ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 

  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: Inet-Admins
Inet-Admins mailing list archive (inet-admins@info.east.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: [inet-admins] Re: [inet-admins] Re: [inet-admins] netflow export и ACL



Так, мне стало интересно. :)

Router#sh ip flow export
Flow export is enabled
  Exporting flows to x.x.x.57 (9991)
  Exporting using source interface FastEthernet0/0
  Version 6 flow records, peer-as
  10 flows exported in 8 udp datagrams
                       ^ - 8 пакетиков

  0 flows failed due to lack of export packet
  7 export packets were sent up to process level
  ^ - 7 из которых были посланы на процесс левел

Router#sh ip acce
Extended IP access list 100
    permit icmp any any
    permit ip any any (7 matches)
                       ^ опаньки. Вот они.

Router#sh ip cef
 %CEF not running

Router#sh ver | incl Vers
IOS (tm) 7200 Software (C7200-P-M), Version 12.0(20.3)ST2, EARLY DEPLOYMENT
MAINTENANCE INTERIM SOFTWARE

Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip cef
Router(config)#^Z

пару минут спустя:

Router#sh ip flo ex
Flow export is enabled
  Exporting flows to x.x.x.57 (9991)
  Exporting using source interface FastEthernet0/0
  Version 6 flow records, peer-as
  28 flows exported in 23 udp datagrams
  0 flows failed due to lack of export packet
  20 export packets were sent up to process level
  ^ число замёрзло.

Router#sh ip acce 100
Extended IP access list 100
    permit icmp any any
    permit ip any any (20 matches)
                       ^ и тут тоже.

Витя, ты не мог бы посмотреть на расхождение кол-ва пакетиков которые были
exported с теми, которые были sent to process level? Есть ли шанс, что на .11
пакетитки ушли через fast switching, а на .25 по какой-то причине пошли через
процесс-свичинг?

SY,
--
 CCNP, CCDP (R&S)                          Dmitri E. Kalintsev
 CDPlayer@irc               Network Architect @ connect.com.au
 dek @ connect.com.au    phone: +61 3 9674 3913 fax: 9251 3666
 http://-UNAVAIL-         UIN:7150410  mobile: +61 414 821 382

----- Original Message -----
From: "Alex Bakhtin" <bakhtin@amt.ru>
To: <inet-admins@info.east.ru>
Sent: 20 июня 2002 г. 0:59
Subject: Re: [inet-admins] Re: [inet-admins] Re: [inet-admins] netflow export
и ACL


> >>>>> "VS" == Victor Sudakov writes:
> Пpивет.
>
>  VS> Коллеги, не встречался ли кто с таким фактом, что netflow пакеты,
>  VS> экспортируемые с Cisco, попадают под ACL?
>  >> >>
>  VS> Jun 19 11:20:40 <local5.info> gateway.tomsk.su 212:
 %SEC-6-IPACCESSLOGP: list PROTECT_SERVERS denied udp 213.59.238.2(56997) ->
213.59.238.25(9991), 1 packet
>  >> >>
>  VS> Насколько я понимаю, пакеты, порожденные самим роутером, ни при каких
>  VS> условиях под ACL попадать не должны? 213.59.238.2/26 - это сама кошка
>  VS> 3662, IOS 12.2(5a). Баг или фича?
>  >> >>
>  AB> 213.59.238.25 в ARP таблице есть? Сделай ping.
>  >> >>
>  >> >> Btw, 12.2(10a) тоже нас этим "pадует". Сломали все, до чего pучки
>  >> >> дотянулись. Ребятки пытались сделать отпpавку netflow export чеpез
CEF, но
>  >>
>  VS> У меня на этой кошке, кстати, cef выключен.
>  >>
>  >> Hу тогда понятно - почему оно у тебя вообще не pаботает;)
>
>  VS> Как раз работает. На x.x.x.11 уже больше года экспортится без проблем,
>  VS> а x.x.x.25 кошке не понравился. Где логика? Никакой строчки типа
>
>         Откуда я знаю - где логика? У меня в лабоpатоpном тесте все именно
> так, как я написал. Почему экспоpтилось на дpугой хост понять невозможно,
> не обладая полной инфоpмацией. Так что если будет не лень - можешь всякую
> инфу пособиpать - sh tech там, я, если будет тоже не лень - туда посмотpю;)
> Btw, глянул на подвеpнувшейся 5300 с 12.1(13) - та же фигня.
>
>  VS> permit udp any host x.x.x.11 eq 9991
>
>  VS> не было и нет. А для x.x.x.25 вдруг понадобилась.
>
>  >> Действительно, пpи остсутствии CEFа такое поведение будет всегда.
>
>  VS> Самое странное как раз в том, что оно не всегда. Иначе я бы на эти
грабли
>  VS> еще в прошлом марте наступил, когда запускали первый flow collector.
>
>         Hе обязательно.
>
> --
> Best regards, Alex Bakhtin, CCIE #8439
> AMT Group, Cisco Systems Gold Partner, http://www.amt.ru



=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on http://info.east.ru/rus/inetadm.html



 




Copyright © Lexa Software, 1996-2009.