yang Penting Jalan !

Forbidden 403

2011-12-28T10:53:00.001+07:00

There are many reasons that could lead us getting forbidden message. Check the file permission, selinux, authorization or facl first. After all of those common things and u still don't work it out, then u shall read this blog !

It was hard for me to trace this error. I had to copy fresh httpd configuration and compared it with the bad one. After diff-ed those files.
I realized this line:

@@ -328,7 +335,7 @@
# http://httpd.apache.org/docs/2.2/mod/core.html#options
# for more information.
#
- Options Indexes FollowSymLinks
+ Options +Indexes FollowSymLinks

I removed the bold-ed + and my symlink expectedly works, but why ?
Kindly, check this quote:

source : http://httpd.apache.org/docs/2.0/mod/core.html

Normally, if multiple Options could apply to a directory, then the most specific one is used and others are ignored; the options are not merged. (See how sections are merged.) However if all the options on the Options directive are preceded by a + or - symbol, the options are merged. Any options preceded by a + are added to the options currently in force, and any options preceded by a - are removed from the options currently in force.

Warning

Mixing Options with a + or - with those without is not valid syntax, and is likely to cause unexpected results.

The point is, FollowSymLinks directive didn't work due to invalid syntax. :)

======== FIN ============

IP SLA-like Script

2011-12-20T01:28:00.000+07:00

#!/bin/bash
#
#Author : Ian Wijaya
#Description : Monitor IP SLA using icmp echo message, it's been designed to run as background process, thus need to be killed manually when no longer needed
#kill -9
#Creation date : 12-10-2011
#Dependency: sendEmail v 1.56 -> http://caspian.dotconf.net/menu/Software/SendEmail/
#
#usage: link_monitor.sh &
#
IFS="\n"
#Define parameter
host="8.8.8.8" #hostname or IP to monitor
ping_interval=1 #in second
ping_count=4
ping_threshold=3
period=3 #the ping monitor will be executed every n second
#so there will be 1 ping every 1s (4x1s) and then sleep for 3 sec

mail_destination="receiver@domain.com"
mail_server="smtp.domain.com"
mail_account="sender@domain.com"
mail_subject="This is subject"
mail_password="senderpassword"
mail_send_interval=10 #in minutes
mail_threshold=3 #if 3 consecutive pings are fail, send email !

#Declare variable
received_reply=0
rtt_summary=""
ping_result=""
prev_send_time=0
fail_count=0

#param guard
if test $ping_count -lt $ping_threshold
then
echo "ping_threshold value is not valid, it must be more than or equal to ping_count value" 2>&1
exit
fi

while true
do
ping_result=`ping -c $ping_count -i $ping_interval $host`
received_reply=`echo $ping_result | grep -i "received" |cut -d"," -f2 | awk {'print $1'}`
rtt_summary=`echo $ping_result | grep -i "rtt" | awk -F"=" '{print $2}'`

if test $received_reply -lt $ping_threshold
then
now=`date +%s`
msg="`date +%d"-"%m"-"%Y" "%T` | $received_reply/$ping_count | $rtt_summary"
fail_count=`expr $fail_count + 1`
if test `expr $now - $prev_send_time` -gt `expr $mail_send_interval \\* 60` -a $fail_count -ge $mail_threshold
then
./sendEmail-v1-56/sendEmail -f "$mail_account" -t "$mail_destination" -u "$mail_subject" -m "$msg" -s "$mail_server" -xu "$mail_account" -xp "$mail_password" 1> /dev/null
prev_send_time=$now
fail_count=0
fi
echo $msg >> link-monitor.log
else
if test $fail_count -gt 0
then
fail_count=`expr $fail_count - 1`
fi
fi
sleep $period
done

If success reply is lower than ping_threshold, the result will be considered as negative result (and will be logged).
Negative ping result will increment fail_count whereas positive result will decrement it. If the counter has reached the mail_threshold and the mail has not sent within last 10 minutes, an email will be sent and the counter will be reset to zero.

you can replace the /sendEmail part with another action. u may want to change route, delete route, reduce metric or anything else, depends on your requirement.

Multicast Source Discovery Protocol (MSDP)

2011-12-18T00:22:00.001+07:00

Apabila terdapat 2 multicast domain, katakanlah domain A dan domain B dan masing-masing memiliki RP router tersendiri (RP-A dan RP-B), sedangkan multicast source terdapat pada multicast domain A, maka multicast domain B tidak akan mendapatkan paket multicast dari source tersebut.
Untuk mengatasi masalah tersebut, kita dapat mengkonfigurasikan MSDP peering pada kedua RP router.
Dengan MSDP peer, RP-A akan mengirimkan Source Active(SA) messages setiap 60 second kepada RP-B. SA message berisi list IP address semua source untuk setiap group multicast yang terdapat pada RP-A.

Berikut contoh lab nya.

R1#
!
ip multicast-routing
!
interface FastEthernet0/0
ip address 10.10.12.1 255.255.255.0
ip pim sparse-dense-mode
!
router ospf 1
network 10.10.12.1 0.0.0.0 area 0
!

R2#
!
ip multicast-routing
!
interface Loopback1
ip address 2.2.2.2 255.255.255.255
ip pim sparse-dense-mode
!
interface FastEthernet0/0
ip address 10.10.12.2 255.255.255.0
ip pim sparse-dense-mode
!
interface FastEthernet0/1
ip address 10.10.23.2 255.255.255.0
ip pim sparse-dense-mode
!
router ospf 1
network 2.2.2.2 0.0.0.0 area 0
network 10.10.12.2 0.0.0.0 area 0
network 10.10.23.2 0.0.0.0 area 0
!
ip pim send-rp-announce Loopback1 scope 1
ip pim send-rp-discovery scope 1
!

R3#
!
ip multicast-routing
!
interface FastEthernet0/0
ip address 10.10.23.3 255.255.255.0
ip pim sparse-dense-mode
!
interface FastEthernet0/1
ip address 10.10.34.3 255.255.255.0
ip pim sparse-dense-mode
!
router ospf 1
network 10.10.23.3 0.0.0.0 area 0
network 10.10.34.3 0.0.0.0 area 0
!

R4#
ip multicast-routing
!
interface Loopback1
ip address 4.4.4.4 255.255.255.255
ip pim sparse-dense-mode
!
interface FastEthernet0/0
ip address 10.10.34.4 255.255.255.0
ip pim sparse-dense-mode
!
interface FastEthernet0/1
ip address 10.10.45.4 255.255.255.0
ip pim sparse-dense-mode
!
router ospf 1
network 4.4.4.4 0.0.0.0 area 0
network 10.10.34.4 0.0.0.0 area 0
network 10.10.45.4 0.0.0.0 area 0
!
ip pim send-rp-announce Loopback1 scope 1
ip pim send-rp-discovery scope 1
!

R5#
!
interface FastEthernet0/0
ip address 10.10.45.5 255.255.255.0
ip pim sparse-dense-mode
ip igmp join-group 225.0.0.1
!
router ospf 1
network 10.10.45.5 0.0.0.0 area 0

Kita buat R1 sebagai source (melakukan ping ke 225.0.0.1)

Ternyata tidak ada reply. Berarti R1 tidak menemukan member dari multicast group 225.0.0.1.
Lalu kita coba tambahkan konfigurasi berikut pada R2 dan R4:

R2(config)#ip msdp peer 4.4.4.4 connect-source loopback 1

R4(config)#ip msdp peer 2.2.2.2 connect-source loopback 1

Lakukan ping lagi dari R1 ke 225.0.0.1:

=====FIN====

Zone-Based Firewall

2011-12-17T01:15:00.001+07:00

Zone-based firewall merupakan fitur yang dapat ditemui pada IOS advsecurity. Zone bersifat user-defined dan dapat diassign pada setiap interface router. Intinya adalah, IOS akan mendrop traffic antara 2 zona yang berbeda. Meskipun demikian kita dapat mendefine beberapa policy untuk memperbolehkan case-case tertentu saja. Ada beberapa langkah untuk mengkonfigur ZFW:
1.) Tentukan nama-nama zone
2.) Buat Class-map
3.) Buat Policy-map dan tentukan action apa yang akan dilakukan untuk setiap class.
4.) Tentukan Zone Pair. Zone Pair merupakan kombinasi dari sebuah source dan destination sebuah traffic berdasarkan zone-nya. Kemudian Apply Policy-map kedalam zone pair
5.) Daftarkan interface menjadi member sebuah zone. Berikut contoh aplikasinya :

Konfigurasikan ip address dan ip route untuk setiap router sehingga menjadi seperti digambar. Untuk lab ini saya asumsikan R1 sudah dapat melakukan telnet, ssh, ping dan browse web(telnet port 80) ke R2 (10.10.2.2 dan 8.8.8.8)

Kita akan memperbolehkan telnet dan ssh traffic dan mengontrol (policing) traffic web dari local zone ke external zone.
Semua traffic lain ke 10.10.2.2 akan di-pass.
Semua traffic lain akan di-drop

note:
drop - semua paket tidak akan dilewatkan (silently drop)
pass - semua paket akan dilewatkan tapi hanya 1 arah saja. pass tidak akan menambahkan record pada tabel connection tracking, sehingga semua trafik ke arah sebaliknya harus di-allow secara manual.
inspect - semua paket akan dilewatkan, dan firewall akan menambahkan record pada tabel connection tracking, sehingga trafik ke arah sebaliknya akan otomatis di-allow selama record tersebut masih ada.

Berikut langkah-langkah konfigurasinya :
1.) Tentukan Zone
#zone security local
#zone security external
2.) Class-map (buat class map dengan type inspect)
#class-map type inspect match-any remote-access
match protocol ssh
match protocol telnet
#class-map type inspect match-all web
match protocol http
#class-map type inspect match-all toR2
match access-group name myACL
!
#ip access-list extended myACL
permit ip any host 10.10.2.2

3.) Policy-map (buat dengan type inspect)
#policy-map type inspect myPOLICY
class type inspect remote-access
inspect
class type inspect web
inspect
police rate 50000 burst 8000
class type inspect toR2
pass
class class-default
drop
!

4.) Buat zone-pair dan apply policy-map
#zone-pair security outside source local destination external
service-policy type inspect myPOLICY

5.) Daftarkan interface ke dalam sebuah zone
#interface FastEthernet1/0
zone-member security local
!
#interface FastEthernet1/1
zone-member security external
!

verifikasi: sh policy-map type inspect zone-pair <zone-pair-name>

Coba lakukan ssh, telnet, dan ping lagi ke R2. Ping tidak akan mendapatkan reply, karena keduanya akan meng-hit policy drop ataupun pass, sedangkan ping sendiri membutuhkan policy untuk 2 arah. Kita dapat mengakalinya dengan menggantinya menjadi inspect ataupun menambahkan policy pada zone-pair arah sebaliknya.

FW#sh policy-map type inspect zone-pair outside

policy exists on zp outside
Zone-pair: outside

Service-policy inspect : myPOLICY

Class-map: remote-access (match-any)
Match: protocol ssh
0 packets, 0 bytes
30 second rate 0 bps
Match: protocol telnet
1 packets, 24 bytes
30 second rate 0 bps

Inspect
Packet inspection statistics [process switch:fast switch]
tcp packets: [0:38]

Session creations since subsystem startup or last reset 1
Current session counts (estab/half-open/terminating) [0:0:0]
Maxever session counts (estab/half-open/terminating) [1:1:1]
Last session created 01:05:47
Last statistic reset never
Last session creation rate 0
Maxever session creation rate 1
Last half-open session total 0
TCP reassembly statistics
received 0 packets out-of-order; dropped 0
peak memory usage 0 KB; current usage: 0 KB
peak queue length 0

Class-map: web (match-all)
Match: protocol http

Inspect
Packet inspection statistics [process switch:fast switch]
tcp packets: [0:12]

Session creations since subsystem startup or last reset 1
Current session counts (estab/half-open/terminating) [0:0:0]
Maxever session counts (estab/half-open/terminating) [1:1:1]
Last session created 00:59:47
Last statistic reset never
Last session creation rate 0
Maxever session creation rate 1
Last half-open session total 0
TCP reassembly statistics
received 0 packets out-of-order; dropped 0
peak memory usage 0 KB; current usage: 0 KB
peak queue length 0

Police
rate 50000 bps,8000 limit
conformed 12 packets, 836 bytes; actions: transmit
exceeded 0 packets, 0 bytes; actions: drop
conformed 0 bps, exceed 0 bps

Class-map: toR2 (match-all)
Match: access-group name myACL
Pass
5 packets, 400 bytes

Class-map: class-default (match-any)
Match: any
Drop
10 packets, 800 bytes

Nyanyian Rindu

2011-12-15T23:48:00.001+07:00

Regular Expression

2011-12-15T17:47:00.001+07:00

Regex is an expression that specifies a set of strings.
Regex banyak sekali digunakan, baik dilingkungan UNIX, scripting, maupun perangkat-perangkat jaringan seperti Cisco.
Berikut metacharacter yang umum digunakan pada regex.

^ = Awal dari sebuah kata
$ = Akhir dari sebuah kata
| = Logical operator (or/atau)
_ = Delimiter (pemisah: blank, spasi, comma)
. = karakter apa saja. (any character)
+ = 1 atau lebih karakter yang ada didepannya
* = 0 atau lebih karakter yang ada di depannya
? = 0 atau 1 karakter yang ada didepannya .

( ) = Menandakan sebuah kesatuan
[ ] = Pilihan karakter

Misal
1.) aku suka mangga
2.) balonku ada 5
3.) 5 bulan lagi aku CCIE
4.) 55555
5.) dia menertawakan aku
6.) aku suka minggat
7.) aku suka manggis

^aku -> 1
aku -> 1 3 5
aku$ -> 5

m[ai]ngga -> 1 6
mangg.* -> 1 7
^5$ -> --
5+ -> 2 3 4

SNAT - HSRP (Redundancy)

2011-12-15T17:15:00.000+07:00

Menyambung postingan yang lalu http://ianwijaya.blogspot.com/2011/12/nat-redudancy-hsrp.html, saya akan membahas mengenai dynamic NAT failover dengan HSRP.
Fitur yang akan digunakan disini adalah Stateful NAT (SNAT). Dengan menggunakan SNAT, translasi table pada active router akan disinkronkan dengan standby router pada HSRP, sehingga pada saat terjadi perpindahan active router, proses translasi address tidak terganggu (tersendat-sendat).
Dengan topologi yang masih sama dan konfigurasi HSRP yang masih sama:
Hapus konfigurasi static nat pada percobaan sebelumnya. Kemudian tambahkan dynamic nat tanpa menggunakan SNAT pada router R2 dan R3.
#ip nat pool myPOOL 10.10.10.100 10.10.10.110 prefix-length 24
#ip nat inside source list myACL pool myPOOL
#ip access-list standard myACL
permit 172.16.1.0 0.0.0.255

Sembari melakukan telnet ke R4 dari R1, shutdown interface fa0/1 R2. Rasakan sendatannya !! =))

Kemudian kita tambahkan konfigurasi SNAT seperti contoh dibawah.:

R2#
!
ip nat Stateful id 1
redundancy myHSRP
mapping-id 10
protocol udp
ip nat pool myPOOL 10.10.10.100 10.10.10.110 prefix-length 24
ip nat inside source list myACL pool myPOOL mapping-id 10
ip access-list standard myACL
permit 172.16.1.0 0.0.0.255
!

R3#
!
ip nat Stateful id 2
redundancy myHSRP
mapping-id 10
protocol udp
ip nat pool myPOOL 10.10.10.100 10.10.10.110 prefix-length 24
ip nat inside source list myACL pool myPOOL mapping-id 10
ip access-list standard myACL
permit 172.16.1.0 0.0.0.255
!

Stateful ID haruslah berbeda pada setiap router.
Setiap konfigurasi SNAT harus di-bind dengan sebuah mapping-id yang kemudian ditambahkan pada konfigurasi NAT.
verifikasi:
#sh ip snat distributed
#sh ip nat translasions

====FIN ======

Apache Virtual Host

2011-12-14T17:16:00.007+07:00

Bila kita hanya memiliki 1 server namun ingin meng-hosting 2 web server atau lebih, kita dapat memanfaatkan fitur virtual host.

Edit file /etc/httpd/conf/httpd.conf
#
NameVirtualHost {ip}:{port}
#ip bisa diganti dengan * untuk listen di semua ip
#lalu tambahkan stanza virtualhost untuk setiap web server
<VirtualHost {ip}:{port}>
     ServerName www.webserver1.com
     ServerAlias webserver1.com
     DocumentRoot /path/to/web/dir
</VirtualHost>

untuk memperbolehkan directory listing, kita dapat menambahkan
Options +indexes

untuk authentikasi kita dapat menambahkan stanza Directory didalam VirtualHost
<Directory /path/to/allowed-dir>
     AuthName "Title"
     AuthType basic
     AuthUserFile /path/to/passfile
     Require valid-user
</Directory>

save, exit, restart httpd

user dan password dapat dibuat dengan command htpasswd
htpasswd -cm /path/to/passfile user1
htpasswd -m /path/to/passfile user2

====FIN====

NAT - Redudancy (HSRP)

2011-12-14T16:58:00.014+07:00

Kita dapat menggunakan HSRP untuk mendapatkan fitur high availabilty pada router gateway. namun apabila router2 gateway tersebut merangkap sebagai translator router (me-nat address local) maka hal tersebut akan menjadi masalah.

Berikut hasil screen shot dari percobaan yang saya lakukan

Ketika interface fa 0/1 R2 saya shutdown, translasi memang ikut berpindah ke router R3, namun muncul pesan "DUPLICATE ADDRESS BLA BLA BLA". Hal ini akan menganggu paket-paket tcp yang di lewatkan. Alhasil sesi telnet ke R4(8.8.8.8) menjadi tersendat-sendat.
Duplicate address ini dikarenakan interface NVI menggunakan address yang sama, yaitu 10.10.10.1

Hal ini dapat di atasi dengan menggunakan fitur NAT-redudancy. berikut konfigurasi pada router R2 dan R3

R2(config-if)#do sh run | s nat|interface
interface FastEthernet0/0
ip address 10.10.10.2 255.255.255.0
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
interface FastEthernet0/1
ip address 172.16.1.2 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
standby 1 ip 172.16.1.100
standby 1 priority 200
standby 1 preempt
standby 1 name myHSRP
ip nat inside source static 172.16.1.1 10.10.10.1 redundancy myHSRP

R3(config-if)#do sh run | s nat|interface
interface FastEthernet0/0
ip address 10.10.10.3 255.255.255.0
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
interface FastEthernet0/1
ip address 172.16.1.3 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
standby 1 ip 172.16.1.100
standby 1 name myHSRP
ip nat inside source static 172.16.1.1 10.10.10.1 redundancy myHSRP

Konfigurasi ini hanya dapat digunakan untuk static nat saja. Untuk dynamic nat kita dapat menggunakan fitur stateful nat yang akan saya bahas pada tulisan saya selanjutnya. :D

===== FIN =====

NAT Linux

2011-12-12T22:28:00.005+07:00

Sebelum melakukan NAT kita harus merubah default behavior dari linux machine untuk dapat melewatkan traffic yang tujuannya bukan mesin itu sendiri (transit node).

vi /etc/sysctl.conf
net_ipv4_forwarding=1
save, lalu reload sysctl dengan commmand
sysctl -p

Pada linux, khusus nya Red Hat, nat dapat dikonfigurasi dengan menambahkan rules pada table nat.
Untuk memanipulasi table nat kita membutuhkan tambahan parameter "-t nat".

Untuk source nat kita bisa menggunakan table POSTROUTING maupung PREROUTING, sedangkan untuk destination nat kita hanya bisa menggunakan PREROUTING saja.
PREROUTING artinya translasi address akan dilakukan sebelum proses routing dilakukan, sedangkan POST brarti setelah.

Untuk source nat kita menggunakan "-j SNAT", sedangkan destination nat menggunakan "-j DNAT".
SNAT sebenarnya serupa dengan "-j MASQUERADE", hanya saja dengan SNAT kita bisa mengganti source address nya, tidak harus sama dengan interface.

Berikut contohnya:
SNAT, aplikasi umumnya untuk sharing internet(share ip public)
iptables -t nat -A POSTROUTING -o <out interface> -j SNAT --to <ip_public>

DNAT, aplikasi umumnya untuk port forwarding(virtual IP)
iptables -t nat -A PREROUTING -p tcp -d <ip_public> --dport <port_public> -j DNAT --to <ip_private:port_private>

Static DHCP binding

2011-12-10T08:04:00.005+07:00

Jika kita ingin meng-assign IP yang selalu sama pada suatu node melalui DHCP, kita dapat membinding nya secara staticc dengan menggunakan perintah "host" berikut contoh nya

#ip dhcp pool my-pool
dhcp#network 192.168.1.0 255.255.255.0
dhcp#default-router 192.168.1.1
dhcp#dns-server 8.8.8.8

#ip dhcp pool static-pool
dhcp#host 192.168.1.8 255.255.255.0
dhcp#hardware address xxxx.yyyy.zzzz
dhcp#default-router 192.168.1.1

verifikasi:
#sh ip dhcp binding

AutoRP Listener

2011-12-09T12:28:00.005+07:00

Ketika kita menggunakan auto rp untuk mendistribusikan rp address, kita harus menggunakan sparse-dense mode pada interface yang tergabung dengan multicast.
Source multicast akan menggunakan dense mode sampai source tersebut mempelajari dimana letak root tree(rp-address). Ketika source telah mempelajari rp, source akan beralih menggunakan sparse mode.

Waktu yang dibutuhkan untuk menjadi sparse mode relatif lama. Ketika suatu source menggunakan dense mode dalam waktu yang relatif lama maka hal ini akan menjadi tidak efisien.
Untuk menghindari hal ini, kita dapat menggunakan autoRP listener. Dengan autorp listener kita diperbolehkan menggunakan autorp dalam mode sparse mode, dengan pengecualian traffic untuk group 224.0.0.39 (RP) dan 224.0.0.40 (Mapping agent) (yang akan di distribusikan menggunakan dense mode)

konfigurasi auto-RP dengan sparse mode

R1-------R2---------R3

konfigurasikan semua interface sebagai sparse mode
if#ip pim sparse-mode

R2 sebagai RP
R2#
ip pim send-rp announce <src interface> scope <value>
ip pim send-rp discovery scope <value>

R1&3#ip pim autorp listener

verifikasi:
sh ip pim rp mapping

MPLS VPN OSPF-Shamlink

2011-12-08T07:37:00.014+07:00

Sebelum mengkonfigur shamlink, mungkin anda merasakan ada yang aneh dengan route OSPF, mengapa prefix ospf dari PE dianggap sebagai O IA, tidak sebagai O External, padahal route tersebut di-redistribute dari BGP.
Hal ini memang special case untuk MPLS. Berikut saya kutip penjelasan nya dari sebuah web.
http://sites.google.com/site/amitsciscozone/home/important-tips/mpls-wiki/ospf-as-pe-ce-routing-protocol-in-mpls-vpn (paragraph 1, 4, dan 5)

OSPF Domain: Two sites are considered to be in the same OSPF Domain if the routes from one site to other are considered intra-network routes. Both sites will run OSPF as their intra-site routing protocol.This can be done by presenting such routes as inter-area routes in Type 3 LSAs.
If normal BGP/OSPF interaction procedures are implemented, the routes from one site to be delivered to another site as External routes in Type 5 LSAs. This makes them impossible to be distinguished from "real" external routes in the VPN. Hence, a modified version of BGP/OSPF interaction procedure needs to be implemented so that routes delivered from one site to another are atleast interarea routes.
If a VRF contains both an OSPF-distributed route and a VPNv4 route for the same IP prefix, then the OSPF-distributed route is preferred because of its lower AD. Hence, forwarding is done according to OSPF route. The only exception is when the sham-link is present.

Ketika kita menggunakan ospf sebagai IGP anatara router PE dan CE untuk menghubungkan 2 network DAN kemudian kita menambahkan intraarea route baru untuk mencapai network yang sama, ospf akan lebih memilih jalur melewati intra area route. Hal ini dikarenakan OSPF akan mem-flag route yang melewati MPLS sebagai interarea route.
Kendala ini dapat diatasi dengan menambahkan konfigurasi shamlink pada PE router. Dengan shamlink, CE akan menggunakan path melalui MPLS sebagai primary path.

Ada 4 langkah yang harus dilakukan untuk membentuk shamlink
misalkan customer ada pada vrfA maka:
1.) Buat loopback interface di masing2 PE router, kemudian assign interface tersebut ke dalam vrfA (ip vrf forwarding)
2.) Advertise loopback interface tersebut ke dalam BGP vrfA, (network command)
3.) Assign ip loopback point 1 menjadi RID untuk protocol OSPF vrfA, buat shamlink pada masing2
PE router dengan comand
#area <id:> sham-link <source RID> <destinations RID>

Pada tahap ini route ospf ke vrfA akan di anggap sebagai intraarea route meskipun route tersebut didapat dari redistribusi BGP

4.) Manipulasi cost pada interface CE router. Buat agar CE lebih memilih untuk melewati jalur MPLS
if#ip ospf cost <value>

Berikut contohnya:

Pada R7 dan R5, customer B membuat backup path baru, tambahkan konfigurasi OSPF seperti biasa pada router-router CE tersebut.
Konfigurasi terkait:
Nama VRF Bkiri (R1) dan Bkanan (R3)

Konfigurasi dasar:
R1#
!
ip cef
!
ip vrf Bkiri
rd 65000:2
route-target export 65000:2
route-target import 65000:2
!
interface Loopback0
ip address 10.10.10.1 255.255.255.255
!
interface Serial0/0
description # link to P #
ip address 192.168.10.1 255.255.255.252
mpls ip
clock rate 2000000
!
interface FastEthernet0/1
ip vrf forwarding Bkiri
ip address 192.168.0.1 255.255.255.252
duplex auto
speed auto
!
router ospf 100 vrf Bkiri
log-adjacency-changes
redistribute bgp 65000 subnets
network 192.168.0.0 0.0.255.255 area 0
!
router bgp 65000
no synchronization
bgp log-neighbor-changes
neighbor 10.10.10.2 remote-as 65000
neighbor 10.10.10.2 update-source Loopback0
no auto-summary
!
address-family vpnv4
neighbor 10.10.10.2 activate
neighbor 10.10.10.2 send-community extended
exit-address-family
!
address-family ipv4 vrf Bkiri
redistribute ospf 100 vrf Bkiri match internal external 1 external 2
no synchronization
exit-address-family
!

R3#
!
ip cef
!
ip vrf Bkanan
rd 65000:2
route-target export 65000:2
route-target import 65000:2
!
interface Loopback0
ip address 10.10.10.2 255.255.255.255
!
interface Serial0/0
description #link to P#
ip address 192.168.20.2 255.255.255.252
mpls ip
clock rate 2000000
!
interface FastEthernet0/1
ip vrf forwarding Bkanan
ip address 192.168.0.5 255.255.255.0
duplex auto
speed auto
!
router ospf 100 vrf Bkanan
log-adjacency-changes
redistribute bgp 65000 subnets
network 192.168.0.0 0.0.255.255 area 0
!
router bgp 65000
no synchronization
bgp log-neighbor-changes
neighbor 10.10.10.1 remote-as 65000
neighbor 10.10.10.1 update-source Loopback0
no auto-summary
!
address-family vpnv4
neighbor 10.10.10.1 activate
neighbor 10.10.10.1 send-community extended
exit-address-family
!
address-family ipv4 vrf Bkanan
redistribute ospf 100 vrf Bkanan match internal external 1 external 2
no synchronization
exit-address-family
!

Kemudian tambahkan konfigurasi shamlink sesuai dengan step yang telah dijabarkan di atas
R1#
interface Loopback100
ip vrf forwarding Bkiri
ip address 100.100.100.4 255.255.255.255
!
router ospf 100 vrf Bkiri
router-id 100.100.100.4
area 0 sham-link 100.100.100.4 100.100.100.5
!
router bgp 65000
address-family ipv4 vrf Bkiri
network 100.100.100.4 mask 255.255.255.255
!

R3#
interface Loopback5
ip vrf forwarding Bkanan
ip address 100.100.100.5 255.255.255.255
!
router ospf 100 vrf Bkanan
router-id 100.100.100.5
area 0 sham-link 100.100.100.5 100.100.100.4
!
router bgp 65000
address-family ipv4 vrf Bkanan
network 100.100.100.5 mask 255.255.255.255
!

BGP bestpath as-path multipath-relax

2011-12-07T07:31:00.007+07:00

Normal nya BGP akan me-load share 2 link atau lebih apabila kedua kondisi dibawah terpenuhi:
1.) maximum-path > 1
2.) terdapat 2 atau lebih link yang memiliki BGP attribute yang sama paling tidak sampai kriteria ke 8 (NWLLA OMNI, Next hop reachable, weight, Local pref, Locally injected, AS-path, Origin, MED, Neighbor type, dan IGP metric to next hop)

Hal ini tidak akan menjadi masalah pada kasus 1 ISP multihome, namun apabila kasus multihome adalah dari 2 ISP yang berbeda maka akan terjadi perbedaan AS-path dan hanya akan ada 1 route ISP yang dimasukan ke dalam routing table. (karena syarat ke 2 tidak terpenuhi)

untuk mengatasi masalah ini, kita dapat menambahkan konfigurasi :
#bgp bestpath as-path multipath-relax

Dengan menambahkan konfigurasi tersebut BGP akan menghiraukan perbedaan as number pada masing2 path asalkan length AS nya masih tetap sama.

berikut contoh nya (perhatikan route entry untuk prefix 4.4.4.4) :
1 ISP, Multihome

Lalu saya ganti konfigurasinya agar R2 dan R3 menjadi berbeda AS (dual ISP)

saya tambahkan konfigurasi multipath-relax
R1#router bgp 100
R1(router)#bgp bestpath as-path multipath-relax
R1(router)#maximum-path 2

command ini tidak terdapat pada intellisense/auto complete

===fin===

OSPF Network Type

2011-12-06T08:10:00.003+07:00

*Default pada interface LAN adalah broadcast

Ada 6 tipe network pada interface ospf.
Pilihan yang harus kita gunakan sangat bergantung pada komponen-komponen penyusun table tersebut.

pada topologi frame relay, ada beberapa hal yang perlu diperhatikan dalam pemilihan tipe network:
1.) Pastikan hello/dead timers tidak berbeda.

2.) Semua routers dalam suatu NBMA subnet disarankan menggunakan tipe network yang sama, antara semua menggunakan DR atau tidak sama sekali.

3.) Apabila dikehendaki menggunakan DR, maka router yang harus menjadi DR adalah router yang punya PVC ke semua router yang lain. (set router2 DROther dengan "ip ospf priority 0")

4.) "neighbor command" cukup dikonfigurasikan pada 1 router saja.

5.) Apabila kita menggunakan dynamic mapping (frame-relay interface dlci) dan kita menggunakan tipe network ospf broadcast maka neighbor akan otomatis terdiscover

6.) Apabila kita menggunakan frame-relay map broadcast (dengan broadcast) dan kita menggunakan tipe network ospf broadcast maka neighbor akan otomatis terdiscover

7.) Apabila kita menggunakan frame-relay map (tanpa broadcast) atau kita menggunakan tipe network ospf non broadcast maka kita harus menggunakan "neighbor" command.

*Broadcast keyword pada frame relay map dibutuhkan apabila kita ingin mengirimkan packet broadcast dan multicast ke spesifik dlci

EIGRP Stub

2011-12-05T07:37:00.008+07:00

Konfigurasi stub dibutuhkan saat sebuah router tidak boleh menjadi transit router. salah satu kegunaan konfigurasi stub adalah untuk mencegah sebuah router menerima query dari upstream router. Hal ini dapat memperpendek masa active dari upstream router dan menghindari kondisi stuck in active (SIA).

Konfigurasi stub memiliki beberapa option. Secara default, stub akan mendistribusikan connected dan summary route, namun kita dapat mengubah behavior ini dengan menyebutkan route apa saja yang akan kita advertise ke upstream router.

contoh:

R1#
!
interface Loopback1
ip address 192.168.22.1 255.255.255.0
!
interface Loopback2
ip address 192.168.23.1 255.255.255.0
!
interface Loopback3
ip address 192.168.24.1 255.255.255.0
!
interface Loopback4
ip address 192.168.25.1 255.255.255.0
!
interface Loopback5
ip address 192.168.26.1 255.255.255.0
!
interface FastEthernet0/0
ip address 192.168.10.1 255.255.255.0
ip summary-address eigrp 10 192.168.22.0 255.255.254.0 5
duplex auto
speed auto
!
router eigrp 10
network 192.168.10.1 0.0.0.0
network 192.168.0.0 0.0.255.255
no auto-summary
!

R2#
!
interface FastEthernet0/0
ip address 192.168.10.2 255.255.255.0
duplex auto
speed auto
!
router eigrp 10
network 192.168.10.2 0.0.0.0
auto-summary
!

R2#sh ip route
D 192.168.25.0/24 [90/409600] via 192.168.10.1, 00:04:18, FastEthernet0/0
D 192.168.24.0/24 [90/409600] via 192.168.10.1, 00:04:24, FastEthernet0/0
C 192.168.10.0/24 is directly connected, FastEthernet0/0
D 192.168.26.0/24 [90/409600] via 192.168.10.1, 00:04:13, FastEthernet0/0
D 192.168.22.0/23 [90/409600] via 192.168.10.1, 00:06:13, FastEthernet0/0

============================================================================

R1(router)#eigrp stub

R2#sh ip routte
D 192.168.25.0/24 [90/409600] via 192.168.10.1, 00:00:30, FastEthernet0/0
D 192.168.24.0/24 [90/409600] via 192.168.10.1, 00:00:30, FastEthernet0/0
C 192.168.10.0/24 is directly connected, FastEthernet0/0
D 192.168.26.0/24 [90/409600] via 192.168.10.1, 00:00:30, FastEthernet0/0
D 192.168.22.0/23 [90/409600] via 192.168.10.1, 00:00:30, FastEthernet0/0

============================================================================

R1(router)#eigrp stub connected
R2#sh ip route
D 192.168.25.0/24 [90/409600] via 192.168.10.1, 00:00:04, FastEthernet0/0
D 192.168.24.0/24 [90/409600] via 192.168.10.1, 00:00:04, FastEthernet0/0
C 192.168.10.0/24 is directly connected, FastEthernet0/0
D 192.168.26.0/24 [90/409600] via 192.168.10.1, 00:00:04, FastEthernet0/0
D 192.168.23.0/24 [90/409600] via 192.168.10.1, 00:00:04, FastEthernet0/0
D 192.168.22.0/24 [90/409600] via 192.168.10.1, 00:00:04, FastEthernet0/0

============================================================================

R1(router)#eigrp stub summary
R2#sh ip route
C 192.168.10.0/24 is directly connected, FastEthernet0/0
D 192.168.22.0/23 [90/409600] via 192.168.10.1, 00:00:02, FastEthernet0/0

============================================================================

leak-map digunakan untuk menspesifikasikan prefix eigrp apa saja yang akan kita distribusikan melalui leak-map (route-map).

saya tambahkan R3. R3 terhubung dengan interface fa 0/1 R1(172.16.1.2/24) dengan konfigurasi sebagai berikut :

interface Loopback1
ip address 172.16.10.1 255.255.255.0
!
interface Loopback2
ip address 172.16.11.1 255.255.255.0
!
interface Loopback3
ip address 172.16.12.1 255.255.255.0
!
interface FastEthernet0/0
ip address 172.16.1.1 255.255.255.0
duplex auto
speed auto
!
router eigrp 10
network 172.16.0.0 0.0.255.255
no auto-summary
!

R1#sh ip route
C 192.168.25.0/24 is directly connected, Loopback4
C 192.168.24.0/24 is directly connected, Loopback3
C 192.168.10.0/24 is directly connected, FastEthernet0/0
172.16.0.0/24 is subnetted, 4 subnets
D 172.16.12.0 [90/409600] via 172.16.1.1, 00:02:44, FastEthernet0/1
D 172.16.10.0 [90/409600] via 172.16.1.1, 00:02:44, FastEthernet0/1
D 172.16.11.0 [90/409600] via 172.16.1.1, 00:02:44, FastEthernet0/1
C 172.16.1.0 is directly connected, FastEthernet0/1
C 192.168.26.0/24 is directly connected, Loopback5
C 192.168.23.0/24 is directly connected, Loopback2
C 192.168.22.0/24 is directly connected, Loopback1
D 192.168.22.0/23 is a summary, 00:10:02, Null0

kemudian saya konfigurasikan leak-map bernama lm1
!
access-list 1 permit 172.16.12.0 0.0.0.255
!
route-map lm1 permit 1
match ip address 1
!
router eigrp 10
eigrp stub leak-map lm1
!

R2#sh ip route
C 192.168.10.0/24 is directly connected, FastEthernet0/0
172.16.0.0/24 is subnetted, 1 subnets
D 172.16.12.0 [90/435200] via 192.168.10.1, 00:00:09, FastEthernet0/0

================================================================
receive-only digunakan untuk membuat sebuah router hanya menerima prefix tanpa memberitahukan prefix yang dimilikinya.

R1(router)#eigrp stub receive-only
R1#sh ip route

C 192.168.25.0/24 is directly connected, Loopback4
C 192.168.24.0/24 is directly connected, Loopback3
C 192.168.10.0/24 is directly connected, FastEthernet0/0
172.16.0.0/24 is subnetted, 4 subnets
D 172.16.12.0 [90/409600] via 172.16.1.1, 00:00:24, FastEthernet0/1
D 172.16.10.0 [90/409600] via 172.16.1.1, 00:00:24, FastEthernet0/1
D 172.16.11.0 [90/409600] via 172.16.1.1, 00:00:24, FastEthernet0/1
C 172.16.1.0 is directly connected, FastEthernet0/1
C 192.168.26.0/24 is directly connected, Loopback5
C 192.168.23.0/24 is directly connected, Loopback2
C 192.168.22.0/24 is directly connected, Loopback1
D 192.168.22.0/23 is a summary, 00:15:00, Null0

R2#sh ip route
C 192.168.10.0/24 is directly connected, FastEthernet0/0

R3#
172.16.0.0/24 is subnetted, 4 subnets
C 172.16.12.0 is directly connected, Loopback3
C 172.16.10.0 is directly connected, Loopback1
C 172.16.11.0 is directly connected, Loopback2
C 172.16.1.0 is directly connected, FastEthernet0/0

==fin==

Distribusi Default Route

2011-12-04T15:45:00.008+07:00

4 cara untuk mendistribusikan default route :

1.) redistribusi static route
konfigur static route
#ip route <dest-net> <dest-netmask> <exit interface|next-hop ip>
#router <protocol>
#redistribute static

2.) default information originate
#router <protocol>
#default-information originate

3.) ip default network
ada beberapa syarat yang harus di perhatikan untuk konfigurasi ip default network :
a.) local router harus di konfigur dengan "ip default-network <network number>", dengan network number sebagai classful network number.
b.) classful network tersebut harus terdapat pada routing table di local router tersebut, dengan cara apapun.
c.) khusus untuk eigrp, classful network tersebut harus di advertised oleh local router kedalam EIGRP, dengan cara apapun

konfigurasi
masukan ke classful network ke routing table baik dengan konfigurasi interface maupun static routing ataupun cara yang lain.

#interface loopback <id>
if# ip address <usable IP address of a classfull network> <classful netmask>
#ip default-network <classfull network number>

contoh:
#interface loopback 1
if#ip address 8.8.8.9 255.0.0.0
#ip default-network 8.0.0.0

khusus untuk EIGRP, kita harus menambahkan command untuk mengadvertise ip tersebut agar disebarkan oleh EIGRP sebagai candidate default route.
eigrp#network <network number> <network mask>

4.) ip summary address
konfigur per interface
#ip summary address eigrp <ASN> 0.0.0.0 0.0.0.0

sumber: Cisco Press

Konfigurasi PPP Multilink diatas Frame Relay

2011-12-04T07:05:00.005+07:00

Frame Relay merupakan Protocol Layer 2 yang tidak mendukung fitur authentikasi maupun link balancing. untungnya, PPP dapat menambal kekurangan tersebut. Dengan menggunakan PPP kita dapat menambahkan fitur authentikasi, kompresi, link management maupun link balancing (melalui multi link PPP). Seperti hal nya etherchannel, multilink dapat menggabungkan 2 link PPP atau lebih dan menjadikannya seolah menjadi 1 (logical) link.

pada frame relay, kita tidak dapat menambahkan konfigurasi multilink pada physical interface, melainkan harus dalam "interface Virtual-Template". berikut contoh konfigurasi nya
(saya mengasumsikan frame relay telah berjalan dengan baik)

!buat account untuk authentikasi chap
R1#username <neighbor-hostname> password <pass>

!buat interface virtual-template
R1#interface Virtual-Template <id>
R1-if#ip address <ip> <netmask>
R1-if#ppp multilink
R1-if#ppp authentication chap

R1#interface serial <if-id>
R1-if#encapsulation frame-relay
RF-if#frame-relay interface-dlci <dlci> ppp virtual-template <id>

buat konfigurasi ini di router lain dengan perubahan seperlunya.

verifikasi :
debug ppp auth
debug frame-relay lmi
sh ppp multilink
sh ip int br

kita juga dapat melakukan konfigurasi "interface multilink" layaknya konfigurasi multilink tanpa frame relay. kemudian kita harus mem-bundle interface virtual-template dan multilink dengan menambahkan:
R1-if(multilink & virtual template)#ppp multilink group <id>

bila menggunakan konfigurasi ini, lakukan semua konfigurasi: authentikasi, ip, kompresi dsb pada interface multilink.

Frame Relay Bridging

2011-12-03T23:01:00.006+07:00

We can create 2 router interfaces as a bridge when using frame-relay to join 2 nodes/areas into the same network even though it is separated by many routers.

we need to configure R1 and R2 to use bridge interface:

3 first steps (i-p-r)

R1#bridge Irb !enabling irb (integrated routing bridging)
R1#bridge <group id> Protocol ieee
R1#bridge <group id> route ip !IP will be routed in this bridge group

Interface serial 0/0 is connected to frame relay switch
Interface Fa 0/0 R1 is connected to the local network which will be bridged to the network on fa 0/0 on R2

R1#interface fa0/0
R1#bridge-group <group-id>
R1#no shut

R1#interface ser0/0
R1#no shut
R1#frame-relay map bridge <dlci-number> broadcast
R1#bridge-group <group ID>

next step... place the ip address that was previously assigned to serial interface to the newly created Bridge Virtual Interface (BVI)

R1#interface BVI <interface-id>
R1-if#ip address <ip> <netmask>

mirror this configuration to R2, with necessary changes.

verification:
sh frame-relay map
sh ip int brief

Source: CCIE RS Bootcamp p.30 (by Dedy Gunawan)

Convert 14 bits format to 3-8-3 format Point Code

2011-11-02T21:03:00.003+07:00

there are 2 kinds of point code format given by ITU.
1.) International Network [3 bits (Zone) -8 bits (Area/network) -3 bits (Point)]
2.) National Network (14 bits Signaling point)

sometimes we need to convert the Point code in National Network format (14 bits) to International Format to determine the zone or area for a given point code.

To convert it, simply convert the decimal value into 14 bits decimal then separate it by 3-8-3 format, then convert it back to decimal value and concatenate it .

e.g
National Network PC: 2200
then it will be : 00100010011000
separate it : 001 00010011 000
convert to dec : 1 19 0
concat : 1190

BGP - Outbound Route Filtering

2011-10-31T17:09:00.012+07:00

Sometimes, customers want to filter several routes from their ISP. we can filter the incoming update from the customer standpoint, but it will not stop the SP's router to keep sending the update. It will be totally ineffecient.
To rectify this problem, We can configure Outbound Route Filtering (ORF) to tell the neighboring router that we are filtering those routes so
"please stop sending unnecessary updates to us"

R3
!
router bgp 100
router#no synchronization
router#bgp log-neighbor-changes
router#neighbor 192.168.1.2 remote-as 200
router#neighbor 192.168.1.2 soft-reconfiguration inbound
router#no auto-summary
!

R4
!
router bgp 200
router#no synchronization
router#bgp log-neighbor-changes
router#network 10.1.2.0 mask 255.255.255.0
router#network 172.16.2.0 mask 255.255.255.0
router#network 192.168.2.0
router#neighbor 192.168.1.1 remote-as 100
router#no auto-summary
!

R3
!
ip prefix-list eliminate-route seq 10 permit 10.1.2.0/24
router bgp 100
router#neighbor 192.168.1.2 capability orf prefix-list send
router#neighbor 192.168.1.2 prefix-list eliminate-route in
!
R4
!
router bgp 200
router#neighbor 192.168.1.1 capability orf prefix-list receive
!

eBGP disable-connected-check

2011-10-31T13:10:00.006+07:00

By default, eBGP will check if the neighbor IP address is directly connected (TTL=1). when the neighbor statement is using loopback interface, the eBGP peering will not form. to disable this check we need to add 1 of this 2 configurations:

-neighbor <addr> disable-connected-check
-neighbor <addr> ebgp-multihop <ttl>

!with TTL > 1

source: http://neatherweb.com/index.php?option=com_content&view=article&id=21:bgp-disable-connected-check&catid=8:ccie&Itemid=13

Q-in-Q

2011-10-29T13:59:00.004+07:00

source : http://www.cisco.com/en/US/docs/routers/7600/ios/12.2SR/configuration/guide/dot1qtnl.html

802.1Q tunneling enables service providers to use a single VLAN to support customers who have multiple VLANs, while preserving customer VLAN IDs and keeping traffic in different customer VLANs segregated.

The link between the 802.1Q trunk port on a customer device and the tunnel port is called an asymmetrical link because one end is configured as an 802.1Q trunk port and the other end is configured as a tunnel port. You assign the tunnel port to an access VLAN ID unique to each customer.

another words:
CE (Trunk) ----- (dot1q-tunnel-if (access vlan)PE)

simply add:
interface#switchport mode dot1q-tunnel

verification:
#sh dot1q-tunnel interface

native vlan can't be tagged correctly through this tunnel interface. either use ISL (i.e doesn't support native vlan) or configure:

global#vlan dot1q tag native
to tag native VLAN egress traffic and drop untagged native VLAN ingress traffic.

-Jumbo frames can be tunneled as long as the jumbo frame length combined with the 802.1Q tag does not exceed the maximum frame size.
-L3 and higher protocol can't be identified
-CDP "native vlan mismatch" can be ignored
-can't be configured to support private vlan
-PortFast BPDU filtering is enabled automatically on tunnel ports.
-CDP is automatically disabled on tunnel ports.
-VLAN Trunk Protocol (VTP) does not work between the following devices:
--Devices connected by an asymmetrical link
--Devices communicating through a tunnel

VRF (lite)

2011-10-10T11:51:00.009+07:00

From a design perspective, Multi-VRF CE feature gives the provider better choices about platforms, and where to put the relatively large workload required by a PE. A multitenant unit (MTU) design is a classic example, where the SP puts a single Layer 3 device in a building with multiple customers. The SP engineers could just make the CPE device act as PE. However, by making the CPE router act as CE, but with using Multi-VRF CE, the SP can easily separate customers at Layer 3, while avoiding the investment in a more powerful Layer 3 CPE platform to support full PE functionality.

R1#
version 12.4
!
hostname R1
!
ip cef
!
ip vrf cusA
rd 1:1
route-target export 1:1
route-target import 1:1
!
ip vrf cusB
rd 2:2
route-target export 2:2
route-target import 2:2
!
interface Loopback1
ip vrf forwarding cusA
ip address 192.168.1.1 255.255.255.0
!
interface Loopback2
ip vrf forwarding cusB
ip address 192.168.1.1 255.255.255.0
!
interface Serial1/0
no ip address
encapsulation frame-relay
no keepalive
serial restart-delay 0
clock rate 128000
no dce-terminal-timing-enable
!
interface Serial1/0.10 point-to-point
ip vrf forwarding cusA
ip address 202.1.1.5 255.255.255.252
frame-relay interface-dlci 101
!
interface Serial1/0.20 point-to-point
ip vrf forwarding cusB
ip address 202.1.1.1 255.255.255.252
frame-relay interface-dlci 202
!
router eigrp 5000
auto-summary
!
address-family ipv4 vrf cusB
network 192.168.1.0
network 202.1.1.0 0.0.0.3
no auto-summary
autonomous-system 200
exit-address-family
!
address-family ipv4 vrf cusA
network 192.168.1.0
network 202.1.1.4 0.0.0.3
no auto-summary
autonomous-system 100
exit-address-family
!

R2#sh run
!
version 12.4
!
hostname R2
!
ip cef
!
ip vrf cusA
rd 1:1
route-target export 1:1
route-target import 1:1
!
ip vrf cusB
rd 2:2
route-target export 2:2
route-target import 2:2
!
interface Loopback1
ip vrf forwarding cusA
ip address 192.168.2.1 255.255.255.0
!
interface Loopback2
ip vrf forwarding cusB
ip address 192.168.3.1 255.255.255.0
!
interface Serial1/0
no ip address
encapsulation frame-relay
no keepalive
serial restart-delay 0
clock rate 128000
no dce-terminal-timing-enable
!
interface Serial1/0.10 point-to-point
ip vrf forwarding cusA
ip address 202.1.1.6 255.255.255.252
frame-relay interface-dlci 101
!
interface Serial1/0.20 point-to-point
ip vrf forwarding cusB
ip address 202.1.1.2 255.255.255.252
frame-relay interface-dlci 202
!
router eigrp 4000
auto-summary
!
address-family ipv4 vrf cusB
network 192.168.3.0
network 202.1.1.0 0.0.0.3
no auto-summary
autonomous-system 200
exit-address-family
!
address-family ipv4 vrf cusA
network 192.168.2.0
network 202.1.1.4 0.0.0.3
no auto-summary
autonomous-system 100
exit-address-family
!

AS-set Attribute

2011-09-22T14:47:00.007+07:00

when the as-set option has been configured, the router creates an AS_SET segment for the aggregate route, BUT ONLY IF THE SUMMARY ROUTE'S AS_SEQ IS NULL. AS_SEQ will be null if aggregator can't create an accurate representation of AS_SEQ, due to differing AS_SEQ values of it's component route.

in fact, if there are 2 routes with different length of AS_SEQ, but they have same AS_SEQ until the short's last ASN, the router will use the longest AS_SEQ values.

R2#router bgp 500
no synchronization
bgp log-neighbor-changes
aggregate-address 10.1.0.0 255.255.0.0 as-set
redistribute connected
neighbor 192.168.1.2 remote-as 242
neighbor 192.168.1.5 remote-as 90
neighbor 192.168.1.10 remote-as 258
neighbor 192.168.1.10 shutdown
no auto-summary
!

R2#no neighbor 192.168.1.10 shutdown