Alex Bakhtin wrote:
>
> VS> Коллеги, не встречался ли кто с таким фактом, что netflow пакеты,
> VS> экспортируемые с Cisco, попадают под ACL?
> >>
> VS> Jun 19 11:20:40 <local5.info> gateway.tomsk.su 212: %SEC-6-IPACCESSLOGP:
>list PROTECT_SERVERS denied udp 213.59.238.2(56997) -> 213.59.238.25(9991), 1
>packet
> >>
> VS> Насколько я понимаю, пакеты, порожденные самим роутером, ни при каких
> VS> условиях под ACL попадать не должны? 213.59.238.2/26 - это сама кошка
> VS> 3662, IOS 12.2(5a). Баг или фича?
> >>
> AB> 213.59.238.25 в ARP таблице есть? Сделай ping.
> >>
> >> Btw, 12.2(10a) тоже нас этим "pадует". Сломали все, до чего pучки
> >> дотянулись. Ребятки пытались сделать отпpавку netflow export чеpез CEF, но
>
> VS> У меня на этой кошке, кстати, cef выключен.
>
> Hу тогда понятно - почему оно у тебя вообще не pаботает;)
Как раз работает. На x.x.x.11 уже больше года экспортится без проблем,
а x.x.x.25 кошке не понравился. Где логика? Никакой строчки типа
permit udp any host x.x.x.11 eq 9991
не было и нет. А для x.x.x.25 вдруг понадобилась.
> Действительно, пpи остсутствии CEFа такое поведение будет всегда.
Самое странное как раз в том, что оно не всегда. Иначе я бы на эти грабли
еще в прошлом марте наступил, когда запускали первый flow collector.
И кстати, почему при отсутствии CEFа должно быть такое поведение? И
что ты подразумеваешь под "вообще не работает"? Расхождений с аплинком
при подсчете трафика по netflow не отмечалось.
--
Victor Sudakov, VAS4-RIPE, VAS47-RIPN
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
