Cisco學習資訊分享

Cisco Catalyst 6500 有新的管理模組: Supervisor 2T

2011-08-30T19:39:00.001+08:00

Cisco Catalyst 6500
Image captured on Cisco.com

Cisco 上個月推出 Catalyst 6500 系列新的 Supervisor 2T. 而且效能更高, 價格更低.

從型號來看, 就可以猜到交換能力可達到 2 Tera bits per second 的水準(事實上是 2040 Gbps, 也就是 2.04 Tbps). 如過再用 VSS (Virtual Switching System) 將兩部 Catalyst 6500 合併成一套來用, 整體交換能力可以達到 4 Tbps 的水準.

值得一提的新功能: CMP

Connectivity Management Processor (CMP) 是一個獨立的小硬體伺服器, 嵌在 Supervisor 2T 上. 相當於是一部終端機伺服器 (Terminal Server). 有了它, 我們就可以從遠端對 Catalyst 6500 作 Console 的操作, 包括例如強迫重開機, IOS 映像檔的修復, 觀察重開機過程的 Console 訊息等.

舊版的 Supervisor 不支援這個功能. 如果發現 Catalyst IOS 升級後重開機開不起來, 我們只能跑到現場接 Console, 或是透過事先準備外掛的 Terminal Server 救援.

CMP 這項功能在 Cisco Nexus 7000 上是標準配備. Catalyst 6500 有了 CMP, 會更適合安裝在無人的機房中.

升級 Supervisor 2T 的注意事項

因為 2T 和前一代的 Sup 720 硬體架構上差異很大, 如果要使用舊的 Catalyst 6500 升級, 需要注意以下事項:

6700 系列的模組, 必須另外升級 DFC/PFC 子卡到 DFC4/PFC4. 不然只能用速度慢很多的傳統共用模式 (全部模組共用 32 Gbps Bus).
WS-X6708-10GE-3C/3CXL (6700 系列的 8埠 10G 模組) 跟 2T 不相容. 必須換成WS-X6908-10GE-2T/2TXL (6900 系列的 8埠 10G 模組).
機框(Chassis) 必須是 E 系列, 也就是 6503-E, 6504-E, 6506-E, 6509-E, 6509-V-E, 6513-E 其中之一.
Catalyst 6513 機框才有辦法完全發揮 2 Tbps 的全部能量. 例如 6509 最多只能使用到約 1.4T (=40Gbps * 2 channel * 9 slot * 2 duplex)
6900 系列的模組才有辦法完全發揮 2T 的好處 (dCEF2T). 如果 6800 或是 6700 升級子卡並不會因為 Supervisor 升級 2T 而跟著加速, 只能維持原來 Sup 720 的水準 (dCEF720). 不過這不是大問題, 因為 6700/6800 系列模組的頻寬要求設計目標, 本來就只是要完全發揮前一代 Sup 720 的效能而已.

結論

如果是新採購的 Catalyst 6500, 建議直接用 Supervisor 2T, 10G 高速模組直接採用 6900 系列.

如果是舊系統升級, 需要注意前面討論的部分限制.

Catalyst 6513 升級 2T 會得到最多的系統效能提升.

Reference:

如何將舊的 Cisco Switch 設定成可封存狀態

2011-05-28T01:05:00.000+08:00

Nagoya TV Tower

偶而會看到, 有的公司有成堆的舊的堪用的 Cisco Switch. 丟掉很可惜, 偶而拿出來在 Lab 區或是展覽攤位當作臨時連通用, 也很不錯.

可是當拿到一台舊的 Cisco Switch 時, 通常還要花很多的時間 "清除密碼" "重新設定", 才能開始好好地接起來使用. 要減少這些嘗試錯誤的時間, 也許在封存入庫前先將 Switch 的設定調整到某個方便取用的狀態, 才可以減少這種時間的浪費.

最簡單的方法, 就是將所有設定清除, 回到出廠狀態. 可是這樣做有幾個缺點:

預設的設定, Switch 埠並沒有啟動 "PortFast" 功能, 所以網路線插上去, 都要等 30 秒以上該埠才能用.
沒有設定IP位址的 Cisco Switch, 沒辦法 TELNET 登入. 萬一沒帶 Console Kit 就設定不了.
沒有設定密碼的 Cisco Switch, 沒辦法 TELNET 登入.
Lab 區連接通常都需要分割 VLAN.

所以, 儲存一些初始設定, 或是至少準備一些初始設定給無設定的 Switch 來 "貼上", 可以節省大家不少時間!

我個人認為以下的初始設定, 應該可以應付絕大多數的狀況:

清除所有設定, 所有埠啟用 "portfast". 如果要插多個 Uplink 埠時不要插太快, 每個間隔至少兩秒, 避免迴路轉送 (looping).
將 VTP domain 設定成某個不常用的值, 避免產生 VLAN 資訊洗掉的慘劇.
建立三個 VLAN, 每8個埠設成同一個 VLAN. 多的不需要設定, 24 埠很夠用了.
第一個 VLAN 設定 IP 位址, 記得 "interface vlan" 需要 "no shutdown".
設定密碼, 登入後用最高權限 "privilege level 15".

("兩秒" 的時間如何估計? 可以心理默念 "哈里路亞", "阿彌陀佛", 或是 "林志玲" 兩次, 差不多就是兩秒.)

我將參考設定列出, 方便大家剪貼!

--- CUT HERE ---

hostname OLD-SW
spanning-tree portfast default
vtp domain nosuchname
vlan 10
 name TEMP-VLAN10
vlan 20
 name TEMP-VLAN20
vlan 30
 name TEMP-VLAN30
int r f0/1 - 8
 switchport access vlan 10
int r f0/9 - 16
 switchport access vlan 20
int r f0/17 - 24
 switchport access vlan 30

int vlan 10
 ip address 10.1.1.1 255.255.255.0
 no shutdown
line vty 0 15
 password notcisco
 privilege level 15

end

--- END OF CUT ---

祝大家週末愉快!

感受一下資料中心可以有多大: Facebook 在美國奧瑞岡州, 新的資料中心

2011-04-19T22:59:00.000+08:00

Captured from this post, by Robert Scoble

Photo tour of Facebook’s new datacenter — Scobleizer

2011二月起 IANA 的 IPv4 unicast 地址全部配發完畢. 注意這個事件, 但是不需要慌張!

2011-02-12T20:37:00.000+08:00

這並不表示全世界的 IPv4 地址現在已經全部都用完, 應該是說, IPv4 地址只剩下倉庫的存貨.

IPv4 地址的配發, 是由 IANA (相當於 IPv4 位址製造商) 配發給五大 RIR (相當於 IPv4 位址的經銷商), 再配發給需要的電信公司(相當於 IPv4 地址的消費者). 所以目前的狀況是, 製造商已經停產, 如果還要, 電信公司就只剩經銷商的倉庫存貨可以申請.

不過, 不需要恐慌, 我之前的文章有提到過! 只要記得加快轉換到IPv6新世界的速度就可以!

我相信很多新聞報導應該都是根據以下的資料來源:

Five /8s allocated to RIRs - no unallocated IPv4 unicast /8s remain

Leo Vegoda leo.vegoda at icann.org
Thu Feb 3 14:51:35 UTC 2011
...

Hi,

The IANA IPv4 registry has been updated to reflect the allocation of five /8 IPv4 blocks: one to each RIR, in February 2011. You can find the updated IANA IPv4 registry at:

http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xml
http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xhtml
http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.txt

打開該這篇文章的最後一個連結 "IANA IPv4 Address Space Registry" 每個人都看得出來, 前 224 個 "/8" 地址區塊 (也就是全部的 IPv4 unicast 位址空間) 都已經配發出去了 - 沒有一個狀態是 "UNALLOCATED".

如果急著想知道哪些事現在可以立刻開始做, 可以參考我之前的文章:
家用 Internet 使用者, 對於 IPv6 可能有的疑問和我的回答

埃及的 Internet 連線回復了 (轉載自: "Egypt Returns To The Internet - Renesys Blog")

2011-02-03T00:34:00.000+08:00

大約在台灣時間 Feb 2 (WED), 2011 的 19:29:31 開始回復.

Egyptian Internet providers returned to the Internet at 09:29:31 UTC (11:29am Cairo time). Websites such as the Egyptian Stock Exchange, Commercial International Bank of Egypt, MCDR, and the US Embassy in Cairo, are once again reachable.

大約在台灣時間 Feb 2 (WED), 2011 的 21:36 , 從埃及內部可以連上 Facebook 和 Twitter 服務.

Update (13:36 UTC): We confirm that Facebook and Twitter are up and available inside Egypt, at least from the places we can monitor. No traffic blocks are in place, DNS answers are clean, IP addresses match, no funny business. For now.

[Reference]

Egypt Returns To The Internet - Renesys Blog

今年春節長假期, 可以做些甚麼?

2011-01-27T22:01:00.000+08:00

Village of World Heritage (DSCN1921),
originally uploaded by Li-Ji.

其實可以準備考考 Cisco 相關認證考試了! Why?

今天的美元兌台幣匯率: 1 U.S. dollar = 29.0343186 Taiwan dollars

換句話說, 250 USD 的 CCNA 考試費用, 以今天的匯率來算, 大約為 7,259 TWD. 跟不久之前 1 USD = 32 TWD 相比, 幾乎是打了九折!

心動了嗎? 趕快行動吧!

轉載: 新年新計畫: 乾淨的網路

2011-01-16T23:53:00.000+08:00

Shifen Waterfall (DSCN1230),
originally uploaded by Li-Ji.

雖然原文主旨在廣告他們家的產品, 不過我認為內容很值得我們日常管理參考.

New Year Resolution: Run a Clean Network - Applied Infrastructure

原文提到的這四項問題, 我認為可以趁著年度剛開始, 將它們當作重點項目好好檢查!

... Therefore, I have a list of a few things that should not appear in a clean network:
1. Configuration not saved
2. Router interface down
3. Switch Trunk interface down
4. HSRP/VRRP/GLBP group with only one router

Configuration not saved

這點大家應該都很清楚, 萬一沒有存檔, 碰上斷電, 設定就回到前一版本. 網路很可能就因此而不通了!

Router interface down

這裡指的是正常應該要啟動的網路卡, 我們並沒有關掉它, 但是它的狀態是斷線的. 在有備援線路設計的情境下, 當備用線路斷線時, 網路仍然是通的, 就會發生這種應該 Up 結果是 Down的現象.

這種狀態當然不好, 萬一可用的那條電路終究還是故障, 所連接的遠端辦公室就完全斷線了!

Switch Trunk interface down

這個問題跟前一個很像, 只不過變成 Switch 版. 即使平常沒有流量的 blocking 線, 該是 Up 的連線, 該是Trunk模式的連線, 一定要正常運作, 不然當主線斷線時, 網路就全斷了!

HSRP/VRRP/GLBP group with only one router

這個問題指的是, 明明有配置兩台以上的路由器互為備援, 但是狀態檢查出來並沒有. HSRP/VRRP/GLBP 三個協定都是用來做出口閘道 IP 位址備援的.

換句話說, 當主要的路由器故障時, 備援的那台並不能正常接手, 所以網路就會全斷.

問題應該都出在備援的那一台上, 原文也舉了幾個可能的故障情境:

1. The redundant (second) device hasn't been installed yet.
2. The redundant device was installed, but its configuration is incomplete.
3. The redundant device used to work, but failed and you've not noticed.
4. The redundant device is working, but the interface on which the redundancy is configured has failed.

結論

這篇文章是否讓你感覺到, 日常的網路管理還有很多事需要去做呢? 趁年度剛開始趕快行動吧!

網路系統工作者, 給自己一個掌聲吧!

2010-12-15T23:49:00.000+08:00

每年的農曆春節前後, 台灣某藥品廠商就會在電視上播一則風格很特別的廣告, 廣告中都會有名作家吳念真_{[Wiki, Facebook]}的一段感性旁白, 感謝勞苦大眾一年來的辛勞.

例如以下影片是今年2010年初春節的版本.

建議大家可以抽空到你流量最大的那台路由器, 對著流量最大的網路卡去執行 "show interfaces" 命令, 畫面例如:

IOS Command "show interfaces" reference page

Router# show interfaces
Ethernet 0 is up, line protocol is up
  Hardware is MCI Ethernet, address is 0000.0c00.750c (bia 0000.0c00.750c)
  Internet address is 131.108.28.8, subnet mask is 255.255.255.0
  MTU 1500 bytes, BW 10000 Kbit, DLY 100000 usec, rely 255/255, load 1/255
  Encapsulation ARPA, loopback not set, keepalive set (10 sec)
  ARP type: ARPA, ARP Timeout 4:00:00
  Last input 0:00:00, output 0:00:00, output hang never
  Last clearing of "show interface" counters 0:00:00
  Output queue 0/40, 0 drops; input queue 0/75, 0 drops
  Five minute input rate 0 bits/sec, 0 packets/sec
  Five minute output rate 2000 bits/sec, 4 packets/sec
     1127576 packets input, 447251251 bytes, 0 no buffer
     Received 354125 broadcasts, 0 runts, 0 giants, 57186* throttles
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
     5332142 packets output, 496316039 bytes, 0 underruns
     0 output errors, 432 collisions, 0 interface resets, 0 restarts
...

重點是在標示出來的進, 出兩個方向的封包數. 當然, 大家看到的數字應該遠比這個範例的數字還要大得多. 請將這兩個數字記下來, 再加總起來. 你就得到這部路由器, 最小估計, 某段時間中一共服務了多少個封包. (有沒有開始覺得很有成就感?)

然後請同事, 最好是老闆或主管, 對著自己開始唸一段以下的文字, "姓名" 是各位的名字, "封包數" 就是剛才加起來的數字.

因為 "姓名" 您的努力, 讓本公司的網路系統順利地傳送完成 "封包數" 個封包. 每一個封包, 都是 "姓名" 您對本公司營收的具體貢獻.

因為有您, 本公司能夠讓這麼多不同地點的辦公室內, 這麼多同仁間可以順利協同運作; 客戶不需要親自到訪, 本公司就接到來自世界各地的訂單; 大老闆不需要親自到各單位巡視, 就可以掌握全盤營運的狀況.

非常感謝您對本公司的付出, 您的貢獻無人可取代!

但願老闆或主管們都能感受到各位一年來的辛勞! 沒有收到適當鼓勵的朋友, 希望我這篇小文章可以彌補所有應該得到的肯定!

各位辛苦了! 祝福大家明年會更好!

Apple iPad 上也可以使用 Cisco Webex

2010-12-06T00:21:00.000+08:00

目前如果想要在 Apple 的 "i" 系列產品 (例如 iPhone) 上面同時使用 "加密VPN", 和 "統一通訊 (Unified Communication)" 的話, 我的了解只有 Cisco 一家可以做得到.

現在又多了一項支援, Cisco Webex 服務, 也可以在 Apple iPad 上使用.

Cisco WebEx Brings Mobile Video Conferencing to the Apple iPad

我找到一段舊影片示範 Webex on iPad:

Cisco 對於 Apple 的 "i" 系列產品的網路功能支援性, 一直都跟得很緊. 以下是Cisco的對應產品, 全部支援 iPhone和iPad.

加密VPN: Cisco AnyConnect Secure Mobility Client
統一通訊 (UC): Cisco Mobile 8.0
網頁視訊會議: Cisco Webex

如果有同仁非得用 iPhone, iPad 使用公司內部的通訊服務的話, 短時間來看通訊系統只能全部選 Cisco!

五位台灣的CCIE坐在一起吃中餐

2010-11-25T23:27:00.000+08:00

Four Sisters in Pinks (DSC_0027),
originally uploaded by Li-Ji.

最近在匆匆忙忙之間, 選擇了 "當逃兵換跑道". 為了幫我交接工作, 今天約了很多位好朋友來幫我 "收拾善後". 一個早上的經驗分享會議, 不知不覺就到了中午用餐時間. 當然, 盡地主之誼, 就留了大家一起在公司的餐廳用餐.

吃到一半, 我才頓時想到, 同桌的這些朋友們, 包括我自己, 一共有五位(有效的)台灣的 CCIE! 事先我並沒有刻意安排, 沒想到竟然會有這麼意外的組合! "五位台灣的CCIE坐在一起吃中餐", 不知道有沒有破台灣的紀錄!

能擁有五位CCIE同時為她服務, 這家公司真應該要感到萬分榮幸. 雖然我即將成為逃兵, 我還是希望"她"可以好好珍惜這難得的福份!

我要在此感謝其他四位台灣最頂尖的CCIE: Alex, Evita, HS, and Kevin! 讓我能夠在這個最孤獨的時刻, 感受到好朋友們最溫暖的相挺! 謝謝大家!

"Interop" 歸還 Class A IPv4 位址: 45/8

2010-10-29T21:09:00.000+08:00

剛開始看到這新聞還不太習慣, 什麼是 "45/8". 其實比較容易理解的寫法就是 "45.0.0.0/8" 這個 A 等級網段. 年度國際商展活動 "Interop" 將原本分配到的 "45.0.0.0/8" 網段歸還回去.

這件事為何會成為新聞? 當然就是因為全球 IPv4 位址幾乎確定將於明年(2011)完全配發完畢, 除非有奇蹟出現, 例如類似這樣擁有過大網段的組織, 自動自發繳回用不到的位址.

嚴格說來, 即使有再多的 "Internet 開國元老" 願意這麼做, 大概也只能多延長幾個月的時間. 不過, 總是好事一件!

比較有趣的是 "Yebo Blog" 文中還提到幾個他認為 "應該歸還" 的網段. 例如: "DEC": 16/8 (DEC 公司已經消失) 或者是 "美國郵政": 56/8. 也許都將會是接下來被 "自動歸還" 的 A 等級網段.

A等級網段的分配表, 幾乎就是 "Internet 開國元老" 的清單. 完整的分配概況在以下 IANA 網址:
http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xhtml

簡單估計系統停機多久以內, 才算合理?

2010-09-26T16:08:00.001+08:00

Facebook 九月二十四日緊急停機2.5小時. 服務陸陸續續回復到正常功能.

當時我的瀏覽器截圖. 這錯誤訊息是下載自 Facebook, 不是瀏覽器自行產生的.

Facebook 官方說明: Facebook | More Details on Today's Outage

準確一點的時間, 大約是 Sep. 24, 2010 的 3 a.m. ~ 6 a.m. 間的2.5 小時, 台灣時間 GMT+8.

Facebook 在處理本事件的時候, 包括了 "停止資料庫連線", "修復資料庫", 與"復原連線". 等三個大動作, 全部都發生在這 2.5 小時內.

Facebook | More Details on Today's Outage

The way to stop the feedback cycle was quite painful - we had to stop all traffic to this database cluster, which meant turning off the site. Once the databases had recovered and the root cause had been fixed, we slowly allowed more people back onto the site.

這事件給了我們一個重要的時間里程碑: 2.5 小時. 除非有系統 "比 Facebook 還要複雜", "使用者人數比 Facebook 還要多", 不然, "類似事件" 的服務復原時間目標, 我認為, 應該要接近 2.5 小時才算合理.

純粹 "網路設定錯誤" 的回復, 我認為可以參考最近 RIPE NCC 事件, 目標訂在 30 分鐘內才算合理.

如果自我演練後, 發現很難接進以上目標, 我的建議是, 應該趁這機會重新檢視一下 "緊急應變計畫", 和 "系統架構".

其實我是看到以下的新聞, 才覺得我更應該將我的心得寫下來跟大家分享:

PChome商店街系統昇級維護關閉5天 | 即時新聞 | iThome online

Summary of Cisco IOS Software Bundled Advisories, September 22, 2010

2010-09-23T08:19:00.000+08:00

Cisco 昨天 (Sep. 22, 2010) 一口氣公告六個修補建議, 五個是跟 IOS 有關, 一個是跟 "Unified Communications Manager" 有關.

Summary of Cisco IOS Software Bundled Advisories, September 22, 2010

從好的方面看, 做完這次的 IOS 升級, 一次就修補五個漏洞.

從這個例子同時告訴我們, IOS 還是經常被找到漏洞需要修補升級的. 我們設計網路時, 務必將IOS升級 "重開機" 時所造成的影響考慮進去. 因此備援設計更加重要!

Summary of Cisco IOS Software Bundled Advisories, September 22, 2010

This list also includes all individual publication links:

Cisco IOS Software H.323 Denial of Service Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20100922-h323.shtml

Cisco IOS Software Internet Group Management Protocol Denial of Service Vulnerability http://www.cisco.com/warp/public/707/cisco-sa-20100922-igmp.shtml

Cisco IOS Software Network Address Translation Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20100922-nat.shtml

Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20100922-sip.shtml

Cisco IOS SSL VPN Vulnerability http://www.cisco.com/warp/public/707/cisco-sa-20100922-sslvpn.shtml

Cisco Unified Communications Manager Session Initiation Protocol Denial of Service Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20100922-cucmsip.shtml

This summary page is posted at http://www.cisco.com/warp/public/707/cisco-sa-20100922-bundle.shtml.

---

圖形介面 Cisco ISR 管理, 改用 "Cisco Configuration Professional"

2010-09-15T16:22:00.000+08:00

前幾天看到SDM (Cisco Router and Security Device Manager) 的 End of Sales 公告訊息. 後繼軟體是 Cisco Configuration Professional.

"Cisco Configuration Professional" 軟體可以自行免費下載! 舊的 SDM 並非如此 (SDM只有 Demo 版可以自行下載).

"Cisco Configuration Professional" 產品整個說來, 分成兩大部分:

Cisco Configuration Professional

單獨安裝的 Windows 應用軟體 (以下簡稱 CP)

Cisco Configuration Professional Express

Router上供瀏覽器下載的 Java Applet. (以下簡稱 CP Express)

我只找到項目(1) CP 可以在官網下載. 項目(2) CP Express 應該包含在新出廠的 ISR 的 Flash 記憶體中. 不過這並不影響我們日常使用, 因為兩者都可以單獨運作!

"CP Express" 的唯一好處就是" PC 不需要事先安裝 CP". 事實上, "CP Express" 比 CP 也少了很多功能, 經常在管理 ISR 的朋友, 我相信大部分都會只用安裝在 PC 的那一套軟體.

"Cisco Configuration Professional for Cisco Access Routers"

Cisco Configuration Professional Express, a light-weight version of Cisco Configuration Professional, is available on the router's flash and can be used to configure some of the router's LAN and WAN interfaces and minimal Cisco IOS Software security features.

舊的 SDM 在安裝的時侯, 其實也可以安裝在 PC本機, 不需要每次從 ISR 下載. 只不過, 本機版和 ISR 上的那份功能是完全一樣的. 我相信正是因為 CP 多出很多功能, 所參照的程式檔案變大很多, 不再適合安裝在昂貴的 Flash 記憶體上, 所以 CP 單獨被拉出來成為獨立的 Window 應用軟體.

CP 啟動時我們就會注意到, CP 本身也是 Java Applet, 所以會先將 "Internet Explorer" 帶起來後, 在裡面執行. 所以, 真的非常耗費資源! 我從工作管理員看到的相關 Process 的 RAM 使用量加起來就超過 300M bytes. 我的 2G RAM 的 Windows 7 要花近1分鐘才能完成程式啟動!

另外, CP 安裝完成後, 會提供 "Demo Mode" (就在程式目錄裡), 不需要連上真的 ISR 就可以練習操作了! 所以, 任何人都可以自行下載玩一玩!

CP 下載連結: http://tools.cisco.com/support/downloads/go/Redirect.x?mdfid=281795035. 或到CP產品首頁的右方 "Download" 連結下載.

目前CP的最新版本是 2.3 版.

[Cisco Configuration Professional 教學影片 (在 Presentation 頁中) ]

[Cisco SDM EOS 公告]

End-of-Sale and End-of-Life Announcement for the Cisco Router and Security Device Manager:

---

海底光纜鋪設船的幾張照片

2010-09-07T14:49:00.000+08:00

先考考各位, "海底光纜保護層" 有不同的粗細. 請問: 埋設的海水深度 "越深", 光纜保護層應該 "越粗" 還是 "越細"?

照片摘自CNet網站

答案是 "越細". 答對了嗎! (摘自CNet網站)

The different sizes are used at different depths, although surprisingly the larger diameters are used closer to the surface.

因為對海底光纜的危害, 最大的來源還是人: 漁船的捕撈網, 或是輪船下錨, 都很容易破壞海纜. 海水深的地方, 比較不容易有這些人為的破壞因子. 所以反而越是淺水的地方, 保護層需要更厚重!

這幾張照片是 ZDNet UK 的記者參訪Alcatel-Lucent 公司的 "Ile de Batz (巴茲島)" 號海纜鋪設船的採訪照片. 這艘船每天最多可以鋪設 200公里的海纜, 一次出航可工作30到40天. 鋪設好的海纜預計有25年的壽命.

原始照片網頁:
Aboard an Alcatel-Lucent undersea cable ship (photos)

上星期五很多Internet BGP路由器間相鄰關係斷斷續續, 持續近半小時

2010-08-30T22:20:00.002+08:00

當BGP路由器之間的相鄰關係(neighboring)斷掉重新啟動時, 在恢復相鄰關係前, 網路服務會受嚴重影響. Internet上的BGP路由器間如果發生這種狀況, 使用者會有好幾分鐘感覺網路斷線.

上星期五這種狀況就很嚴重地發生過一回.(August 27, 2010, from 08:41 to 09:08 UTC)

事故從台灣時間下午四點四十一分(August 27 08:41 UTC) 起開始. 當時 RIPE 正在做一項實驗, 透過 BGP 協定送出一筆路由資訊,包含一項實驗用的屬性 (Experimental Attribute). 然而, Cisco IOS XR 上的一個軟體錯誤 (bug), 會損壞該屬性資料, 而且將壞掉的屬性資料繼續向其他的鄰居送出. 不幸地, 當其他鄰居收到由 Cisco IOS XR 平台路由器所送出的這個壞掉的錯誤屬性, 按照 BGP 的安全性設計, 會自動將和 IOS XR 間的相鄰關係切斷重新啟動. 導致一連串的斷線同時發生!

(這現象有點像喜劇電影中所提到的 "隔山打牛": 被直接打到的(有 Bug 的)沒事, 反而是後面的鄰居受傷!)

因為太多 Internet BGP 路由器是 Cisco IOS XR 平台 (例如 GSR 或是 CRS 系列的大傢伙), 事件發生後馬上造成世界各地的大規模斷線, 問題一直持續到大約台灣時間下午五點八分以後(09:08 UTC) RIPE 停止送出該實驗用的屬性為止.

需要注意的是, 這個 Bug 所有的 IOS XR 軟體都有, 所以都需要盡快完成補強版升級, 即使本次的事件中沒有受到影響!

Related Links

Cisco.com, Cisco Security Advisory: Cisco IOS XR Software Border Gateway Protocol Vulnerability
Discussion on NANOG (Wiki): Starting from this post.
RIPE Announcement for this incident.
NetworkWorld.com,"Research experiment disrupts Internet, for some"
yebo blog, "RIPE NCCがルーティング事故、IOS-XRの脆弱性発覚"

---

善用 Cisco.com 和 Google 搜尋重要文件

2010-08-27T18:44:00.000+08:00

最近有朋友需要 Cisco 某項停產的手冊. 事實上, 直接到 Cisco.com 或是 Google 搜尋, 就可以找到很多相關的產品手冊. 我在此分享幾個常見的關鍵字, 希望可以幫大家更快找到所需要的資訊.

尋找"軟體設定"手冊

我通常都是用 "產品型號 config guide" 在 Cisco.com 上來搜尋. 例如, 我想找 Cisco 2950 相關的設定手冊, 我就用 "2950 config guide" 當關鍵字搜尋.

尋找 "硬體安裝手冊"

我通常都是用 "產品型號 install guide" 在 Cisco.com 上來搜尋. 例如, 我想找 Cisco 2621 相關的設定手冊, 我就用 "2621 install guide" 當關鍵字搜尋.

尋找 "功能設計" 相關資訊

我通常都是用 "功能術語 design guide" 在 Cisco.com 上來搜尋. 例如, 我想找 MGCP 相關的設定手冊, 我就用 "MGCP design guide" 當關鍵字搜尋.

Google 搜尋

如果習慣使用 Google 的朋友, 只需要在前面提到的關鍵字再多冠上 "cisco", 例如, "cisco mgcp design guide" 即可.

結論

我個人認為, Cisco 之所以能在網路產業越做越大, 主要的因素之一就是自從很早開始 (10多年前甚至還沒有 Google 前), 所有的 Cisco 產品的使用文件在網站上都搜尋得到!

不論是站在學習者或是使用者的角度, 可別浪費這些豐富的工具!

Windows 95 上市十五周年紀念 (Aug. 24, 1995)

2010-08-26T17:40:00.001+08:00

我上課經常提到, 自從 Microsoft Windows 95 上市後, TCP/IP 功能首先 "免費" "內建" 在作業系統內, 是 Internet 開始被全世界大量使用的動力之一. 回顧歷史, 其實也只有短短的15年而已.

Microsoft Windows 95 上市時間: Aug. 24, 1995

我還記得當年 Windows 95 上市後沒多久, 研究室新採購了幾台嶄新的 Pentium (應該是66Mhz) 電腦, 上面安裝著 Windows 95, 加上 16M bytes DRAM, 不到 400M bytes 的硬碟 .讓我們一下課就很想趕快回研究室使用, 很晚回家也不在乎.

當年在研究室用的網路材料, 是跟有線電視纜線外觀很像的同軸電纜 (Coaxial Cable) Ethernet. 如果哪間研究室同學亂拔 T 接頭或終端器, 連著好幾間研究室都會因為網路斷線一起跳腳.

短短十五年, 技術的進步真的很快!

[其他連結]

八月二十日第六屆華陀盃(NetRiders)圓滿閉幕

2010-08-23T22:27:00.000+08:00

這次的第六屆 "華陀盃", 我個人很榮幸也受邀擔任評審之一.

我最高興的, 是看到台灣有這麼多的年輕新血, 即將一起踏入網路世界的無限可能!

"華陀盃"的比賽規則是由參賽的70隊當中, 經過上午的問答和Packet Tracer賽程後, 評選出前10名進入下午的實機操作決賽.

然而, 這次的評審過程遇到一個的小插曲. 從第一屆以來頭一回發生第十名有兩隊 "同分" 的狀況! 以前如果真的同分, 我們可以按 "完成時間的先後" 來分勝負. 這回不巧, 兩隊完成的時間也剛好一樣.

因為下午的實機決賽設備已經是固定席次, 進入決賽的隊伍只能有10隊. 當我們這群評審們知道這個狀況的時候, 大家都傷透腦筋努力想解決方案!

還好評審之ㄧ的王老師想到一個辦法, 因為他手邊還有一些尚未公開的 "題庫", 所以他提議使用 "問答 PK賽" 的方式, 讓第11名的兩隊PK決勝. 規則很簡單, 跟足球的PK射門一樣, 兩隊的兩位成員一對一輪流回答問題, 在某一題一隊答對另一隊答錯分出勝負時, 答對的就是第10名的隊伍.

"問答 PK賽" 就這樣成為下午一開始的未事先排練的 "賽事高潮"!

---

在此先恭喜冠軍隊伍! 可以代表台灣參加今年的亞太區比賽. 其他隊伍也不需要氣餒, 歡迎明年再來挑戰!

[更多比賽相關資訊]
NetRiders 網站.

Cisco 免費線上研討會: "Hidden Secrets of of Cisco IOS Software"

2010-08-18T23:04:00.002+08:00

主題是討論 Cisco IOS 軟體內建的工具來幫助我們管好網路. 台灣時間9/2 凌晨一點開始.

Cisco 經常舉辦線上的研討會. 下一次的主題是 "Hidden Secrets of of Cisco IOS Software", 就是討論 Cisco IOS 軟體內建的工具來幫助我們管好網路.

內容應該很有趣! 全程英語.

報名網頁

活動網站原始說明:

Details

Hidden Secrets of of Cisco IOS Software(Live Webcast September 1,2010, at 10:00 a.m. Pacific Time) Today's Network Engineer is faced with hurdles never dreamed of merely five years ago. More and more converged applications, high definition video, data center traffic plus speeds approaching 100GB - we can use all the help we can get troubleshooting and even customizing IOS to fit our networks better.

The key to deploying networking in this time-critical world is not depending on sole customization to define your network, but actually tweaking the IOS itself to do things and cough up information that really only you understand the need for on your network.

Join Cisco's TechWiseTV Chief Geek Jimmy Ray Purser and he host Distinguished Engineer Joe Clarke for a WebEx workshop on embedded management tips and tricks to make you a network rock star. All the power you need to set yourself apart from others and craft your networks down to the IOS level is at your fingertips. This is the WebEx episode you don't want to miss. Guaranteed to having you looking at your network in a different and more unique way. Bring your questions as we will have product specialists available during the live event.

Agenda
10:00 am PT

Cisco IOS 15.1(2)T 上的 TCP 阻絕攻擊弱點

2010-08-13T17:09:00.000+08:00

如果您的 Cisco 路由器或是交換器的 IOS 版本是 "15.1(2)T", 而且暴露在 Internet 上, 本週末可能要盡快找時間更新IOS軟體.

只有 IOS 15.1(2)T 版本有這個問題.

針對這個弱點的阻絕式攻擊 (Denial of Service, DoS), 必須攻擊在路由器本身的 IP 位址上. 雖然官方的公告沒有明說, 我認為被攻擊的路由器會變得反應越來越遲鈍, 不太容易遠端管理, 甚至無預警地自動重開機. 網路在路由器重新開機的過程, 將停止服務.

有一些迴避這項弱點的設定調整, 也許可以不需要非更新 IOS 映像檔不可, 例如套用控制層的流量限速 (Control Plane Policing, CoPP). 不過我認為更新 IOS 然後重開機還是比較簡單而乾脆.

目前已包含弱點修復的 IOS 版本是 "15.1(2)T0a".

有關 "迴避本弱點設定" 或是 "如何確認系統有這個弱點" 等詳細資訊, 請參考官方網站的公告:

Cisco Security Advisory: Cisco IOS Software TCP Denial of Service Vulnerability� [Products & Services] - Cisco Systems

Cisco 宣布停止 Web Application Firewall (WAF) 產品線

2010-08-04T18:24:00.000+08:00

正式的產品名稱是 "Cisco ACE Web Application Firewall".

WAF Icon, 截圖自官網

我贊成 Ivan 的看法, 這個產品開發速度跟不上市場需求, 所以Cisco 喊停並不令人意外.

Cisco WAF 照片, 截圖自官網

另外, 這次喊停幾乎代表 Cisco 完全退出 WAF 市場. 不像以往的停止銷售公告(End of Sales Announcement), Cisco 並不提供其他後繼機種的建議選項.

Product Migration Options

There is no replacement available for the Cisco ACE Web Application Firewall at this time.

後續發展值得關注!

---
Cisco 官方公告.

停售日期: January 30, 2011
軟體支援停止日期: January 31, 2014
硬體支援停止日期: January 31, 2016

利用 Apple iPhone 穿牆術

2010-07-30T17:46:00.023+08:00

與其說是教大家 "穿牆", 不如說是提醒 "資訊安全維護人員", 在網路技術進步如此快速的時代裡, 應該隨時調整成新思維.

本方法我只有在 Windows PC 搭配 "中華電信 mPro " 用戶上測試過, 其他用戶應該可以運用相同的技巧!

步驟如下:

1. 手動設定內部網路主網段路由

假設, 公司內部所有內部伺服器的 IP 位址, 都落在主網段是 "172.16.0.0/16" 中. 同時假設 "預設閘道IP位址" 是 "172.16.1.254".

我們需要手動將這筆路由設定上去. Windows 命令模式(CMD) 當中的命令就是:

route add 172.16.0.0 mask 255.255.0.0 172.16.1.254

這是為了確保公司內部的服務都能正常使用.

*注意: "預設閘道IP位址" 的資訊, 請先另外記好, 還原連線時會需要用到!

2. 修改 "預設路由", 改成經由 iPhone

我觀察到 mPro 的 iPhone 閘道器端, 都是 "192.168.20.1" (PC 端都是 "192.168.20.2"). 所以對應到Windows 命令模式(CMD) 當中的命令就是:

route delete 0.0.0.0
route add 0.0.0.0 mask 0.0.0.0 192.168.20.1

從這時候開始, PC上的所有 Internet 連線, 就全部經由 iPhone 了!

DONE.

以上命令, 彙整成一個批次檔如下:

[IPHONE.BAT]

route add 172.16.0.0 mask 255.255.0.0 172.16.1.254
route delete 0.0.0.0
route add 0.0.0.0 mask 0.0.0.0 192.168.20.1

不用了要如何還原連線?

拔除 iPhone 後, 分兩種情境:

如果是動態 IP, 請直接 “修復” 網路卡刷新資訊即可.
如果是固定 IP, 請下以下命令回復原有的 "預設閘道器位址":

route add 0.0.0.0 mask 0.0.0.0 172.16.1.254

如果還是不能還原, 或者忘記下過那些命令, 請將 PC 關機重開, 這個命令再重複一次.

步驟二改良的方法

步驟二其實是可以改良的, 只是比較不容易理解. 簡單地說, 就是將 "預設路由", 拆解成兩筆 "/1" 路由指向 iPhone 閘道端 IP 位址. 我也把設定列出:

[simpler-IPHONE.bat]
route add 172.16.0.0 mask 255.255.0.0 172.16.1.254
route add 0.0.0.0 mask 128.0.0.0 192.168.20.1
route add 128.0.0.0 mask 128.0.0.0 192.168.20.1

因為 "/1" 路由資訊的優先權比 "0.0.0.0/0" 高 (longest match), 所以這個方法的好處是, 拔除 iPhone 時不需要另外下還原命令.

結論, 和給資訊安全人員的對策建議

有幾個方法可以防以上漏洞.

禁止 iPhone 的使用
禁止 PC 使用 USB/藍芽連接其他設備
禁止修改PC路由表

我還是認為, 最應該重新檢討的, 是 " Internet 的使用政策". 員工之所以需要想破頭來 "穿牆", 主要就是因為連接 Internet 的 "不必要的管制政策" 太多. "圍堵政策" 最大的問題, 就是今天也許這個洞補好了, 改天一定又有新技術來 "穿牆". 圍堵的工作永遠做不完!

事實上, iPhone 幾乎已經快要像 "傳統行動電話" 一樣, 變成人手一機的日常用品了! 即使 PC 上擋得住, 終究無法阻止員工 "利用上班時間使用 Internet".

(雖然我也還沒有iPhone, 我是拿別人的測試, 呵呵!)

我建議 "Internet 的使用政策", 可以改成 "盡量開放, 完全記錄": 除了有病毒疑慮的網站禁止以外, 全都開放; 但是"每個使用者" "所有的Internet 活動", 都完全地記錄備查.

我相信, 如果公司的"福利夠水準", "願景夠光明", 根本不需要擔心員工濫用 Internet!

---
先這樣! 祝大家週末愉快!

準備 CCNA 考試, 給在學生的幾項建議

2010-07-29T17:38:00.006+08:00

我將我這幾天 Email 回覆給外國在學生網友的幾個建議, 也分享給大家參考!

參考書優先選擇 Cisco Press

官方出版的書, 跟考試內容最接近. 其他來源的書或許可以幫助我們理解某些主題, 但是對考試本身來說, 經驗上來看幫助真的很有限!

我課堂中也跟朋友們建議, 盡量直接使用原文書. 養成好習慣, 未來好處多多!

翻譯書通常會落後幾個月出版. "幾個月" 在網路的世界算是 "很嚴重的落後"! 另外, 考試介面都是英語, 習慣看原文書, 你所理解的技術辭彙, 跟考試題目都是一致的.

雖然現在 Cisco 有所謂的 "中文" 版考試, 他的辭彙用的是 "簡體中文", 跟我們習慣的用語應該都不太一樣. 不見得比英語版容易!

Cisco Press 官方 CCNA 考試書籍, 可參考 http://www.ciscopress.com/markets/detail.asp?st=44711

先推薦其中兩本:

這兩本書的章節安排, 跟 Cisco 官方 CCNA 教材完全一樣.

書也不一定都要買全新的! 通常通過 CCNA 考試後, 很多人願意轉讓二手書. 所以可以考慮用 "借的" (所以朋友真的很重要!), 或者 "買二手的".

取得路由器和交換器的工作經驗

雖然不是必要, 網路工作經驗會幫助我們更具體的理解書本上的內容, 也會讓我們準備考試起來更有信心.

另外有一個隱含的好處: 你會多認識一些網路業界的同事或前輩, 有問題就可以找到諮詢或討論的對象!

如果目前身分是學生的話, 建議可以多加利用打工或實習的機會. 學校的實驗室或計算機中心不定期都會有這些工作歷練的機會. 業界的公司應該也會有類似的機會.

善用Cisco 官方網站的 "CCNA Prep Center"

截圖自 "The Cisco Learning Network" 網站. "CCNA Prep Center" 就在裡面.

她是完全免費的網站, 而且, 是 "Cisco 官方維護的資訊", 跟考試內容最相關! 使用這項服務需要申請帳號候登入, 帳號也是完全免費.

Cisco 官方 "CCNA Prep Center" 網址因為經常變動, 我都建議直接使用 Google 搜尋 "CCNA Prep Center", 第一個就是她. "CCNA Prep Center" 就在 "The Cisco Learning Network" 網站裡面.

考慮修Cisco 網路學院課程

"Cisco 網路學院課程" 很多大專院校都有開, 費用也相對便宜, 有的甚至也可以算畢業學分. 好好利用在學校的修業時間, 一舉數得!

Cisco 網路學院的學員可以合法取得 Packet Tracer 軟體, 我相信本站的讀者都不陌生, 是一個很好用的路由器/交換器等網路操作練習工具.

另外提醒, 修課時, 記得跟講師和同學都保持良好的互動. 相信我! 這對網路學習和未來的生涯都會很有幫助!

有時間壓力時, 參加 Cisco 官方訓練課程

如果有時間上的壓力, 一定要在指定的時間前通過的話 (例如當兵, 出國), 那我就建議參加 "Cisco 官方訓練課程".

不過, 這個方式費用最高, 通常有機會來上這些課程的朋友, 都有公司的補助, 不然對個人來說, 負擔真的很大.

---
祝各位準備 CCNA 考試的在學生, 都能順利取得 CCNA 專業證照!