Cisco-COPP-ASR1001 - История изменений

Sirmax: /* Port Knock */

2024-07-24T15:23:26Z

Port Knock

← Предыдущая		Версия 15:23, 24 июля 2024
Строка 219:		Строка 219:

	{{note\|		{{note\|
−	В зависимости от того как долго ждать (wait) может понадобиться добавить <code>maxrun <Время в секундах>	+	В зависимости от того как долго ждать (wait) может понадобиться добавить <code>maxrun <Время в секундах></code>
	<BR>		<BR>
	<PRE>		<PRE>

Sirmax: /* Port Knock */

2024-07-24T15:23:17Z

Port Knock

@@ Строка 217: / Строка 217: @@
 exit
 </PRE>
 <PRE>

Sirmax: /* Port Knock */

2024-07-24T15:15:35Z

Port Knock

← Предыдущая		Версия 15:15, 24 июля 2024
Строка 251:		Строка 251:
	!		!
	action 006.0 syslog msg "Added $ADDR to the $KNOCK_ACL_TELNET ACL"		action 006.0 syslog msg "Added $ADDR to the $KNOCK_ACL_TELNET ACL"
−	action 006.1 syslog msg "Waiting for 20 sec before deleting rules"	+	action 006.1 syslog msg "Waiting for 15 sec before deleting rules"
	!		!
−	action 007.0 wait 20	+	action 007.0 wait 15
	!		!
	action 008.0 syslog msg "Wait finished"		action 008.0 syslog msg "Wait finished"

Sirmax: /* Port Knock */

2024-07-24T14:27:58Z

Port Knock

← Предыдущая		Версия 14:27, 24 июля 2024
Строка 223:		Строка 223:
	no event manager applet KNOCK_TELNET_SSH		no event manager applet KNOCK_TELNET_SSH
	event manager applet KNOCK_TELNET_SSH		event manager applet KNOCK_TELNET_SSH
−	event syslog pattern "%FMANFP-6-IPACCESSLOGP: SIP0: fman_fp_image: list KNOCK_TCP_32022 permitted tcp *"	+	event syslog pattern "%FMANFP-6-IPACCESSLOGP: SIP0: fman_fp_image: list KNOCK_TCP_32022 permitted tcp *"
	!		!
	action 001.0 regexp "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" "$_syslog_msg" ADDR		action 001.0 regexp "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" "$_syslog_msg" ADDR
Строка 276:		Строка 276:
	!		!
	action 012.0 syslog msg "Removed $ADDR from the $KNOCK_ACL_TELNET ACL"		action 012.0 syslog msg "Removed $ADDR from the $KNOCK_ACL_TELNET ACL"
−	action 012.1 cli command "~~end~~"	+	action 012.1 cli command "exit"
	exit		exit

Sirmax: /* Port Knock */

2024-07-24T14:19:23Z

Port Knock

← Предыдущая		Версия 14:19, 24 июля 2024
Строка 219:		Строка 219:

	<PRE>		<PRE>
−	event manager environment KNOCK_ACL_SSH ACCESS_LIST_COPP_SSH	+	event manager environment KNOCK_ACL_SSH ACCESS_LIST_COPP_SSH
−	event manager environment KNOCK_ACL_TELNET ACCESS_LIST_COPP_TELNET	+	event manager environment KNOCK_ACL_TELNET ACCESS_LIST_COPP_TELNET
	no event manager applet KNOCK_TELNET_SSH		no event manager applet KNOCK_TELNET_SSH
	event manager applet KNOCK_TELNET_SSH		event manager applet KNOCK_TELNET_SSH
Строка 276:		Строка 276:
	!		!
	action 012.0 syslog msg "Removed $ADDR from the $KNOCK_ACL_TELNET ACL"		action 012.0 syslog msg "Removed $ADDR from the $KNOCK_ACL_TELNET ACL"
		+	action 012.1 cli command "end"
	exit		exit

	</PRE>		</PRE>
−

	=Копия заметки про CoPP=		=Копия заметки про CoPP=

Sirmax в 14:13, 24 июля 2024

2024-07-24T14:13:09Z

← Предыдущая		Версия 14:13, 24 июля 2024
Строка 4:		Строка 4:
	[[Категория:CoPP]]		[[Категория:CoPP]]
	[[Категория:Port Knocking]]		[[Категория:Port Knocking]]
		+	[[Категория:Cisco Embedded Event Manager]]

Sirmax: /* Копия заметки про CoPP */

2024-07-02T10:36:29Z

Копия заметки про CoPP

← Предыдущая		Версия 10:36, 2 июля 2024
Строка 281:		Строка 281:

	=Копия заметки про CoPP=		=Копия заметки про CoPP=
−	Это копия с хабра	+	Это копия с хабра - может быть полезна так как информации довольно мало

	Как обрабытывается CEF-exception трафик внутри cppr-политики в Cisco IOS-XE?<BR>		Как обрабытывается CEF-exception трафик внутри cppr-политики в Cisco IOS-XE?<BR>

Sirmax: /* Копия заметки про CoPP */

2024-07-02T10:36:06Z

Копия заметки про CoPP

← Предыдущая		Версия 10:36, 2 июля 2024
Строка 322:		Строка 322:
	permit udp any any		permit udp any any
	</PRE>		</PRE>
		+
	<PRE>		<PRE>
	ip access-list extended RE_dis_ip		ip access-list extended RE_dis_ip
Строка 328:		Строка 329:
	permit ip any any		permit ip any any
	</PRE>		</PRE>
		+
	<PRE>		<PRE>
	! дискард класс		! дискард класс
Строка 349:		Строка 351:
	Итак, симтомы проблемы я устранил.		Итак, симтомы проблемы я устранил.
	Изначально ACL для отбора было таким:		Изначально ACL для отбора было таким:
		+	<PRE>
	!		!
	permit udp object-group ext_hosts range 49152 65535 object-group int_hosts range 3784 3785		permit udp object-group ext_hosts range 49152 65535 object-group int_hosts range 3784 3785
	!		!
		+	</PRE>
	Собственно, возникла идея поиграть с условиями и я убрал ограничение по адресам. ACL превратился в:		Собственно, возникла идея поиграть с условиями и я убрал ограничение по адресам. ACL превратился в:
	!		!
Строка 361:		Строка 365:

	UPD: Весь сыр-бор возник из-за того, что внутри ACL для cef-exception трафика не работают object-groups. Для остального host-inbound трафика они работают.		UPD: Весь сыр-бор возник из-за того, что внутри ACL для cef-exception трафика не работают object-groups. Для остального host-inbound трафика они работают.
−	Если вместо object-groups напрямую писать ip-адреса, то все работает как надо.	+	Если вместо <code>object-groups</code> напрямую писать ip-адреса, то все работает как надо.

Sirmax в 10:29, 2 июля 2024

2024-07-02T10:29:33Z

← Предыдущая		Версия 10:29, 2 июля 2024
Строка 278:		Строка 278:

	</PRE>		</PRE>
		+
		+
		+	=Копия заметки про CoPP=
		+	Это копия с хабра
		+
		+	Как обрабытывается CEF-exception трафик внутри cppr-политики в Cisco IOS-XE?<BR>
		+	Написал cppr-политики для роутеров Cisco на IOS и IOS-XE.
		+	<BR>
		+	И столкнулся со следующей проблемой: на IOS-XE железе нет control-plane cef-exception режима,
		+	весь трафик на коробку обрабатывается внутри единой политики.
		+	И в этой политике никак не удается поймать BFD-пакеты..
		+	<BR>
		+	По счетчикам вижу, что вcе BFD-пакеты оседают на итоговом дискардном правиле.
		+	В стандартном IOS BFD по-идее не попадает в cef и обрабатывается внутри control-plane cef-exception;
		+	что делать в случае IOS-XE не пойму - странно, что трафик не попадает в нужный класс, но при этом внутри фильтра валится не в class-default,
		+	а именно в discard-all-UDP правило.
		+	Железо: ASR1002
		+	Версия IOS-XE ROMMON: 153-1r
		+	Версия IOS-XE: 03.14.00.S
		+	Версия IOS внутри: 15.5(1)S
		+
		+	Правило отбора для BFD (упрощенный конфиг):
		+	<PRE>
		+	ip access-list extended RE_bfd
		+	permit udp object-group ext_hosts range 49152 65535 object-group int_hosts range 3784 3785
		+	! далее класс, куда BFD входит:
		+	</PRE>
		+
		+	<PRE>
		+	class-map match-any RE_routing
		+	match access-group name RE_bfd
		+	! дискард правила
		+	</PRE>
		+	<PRE>
		+	ip access-list extended RE_dis_tcp
		+	permit tcp any any fragments
		+	permit tcp any any
		+	</PRE>
		+
		+	<PRE>
		+	ip access-list extended RE_dis_udp
		+	permit udp any any fragments
		+	permit udp any any
		+	</PRE>
		+	<PRE>
		+	ip access-list extended RE_dis_ip
		+	permit icmp any any fragments
		+	permit ip any any fragments
		+	permit ip any any
		+	</PRE>
		+	<PRE>
		+	! дискард класс
		+	class-map match-any RE_dis_traffic
		+	description RE_disable_traffic
		+	match access-group name RE_dis_tcp
		+	match access-group name RE_dis_udp
		+	match access-group name RE_dis_ip
		+	! и все это в cppr-политике:
		+	policy-map RE_cppr
		+	class RE_routing
		+	class RE_dis_traffic
		+	police rate 1 pps
		+	! включаем
		+	control-plane
		+	service-policy input RE_cppr
		+	!
		+	</PRE>
		+	UPD: С LDP трафиком аналогичная проблема, поэтому склонен считать, что она характерна для всех CEF-exception пакетов внутри коробки.
		+
		+	Итак, симтомы проблемы я устранил.
		+	Изначально ACL для отбора было таким:
		+	!
		+	permit udp object-group ext_hosts range 49152 65535 object-group int_hosts range 3784 3785
		+	!
		+	Собственно, возникла идея поиграть с условиями и я убрал ограничение по адресам. ACL превратился в:
		+	!
		+	<PRE>
		+	permit udp any range 49152 65535 any range 3784 3785
		+	</PRE>
		+	!
		+	И все заработало! Но вопрос все равно открыт - устранился симптом, почему ASR не обрабатывает условие по ip-заголовкам - непонятно. Баг или особенность обработки host-inbound трафика на IOS-XE?
		+
		+	UPD: Весь сыр-бор возник из-за того, что внутри ACL для cef-exception трафика не работают object-groups. Для остального host-inbound трафика они работают.
		+	Если вместо object-groups напрямую писать ip-адреса, то все работает как надо.

Sirmax: /* Ссылки и примеры */

2024-07-02T10:23:34Z

Ссылки и примеры

← Предыдущая		Версия 10:23, 2 июля 2024
Строка 17:		Строка 17:
	=Ссылки и примеры=		=Ссылки и примеры=
	* на руском но не релевантно ASR1000: http://ciscomaster.ru/content/bezopasnost-nachalo-13-bezopasnost-i-control-plane		* на руском но не релевантно ASR1000: http://ciscomaster.ru/content/bezopasnost-nachalo-13-bezopasnost-i-control-plane
		+	* еще на хабре https://qna.habr.com/q/244119
	* https://www.cisco.com/c/en/us/td/docs/ios/ios_xe/sec_control_plane/configuration/guide/2_xe/cps_xe_book/ctrl_plane_policng_xe.html		* https://www.cisco.com/c/en/us/td/docs/ios/ios_xe/sec_control_plane/configuration/guide/2_xe/cps_xe_book/ctrl_plane_policng_xe.html
	* https://freenetworktutorials.com/control-plane-policing-copp-configuration-in-cisco-ios/		* https://freenetworktutorials.com/control-plane-policing-copp-configuration-in-cisco-ios/
		+
	=Очистка настроек <code>control-plane</code>=		=Очистка настроек <code>control-plane</code>=
	Перед настройкой удалить существующие настройки иначе новая политика не назначается		Перед настройкой удалить существующие настройки иначе новая политика не назначается