Newsgroup: it.comp.reti.cisco
Titolo: snmp, mrtg, cisco 827 e info varie

Ciao a tutti,
ho finalmente configurato un cisco 827 per connetermi con l'adsl
(tin.it-alice) in ppoatm. La configurazione sembra funzionare decentemente,
adesso sto piano piano, ottimizzandola per adeguarla alle mie esigenze. Oggi
ho abilitato l'snmp per poter utilizzare mrtg cosě da fare dei grafici per
l'uso della linea. Leggendo sul sito cisco e nei vecchi post ho capito che
l'abilitazione avviene con il comando "snmp-server community public RO" da
quello che ho capito dopo RO posso specifichare un'access list per abilitare
solo un determinato host a ricevere le trap snmp. Il fatto č che non ho ben
capito come faccio ad indicare un host specifico (nel mio caso 192.168.1.3).
Penso che la cosa da fare sia la seguente:
access-list 1 permit host 192.168.1.3
snmp-server community public RO 1
Leggendo le faq del gruppo, mi pare che tutto sia ok, ma siccome perň non
posso provare la validitŕ dell'acl, vorrei sapere se potete indicarmi se
questa č giusta o no. Deve permettere la lettura della trap snmp solo
all'host 192.168.1.3.
Sto cercando poi di bloccare i ping dall'esterno, ma la acl non sembra
funzionare, dove sbaglio ?
access-list 101 permit icmp any any echo-reply
access-list 101 deny   icmp any any echo
E...ultima domanda a cui non riesco a trovare risposta, ne sul sito cisco,
ne sulle faq, ne nei vecchi post.....come faccio a fare il forwarding di
tutte le porte verso il firewall (192.168.2.2, il router ha 192.168.2.1)?
Spero che mi possiate chiarire le idee,
ecco la mai configurazione attuale, magari c'č qualcosa che non va:
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname cisco 827
!
enable secret passw.
enable password passw!
mmi polling-interval 60
mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip name-server 212.216.172.62
ip name-server 212.216.112.112
!
!
!
!
interface Ethernet0
 ip address 192.168.2.1 255.255.255.0
 ip nat inside
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 0/16 ilmi
 !
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 ip tcp header-compression passive
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname user
 ppp chap password 0 password
 ppp pap sent-username user password 0 password
!
ip nat inside source list 101 interface Dialer0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
!
!
access-list 1 permit 192.168.1.3
access-list 99 permit 192.168.2.0 0.0.0.255
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
access-list 101 permit icmp any any echo-reply
access-list 101 deny   icmp any any echo
dialer-list 1 protocol ip permit
no cdp run
snmp-server community public RO
snmp-server manager
!
line con 0
 exec-timeout 120 0
 stopbits 1
line vty 0 4
 access-class 99 in
 exec-timeout 120 0
 password +++mypass+++
 login
 length 0
!
scheduler max-task-time 5000
end

 interface Dialer0
ip access-g 101
un mayhem che poi molte altre le cose da fare sarebbero[1]
[1] dovrei avere messo un pdf o sulle faq o su spippolatori su come
aumentare la sicurezza del router ...
-- 
 Everyone is gay, with someone's else ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


Ecco la nuova conf, appena finita e provata, funziona tutto, tranne le
access list sul Dialer1, appena le abilito mi si blocca tutto. Sulle faq ho
visto il paragrafo relativo alla protezione, ma sincermante non ho ben
capito come configurare le acl e se mettere in in o in out...sarà l'ora
(4.34...del mattino !).
Sai per caso darmi un aiuto anche circa i blocchi che oggi ho avuto (c'è un
post poco sopra), allego anche uno show version, non si sa mai.
Ciao e grazie
!
version 12.2
no service pad
service timestamps debug datetime
service timestamps log datetime
service password-encryption
no service dhcp
!
hostname prova
!
enable secret pass.
!
mmi polling-interval 60
mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip name-server 212.216.172.62
ip name-server 212.216.112.112
!
!
!
!
interface Ethernet0
 ip address 192.168.2.1 255.255.255.0
 ip access-group 111 in
 ip nat inside
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer1
 ip address negotiated
 ip nat outside
 encapsulation ppp
 ip tcp header-compression passive
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname user
 ppp chap password pass
 ppp pap sent-username user password pass
!
ip nat inside source list 101 interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
!
!
access-list 1 permit 192.168.2.20
access-list 10 permit 192.168.2.20
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!
! access list per il blocco ping che però bloccano tutto....
!
access-list 101 permit icmp any any echo-reply
access-list 101 permit icmp any any traceroute
access-list 101 deny   icmp any any echo
!
! fine access list blocco ping
!
access-list 111 permit ip 192.168.2.0 0.0.0.255 any
dialer-list 1 protocol ip permit
no cdp run
snmp-server community public RO 1
snmp-server manager
!
line con 0
 exec-timeout 120 0
 stopbits 1
line vty 0 4
 access-class 10 in
 exec-timeout 120 0
 password pass
 login
 length 0
!
scheduler max-task-time 5000
end
############################################### show version #####
Cisco Internetwork Operating System Software
IOS (tm) C820 Software (C820-Y6-M), Version 12.2(8)T5,  RELEASE SOFTWARE
(fc1)
TAC Support: 
http://www.cisco.com/tac
Copyright (c) 1986-2002 by cisco Systems, Inc.
Compiled Fri 21-Jun-02 15:10 by ccai
Image text-base: 0x80013170, data-base: 0x806A1944
ROM: System Bootstrap, Version 12.2(4r)XM2, RELEASE SOFTWARE (fc1)
prova uptime is 31 minutes
System returned to ROM by reload
System image file is "flash:c820-y6-mz.122-8.T5.bin"
CISCO C827 (MPC855T) processor (revision 0x501) with 15360K/1024K bytes of
memor
y.
Processor board ID JAD04430OTW (1447528807), with hardware revision 0000
CPU rev number 5
Bridging software.
1 Ethernet/IEEE 802.3 interface(s)
1 ATM network interface(s)
128K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)
2048K bytes of processor board Web flash (Read/Write)
Configuration register is 0x2102

 System image file is "flash:c820-y6-mz.122-8.T5.bin"
l'immagine e' una delle mie preferite, e sembra ip plus, ma non ci
giurerei. se vuoi giocare pesante ed hai un cco metti una ip plus frw aes
ci fai davvero quel che vuoi poi
un mayhem che mancano ancora poche cose prima di dormire 


 riscriverei tutto mettendo il dialer 1 e non 0
Perche'?
Ci ho pensato ma non riesco a capire il perche'?
Ciao. Federico.

 un mayhem che mancano ancora poche cose prima di dormire
arghhhh sei un vampiro !!
Ciao e grazie


Come detto prima, provato a controllare ma non so come riconoscerla. Per il
cco, no non ce l'ho. Il router l'ho preso usato.
Ciao


trvoato, è un IP base,
http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122relnt/xprn122t/122tfeat.htm#45849

 Ci ho pensato ma non riesco a capire il perche'?
lessi una volta su un doc sul sito cisco di non usare mai il dialer0, e vi
era spiegato anche il preche' non ricordo il motivo e non trovo piu' il
doc. tuttavia in diversi casi (anche sul ng) l'utilizzo di d1 al posto di
d0 ha risolto problemi apparentemente inspiegabili....
un mayhem ed i dogmi :(


 arghhhh sei un vampiro !!
c'e' chi ha detto anche questo.
altri dicono che io sia cresciuto in un manicomio criminale.
di fatto soffro di insonnia a giorni, narcolessia altri.
un mayhem e le citazioni :)


 un mayhem ed i dogmi :(
Mi incuriosiva perche' nella conf del mio 827 ho usato dia0, mi sembrava
piu' uniforme con le altre interfacce: eth0, atm0, ecc...
Se mi dici cosi' mi adeguo!
Grazie e ciao.
Federico.


idem questi, non li prende sempre ios base ?


Ok, mi sono letto un pò di roba sulle acl, poi ho messo le acl relative
all'anti spoofing etc. (grazie alle faq come al solito).
Non capisco però una cosa, per definire il nat io uso l'acl 101 (ip nat
inside source list 101 interface Dialer1 overload). Quindi ho provato a
cambiare di nome alle altre access list che non servono per il nat (tutte
tranne la prima:
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
) e a chiamarle 110, cambiando di conseguenza  "ip access-group 101 in" a "
ip access-group 110 in". Così facendo però il la rete funziona, ma le access
list non mi pare vengano attivate, in quato il ping da esterno, per esempio
funziona ancora.
Quale è l'errore ?
Questa è la situazione che funziona:
interface Dialer1
 ip address negotiated
 ip access-group 101 in
....altri comandi
ip nat inside source list 101 interface Dialer1 overload
!
!access list
!
! permette il nat
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!permetto ping e traceroute dalla lan
access-list 101 permit icmp any any echo-reply
access-list 101 permit icmp any any traceroute
!nego ping da esterno
access-list 101 deny   icmp any any echo
! blocco i pacchetti frammentati
access-list 101 deny   tcp any 192.168.2.0 0.0.0.255 fragments
access-list 101 deny   udp any 192.168.2.0 0.0.0.255 fragments
access-list 101 deny   icmp any 192.168.2.0 0.0.0.255 fragments
!anti spoof
access-list 101 deny   ip host 0.0.0.0 any
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any
access-list 101 deny   ip 224.0.0.0 31.255.255.255 any
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any
access-list 101 deny   ip 192.0.2.0 0.0.0.255 any
access-list 101 permit ip any any
Questa quella che dovrebbe (a mio parere), ma che non va:
interface Dialer1
 ip address negotiated
 ip access-group 110 in
....altri comandi
ip nat inside source list 101 interface Dialer1 overload
!
!access list
!
! permette il nat
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!permetto ping e traceroute dalla lan
access-list 110 permit icmp any any echo-reply
access-list 110 permit icmp any any traceroute
!nego ping da esterno
access-list 110 deny   icmp any any echo
! blocco i pacchetti frammentati
access-list 110 deny   tcp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   udp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   icmp any 192.168.2.0 0.0.0.255 fragments
!anti spoof
access-list 110 deny   ip host 0.0.0.0 any
access-list 110 deny   ip 127.0.0.0 0.255.255.255 any
access-list 110 deny   ip 224.0.0.0 31.255.255.255 any
access-list 110 deny   ip 10.0.0.0 0.255.255.255 any
access-list 110 deny   ip 172.16.0.0 0.15.255.255 any
access-list 110 deny   ip 192.168.0.0 0.0.255.255 any
access-list 110 deny   ip 192.0.2.0 0.0.0.255 any
access-list 110 permit ip any any

 idem questi, non li prende sempre ios base ?
no ip mroute-cache serve ip plus.
per il resto, hai provato ip ? ?
un mayhem questo e'l'ultimo bicchiere lo giro



beh, mi sono letto un pò di cose, ti incollo quello che ho scritto
nell'altro msg:
Ok, mi sono letto un pò di roba sulle acl, poi ho messo le acl relative
all'anti spoofing etc. (grazie alle faq come al solito).
Non capisco però una cosa, per definire il nat io uso l'acl 101 (ip nat
inside source list 101 interface Dialer1 overload). Quindi ho provato a
cambiare di nome alle altre access list che non servono per il nat (tutte
tranne la prima:
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
) e a chiamarle 110, cambiando di conseguenza  "ip access-group 101 in" a "
ip access-group 110 in". Così facendo però il la rete funziona, ma le access
list non mi pare vengano attivate, in quato il ping da esterno, per esempio
funziona ancora.
Quale è l'errore ?
Questa è la situazione che funziona:
interface Dialer1
 ip address negotiated
 ip access-group 101 in
....altri comandi
ip nat inside source list 101 interface Dialer1 overload
!
!access list
!
! permette il nat
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!permetto ping e traceroute dalla lan
access-list 101 permit icmp any any echo-reply
access-list 101 permit icmp any any traceroute
!nego ping da esterno
access-list 101 deny   icmp any any echo
! blocco i pacchetti frammentati
access-list 101 deny   tcp any 192.168.2.0 0.0.0.255 fragments
access-list 101 deny   udp any 192.168.2.0 0.0.0.255 fragments
access-list 101 deny   icmp any 192.168.2.0 0.0.0.255 fragments
!anti spoof
access-list 101 deny   ip host 0.0.0.0 any
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any
access-list 101 deny   ip 224.0.0.0 31.255.255.255 any
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any
access-list 101 deny   ip 192.0.2.0 0.0.0.255 any
access-list 101 permit ip any any
Questa quella che dovrebbe funzionare(a mio parere), ma che non va:
interface Dialer1
 ip address negotiated
 ip access-group 110 in
....altri comandi
ip nat inside source list 101 interface Dialer1 overload
!
!access list
!
! permette il nat
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!permetto ping e traceroute dalla lan
access-list 110 permit icmp any any echo-reply
access-list 110 permit icmp any any traceroute
!nego ping da esterno
access-list 110 deny   icmp any any echo
! blocco i pacchetti frammentati
access-list 110 deny   tcp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   udp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   icmp any 192.168.2.0 0.0.0.255 fragments
!anti spoof
access-list 110 deny   ip host 0.0.0.0 any
access-list 110 deny   ip 127.0.0.0 0.255.255.255 any
access-list 110 deny   ip 224.0.0.0 31.255.255.255 any
access-list 110 deny   ip 10.0.0.0 0.255.255.255 any
access-list 110 deny   ip 172.16.0.0 0.15.255.255 any
access-list 110 deny   ip 192.168.0.0 0.0.255.255 any
access-list 110 deny   ip 192.0.2.0 0.0.0.255 any
access-list 110 permit ip any any
Ciao e grazie ancora

 nell'altro msg:
ho lasciato unread l'altro messaggio.
lo rispondo domani quando posso fare due pensieri coerenti
contemporaneamnete. stasera non riesco neppure a leggere ;P
un mayhem che si cura troppo.


 contemporaneamnete. stasera non riesco neppure a leggere ;P
ok :P
stanotte il router è riandato out of memory !!!! penso che sia a colpa di un
emule aperto su un pc, possibile ? Risolvo aumentando la memoria ?
Ciao


Mayhem mi dai uno sguardo appena puoi ?

 Mayhem mi dai uno sguardo appena puoi ?
tieni:
www.net-art.it/addartpublic/
 Sguardo.jpg
un mayhem di fretta ;P



doh !!

 access-list 110 permit ip any any
vista cosi' direi che il problema sta' nell'ultima riga.
dipende dall'ios che hai: se fai la access-list 110 senza la riga di
troppo e la 101 come permit ip any any funziona?
secondo me si: dipende da come il router gestisce il nat, se prima o dopo
il routing. e c'e' una certa versione di ios in cui questa cosa cambia.
quindi uno show access-l ti aiuta a capire se vengono mathate o meno
un mayhem e la trroppa gente intorno


 troppo e la 101 come permit ip any any funziona?
allora, se ho capito come funziona il nat sul cisco, la 101 (prima riga) mi
permette di far nattare la rete 192.168.2.0 e la 110 poi applicata sul
dialer1 in ingresso mi dovrebbe bloccare ping etc, giusto ?
Quindi in definita una cosa del genere ?
interface Dialer1
 ip address negotiated
 ip access-group 110 in
....altri comandi
ip nat inside source list 101 interface Dialer1 overload
!
!access list
!
! permette il nat
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
!
access-list 110 deny   tcp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   udp any 192.168.2.0 0.0.0.255 fragments
access-list 110 deny   icmp any 192.168.2.0 0.0.0.255 fragments
!anti spoof
access-list 110 deny   ip host 0.0.0.0 any
access-list 110 deny   ip 127.0.0.0 0.255.255.255 any
access-list 110 deny   ip 224.0.0.0 31.255.255.255 any
access-list 110 deny   ip 10.0.0.0 0.255.255.255 any
access-list 110 deny   ip 172.16.0.0 0.15.255.255 any
access-list 110 deny   ip 192.168.0.0 0.0.255.255 any
access-list 110 deny   ip 192.0.2.0 0.0.0.255 any
access-list 110 permit ip any any

 access-list 110 permit ip any any
cosi' ti funziona? mettendo un "access-l 101 perm ip any any" cambia
qualcosa se non funzionava? sho access-l 101 cosa dice? sho access-l 110
cosa dice?
deb ip pack cosa dice? "logg mon warn / loog on / term mon" che pacchetti
vengono rifiutati? 
un mayhem ed il troubleshooting


 un mayhem ed il troubleshooting
brutta parola, ma utile :D


allora, abilito il debug, e poi metto a video con "term mon", sembra che ci
siano solo pacchetti in forward.
per quanto riguarda gli altri comandi "logg mon warn / loog on " non li
prende, o sbaglio qualcosa io.

 prende, o sbaglio qualcosa io.
# conf t 
logg mon warn
logg on
^Z
# term mon
# deb ip access-l 112
un mayhem che figata amavisd



ok, abilitati, dopo circa 15min, nessun messaggio a schermo, quindi presumo
nessun problema, visto che i msg dovevano essere dei warning....giusto ?
Ci sono altre acl "utili" da mettere ?
Avendo a disposizione un ios con firewall, è conveniente installarlo o no ?
Per la configurazione poi cambierebbe molto volendo abilitare il firewall ?

 warning....giusto ?
se vuoi vedere il debug forse serve "logg mon deb"
un mayhem e le prove
