the fakeroute diary

ASDM di GNS

2012-11-01T03:03:00.003-07:00

Untuk bisa menikmati ASDM ASA di GNS, caranya hampir sama dengan mengaktifkan Cisco SDM di Cisco Router.
Pertama-tama kita download dulu asdm image-nya di website cisco., bisa di download melalui website Cisco, hanya saja perlu akun CCO yang bisa download.

Topology dalam lab yang saya buat adalah sebagai berikut.

Saya menggunakan tftpd32 sebagai server tftp, aplikasi ini digunakan untuk meng-upload asdm image ke dalam cisco ASA.

Untuk meng-upload asdm image kedalam ASA, masuk kedalam cisco ASA dan ketik perintah berikut :

ciscoasa#copy tftp: disk0:

Masukan alamat tftp server berada, dan nama file (asdm-643.bin).
File asdm bisa di verifikasi dengan menggunakan perintah dir.

Setelah asdm image masuk kedalam flash, aktifkan asdm menggunakan perintah berikut :

ciscoasa(config)#asdm image disk0:/asdm-643.bin
ciscoasa(config)#http server enable
ciscoasa(config)#http 0 0 OUTSIDE

Buat username dengan priviledge level 15.

ciscoasa(config)#username admin password admin priv 15

Gunakan asdm launcher/akses ip outside untuk mulai menikmati asdm.

Network Address Translation overload case study

2012-10-04T09:45:00.001-07:00

Pada tulisan sebelumnya saya pernah menyinggung masalah NAT, nah tulisan kali saya juga akan membahas tentang NAT, tetapi lebih berbau teoristis. Saya pernah miss dengan pengetahuan ini, dan mungkin beberapa dari anda juga mengalaminya.
Sebelumnya saya ingin bercerita sedikit, kebetulan waktu itu saya sedang melakukan installasi IronPort web security appliance, perusahaan tersebut ada kurang lebih 500 user. Keluhan pertama mereka, Internet lambat, yang dipikiran orang awam pasti bandwidth kurang. Tetapi mengingat bandwidth mereka yang + 20M harus nya cukup. Dengan dasar ini mereka mungkin berpikir "Ini bandwidth harus di manage, sekalian kita lakukan filtering, situs-situs mana yang boleh di akses". Alhasil mereka beli beberapa alat, salah satu nya IronPort WSA.
OK, kembali kemasalah NAT, konfigurasi existing adalah + 500 user di NAT overload ke 1 ip public. Menurut anda apakah ada masalah?
Jika jawaban anda tidak, maka sama dengan apa yang saya pikirkan waktu itu. Berikut ilustrasi topology yang saya implemen.

Awalnya network di belakang core di NAT overload di router dengan 1 ip public. Kemudian dengan topologi seperti diatas, yang di NAT overload hanya IP proxy dan akses internet semua user akan dibelokkan melalui proxy menggunakan wccp. Apakah ada masalah? tidak, semua user akan tetap bisa ber-Internet ria. Oia, ada yang kurang di topologi diatas, di antara core dan router ada bandwidth shaper. Kebutuhan bandwidth sudah di atur dengan rapi.
Setelah beberapa hari pasca installasi ada keluhan dari user, Internet lambat. :D. Pertanyaan lagi kenapa?
Yang perlu kita ingat, NAT overload atau dynamic NAT atau PAT, melakukan translasi dari private address ke public address menggunakan port. PAT membagi port yang tersedia menjadi 3 bagian : 0-511, 512-1023, and 1024-65535. PAT memberikan source port yang unik untuk setiap sesi UDP atau TCP. Ia mencoba untuk menetapkan nilai port yang sama dari permintaan yang asli, tetapi jika port sumber aslinya telah digunakan, dia akan mulai memindai dari awal jangkauan port tertentu untuk menemukan port pertama yang tersedia dan memberikan kepada peminta. Jika kemudian semua port sudah terpakai untuk setiap sesi, apa yang terjadi?
Saya pribadi belum menemukan jawaban pasti, tetapi yang dipikiran saya, port yang available akan menjadi rebutan. Ini suspect mengenai internet lambat yang dikeluhkan konsumen saya tadi, dan di perkuat dengan data (show ip nat translations) di router yang nat translasinya diatas 70000.
Ada 2 cara untuk mengatasi hal ini :
1. Kita tetap menggunakan nat overload dengan nat pool, tidak dengan 1 ip public tetapi 2 atau 4 ip public.
2. Kita menggunakan 1 ip public, proxy di buat static dengan 1 ip public.
Untuk case ini saya menggunakan opsi 2, dan sampai sekarang lancar jaya .. :D

Dynamic & Static NAT Cisco ASA 8.4

2012-09-27T04:14:00.000-07:00

Konfigurasi NAT pada cisco ASA dengan IOS 8.4 memang berbeda dengan IOS sebelumnya. Untuk perbandingannya mungkin akan saya coba posting pada artikel yang lain.
Pada artikel kali ini saya akan memberikan contoh konfigurasi dynamic NAT (PAT) dan static NAT di ASA 8.4.
Topologi yang akan kita gunakan adalah sebagai berikut.

Skenarionya adalah, pada inside network akan terdapat 2 network, segmen user akan di wakili oleh interface loopback 1 dengan ip 172.16.1.0/24, network ini akan kita PAT menggunakan interface outside ASA. Kemudian ada segmen server akan diwakili interface loopback 0 dengan ip 172.16.0.0/24. Segmen ini akan kita gunakan 1 ip address 172.16.0.10 kemudian akan kita static NAT ke ip 192.168.0.10. Oia, kelupaan, segmen outside adalah 192.168.0.0/24.

Berikut ini konfigurasi R1 (inside network)

Current configuration : 802 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname INSIDE-RTR
!
// output tidak ditampilkan
!
interface Loopback0
ip address 172.16.0.10 255.255.255.0
!
interface Loopback1
ip address 172.16.1.1 255.255.255.0
!
interface FastEthernet0/0
ip address 10.10.10.2 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
ip route 0.0.0.0 0.0.0.0 10.10.10.1
!
// output tidak ditampilkan

Konfigurasi R2 (outside network) :

Current configuration : 649 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname OUTSIDE-RTR
!
// output tidak ditampilkan
!
interface FastEthernet0/0
no ip address
shutdown
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.0.1 255.255.255.0
duplex auto
speed auto
!

Dan yang terakhir konfigurasi pada ASA :

ASA Version 8.4(2)
!
hostname ciscoasa
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
!
interface GigabitEthernet0
nameif outside
security-level 0
ip address 192.168.0.2 255.255.255.0
!
interface GigabitEthernet1
nameif inside
security-level 100
ip address 10.10.10.1 255.255.255.0
!
ftp mode passive
object network obj-172.16.0.10
host 172.16.0.10
object-group network obj-nat
network-object 10.10.10.0 255.255.255.0
network-object 172.16.1.0 255.255.255.0
access-list OUTSIDE_IN extended permit icmp any any
access-list OUTSIDE_IN extended permit ip any host 172.16.0.10
access-list OUTSIDE_IN extended permit icmp any host 172.16.0.10
pager lines 24
logging enable
logging asdm debugging
mtu inside 1500
mtu outside 1500
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
nat (inside,outside) source dynamic obj-nat interface
!
object network obj-172.16.0.10
nat (inside,outside) static 192.168.0.10
access-group OUTSIDE_IN in interface outside
route outside 0.0.0.0 0.0.0.0 192.168.0.1 1
route inside 172.16.0.0 255.255.0.0 10.10.10.2 1
// output tidak ditampilkan

Untuk korelasi masing-masing command saya beri warna yang berbeda. Mudah-mudahan berguna .. :)

Menggunakan port alternatif untuk SSH

2012-09-26T20:58:00.000-07:00

Default port untuk SSH adalah 22, tapi demi alasan keamanan mungkin kita terpikir untuk menggunakan port lain selain port 22. Walaupun sekarang ini sudah banyak sekali tool untuk scan-port, tetapi gak ada salahnya kita coba mengganti port tersebut.
Command yang kita gunakan disini adalah rotary, command ini akan kita pasang di line vty. Hanya saja command ini tidak mengubah port SSH, dia hanya memberikan alternatif port yang bisa di gunakan untuk melakukan SSH, di akhir artikel ini akan kita bahas bagaimana melakukan blocking port 22.
Berikut konfigurasi di router.
Untuk mengaktifkan fitur SSH silahkan lihat artikel saya sebelumnya.

OMYN-RTR(config)#ip ssh port 2000 rotary 1

Command ini untuk mengaktifkan port 2000 yang nantinya akan digunakan sebagai alternatif port untuk SSH.
Untuk konfigurasi di line vty nya kurang lebih seperti berikut :

line vty 0 4
password cisco
login local
rotary 1
transport input ssh
line vty 5 15
password cisco
login local
rotary 1
transport input ssh

Selanjutnya bisa dicoba melakukan SSH ke dalam router menggunakan port 2000

Dengan ini berarti kita sudah punya alternatif port untuk melakukan SSH, tetapi kita tetep masih bisa melakukan SSH menggunakan port 22. Kita bisa melakukan blocking port 22 menggunakan Control-Plane Protection (CPPr) atau menggunakan access-list. Tetapi biar kelihatan keren kita akan coba menggunakan CPPr. Berikut konfigurasinya :

version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname OMYN-RTR
!
boot-start-marker
boot-end-marker
!
enable password cisco
!
no aaa new-model
memory-size iomem 5
ip cef
!
no ip domain lookup
ip domain name fakeroute.com
ip ssh port 2000 rotary 1
ip ssh version 2
!
multilink bundle-name authenticated
!
username admin privilege 15 password 0 admin
!
class-map type port-filter match-any CMAPPORT22
match port tcp 22
!
policy-map type port-filter PMAPPORT22
class CMAPPORT22
drop
log
!
interface FastEthernet0/0
no ip address
shutdown
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 10.0.100.1 255.255.255.0
duplex auto
speed auto
!
no ip http server
no ip http secure-server
!
control-plane host
service-policy type port-filter input PMAPPORT22
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
password cisco
login local
rotary 1
transport input ssh
line vty 5 15
password cisco
login local
rotary 1
transport input ssh
!
!
end

Saat kita coba melakukan SSH maka di router akan muncul error.

OMYN-RTR#
*Mar 1 01:03:02.815: %CP-6-TCP: DROP TCP/UDP Portfilter 10.0.100.20(16871) -> 10.0.100.1(22)
OMYN-RTR#
*Mar 1 01:03:05.795: %CP-6-TCP: DROP TCP/UDP Portfilter 10.0.100.20(16871) -> 10.0.100.1(22)
OMYN-RTR#
*Mar 1 01:03:11.795: %CP-6-TCP: DROP TCP/UDP Portfilter 10.0.100.20(16871) -> 10.0.100.1(22)
OMYN-RTR#

Cisco Priviledge Level

2012-09-09T16:17:00.000-07:00

Secara default, Cisco IOS menawarkan 3 priviledge level, yaitu 0,1 dan 15. Priviledge level 0 hanya bisa mengetikkan perintah disable, enable, exit, help dan logout. Priviledge level 1 menawarkan semua user-exec command dengan router> prompt. Priviledge level 15 menawarkan semua command pada router dengan router# prompt.

Pada saat kita membuat username pada sebuah router, biasanya kita akan melihat banyak sekali pilihan priviledge level, mulai dari 0 sampai dengan 15. Walaupun secara default priviledge level di cisco hanya 3 (0,1,15) tetapi kita bisa membuat custom priviledge menggunakan priviledge level 2-9. Setiap priviledge pada custom priviledge, bisa kita masukan command-command apa aja yang bisa.

Dibawah ini sedikit contoh penggunaannya :

Building configuration...
// output tidak ditampilkan
!
username cisco password 0 cisco
username cisco7 privilege 7 password 0 cisco7
username admin privilege 15 password 0 admin
!
interface FastEthernet0/0
no ip address
shutdown
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 10.0.100.1 255.255.255.0
duplex auto
speed auto
!
// output tidak ditampilkan
!

privilege configure all level 7 interface
privilege exec level 7 configure terminal
privilege exec level 7 configure
privilege exec level 7 show running-config
privilege exec level 7 show

!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login local
line vty 5 15
login local
!
!
end

OMYN-RTR(config)#

Bisa dilihat dalam contoh diatas username cisco7 merupakan user dengan priviledge level 7. Command yang di ijinkan pada saat user cisco7 melakukan login adalah dia bisa masuk kedalam configure terminal untuk melakukan konfigurasi, tetapi apa aja yang bisa di konfigurasi akan di batasi yaitu hanya bisa melakukan konfigurasi interface saja. Selain itu dia juga bisa melakukan command show running-config, tetapi karena dia hanya bisa melakukan konfigurasi interface saja, maka pada saat melakukan perintah show running-config yang muncul hanya konfigurasi interface saja.

Mudah-mudahan bermanfaat .. :)

Priviledge level menggunakan Radius

2012-06-27T03:41:00.000-07:00

Saya sendiri masih agak asing dengan radius, karena memang attribute nya yang sangat banyak. Saat kita menggunakan ACS sebagai AAA server, kita bisa membuat priviledge level untuk setiap user yang melakukan otentikasi ke dalam device, entah itu switch/router/asa atau device lainya yang support tacacs maupun radius. Biasanya, ketika saya melakukan implementasi, saya selalu menggunakan tacacs, selain device yang akan di manage adalah Cisco, juga karena Tacacs support command set, dimana kita bisa memberikan batasan kepada user, command apa aja yang bisa dilakukan saat dia berhasil melakukan otentikasi ke sebuah device.

Ada pertanyaan, "Apakah Radius juga bisa membatasi level user?", jawabnya bisa, hanya saja radius tidak bisa memberikan batasan command. Misalnya gini, user A dengan level 15, dia bisa melakukan semua command, dengan Tacacs user B dengan level 15 saya bisa batasi dia hanya bisa command show, tidak bisa selain itu, Radius tidak bisa melakukan itu.

Ok, berikut konfigurasi di switch dan ACS nya, untuk ACS saya menggunakan ACS 5.3

aaa authentication login SSH2 group radius local
aaa authorization exec SSH2 group radius local if-authenticated
!
!! Beberapa output di potong
radius-server host 172.16.10.138 auth-port 1645 acct-port 1646 key compnet123
!
!! Beberapa output di potong
line vty 0 4
authorization exec SSH2
login authentication SSH2
transport input ssh

Untuk konfigurasi di ACS nya, berikut beberapa screenshootnya.

[caption id="attachment_564" align="aligncenter" width="300"] Manage user[/caption]

[caption id="attachment_566" align="aligncenter" width="300"] Menambah radius attribute av-pair[/caption]

[caption id="attachment_567" align="aligncenter" width="300"] Manage Access profile[/caption]

Sedikit note untuk av-pair, shell:priv-lvl=15, 15 disini menunjukan priviledge level.

Mengaktifkan fitur "SSH"

2012-06-26T12:09:00.000-07:00

SSH, atau secure shell, merupakan salah satu fitur dimana kita bisa melakukan remote kedalam sebuah device. Jika sebelumnya kita menggunakan Telnet, maka untuk alasan keamanan maka dikenalkan fitur SSH. Kelebihan dari SSH sendiri adalah dilakukannya proses enkripsi pada saat mengirimkan informasi, terutama username dan password. Untuk router cisco sendiri fitur SSH mulai di dukung pada IOS versi Release 12.1(3)T.

Untuk mengaktifkan fitur SSH di Cisco Switch/Router, berikut langkah-langkahnya :

Konfigurasi hostname dan ip domain name.

Router#
Router(config)# hostname HO-RTR
HO-RTR(config)# ip domain-name company.co.id

Setelah itu, kita generate crypto rsa nya.

HO-RTR(config)# crypto key generate rsa

Secara default besarnya modulus 512, tetapi cisco sendiri merekomendasikan 1024. Selanjutnya buat username di router dan melakukan konfigurasi line vty supaya menggunakan SSH serta login menggunakan username dan password di local router.

HO-RTR(config)# username admin priviledge 15 password P@ssw0rd!
HO-RTR(config)# line vty 0 15
HO-RTR(config-line)# transport input ssh
HO-RTR(config-line)# login local

Seandainya ingin menggunakan fitur SSH version 2 ketik command berikut.

HO-RTR(config)#ip ssh version 2

Untuk melakukan verifikasi konfigurasi bisa menggunakan beberapa perintah berikut.

HO-RTR#show ip ssh
SSH Enabled - version 1.99
Authentication timeout: 120 secs; Authentication retries: 3
HO-RTR#
HO-RTR#show ssh
Connection Version Encryption State Username
2 1.5 3DES Session started donc
%No SSHv2 server connections running.
HO-RTR#

Check Point training at Mtech Indonesia

2012-06-01T03:38:00.000-07:00

Weits, ketemu dengan Linux lagi ..

Check Point merupakan salah satu product security yang paling terkemuka saat ini. Bahkan rekan kerja saya bilang bahwa saat ini check point adalah yang terbaik di seluruh dunia. Dari sisi Operating System, check point di rilis dalam banyak varian, mulai dari UNIX, Linux, BSD dan windows. Tetapi untuk UNIX dan windows sudah mulai tidak dikembangkan lagi.

Dari training yang saya dapet kemarin, saya sempat hands-on sebentar, dan dari penglihatan sekilas itu, saya sempet note beberapa fitur yang menurut saya memang oke. Oia sebelumnya saya mau menginformasikan terlebih dahulu bahwa check point bukanlah UTM, tetapi XTM (eXtensible Threat Management) *pesan sponsor* artinya apa? Check Point bisa dibilang software base, kita bisa menambah fitur baru hanya dengan melakukan installasi fitur tersebut, ingat core dari check point adalah OS biasa ( Windows, Linux etc). Mereka biasa menyebut fitur-fitur itu dengan sebutan "module", jadi saat ada istilah Security Gateway Module, Security Management Module, itu adalah aplikasi-aplikasi yang membentuk Check Point.

Ok, balik lagi ke beberapa note yang ingin saya sebutkan tadi;

Access-list pada check point boleh saya bilang sangat flexible, kita sudah tidak lagi bicara layer 3 baik itu untuk source atauun destination. Kita bisa menggantinya dengan ID (people ID) mungkin semacam object-group kalau di ASA dan juga untuk destination kita sudah bicara aplikasi ( facebook, youtube, twitter). Bagi saya ini sangat flexible.

Ada satu fitur lagi yang membuat saya cukup wahh, smartTracker (kalo gak salah inget), semacam logging. Bagi saya view nya cukup detail, apalagi pada saat kita troubleshoot, terdapat beberapa icon berbeda untuk setiap aplikasi, sehingga jika ada sebuah paket di drop di IPS misalnya, maka akan ada pesen dengan icon semacam tameng, atau jika di blok di firewall, maka kita bisa liat pesen error dengan icon bata.

Note yang terakhir adalah report, sangat-sangat rapi. Report tersusun dengan rapi, berupa tabel-tabel dengan penjelasan yang cukup detail dan mudah di baca.

hehehe tertarik untuk mencobanya? jika berminat untuk mencoba ada versi VM nya, namanya SPLAT, downloadnya dimana saya kurang tahu, karena kemarin saya hanya dapat dari trainernya .. :D

Oke lah segitu dulu, ngomongin yang baik-baik dulu lah sebelum kena ribetnya firewall hahaha ..

ASA LDAP Authentication #2

2011-11-28T15:17:00.001-08:00

Pada tulisan sebelumnya, saya sempet membahas bagaimana cara melakukan koneksi ke LDAP/AD sebagai user authentication. Hal ini sebelumnya sempat saya bahas dengan rekan kerja saya, selama perjalanan ke Client, kami membahas tentang bagaimana melakukan koneksi ke LDAP/AD dari beberapa perangkat cisco dengan tujuan untuk otentikasi device.

Akhirnya pembahasan sampai pada ASA, saya mengungkapkan bahwa ASA sudah bisa melakukan koneksi LDAP/AD untuk otentikasi user, kebetulan rekan saya tersebut belum tahu tentang hal itu. Nah pertanyaan selanjutnya adalah, masih perlukah ASA menggunakan Access Control System (ACS) untuk melakukan koneksi ke LDAP/AD ?

Jawabannya bisa YA, bisa juga TIDAK, untuk koneksi dari ASA langsung ke LDAP/AD hanya menggunakan RADIUS yang mana Radius menggunakan UDP, enkripsi hanya dilakukan pada password, dan otentikasi serta otorisasi menjadi satu, tentunya hal ini sangat menyulitkan kita saat kita akan membuat access-level per-user. Berbeda dengan ACS yang support TACACS+, TACACS+ menggunakan TCP, enkrisi dilakukan pada seluruh paket, multi-protocol support, dan yang paling penting, otentikasi dan otorisasi terpisah, memberikan hak akses kepada setiap user yang melakukan akses.

See..? apakah masih butuh ACS ? Semuanya tergantung kebutuhan :)

ASA LDAP Authentication

2011-10-18T11:01:00.001-07:00

Saya rasa hampir semua tutorial yang ada di internet sudah cukup sebagai panduan dalam implementasi. Saya sendiri mengacu kedalam web cisco untuk hal ini. Karena selain ASA adalah product cisco, juga karena dalam hal ini, tutorial yang ada di web cisco cukup mudah di mengerti. Maka dari itu saya saya hanya akan membagikan config penting yang ada di ASA dan sedikit tips yang mungkin akan berguna bagi kita.

aaa-server LDAP_SVR_GROUP protocol ldap
aaa-server LDAP_SVR_GROUP host 2.2.2.3
ldap-base-dn CN=Users,DC=omyn,DC=com
ldap-scope subtree
ldap-login-password *
ldap-login-dn CN=omyn,CN=Users,DC=omyn,DC=com
server-type microsoft
aaa-server LDAP_SRV_GROUP protocol ldap

ldap attribute-map CISCOMAP
map-name memberOf IETF-Radius-Class
map-value memberOf CN=Users,DC=omyn,DC=com CISCOMAP

Untuk melakukan koneksi ke LDAP, baris perintah diatas sudah cukup.

Baris pertama, kita mendefinisikan nama aaa-server dan protocol yang akan dipake. Baris kedua kita memberitahukan di ASA alamat IP LDAP server atau dalam kasus ini adalah IP dari Active Directory (AD). Dan selanjutnya, dan selanjutnya.

Satu hal yang perlu diperhatikan adalah bagian ldap-login-dn, saya awalnya menyangka bawa CN=omyn, ini merupakan username yang ada di AD. Ternyata salah, CN disitu adalah display name yang ada di AD. Saya melakukan kesalahan pada saat saya Implement di salah satu customer. Pada saat saya nge-Lab, kebetulan saya menggunakan nama yang sama antara display name dan login. Sehingga saya tidak memperhatikan hal itu. Jika kita mempunyai akses ke AD akan lebih memudahkan kita dalam melakukan tracing attribute tersebut. Format attribute di AD pun bermacam-macam, kadang ada yang menambahkan organization unit juga dalam account AD nya. contoh : OU=Administrasi, CN=omyn,CN=Users,DC=omyn,DC=com. Bagaimana kita bisa mengetahui format attributenya?

Saya kebetulan waktu itu mempunyai akses ke AD, saya bisa membuka cmd dan mengetikan dsquery, dari situ kita bisa mengetahui attribute dari user yang akan kita gunakan untuk login.

Oiya, hampir lupa, untuk authentikasinya, kita bisa apply di manapun, bisa untuk login ke ASA ataupun VPN. Contoh berikut digunakan jika kita apply sebagai user untuk VPN.

tunnel-group TUNGRP type remote-access
tunnel-group TUNGRP general-attributes
authentication-server-group LDAP_SVR_GROUP
default-group-policy GRPPOL
tunnel-group TUNGRP ipsec-attributes
pre-shared-key *

Reflexive access-list

2011-10-13T09:51:00.001-07:00

Skenario kali ini adalah bagaimana membuat access-list satu arah, saat kita membuat access-list dan kita apply di sebuah interface, maka access-list itu akan berfungsi dua arah. Misalnya gini, ada 2 network, kita sebut network A dan network B. Kemudian kita membuat access-list bahwa network A tidak bisa/boleh melakukan akses ke network B, maka secara otomatis network B tidak akan bisa melakukan akses ke network A, karena apa? Kalaupun traffic dari B bisa sampai ke A, traffic dari A ke B tertutup oleh access-list, sehingga traffic tidak akan bisa kembali.

Nah goal dari skenario ini adalah bagaimana mengijinkan traffic telnet dari R3 ke R2 tetapi tidak sebaliknya. Nama access-list yang dipake adalah reflexive access-list.

Berikut adalah sh running config dari masing-masing router.

Router 3 :

interface FastEthernet0/0
ip address 10.0.100.2 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
ip route 0.0.0.0 0.0.0.0 10.0.100.1
!
no ip http server
no ip http secure-server
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
password cisco
login
!
end

R3#

Router 2 :

interface FastEthernet0/0
ip address 172.16.0.2 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
ip route 0.0.0.0 0.0.0.0 172.16.0.1
!
no ip http server
no ip http secure-server
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
password cisco
login
!
end

R2#

Router 1 :

interface FastEthernet0/0
ip address 172.16.0.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 10.0.100.1 255.255.255.0
ip access-group INBOUND in
ip access-group OUTBOUND out
duplex auto
speed auto
!
no ip http server
no ip http secure-server
!
ip access-list extended INBOUND
permit tcp 10.0.100.0 0.0.0.255 172.16.0.0 0.0.0.255 reflect TELNET
ip access-list extended OUTBOUND
evaluate TELNET
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
!
end

R1#

Cisco SDM dan GNS3

2011-10-13T05:03:00.001-07:00

Bagi beberapa orang bekerja menggunakan Graphic User Interface (GUI) akan terasa lebih mudah dari pada menggunakan Command Line Interface (CLI). Demikian juga dalam melakukan configurasi Cisco router. Maka dari itu cisco pun mengenalkan Security Device Manager (SDM). SDM bisa juga kita jalankan menggunakan GNS3. Topology jaringan :

Untuk konfigurasi di router saya hanya menggunakan basic konfigurasi, seperti berikut :

---------------- sh running config R1 -----------------------------------
username admin123 privilege 15 secret 5 $1$hceu$m0UuIMEzEXNwH/zScgtCy/
interface FastEthernet0/0
no ip address shutdown
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 10.0.100.1 255.255.255.0
duplex auto
speed auto
!
!
!
ip http server
ip http authentication local
ip http secure-server
!
!
!
!
!
!
control-plane
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
password cisco
login local
!
!
end

Untuk SDM nya sendiri bisa kita download di cisco.com, hanya saja perlu login cisco untuk melakukan download. Lakukan setup SDM dari komputer maka akan muncul wizard seperti gambar berikut. Ikuti langkah-langkahnya sampai selesai.

Jika sudah selesai kita bisa akses SDM nya menggunakan SDM Launcher dengan memasukkan IP address.

Repository lokal Ubuntu

2010-12-13T03:48:00.001-08:00

Berikut ini adalah daftar repository lokal Ubuntu. Silahkan sesuaikan dengan jaringan yang ada di tempat masing-masing untuk mendapatkan kecepatan akses maksimal.

Ubuntu 10.10 (Maverick Meerkat)

FOSS-ID

deb http://dl2.foss-id.web.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://dl2.foss-id.web.id/ubuntu/ maverick main restricted universe multiverse
deb http://dl2.foss-id.web.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://dl2.foss-id.web.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://dl2.foss-id.web.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://dl2.foss-id.web.id/ubuntu/ maverick-security main restricted universe multiverse

Kambing UI

deb http://kambing.ui.ac.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://kambing.ui.ac.id/ubuntu/ maverick main restricted universe multiverse
deb http://kambing.ui.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://kambing.ui.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://kambing.ui.ac.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://kambing.ui.ac.id/ubuntu/ maverick-security main restricted universe multiverse

KLAS-BUAYA

deb http://buaya.klas.or.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://buaya.klas.or.id/ubuntu/ maverick main restricted universe multiverse
deb http://buaya.klas.or.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://buaya.klas.or.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://buaya.klas.or.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://buaya.klas.or.id/ubuntu/ maverick-security main restricted universe multiverse

ITB

deb ftp://ftp.itb.ac.id/pub/ubuntu/ maverick main restricted universe multiverse
deb-src ftp://ftp.itb.ac.id/pub/ubuntu/ maverick main restricted universe multiverse
deb ftp://ftp.itb.ac.id/pub/ubuntu/ maverick-updates main restricted universe multiverse
deb-src ftp://ftp.itb.ac.id/pub/ubuntu/ maverick-updates main restricted universe multiverse
deb ftp://ftp.itb.ac.id/pub/ubuntu/ maverick-security main restricted universe multiverse
deb-src ftp://ftp.itb.ac.id/pub/ubuntu/ maverick-security main restricted universe multiverse

ITS

deb http://mirror.its.ac.id/pub/ubuntu/ maverick main restricted universe multiverse
deb-src http://mirror.its.ac.id/pub/ubuntu/ maverick main restricted universe multiverse
deb http://mirror.its.ac.id/pub/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://mirror.its.ac.id/pub/ubuntu/ maverick-updates main restricted universe multiverse
deb http://mirror.its.ac.id/pub/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://mirror.its.ac.id/pub/ubuntu/ maverick-security main restricted universe multiverse

UNDIP

deb http://jaran.undip.ac.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://jaran.undip.ac.id/ubuntu/ maverick main restricted universe multiverse
deb http://jaran.undip.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://jaran.undip.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://jaran.undip.ac.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://jaran.undip.ac.id/ubuntu/ maverick-security main restricted universe multiverse

UGM

deb http://repo.ugm.ac.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://repo.ugm.ac.id/ubuntu/ maverick main restricted universe multiverse
deb http://repo.ugm.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://repo.ugm.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://repo.ugm.ac.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://repo.ugm.ac.id/ubuntu/ maverick-security main restricted universe multiverse

UMS

deb http://mugos.ums.ac.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://mugos.ums.ac.id/ubuntu/ maverick main restricted universe multiverse
deb http://mugos.ums.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://mugos.ums.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://mugos.ums.ac.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://mugos.ums.ac.id/ubuntu/ maverick-security main restricted universe multiverse

UNEJ

deb http://mirror.unej.ac.id/ubuntu/ maverick main restricted universe multiverse
deb-src http://mirror.unej.ac.id/ubuntu/ maverick main restricted universe multiverse
deb http://mirror.unej.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://mirror.unej.ac.id/ubuntu/ maverick-updates main restricted universe multiverse
deb http://mirror.unej.ac.id/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://mirror.unej.ac.id/ubuntu/ maverick-security main restricted universe multiverse

KOMO

deb http://komo.vlsm.org/ubuntu/ maverick main restricted universe multiverse
deb-src http://komo.vlsm.org/ubuntu/ maverick main restricted universe multiverse
deb http://komo.vlsm.org/ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://komo.vlsm.org/ubuntu/ maverick-updates main restricted universe multiverse
deb http://komo.vlsm.org/ubuntu/ maverick-security main restricted universe multiverse
deb-src http://komo.vlsm.org/ubuntu/ maverick-security main restricted universe multiverse

INDIKA

deb http://ubuntu.indika.net.id/ maverick main restricted universe multiverse
deb-src http://ubuntu.indika.net.id/ maverick main restricted universe multiverse
deb http://ubuntu.indika.net.id/ maverick-updates main restricted universe multiverse
deb-src http://ubuntu.indika.net.id/ maverick-updates main restricted universe multiverse
deb http://ubuntu.indika.net.id/ maverick-security main restricted universe multiverse
deb-src http://ubuntu.indika.net.id/ maverick-security main restricted universe multiverse

CBN

deb http://ubuntu.cbn.net.id/Ubuntu/ maverick main restricted universe multiverse
deb-src http://ubuntu.cbn.net.id/Ubuntu/ maverick main restricted universe multiverse
deb http://ubuntu.cbn.net.id/Ubuntu/ maverick-updates main restricted universe multiverse
deb-src http://ubuntu.cbn.net.id/Ubuntu/ maverick-updates main restricted universe multiverse
deb http://ubuntu.cbn.net.id/Ubuntu/ maverick-security main restricted universe multiverse
deb-src http://ubuntu.cbn.net.id/Ubuntu/ maverick-security main restricted universe multiverse

Wine 1.3.9 support ActiveX

2010-12-12T23:59:00.001-08:00

Sepertinya saya hanya bisa bilang "Wao".. beberapa masalah yang pernah saya temui saat saya harus melakukan akses CCTV via web mungkin bisa terpecahkan dengan adanya activeX pada wine terbaru ini. Pantas untuk di coba, Untuk full change log nya bisa di lihat di sini http://www.winehq.org/announce/1.3.9

PPA Install : ppa:ubuntu-wine/ppa.

Bagi pengguna wine 1.2 lakukan upgrade dengan "sudo apt-get install wine1.3"

MT : FTP Server

2010-10-18T12:04:00.001-07:00

Mikrotik meng-implementasikan fitur FTP (File Transfer Protocol). Fitur ini digunakan untuk melakukan upload dan download script, backup file, ataupun melakukan upload file html untuk hotspot.

Mikrotik menggunakan standar port FTP, yaitu port 20 dan 21. Proses otentifikasi menggunakan user dan password system Mikrotik. Untuk mengaksesnya kita bisa menggunakan FTP Client, seperti Filezilla, Winscp, gFTP dan aplikasi lainnya.

==================

End

Source : refman3.0.pdf

Upgrade to Ubuntu 10.10

2010-10-18T08:57:00.001-07:00

Sudah ada yang upgrade Ubuntu ke versi 10.10 ? Saya malah belum, tetapi kemarin sudah download ubuntu alternate, dengan versi alternate ini kita bisa melakukan upgrade tanpa perlu install ulang. lantas bagaimana caranya? Tentu saja mudah, mungkin saya merupakan orang yang ke-sekian kalinya membahas ini, tetapi tidak ada salahnya menulisnya lagi di blog.

Pertama lakukan mount file .iso yang sudah di download, anggap saja kita menyimpannya di Desktop.

#mount -o loop /home/suckids/Desktop/ubuntu-10.10-alternate-i386.iso /media/cdrom0/

Perintah tersebut akan melakukan mounting file .iso kedalam direktori /media/cdrom. Perintah selanjutnya adalah melakukan upgrade. Kebanyakan tutorial, proses upgrade menggunakan perintah Alt+F2 (run command) kemudian mengetikan gksudo sh /cdrom/cdromupgrade. Tetapi saya biasa melakukan perintah tersebut di terminal.

#sh /cdrom/cdromupgrade

Maka proses upgrade akan berjalan, seperti gambar berikut.

[caption id="attachment_330" align="aligncenter" width="388" caption="Proses Upgrade sedang berjalan"][/caption]

Sampai disini cara upgrade menggunakan ubuntu versi alternate sudah selesai.

======================================================

Ini adalah pengalaman saya yang pertama selama melakukan upgrade Ubuntu ke versi yang baru. Kebetulan ubuntu yang terakhir terinstall adalah versi 10.04 LTS, dimana versi LTS ini di support oleh pihak Ubuntu sampai 5 tahun, artinya akan ada update security dari pihak ubuntu selama 5 tahun kedepan. Ciri dari versi LTS adalah muncul tambahan versi dibelakang versi aslinya setelah melakukan update. Misalnya saya memakai ubuntu versi 10.04 maka jika saya melakukan update atau muncul versi baru versinya akan berubah menjadi 10.04.1.

Ubuntu yang saya pakai terlanjur saya update ke versi 10.04.1 dan ketika saya akan upgrade ke versi 10.10 muncul error seperti dibawah ini.

[caption id="attachment_331" align="aligncenter" width="516" caption="Error ketika Upgrade"][/caption]

Informasi terakhir yang saya dapat, error ini disebabkan karena saya melakukan upgrade dari versi 10.04.1 ke 10.10. Sudah banyak yang mengirimkan error ini di bugs.launchpad tetapi sepertinya belum ada solusi. Fyuhhh ....

Update 23 oktober 2010

Hari ini saya mencoba melakukan upgrade lagi ke versi 10.10, masih dengan cd alternate, hanya saja kali ini saya menjawab "yes" ketika ada option apakah akan melakukan download update terakhir dari internet. Dan sejauh ini error tersebut tidak muncul [pada saat saya tulis ini masih dalam proses download] ...

[caption id="attachment_349" align="aligncenter" width="500" caption="Ubuntu 10.10 Maverick meerkat"][/caption]

Configuration management

2010-10-15T03:51:00.001-07:00

Manajemen konfigurasi di Mikrotik meliputi beberapa hal, yaitu :

- melakukan backup system;
- melakukan restore dari file backup;
- melakukan export dari sebuah konfigurasi;
- melakukan import dari file hasil export;
- melakukan pengaturan ulang (reset) dari konfigurasi yang telah ada.

Backup kongfigurasi digunakan untuk membuat sebuah file backup dari konfigurasi yang telah dilakukan untuk bisa digunakan kembali sewaktu-waktu. File backup ini biasanya digunakan setelah kita melakukan pengaturan ulang system, sehingga kita tidak perlu memasukkan kembali rule-rule secara manual.
Perintah backup ini berada pada menu : /system backup. Untuk menyimpan file backup kita menggunakan perintah save dan load untuk me-restore file backup-an.

load name=[filename] - me-load konfigurasi dari file backup.
save name=[filename] - mem-backup konfigurasi.

Contoh mem-backup konfigurasi:

[admin@Empire] > system backup save name=test
Saving system configuration
Configuration backup saved

Untuk melihat file backup yang sudah tersimpan :

[admin@Empire] > file print
# NAME TYPE SIZE CREATION-TIME
0 test.backup backup 923406 oct/15/2010 17:09:18

Contoh me-load hasil backup:

[admin@Empire] > system backup load name=test
Restore and reboot? [y/N]:
y
Restoring system configuration
System configuration restored, rebooting now

Export digunakan untuk merubah sebuah konfigurasi kedalam file script yang nantinya bisa kita import kedalam konfigurasi mikrotik yang baru, bedanya dengan backup adalah, backup merubah semua konfigurasi mikrotik kedalam sebuah file dengan ekstensi .backup, sedangkan export, merubah konfigurasi per-level menu kedalam sebuah file dengan ekstensi .rsc. Perintah export ini bisa digunakan dalam berbagai level menu, dan melakukan export juga pada submenu dibawahnya.

file=[filename] - menyimpan konfigurasi dengan perintah export kedalam sebuah file

Contoh perintah export:

[admin@Empire] > ip fi nat pri
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; NAT Network
chain=srcnat action=masquerade src-address=192.168.0.0/24

[admin@Empire] /ip firewall nat> export file=nat
[admin@Empire] /ip firewall nat> /file print
# NAME TYPE SIZE CREATION-TIME
0 nat.rsc script 1778 oct/15/2010 17:25:34

Import digunakan untuk melakukan eksekusi script file dengan ekstensi .rsc, termasuk file dari hasil export. Import merupakan perintah level root (/import). Hanya saja kita tidak bisa melakukan import konfigurasi mikrotik secara keseluruhan, perintah import biasanya digunakan untuk melakukan konfigurasi perbagian saja seperti konfigurasi NAT, Firewall, address dll.

Contoh perintah import:

[admin@Empire] > import nat.rsc
Opening script file address.rsc
Script file loaded and executed successfully
[admin@Empire] >

Reset merupakan perintah untuk menghapus semua konfigurasi termasuk username dan password akan kembali ke konfigurasi awal (admin dan tanpa password). Konfigurasi alamat IP akan dihapus, ethernet akan di non-aktifkan. Setelah reset. router akan restart.

Contoh perintah reset:

[admin@Empire] > system reset-configuration
Dangerous! Reset anyway? [y/N]: n
action cancelled
[admin@Empire] >

===============
End.
Sumber : refman3.0.pdf

Mikrotik RouterOS

2010-10-14T13:18:00.001-07:00

Akhir-akhir ini saya sedang "getol-getolnya" belajar Mikrotik, sayapun mencoba mencari referensi tentang apa dan bagaimana Mikrotik ini. Akhirnya saya menyambangi website resmi Mikrotik Indonesia di Mikrotik.co.id dan akhirnya mendapatkan sedikit pengertian tentang yang namanya Mikrotik ;

MikroTik RouterOS™ adalah sistem operasi dan perangkat lunak yang dapat digunakan untuk menjadikan komputer manjadi router network yang handal, mencakup berbagai fitur yang dibuat untuk ip network dan jaringan wireless, cocok digunakan oleh ISP dan provider hotspot.

Mari kita belajar bersama bagi yang masih belajar, dan bagi yang sudah master mohon bantuannya .. :)

VI Command list

2010-10-11T13:11:00.001-07:00

Kustomasi Docky launchers

2010-09-23T03:51:00.000-07:00

Untuk membuat Dock seperti pada Mac OSX, ada beberapa aplikasi yang bisa kita install di Ubuntu. Salah satunya adalah Docky. Selain itu ada pula avant-window-navigator (AWN), tetapi menurut saya Docky lebih ringan jika dibanding AWN, maka dari itu, Docky menawarkan kustomasi yang lebih minim jika dibandingkan dengan AWN. Misalnya dalam melakukan pengurangan launcher yang tidak kita inginkan, kita tidak bisa melakukannya dari docky option tetapi harus melalui gconf-editor. Hal inilah yang akan saya bahas disini.

[caption id="" align="aligncenter" width="546" caption="Docky"][/caption]

langkah pertama kita akan masuk ke gnome editor menggunakan menu run (ALT+F2), setelah itu ketikan "gconf-editor".

[caption id="" align="aligncenter" width="362" caption="Run atau ALT+F2"][/caption]

Setelah kita masuk ke gnome editor, carilah docky1 seperti terlihat pada gambar.

[caption id="" align="aligncenter" width="448" caption="Gnome Editor"][/caption]

Dari situ kita bisa melakukan remove launcher, edit launcher ataupun menambah launcher. Cara lain untuk menambah launcher dengan melakukan drag and drop dari Application menu.

10.04 back to google as default SE

2010-04-08T08:44:00.001-07:00

.....

However, for the final release, we will use Google as the default provider. I have asked the Ubuntu Desktop team to change the default back to Google as soon as reasonably possible, but certainly by final freeze on April 15th.

......

Di atas adalah pernyataan Rick Spencer di milis. Beliau mengumumkan bahwa default search engine untuk Ubuntu 10.04 adalah Google setelah beberapa waktu yang lalu ada wacana menjadikan Yahoo search sebagai Default Search Engine. Mantap deh, gak begitu familiar juga dengan Yahoo Search ...

Banner Countdown Lucid Lynx

2010-04-06T12:18:00.001-07:00

Yuk mari, kita hitung mundur launching dari Ubuntu 10.04 Lucid Lynx, banner yang gue pakai sendiri dibuat oleh Immanuel peratoner, tetapi jika ingin mencoba banner lainnya, rekan-rekan bisa liat-liat pada link berikut.

https://wiki.ubuntu.com/Website/LucidCountdownBanners

recordMyDesktop, narsis-in desktop

2010-03-30T11:15:00.001-07:00

Barusan install gtk-recordMydesktop, tools ini buat ngerekam desktop kita, itu loh, kayak yang di Youtube, keren sih, cuman pas running di komputer gue kok kayak e berat banget. Gue coba record dikit banget aja, durasi jadi agak panjang, soalnya emang loading desktopnya yang jadi lambat banget. CPU usage aja bisa sampai 100% ..edan .. tapi gue maklum, spek cpu nya juga udah uzur, p4 dengan memeori 512, ck ..ck ..ck ..

Nice ya he2 .. ntar file outputnya ber ekstensi .ogv, klo mo install ada kok di repo, tinggal klik Applications-Ubuntu Software Center. Ntar cari aja recordmydesktop, klo udah ketemu klik install de, tunggu beberapa saat and finish .. enjoy it! ..

Activated VPN client on Ubuntu

2010-03-27T08:31:00.001-07:00

Secara default VPN client di Ubuntu adalah "kosong" artinya belum ada software yang menghandle VPN. Ada beberapa macam VPN client yang bisa kita install disini, Ada OpenVPN, PPTP, vpnc, Kvpnc dan masih banyak lagi. Dan semuanya sudah tersedia di repository ubuntu.

Untuk installasi, bisa melakukan nya lewat GUI (Application-Ubuntu Software Center) ataupun melalui terminal dengan apt-get nya. Semuanya mudah .. Setelah melakukan installasi dari salah satu software diatas, maka pada network manager pada tab VPN kita bisa menambah koneksi ke VPN.

Webserver + webmin + virtualmin

2010-03-27T06:01:00.001-07:00

Kayaknya dulu, pada saat gue make Ubuntu versi 8.04, gue susah banget saat coba melakukan installasi webmin + virtualmin, tetapi kemarin, saat gue coba melakukan installasi Ubuntu Server 9.10 mudah sekali melakukan konfigurasi virtualmin. Yang gue lakuin cuman melakukan editing pada apache2.conf dengan menambah baris:

DocumentRoot "/home"

Setelah itu mangaktifkan mod_suexec, mod_actions dan mod_userdir pada module configuration di webservernya. Dan server udah UP!, apa dulu gue yang gak dunk ya ?