Настройка оборудования Cisco

Мои старые сертификаты

2026-08-30T05:56:15.677-07:00

Все так и не успел я сдать CCNP.

Но надо всетаки (что стало сложнее).

Ну пока откопал свои старые:

Cisco CCNA

Intel Technology Provider 1

Intel Technology provider 2

Intel Technology Provider 3

CCNA так же до сих пор проверяется по URL:

https://cp.certmetrics.com/cisco/en/public/verify/credential/413234300853HNAF

Статья на Хабре

2026-05-07T23:27:00.000-07:00

Спустя наверное 20 лет чтения Хабра, стал его полноправным членом.

Если честно я к Хабру отношусь сложно…

Но других площадок подобного рода в Рунете считай нет.

Так что буду писать и туда иногда (если не забанят :-))

Вот ссылка на статью:

https://habr.com/ru/articles/1032766/

Поучавствовал в конференции Корпоративные Сети 2026

2026-04-12T08:47:00.000-07:00

Да, конференция Eltex, пригласили, прочитал доклад, познакомился с приятными людьми лично.

Скромное но приятное мероприятие.

Скоро будут материалы на их сайте.

Выдали такую табличку :-)

Доклады пока посмотреть можно тут:

https://www.youtube.com/playlist?list=PLfUUSx4OYMe3ohIxsTiJpNCMTZaM6DdPM

Собираем промышленные коммутаторы Eltex в кольцо ERPS

2026-02-27T09:20:00.000-08:00

Первое что надо сделать - хоть и не хочется это выключить spanning-three

no spanning-tree

Почему не хочется и почему хотелось бы чтоб было немного иначе поясню на примере Cisco и протокола REP.

Первое и главное, мы должны защитится от петель на access портах, а при выключенном STP нам придется применить чтото другое.

Для Eltex это loopback-detection

Второе, это то что если у нас полукольцо, подключается к сегменту сети с STP, то могут возникать ситуации, когда MAC адрес какого то устройства с сегменте кольца, со стороны сегмента с STP "виден" через например порт G1/0/1, но после разрыва в полукольце, он доступен через другой порт, но сегмент STP об этом узнать может только если:

1. Коммутатор примет кадр от устройства и поправит запись в MAC таблице

2. Истечет таймаут хранения MAC записи, и кадр в адрес устройства будет разослан во все порты с определенным VLAN.

3. Если кольцевой коммутатор поддерживает работу и STP и кольцевого протокола, и может отправить в STP порт сообщение об изменении топологии что вызовет очистку MAC таблицы у коммутатора, которому это сообщение придет.

Сегодня я напишу только о второй проблеме, затем допишу уже все остальное

Я проиллюстрировал это на рисунках ниже.

рис 1.

На рис 1. у нас стабильная сеть, и допустим у нас есть ПЛК который Scada опрашивает раз в минуту.

рис 2.

А теперь предположим что у нас повреждено волокно между двумя коммутаторами в REP кольце.

REP обнаружит разрыв и разблокирует Alternative порт, и если на портах в сторону STP кольца настроен rep stcn stp то коммутатор отправит TCN BPDU сообщение соседу по STP.

Тот в свою очередь, очистит MAC таблицу.

Теперь когда Scada пошлет сегмент в сторону ПЛК, коммутатор разошлет его по всем портам в соответствующем VLAN как Unknown unicast.

рис 3.

После получения ответа от ПЛК, будет создана запись в MAC таблице, указывающая на соответствующий порт и в дальнейшем кадры в адрес этого MAC, будут рассылаться только в этот порт.

рис 4.

На рис 4. показано что произойдет если rep stcn stp выключен. Соответственно STP сегмент не узнает о смене топологии и не будет ничего делать со своей MAC таблицей, и когда Scada пошлет сегмент в сторону ПЛК, то коммутатор по прежнему будет отправлять кадр в порт, через который MAC ПЛК недоступен.

Ситуация изменится только если либо истечет время жизни MAC записи, либо от ПЛК придет каой нибудь кадр и MAC запись обновится.

Выводы:
1. О изменение топологии кольца, желательно уведомить
смежные сегменты сети.
2. Частые изменения в топологии вызывают нагрузку на сеть
в виде Unknown unicast всплеска.
3. Избегайте «молчаливых» настроек на конечном оборудовании
например указывая получение времени по NTP, что вызовет
периодическую отправку фреймов за пределы сегмента кольца.
4. Сегментируйте сети на VLAN’ы и используйте отдельные VLAN в кольцах.
вместе с использованием протокола PVST+ это ограничит всплески Unknown unicast в пределах
нескольких VLAN

Главный вопрос, а что если не Cisco?
Пример распространенных протоколов с топологией кольца или полукольца:
TurboRing, TurboChain, ERPS.
Что стоит учитывать:
1. На большом количесве промышленных комутаторов, можно включить только один протокол
защиты от петли, например только ERPS и придется отключить Spannig three.
2. Не всегда (а точнее редко) можно включить взаимодействие между протоколами.
3. Отсюда выводы:
3.1 Если на коммутаторе можно включить ERPS только отключив STP, используйте на портах
для конечного оборудования какие либо иные возможности защиты от петель, часто это
какой нибудь проприетарный протокол loop protrection
3.2 Изучите рекомендации вендора о работе в гетерогенных средах.

Часть 2. Eltex и ERSP:

Соберем кольцо, в котором будут 3 коммутатора Eltex а так же стек из двух коммутаторов, поддерживающих ERPS, в лаборатории нашлась пара N3Com.

На рис 5. показана схема подключения коммутаторов.

рис 5.

Описанные выше проблемы тут не релевантны и вот почему:

1. ERPS это кольцо, оно должно быть замкнуто, подключить его к не ERPS коммутаторам как полукольцо не получится.

2. Подключить ERPS кольцо, с учетом что STP на кольцевых коммутаторах выключен, к сегменту сети с STP и без ERPS возможно, но пожалуй оптимальным будет ввод в кольцо коммутаторов, которые поддерживают ERPS и STP/LACP а так же стекируются или поддерживают технологии наподобие vPC/MCLAG. Либо терминировать VLAN'ы прямо на кольцевых коммутаторах, и уже подключать их к остальной сети при помощи L3 линков, но требуется как минимум поддержка VRRP и возможно OSPF/IS-IS.

Мы рассмотрим вариант со стеком двух коммутаторов.

Коротко о том как ERPS устроен:

1. Специальные пакеты с информацией о состоянии кольца передаются в специально выделенном VLAN. Мы выделим VLAN 120

2. У каждого коммутатора в кольце есть два кольцевых порта: west и east.

3. Строго говоря коммутаторы должны подключаться портом west к порту east соседнего коммутатора.

4. Есть два особых коммутатора, owner и его сосед neighbor, линк между ними называется RPL и он в случае целостности кольца будет заблокирован, а так же мгновенно разблокирован при разрыве кольца.

Приведем части конфигурации коммутаторов:

hostname ElERPS1
no spanning-tree
spanning-tree mode rapid-pvst
!
vlan database
vlan 120,130
exit
!
loopback-detection enable
loopback-detection vlan-based
!
erps
erps vlan 120
port west TenGigabitEthernet1/0/2
port east TenGigabitEthernet1/0/1
rpl west owner
timer wtr 1
ring enable
protected vlan add 1,130
exit
!
interface GigabitEthernet1/0/1
loopback-detection enable
switchport access vlan 130
exit
!
interface GigabitEthernet1/0/2
loopback-detection enable
switchport access vlan 130
exit
!
interface TenGigabitEthernet1/0/1
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface TenGigabitEthernet1/0/2
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface vlan 130
ip address 192.168.1.176 255.255.255.0
exit

hostname ElERPS2
no spanning-tree
spanning-tree mode rapid-pvst
!
vlan database
vlan 120,130
exit
!
loopback-detection enable
loopback-detection vlan-based
!
erps
erps vlan 120
port west TenGigabitEthernet1/0/2
port east TenGigabitEthernet1/0/1
rpl east neighbor
timer wtr 1
ring enable
protected vlan add 1,130
exit
!
interface GigabitEthernet1/0/1
loopback-detection enable
switchport access vlan 130
exit
!
interface GigabitEthernet1/0/2
loopback-detection enable
switchport access vlan 130
exit
!
interface TenGigabitEthernet1/0/1
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface TenGigabitEthernet1/0/2
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface vlan 130
ip address 192.168.1.177 255.255.255.0
exit

hostname ElERPS3
no spanning-tree
spanning-tree mode rapid-pvst
!
vlan database
vlan 120,130
exit
!
loopback-detection enable
loopback-detection vlan-based
!
erps
erps vlan 120
port west TenGigabitEthernet1/0/2
port east TenGigabitEthernet1/0/1
timer wtr 1
ring enable
protected vlan add 1,130
exit
!
interface GigabitEthernet1/0/1
loopback-detection enable
switchport access vlan 130
exit
!
interface GigabitEthernet1/0/2
loopback-detection enable
switchport access vlan 130
exit
!
interface TenGigabitEthernet1/0/1
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface TenGigabitEthernet1/0/2
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface vlan 130
ip address 192.168.1.178 255.255.255.0
exit

Пояснения к конфигурации:

no spanning-tree      - Отключение STP так как без этого не будет работать ERPS
erps    - включение протокола ERPS
erps vlan 120     - назначение VLAN для передачи
   служебной информации ERPS (R-APS PDU)
port west TenGigabitEthernet1/0/2   - порт west
port east TenGigabitEthernet1/0/1   - порт east
rpl west owner    - один коммутатор назначем west owner на его соседнем за                                                                    портом TenGigabitEthernet1/0/2 настроен сосед как rpl east                                                                    neighbor
timer wtr 1    - таймер возврата к блокировке RPL линка после сбоя
ring enable    - включение кольца
protected vlan add 1,130     - какие VLAN'ы будут защищены от петли (120 сюда не                                                                            добавляется)
exit

Включим защиту от петель на остальных портах, так как STP у нас отключен

loopback-detection enable
loopback-detection vlan-based

interface GigabitEthernet1/0/1
loopback-detection enable
switchport access vlan 130
exit

Разумеется кольцевые порты должны быть транковые и в них разрешены нужные VLAN's
(главное 120)

interface TenGigabitEthernet1/0/1
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit
!
interface TenGigabitEthernet1/0/2
switchport mode trunk
switchport trunk allowed vlan add 120,130
switchport forbidden default-vlan
exit

Конфигурация стека.

N3COM#sh hvs member
NOTE: '*' indicates the device is myself

SysId Role/ConfRole State/Pri Mac Uptime
--------------------------------------------------------------------------------
1 slave/no done/1 4c74:xxxx:xxfc 1d:06h:14m:44s
* 2 master/no done/1 4c74:xxxx:xxfb 1d:06h:19m:53s
--------------------------------------------------------------------------------

Конфигурация которая нас интересует:

vlan 1,120,130
!
vlan 120
description ERPS
!
g8032 instance 1
control-vlan 120
wtr-timer 1
mel 1
data-vlan 1,130
!

interface 10ge 1/1/0/6
port link-type trunk
port trunk allow-pass vlan 120,130
stp disable
g8032 instance 1
!

interface 10ge 2/1/0/6
port link-type trunk
port trunk allow-pass vlan 120,130
stp disable
g8032 instance 1
!

Важный момент:
Проверьте что у вас совпадают VLAN'ы, таймеры и MEL

Пояснения конфигурации:

g8032 instance 1
control-vlan 120    - назначение VLAN для передачи
      служебной информации ERPS (R-APS PDU)
wtr-timer 1            - таймер возврата к блокировке RPL линка после сбоя
mel 1                       - приоритет сообщений R-APS, самое простое установить его
                       на всех коммутаторах кольца одинаковым
data-vlan 1,130      - какие VLAN'ы будут защищены от петли (120 сюда не добавляется)
                                   Но в отличии от Eltex тут STP отключаем только на кольцевых портах а не                                            глобально.

interface 10ge 1/1/0/6    (аналогично настраивается порт 10ge 2/1/0/6)
port link-type trunk
port trunk allow-pass vlan 120,130
stp disable
g8032 instance 1

В целом все работает, и стек уже можно подключить далее как угодно, хоть при помощи LAG L2, хоть при помощи L3.

Однако для того чтоб показать что бывает если перепутать порты west и east соберем кольцо на одном вендоре.

рис 6.

Мы подключились консолью к Owner а так же подключили ПК к одному из портов Neighbor.

Итак смотрим состояние кольца пока оно целое:

Первый коммутатор:

ElERPS1#sh lldp neighbors

System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/2 ElERPS3 B, R 114
te1/0/2 90:54:b7:ba:xx:xx te1/0/1 ElERPS2 B, R 94

ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Blocking)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Второй коммутатор:

ElERPS2#sh lldp neighbors

System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/2 ElERPS1 B, R 111
te1/0/2 90:54:b7:ba:xx:xx te1/0/1 ElERPS3 B, R 94

ElERPS2#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Blocking)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Третий коммутатор:

ElERPS3#sh lldp neighbors

System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/2 ElERPS2 B, R 119
te1/0/2 90:54:b7:ba:xx:xx te1/0/1 ElERPS1 B, R 104

ElERPS3#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : None
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Сейчас Кольцо в состоянии Idle - то есть все собрано и работает как задумано.

Теперь разрываем линк между ElERPS2 и ElERPS3:

Получили потерю одного ICMP:
Ответ от 192.168.1.178: число байт=32 время=1мс TTL=64
Превышен интервал ожидания для запроса.
Ответ от 192.168.1.178: число байт=32 время=1мс TTL=64

И проверим теперь состояние кольца и соседей на всех трех:

ElERPS1#sh lldp neighbors

System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/2 ElERPS3 B, R 100
te1/0/2 90:54:b7:ba:xx:xx te1/0/1 ElERPS2 B, R 114

ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Protection
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Видим что на первом коммутаторе (Owner) линк RPL перешел в состояние Forwarding

ElERPS2#sh lldp neighbors
System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/2 ElERPS1 B, R 99

ElERPS2#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Signal Fail)
East Port : te1/0/1 (Forwarding)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Protection
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

ElERPS3#sh lldp neighbors
System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/2 90:54:b7:ba:xx:xx te1/0/1 ElERPS1 B, R 95

ElERPS3#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Signal Fail)
RPL Port : None
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Protection
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- -------------------

Теперь восстановим линк и посмотрим статус кольца:

ElERPS1#sh erps vlan 120
R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

ElERPS2#sh erps vlan 120
R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

ElERPS3#sh erps vlan 120
R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Blocking)
RPL Port : None
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Видим статус pending, заблокированный порт у нас сейчас на ElERPS3,
после истечения таймера WTR - заблокируется порт на ElERPS1 а на ElERPS3 разблокируется.

Но это повеление на некоторых коммутаторах должно быть явно сконфигурировано (режим Revertive)

У нас WTR таймер настроен на одну минуту - ждем.

Через минуту проверяем кольцо:

ElERPS3#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : None
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

ElERPS2#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Blocking)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Blocking)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Все вернулось.

А теперь намерено перепутаем WEST и EAST порты у первого коммутатора:

ElERPS1#sh lldp neighbors

System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/1 ElERPS2 B, R 114
te1/0/2 90:54:b7:ba:xx:xx te1/0/2 ElERPS3 B, R 118

До истечения таймера WTR связь есть:
ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

ElERPS2#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0
------------------- --------------------

ElERPS3#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Blocking)
East Port : te1/0/1 (Forwarding)
RPL Port : None
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Но через минуту (таймаут WTR) у нас становится недоступным первый коммутатор:
(его состояние, посмотреть мы можем только через консольный порт)

ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Blocking)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Idle
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

На рис 6. приведены оба состояния.

рис 6.

Но попробуем поменять местами линки на третьем коммутаторе:

ElERPS3#sh lldp neighbors
System capability legend:
B - Bridge; R - Router; W - Wlan Access Point; T - telephone;
D - DOCSIS Cable Device; H - Host; r - Repeater;
TP - Two Ports MAC Relay; S - S-VLAN; C - C-VLAN; O - Other

Port Device ID Port ID System Name Capabilities TTL
---------- ----------------- ----------------- ------------------------------ ------------ -----
te1/0/1 90:54:b7:ba:xx:xx te1/0/1 ElERPS1 B, R 105
te1/0/2 90:54:b7:ba:xx:xx te1/0/2 ElERPS2 B, R 109

Состояние кольца сразу после смены:

ElERPS1#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : West
RPL Owner : Enabled (Active)
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

ElERPS2#sh erps vlan 120

R-APS VLAN : 120
Admin Status : Enabled
West Port : te1/0/2 (Forwarding)
East Port : te1/0/1 (Forwarding)
RPL Port : East
RPL Owner : Disabled
Protected VLANs :
1,130
Ring MEL : 1
Holdoff Time : 0 msec
Guard Time : 500 msec
WTR Time : 1 min
Current Ring State : Pending
Revertive : Yes
Compatibility with version : 2

Sub-Ring R-APS VLAN TC Propagation State
------------------- --------------------

Total Sub-Rings Connected : 0

Стоит сказать пару слов о Loopback detection:
Посмотрим состояние на первом коммутаторе:

ElERPS1#sh loopback-detection detailed

Loopback detection: Enabled
Loopback detection interval: 30
VLAN based mode: Enabled
VLAN auto-recovery : Disabled

Interface Admin State Blocked VLAN list
---------- ----------- ----------------------------------------------------------
gi1/0/1 enabled
gi1/0/2 enabled
gi1/0/3 enabled
gi1/0/4 enabled
gi1/0/5 enabled
gi1/0/6 enabled
gi1/0/7 enabled
gi1/0/8 enabled

Соединим два порта пачкордом:
В логе:
ElERPS1# 23-Sep-2025 19:41:48 %LINK-I-Up: gi1/0/1
23-Sep-2025 19:41:49 %LINK-I-Up: gi1/0/2
23-Sep-2025 19:41:49 %NT_LBD-I-VLANACTIONONPORT: VLAN 130 on port gi1/0/1 blocked
by Loopback Detection.
23-Sep-2025 19:41:49 %NT_LBD-I-VLANACTIONONPORT: VLAN 130 on port gi1/0/2 blocked
by Loopback Detection.

И состояние:
ElERPS1#sh loopback-detection

Loopback detection: Enabled
Loopback detection interval: 30
VLAN based mode: Enabled
VLAN auto-recovery : Disabled

Interface Admin State Blocked VLAN list
---------- ----------- ----------------------------------------------------------
gi1/0/1 enabled 130
gi1/0/2 enabled 130

Это так же работает если соединить порты разных коммутаторов.

Сбор данных о звонках с Avaya Aura (CDR)

2026-02-11T05:38:00.000-08:00

Сборщик Avaya CDR (логов звонков) с сохранением их в базу данных MySQL.

Опубликован на Github

https://github.com/OlegPowerC/avayacdrparce

Я опубликовал свою SNMP библиотеку на Github

2026-01-19T01:12:00.000-08:00

https://github.com/OlegPowerC/powersnmpv3

openssl для сетевого администратора

2025-12-07T03:25:00.000-08:00

Часто что-то надо сделать с сертификатами но поскольку это не каждый день то ключи openssl забываются, тут немного полезных команд:

Проверить соответствие закрытого ключа и сертификата (у них у обоих общий модуль (это то огромное число, разложив которое на его простые множители, можно сразу вычислить секретную экспоненту и получить закрытый ключ, благо для ключей 2048 бит это вроде как пока невозможно (эта операция называется факторизация)).

Ну а сравнивать проще по хэшу модуля:

openssl rsa -noout -modulus -in <фай с ключом> | openssl md5

openssl x509 -noout -modulus -in <фай с сертификатом> | openssl md5

Теперь представим что вам нужно разобрать сертификат и закрытый ключ в одном PKCS12 формате (обычно это файл с расширением PFX) на сертификат и закрытый ключ

Тут стоит сделать замечание:

Данные сертификатов хранятся в формате ASN.1 а именно его варианта кодирования DER.

Однако довольно часто нужен формат который можно представить в виде текста, поэтому можно закодировать данные в Base64 - получится сертификат в формате PEM.

теперь ближе к делу:

извлечение закрытого ключа:

openssl pkcs12 -in <файл pfx> -nocerts -out <имя файла с закрытым ключем> -out <имя файла с сертификатом>

потребуется ввести пароль на pfx и потом пароль на ключ.

Либо же сразу добавить два ключа:

-passin pass:<и тут пароль на pfx>

-passout pass:<и тут пароль на экспортируемый закрытый ключ>

если в пароле есть какие то спецсимволы, заключите его в кавычки ""

Можно расшифровать закрытый ключ и сохранить его не зашифрованным:

openssl rsa -in <имя файла с зашифрованным ключом> -out <имя файла с расшифрованным ключом> -passin pass:<пароль на зашифрованный ключ>

Теперь извлечем из PFX файла только сертификат:

openssl pkcs12 -in <файл pfx> -clcerts -nokeys -out <файл с сертификатом>

Ну а пароль точно так же можно либо ввести интерактивно, либо использовать ключ -passin.

Можно как указано в начале статьи, проверить что ключ и сертификат имеют один и тот же модуль.

Ну а теперь можно собрать обратно ключ с сертификатом в PKCS12 (PFX) файл:

openssl pkcs12 -export -in <имя файла с сертификатом> -inkey <имя файла с закрытым ключем> -out <имя файла PFX> -passout pass:<пароль на файл PFX>

Теперь можно сохранить полученный файл в BASE64 формате:

openssl base64 -in <имя файла PFX> -out <имя файла в формате PFX>

Инспекция SIP на Cisco ASA ну или SIP ALG

2025-11-21T02:34:00.000-08:00

Для того чтоб SIP АТС, будучи за Inside интерфейсом, могла работать с внешней АТС за Outside интерфейсом, необходимо чтобы ASA после трансляции адресов заменила некоторые поля в пакете SIP и SDP.

В принципе это работает из коробки, так как по умолчанию этот функционал включен:

policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
inspect icmp
inspect icmp error
inspect ipsec-pass-thru

Он включается строкой inspect sip в policy-map.

Это может быть и не дефолтная политика а та которая применяться к интерфейсу но это уже не по умолчанию.

Так вот работает это только с не шифрованным SIP (то либо UDP либо TCP SIP без TLS)

Но возникла проблема что в случае порта не 5060 (у меня был 5160) ничего не происходит.

Проверить можно пакет трейсером.

Если вы не видите там чтото типа:

Phase: 10
Type: INSPECT
Subtype: inspect-sip
Result: ALLOW

То сделайте отдельный class-map, пример:

class-map SIP_5160
match port udp eq 5160

А в policy-map сделайте так:

policy-map global_policy
class class_sip_tcp
inspect sip

Еще раз проверьте пакет трейсером ну и можно повесить capture на inside и outside и сравнить что заменила ASA

Обновление Cisco Nexus 5596 и прошивка Power sequencer

2025-10-20T01:29:00.000-07:00

У некоторых Cisco Nexus (например 5596) есть проблема, в течении срока эксплуатации, происходит видимо деградация параметров каких то компонентов, и система управления последовательностью подачи питания (секвенсер), перестает корректно работать.

Это баг CSCun66310 и он описан у Cisco.

Cisco исправила такое поведение корректировкаой программного обеспечения этих секвенсоров (сами они производства TI).

Чем баг опасен:

Опасен он тем, что коммутатор работает, но после перезагрузки ии снятия питания может больше не загрузится.

И тогда, все перечисленное ниже выполнять уже поздно.

Как понять подвержен ли ваш нексус этому багу?

Посмотрите:

show sprom sup | inc H/W

Если H/W Version : 1.0 то надо обновить пока не стало поздно, если же 1.1 то скорее всего вас этот баг не коснется.

Но тут есть проблема, nuova-or-dplug-mzg должен быть именно для вашей версии IOS.

А обновится и потом обновить секвенсеры не получится - при обновлении ему придется перезагрузится и возможно это будет фатально. Поэтому ищите nuova-or-dplug-mzg под вашу версию. У меня есть под 7.1.4 и 6.0.2.

И так нужна версия NXOS для которой есть утилита для обновления ПО секвенсеров.

Такая есть под 9.7.1.4.N1.1

Соответственно заливаем ПО на buutflash, всего нам нужно 4 файла:

n5000-uk9.7.1.4.N1.1.bin

n5000-uk9-kickstart.7.1.4.N1.1.bin

nuova-or-dplug-mzg.7.1.4.N1.1.bin

ucd-update.tar

Далее устанавливаем NXOS:

sh incompatibility system bootflash:n5000-uk9.7.1.4.N1.1.bin

show install all impact kickstart n5000-uk9-kickstart.7.1.4.N1.1.bin system n5000-uk9.7.1.4.N1.1.bin

Если ничего критичного не видим то устанавливаем.

install all kickstart n5000-uk9-kickstart.7.1.4.N1.1.bin system n5000-uk9.7.1.4.N1.1.bin

Если все успешно нам предложат перезагрузиться:

Switch will be reloaded for disruptive upgrade.

Do you want to continue with the installation (y/n)? [n] y

Далее из консоли надо загрузить утилиту:

load bootflash:nuova-or-dplug-mzg.7.1.4.N1.1.bin

Loading plugin version 7.1(4)N1(1)
###############################################################
Warning: debug-plugin is for engineering internal use only!
For security reason, plugin image has been deleted.
###############################################################
Successfully loaded debug-plugin!!!

Нужно распаковать обновление секвенсеров:

Linux(debug)# cp /bootflash/ucd-update.tar /tmp

Linux(debug)# tar -xvf ucd-update.tar

Linux(debug)# cd /tmp/

и выполнить файл который их обновит:

Linux(debug)# ./ucd.bin

Если все пойдет по плану то должен быть примерно такой вывод:

--------------------------------------
main: Executing file: Address_91_A.csv.
--------------------------------------

Format=CSV; Hex=CoderUpper; BreakOutBytes=False; PEC=False; IncludeBlockLength=True [DO NOT REMOVE THIS LINE IF YOU WANT TO IMPORT USING A FUSION TOOL],,

"SMBus Fields are Request,Address,Command,Data",,

"For reads, the last field is what is expected back from the device",,

Creator: Texas Instruments Fusion Digital Power Designer v1.8.325,,

"Date: Thursday, April 10, 2014",,

Write FAN_COMMAND_1 5.0 %,,

Write MFR_DATE 040214,,

Write MFR_ID 17-10115-05,,

Write MFR_REVISION 05,,

Write PAGE [Rail #3] 2,,

"Write CLA_GAINS_BANK_0 [META,Rail #3] B1=[3.19922 -5.48047 2.30859] A1=[1.00000 -1.33984 0.33984] B2=[1.00000 0.00000] A2=[1.00000 0.00000] AFE_Gain=2 Limits=[-5.00,5.00,10.00,15.00] Gains=[1.25,1.00,1.25,1.50,1.75]",,

Write PAGE [Rail #4] 3,,

Write IOUT_UC_FAULT_LIMIT [Rail #4] -19.81 A,,

Store configuration to data flash,,

Execute STORE_DEFAULT_ALL,,

Execute STORE_DEFAULT_ALL,,

main: Successfully upgraded TI inst 1 to version 5.
--------------------------------------

--------------------------------------
main: Executing file: Address_92_A.csv.
--------------------------------------

Format=CSV; Hex=CoderUpper; BreakOutBytes=False; PEC=False; IncludeBlockLength=True [DO NOT REMOVE THIS LINE IF YOU WANT TO IMPORT USING A FUSION TOOL],,

"SMBus Fields are Request,Address,Command,Data",,

"For reads, the last field is what is expected back from the device",,

Creator: Texas Instruments Fusion Digital Power Designer v1.8.325,,

"Date: Thursday, April 10, 2014",,

Write FAN_COMMAND_1 5.0 %,,

Write MFR_DATE 040214,,

Write MFR_ID 17-10116-05,,

Write MFR_REVISION 05,,

Write PAGE [Rail #3] 2,,

"Write CLA_GAINS_BANK_0 [META,Rail #3] B1=[3.19922 -5.48047 2.30859] A1=[1.00000 -1.33984 0.33984] B2=[1.00000 0.00000] A2=[1.00000 0.00000] AFE_Gain=2 Limits=[-5.00,5.00,10.00,15.00] Gains=[1.25,1.00,1.25,1.50,1.75]",,

Store configuration to data flash,,

Execute STORE_DEFAULT_ALL,,

Execute STORE_DEFAULT_ALL,,

main: Successfully upgraded TI inst 2 to version 5.
--------------------------------------
Updating HW version. Programming sup SPROM....
SPROM read/checksum verification successful.
New SPROM HW version 1.1. Reload will be required to reflect in "show sprom" output.
Linux(debug)# ./ucd.bin
TI inst 1 has new version 5
TI inst 2 has new version 5
Sprom HW version is already updated. Current Version 1.1

Выходим:

Linux(debug)# exit

ASA и LDAP over SSL

2025-10-13T04:15:00.000-07:00

Видимо начиная с какой то версии ПО на Cisco ASA, работа с LDAP сервером с использованием SSL(TLS) невозможна без импорта на ASA сертификата LDAP сервера (либо его, либо того кем он подписан, например корневого доменного).

как узнать какой у вас на сервере сертификат кем он подписан:

Ну например при помощи openssl

openssl s_client -showcerts -connect <адрес LDAP сервера>:636

Далее надо получить сертификат в формате BASE64

И добавить его на ASA, например через CLI:

crypto ca trustpoint ROOTCA
enrollment terminal
no ca-check

crypto ca authenticate ROOTCA
<вставляем base64 текст>
quit
yes

В aaa-server <имя>(INSIDE) host <адрес LDAP сервера>
добавляем
ldap-over-ssl enable

И тестируем
test aaa-server authentication <имя> host <адрес LDAP сервера>
Вводим имя пользователя
Вводим пароль

Фильтрация трафика на коммутаторах Huawei, например S5735

2025-09-16T23:36:00.000-07:00

Есть несколько способов, рассмотрим способ с помощью traffic-policy

Итак нам нужно сначала создать ACL

Например у нас есть Vlan 2 (192.168.1.0/24) и мы хотим чтоб все ПК в этом VLAN могли ходить куда угодно кроме сети 192.168.2.0/24.

Создадим такой ACL:

acl number 3200
rule 10 deny ip destination 192.168.2.0 0.0.0.255
rule 40 permit ip source 192.168.1.0 0.0.0.255

Теперь нужно создать классификатор ну и описать поведение:

traffic classifier 3200 operator or
if-match acl 3200

traffic behavior 3200
statistic enable

traffic policy 3200

classifier 3200 behavior 3200

И применить политику к VLAN:

vlan 2
description PC
name PC
traffic-policy 3200 inbound

Поддержка ANSI кодов цева в командной строке (и PowerShell) Windows

2025-09-16T04:54:00.000-07:00

Если вы используете каку либо утилиту, использующую управляющие коды ANSI для окраски вывода, но видите вместо этого чтото типа ←[0m то необходимо в реестре поправить (или создать) параметр:

\HKEY_CURRENT_USER\Console

VirtualTerminalLevel DWORD 1

Установка системы на Usergate D200 через LOM интерфейс

2025-09-11T07:01:00.000-07:00

Для начала нужно скачать файл ISO usergate_light_image.iso и файл для чистой установки, например ngfw7-x86-hdd.bz2

Далее при помощи утилиты Rufus записать образ usergate_light_image.iso на USB диск.

Затем в папку utm_image на этом диске скопировать файл ngfw7-x86-hdd.bz2

Затем снять имидж с usb диска утилитой USB Image Tool,

Должен получится файл с расширением img, например ug7wi.img

Далее заходим на LOM (это как iLO только LOM :-)) из браузера.

Там HTTPS на 443 порту.

Вводим логин пароль, по умолчанию имя и пароль admin

Далее жмем кнопку Remote Control Launch.

Скачивается файл jviewer.jnlp

Считаем что у вас установлена 32 битная JRE и в java control pannel (javacpl.exe) во вкладке Security в списке Exception Site List добавлен адрес вашего LOM.

Открываем командную строку, переходим в папку загрузок, и выполняем javaws.exe jviewer.jnlp

Только если у вас не одна JRE то укажите полный путь к 32 битной, например у меня так:

C:\Users\Oleg\Downloads>"c:\Program Files (x86)\Java\jre1.8.0_461\bin\javaws.exe" "jviewer.jnlp"

Так же отключите в настройках системы прокси сервер если он там указан.

Далее откроется окно с консолью, сверху есть значек Hard disk/USB redirection

Жмке на него, в открывшемся окне в поле HD/USB image жмем Browse и выбираем наш имидж с расширением img.

Перезагружаем Usergate и по Del входим в BIOS Setup и указываем загрузку с USB

Грузимся и следуем инструкциям как в описании.

PS:

Если вдруг вы забыли пароль на LOM качаете утилиту IPMICFG

С ней идет несколько папок под разные системы, делаете загрузочный USB диск например с Linux копируете туда папку под вашу ОС и грузитесь с нее.

Далее выполняете ipmicfg -user list и видите какие есть пользователи.

Чтоб установить пароль на пользователя выполняете ipmicfg -user setpwd <пользователь> <пароль>

Настройка аутентификации и авторизации через RADIUS на коммутаторах хуавей

2025-09-08T01:32:00.000-07:00

Из режима system-view создать шаблон радиус сервера:

radius-server template SRV_RADIUS
radius-server shared-key cipher <общий секретный ключ>
radius-server authentication <адрес радиус сервера> <порт> source <интерфейс (SVI) с которого будут отправляться запросы>
undo radius-server user-name domain-included

Далее

aaa
authentication-scheme RADSH
authentication-mode radius local

domain default_admin
authentication-scheme RADSH
accounting-scheme default
radius-server SRV_RADIUS

У пользователя в нстройках на радиус сервере нужно прописать атрибут:
Huawei-Exec-Privilege = <например 15 для администраторов>

ASA и AnyConnect пользователи и маршруты

2025-04-26T06:09:00.000-07:00

При подключении пользователя по AnyConnect, ASA добавляет в таблицу маршрутизации маршрут /32 с метрикой:

Known via "static", distance 1, metric 0 (connected)

В таблице маршрутизайии он будет отмечен как V (VPN)

Зачем это нужно и почему /32?

Если два пользователя с одним и тем же пулом, подключаться к разным внешним интерфейсам то будет два разных маршрута, и все будет работать.

Но вот чтоб этот маршрут передать кудато еще, нужно завести статический маршрут на весь пул,

например 192.168.2.0/25 на null или на внешний какой то один интерфейс.

И уже его анонсировать в другие протоколы маршрутизации.

Хотя если у вас ASA маршрутизатор основной, и у всех за ней маршрут по умолчанию на нее, то и этого не требуется.

Определение состояния пользователя в AD - заблокирован/выключен

2025-02-13T12:49:00.000-08:00

Итак есть атрибут userAccountControl

И вроде бы у него есть все нужные биты (флаги):

PASSWORD_EXPIRED 0x800000
LOCKOUT 0x0010
ACCOUNTDISABLE 0x0002

Выключаем пользователя и видим что флаг ACCOUNTDISABLE установлен.

Теперь вводин несколько раз (согласно политике) неправильный пароль, и видим что флаг LOCKOUT не установлен.

При этом атрибут lockoutTime имеет не нулевое значение, что указывает на то что учетная запись таки заблокировалась.

Так вот, с Windows 2003 есть еще один атрибут: msDS-User-Account-Control-Computed
И в нем флаг LOCKOUT установлен.

Вот по нему (или по lockoutTime) и можно ориентироваться.

Двухфакторная аутентификация на VPN шлюзах для всех

2024-11-14T01:11:00.002-08:00

Двухфакторная аутентификация с использованием одноразовых паролей, является одним из самых надежных методов защиты от несанкционированного доступа к внутренним ресурсам компании, так как с одной стороны делает утечку логина/пароля не достаточной для того чтоб злоумышленник смог получить доступ, и с другой делает невозможной перебор паролей, так как перебирать нужно одновременно логин, пароль и одноразовый пароль, а он все время разный.

Одноразовый пароль можно например отправить по СМС или по электронной почте, или можно его сгенерировать при помощи программного или аппаратного токена что наиболее удобно и бесплатно.

Поставщиков программного обеспечения для двухфакторной аутентификации великое множество, как облачных так и тех кто позволяет развернуть его внутри компании.

Для примера приведем несколько подобных:

Большинство подобных продуктов состоит, как минимум из следующих компонентов:

1. Radius сервера, который взаимодействует с шлюзом VPN, часто это FreeRADIUS и к нему какие то модули

2. База данных с учетными записями, часто это PostgreSQL

3. Компонент импорта пользователей из каталога (Active Directory например)

4. WEB сервер

Все это требует некоторой настройки на стадии внедрения, а в дальнейшем требует внимания, так как учетные записи не только в каком то едином каталоге но и хранятся в базе данных по.

Соответственно редактирование/добавление/удаление учетных записей требует синхронизацию.

Да, синхронизация может быть автоматизирована но она нужна.

Если нужна надежность то вероятно захочется кластер сервера базы данных.

Блокировка учетных записей возможна как в основном каталоге так и в базе данных по.

В итоге, для небольших компаний это кажется избыточно сложным.

Что предлагаем мы:

1. Все необходимое что связано с пользователями, хранится в существующей службе каталогов - например Active Directory.

2. Для повышения надежности можно запустить сколько угодно экземпляров ПО, никакой синхронизации между ними не требуется.

3. Вся настройка заключается в задании параметров подключения к LDAP каталогу, параметрах RADIUS и если надо параметров отправки СМС или почты.

4. Блокировка пользователей при многократном неправильном вводе пароля, производится так же в служюе каталогов.

То есть все управление пользователями производится стандартными средствами управления каталогом.

Для установки и запуска нашего ПО, не требуется каких либо специфических знаний.

Наше ПО не имеет никаких зависимостей, и может работать на любом сервере с Linux.

Все наше ПО это наш код, мы не зависим от каких либо сторонних библиотек.

Ознакомится с продуктом можно по ссылке:

PowerMF

Статические маршруты и петли маршрутизации

2024-09-09T14:16:00.000-07:00

Допустим у вас есть маршрутизатор, он является шлюзом по умолчанию для ПК.

Пусть сеть ПК будет 192.168.0.0 255.255.255.0

Так же у вас есть сеть принтеров 192.168.1.0 255.255.255.0

И предположим есть файрвол, он связан с маршрутизатором PtP сетью например 10.0.0.0 255.255.255.252

Сети у вас иногда добавляются но их немного и вам нет смысла поднимать динамическую маршрутизацию.

Но вы на файрволе прописали маршрут на сети 192.168.0.0 255.255.0.0 через маршрутизатор 10.0.0.1

А на маршрутизаторе маршрут по умолчанию на файрвол.

И теперь если мы пинганем принтер 192.168.1.5 то если он существует мы увидим ответ а если его нет то будет таймаут.

А вот если мы пинганем адрес 192.168.2.5 то мы увидим ответ от маршрутизатора что истек TTL

потому что у маршрутизатора адрес 192.168.2.5 попадает в маршрут по умолчанию на файрвол, а у файрвола он же в маршрут на сети 192.168.0.0 255.255.0.0 на маршрутизатор.

Так они и шлют трафик друг другу пока не истечет TTL.

Что делать?

1. Прописать маршруты на файрволе в сторону маршрутизатора только на те сети которые действительно есть.

Вариант 2 прописать на маршрутизаторе маршрут на сеть 192.168.0.0 255.255.0.0 на null

Тогда правда придется на маршрутизаторе добавлять скажем VPN сети если они появятся и будут из сетей 192.168

Ну и третий вариант - динамическая маршрутизация, но там есть суммаризация которая тоже может иногда приводить к подобному эффекту.

Собираем в L2 домен пару портов в BDI и порты на Switch карте на Cisco 4331

2024-09-09T13:51:00.000-07:00

Допустим у нас есть потребность связать в один L2 домен пару SFP портов на шасси, и плюс ко всему мы еще и модуль NIM-ES2-4 используем и подключаем к нему тоже например коммутатор.

Что нам потребуется:

1. Настроить BDI и VLAN интерфейсы

2. Настроить на портах на шасси параметры добавления удаления тегов dot1q

3. Настроить Vlan'ы

Пример:

vlan 2
name MGMT
!
vlan 3
name PC
!

interface GigabitEthernet0/0/0
no ip address
negotiation auto
service instance 2 ethernet
encapsulation dot1q 2
rewrite ingress tag pop 1
rewrite egress tag push dot1q 2
l2protocol peer stp
bridge-domain 2
!
service instance 3 ethernet
encapsulation dot1q 3
rewrite ingress tag pop 1
rewrite egress tag push dot1q 3
l2protocol peer stp
bridge-domain 3
!

interface GigabitEthernet0/0/1
no ip address
negotiation auto
service instance 2 ethernet
encapsulation dot1q 2
rewrite ingress tag pop 1
rewrite egress tag push dot1q 2
l2protocol peer stp
bridge-domain 2
!
service instance 3 ethernet
encapsulation dot1q 3
rewrite ingress tag pop 1
rewrite egress tag push dot1q 3
l2protocol peer stp
bridge-domain 3
!

interface Vlan2
no ip address
service instance 2 ethernet
encapsulation untagged
bridge-domain 2
!

interface Vlan3
no ip address
service instance 3 ethernet
encapsulation untagged
bridge-domain 3
!

interface BDI2
ip address 10.2.0.1 255.255.255.0

interface BDI3
ip address 10.3.0.1 255.255.255.0

interface GigabitEthernet0/1/2
description To_Switch
switchport mode trunk

N3Com который Raisecom и похожее железо и Voice VLAN

2024-05-10T12:22:00.000-07:00

Немного теории:

Если мы хотим по каким то причинам, чтоб голосовой трафик передавался внутри отдельного VLAN, (или отдельной? VLAN это ведь сеть, а она женского рода), то мы можем подключить телефон к прту коммутатора в режиме Access с нужным VLAN.

Но если телефон с коммутатором и к нему подключен ПК то и его трафик попадет в голосовой VLAN.

Чтоб отделить одно от другого есть глобально два метода:

1. Телефон шлет голосовой трафик с тегом dot1q, а трафик с ПК без тега.

2. Коммутатор смотрит на часть MAC адреса, ту что называется OUI и определяет производителя оборудования, и понимая что это телефон, помещает его кадры в нужный VLAN

Первый вариант реализуем такими способами как:

1. Передать телефону параметры голосового VLAN в опции DHCP (например для телефонов Avaya эта опция будет 242, и часть строки отвечающая за голосовой VLAN будет например такая: L2QVLAN=2,L2Q=1, где первая часть указывает голосовой VLAN ID, а вторая что трафик должен быть тегирован)

3. Настроить все вручную из меню или WEB интерфейса телефона

4. Передать параметры голосового VLAN посредством протоколов CDP или LLDP, в LLDP за это отвечает расширение протокола LLDP-MED (Media endpoint discovery), наиболее удобный способ но не все коммутаторы его поддерживают как и некоторые телефоны.

В случае CDP/LLDP/DHCP и ручной настройки телефон информирован как о VLAN ID так и о том что трафик нужно тегировать, поэтому порт на коммутаторе должен быть сконфигурирован в режиме Trunk с разрешенными голосовым VLAN и VLAN для ПК (нативным - не тегированным).

В случае же определения источника трафика по OUI, телефон ничего не знает о VLAN и шлет весь трафик без тега, в таком случае бывает по разному в случае с разными коммутаторами но чаще всего порт нужно настроить в режим Hybrid с разрешенными VLAN голосовым и для ПК и оба не тегированные.

Пример настройки варианта с LLDP-MED:

interface ge 1/0/1
port link-type trunk
port trunk allow-pass vlan 2
stp edge-port enable
lldp med-tlv-tx network-policy enable
lldp med-notification enable
lldp voice-vlan vlan 2

И вариант определения по OUI:

interface ge 1/0/1

port link-type hybrid

port hybrid vlan 1,2 untagged
voice-vlan 2 enable
stp edge-port enable

В обоих случаях VLAN для ПК первый поэтому в конфигурации явно не прописано что это default pvid/native vlan, в случае другого номера VLAN нужно это явно указать.

Ну и нужно не забыть глобально настроить какие OUI есть телефоны (только для второго варианта), пример:

voice-vlan oui 0c:38:3e:4a:00:00/24

Дополнение PKCS5

2024-05-08T07:14:00.000-07:00

При шифровании и дешифровке данных блочными шифрами, если ваши данные не кратны размеру блока, нужно их дополнить чем то до размера кратного блоку.

Часто применяется дополнение PKCS7 (ну или PKCS5 при размере блока 64 бита).

Суть метода очень проста, для блока в 8 байт:

1. Если данные короче чем размер блока, дополняем их байтами значения которых равны их количеству. например у нас блок из данных 0x01 0x02 0x03 0x04, не хватает четырех байт, дополняем четырьмя байтами значение которых равно 4 , получаем 0x01 0x02 0x03 0x04 0x04 0x04 0x04 0x04

2. Если данные кратны блоку то все равно дополняем восемью восьмерками.

При дешифровке и удалении дополнения мы смотрим на последний байт, его значение и будет то количество байт которое нужно удалить, именно для этого нужно дополнение когда данные итак уже кратны размеру блока.

Manageengine ServiceDesk Plus пароль на базу данных

2024-05-02T12:45:00.000-07:00

В свежих релизах пароль по умолчанию больше не sdp@123! а смотреть его надо так:

В папке bin выполнить decryptPostgresPassword.sh

Выкладываю на Git всякие картики в Corel

2024-04-22T05:08:00.000-07:00

Может будет кому полезно.

Типа таких:

Cisco-Huawei CLI

2024-01-26T02:46:00.000-08:00

Буду добавлять команды - аналоги Cisco CLI

Начнем потихоньку:

Cisco	Huawei
show interface "интерфейс" trunk	display port vlan "интерфейс"

Lenovo v510z меняем модуль wifi на СДЗ DallasLock, корректируем UEFI

2023-07-18T03:36:00.003-07:00

VID и PID Wireless адаптера который надо заменить.
8086 3166
Он же в том виде в котором он будет в дампе.
8680 6631

VID и PID который надо вставить.
1172 646c
Он же в том виде в котором он будет в дампе.
7211 6c64

PhoenixTool -> Открыть дамп
Advanced -> No SLIC и Allow user to modify other modules -> Done

Далее нажимаем "Structure"
В Total Commander открываем папку DUMP -> поиск файлов -> с текстом 86806631 -> HEX код
Скорее всего это будет в двух файлах и нам нужен 3FEDD4A3-8112-4534-8DB2-E886EB35075E_1123.ROM

В PhoenixTool в структуре ищем:

File Volume 8C8CE578-8A3D-4F1C-9935-896185C32DD3
Firmware Volume Image 9E21FD93-9C72-4C15-8C4B-E77F1DB2D792
GUID
   Firmware Volume image section
    File Volume 8C8CE578-8A3D-4F1C-9935-896185C32DD3
     DXE Driver {3FEDD4A3-8112-4534-8DB2-E886EB35075E} ErrorMessage

Выбираем и жмем Extract
В папке ../DUMP появится файл
3FEDD4A3-8112-4534-8DB2-E886EB35075E.MOD
Отрываем его в HEX редакторе ищем паттерн (в HEX) 86806631
Это скорее всего это будет адрес 0x4585 - 0x4588
Заменить 86806631 на 72116c64
Сохранить.
В PhoenixTool в структуре replace и выбрать исправленый файл.
Закрыть PhoenixTool.

Дам готов. Старый файл остался с расширением .OLD