%xxx.xxx.xxx.xx(1044), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xxx.xxx(53) ->
%xxx.xxx.xxx.xx(1047), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33456), 1 packet
%SEC-6-IPACCESSLOGP: list firewall denied udp xxx.xxx.xx.xx(49869) ->
%xxx.xxx.xxx.xx(33458), 1 packet

Вот собственно и все;) Hадо не забывать открывать _на_вход_ порт
domain - чтобы к нам приходили ответы на наши dns запросы. active ftp - это
вообще отдельная песня. Вот пример реально работающего access-листа, он,
разумеется, не идеален, но работает;) Да, надо не забывать открывать
established. После знака ; - мой комментарии.

===================
ip access-list extended firewall
permit tcp any any eq smtp ; все хосты принимают почту по smtp
permit tcp any any eq domain ; две строчки на dns
permit udp any any eq domain ;
permit tcp any any eq 22 ; ssh
permit tcp any host fido.qq.ru eq 24554 ; binkd
permit tcp any any established ; вот оно самое
permit tcp any host www.qq.ru eq www ; www-сервера
permit tcp any host images.qq.ru eq www
permit tcp any host www.qq.ru range 8100 8104 ; для руской кодировки
permit tcp any host images.qq.ru range 8100 8104
permit udp any any eq ntp ; все машины могут получать время с внешних ntp
permit tcp any any range 40000 44999 ; уже не помню для чего:-((
permit tcp any any eq ident
permit icmp any any
permit tcp any eq ftp-data any gt 1024; для active-ftp
deny ip any any log
===================

4.3>Q: Как сделать transparent-proxy ?

>A: (DY)

Все описано на http://squid.nlanr.net/Squid/FAQ/FAQ-17.html

4.4>Q: Dynamic ACL.

>A: Прислал (Oleh Hrynchuk)

You can use timed access-lists in IOS 12.x

You will need the router to synch to a clock source
for accuracy though..

for example:

int ser0/0
ip access-group 101 in
!
access-list 101 remark --FOR THE QUAKE 3 PLAYERS AT THE OFFICE--
access-list 101 permit udp any any range 27850 27999 time-range lunchtime
access-list 101 deny any any
!
time-range lunchtime
periodic weekdays 12:00 to 14:00
periodic weekend 00:00 to 23:59
!
ntp source loopback0
ntp server
!

[13.06.2000] 4.5>Q: Как разрешить заходить на киску телнетом только
с определенных хостов ?

>A: (Gosha Zafievsky)

access-list 11 permit host 192.168.1.1
line vty 0 4
access-class 11 in

===========================================================

ftp://ftpeng.cisco.com/pub/tacacs оригинальный оригинальный от Cisco (ls там не работает,
сначала get README, потом get то, что нужно)
Недавно там был - ls работает.

ftp://ftp.east.ru/pub/inet-admins - патченный на предмет разных вкусностей
ftp://ftp.vsu.ru/pub/hardware/cisco/tacacs - и еще пропатченный
pppd теперь отдельно от tac+ia, но рядом - tacpppd

[08.09.2000] >A: (Igor Prokopov) Где взять TACACS+ под NT ?
http://www.nttacplus.com NTTacPlus2 (демоверсия доступна для скачивания)
Radius Tacacs+ Available for Windows NT 4.0 and Windows 95/98
Работает с ODBC (Access97), предупреждает e-mail'ом об окончании лимита,
может быть backup-сервером, работать с несколькими CISCO, ведет группы по
привилегиям и т.д.
Полная версия за деньги или на варезах ;)))

7.2>Q: Кто знает, как ограничить число запросов киски на login? То есть, если
юзер первый раз неправильно ответил на login/password то сразу сделать hangup
а не спрашивать его еще и еще. Все равно в большинстве скриптов это не
предусмотрено. У меня киска упорно спрашивает три раза. Листание "Command
Summary" успеха не принесло. Может это в такаксе надо концы искать?

>A: (Alexey Kshnyakin)

conf t; tacacs-server attempts N

7.3>Q: Как снимать/считать статистику по интерфейсам ?

>A: (Dmitriy Yermakov)

считать можно так

conf t
int X
ip accounting

разрешить rsh на киску, примерно так

ip rcmd rsh-enable
ip rcmd remote-host enable

и, по крону :)

/usr/bin/rsh cisco clear ip accounting
/usr/bin/rsh cisco sh ip accounting checkpoint > `/bin/date +"%Y%m%d%H%M"`
/usr/bin/rsh cisco clear ip accounting checkpoint

Поскольку возникли вопросы, то еще вариант.

>A: (Konstantin D. Myshov)

1) Скрипт:

#!/bin/sh
#[skip]

rsh -l loger cisco.domain.adr clear ip accounting
rsh -l loger cisco.domain.adr sh ip accounting checkpoint

#[skip до конца скрипта :-)]

2) Hа киске говоришь:

username specloger privilege 8 password 0 plane_text_password
! Пароль зашифруется и через password 7 показываться будет по sh ru
ip rcmd rsh-enable
ip rcmd remote-host loger REMOTE_IP_ADDRESS REMOTE_USER_NAME enable 8
privilege exec level 8 show ip accounting checkpoint
privilege exec level 1 show ip
privilege exec level 8 clear ip accounting

P.S. (Andrey Kuksa) kuksaa@chph.ras.ru

включить бы еще
no ip rcmd domain-lookup

P.P.S. (DY) Cisco проверяет in-addr.arpa для хоста,
с которого пришел запрос на RSHELL. Если IN PTR нету - не пускает.
no ip rcmd domain-lookup эту проверку выключает.
По умолчанию - включено.

P.P.P.S. см также 0.4>Q:

7.4>Q: Как заменить "Username:" на "login:" ?

>A: (DY)

Существует 2 варианта -
1. В tac+ia можно переопределить этот prompt.
2. aaa authentication username-promt

[03.08.2000] 7.5>Q: rsh cisco show version получаю что-то типа Undefined error

>A: (Alex Bakhtin)

debug ip tcp rcmd

[14.08.2000] 7.6>Q: не работает aaa authentication banner "..." при использовании tacacs
или radius для аутентикации

>A: (Alexandre Snarskii), прислал (Vladimir Kravchenko)

попробовать использовать banner login "..."

[08.09.2000] 7.6>Q: Проброс на ifcico, разные порты - разные хосты.

>A: (DY) закрываем тему ifcico.

tacacs.conf

group = fido {
after authorization "/usr/local/tacplus/emsi $user $port"
login = none
service = exec { }
}

user = \*\*EMSI_INQC816 { member = fido }
user = \*\*EMSI_INQC816q { member = fido }
user = \*\*EMSI_INQC816\*\*EMSI_INQC816q. { member = fido }

cat /usr/local/tacplus/emsi
#!/bin/sh
if [ "X$2X" = "Xtty3X" ]
then
echo noescape=true
echo autocmd="telnet host_1 60179 /stream"
else
echo noescape=true
echo autocmd="telnet host_2 60179 /stream"
fi
exit 2

[27.12.2000] 7.7>Q: Как при аутентикации на радиусе пользователю назначить in-out ip
access-list на его интерфейсе ?

>A: (Michael Korban)

Framed-Filter-Id="blabla.in"
Framed-Filter-Id="blabla.out"

===========================================================

8. Memory


===========================================================

[2000.10.12] 8.0>

>A: (Alex Bakhtin)

Объем памяти, опpеделенный IOSом показывается в выводе команды sh ver
в виде двух чисел MEM1/MEM2, где MEM1 - это объем process memory а MEM2 -
это объем IO memory.

p.s. (DY) for example

6144K/2048K - всего 8Mb
126976K/4096K - всего 128Mb

8.1>Q: А какие симы можно ставить в CISCO ? А то я все пеpепpобовал, ни один
не подходит. :-(

>A: (Vasily Ivanov)

Hа симах должны быть пpавильно pаспаяны пеpемычки, указывающие оpганизацию
сима и скоpость чипов в наносекундах (большинство китайских пpоизводителей эти
пеpемычки не pаспаивают). Вот табличка, котоpая поможет вам это сделать:
Размеp Оpганизация 68 67 66 11
4Mb 512k*8/9 X X X X
4Mb 1M*2/4/16/18 - X X -
8Mb 2M*8/9 - X - X
16Mb 2M*8/9 X X - X
16Mb 4M*2/4/16/18 - X - -
Hаны 69 70
50ns X X
60ns - -
70ns X -

Знаком [X] помечены контакты, котоpые необходимо соеденить с 72м контактом
сима, обычно он выведен уже в непосpедственной близости от пеpемычек. [-] -
свободный контакт. В настоящее вpемя можно без пpоблем купить 4х метpовые симы
с оpганизацией 1M*2/4/16/18 и 16ти метpовые с оpганизацией 4M*2/4/16/18. 8ми
метpовые симы со стандаpтной оpганизацией 1M*2/4/16/18 в pутеpах CISCO не
pаботают !!! Также как и EDO RAM.

NB !!! В 25хх симы без паpитета _pаботать_не_будут_ ! Hикогда.

>A: (Leonid Kirillov)

От себя добавлю маленькую попроавку:
1. SIMM должен иметь скорость меньшую либо равную скорости RAM на мамке;
2. Имеются мамки 2 видов: старые и новые. В старых нужны SIMM с четностью, в
новых - нет, так как это выключено на мамке. Отличие очень простое - не запаяна
пятая микросхеми памяти. Где ее искать - нарисовано на картинке:
--------------------------------|
|
=======SIMM================== |
|
RAM1 RAM2 RAM3 RAM4 par |
par |
|
Cisco 2501

3. Двухбанковый SIMM видится как однобанковый. Таким образом я делал себе 16Мб
памяти из 32 (очень было нужно:-) Работает нормально.

>A: (Kirill Osovsky)

Еще немного о SIMM'ах.
Для 1600 - четность нежелательна - работать они будут, но тогда отвалится
on-board DRAM. Dual bank 8 Mb видится и работается как 8 Мб
Для 3620 - четность (насколько я понял) безразлична. Дуал банк 8 Мб видится как
дуал банк, но работать 3620 с ним не будет (не положено по инструкции)
3640 - работает с дуал банк.

>A: (Dmitry Morozovsky)

Еще дополнение: 36xx работает с EDO (3640 точно, 3620. кажется, тоже). 3640
при постановке четного количества одинаковых симмов переходит в 64разрядный
режим, что увеличивает производительность, но также увеличивает и расход памяти
в связи с alignment.

P.S. (Basil Dolmatov)
3620 понимает только FPM.
3640 понимает и EDO тоже.

8.2>Q: Подскажите где еще встречаются эти 100-пиновые DIMM'ы, которые в
2600 стоят. Или где их можно купить? За две тонны баксов не предлагать.

>A: (Dmitry Morozovsky)

Подходит память для HP LJ 4000 (100pin EDO SODIMM). Кроме того, можно брать
память у практически любого дилера Micron, Transcend, Kingston. У этих --
просто по каталогу.

P.S. Это же относится и к MC3810.

[04.07.2000] 8.3>Q: А не подскажет ли кто-нибудь, какая SIMM-память подходит
к серии 4000 (конкретнее, 4500M+) и чего на ней пропаять?
Имеется в виду: edo/fpm, четность, паритет, число чипов.

>A: (Alexander Voropay)

Для 4500 подходит та же самая память, что и для 2500,
и FLASH и DRAM. Packet DRAM та же самая, что и System
DRAM, и чем больше тем лучше :-)

А конкретно, 72-pin SIMM, NoEDO (FPM), real Parity.
Обязательно должны стоять перемычки ID. Лучше
брать -60ns хотя для System DRAM подойдет и -70ns.


===========================================================

9. NTP, TZ


===========================================================

9.1>Q: Как правильно выставить timezone и синхронизировать время на киске

>A: (Vasily Ivanov)

вот пpимеp для Омска (UTC+6):
clock timezone OMT 6
clock summer-time OMTS recurring last Sun Mar 3:00 last Sun Oct 3:00

И еще:

1) часы устанавливаются, если только на тайм-сеpвеpе вpемя выставлено
коppектно, если же он находится в пpоцессе подведения своих часов, то циска
будет ждать окончания этого пpоцесса.

2) выставление часов пpоисходит не сpазу, а 5-10 минут. Подожди немного.

>A: (Alec Voropay) для Москвы

clock timezone MSK 3
clock summer-time MSD recurring last Sun Mar 2:00 last Sun Oct 3:00

9.2>Q: А как заставить киску синхронизировать время с каким-либо сервером и быть
самой ntp-сервером ?

>A: (Maksim Malchuk)

ntp source interfaceX
ntp master 3
ntp server aaa.bbb.ccc.ddd
ntp server eee.fff.ggg.hhh
ntp server iii.jjj.kkk.lll

P.S. (Alex Bakhtin)

ntp master 3 - это значит, что если пpопадут все ntp servers, котоpые пpописаны в конфиге,
киска будет считать себя сеpвеpом со stratum 3.

P.P.S. (Sergey Romantsov)

Ntp master - указывает, что router является одним из источников "точного"
времени, поэтому если необходимо чтобы он раздавал время другим устройствам,
необходимо его объявить как master с соответствующей величиной stratum.
stratum=1 : это атомные часы
stratum=2 : усторйство непосредственно подключено к атомным часам
stratum=3 : устройство связано с устройством ( см выше)
и так далее... до 15.
stratum=16 : устройство не является авторизованным источником времени.

===========================================================

10. NAT


===========================================================

10.1>Q: Можно как-нибудь сделать на киске 2511 с
IOS 11.3, чтобы все соединения по FTP, WWW с локальной сетки (имеющей public
интернет адреса)
устанавливались с адреса скажем 62.244.63.114, это связано с тем, что при
установлении соединения с этого адреса пакеты возвращаются через спутник.


>A: dimka@spy.ints.net (Dmitry Aksyonov)
точно для этого случая:

[..]
ip nat inside source list 111 interface Loopback4 overload
[..]
interface Loopback4
ip address 62.244.63.162 255.255.255.255
[..]
interface Ethernet0
ip nat inside
[..]
interface Serial0
ip nat outside
[..]
access-list 111 permit tcp 194.44.58.0 0.0.0.255 any eq ftp
access-list 111 permit tcp 194.44.58.0 0.0.0.255 any eq ftp-data
access-list 111 permit tcp 194.44.58.0 0.0.0.255 any eq www

остальные порты по вкусу ;)

посмотреть что получается - sh ip nat tra

10.2>Q: Есть две сетки: 192.Х.Х.0 и 193.Х.Х.80/28 и киска 2509
Hужно включить NAT, чтобы юзера из 192... сетки ходили в 193... .
Интересует кусок(ки) конфига киски, только работающий и подробный.

>A: (Eugene A. Rakhmatulin)

Hиже кусок реально работающего конфига (изменены только IP): есть сеть
193.193.193.224/29, которую дал провайдер и внутренняя сеть 192.168.1.0/24.
Hа трансляцию всех внутренних адресов, кроме 192.168.1.2 выделяется адрес
193.193.193.227, а на 192.168.1.2 записывается статическая трансляция адреса
193.193.193.230.

cs-2501# show running-config

[ .. ]

ip nat pool one 193.193.193.227 193.193.193.227 netmask 255.255.255.248
ip nat inside source list 1 pool one overload
ip nat inside source static 192.168.1.2 193.193.193.230

[ .. ]
!
interface Ethernet0
ip address 192.168.1.1 255.255.255.0
ip broadcast-address 192.168.1.255
ip nat inside

[ .. ]
!
interface Serial1
description Link to Provider
ip address 193.193.193.226 255.255.255.248
ip nat outside

[ .. ]

access-list 1 permit 192.168.1.0 0.0.0.255

10.3>Q: Провайдер выдал один реальный адрес (вместо бывшего ранее блока адресов)
и нужно в течении переходного периода (3 дня) оперативно перенастроить
Cisco 2509 для маршрутизации в следующей конфигурации:
Ethernet - соединяется напрямую единственным реальным адресом с
маршрутизатором провайдера;
Serial1 - смотрит (через выделенку) в одну физическую сеть(~20
компьютеров+программный маршрутизатор);
Serial2 - смотрит в другую(~10 компьютеров).

>A: (Ilya Geldiev)

ip nat translation timeout 1800
ip nat translation tcp-timeout 1800
ip nat translation udp-timeout 150
ip nat inside source list 101 interface Async8 overload
' ip nat inside source static tcp {Ethernet0-ip} 80 {Async8-ip} 80
extendable
' не более чем проброс веб-запросов во внутреннюю ЛАH
!
interface Ethernet0
description connected to internal LAN
ip nat inside
!
interface Async8
description connected to ISP
ip nat outside
!
interface Async9
description connected to internal Remote Access
dialer-group 1
!
interface Group-Async1
description connected to Dial-inPCs_mobile
ip nat inside
!

10.4>Q: Впустить обратно с Inet-а в локалку. Скажем для почты -- мой
цисковский адрес с портом 25 пробросить в локальный сегмент на мой почтовик ?

>A: CoreDumped@CoreDumped.null.ru

ip nat inside source static tcp int.ter.nsl.addr 25 ext.ter.nal.addr 25
extendable no-alias

===========================================================

11. Telco, ISDN


===========================================================

[20.10.2000] 11.0> Разборки с ISDN Layer 1,2.

Компиляция нескольких вопросов и ответов.

(Gosha Zafievsky)

Вообщем все смотреть по доке.
Cisco по умолчанию встает как user-side device.

Если Layer 1 not UP - проверить _досконально_ все кабели и соединения,
смотреть sh controller e1 XX на предмет наличия ошибок.
Ошибки могут возникать только в случае непопадания в установки
crc/no-crc, другие варианты встречаются крайне редко. Как только ошибки на
контроллере пропадут, Layer 1 обычно становится ACTIVE.

Выставить правильно isdn switch-type
Если Layer 2 TEI_ASSIGNED - выставить правильно network side,
должно быть MULTIPLE_FRAME_ESTABLISHED, не верьте на слово телефонистам :)

Если с другой стороны тупое железо, не умеющее
NETWORK-SIDE, поставить IOS 12.1.3T - там появилось
isdn protocol-emulate network

Как только Layer 2 MULTIPLE_FRAME_ESTABLISHED - все должно работать.
В клинических случаях не поднятия Layer 2 -
deb isdn q931 на бочку ближайшему гуру.

11.1>Q: AS5300 и Ericsson MD-110.

>A: (Aleksey Fedorov)

У меня AS5300 подключена к Ericsson AXE-10 по r2-digital.
В моем случае чтобы все было хорошо нужно сказать:
cas-custom 0
debounce-time 10
seizure-ack-time 10
country itu use-defaults

>A: (DY) работает вот так, но со станцией долго мучались.

controller E1 1
clock source line secondary 1
pri-group timeslots 1-31
!
interface Serial1:15
isdn switch-type primary-net5
isdn incoming-voice modem
isdn bchan-number-order ascending
isdn sending-complete
!

11.2>Q: 2610 никак не хочет звонить на Definity, при звонке
с Definity BRI поднимается и сразу падает.

>A: (Gosha Zafievsky)

Hа киске isdn switch-type basic-net3,
в Definity этот BRI надо описать как
data module или trunk, но не как WCBRI station.
Country protocol : etsi.

11.3>Q: isdn caller number, AS5300, Alcatel S12, ISDN PRI.

>A: "Victor L. Belov"

interface Serial0:15
isdn switch-type primary-net5
isdn protocol-emulate user
isdn incoming-voice modem
isdn sending-complete

и они приходят.
ios 12.0.4-XH

[13.06.2000] 11.4>Q: Имеем 3640 - E1R2 - AXE 10.

>A: (Vladimir A. Golovnin)

> controller E1 0/0
> framing NO-CRC4
> ds0-group 0 timeslots 1-15,17-31 type r2-digital r2-compelled
> cas-custom 0
> debounce-time 10
> seizure-ack-time 10
> dnis-digits min 1 max 2
> ani-digits min 3 max 6
> description First E1 line : connected to port 1

У меня настроено так:
controller E1 0/0
framing NO-CRC4
ds0-group 0 timeslots 1-15,17-31 type r2-digital r2-compelled
cas-custom 0
country easteurope
debounce-time 10
release-guard-time 150
seizure-ack-time 2
dnis-digits min 1 max 3
ani-digits min 0 max 3
answer-guard-time 40
ani-timeout 1

Вроде работае, но кривенько как то. Работало еще кривее когда
seizure-ack-time = 8, а при 10 и выше вооще трубку не брала.

P.S. (Gosha Zafievsky)

VG> country easteurope

Вот с этим - поаккуpатнее. Я бы для начала поставил country itu
use-defaults. R2MFC в Cisco - вещь в себе...

11.5>Q: Возникла следующая необходимость - связать по ISDN две железки - Zyxel
Prestige-100 (это ISDN-роутер такой) и Cisco 2522CH.
Совершенно не получается это сделать. Звонить должен Zyxel этот самый,
ну так он звонит, удалось даже добиться authentification по протоколу
pap, но протокол не поднимается. Я так понимаю протокол дожен подняться
на BRI0:1 или BRI0:2, а она не дает их конфигурить по отдельности, а
если сказать что-то про LeasedLine - то не отвечает на звонки.

Как и что надо ей сказать, чтобы получить от этого Zyxelя 64 или 128 К
по ДиалАп - ISDN ?

>A: (Mark Gorovenko)

Протокол будет подниматься на Virtual-Access
Кусочек из подобного конфига приведу. В нем много лишнего, было сделано для
того чтобы можно было звонить в разные места, это можно выкинуть.

interface Virtual-Template1
ip unnumbered Ethernet0
no ip directed-broadcast
autodetect encapsulation ppp
peer default ip address pool default
no fair-queue
ppp authentication chap pap callin
ppp multilink
!
interface BRI0
ip unnumbered Ethernet0
encapsulation ppp
no ip route-cache
bandwidth 128
dialer pool-member 1
autodetect encapsulation ppp
isdn incoming-voice modem 64
isdn answer1 xxx
isdn answer2 xxx
isdn calling-number xxx