Cisco и Skype

Прочитал новость, что Cisco решило приобрести Skype аж за целых 5 милиардов Обама. Остается вопрос, нафига оно им нада? Толи хотят упраздник шифрование скайпа, чтобы ихнее оборудование детектило и могло фильтровать(тогда почему до кучи не купить uTorrent). Толи хотят стать одним из крупнейших играков на рынке VoIP, но для каких целей? Окупатся такое вложение я думаю будет не один год, а то и весь десяток. Скайпофоны железные тоже чисто свои делать смысла нет, китайцы в землянках их штампуют тоннами, а ежели сделают пропритерщину то все соскочат со скайпа. В общем какоето темное дело. Посмотрим, что будет дальше.

UPD: мне тут подсказывают, что покупка стоимостью 5 милиардов баксов окупится через 89лет, так всетаки нафига?


Читать далее

Cisco VPN Client for Windows Seven

Ура ура товарищи. Вышли новые вресии Cisco Vpn Client версия 5.07.290 работающие под Windows Seven x64 теперь это еще и релиз. Так, что не нада больше извращатся со Shrew и прочими софтинами.

Cisco VPN Client 5.07.290k9 for Windows Seven x32 - vpnclient-win-msi-5.0.07.0290-k9.exe
Cisco VPN Client 5.07.290k9 for Windows Seven x64 - vpnclient-winx64-msi-5.0.07.0290-k9.exe

Читать далее

SSL VPN

Так как денег на CISCO ASA так и не удалось выбить пришлось рыть интернеты по поводу какой либо замены, для того чтобы можно поднимать SSL VPN. Покопавшись в интернетах и попинав народ в аське, посоветовали мне следующую железку NETGEAR SSL312. Стоит она в Москве от 450 до 500 омереконьских президентов.
Заказали и сегодня в мои потные и шаловливые рученки попал сий агрегатъ.

На нем всегда 2 входа под эзернет, 1 ком порт, питание, тумблер и дырка с кнопкой reset.
Сразуже подключившись к компорту и включив концентратор, был не сильно удивлен увидив там обычный линукс, хоть и с урезанным функционалом. Так как мне было лень прописывать себе другую сетку чтобы зайти в менеджмент консоль, при помощи ifconfig был поменян ип адрес на тот который мне был нужен.
В админской консоли в принципе минимум необходимых настроек. Железка настраивается буквально за 15 минут. Из которых минут 5 занимает прошивка. Возник непонятный глюк в разделе NTP, почемуто при замене чего либо иногда девайс тупо вис. Создав гостевой влан для SSL клиентов, написав ACL и прописав радиус сервер - подключил адский девайс к интернетам и начал тестить.
Для одного пользователя агрегат показал достаточно шустрое быстродействие, вываливал мне запросы на установку AcitveX плагинов, VPN создается, к ресурсам сети цепляется без проблем.

В общем, ежели нет денег на полноценную CISCO ASA, а нужно настроить VPN SSL, NETGEAR SSL312 я считаю идеальное решение.

Читать далее

Замена ядра сети.

Так как Cisco 3550 не справлялась с нагрузкой - поменяли вчера на 3750. Не поднялось куча серваков, из за чего непонятно, на ESXi пришлось ребутить хост систему, так как не поднялись транки. С чем связан такой глюк - так и не поняли, так как время было уже позднее - перезагрузили, проверили, что все работает да разошлись по домам.

Читать далее

Cisco Network Assistant

Поставил себе сию приблуду - достаточно интересная программа, для мониторинга небольших сетей построенных на цисках одобряю. Сама выстраивает топологию сети, можно просматривать нагрузку на хостах и работает достаточно шустро.

Скачать без регистрации на cisco.com можно тут: http://depositfiles.com/ru/files/ictv9v2r0


Читать далее

Cisco VPN Client и Windows Seven

Столкнулись с проблемой, установки Cisco VPN Client на Windows Seven, версия 5.0.06-160 не работала. Покопавшись в интернетах была обнаружена версия 5.0.07.0240-k9 которая после проверки достаточно адекватно заработала. Едиснтвенное - на x64 не пробовал, но версия есть и такая. Ссылки на скачку под катом.

http://depositfiles.com/files/9dkh62tv5 - vpnclient-win-msi-5.0.07.0240-k9-BETA.rar for Windows Seven x32
http://depositfiles.com/files/uiz4b18sj - vpnclient-winx64-msi-5.0.07.0240-k9-BETA.rar for Windows Seven x64

Читать далее

Перестройка PIX на новый CA

Так как необходимо было оставить старый сертификат, прикрутил к PIX`y еще второй и к групам прикрутил новый радиус. Вроде как работает.

Читать далее

Сертификаты для Cisco VPN Client

Так как перешли на новый CA, пришлось создавать и рассылать кучу сертификатов. Более 130 штук, из экселевского файлика. Ручками это было делать ленива, то за 3 часа был написан мегаскрипт на Sikuli, который сам копировал и вставлял необходимые поля для сертификата и рассылал их. В общем Sikuli неплохая вещь :)

Читать далее

Продолжение эпопеи c PIX и сертификаты

Задача стояла следующая, при подключнии необходимо, чтобы разным групам пользователей, выдавался разный пул ип адресов. Недельное вдумчивое копание интернетов, вывело меня на доки:
http://www.dslreports.com/faq/8420
и
http://crazyvlan.blogspot.com/2008/02/vpn-and-radius-with-cisco-asa-and.html
ага, сказали русские суровые мужики и отложили freeradius в сторонку с параметрами
ip:addr-pool=vpnpool2
ipsec:addr-pool=vpnpool2
был скреативен следующий конфиг:

group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes
group-lock value DefaultRAGroup
address-pools value vpnpool
group-policy group2 internal
group-policy group2 attributes
group-lock value group2
address-pools value vpnpool2
username bear password mXfNI9aNT4.z2f.6 encrypted
tunnel-group DefaultRAGroup general-attributes
address-pool vpnpool
authentication-server-group vpn
default-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup ipsec-attributes
trust-point CA1
tunnel-group group2 type remote-access
tunnel-group group2 general-attributes
address-pool (inside) vpnpool2
authentication-server-group vpn
authentication-server-group (inside) vpn
authorization-server-group vpn
authorization-server-group (inside) vpn
accounting-server-group vpn
default-group-policy group2
tunnel-group group2 ipsec-attributes
trust-point CA1

но все равно, подключится не получалось, выдавало ошибку вида:
Feb 15 09:27:15 [IKEv1]: Group = DefaultRAGroup, Username = vasya, IP = 217.xxx.143.200, Tunnel Rejected: User (vasya) not member of group (DefaultRAGroup), group-lock check failed.
Feb 15 09:27:15 [IKEv1]: Group = DefaultRAGroup, Username = vasya, IP = 217.xxx.143.200, Removing peer from peer table failed, no match!
Feb 15 09:27:15 [IKEv1]: Group = DefaultRAGroup, Username = vasya, IP = 217.xxx.143.200, Error: Unable to remove PeerTblEntry

прописывание класса в Remote Access Policy OU=group2, эфекта не дало, но навело на мысль, что надо бы глянуть, что творится в сертификатах
и точно, не было в Subject сертифката описан параметр OU, как только я его добавил - сразу все заработало, начали выдаватся ип адреса из разных пулов.

Читать далее

Еще доки по циске.

Неплохая подборочка книжек по CISCO, есть откровенное старье, есть и интересные экземпляры. Скачать можно бесплатно. Форматы в основном PDF.

Читать далее

Напильник рулит.

Если долго махать напильником, то из паравоза можно сделать самолет.
Авторизация через Internet Authentication Service тоже прикручена. Как оказалось, там ничего особа сложного, единственное в доках CISCO не было указанно, что необходимо в Remote Access Policies в параметрах Connections to other access servers разрешить подключение удаленный доступ. И в пользователях разрешить такую вещь как подключение по Dialup. Почитав доку по подключению PIX к радиусу, я присоеденил недостающее к доке в предыдущем посте про сертификаты и все заработало. А завтра админский шабат. Мож авансек дадуд...

Получившийся конфиг, сразу говорю, он не рабочий, так как сделан только для того чтобы проверить авторизацю через радиус с сертификатами.

PIX Version 8.0(4)
!
hostname pix515
domain-name pix515
enable password blabla encrypted
passwd blabla encrypted
names
!
interface Ethernet0
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet1
nameif inside
security-level 100
ip address 192.168.12.45 255.255.255.0
!
interface Ethernet2
shutdown
no nameif
no security-level
no ip address
!
ftp mode passive
dns server-group DefaultDNS
domain-name pix515
pager lines 24
logging asdm informational
mtu inside 1500
ip local pool vpnpool 10.10.10.1-10.10.10.254
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
aaa-server vpn protocol radius
aaa-server vpn (inside) host 192.168.12.121
key идфидф
aaa authentication ssh console LOCAL
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set myset esp-3des esp-md5-hmac
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto dynamic-map outside_dyn_map 10 set transform-set myset
crypto dynamic-map outside_dyn_map 10 set security-association lifetime seconds 28800
crypto dynamic-map outside_dyn_map 10 set security-association lifetime kilobytes 4608000
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface inside
crypto ca trustpoint CA1
enrollment terminal
fqdn pixvpn.spklabs.com
subject-name CN=vpn.blabla.bla,OU=IT,O=blabla LTD,C=RU,St=Moscow,L=Moscow
serial-number
keypair my.CA.key
crl configure
crypto ca certificate chain CA1
certificate 61ff73c400000000000b
308205c2
....сертификат отпилен
quit
certificate ca 67e4dfb59853744f1ecs028e268a89
30820
....сертификат отпилен

quit
crypto isakmp enable inside
crypto isakmp policy 65535
authentication rsa-sig
encryption 3des
hash md5
group 2
lifetime 86400
telnet timeout 5
ssh 192.168.12.0 255.255.255.0 inside
ssh timeout 60
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
group-policy defaultgroup internal
group-policy defaultgroup attributes
default-domain value spklabs.com
username vpnuser password blabla encrypted
username vpnuser attributes
group-lock value DefaultRAGroup
username bear password blabla encrypted
tunnel-group DefaultRAGroup general-attributes
address-pool vpnpool
authentication-server-group vpn
default-group-policy defaultgroup
tunnel-group DefaultRAGroup ipsec-attributes
trust-point CA1
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
prompt hostname context


Читать далее

Ура, сертификаты были побеждены.

Свежая голова решает. Как оказалось, был у меня криво поставлен CA под Windows, в общем создал на стенде AD, переинсталил IIS, CA и получил доступ к созданию сертификатов. А дальше все просто, по доке усе пошло как по маслу.
Следующая задача - прикрутить авторизацию на PIX к AD.

Читать далее

PIX+авторизация через сертификат

Мда, не стандартную задачку задали на новой работе, необходимо прикрутить CISCO PIX к службе сертификатов винды, дабы пользователи цеплялись не через пароль, а при помощи сертификата в CISCO VPN клиенте. Пока пусто, голова полна всякими нехорошими мыслями, завтра на свежую голову буду копать снова.

Читать далее

Серитификат CISCO

Прошло чуть больше месяца как пришел сертификат CISCO, распечатан насколько понял на цветном принтере. Осталось понять, что за пластиковая карта с магнитной полосой которая идет в комплекте и зачем она нужна.


Читать далее

CISCO 2960G на 48 портов

Блин, облазил пол интернета, нигде нет сий замечательной железки, новой, либо уже под резервом у когото, либо под заказ в течении 8 недель... А 3 штуки нужно уже прям завтра, а лучше вчера...

Читать далее

CCNA

Ну вот и кончилась эпопея с CCNA. Вчера днем сдал экзамен и теперь я сертифицированный специалист.
В учебе применялись:
1. Официальное руководство по подготовке к сертификационным экзаменам CCENT/CCNA ICND1 ссылка
2. Официальное руководство по подготовке к сертификационным экзаменам CCNA ICND2 ссылка
3. Система предварительного тестирование Boson которая идет с книгой ссылка
4. Тестирование на сиськолавкe ссылка
5. Финальная подготовка была по тестам Pass4Sure ссылка

Спасибо компании КомпТек за предоставленную возможность сдать у них экзамен. Отдельное спасибо Ивану, который принимал у меня экзамен.

Теперь отдохнуть и можно начинать готовится к CCNP :)

Читать далее

Стойка которая дает интернет

Главная стойка, которая раздает интернет.
По порядку:
1. В самом верху, видно только кусок Cisco 3825 - NAT
2. Комп который раньше раздавал NAT, в текущий момент греет воздух
3. Сдвоенная АТС
4. Мониторинг сетки, nagios, Cacti
5. DHCP
6. Комп с телефонным билингом

на след картинке

7. Интернетовский билинг с UTM5
8. Cisco 7201 NPE-G2 - VPN сервер 1
9. Cisco 7204 NPE-G2 - VPN сервер 2
10. Cisco Catalist 6509 - работающий как бордер
11. UPS1
12. UPS2



Читать далее

CCNA, CCNP тестирование.

Подсказали достаточно интересный сайт, на котором есть куча тестов по CCNA, CCNP и прочему, тесты достаточно сильно отличаются от тех которые даются при сертификации, но для общего поднятия балов думаю помучать стоит. Плюс там есть куча всяких эмуляторов оборудования и софта, от свичей и рутеров CISCO до Unix like консоли и модемов.
Что они пишут о себе:
* 17,000 test questions (and more every day) *16 hours of video lectures *290 router labs * 170 switch labs *160 PIX/ASA labs *80 Wireless labs * 5,000 pages of theory * 52 new CCNA Wireless labs * 35 ASDM labs.
В общем ссылка под катом, однозначно в закладки для тех кто сертифицируется и вообще хочет поднять уровень знаний. Стоит к стати не шибко дорого, $38 за базовый комплект, и $58 за премиум.

http://networksims.com/


Читать далее

Pocket Tracer 5.2 Windows и Linux

Скачал последний Pocket Tracer 5.2, судя по чендж логу достаточно много приятных изменений появилось. Поглядеть список обновлений можно тут ReleaseNotes_CiscoPT5_2-20Jul09.pdf.
Полное описание Pocket Tracer 5.2 скачать тут Cisco_Packet_Tracer_DS-16Jul09.pdf.
Если в двух словах, то это имхо лучший эмулятор CISCO сетей который можно использовать для обучения. Есть конечно еще GNS3 но для него необходимо искать IOS которые он поддерживает.

Ссылки на версию под Linux и Windows под катом.

Linux Pocket Tracer 5.2 - 87mb
Free download:
http://depositfiles.com/files/kmsqeil0u

Windows Pocket Tracer 5.2 - 66mb
Free download:
http://depositfiles.com/files/97426e20e


Читать далее

Продолжаем учится на CCNA

Наконец купил книжку "Официальное руководство по подготовке к сертификационным экзаменам CCNA ICND2" Уэнделла Одома, был один из первых покупателей. Тираж всего 1000 экземпляров так что спешите :)
Читать далее