส่วน Datasheet ก็สามารถ download ได้จาก url ด้านล่างนี้ครับ

http://www.cisco.com/en/US/products/ps10326/index.html

ผมสรุป Feature หลักๆ มาให้นะครับ
- รองรับภาษาไทย
- รองรับมาตรฐานโปรโตคอลชนิด SCCP รวมทั้ง version ล่าสุดของ Callmanager คือ v7.1.2 (ไม่รองรับ SIP ต้องระวังตอนเสนอลูกค้านะครับ)
- รองรับการโปรแกรมปุ่มฟังก์ชั่น (programmable soft key) 4 ปุ่ม
- เป็น Full duplex speakerphone ซึ่งดีกว่าพวกตระกูล 39xx ที่เป็นแบบ half duplex ครับ
- มี 2 ethernet ซึ่งหลายๆ คนคงอยากได้มากๆ เนื่องจากจะได้นำมาต่อ PC หาจะซื้อตระกูล 79xx ต้องเริ่มที่ 7911 แต่ IP Phone series ใหม่นี้มีราคาที่ถูกกว่า
- codec ที่รองรับ G.711a, G.711, G.729a, G.729b, และ G.729ab
- รองรับ Cisco Power Inline และ IEEE802.3af ได้
- รองรับมาตรฐาน CDP สามารถรู้จักอุปกรณ์ข้างเคียงได้, IEEE 802.1p/q มีประโยชน์ในการจัด qos เพื่อคุณภาพเสียงที่ดี
- รองรับคุณสมบัติ silent suppression หรือ voice activity detection เพื่อลดปริมาณของ bandwidth เมื่อไม่มีข้อมูลเสียง และสามารถสร้าง comfort noise เมื่อไม่มีการส่งเสียงได้ ซึ่งถ้าใครเคยใช้ หัว phone cisco โทรคุยจะได้ยินคุณภาพเสียงที่ค่อนข้างดีมากๆ สังเกตได้ครับจากการที่เจ้าหน้าที่ของ Cisco โทรเข้ามาที่เรา (ซึ่งจะใช้ IP Phone รุ่น 79xx) เสียงจะชัดเลยทีเดียวครับ

- มีช่องสำหรับรองรับการต่อเชื่อมกับ Headset

Cisco Telepresence System

2009-05-18T10:16:00.007+07:00

เทคโนโลยีเรื่องการติดต่อสื่อสาร นับว่าปัจจุบันมีผลในการ drive business มากขึ้นเรื่อยๆ โดยเฉพาะยุคน้ำมันแพงในช่วงจังหวะเวลานี้ ย้อนกลับไปสัก 5-7 ปีที่ผ่านมา ผมมองการใช้ video conference เป็นเรื่องไกลตัวมากๆ เนื่องจากข้อจำกัดเรื่องของ bandwidth และตัวอุปกรณ์ที่ใช้สำหรับ conference มีราคาค่อนข้างสูง แต่ปัจจุบันกำแพงราคาเริ่มพังทลายลง บ้านแต่ละหลังมี ADSL ความเร็วอย่างต่ำๆ 2 Mbps ใช้กันในราคาเพียงแค่ 490-590 ต่อเดือนเท่านั้น ส่งผลให้การทำงานสะดวกสบายขึ้นกว่าเดิม การติดต่อสื่อสารผ่านทาง IP เป็นเรื่องง่ายมากขึ้นตามไปด้วย

การประชุมเป็นเรื่องปกติของคนทำงาน แต่สำหรับองค์กร หรือบริษัทไหน มีสาขาและต้องจำเป็นต้องติดต่อสื่อสารถึงกันนั้น ตัวระบบ video conference มีส่วนช่วยในการประหยัดค่าใช้จ่ายในการเดินทาง ความปลอดภัยในการเดินทางบนท้องถนน หรือบนฟ้าก็ตาม และยังเซฟเวลาในการเดินทางได้อีกด้วย ว่าด้วยเรื่องของไอพีจึงช่วยขยายขอบเขตการสื่อสาร เพื่อรองรับการพบปะพูดคุยและการทำงานร่วมกันของผู้คน โดยไม่จำเป็นต้องเดินทางไปถึงที่นั่น ซึ่งเมื่อมองถึงภาพอนาคต มันประหยัดค่าใช้จ่ายอย่างมหาศาลเลยทีเดียว เพราะฉะนั้น การที่ CEO ของบริษัทจะ invest อะไรก็ตาม มักจะดู ROI (Return of Investment) ที่ได้กลับมา และส่วนใหญ่ก็มักจะเอาเงินไปลงทุนในเรื่อง IT โดยเฉพาะช่วงวิกฤตน้ำมันแพงขณะนี้ตัว VoIP, Video confernce solution จึงเข้ามามีบทบาทเยอะเลยทีเดียวครับ

แต่สิ่งหนึ่งที่ซิสโก้พัฒนาขึ้นมาจากมุมมองของ video conference ก็คือระบบ Telepresence ระบบนี้เองเป็นการผสมผสานระบบเสียงคุณภาพสูง, วิดีโอความละเอียดสูง และระบบอินเตอร์แอคทีฟ เข้าด้วยกันเพื่อสร้างระบบการประชุมแบบตัวต่อตัวผ่านทางเครือข่าย IP นั่นเอง ดังนั้นเราจึงสามารถพบปะ ทำงาน และเรียนรู้ได้ทุกสถานที่ทั่วโลกผ่านการติดต่อระหว่างระบบ Cisco TelePresence โดยส่วนตัวผมเคยไปดูเทคโนโลยีนี้ที่สิงคโปร์ และฮ่องกงมาแล้ว พูดง่ายๆ ก็คือเหมือนเรานั่งอยู่ในห้องประชุมเดียวกันเลยทีเดียว แต่แท้ที่จริงแล้ว อยู่กันคนละประเทศกันเลยหล่ะครับ ตอนนี้เข้าใจว่าทางซิสโก้ ประเทศไทย ได้นำระบบนี้ติดตั้งที่ออฟฟิสในเมืองไทยไปเสร็จเรียบร้อยด้วยเหมือนกันนะครับ ใครอยากจะเห็น solution นี้แบบเต็มก็ลองติดต่อผ่านไปยังบริษัทที่เป็น partner ของซิสโก้ดูนะครับ ที่พูดมามากมายซะขนาดนี้ก็เพื่อจะโยงให้เข้ากับ youtube ที่ผมจะให้ดูนะครับ เป็นงาน Cisco Expo ที่ประเทศเยอรมัน พิธีเปิดเค้าใช้วงออเคสตร้ามาบรรเลง โดยให้นักร้อง ร้องเพลงผ่านระบบ Cisco Telepresence มาครับ เห็นแล้วอึ้งมากๆ ครับ ....

ทำไม Management VLAN ที่เป็น VLAN1 ถึงไม่ปลอดภัย?

2009-05-05T21:49:00.007+07:00

เมื่อเราซื้อสวิตซ์มาใหม่แกะกล่อง สวิตซ์จะมี VLAN 1 ซึ่งเป็น default vlan ที่มาจากโรงงาน และทุกพอร์ตก็จะเป็นสมาชิกของ vlan1 ไปโดยปริยาย กรณีนี้ยังเหมารวมไปถึง unmanage switch ด้วยนะครับ

ที่ผ่านมาผมจะเจอลูกค้า ส่วนใหญ่มักจะเอา VLAN 1 เป็น Management VLAN ซึ่งส่งผลทำให้ เมื่อมีใครสักคน อาจจะเป็น attacker นำสวิตซ์ตัวใหม่มาเสียบเข้ากับสวิตซ์ที่มีอยู่เดิมในระบบ และทำเป็น trunk port เชื่อมต่อเข้าหากัน พอร์ตที่เหลือทั้งหมดบนสวิตซ์ตัวใหม่ของ attacker ก็จะอยู่ใน vlan1 ทั้งหมด อีกทั้งยังสามารถติดต่อ vlan อื่นๆ ผ่าน trunk line ไปได้ พอจะนึกออกแล้วใช่มั้ยครับว่า จะเกิดอะไรขึ้นตามมา ผลที่ตามมาก็คือ เป็นช่องโหว่ให้ Attacker เหล่านี้เข้ามาในระบบเราได้ง่าย สามารถเข้าถึงอุปกรณ์ของเราได้โดยตรง และสามารถสร้างความเสียหายแก่ระบบเครือข่ายตามมาได้ โดยเฉพาะ Layer2 attack เช่น
1. CAM table overflow attack จะทำให้ MAC Address Table ภายในสวิตซ์เต็ม และทำให้สวิตซ์หยุดชะงักในการทำงานได้
2. Rogue DHCP server เป็นการทำให้มี unauthorized IP เกิดขึ้นสู่ network ของเราได้
3. ARP attack ทำตัวเป็น MAN-In-the middle โดยจะเข้าไปบอกว่า IP ของผู้ใช้งานในระบบของเรา เป็น MAC Address ของ Attacker ดังนั้น Attacker ก็จะได้รับข้อมูลของผู้ใช้งานภายในไปด้วย
4.Spoofing Attack เป็นการกระทำของ Attacker พยายามหลอกระบบว่าตัวเองเป็น IP ที่อยู่ในระบบของเราด้วย

Note. วิธีแก้ไขแบบเบื้องต้นสุดๆ เลยก็คือ Management VLAN เราจะต้อง create ขึ้นมาใหม่ ซึ่งเราต้องย้ายอุปกรณ์สวิตซ์จาก vlan 1 เข้ามาอยู่ใน vlan วงนี้ และเปลี่ยน default-gateway ไปชี้ที่ interface vlan ที่เราสร้างขึ้นมาใหม่เช่นเดียวกันนะครับ ทำแบบนี้ก็เพื่อความปลอดภัยในการบริหารจัดการอุปกรณ์เครือข่ายของเรา แต่ก็ยังไม่ 100% ผมจึงขออนุญาตเสนอเพิ่มเติมโดยใช้ Access List ในการ filter อีกชั้นนึง ลองดูตัวอย่างที่ผมยกมาให้สัก 2 ตัวอย่างนะครับ

1.vty ACLs
switch(config)#access-list 10 permit host 192.168.1.77
switch(config)#line vty 0 4
switch(config-line)#access-class 10 in

ตามตัวอย่างด้านบนนี้เป็นการระบุให้เพียงไอพี 192.168.1.77 เท่านั้นที่สามารถ telnet เข้ามาที่ switch ได้

2.Restricting Web Interface Sessions with ACLs
switch(config)#access-list 10 permit host 192.168.1.77
switch(config)#ip http server
switch(config)#ip http access-class 10

ตามตัวอย่างที่ 2 เป็นการอนุญาตให้เพียงไอพี 192.168.1.77 เท่านั้น ที่สามารถ http เข้ามาบริหารจัดการสวิตซ์ได้

หวังว่าคงได้ไอเดียในการจัดการบริหารอุปกรณ์เครือข่ายของเราไม่มากก็น้อยนะครับ ผิดพลาดตรงไหนยังไง รบกวนแนะนำกลับมาได้เลยครับ ...

ส่วนวิธีใช้คำสั่งต่างๆ ในการแก้ไข Layer 2 attack จะมาเล่าเพิ่มเติมในครั้งต่อไปนะครับ