Security Networks Admins

GAIA DHCP-relay R75.40VS

2015-03-24T23:39:00.003-07:00

DHCP-relay в GAIA R75.40VS

Шлюзы Check Point не пересылают к клиентам ответы от DHCP-сервера. Проблема заключается в том, что запросы от шлюзов Check Point к DHCP-серверу идут с физических адресов шлюзов.

На кластере имеем две сети: eth3 192.168.1.0/24 и eth2 192.168.2.0/24, сервер DHCP установлен в сети 192.168.2.0/24 и имеет адрес 192.168.2.100. Первые три адреса сетей принадлежат FW.

Произведенные настройки:

DHCP-relay настроен с указанием Primary-адреса кластера:

set bootp interface eth3 primary 192.168.1.1 on

set bootp interface eth3 relay-to 192.168.1.100 on

Созданы правила NAT следующего вида:

№
№	Source	Destination	Service	Source	Destination	Service
1	fw01_192.168.1.2	l_dhcp_srv (192.168.2.100)	bootp	fwc_192.168.1.1	Any	Any
2	fw02_192.168.1.3	l_dhcp_srv (192.168.2.100)	bootp	fwc_192.168.1.1	Any	Any

Инсталлируем политику, и проверяем.

Link Selection для Remote Access, Checkpoint R75.40VS

2015-03-24T23:09:00.001-07:00

Link Selection для Remote Access

Еще одна фича:)

Если у нас кластер FW центрального офиса устанавливает Site-to-Site VPN с удаленными офисами(Check Point Edge) с интерфейса L3 сети ОПСа с адресом 192.168.XX.1) и на FW ЦО настроен Remote Access VPN для пользователей через Интернет (на внешнем интерфейсе с адресом 190.ZZ.YY.XX(белый адрес)).

В данной конфигурации не работает механизм LinkSelection свойствах объекта :(

Для корректной работы необходимо внести правки помощи guidbedit в параметры объекта FW:

apply_resolving_mechanism_to_SR	false
ip_resolution_mechanism	singleIpVpn
ip_resolution_mechanism_GW	singleIpVpn
single_VPN_IP	192.168.XX.1
single_VPN_IP_RA	190.ZZ.YY.XX

Сохранить, закрыть dbedit и не забыть сделать Install Policy.

IP Redundancy в Checkpoint SPLAT R75.40VS

2015-03-24T22:39:00.003-07:00

Понадобилось двух ОПСов подключить в режиме балансировки нагрузки, без BGP :)

Все предыдущие попытки это нормально сделать на роутерах cisco были костыльными. Подумали "а чем черт не шутит" и решили испытать.

Подготовка:
изучена официальная дока и пролистан бог Дениса Урасова спасибо!
Но в отличии от Дениса, у нас трафик исходящий, т.е. просто использования Интернет'а пользователями из локалки.

Не буду сюда приводить картинки из GUI, так как оф.доки или записей Дениса хватит заглаза.

Единственное, что в нашем случае не заработало, это Hide manual Nat из локалки.

Но поиски по оф.сайту дали решение, для тех у кого нет доступа повторяю текст сюда.

Описательная часть, надо создать динамические объекты(IP адреса для Nat'ирования) и изменять их скриптами. перевод не привожу так как в оригинале всё понятно.

In SmartDashboard, define two Manual NAT rules for outgoing connections (a rule for each ISP link) - use the objects 'DYN_ISP_A' and 'DYN_ISP_B'.

Note: Order of incoming and outgoing connections is important. Placing outgoing rules before incoming rules may impair Security Server functionality.
Пример правил Nat'а

где:
DYN_ISP_A - это у нас Primary
DYN_ISP_B - это - Backup

host объекты l_Primary и l_Backup - белые адреса от провайдеров.

On the Security Gateway / each member of ClusterXL, run 'cpstop' command.
To complete the definition of Dynamic Objects, it is necessary to run the following commands on the Security Gateway / each member of ClusterXL:

Note: "DYN_ISP_A" and "DYN_ISP_B" are the names of the objects that represent the first ISP and second ISP, respectively. When running the commands below, you have to use the exact object name from SmartDashboard (case-sensitive).

[Expert@HostName]# dynamic_objects -n DYN_ISP_A
[Expert@HostName]# dynamic_objects -n DYN_ISP_B
[Expert@HostName]# dynamic_objects -o DYN_ISP_A -r 0.0.0.0 0.0.0.0 -a
[Expert@HostName]# dynamic_objects -o DYN_ISP_B -r 0.0.0.0 0.0.0.0 -a

Note: To see the correct usage and syntax, just run 'dynamic_objects' command.

On the Security Gateway / each member of ClusterXL, edit the $FWDIR/bin/cpisp_update script, and add the following lines at the end of the script - before the "exit" line:

Note: "DYN_ISP_A" and "DYN_ISP_B" are the names of the objects that represent the first ISP and second ISP, respectively. When running the commands below, you have to use the exact object name from SmartDashboard (case-sensitive).

# Verify which link is up with this command: tail -f /tmp/cpisp_state
echo "--------------------------" >> /tmp/cpisp_state
echo `/bin/date +%d-%b-%Y_%Hh-%Mm-%Ss` >> /tmp/cpisp_state
echo "RESTARTING SCRIPT" >> /tmp/cpisp_state
echo "LINK1" >> /tmp/cpisp_state
echo $LINK1_STATE >> /tmp/cpisp_state
echo "LINK2" >> /tmp/cpisp_state
echo $LINK2_STATE >> /tmp/cpisp_state
echo "--------------------------" >> /tmp/cpisp_state
echo " " >> /tmp/cpisp_state

# Check if the Link is up or down
if ($LINK2_STATE == "down") then
fw tab -t dynobj_cache -x -y
dynamic_objects -o DYN_ISP_A -r 0.0.0.0 255.255.255.255 -a
dynamic_objects -o DYN_ISP_B -r 0.0.0.0 255.255.255.255 -d
dynamic_objects -o DYN_ISP_B -r 0.0.0.0 0.0.0.0 -a
endif

if ($LINK1_STATE == "down") then
fw tab -t dynobj_cache -x -y
dynamic_objects -o DYN_ISP_B -r 0.0.0.0 255.255.255.255 -a
dynamic_objects -o DYN_ISP_A -r 0.0.0.0 255.255.255.255 -d
dynamic_objects -o DYN_ISP_A -r 0.0.0.0 0.0.0.0 -a
endif

# if both Links are up, return to Load Sharing
if (($LINK1_STATE == "up") && ($LINK2_STATE == "up")) then
fw tab -t dynobj_cache -x -y
dynamic_objects -o DYN_ISP_A -r 0.0.0.0 255.255.255.255 -a
dynamic_objects -o DYN_ISP_B -r 0.0.0.0 255.255.255.255 -a
endif

On the Security Gateway / each member of ClusterXL, run 'cpstart' command.

In SmartDashboard, install the Security Policy onto Security Gateway/ClusterXL.

!!! Необходимо обратить внимание:
Before upgrading this Security Gateway / Cluster, back up the modified $FWDIR/bin/cpisp_update script because during the upgrade, it will be overwritten by the default script.
After upgrading, replace the default script with your the modified script.

Checkpoint GAIA общие впечатления

2015-03-24T21:34:00.000-07:00

Вообще данная заметка была создана еще в 2013 году... но по какой причине оставлена в черновиках.

Общие впечатления и системе в целом.. " чем дальше в лес, тем толще партизаны"

Оболочка.
CLI:
В целом очень не плохо, все нравится, более привычный интерфейс, больше похож на CLI аля Cisco/JunOS. это сугубо мое мнение. Если что-то не получается из CLI идем в expert и получаем чистый линух, и так приступим:

по умолчанию все интерфейсы кроме Internal/Mgmt - деактивированы, поэтому

# активация интерфейса

set interface DMZ state on

# создание под интерфейса/Vlan'а ID 100 на интерфейсе DMZ
add interface DMZ vlan 100

# повешать IP адрес
set interface DMZ.100 ipv4-address 192.168.1.1 mask-length 24

# удаление ip адреса с интерфейса, из-за глюков clish'а простая замена иногда не проходила в итого. методом проб и ошибок получил работающий метод

delete interface DMZ ipv4-address

#Добавление специфического маршрута
set static-route 192.168.0.0/24 nexthop gateway address 192.168.1.254 on

#Добавление маршрута по умолчанию

set static-route default nexthop gateway address 192.168.1.254 on

Web:
Тут всё понятно и приятно, функциональные возможности повторяют CLI, в отличии от SPLAT...
Думаю больше сказать мне нечего, единственное:
в релизе GAIA R75.40VS есть не приятный, очень не приятный БАГ, при создании под интерфейсов >10 на одном физическом интерфейсе, демон confd отжирает почти весь проц, 50-60% и Web'ка перестает отвечать. Данная проблема решена с помощью хотфикса, выпущенного производителем (SR 28-917195161).

DHCP-relay - очень странно себя ведет... регулярные инсталляции, и везде "танцы с бубном" - но это "Чекпойнт детка" к этому привыкаешь :) по этому поводу будет отдельная запись.

В итого:
"+" очень удобно и просто реализовано, в отличии от SPLAT сетевая конфигурация.
"-" огорчили не ясные глюки.

фишки Cluster XL Checkpoint

2015-03-24T21:00:00.003-07:00

ClusterXL забавная технология от Checkpoint'а.
ниже приведены различные советы и примеры грабель из жизни.

# если на каталике будет включен igmp snooping, то имеем флапинг одной из нод.
#Up->DOWN

1-е решение:
на каталике
no ip igmp snooping

2-е решение на нодах(перевести режим работы ClusterXL в broadcast)

в файле $FWDIR/boot/ha_boot.conf

ha_installed 1
ccp_mode broadcast

#или в CLI-expert cphaconf set_ccp broadcast ;-работать будет до перезагрузки

Для информации:
# Default settings in the ha_boot.conf file are:
ha_installed 1
ccp_mode multicast

ASA 8.4 nat

2013-11-13T20:00:00.001-08:00

ASA 8.4 nat
! проброс порта во внутрь

interface Vlan3
nameif PBX
security-level 90
ip address 192.168.19.1 255.255.255.0
!
interface Vlan22
nameif DMZ
security-level 90
ip address 192.168.22.253 255.255.255.0

interface Vlan2

nameif outside
security-level 0
ip address XX.XX.XX.XX 255.255.255.240

object network RDP-SRV
host 192.168.0.6

object network PBX-SRV
host 192.168.19.42

object service SSH_service
service tcp destination eq ssh

object service SSH_ext
service tcp destination eq 2222

object service RDP_service
service tcp destination eq 3389

nat (outside,DMZ) source dynamic any interface destination static interface RDP-SRV service RDP_service RDP_service
nat (outside,PBX) source dynamic any interface destination static interface PBX-SRV service SSH_ext SSH_service

fw-asa# sh xlate
4 in use, 5 most used
Flags: D - DNS, i - dynamic, r - portmap, s - static, I - identity, T - twice
e - extended
TCP PAT from DMZ:192.168.0.6 3389-3389 to outside:XX.XX.XX.XX 3389-3389
flags srT idle 0:26:11 timeout 0:00:00
TCP PAT from PBX:192.168.19.42 22-22 to outside:XX.XX.XX.XX 2222-2222
flags srT idle 0:05:25 timeout 0:00:00
TCP PAT from outside_intertax:YY.YY.YY.YY/60269 to PBX:192.168.19.1/60269 flags ri idle 0:10:41 timeout 0:00:30
TCP PAT from outside_intertax:YY.YY.YY.YY/32021 to DMZ:192.168.22.253/32021 flags ri idle 0:26:11 timeout 0:00:30

NAT Cisco ASA 8.4 or later

2013-07-08T23:05:00.000-07:00

Заметка для себя.

Source and Destination NAT.

Возникла задача нестандартного NATa, а именно подменить и источник и назначения в пакете который идет из публичной сети и пробросить его на RDP сервис. Весь сыр бор заключается в том, что сервер(RDP-SRV) установлен в дрогой подсети.

На руках ASA 5505 8.4, и вот собственно малюсенький конфиг:

Конфигурация объектов:
object network obj_any
subnet 0.0.0.0 0.0.0.0
object network RDP-SRV
host 192.168.0.6

Конфигурация интерфейсов:

interface Vlan2

nameif outside

security-level 0

ip address XX.XX.XX.XX 255.255.255.240

interface Vlan22

nameif DMZ

security-level 90

ip address 192.168.2.2 255.255.255.0

ciscoasa# sh run route

route outside 0.0.0.0 0.0.0.0 XX.XX.XX.1 1

route DMZ 192.168.0.0 255.255.255.0 192.168.2.1 1

ciscoasa(config)# nat (outside,DMZ) source static any interface destination static interface RDP-SRV

Просмотреть детальный конфиг(получилось два правила, одно ручное, второе- создается автоматом, по умолчанию ):

ciscoasa# sh nat detail

Manual NAT Policies (Section 1)

1 (outside) to (DMZ) source static any interface destination static interface RDP-SRV

translate_hits = 3, untranslate_hits = 3

Source - Origin: 0.0.0.0/0, Translated: 192.168.2.2/24

!а вот и результат, мы добились трансляции Source

Destination - Origin: XX.XX.XX.XX/28, Translated: 192.168.0.6/32

! и Destination

Auto NAT Policies (Section 2)

1 (inside) to (outside) source dynamic obj_any interface dns

translate_hits = 0, untranslate_hits = 0

Source - Origin: 0.0.0.0/0, Translated: XX.XX.XX.XX/28

Правим списки доступа и радуемся=)

tcpdump в Cisco

2013-06-18T20:44:00.002-07:00

Создать буфер:
my_router#monitor capture buffer Buf size 256 max-size 256 circular

где: Buf - название буфера;
size и max-size - размер буфера и максимальный размер элемента в буфере, соответственно;
circular или linear - тип буфера, будут ли старые элементы вытеснятся новыми или нет;

Можно применить ACL для конкретных IP:
my_router#monitor capture buffer Buf filter access-list (number, name)

Создать "точку ловли":

my_router#monitor capture point ip cef cappoint fa 0/0 both
где: ip cef - метод коммутации, мы используем cef
cappoint - название точки, далее следует интерфейс на котором слушать и в каком направлении - в обоих

После создания, появится следующее сообщение с логах.

%BUFCAP-6-CREATE: Capture Point cappoint created.

Ассоциация созданной точки с буфером:

Так как и точек и буферов может быть достаточно большое количество, это просто указывает в какой буфер складывать пакеты.

my_router#monitor capture point associate cappoint Buf

Поглядеть на конфигурацю:

my_router#show monitor capture point all

Status Information for Capture Point cappoint

IPv4 CEF

Switch Path: IPv4 CEF, Capture Buffer: Buf

Status : Inactive

Configuration: monitor capture point ip cef cappoint FastEthernet0/0 both

Включить:

В данном случае all, но можно включить и отдельную "точку" по имени

my_router#monitor capture point start all

Так как читать он-лайн нереально, то проще все экспортнуть

Экспорт буфера(tftp, ftp, scp):

my_router#monitor capture buffer Buf export (куда)

Чужие мысли

2012-10-30T19:51:00.005-07:00

Каждый по-своему сходит с ума... Кто-то в истерике захлёбывается слезами...
А кто-то - молча, держа всё в себе и не подавая виду медленно рассыпается на кусочки изнутри.

Осень... Одно из чудеснейших времен года. Осенью медленно бредёшь по парковой аллее,
зарывшись в складки мягкого шарфа, шуршишь опавшей листвой и проникаешь в эту осень…
позволяя ей проникать в Тебя… Дышишь приятной прохладой, пропитанным ароматом желтеющих листьев…
Радуешься ещё теплым лучам, которые наполняют своим светом всё вокруг, отражаясь в лужах и путаясь в рыжих кронах деревьев.
Бредёшь, мечтая о горячем чае с душистым медком или о чашечке ароматного кофе…
Осенью всегда немного грустно… И эта грусть какая-то хрустальная, хрупкая, легкая...
Она бывает всегда со смыслом, с рассуждением, с надеждой.
Такую грусть не хочется менять на безудержную радость, потому что ты чувствуешь, что в этой светлой тоске тоже много счастья и красоты...

Ветер... милая ты знаешь что такое ветер... я ни когда не думал что ветер так одинок... о том что он не умеет говорить... поэтому он дует...
он каждое свое мгновение пытается нам рассказать о своем одиночестве... он пытается с нами заговорить шелестом листвы... но у него есть подруга...
гроза... и небо услышав их разговор начинает плакать... иногда очень отчаенно изо всех сил...

Открытая дверь... "Всегда закрывай двери!" учат на родители с самого детства... "и не открывать чужим",
но глубокий смысл этих слов начинаешь понимать гараздо позже, нельзя открвать дверь к своему миру... душе.
Чужой человек даже если он не хочет тебе зла, все ровно не сможет понять что для тебя "святое" и какие вещи для тебя неприкосновенны,
а может просто прийти и насвиначить.
...она пришла, но дверь уже была открыта, ее просто забыли закрыть, вошла чуть слышно, он был безумно рад ей, как мальчишка радовался каждой секунде,
боялся что не успее ей все рассказать, он просто был счастлив, но он знал знал что чудес не бывает, с радостью, но опаской просыпался каждое утро.
И однажды утро стало не таким добрым как раньше. Теперь дверь заперта, она заперта на три тысячи засовов и замков,
даже если кто то захочет прийти в гости он просто не успеет их открыть что бы впустить гостей.
Он научился жить один... разучился открывать двери...Это не его прихоть, его научили.
Просыпаться по ночам...уходить в темноту, и жадно курить вдыхая полные легкие терпкого, горького дыма.
С сигаретой и кружкой кофе сидит на подоконнике...и мысли в голове пролетают со скоростью 1000 миль в секунду.
он просто устал бороться за свое счастье...пора устроить себе выходной...
просто сидеть на подоконнике...наблюдая за счастьем других.

Он слышит как тихо завывает, задувает ветерок через распахнутые настиш двери...

...хотелось кричать, кричать так как ни разу не кричал, он не мог держать это все в себе...
лес... лес все стерпит он самый внимательный слушатель... может тебе даже ответить...
Он хотел просто взять ее за руку, и сказать... пойдем со мной, пойдем я покажу тебе свой мир...
знаешь-он ведь мог, он решил, он все уже решил...он готов шагнуть, шагнуть неоглядываясь назад...
Но... понял что ты к этому не готова, ты не он, ты не могжешь просто взять и шагнуть, туда где есть только неизвесность...
Решил не ускорять развитие ситуации, и просто стал наблюдателем, он стал тенью в твоей жизни...

ты не знаешь как сделать, но решение принято и … «мы заднюю не даем»…
И вот тебе стало трудно… ты давно живешь один… в душе один… ты привык так… не потому что так хорошо, а потому что так получилось….
А ведь ты тайком всю жизнь искал…
…мама…… мамочка…

DMVPN сеть успользуя сертификаты на маршрутизаторах Cisco

2011-11-10T19:46:00.001-08:00

Поступила задачка собрать схему DMVPN сети и что бы все крутилось на сертификатах, и что бы ключики жили на e-Token
Сервер сертификатов на Hub'e =) Да возможно не лучшее решение, но друго варианта нет.
После изучения материалов в сети стало ясно что сервер сертификатов поднять на Hub'e не проблема главное подружить всё c e-Token =) Первое что огорчило это Cisco не поддерживает e-Token Pro Java от компании aladdin =( это огорчило потмоу что поставщики об этом не упомянули.... хотя мы их честно предупреждали "мы будем поднимать все на cisco"
Потом мы перезаказали эти tokenы, и они очень даже подошли.

Из железа у нас:
Cisco 3845 ios 12.4.24 T6
Cisco 2811 ios 12.4.24 T6 - 2 шт
e-token pro 64 - 2 шт

Что бы избежать ошибок разделил задачу на две =)
1-е сервер сертификатов

2-е сама DMVPN сеть

И так начнем поднимать сервер сертификатов:

!Указываем домен
Hub(config)#ip domain name kli

! и сервера синхронизации времени
Hub(config)#ntp server 62.117.76.141
Hub(config)#ntp server 62.117.76.142
Hub(config)#ntp server 209.167.68.100

!Генирируем пару ключей на Hub'e
crypto key generate rsa general-keys label Hub_Main storage usbtoken1

!Поглядим что получилось:
Hub#show crypto key mypubkey rsa

Key name: Hub_Main.kli.server
Temporary key
Usage: Encryption Key
Key is not exportable.
Key Data:
******
******тут как раз ключик

% Key pair was generated at: 13:53:24 KRS Nov 9 2011
Key name: Hub_Main
Storage Device: usbtoken1 (label=eToken PRO)
Usage: General Purpose Key
Key is not exportable.
Key Data:
******
******тут как раз ключик

#Если необходимо можно удалить ключевую пару
cry key zeroize rsa ИМЯ_КЛЮЧА

!Пропишем Host
Hub(config)ip host Hub_Main 192.168.1.1

!Идентификация сервера в сети:
Hub(config)crypto pki server Hub_Main
Hub(cs-server)#    grant auto rollover ca-cert
Hub(cs-server)#    auto-rollover 25

Hub(cs-server)#issuer-name CN=Hub_Main
Hub(cs-server)# lifetime crl 24
Hub(cs-server)# lifetime certificate 200
Hub(cs-server)# lifetime ca-certificate 365
Hub(cs-server)# grant auto

! Храним базу сертификатов в Flash
Hub(cs-server)#database url flash:
Hub(cs-server)#database level minimum
Hub(cs-server)# exit

!Отступление про database level
!   minimum — хранится информация достаточная для выдачи новых сертификатов без возникновения конфликтов. Значение по умолчанию.
!   names — в дополнение к информации уровня minimum, хранится серийный номер и subject name каждого сертификата.
!   complete — в дополнение к информации уровней minimum и names, каждый выданный сертификат хранится в базе данных.

!Траст_поитн создается автоматически, ее можно поменять/дополнить/изменить ДО ВКЛЮЧЕНИЯ сервера сертификатов.
Hub(config)#crypto pki trustpoint Hub_Main
Hub(ca-trustpoint)# enrollment url http://Hub_Main:80
Hub(ca-trustpoint)# revocation-check crl
Hub(ca-trustpoint)#exit

!Включение сервера секртификатов
Hub(config)#crypto pki server Hub_Main
Hub(cs-server)#no shut

Ну вот почти и всё но это только Hub =) надо еще пролить конфиг Spoke

Router(config)#hostname Spoke-1

!Указываем домен
Spoke-1(config)#ip domain name kli
! и сервера синхронизации времени
Spoke-1(config)#ntp server 62.117.76.141
Spoke-1(config)#ntp server 62.117.76.142
Spoke-1(config)#ntp server 209.167.68.100

!Создание статической записи хост-ip address:

Spoke-1(config)# ip host Hub_Main XX.XX.XX.254

!Необходимо сгенерировать пару ключей:

Spoke-1(config)#crypto key generate rsa general-keys label Spoke-1 storage usbtoken1

!Необходимо создать trustpoint и зайти в режим настройки:

Spoke-1(config)# crypto pki trustpoint Hub_Main

!Указать url для запроса сертификатов:
Spoke-1(ca-trustpoint)# enrollment url http://Hub_Main:80

!Получить сертификат CA-сервера:
!Запросите собственный сертификат:

Spoke-1-Krasles(config)# crypto pki authenticate Hub_Main
Spoke-1-Krasles(config)# crypto pki enroll Hub_Main

хе-хе вроде все да не все =) надо еще создать траст_поинт Hub'a на Hub'e =) во как...

!Настройка маршрутизатора, на котором находится CA, на получения сертификата для IPSec

!Создаем статическую запись хост-ip address:
Hub(config)# ip host Hub_Main 192.168.10.1

Для того чтобы сервер мог получить сертификат необходимо создать на нем еще одну trustpoint, так как trustpoint созданная автоматически при создании CA-сервера не может использоваться для выдачи сертификата сервером самому себе:

Hub(config)# crypto pki trustpoint Hub_Main-local
Hub(ca-trustpoint)#enrollment url http://Hub_Main:80

!Получить сертификат CA-сервера:
Hub(config)# crypto pki authenticate Hub_Main-local

!Запросите сертификат:
Hub(config)# crypto pki enroll Hub_Main-local

Теперь начнем поднимать DMVPN
с этим проблем не должно возникнуть, как в принципе и сервером сертификатов, в сети море инфы главное её правильно связать в своей голове =)

config Hub'a

crypto isakmp policy 1

crypto ipsec transform-set trans2 esp-aes 256 esp-md5-hmac
mode transport
!
crypto ipsec profile VPN_Prof
set transform-set trans2

interface GigabitEthernet0/1.1

 description ***Internet ***

 encapsulation dot1Q 2572

 ip address XX.XX.XX.254 255.255.255.252

 ip virtual-reassembly

end

interface Tunnel0

 bandwidth 1000

 ip address 10.10.10.1 255.255.255.0

 no ip redirects

 no ip next-hop-self eigrp 1

 ip nhrp map multicast dynamic

 ip nhrp network-id 999

 ip nhrp holdtime 300

 ip virtual-reassembly

 ip tcp adjust-mss 1260

 no ip split-horizon eigrp 1

 delay 1000

 tunnel source GigabitEthernet0/1.1

 tunnel mode gre multipoint

 tunnel protection ipsec profile VPN_Prof

end

Время нашего Автопрома :)

2011-07-20T01:15:00.000-07:00

Перестали работать автомобильные часы ВАЗ 2104, решил починить!
С виду похожи на заводские:

Разбираем! Внутри: 1. лампочка подсветки (работает от бортового питания авто);

2. А сами китайские часы (работаю от батарейки)

Причина поломки часов - севшая батарейка!)

ДА ЗДРАВСТВУЕТ НАШ АВТОПРОМ!!! надо еще больше денег АВТОТАЗу =)

Возвращение в строй Alinco DJ F1

2011-07-20T01:06:00.001-07:00

И вот решил я на днях оживить рацию Alinco DJ F1, которая по случаю был списана, в связи с выходом из строя аккумулятора :)

Полазил по сети, на e-bay цена аккума составила 80 $ с учетом доставки, подумал дорого, и решил глянуть инструкцию, в инструкции картинка: Акум EBP-16N (7,2В)

И подумалось, а почему бы и не собрать самому =), вскрыл, поглядел, аккумы были спаяны точечной сваркой, значит кислота точно понадобится

Сходил в магаз, купил аккумы( Lenmar "AA" 1.2V 2700mAh NiMh [PRO427] 6шт), родные стояли 600 мАh, вооружился паяльником, оловом, и кислотой :)

Пайка прошла успешно, замеры показали 7,3 В.

После укладки стало ясно что весь комплект не входит в корпус EBP-16N, пришлось разобрать EBP-18N и уложить весь комплект туда.

Разница корпусов EBP-16N и EBP-18N(с право):

После 12 часов заряда Акум был протестирован, тестирование прошло на 5+, теперь рация живет почти неделю на одной зарядке на средней(Mi) мощности.

ЗЫ: спасибо Папе за то что он меня научил паять еще в лет 6-ть, когда я паял себе первый в жизни фонарик, уже в далеком 90-м :)

Cisco 871 конфигурация ADSL, не PPPoE

2011-05-18T18:56:00.000-07:00

Возникла задача запустить ADSL подключение на маршрутизаторе для того что бы избавится от лишнего устройства типа adsl модем...
часть конфига то что относиться в adsl
Current configuration : 3234 bytes
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname rt.test.kedr
!
boot-start-marker
boot system flash:c870-advsecurityk9-mz.124-24.T2.bin
boot-end-marker
!

bridge irb
!
!
interface ATM0
no ip address
no atm ilmi-keepalive
!
interface ATM0.1 point-to-point
pvc 3/35 ! настройки которые выдал провайдер
encapsulation aal5snap
!
bridge-group 1
bridge-group 1 spanning-disabled
!

interface Vlan1
description ***Local***
ip address 192.168.1.1 255.255.255.0
ip tcp adjust-mss 1452
!
interface BVI1
description ***External****
ip address 172.16.1.2 255.255.255.252
no ip redirects
no ip proxy-arp

ip route 0.0.0.0 0.0.0.0 172.16.1.1

bridge 1 protocol ieee
bridge 1 route ip

!end

вроде работает :) время покажет

Вторая жизнь для cisco 2610XM

2011-01-24T07:11:00.001-08:00

...как то вот так :)
понравилась идея(которую подглядел у своего инструктора ccie =) за что ему отдельное спасибо) по повышению уровня безопасности сетевого периметра и решил попробовать настроить "консольный access server" для управления сетевыми устройствами.
Дано:
1) Старенький но работающий маршрутизатор cisco 2610XM на борту маленькая флешка и оперативки тож не очень много 96 мб, ios 12.2
2) Модуль NM-16A=
3) Кабель типа "гидра" с восемью концами

итого вот что получилось...

! алиас порт хост

ip host R2 2033 1.1.1.1

ip host R3 2034 1.1.1.1
ip host R4 2035 1.1.1.1
ip host R5 2036 1.1.1.1
ip host ASA1 2037 1.1.1.1
ip host ASA2 2038 1.1.1.1
ip host SW1 2039 1.1.1.1

! адрес куда будем цепляться
interface Loopback0
ip address 1.1.1.1 255.255.255.255
! асинхронные линии
line 33 48
no exec
transport input all
stopbits 1
!
цепляем "гидру" к con порту нужных железок и всё, можно теперь заходить на наш маршрутизатор и управлять ими мне кажется всесьма применимо для устройств внешнего периметра.
а для меня наука нельзя списывать старые железки со счетов, как раз появилась задачка для еще одной старушки 1700 серии =) для удаленного управления серваком через консольный порт :)

Дождь

2011-01-24T06:41:00.001-08:00

А ты знаешь, что дождь это акт любви между небом и землёй?
Я вижу, как небо нежно окутывает поверхность земли густым туманом, потом мягкие облака опускаются к самому горизонту и словно кончиками пальцев касаются гор, травы, деревьев, полей, озёр…как всё на мгновение замирает, а потом…теплые капли дождя жадно впитываются каждой порой, проникают в трещинки, сливаются в ручьи, убегают во внутрь,… а земля словно женщина, заждавшаяся своего любимого со всей страстью и неутолимой жадностью раскидывается- раскрывается в предвкушении жизненной влаги, с неба.
Я стою под дождём, закрыв глаза и представляю, что ты рядом со мной…, подставляю лицо теплым каплям, будто твоим влажным поцелуям и улыбаюсь…
Люди пробегают мимо, машины проезжают, по лужам….все куда-то бегут ,
а я стою под дождём и улыбаюсь…