k4's blog

Cisco IOS, NXOS TCL config deploy with kron

2024-12-06T14:36:00.004+03:00

:~/config_ff$ cat tclsh_vlan1-noshu.tcl

ios_config "interface vlan1" "no shutdown"

:~/config_ff$ cat tclsh_vlan1-shu.tcl

ios_config "interface vlan1" "shutdown"

:~/config_ff$

CORE#dir

Directory of bootflash:/

73021 -rw- 40 Dec 6 2024 05:44:58 -05:00 tclsh_vlan1-shu.tcl

73022 -rw- 43 Dec 6 2024 05:45:04 -05:00 tclsh_vlan1-noshu.tcl

1700155392 bytes total (868392960 bytes free)

CORE#conf t

CORE(config)#kron policy-list test-run

CORE(config-kron-policy)#cli tclsh bootflash:/tclsh_vlan1-shu.tcl

CORE(config-kron-policy)#exit

CORE(config)#kron occurrence applychange at 6:35 oneshot

CORE(config-kron-occurrence)#policy-list test-run

CORE(config-kron-occurrence)#end

CORE#show kron sch

Kron Occurrence Schedule

applychange inactive, will run once in 0 days 00:05:14 at 6 :35 on

CORE#sh run | b kron

kron occurrence applychange at 6:35 oneshot

policy-list test-run

kron policy-list test-run

cli tclsh bootflash:/tclsh_vlan1-shu.tcl

CORE#conf t

Enter configuration commands, one per line. End with CNTL/Z.

CORE(config)#no kron occurrence applychange at 6:35 oneshot

CORE(config)#end

CORE#show kron sch

Useful links:

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ios_tcl/configuration/15-mt/ios-tcl-15-mt-book/nm-script-tcl.html

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus9000/sw/93x/progammability/guide/b-cisco-nexus-9000-series-nx-os-programmability-guide-93x/b-cisco-nexus-9000-series-nx-os-programmability-guide-93x_chapter_0100111.pdf

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/cns/configuration/xe-16-6/cns-xe-16-6-book/cns-cmd-sched.pdf

netcat tshoot tool

2024-04-24T20:29:00.008+03:00

To troubleshoot IPsec NAT-T:

UDP:

nc -p 500 -zvu 192.168.1.150 500

TCP:

nc -p 500 -zv 192.168.1.150 500

BGP conditional route injection in ASA

2023-04-13T09:38:00.001+03:00

I have found out one very suitable feature of the BGP. I was looking for how to inject more specific into the BGP domain and was really wondered I did not use this before. One remark here - it will not generate more specs of its own route (injected from another protocol for example). All the articles I have found were about routers but it also works with ASA firewalls too.

This is totally opposite what aggregate-address do. Now in my toolkit :)

Here is how to inject two /25 if you get /24 from the neighbor 10.42.1.1/

prefix-list UNAGGREGATED-PREFIXES seq 5 permit 10.43.1.0/25

prefix-list UNAGGREGATED-PREFIXES seq 10 permit 10.43.1.128/25

prefix-list R1-AGGREGATE seq 5 permit 10.43.1.0/24

prefix-list R1-SOURCE seq 5 permit 10.42.1.1/32

route-map PREFIX-INJECTIONS permit 10

set ip address prefix-list UNAGGREGATED-PREFIXES

route-map AGGREGATED-ROUTE permit 10

match ip address prefix-list R1-AGGREGATE

match ip route-source prefix-list R1-SOURCE

router bgp 64517

address-family ipv4 unicast

bgp inject-map PREFIX-INJECTIONS exist-map AGGREGATED-ROUTE

Legacy Cat 4500 QoS

2021-01-08T14:57:00.005+03:00

Once DIA bandwidth is out and ISP will increase it only in a month you should still bring services to users. Time to implement QoS.

ip access-list extended ACL-LAN-to-LAN-GE3-7

permit ip 10.0.0.0 0.255.255.255 10.0.0.0 0.255.255.255

permit ip 10.0.0.0 0.255.255.255 172.16.0.0 0.15.255.255

permit ip 192.168.0.0 0.0.255.255 172.16.0.0 0.15.255.255

permit ip 10.0.0.0 0.255.255.255 192.168.0.0 0.0.255.255

permit ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255

permit ip 192.168.0.0 0.0.255.255 10.0.0.0 0.255.255.255

ip access-list extended ACL-LAN-to-LAN-GE3-8

permit ip 10.0.0.0 0.255.255.255 10.0.0.0 0.255.255.255

permit ip 10.0.0.0 0.255.255.255 172.16.0.0 0.15.255.255

permit ip 192.168.0.0 0.0.255.255 172.16.0.0 0.15.255.255

permit ip 10.0.0.0 0.255.255.255 192.168.0.0 0.0.255.255

permit ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255

permit ip 192.168.0.0 0.0.255.255 10.0.0.0 0.255.255.255

permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

permit ip 172.16.0.0 0.15.255.255 192.168.0.0 0.0.255.255

permit ip 172.16.0.0 0.15.255.255 172.16.0.0 0.15.255.255

class-map match-all CM-PRIVATE-GE3-8

match access-group name ACL-LAN-to-LAN-GE3-8

class-map match-all CM-PRIVATE-GE3-7

match access-group name ACL-LAN-to-LAN-GE3-7

class-map match-all CM-VOICE

match dscp ef

policy-map PM-GE3-8_1

class CM-VOICE

priority

police cir percent 4 bc 33 ms

class CM-PRIVATE-GE3-8

bandwidth remaining percent 75

queue-limit 2000 packets

dbl

class class-default

bandwidth remaining percent 21

dbl

policy-map PM-GE3-7_1

class CM-VOICE

priority

police cir percent 4 bc 33 ms

class CM-PRIVATE-GE3-7

bandwidth remaining percent 75

queue-limit 2000 packets

dbl

class class-default

bandwidth remaining percent 21

dbl

interface GigabitEthernet3/7

description TO_VRF_GLOBAL

no switchport

bandwidth 97280

ip vrf forwarding VRF-LAN

ip address 10.60.5.49 255.255.255.240

service-policy output PM-GE3-7_1

interface GigabitEthernet3/8

description TO_VRF_LAN

no switchport

bandwidth 97280

ip address 10.60.5.50 255.255.255.240

service-policy output PM-GE3-8_1

end

https://www.ciscopress.com/articles/article.asp?p=2159353&seqNum=3

Netflow config cisco catalyst 3850

2020-04-03T13:28:00.001+03:00

Issue:
% Flow Record: Failed to field add: Failed to validate Unsetting Public:behaviour
% Flow Monitor: Failed to add monitor to interface: Unsupported key field "interface input" for ip traffic in Output direction

To avoid that use separate monitors for inbound and outbound monitors.

flow record FR-INPUT

match ipv4 tos

match ipv4 protocol

match ipv4 source address

match ipv4 destination address

match transport source-port

match transport destination-port

match flow direction

match interface input

collect counter bytes long

collect counter packets long

flow record FR-OUTPUT

match ipv4 tos

match ipv4 protocol

match ipv4 source address

match ipv4 destination address

match transport source-port

match transport destination-port

match flow direction

match interface output

collect counter bytes long

collect counter packets long

flow exporter EXPORT1

destination 10.74.12.38

source Vlan170

transport udp 2055

flow monitor MONITOR-INPUT

exporter EXPORT1

cache timeout active 300

record FR-INPUT

flow monitor MONITOR-OUTPUT

exporter EXPORT1

cache timeout active 300

record FR-OUTPUT

vlan configuration 1,31,40,170,184,193-207,242

ip flow monitor MONITOR-INPUT input

ip flow monitor MONITOR-OUTPUT output

IOS clear VTY session

2018-10-31T17:37:00.004+03:00

Just reminder

Step 1:

Issue a 'show user' command to find out which connection is being used, and

take note of the address in the Location column.

-------------------

kriek#sh user

Line User Host(s) Idle Location

* 0 con 0 idle 00:00:00

66 vty 0 idle 00:00:14 10.200.40.92

-------------------

Step 2:

Issue 'show tcp brief' and look for the IP address you recorded in step 1,

in the Foreign location column. Take note of the first entry on that line, the TCB

value.

-------------------

kriek#sh tcp brief

TCB Local Address Foreign Address

(state)

808E9EB4 10.200.40.37.23 10.200.40.92.11005 ESTAB

-------------------

Step 3:

Using the TCB number recorded in Step 2, issue 'clear tcp tcb ###' where ###

is the TCB number.

-------------------

kriek#clear tcp tcb 808E9EB4

-------------------

from https://community.cisco.com/t5/switching/kill-vty-session-on-catalyst-2950/td-p/2204810

FortiGate troubleshoot packet tracer

2018-01-31T17:09:00.004+03:00

Искал на фотигейте что-то типа асашного packet tracer. Вот оно:

diagnose debug reset

diagnose debug flow filter ?

diagnose debug flow filter saddr 172.16.27.148

diagnose debug flow filter daddr 8.8.8.8

diagnose debug flow show console enable

diagnose debug enable

diagnose debug flow trace start 10  #display 10 packets

diagnose debug disable

Отсюда - https://serverfault.com/questions/372377/fortinet-is-there-any-equivalent-of-the-asas-packet-tracer-command

OpenVPN Server PSK autostart

2017-06-13T12:48:00.001+03:00

При загрузке OpenVPN сервер спрашивает PSK, в случае если частный ключ был создан с защитой ключем. Как избежать вопроса без использования скриптов?

In my openvpn.conf:

...
askpass /etc/openvpn/jdoe.pass   <<< new line here
ca /etc/openvpn/jdoe_ca.crt
cert /etc/openvpn/jdoe.crt
key /etc/openvpn/jdoe.key
...

The file /etc/openvpn/jdoe.pass just contains the password. You can chmod this file to 600. This method save my life... ;-)

https://stackoverflow.com/questions/11240184/pass-private-key-password-to-openvpn-command-directly-in-ubuntu-10-10

https://community.openvpn.net/openvpn/wiki/EasyRSA3-OpenVPN-Howto

Voice VLAN в ExtremeXOS

2017-03-07T10:05:00.003+03:00

У каталистов все просто - voice vlan. У extreme summit сложнее. Ставим vlan с тегом и конфигурим LLDP, чтобы телефон схватил именно тегированный vlan.

enable lldp ports 1-48
configure lldp port 1-48 advertise vendor-specific med capabilities
configure lldp port 1-48 advertise vendor-specific dot1 vlan-name vlan VLAN0022_IPPHONES
configure lldp port 1-48 advertise vendor-specific med power-via-mdi
configure lldp port 1-48 advertise vendor-specific med policy application voice vlan VLAN0022_IPPHONES dscp 46
Configure lldp port 1-48 advertise system-capabilities
Configure lldp port 1-48 advertise vendor-specific dot1 port-protocol-vlan-id vlan VLAN0022_IPPHONES

Смотреть тут - https://gtacknowledge.extremenetworks.com/articles/How_To/How-to-configure-LLDP-for-Extreme-switches-to-recognize-IP-phones и тут - http://www.extremenetworks.ru/blog/ip-telefonyi-i-kommutatoryi-extreme-ispolzuya-lldp/

GRE внутри IPSec между Mikrotik и Cisco

2016-11-18T01:37:00.000+03:00

Медленно, но верно корпоративный сектор отказывается от маршрутизаторов Cisco в пользу устройств Mikrotik. В данном случае было решено ставить микроты в качестве шлюзов для филиалов.
Изначально вся сеть была построена на Cisco. Центральный маршрутизатор - Cisco 2800 серии, который собирается на себе кучу IPSec туннелей, по какой-то причине сделанных без VTI.
Так вот, лет через 10-15 филиальные цыски начали дохнуть. Ставить вместо них аналогичную железку дорого. Было принято решения закупать микроты RB951G-2HdD. После первой интеграции микрота в эту сеть мне хотелось сделать заметку о том, как подружить по GRE over IPsec (рассуждения на тему что же все таки over что можно почитать тут - http://linkmeup.ru/blog/50.html) микрот и sysko, но как-то не было времени. И вот подвернулась задачка, о которой хочу написать.
Был один узел в сети, у которого белый адрес остался жить на ADSL модеме в силу того, что там использовалось PPPoA, а не PPPoE. Был сделан NAT таким образом, что UDP 500 пролетал на внешний серый адрес роутера филиала. На хабе включен режим NAT-T. Работало это на карте шифрования, пакующей только юникаст трафик с одной сети в другую. В качестве пиров указаны внешние адреса. Упоминания о том, что внешним адресом филиального роутера является серый адрес нигде в конфиге не было.

Все бы хорошо, но филиальная sysco стала виснуть по три раза на день. Меняем на микрот.
До этого в филиалах уже ставились микроты. С общей картой шифрования на хабе у меня не получилось с пол пинка их подружить, поэтому на хабе была сделана следующая конструкция для подключений микротов:
crypto isakmp key Secret address 3.3.3.3
!
crypto ipsec transform-set SECURE-TS esp-aes 256 esp-md5-hmac
!
crypto ipsec profile SECURE-P
set transform-set SECURE-TS
set pfs group2
!
interface Tunnel1
description to_Mikrotik
ip address 192.168.200.1 255.255.255.252
tunnel source 1.1.1.1
tunnel destination 3.3.3.3
tunnel protection ipsec profile SECURE-P
!
ip route 10.10.3.0 255.255.255.0 192.168.200.2
!
ip nat inside source list NAT-ACL interface FastEthernet1 overload
!
ip access-list extended NAT-ACL
deny ip 10.10.1.0 0.0.0.255 10.10.3.0 0.0.0.255
permit ip 10.10.1.0 0.0.0.255 any
!
Шифрование осуществляется непосредственно на GRE туннеле т.е. шифруется протокол GRE src 1.1.1.1 dst 3.3.3.3.

На микротике настройки аналогичные.

В этот же раз схемы была немного другой т.к. спок стоит за NAT. Я сделал конфиг на микроте аналогичный конфигу цыски, но это не заработало как надо. С сети хаба виден был внутренний интерфейс микрота. С внутреннего интерфейса микрота видны были хосты внутренней сети хаба, но связи между хостами филиала и основного офиса не было. По непонятной мне причине микрот не шифровал трафик, который был описан в карте шифрования. Я не стал долго разбираться с этой проблемой и решил сделать туннель с VTI.
С конфигом туннеля на микроте вопросов нет. SRC=192.168.0.33, DST=1.1.1.1, но что на хабе? SRC=1.1.1.1, а DST? Если укажем внешний адрес 2.2.2.2, то туннель не поднимется т.к. микрот не владеет этим адресом и отбросит пакет, а сделать NAT мы не сможем т.к. сетевой экран филиала этот трафик будет проходить в зашифрованном виде.
Я сделал следующим образом:

crypto map combined 70 ipsec-isakmp
set peer 2.2.2.2
set transform-set SECURE-TS
match address 106
!
interface FastEthernet1
ip address 1.1.1.1 255.255.255.252
crypto map combined
!
interface Tunnel11
description to_Mikrotik5
ip address 192.168.200.45 255.255.255.252
tunnel source 1.1.1.1
tunnel destination 192.168.1.33
!
ip route 192.168.1.33 255.255.255.255 1.1.1.2
!
access-list 106 permit gre host 1.1.1.1 host 192.168.1.33

В результате есть карта, которая шифрует трафик протокола GRE идущий с адреса 1.1.1.1 на адрес 192.168.0.33, выходящий через внешний интерфейс (есть маршрут). До того, как выйти с интерфейса хаба пакет с указанными выше SRC и DST шифруется, заворачивается в заголовок ESP с уже новыми SRC=1.1.1.1 DST=2.2.2.2 (peer из карты шифрования).
С этими же адресами пакет ESP проходит фаервол филиала, после чего микрот сбрасывает заголовок ESP и видит в качестве DST туннеля свой 192.168.0.33. Туннель в UP.

В действительности, все это также работает на устройствах всех вендоров и привязывать этот случай к микротику нет никакого смысла. Просто давно нужно было сделать заметку о туннелях цыски и микрота, а тут такой случай.

В итоге схема такая:

Linux GRE tunnel

2016-11-03T13:46:00.002+03:00

ip link add grelan type gre local 192.168.247.249 remote 192.168.253.13
ip link set grelan up

BGP Flow Spec - защита от DDoS

2016-08-15T16:03:00.000+03:00

An Introduction to BGP Flow Spec from ShortestPathFirst

ARP Frame

2016-06-28T11:40:00.001+03:00

Проект CCIE за год

2016-04-04T16:12:00.001+03:00

Недавно стартовал очень интересны и полезный проект - CCIE за год http://ccie.linkmeup.ru/

Команда экспертов разработала план обучения и лабы. Мне кажется, это будет хорошей поддержкой для обучающихся самостоятельно. Попробую идти по расписанию.

IP Packet

2016-03-03T16:23:00.001+03:00

SSL. Просто и понятно.

2016-01-28T11:58:00.000+03:00

Генерируется сеансовый ключ для защищенного соединения. Это делается следующим образом:
— Клиент генерирует случайную цифровую последовательность
— Клиент шифрует ее открытым ключом сервера и посылает результат на сервер
— Сервер расшифровывает полученную последовательность при помощи закрытого ключа
Учитывая, что алгоритм шифрования является асимметричным, расшифровать последовательность может только сервер. При использовании асимметричного шифрования используется два ключа — приватный и публичный. Публичным отправляемое сообщение шифруется, а приватным расшифровывается. Расшифровать сообщение, имея публичный, ключ нельзя.

Отсюда - http://mnorin.com/tls-ssl-neobhodimy-j-minimum-znanij.html

Добавлю, что случайная цифровая последовательность, которую сгенерировал клиент, является ключом для симметричного шифрования. После того, как сервер расшифрует данные, отправленные клиентом, зашифрованные публичным ключом, он получает эту случайную последовательность. После этого начинается уже симметричное шифрование с использованием общего ключа.

SSL использует как асимметричную, так и симметричную криптографию.

Суть асимметричного шифрования заключается в том, что используется пара ключей. Один из них используется в качестве открытого (как правило, он публикуется в самом сертификате владельца), второй ключ называется секретным - он держится в тайне и никогда никому не открывается. Оба ключа работают в паре: один используется для запуска противоположных функций другого ключа. Если открытый ключ используется для того, чтобы зашифровать данные, то расшифровать их можно только секретным ключом.

Любой пользователь может получить открытый ключ по назначению и использовать его для шифрования данных, расшифровать которые может только пользователь, владеющий секретным ключом.

RSA - самый распространенный алгоритм шифрования с использованием асимметричных ключей.

При шифровании симметричным ключом используется один и тот же ключ для шифрованных данных. Если стороны хотят обменяться зашифрованными сообщениями в безопасном режиме, то у обеих сторон должны быть одинаковые симметричные ключи. Такой тип шифрования используется для большого объема данных.

Протокол SSL использует шифрование с открытым ключом для аутентификации клиент-сервер и наоборот, а также для определения ключа сессии, который, в свою очередь, используется более быстрыми алгоритмами симметричной криптографии для шифрования большого объема данных.

Отсюда - https://ru.wikipedia.org/wiki/SSL

Ethernet frame

2016-01-21T16:58:00.000+03:00

Изменить MTU в Windows

2016-01-14T16:34:00.001+03:00

Изменение размера MTU в ОС Windows Vista/2008/7

Запустите командную строку Windows от имени администратора (Пуск > Выполнить > cmd). Выполните команды для просмотра текущих значений MTU:

netsh interface ipv4 show subinterfaces

Далее выполните команду для установки нового значения MTU (например, 1452; по умолчанию в Windows используется значение MTU=1500):

netsh interface ipv4 set subinterface "Local Area Connection" mtu=1452 store=persistent

или для беспроводного интерфейса:

netsh interface ipv4 set subinterface "Wireless Network Connection" mtu=1452 store=persistent

Затем перезагрузите компьютер.

Для просмотра текущих значений MTU вновь выполните команду:
netsh interface ipv4 show subinterfaces

При необходимости, для сброса значений MTU на установки по умолчанию выполните команду:

netsh interface ipv4 reset

и перезагрузите компьютер.

Отсюда - https://zyxel.ru/kb/1815

Private VLAN trunk

2015-09-25T15:48:00.003+03:00

В рамках подготовки к экзамену CCIE written.

conf t

vtp transparent mode

vlan 200

private-vlan primary

private-vlan association 205,210

vlan 205

private-vlan community

vlan 210

private-vlan isolated

interface Fastethernet 4/24

switchport mode private-vlan host

switchport private-vlan host-accociation 200 205

interface Fastethernet 4/25

switchport mode private-vlan host

switchport private-vlan host-accociation 200 205

interface Fastethernet 4/26

switchport mode private-vlan host

switchport private-vlan host-accociation 200 210

interface Fastethernet 4/27

switchport mode private-vlan promiscuous

switchport private-vlan mapping 200 205,210

! В сторону маршрутизатора без поддержки PVLAN.

! Для исходящих пакетов ставит метку 200 вместо 205 или 210

! Для входящих - оставляет как есть

interface Fastethernet 4/28

switchport mode trunk private-vlan trunk promiscuous

switchport private-vlan mapping trunk 200 205,210

! На сколько я понял, для добавления обычных VLAN:

! где 10,200,290 - обычные VLAN (primary)

! 205,210 - secondary

interface fastethernet 5/2

switchport mode private-vlan trunk promiscuous

switchport private-vlan trunk native vlan 10

switchport private-vlan trunk allowed vlan 10,200,290

switchport private-vlan mapping trunk 200 205,210

! Все, что связано с Private VLAN Trunk работает только на 4500, 6500

! В сторону коммутатора с поддержкой protected-port (isolated)

! Для исходящих пакетов ставит метку 210 вместо 200

! Для входящих - оставляет как есть

interface Fastethernet 4/29

switchport mode private-vlan trunk secondary

switchport private-vlan association 200 210

! В случае, если нужен SVI в VLAN 200 - Primary, нужно сконфигурить его как

! promiscuous

interface vlan200

private-vlan mapping 205,210

ip address 192.168.0.1 255.255.255.0

My CCIE start

2015-09-21T16:36:00.000+03:00

Я стал на путь CCIE. Специализация - Routing and Switching. Уже есть куча видосов и книг. Начал просмотр и изучение. Нет только лабораторного стенда. Первая серьезная задача - собрать стенд. Нужен нормальный эмулятор.

Начало положено.

http://www.gns3.com/
https://community.gns3.com/thread/4557

Сейчас старт взял ещё один эмулятор - UNetLab http://www.ciscolab.ru/labs/42-unetlab-stroim-stend-dlya-podgotovki-k-ccie-rs-sp-dc-sec.html

Squid transparent HTTPS Proxy

2015-08-21T13:10:00.006+03:00

Сейчас на рынке много платных продуктов, которые предлагают раскрывать SSL трафик и фильтровать запросы пользователей. Когда-то я занимался freeware решениями на linux. Тогда в squid не было возможности на лету раскрыть SSL, сейчас есть. В интернетах много статей на эту тему, но не нашел такой, после которой все заработало бы без шаманств.

1. Соберем squid

Посмотрите последнюю версию сквида.
wget http://www.squid-cache.org/Versions/v3/3.2/squid-3.2.7.tar.gz
tar -zxf squid-3.2.7.tar.gz
cd squid-3.2.7
./configure --prefix=/opt/squid --enable-ssl --enable-ssl-crtd --with-openssl

make all
make install

2. Создадим сертификат

openssl genrsa -out privkey.pem 1024
openssl req -new -key privkey.pem -out certreq.csr
openssl x509 -req -days 3650 -in certreq.csr -signkey privkey.pem -out squid.pem

3. Подготовим кэширование сертификатов

mkdir /opt/squid/var/lib
/opt/squid/libexec/ssl_crtd -c -s /opt/squid/var/lib/ssl_db
chown -R nobody /opt/squid/var/lib/ssl_db

Если меняется сертификат сервера, нужно грохнуть /opt/squid/var/lib/ssl_db, после чего запустить по новой процедуру подготовки кэширования.

4. Добавим в конфиг сквида

http_port 3130
http_port 3128 intercept
https_port 3129 intercept ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/opt/squid/etc/squid.pem key=/opt/squid/etc/privkey.pem cipher=TLSv1:!AES128:!CAMELLIA

sslproxy_flags DONT_VERIFY_PEER
sslproxy_cert_error allow all
always_direct allow all

#ssl_bump client-first all
ssl_bump server-first all
ssl_bump none all

Забегая вперед скажу, что заработало все, когда я закоментил строку "ssl_bump client-first all" и добавил "cipher=TLSv1:!AES128:!CAMELLIA". После этого в динамических сертификатах появилась строка с доменным именем хоста. До этого при динамическом перехвате трафика и отправки его в проксю, гмаил ругался на mitm атаку (NET::ERR_CERT_COMMON_NAME_INVALID).

5. Запустить squid
/opt/squid/sbin/squid -z
/opt/squid/sbin/squid

Клиенту я добавил сертификат squid.pem в доверенные корневые центры сертификации.
Во многих статьях (всех, которые мне попались) для клиента генерят сертификат так:

openssl x509 -in squid.pem -outform DER -out squid.der

У меня и Firefox и IE и, соответственно, Chrome отказались есть .der

На squid я отправляю трафик микротиком, указывая его в качестве шлюза для пакетов с определенными метками (их микротик ставит в таблице mangle). На линуксовой машине в нужные порты распихивает iptables:

-A PREROUTING -i tun0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 127.0.0.1:3128
-A PREROUTING -i tun0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 127.0.0.1:3129

---
Использовал выдержки и инфу их статей:
http://habrahabr.ru/post/168515/
https://toster.ru/q/43184

Очень помог этот тред - http://www.linux.org.ru/forum/admin/11419750

Пока что не получается импортировать сертификать в смартфон Nexus 5 с ОС Android 5.1.1. Процедура проходит без ошибок ()http://android.stackexchange.com/questions/61540/self-signed-certificate-install-claims-success-but-android-acts-as-if-cert-isn, но в результате во вкладке "пользовательские сертификаты" нет импортируемого сертификата. Рута нет. Если кто победит, прошу поделиться. Тут точное описание проблемы с импортом сертификата - http://android.stackexchange.com/questions/61540/self-signed-certificate-install-claims-success-but-android-acts-as-if-cert-isn

Вот описан способ с рутом - http://wiki.cacert.org/FAQ/ImportRootCert, но интересует без рута.

Save WSA config via ftp using perl script

2015-07-30T11:23:00.000+03:00

Простой способ автоматизировать резервирование файлов конфигурации - написать скрипт. В случае с Cisco IronPort S170 это хороший вариант т.к. встроенных возможностей по автоматической записи конфигов на сторонний хост я не нашел. Нужна линуксовая машина, где есть perl. На нее будем писать конфиги с WSA. На WSA поднят FTP сервер.

#! /usr/bin/perl -w

use Net::FTP;

chdir ("/home/cisco/wsa/configuration" or die "cannot change: $!\n");

$ftp = Net::FTP->new("10.5.32.2", Debug => 1, Passive => 1)
or die "Cannot connect to wsa: $@";

$ftp->login("admin", "password")
or die "Cannot login", $ftp->message;

$ftp->cwd("/configuration")
or die "Cannot change working directory ", $ftp->message;

$ftp->binary or die "Cannot set binary mode: $!";

@ls = $ftp->ls() or die "ls failed", $ftp->message;

foreach $i (@ls) {
($i1 = $i) =~ s/(\.\/)//;
print "",$i1,"\n";
$ftp->get($i1) or die "get failed ", $ftp->message;
}

$ftp->quit;

Не забываем добавить в cron

11 * * * * /home/cisco/wsa/ftp.pl

How to save config using SNMPv3 via SCP

2015-06-10T12:33:00.000+03:00

Создаём пользователя на linux хосте.

useradd -d /home/scp -m -s /bin/bash -c "only for scp" scp

pass 27iK4bUy32hLm87Eew4i

Ставим утилиту, чтобы пользователь мог использовать только scp.

apt-get install scponly

usermod -s /usr/bin/scponly scp

Настраиваем маршрутизатор.

access-list 77 permit 1.1.1.1

access-list 77 permit 2.2.2.2

access-list 77 permit 3.3.3.3

snmp-server group SNMP3GRP v3 priv write SNMP3_R access 77

snmp-server user snmpadm SNMP3GRP v3 auth md5 9LADO68h245s709qP18T priv aes 128 bOJwIi5UZi449fUyrJxZa access 77

snmp-server view SNMP3_R ccCopyTable.1 included

snmp-server view SNMP3_R 1.3.6.1.4.1.9.2.9.9.0 included

Добавим возможность удаленно бутить цыску.

snmp-server system-shutdown

Возвращаемся на линуксовую машину. Проверяем отвечает ли по SNMPv3 цыска.

snmpwalk -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122

К примеру, адрес линуксовой машины - 1.1.1.1

Так можно засейвить конфиг по scp:

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.2.15 i 4

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.3.15 i 4

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.4.15 i 1

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.5.15 a 1.1.1.1

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.6.15 s router_running-config

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.7.15 s "scpQr41ei4f09otuhh"

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.8.15 s "27iK4bUy32hLm87Eew4i"

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.14.15 i 1

Засейвить по ftp:

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.2.126 i 2

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.3.126 i 4

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.4.126 i 1

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.5.126 a 1.1.1.1

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.6.126 s router_running-config

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.7.126 s "scpQr41ei4f09otuhh"

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.8.126 s "27iK4bUy32hLm87Eew4i"

snmpset -v 3 -a md5 -u snmpadm -A 9LADO68h245s709qP18T -l authPriv -x aes -X bOJwIi5UZi449fUyrJxZa 85.198.124.122 1.3.6.1.4.1.9.9.96.1.1.1.1.14.126 i 1

Подробнее тут - http://www.ciscozine.com/how-to-save-configurations-using-snmp/

PBR in Extreme summit switch

2015-06-08T11:36:00.000+03:00

* Int.X460-Core.4 # edit policy police_vlan8_pbr
entry permit_local_00 {
if {
source-address 192.168.0.0/16;
destination-address 192.168.0.0/16;
} then {
permit;
}
}

entry permit_local_01 {
if {
source-address 192.168.0.0/16;
destination-address 10.0.0.0/8;
} then {
permit;
}
}

entry permit_local_02 {
if {
source-address 192.168.0.0/16;
destination-address 172.168.0.0/12;
} then {
permit;
}
}

entry redirect_local_00 {
if {
source-address 192.168.253.0/24;
} then {
redirect 10.255.255.41;
}
}

configure access-list police_vlan8_pbr vlan "VLAN8_USERS-NEW" ingress
unconfigure access-list police_vlan8_pbr ingress

===

Policy-Based Redirection Redundancy

Multiple Next-hop Support

As discussed above, Layer 3 and Layer 2 policy-based redirect support only one next-hop for one

policy-based entry. Multiple next-hops with different priorities can be configured. A higher priority is

denoted with a higher number; for example, “priority 5” has a higher precedence than “priority 1.” When

a high priority next-hop becomes unreachable, another preconfigured next-hop, based on priority,

replaces the first. This is done by first creating a flow-redirect name that is used to hold next-hop

information. User-created flow-redirect names are not case-sensitive.

Use the following command:

create flow-redirect flow_redirect_name

To delete the flow-redirect name, use:

delete flow-redirect flow_redirect_name

Then information for each next-hop, including a defined priority, is added one by one to the new flowredirect

name. Use the following command:

configure flow-redirect flow_redirect_name add nexthop ipaddress priority number

===

An example.
We want to redirect all traffic from 10.91.0.48/28 to address 10.91.0.234

create flow-redirect redir1
configure flow-redirect redir1 add nexthop 10.91.0.234 priority 100
configure flow-redirect redir1 nexthop 10.91.0.234 ping health-check interval 60 miss 3

Create an ACL:
entry subnet1 {
if match all {
source-address 10.91.0.48/28 ;
} then {
permit;
redirect-name redir1;
}
}

configure access-list redir1 vlan "vlan_name" ingress

That will redirect traffic in this vlan only from subnet 10.91.0.48/28 to 10.91.0.234.

https://community.extremenetworks.com/extreme/topics/help_required_for_l3_policy_based_redirect_summit_x460_24t_exos_12_5-mb5hr

Windows 7 as wireless router

2015-05-31T21:05:00.001+03:00

Если в гостинице есть интернет только проводной, а хочется получить его на все мобильные девайсы, превращаем лаптоп в точку доступа c маршрутизацией и NAT в две команды.

netsh wlan set hostednetwork mode=allow ssid=My_virtual_WiFi key=12345678 keyUsage=persistent
netsh wlan start hostednetwork
netsh wlan stop hostednetwork
netsh wlan show hostednetwork

Работает, но с глюками.