Cisco on Aimless

ShellShock（ネットワーク機器編）

Fri, 26 Sep 2014 00:00:00 +0000

はじめに

ShellShockに関して、私の業務と関わりのあるネットワーク機器ベンダのSecurity Advisoryが揃ってきたので、現時点での情報を簡単にまとめます。

Cisco IOS XRにおけるBGPのデフォルト制限

Tue, 12 Aug 2014 00:00:00 +0000

　気になったのでメモ。把握したうえで適切な設定にしないと、ある日突然PeerがAdmin Dowmしてお祭りになりそう。。。フルルートをやり取りするpeerに対しては、明示的にmaximum-prefixを設定しておいた方がよさそうです。

onePKのアクセスログを残さない方法

Fri, 08 Aug 2014 00:00:00 +0000

　onePKで機器にアクセスすると、以下のメッセージが出力されます。私はonePKで1分間隔のトラフィックを取得しているので、機器のログがこのメッセージでいっぱいになっています。

exabgp+mrtparseでフルルートを注入してみた

Sun, 01 Jun 2014 00:00:00 +0000

　exabgpでフルルートを注入してみたのその後です。

　上記のエントリーでは、物理のCisco892Jに搭載されているメモリの関係で、IPv6フルルートを食わせました。しかし、手元には仮想メモリが3GもあるIOS XRvが存在します。こうなるとIPv4のフルルートを食わせたくなります。

IOS XRvでEmacsを使う

Sat, 31 May 2014 00:00:00 +0000

　IOS XRでは、Routing Policy Language（RPL）というルーティングポリシーを定義する言語が実装されています。IOSでいう、prefix-listとas-path-list、community-list、route-mapあたりをひっくるめてRPLと呼んでいるイメージです。

IOS XRvで遊ぶ（BGP編）

Sun, 25 May 2014 00:00:00 +0000

　IOS XRvでBGPの設定を試したのでメモ。

自ASの経路を広報する

　お作法的な方法で、広報したい経路をNull0で設定し、Networkコマンドで広報します。追加後のコンフィグ（抜粋）は以下のような形になります。スタティックルートがIOSとは全く異なります。

IOS XRvで遊ぶ（設定変更編）

Sat, 24 May 2014 00:00:00 +0000

　ASR9001を運用する機会がありそうなので、IOS XRvで事前勉強中です。取りあえず、昔ながらのターミナルで設定を変更するにはどうすればいいかを調べました。

実機でonePKを使う

Tue, 08 Apr 2014 00:00:00 +0000

　いつまでもAll-in-oneVMだと面白くないので、自宅のcisco892JでもonepKでアクセスできるようにしました。乗り越えた課題は以下の二つです。

onePKで遊ぶ（ルーティング取得）

Sun, 06 Apr 2014 00:00:00 +0000

　GAになったonePKで遊んでいます。見よう見まねでルーティング情報を取得するスクリプトを書いてみました。必要な情報を入手するために、SSHでログインして正規表現で抽出していた従来とは全く違います。

IOS XRv

Wed, 02 Apr 2014 00:00:00 +0000

　IOS XRvなんてのがリリースされていたんですね！Cisco IOS XRv Router Installation and Configuration Guide

　ESXi上へのデプロイは成功したのですが、vSPhere Clientのコンソールでは操作できません。

IOS XRvにコンソール接続する

Wed, 02 Apr 2014 00:00:00 +0000

　IOS XRvの続きです。我が家のESXiではCiscoのドキュメントに記載された方法（ネットワーク越しの仮想コンソール接続）でIOS XRvのコンソールに接続することができないようなので、名前付きパイプを利用したコンソール接続を行いました。

onePKを使う準備

Mon, 31 Mar 2014 00:00:00 +0000

　onePKのGeneral Availabilityが目前の様なので、利用する際に何度も見そうなドキュメントのリンクを纏めておきます。現時点では日本語の情報が見当たらないため、DevNetに載っている英語の情報を見る形になりそうです。

Virtual Private Gatewayのベストパス選択アルゴリズムで遊んでみた。

Sun, 30 Mar 2014 00:00:00 +0000

　仕事でVPC DXに関わっています。その際に、VPCからオンプレ側へのトラフィック設計で不明点があったので、VPC IPSecを利用して自腹で試してみました。

管理ポートの仕様

Tue, 11 Jun 2013 00:00:00 +0000

　2960Xや3750Xで実装された管理ポート（FastEthernet0）について、CCOのドキュメントを見つけたのでメモ。Catalyst 3750-X and 3560-X Switch Software Configuration Guide, Release 12.2(53)SE2のUsing the Ethernet Management Portの項目。

HSRP: Global IPv6 Address

Mon, 13 May 2013 00:00:00 +0000

　15.3(2)TからHSRPのVIPとしてGUAがサポートされたようなので試してみました。

CISCO892-K9 IOS 15.3(1)Tの場合

Router(config)#interface vlan 15 
Router(config-if)#standby ? 
Router(config-if)#standby ipv6 ? 
X:X:X:X::X IPv6 link-local address autoconfig Obtain address using autoconfiguration

CISCO892-K9 IOS 15.3(2)Tの場合

Router(config)#interface vlan 15 
Router(config-if)#standby 0 ipv6 ? 
X:X:X:X::X IPv6 link-local address 
X:X:X:X::X/<0-128> IPv6 prefix autoconfig Obtain address using autoconfiguration 
Router(config-if)#standby 0 ipv6 2001:db8::1/64 
Router(config-if)#end 
Router#show standby brief 
all Load for five secs: 49%/0%; one minute: 24%; five minutes: 10% Time source is NTP, 23:23:14.015 JST Mon May 13 2013 
P indicates configured to preempt.
| 
Interface Grp Pri P State Active Standby Virtual IP 
Vl15 0 100 Init unknown unknown FE80::5:73FF:FEA0:0 (impl auto EUI64) 
Vl15 0 100 Init unknown unknown 2001:DB8::1/64 
Router#

RANSIDを利用した自動世代管理

Sun, 24 Feb 2013 00:00:00 +0000

　前回（CiscoルータのConfigをHTTPを使ってバックアップする）の続きです。ルータのCLIから世代管理システムにcommitできないなら、設定変更したタイミングで世代管理システムが勝手にcommitしてくれないかなーというズボラを実現しました。楽をする為の努力は大事です。

構成図

　Ciscoルータと世代管理システムの間に、rsyslogとlogsurfer、RANSIDを挟みます。設定変更を示すログがsyslogで飛んできたら、RANSIDが対象機器のリポジトリを自動更新します。あとは、ViewVCでリポジトリにアクセスして作業による差分を確認するだけ！

CiscoルータのConfigをHTTPを使ってバックアップする

Sat, 23 Feb 2013 00:00:00 +0000

　「変更作業後に、ルータのCLIからconfigをバージョン管理システムに登録出来たら便利だなー」と思って色々と調べてみたら、copy run http/httpsなるコマンドがあったので使ってみました。普段はTFTPなのですが、HTTPもあるんですね。バックアップ先はWevDAVが利用可能なOwnCloudです。

Nexus7000をラッキングする

Fri, 28 Sep 2012 00:00:00 +0000

　仕事でNexus7009を触る機会がありそうなので色々とお勉強中です。ライセンスやモジュールが多岐にわたっていて「とりあえずこれでいけばなんでもOK！」みたいな構成が取りにくいですね。今回はラッキングに関するお話です。

EEMでBGPを操作する

Mon, 24 Sep 2012 00:00:00 +0000

　前回の続きです。Multipathを使うことで2本のリンクをDualActiveに使うことができそうです。ですがDualActiveにはちょっと問題があります。2本の合計トラフィックが1本を超えた時点で、別の代替経路に切り替えなければいけない事です。

　よくある？マルチホーミングの構成です。ASαと100M×2で接続している状態で2本合計のトラフィックが120Mになった場合を想定します。この状態で100Mが1本が死んだ場合、障害に伴う経路の変更は発生しない為、引き続きASαに120Mbpsが流れてしまいます。そうするとASα向けの通信で輻輳が発生してしまいます。

IOSでdiff

Sun, 19 Aug 2012 00:00:00 +0000

configの差分チェック

　運用において変更前のconfigと変更後のconfigを比較する作業は欠かせません。私の周りだと「diff」か「WinMerge」でやってる人が多いです。これがIOS単体で出来るというので試してみました。

cisco892JでVRRPv3をやりたい

Thu, 16 Aug 2012 00:00:00 +0000

　「Cisco892Jを15.2(4)Mにしてみた」の続きです。

　VRRPv3の設定方法が不明だったので、思い切ってCisco TACにSRしました。その結果「ドキュメントの公開が遅れててごめーん。さっき公開したよ（意訳）」との回答とともに下記リンクをご教示頂きました。

Cisco892Jを15.2(4)Mにしてみた

Fri, 10 Aug 2012 00:00:00 +0000

　いつの間にかIOS15.2(4)Mがリリースされていました。「OSPFv3 VRF-Lite/PE-CE」と「VRRPv3 Protocol Support」が気になったので早速アップデートしました。

扇風機でNW機器を冷やしてみた

Sun, 29 Jul 2012 00:00:00 +0000

　現在自宅では、Cisco892JとFortigate-50Bが24時間稼働しています。導入後初めての夏を迎え「エアコンなしの部屋でどうなるかなー」と思っていたのですが、Fortigateの表面がやや熱い。

WS-C3750Xの全機種でIP Services搭載モデルが出るみたい

Thu, 31 May 2012 00:00:00 +0000

　これまで、WS-C3750XシリーズでIP Servicesが標準搭載されている型番は、WS-C3750X-12S-EとWS-C3750X-24S-Eしかありませんでした。その為、RJ45のダウンリンク＋IP Servicesを実現する為には、IP Base搭載のモデルとライセンスを別々に発注しなければならず少々面倒でした。

15.2(4)Mが来る～ッ!!

Sat, 05 May 2012 00:00:00 +0000

　ちょっと前にアップデートしたIOS15.2(3)TのEoLアナウンスが出ました。アナウンス内には「2012年中旬に15.2(4)Mだすからアップデートしたほうがええよー（意訳）」とあります。今のIOSはTトレインなのでリリースから19カ月サポートされますが、どんどん新しいIOSにアップデートしようと思います。早く来い次のIOS!!面白い機能来い!!

End-of-Sale and End-of-Life Announcement for the Cisco IOS Software Release 15.2(3)T

Customers are encouraged to migrate to the Cisco IOS Software Release 15.2(4)M which is expected to be available in mid calendar year 2012. While IOS 15.1(4)M is also a viable migration option, its end-of-sale is planned for 2012; therefore it is highly recommended to migrate to 15.2(4)M when available.

Cisco ISR G2メモ

Tue, 01 May 2012 00:00:00 +0000

　DC事業に関わる様になってからLANばかりで、久々にISR G2シリーズと向き合ったのでメモ。Ciscoのサイトは必要な情報を探すのに苦労するので、ある程度の情報を確認したら製品担当に聞いてしまうクセがついてしまっています。良くないですね。

CiscoルータのBGPをSNMP監視する為のtips

Sun, 08 Apr 2012 00:00:00 +0000

　#自宅ラック勉強会を監視してみたいを受けて色々調べました。多分あってるとおもいます。

標準MIB：BGP4-MIB

　bgp（1.3.6.1.2.1.15）です。これは以前のエントリーでも紹介した通り、IPv6未対応です。IPv6のPeerが4つ、ipv4のPeerが2つあるCiscoルータに対してbgpPeerState（1.3.6.1.2.1.15.3.1.2）をゲットしても、2つしか返ってきません。

# snmpwalk -c xxxx -v 2c xx.aimless.jp 1.3.6.1.2.1.15.3.1.2
SNMPv2-SMI::mib-2.15.3.1.2.10.12.16.2 = INTEGER: 6
SNMPv2-SMI::mib-2.15.3.1.2.10.12.16.3 = INTEGER: 6

CiscoMIB：CISCO-BGP4-MIB

　ciscoBgp4MIB（1.3.6.1.4.1.9.9.187）です。15.2(3)Tより前のIOSではIPv6未対応です。cbgpPeerPrevState（1.3.6.1.4.1.9.9.187.1.2.1.1.8）をゲットしてもIPv4の2つしか返ってきません。

Cisco892Jで経路交換サーバ（IPv4）を作った

Sat, 07 Apr 2012 00:00:00 +0000

　15.2(3)Tで実装された経路交換サーバ機能を試してみました。

構成

　経路交換サーバ用のCisco892Jと、CentOS（quagga+openNHRP）です。実際の経路交換サーバは同一セグメント内にあるなーということで、mGREとNHRPを使って強引に同一セグメントにしました。トラフィックは経路交換サーバを経由してしますのでそれほど意味はありません。。

Cisco892Jを15.2(3)Tにアップデートした

Fri, 06 Apr 2012 00:00:00 +0000

　IOS15.2のリリースノートを見ていたら、「BGP Route Server」や「LISP Virtualization」、「mGRE Tunnel Support over IPv6」などなど面白そうな機能が追加されていたので、15.1(4)XB7から最新の15.2(3)Tにアップデートしました。自宅ルータだからこそEarly Deployment (ED) を積極的に採用します。

OSPFv3はVRF未対応？

Sat, 31 Mar 2012 00:00:00 +0000

　タイトルのままです。環境はCisco892J：Version 15.1(4)XB7です。vrfが設定されているインターフェースでOSPFv3を動かそうとすると、サポートされてないよ旨のエラーメッセージが出ました。

YAMAHAのIPIPトンネルが上手く動かない

Sat, 04 Feb 2012 00:00:00 +0000

　前回から引き続き、Cisco892JとRTX1000でグローバルIP経由のIPIPトンネルを掘ろうと試行錯誤しているものの、開通には至っていません。トンネルの対向にPingすら飛ばず・・・

■Cisco Configuration
interface Tunnel11
 description test-ipip
 ip address 172.16.16.5 255.255.255.252
 tunnel source 36.2.107.xxx
 tunnel mode ipip
 tunnel destination 122.26.28.xxx

■YAMAHA Configuration
tunnel select 11
 description tunnel test-ipip
 tunnel encapsulation ipip
 tunnel endpoint address 122.26.28.xxx 36.2.107.xxx
 ip tunnel address 172.16.16.6/30
 tunnel enable 11

　全スルーなfilterを明示的にPPインターフェースにしても駄目。困り果ててキャプチャしたところ、RTX側のトンネルが受信パケットに対してDestination unreachableを返していました。なぜ・・・。

ACLのremarkを一番上に持っていきたい。

Sat, 16 Jul 2011 00:00:00 +0000

　ネットワークエンジニアとしては基本中の基本なのでしょうが、ACL素人の私がCiscoのACL編集でハマったことをメモします

　show access-listの結果にシーケンス番号が表示されている場合、ip access-list extended ACL-Noコマンドを利用する事で、希望する位置にACLを挿入することができます。しかし、挿入時にRemarkの位置は一切考慮されません。