Network on Aimless

Mini PC と SEIL/x86 Ayame を使って、検証環境用のいい感じなゲートウェイを作る

Tue, 24 Dec 2024 00:00:00 +0000

はじめに

我が家には Azure Arc や Azure Migrate を評価するための仮想化環境があります。色々あって Minisforum EliteMini HX90 と VMware ESXi の構成から、DESKMEET X300 と Proxmox の環境に変えました。8コア 16 スレッド、128GB メモリ、4TB SSD の環境なので、普通に使う分には十分です。

Virtual WAN の NAT Rules を利用して、オンプレミスと Azure 間で送信元アドレス変換を実現する

Mon, 08 Mar 2021 00:00:00 +0000

はじめに

Azure のドキュメントの差分を確認していたところ、Configure NAT Rules for your Virtual WAN VPN gateway - Preview というドキュメントを見つけました。「Virtual WAN が NAT をサポートした」というリリースは更新情報に流れていないはずです。アナウンスを探してみたところ、Ignite に合わせて Video Hub に公開された次の動画の中で発表されていました。Route Server と同じくらい凄い機能なのだから、更新情報に流してくれたらいいのに・・・

Azure Route Server を利用して仮想アプライアンスと VNet 間で経路交換する

Wed, 03 Mar 2021 00:00:00 +0000

Azure Route Server がパブリックプレビューになりました。Azure Route Server とは BGP を利用して VNet と経路交換できるサービスです。Azure 上で NVA を利用したことがある人であれば「VNet と BGP で経路交換できたらいいのに・・・」と思ったことがあるはずです。その要望を実現するサービスがリリースされました。

PaloAlto on Azure を Active/Passive 構成で導入する

Wed, 27 Mar 2019 00:00:00 +0000

はじめに

PaloAlto が 9.0 で Azure での Active/Passive 方式の冗長化をサポートしました。実装は仮想マシンのIPアドレスを付け替える方式です。

参考：Set up Active/Passive HA on Azure

Active/Passive 方式で冗長化された NVA は、オンプレミスのネットワークエンジニアが慣れ親しんだ構成です。これまで IP アドレス付け替え方式で冗長化された NVA を組んだことがなかったので、実際に試してみました

パブリッククラウドと仮想アプライアンス型ファイアウォール

Thu, 21 Mar 2019 00:00:00 +0000

はじめに

過去に社内で複数回「パブリッククラウドと仮想アプライアンス型ファイアウォール」の話をしてきたので、自分の頭の整理もかねて改めてまとめました。

AWS上のオンデマンドなUTM製品を比較する

Mon, 16 Feb 2015 00:00:00 +0000

　イマイチ使いどころが見つけられないAWS上のUTM製品について、オンデマンド版（ライセンスこみで使えるAMI）の費用を比較しました。

　なお、AWS上には、Barracuda NG FirewallやPaloalto VM-Seriesもあるのですが、これらはオンデマンド版が存在せずBYOL版のみのため、記載していません。オンデマンド版があれば、評価しやすいのに。。。

オンプレのファイアウォールポリシーをAWSに移行する

Sun, 18 Jan 2015 00:00:00 +0000

　オンプレミスに設置されているサーバをAWSに移行する場合、サーバの通信経路上の存在するファイアウォールのポリシーもAWSへ移行する必要があります。多くの場合、ポリシーの移行先はセキュリティグループになると思います。セキュリティグループはオンプレのFWと実装方法が違いますので、そのまま移行するのは難しいです。

ShellShock（ネットワーク機器編）

Fri, 26 Sep 2014 00:00:00 +0000

はじめに

ShellShockに関して、私の業務と関わりのあるネットワーク機器ベンダのSecurity Advisoryが揃ってきたので、現時点での情報を簡単にまとめます。

SSLインスペクションについて調べた

Sat, 30 Aug 2014 00:00:00 +0000

　UTM製品は、SSLによって暗号化されている通信の中身を見てUTM処理を行うものがあります。イマイチ振る舞いが分からなかったので、いろいろと調べました。きっとこんな感じだろレベルであり、あってるかどうかは不明です。なお、絵を描く気力はなかったです。

onePKでトラフィック量を取得する

Tue, 29 Jul 2014 00:00:00 +0000

　onePKでトラフィック量を取得できたのでメモ。

　onePKには、インターフェースの統計情報が格納されているonep.interfaces.InterfaceStatistics.InterfaceStatisticsというクラスがあります。このクラスにはshow int の出力結果とほぼ同レベルの情報が格納されています。そこで、以下のクラス変数を利用してトラフィックのグラフを描画してみました。

OpenSSL脆弱性の影響（ネットワーク機器編）

Sat, 07 Jun 2014 00:00:00 +0000

　週明けからの対応に向けて、自分に影響のありそうなベンダのアナウンスを調べたのでメモ。（6/7 21:30現在です）

　CVE-2010-5298がCVE-2014-5298になっていたので、修正しました（6/9）　

ネットワーク機器におけるソースポートランダマイゼーションの実装状況

Sat, 10 May 2014 00:00:00 +0000

　キャッシュポイズニングに関するJPRSのアナウンスを踏まえて、ネットワーク機器のNAT機能の実装を調べました。

ファイアーウォールやルーターなど、ネットワーク機器におけるネットワークアドレス変換（NAT）機能の不適切な実装により、キャッシュDNSサーバーで実施したソースポートランダマイゼーションが無効にされてしまう場合があることが判明しています。

送信元アドレス検証について調べた

Sun, 04 May 2014 00:00:00 +0000

　上司と同僚に送信元アドレス検証の必要性を説明するための下調べです。

送信元アドレス検証とは

　非トランジットASな弊社においては、インターネット接続サービスを利用している顧客から転送されるパケットが、適切なものかを検証すること。

ネットワーク運用でも継続的デリバリしたい。

Fri, 04 Apr 2014 00:00:00 +0000

昔ながらの変更作業

　SIerの中で、ネットワーク機器の運用受託業務をやっておりまして、毎日毎日、色々なお客様のスイッチやルータ、ファイアウォールの設定変更をしています。

Virtual Private Gatewayのベストパス選択アルゴリズムで遊んでみた。

Sun, 30 Mar 2014 00:00:00 +0000

　仕事でVPC DXに関わっています。その際に、VPCからオンプレ側へのトラフィック設計で不明点があったので、VPC IPSecを利用して自腹で試してみました。

FortiGateのsyslogをパースするFluentdのプラグインを作った。

Tue, 18 Mar 2014 00:00:00 +0000

　勢いだけで、FortiGateのsyslogをパースするためのFluentdプラグインを作りました。fluent-plugin-fortigate-traffic-logです。（命名センスなし）

　「ファイアウォールの通信ログを気軽に分析できれば、ユーザへの提案に繋がる何かが生まれそうだなー」と思い、FortiGateのsyslogをFluentd+Elastic Search+kibana3の組み合わせに乗せるべく試行錯誤した結果です。当初は普通のTailインプットプラグインでサポートされている正規表現で頑張るつもりでしたが、FortiGateのsyslogのフォーマットが一定でなかったため、カスタムパーサを作った次第です。

IPv6の逆引きを設定してみた

Sat, 31 Aug 2013 00:00:00 +0000

　ZABBIXが発報するエラーメールの通知先にGmailを設定したところ、ZABBIXが利用するMTAのIPv6逆引きが存在しなかったため、以下のメッセージとともにメールを拒否されました。

HSRP: Global IPv6 Address

Mon, 13 May 2013 00:00:00 +0000

　15.3(2)TからHSRPのVIPとしてGUAがサポートされたようなので試してみました。

CISCO892-K9 IOS 15.3(1)Tの場合

Router(config)#interface vlan 15 
Router(config-if)#standby ? 
Router(config-if)#standby ipv6 ? 
X:X:X:X::X IPv6 link-local address autoconfig Obtain address using autoconfiguration

CISCO892-K9 IOS 15.3(2)Tの場合

Router(config)#interface vlan 15 
Router(config-if)#standby 0 ipv6 ? 
X:X:X:X::X IPv6 link-local address 
X:X:X:X::X/<0-128> IPv6 prefix autoconfig Obtain address using autoconfiguration 
Router(config-if)#standby 0 ipv6 2001:db8::1/64 
Router(config-if)#end 
Router#show standby brief 
all Load for five secs: 49%/0%; one minute: 24%; five minutes: 10% Time source is NTP, 23:23:14.015 JST Mon May 13 2013 
P indicates configured to preempt.
| 
Interface Grp Pri P State Active Standby Virtual IP 
Vl15 0 100 Init unknown unknown FE80::5:73FF:FEA0:0 (impl auto EUI64) 
Vl15 0 100 Init unknown unknown 2001:DB8::1/64 
Router#

LogAnalyzerを動かしてみた

Fri, 01 Mar 2013 00:00:00 +0000

事の発端

[tweet https://twitter.com/ttkzw/status/306913213272977408 lang=’ja’]

とりあえずやってみた

　何事もやってみるのが大事。

　ソースをダウンロードして、適当なディレクトリに展開します。INSTALLというファイルにインストール方法が記載されています。インストール方法を流し読みして、いざインストール！

RANSIDを利用した自動世代管理

Sun, 24 Feb 2013 00:00:00 +0000

　前回（CiscoルータのConfigをHTTPを使ってバックアップする）の続きです。ルータのCLIから世代管理システムにcommitできないなら、設定変更したタイミングで世代管理システムが勝手にcommitしてくれないかなーというズボラを実現しました。楽をする為の努力は大事です。

構成図

　Ciscoルータと世代管理システムの間に、rsyslogとlogsurfer、RANSIDを挟みます。設定変更を示すログがsyslogで飛んできたら、RANSIDが対象機器のリポジトリを自動更新します。あとは、ViewVCでリポジトリにアクセスして作業による差分を確認するだけ！

CiscoルータのConfigをHTTPを使ってバックアップする

Sat, 23 Feb 2013 00:00:00 +0000

　「変更作業後に、ルータのCLIからconfigをバージョン管理システムに登録出来たら便利だなー」と思って色々と調べてみたら、copy run http/httpsなるコマンドがあったので使ってみました。普段はTFTPなのですが、HTTPもあるんですね。バックアップ先はWevDAVが利用可能なOwnCloudです。

CloudCoreVPSのネットワーク環境

Sat, 17 Nov 2012 00:00:00 +0000

　セカンダリDNS他で利用しているKDDIのCloudCoreVPSにてネットワークのメンテナンスが実施されます。届いたメールより引用。

2012年8月下旬より、CloudCore VPSにて利用しているネットワーク

Nexus7000をラッキングする

Fri, 28 Sep 2012 00:00:00 +0000

　仕事でNexus7009を触る機会がありそうなので色々とお勉強中です。ライセンスやモジュールが多岐にわたっていて「とりあえずこれでいけばなんでもOK！」みたいな構成が取りにくいですね。今回はラッキングに関するお話です。

EEMでBGPを操作する

Mon, 24 Sep 2012 00:00:00 +0000

　前回の続きです。Multipathを使うことで2本のリンクをDualActiveに使うことができそうです。ですがDualActiveにはちょっと問題があります。2本の合計トラフィックが1本を超えた時点で、別の代替経路に切り替えなければいけない事です。

　よくある？マルチホーミングの構成です。ASαと100M×2で接続している状態で2本合計のトラフィックが120Mになった場合を想定します。この状態で100Mが1本が死んだ場合、障害に伴う経路の変更は発生しない為、引き続きASαに120Mbpsが流れてしまいます。そうするとASα向けの通信で輻輳が発生してしまいます。

BGP Multipath

Sun, 23 Sep 2012 00:00:00 +0000

　BGP Multipathの動作確認をしました。構成は下記の通りです。トランジットと2本の専用線で接続し、BGPを2セッション貼るイメージです。

通常の場合

### configuration of Left ###
router bgp 65001
 bgp router-id 10.0.0.1
 bgp log-neighbor-changes
 network 192.168.1.0
 network 192.168.2.0
 neighbor 10.0.1.254 remote-as 65002
 neighbor 10.0.2.254 remote-as 65002
!
ip route 192.168.1.0 255.255.255.0 Null0
ip route 192.168.2.0 255.255.255.0 Null0

### configuration of Right###
router bgp 65002
 bgp router-id 10.0.0.254
 bgp log-neighbor-changes
 neighbor 10.0.1.1 remote-as 65001
 neighbor 10.0.2.1 remote-as 65001
 !
 address-family ipv4
  neighbor 10.0.1.1 activate
  neighbor 10.0.2.1 activate
 exit-address-family
!

　Rightは各セッションでLeftが広告した2経路を受信していますが、ルーティングテーブルにはベストパスを1つしか乗せません。おそらくベストパス選択アルゴリズムの最後「最小の隣接ルータアドレスから送られたパスが優先されます。」で選択したものだと思います。

FortigateのSSL-VPNで2要素認証してみた

Tue, 11 Sep 2012 00:00:00 +0000

　いつか仕事でやることもあるだろうという事で、FortigateのSSL-VPNでの二要素認証のやり方をメモします。FortiOSはv4 MR3 Patch 6です。仕組みとしてはハードウェアトークン（FortiToken）、Email、SMSの3種類ありますが、今回はEmailになります。

IOSでdiff

Sun, 19 Aug 2012 00:00:00 +0000

configの差分チェック

　運用において変更前のconfigと変更後のconfigを比較する作業は欠かせません。私の周りだと「diff」か「WinMerge」でやってる人が多いです。これがIOS単体で出来るというので試してみました。

Cisco892Jを15.2(4)Mにしてみた

Fri, 10 Aug 2012 00:00:00 +0000

　いつの間にかIOS15.2(4)Mがリリースされていました。「OSPFv3 VRF-Lite/PE-CE」と「VRRPv3 Protocol Support」が気になったので早速アップデートしました。

扇風機でNW機器を冷やしてみた

Sun, 29 Jul 2012 00:00:00 +0000

　現在自宅では、Cisco892JとFortigate-50Bが24時間稼働しています。導入後初めての夏を迎え「エアコンなしの部屋でどうなるかなー」と思っていたのですが、Fortigateの表面がやや熱い。

自宅インフラ発表会を開催してみた

Mon, 23 Jul 2012 00:00:00 +0000

　勢いで勉強会を開催したので諸々アウトプットします。これ以外にも反省点だらけでorz

言い出しっぺの法則

　Twitterで言ったからにはやらないとね。

[tweet https://twitter.com/kongou_ae/status/208906343912968192 lang=’ja’]

JANOG30とLISP

Thu, 05 Jul 2012 00:00:00 +0000

　仕事が打ち合わせばかりで、JANOGにUSTREAM参加すら出来ていません。。。さて、JANOG30のネットワークにはLISPが使われているみたいです。今までLISPなサイトと通信したことがなかったので、これはいい機会だと思い色々試してみました。

rubyでCiscoルータの設定を自動化してみた

Sun, 01 Jul 2012 00:00:00 +0000

　「Peeringする度にコマンドを手で打つのもあれだなー。やる事は同じだし」ということで、rubyで自動化しました。実行すると対話形式で必要な情報の入力を求められ、答えると自動的にCiscoルータに我が家のテンプレconfigが投入されます。本番テストはまだですが・・・

ForigateでSSL-VPN（トンネルモード）

Sun, 17 Jun 2012 00:00:00 +0000

　そのうち仕事でやるだろうということで、自宅で試した手順をメモしておきます。環境は、Fortigate-50B＋FortiOS4.0 MR3 Patch 6です。

WS-C3750Xの全機種でIP Services搭載モデルが出るみたい

Thu, 31 May 2012 00:00:00 +0000

　これまで、WS-C3750XシリーズでIP Servicesが標準搭載されている型番は、WS-C3750X-12S-EとWS-C3750X-24S-Eしかありませんでした。その為、RJ45のダウンリンク＋IP Servicesを実現する為には、IP Base搭載のモデルとライセンスを別々に発注しなければならず少々面倒でした。

ブイロクマ（@IPv6kuma）機能修正のお知らせ(AAAAチェック)

Wed, 30 May 2012 00:00:00 +0000

　いつもブイロクマをfollowして頂き、有難うございます。

　今年の1月に実装致しましたAAAAチェック機能のコードを修正しました。修正内容は下記の通りです。「やってからリリースしろよ！」という物ばかりですが。。。

さくらVPSのメモリが増えた

Mon, 28 May 2012 00:00:00 +0000

　さくらVPS 512で動いている弊ブログですが、本日早朝にメモリが1Gに増設されたみたいです。Cactiのグラフを見たら、天井がぐいっと伸びていました。

CactiでBGPの経路数を監視してみた

Thu, 24 May 2012 00:00:00 +0000

　「LookingGrassを作ったし、あとは経路数のモニタリングだよなー」という事で、Cactiを使ってモニタリングを始めました。ゆくゆくはブログのサイドバーに仕込みたいです。

BGPとLISPのLookingGrassを作った

Sat, 19 May 2012 00:00:00 +0000

　ruby on rails + apache2 + passengerで、AS64585のLookingGrassを作りました。LookingGrass（AS64585）

　当初は他ASさんが運営しているLookingGrassと同様、インターネット上に全公開する予定でした。しかし、neighborさんのIPアドレスを全公開するのもあれだなと思い、eBGPルータが受け取っている経路とLISP-Betaで利用されている経路でアクセス制御を掛けました。現在106経路ほどBGPテーブルに乗っているので、IHANet上の方々であればみられるのかなと思います。

自宅ISPを冗長化した

Sun, 06 May 2012 00:00:00 +0000

　GWの課題ということで、自宅のISP回線を冗長化しました。GMOの固定IPを契約した際にOCNを解約していなかったので、それを有効活用します。また、お仕事で「メインDCとDRサイト間でのISP冗長」ってのを提案しないといけない事もあり、その技術検証も兼ねてます。機器が足りないので縮小構成ですが・・

15.2(4)Mが来る～ッ!!

Sat, 05 May 2012 00:00:00 +0000

　ちょっと前にアップデートしたIOS15.2(3)TのEoLアナウンスが出ました。アナウンス内には「2012年中旬に15.2(4)Mだすからアップデートしたほうがええよー（意訳）」とあります。今のIOSはTトレインなのでリリースから19カ月サポートされますが、どんどん新しいIOSにアップデートしようと思います。早く来い次のIOS!!面白い機能来い!!

End-of-Sale and End-of-Life Announcement for the Cisco IOS Software Release 15.2(3)T

Customers are encouraged to migrate to the Cisco IOS Software Release 15.2(4)M which is expected to be available in mid calendar year 2012. While IOS 15.1(4)M is also a viable migration option, its end-of-sale is planned for 2012; therefore it is highly recommended to migrate to 15.2(4)M when available.

Cisco ISR G2メモ

Tue, 01 May 2012 00:00:00 +0000

　DC事業に関わる様になってからLANばかりで、久々にISR G2シリーズと向き合ったのでメモ。Ciscoのサイトは必要な情報を探すのに苦労するので、ある程度の情報を確認したら製品担当に聞いてしまうクセがついてしまっています。良くないですね。

グローバルASのお値段

Fri, 27 Apr 2012 00:00:00 +0000

　「ネットワークエンジニアたるもの、やっぱりグローバルASの一つや二つ欲しいよね」という事で試算しました。JPNICの中のひとではないので間違っているかもしれません。その点ご了承ください。

IPv6のフルルートにデフォルトルートが混じってた

Sun, 22 Apr 2012 00:00:00 +0000

　タイトルそのままです。BGPのメンテナンスで片方のトランジットに対して自社Prefixの広告を止めて、route-serverで世界への反映を眺めていたところ、Oregon Route Views with Verizon UKのBGPテーブルにデフォルトルートが乗っている事に気付きました。これはインターネットに広告しちゃだめなやつだと思うんだけどなぁ・・・

自宅ラック勉強会#3に参加してきた

Sun, 15 Apr 2012 00:00:00 +0000

　今流行り？の自宅ラック勉強会に参加してきました。場所は中原拠点でしたが、実際はリモート柏拠点（AS64585）ということで、本部のデスマーチっぷりを横目で見つつ、自ASのメンテナンスを少々とひかりさんの活躍を眺めていました。

CiscoルータのBGPをSNMP監視する為のtips

Sun, 08 Apr 2012 00:00:00 +0000

　#自宅ラック勉強会を監視してみたいを受けて色々調べました。多分あってるとおもいます。

標準MIB：BGP4-MIB

　bgp（1.3.6.1.2.1.15）です。これは以前のエントリーでも紹介した通り、IPv6未対応です。IPv6のPeerが4つ、ipv4のPeerが2つあるCiscoルータに対してbgpPeerState（1.3.6.1.2.1.15.3.1.2）をゲットしても、2つしか返ってきません。

# snmpwalk -c xxxx -v 2c xx.aimless.jp 1.3.6.1.2.1.15.3.1.2
SNMPv2-SMI::mib-2.15.3.1.2.10.12.16.2 = INTEGER: 6
SNMPv2-SMI::mib-2.15.3.1.2.10.12.16.3 = INTEGER: 6

CiscoMIB：CISCO-BGP4-MIB

　ciscoBgp4MIB（1.3.6.1.4.1.9.9.187）です。15.2(3)Tより前のIOSではIPv6未対応です。cbgpPeerPrevState（1.3.6.1.4.1.9.9.187.1.2.1.1.8）をゲットしてもIPv4の2つしか返ってきません。

Cisco892Jで経路交換サーバ（IPv4）を作った

Sat, 07 Apr 2012 00:00:00 +0000

　15.2(3)Tで実装された経路交換サーバ機能を試してみました。

構成

　経路交換サーバ用のCisco892Jと、CentOS（quagga+openNHRP）です。実際の経路交換サーバは同一セグメント内にあるなーということで、mGREとNHRPを使って強引に同一セグメントにしました。トラフィックは経路交換サーバを経由してしますのでそれほど意味はありません。。

Cisco892Jを15.2(3)Tにアップデートした

Fri, 06 Apr 2012 00:00:00 +0000

　IOS15.2のリリースノートを見ていたら、「BGP Route Server」や「LISP Virtualization」、「mGRE Tunnel Support over IPv6」などなど面白そうな機能が追加されていたので、15.1(4)XB7から最新の15.2(3)Tにアップデートしました。自宅ルータだからこそEarly Deployment (ED) を積極的に採用します。

FortigateのVDOMで遊んでみた

Mon, 02 Apr 2012 00:00:00 +0000

　念願のFortiOS4.0が動くFortigateを手に入れたぞ！！という事で、VDOMで遊んでみました。環境はFortigate50BとFortiOS4.0 MR3 Patch 6です。

OSPFv3はVRF未対応？

Sat, 31 Mar 2012 00:00:00 +0000

　タイトルのままです。環境はCisco892J：Version 15.1(4)XB7です。vrfが設定されているインターフェースでOSPFv3を動かそうとすると、サポートされてないよ旨のエラーメッセージが出ました。

CiscoのBGP4-MIBはIPv6未対応？？

Sun, 25 Mar 2012 00:00:00 +0000

　「HEのBGP Toolkitで見れるAS接続図を自分のASでもやってみよう」と思いgrahpvizで作ってみました。AS64585接続図

　元となるAS-PATHの情報は「show bgp ipv6 unicast paths」から引っ張ってきました。ルータの出力をいちいちコピペ&手作業で整形するのが面倒なので、SMNPで取れた情報を自動成型できたら素敵だなとsnmpwalkで探してみたのですが、肝心のAS-Path関連はnot-accessibleだったので諦めました。

自宅をLISPでIPv6化してみた

Sun, 18 Mar 2012 00:00:00 +0000

　これまでHurricane ElectricのTunnelBrokerでIPv6化していた自宅を、LISP Beta Networkを利用したIPv6に切り替えました。LISP Beta Networkに個人で接続できるとは思っていませんでしたが、思い切ってCiscoに英語でメールした甲斐がありました。

exabgpでフルルートを注入してみた

Sat, 17 Mar 2012 00:00:00 +0000

　@stereocatさんのエントリーを見て自分もルータにフルルートを注入したくなったので、RouteViews+bgpdump+exabgpで試してみました。

YAMAHAのＩＰＩＰトンネルが上手く動いた

Wed, 29 Feb 2012 00:00:00 +0000

　MLの方々からアドバイスを頂いた結果、YAMAHAでグローバルIPアドレス経由のIPIPトンネルを張る方法がわかったのでメモ。

■YAMAHA Configuration
pp select 1
 ip pp address 122.26.28.xxx
pp select none 
tunnel select 11
 description tunnel test-ipip
 tunnel encapsulation ipip
 tunnel endpoint address 122.26.28.xxx 36.2.107.xxx
 ip tunnel address 172.16.16.6/30
tunnel enable 11

YAMAHAのIPIPトンネルが上手く動かない（その2）

Sun, 05 Feb 2012 00:00:00 +0000

　前回のパケットキャプチャに引き続き、PPインタフェースにANY-ANY-pass-logなフィルターを掛けてパケットの動きを確認してみました。

正常な通信（LAN側でIPIPトンネル）

　下記がPingによる疎通確認のログです。プロトコル番号4番がIPIPなので、IPIPトンネル経由のICMP requestに対してecho replyを返している模様

YAMAHAのIPIPトンネルが上手く動かない

Sat, 04 Feb 2012 00:00:00 +0000

　前回から引き続き、Cisco892JとRTX1000でグローバルIP経由のIPIPトンネルを掘ろうと試行錯誤しているものの、開通には至っていません。トンネルの対向にPingすら飛ばず・・・

■Cisco Configuration
interface Tunnel11
 description test-ipip
 ip address 172.16.16.5 255.255.255.252
 tunnel source 36.2.107.xxx
 tunnel mode ipip
 tunnel destination 122.26.28.xxx

■YAMAHA Configuration
tunnel select 11
 description tunnel test-ipip
 tunnel encapsulation ipip
 tunnel endpoint address 122.26.28.xxx 36.2.107.xxx
 ip tunnel address 172.16.16.6/30
 tunnel enable 11

　全スルーなfilterを明示的にPPインターフェースにしても駄目。困り果ててキャプチャしたところ、RTX側のトンネルが受信パケットに対してDestination unreachableを返していました。なぜ・・・。

CiscoとYAMAHAで、IPIPトンネル＆OSPFしてみた。

Sun, 29 Jan 2012 00:00:00 +0000

　とある方とIPIPトンネルを掘ってOSPF over IPSecをやろうと頑張っておりますが、上手くいかなかったので自宅で検証しています。自宅の検証環境はこんな感じです。OCNのPPPoEとGMO固定IPがあるので、疑似的にグローバルIP間でのトンネル堀り検証が出来ます。

ブイロクマ（@IPv6kuma）新機能追加のお知らせ(AAAAチェック)

Mon, 09 Jan 2012 00:00:00 +0000

　先ほどブイロクマからご連絡しました通り、@IPv6kumaに新技を実装しました。今後ブイロクマは、国内主要企業のWebサイトがIPv6に対応しているかどうかを監視します。World IPv6 Launch Dayに間に合ってよかった。。。

FortigateでGREトンネルを掘ってみた

Mon, 02 Jan 2012 00:00:00 +0000

　あけましておめでとうございます。本年もよろしくお願いいたします。

　さて、年越しから年明けにかけて、Fortigate60とCisco892JでGREトンネルを掘ったのでメモ。なお、本エントリーとは関係ありませんが、Forigate60はFortiOS 4.0が乗らないのでご注意ください。年度の初めにヤフオクで60を買ったのですが、少し高くても60Bを買うべきでした。。。

Ciscoルータのsyslogをrsyslogで受信してみた

Tue, 27 Dec 2011 00:00:00 +0000

　自宅のCisco892J用のsyslogサーバが欲しかったので、SaaSesVPS上のubuntuで動いているrsyslogに設定を追加した。以下メモ。

自宅をIPv6化した

Sat, 17 Dec 2011 00:00:00 +0000

　自宅のルータをPLANEXからCisco892Jにリプレースしました。これまでのブロードバンドルータと比べると色々な事ができるようになったので、HEからもらった/48のPrefixを半分の/56にして、GREトンネル経由で自宅に渡しました。現在のIPv6お遊び環境は下図の通りです。IHANetから始めた環境も大きくなったものです。

ipv6studyでLTしてきた

Sun, 04 Dec 2011 00:00:00 +0000

　ipv6study 2011.12で@ipv6kumaに関するLTをしてきました。資料はこちらです。サブドメインのipv6にはAAAAしかつけていないので、IPv6でしかアクセスできません。とはいえ、同じサーバ上に存在しているので、ipv6の部分を抜いて頂ければアクセスできます。

　初LTでしたので、プロジェクタとの接続に苦労したり、すごく早口だったりと反省点ばかりです。あれは資料を作りこんで5分に収まるようにちゃんと準備しないといけませんね。とはいえ、LT後にFollowerが30名ほど増えたので、効果はあったのかなと思います。

RPS2300を触ってみた

Sun, 04 Dec 2011 00:00:00 +0000

　とある要件でRPS2300のハードウェアインストレーションガイドを確認していたところ、気になる文面が。。。。

RPS 2300 に接続されたスイッチは、RPS 電源から内部電源に切り替わったとき

ケイオプのレンタルサーバがIPv6 enableだった

Sat, 26 Nov 2011 00:00:00 +0000

　@IPv6kumaを機能拡張すべく、企業/団体のWebサイトにAAAAレコードがついたことをPostさせようとコーディングしています。まずは東証上場企業と大証上場企業を対象とし、ゆくゆくは官庁、行政、団体なども対象にしていきたいなーと。監視対象のリスト作りが大変。。。。

ケーブル配線で注意すべきたった一つの事

Tue, 20 Sep 2011 00:00:00 +0000

　#nwstudy vol2にustreamで参加しました。現地参加したかったのですが、懇親会分の費用が捻出できず諦めました。。ケーブル配線のプロがテクを披露したり、配線つっこみLTがあったりとレイヤ0が盛り上がった勉強会だったと思います。

Catalyst 2960をぷちL3SWにしよう

Sun, 04 Sep 2011 00:00:00 +0000

　Catalsyt2960シリーズといえばL2SWの代名詞ですが、最近のIOSとフィーチャセットによっては、ちょいとしたL3SWとしても利用可能なので遊んでみました。今回利用した機種は、Catalyst 2960S-24TS-Lです。

ブイロクマ（@IPv6kuma）新機能追加のお知らせ

Sat, 13 Aug 2011 00:00:00 +0000

　昨日@IPv6kumaからご連絡しました通り、ブイロクマに新技を実装しました。今後は最新の経路数をご連絡した後に、これまでの経路数の推移をまとめた折れ線グラフを提供します。

自宅でVMware ESXi

Thu, 11 Aug 2011 00:00:00 +0000

　自宅にある機材を利用して、VMware ESXiな仮想環境を作成しました。仕事でやる機会がない以上、自宅でやるしかない！という趣旨です。ありあわせの機器だけで環境が作れたことに感動しました。完成した構成は下記の通り。

Visioで構成管理

Thu, 04 Aug 2011 00:00:00 +0000

　更新する資料が多くて困っていませんか？私は困っています。Visioのネットワーク図を更新した後に、Excelの機器管理台帳を更新するのが面倒で面倒で。。。。なぜ同じ情報を2度も入力しなければならないのか。。。

ACLのremarkを一番上に持っていきたい。

Sat, 16 Jul 2011 00:00:00 +0000

　ネットワークエンジニアとしては基本中の基本なのでしょうが、ACL素人の私がCiscoのACL編集でハマったことをメモします

　show access-listの結果にシーケンス番号が表示されている場合、ip access-list extended ACL-Noコマンドを利用する事で、希望する位置にACLを挿入することができます。しかし、挿入時にRemarkの位置は一切考慮されません。

IPv6のマスコットキャラを作ってみた

Wed, 13 Jul 2011 00:00:00 +0000

　某IXのユーザミーティングで偉い方々のお話を聞きながら、「地デジは今月切り替わるけど、IPv6はいつになったら普及するのかなー」などと考えていました。

Vyattaで経路制御①(Prefix-listで経路フィルタ)

Mon, 04 Jul 2011 00:00:00 +0000

IHAnet関連で、Vyattaの経路制御を試しているので少しずつメモ書きします。多分あってるんじゃないかなー。BGPでの経路制御は一つの目的でも色々なやり方があるので、これが正しいとは限りません。

データセンターにおけるラック設計

Tue, 28 Jun 2011 00:00:00 +0000

「データセンタのラックなんてどれも似たようなもんだ」と思っていたのですが、色々なラックを見た結果、考えが変わりました。ラックのちょっとした差が、利用者の印象を大きく左右します。データセンタ事業者としてラック貸しをやるのであれば、機会損失を防ぐためにも、色々な用途に対応出来る万能なラックを提供したいものです。

いずれそんな業務に関わることもあるだろうという事で、考慮したいラック設計のポイントをまとめました。

Network on Aimless

Mini PC と SEIL/x86 Ayame を使って、検証環境用のいい感じなゲートウェイを作る

はじめに

Virtual WAN の NAT Rules を 利用して、オンプレミスと Azure 間で送信元アドレス変換を実現する

はじめに

Azure Route Server を利用して仮想アプライアンスと VNet 間で経路交換する

PaloAlto on Azure を Active/Passive 構成で導入する

はじめに

パブリッククラウドと仮想アプライアンス型ファイアウォール

はじめに

AWS上のオンデマンドなUTM製品を比較する

オンプレのファイアウォールポリシーをAWSに移行する

ShellShock（ネットワーク機器編）

はじめに

SSLインスペクションについて調べた

onePKでトラフィック量を取得する

OpenSSL脆弱性の影響（ネットワーク機器編）

ネットワーク機器におけるソースポートランダマイゼーションの実装状況

送信元アドレス検証について調べた

送信元アドレス検証とは

ネットワーク運用でも継続的デリバリしたい。

昔ながらの変更作業

Virtual Private Gatewayのベストパス選択アルゴリズムで遊んでみた。

FortiGateのsyslogをパースするFluentdのプラグインを作った。

IPv6の逆引きを設定してみた

HSRP: Global IPv6 Address

CISCO892-K9 IOS 15.3(1)Tの場合

CISCO892-K9 IOS 15.3(2)Tの場合

LogAnalyzerを動かしてみた

事の発端

とりあえずやってみた

RANSIDを利用した自動世代管理

構成図

CiscoルータのConfigをHTTPを使ってバックアップする

CloudCoreVPSのネットワーク環境

Nexus7000をラッキングする

EEMでBGPを操作する

BGP Multipath

通常の場合

FortigateのSSL-VPNで2要素認証してみた

IOSでdiff

configの差分チェック

Cisco892Jを15.2(4)Mにしてみた

扇風機でNW機器を冷やしてみた

自宅インフラ発表会を開催してみた

言い出しっぺの法則

JANOG30とLISP

rubyでCiscoルータの設定を自動化してみた

ForigateでSSL-VPN（トンネルモード）

WS-C3750Xの全機種でIP Services搭載モデルが出るみたい

ブイロクマ（@IPv6kuma）機能修正のお知らせ(AAAAチェック)

さくらVPSのメモリが増えた

CactiでBGPの経路数を監視してみた

BGPとLISPのLookingGrassを作った

自宅ISPを冗長化した

15.2(4)Mが来る～ッ!!

Cisco ISR G2メモ

グローバルASのお値段

IPv6のフルルートにデフォルトルートが混じってた

自宅ラック勉強会#3に参加してきた

CiscoルータのBGPをSNMP監視する為のtips

標準MIB：BGP4-MIB

CiscoMIB：CISCO-BGP4-MIB

Cisco892Jで経路交換サーバ（IPv4）を作った

構成

Cisco892Jを15.2(3)Tにアップデートした

FortigateのVDOMで遊んでみた

OSPFv3はVRF未対応？

CiscoのBGP4-MIBはIPv6未対応？？

自宅をLISPでIPv6化してみた

exabgpでフルルートを注入してみた

YAMAHAのＩＰＩＰトンネルが上手く動いた

YAMAHAのIPIPトンネルが上手く動かない（その2）

正常な通信（LAN側でIPIPトンネル）

YAMAHAのIPIPトンネルが上手く動かない

CiscoとYAMAHAで、IPIPトンネル＆OSPFしてみた。

ブイロクマ（@IPv6kuma）新機能追加のお知らせ(AAAAチェック)

FortigateでGREトンネルを掘ってみた

Ciscoルータのsyslogをrsyslogで受信してみた

自宅をIPv6化した

Virtual WAN の NAT Rules を利用して、オンプレミスと Azure 間で送信元アドレス変換を実現する