@linkmeup_chat
Sergey06.04.2018
20:53:15
20:53:15
какие ацл на л3 транзите
Ivan06.04.2018
20:53:26
20:53:26
у вас тут негодования?
Sergey06.04.2018
20:53:28
20:53:28
ssh заблочил и уже слава богу :D
да, судя по упавшим провадм, цодам и сервисам, охреневаем
Google
Pavel06.04.2018
20:54:54
20:54:54
Не. Это не у всех больших операторов. Это у всех адекватных людей так
ну энтерпрайз какой мелкий может и бабла на асу зажать, типа и так норм работает, 3750 поставил, acl на vty повесил и хватитSergey06.04.2018
20:55:00
20:55:00
как там оказались каталисты с л3 управлением на белом ип
Innokentiy06.04.2018
20:55:16
20:55:16
> с л3 управлением на белом ип
это не требуется
Sergey06.04.2018
20:55:23
20:55:23
к мелким провам притензий нет, спроса нет
Innokentiy06.04.2018
20:55:24
20:55:24
достаточно просто иметь белый ип
Roman06.04.2018
20:55:35
20:55:35
ну энтерпрайз какой мелкий может и бабла на асу зажать, типа и так норм работает, 3750 поставил, acl на vty повесил и хватит
Зачем? Зачем вешать паблик ip на свитч тем более в ынытрпрайзе?Pavel06.04.2018
20:55:47
20:55:47
свитч рутит
Sergey06.04.2018
20:55:49
20:55:49
Pavel06.04.2018
20:55:52
20:55:52
это типа бордер, стык с ISP
Ivan06.04.2018
20:56:11
20:56:11
Innokentiy06.04.2018
20:56:23
20:56:23
а мне кажется, количество упавших 2960 небольшое
Sergey06.04.2018
20:56:25
20:56:25
достаточно просто иметь белый ип
коммутаторы из списка для роутеров в цоды, под сервисы и в провайдеры крупные не годятсяа они падают
GoogleLeonid06.04.2018
20:56:32
20:56:32
Pavel06.04.2018
20:57:23
20:57:23
Вангую, что большинство упавших сеток, это мелкие л2-каталисты, которые терминируют дальше вланы на 3750-м, и в нем же аплинк на провайдера. Минус 3750 после атаки = минус вся сеть
Ну, к примеру
Roman06.04.2018
20:57:47
20:57:47
Самое печальное, что все будут винить вендора, а не свой долбоебизм
Sergey06.04.2018
20:57:54
20:57:54
с мелких провов и спроса нет, тут безвыходная ситуация
Ivan06.04.2018
20:58:41
20:58:41
Самое печальное, что все будут винить вендора, а не свой долбоебизм
Конечно. Вспомни уязвимость в тиках год назад. Только ленивый не указал на косяк тиков.Sergey06.04.2018
20:59:08
20:59:08
ты мелкий пров, у тебя 3750G , куча л3 интерфейсов на ней, транзитный трафик , л3 маршрутизация, стыки с аплинками..
пользовать фаервол и не торчать портами наружу
давай раскажи как вещать на пару сотню svi интерфейсов ацли и блокировкой портовLeonid06.04.2018
20:59:58
20:59:58
Самое печальное, что все будут винить вендора, а не свой долбоебизм
Ну, справедливости ради, если бы у меня в каком то мелком филиале стоял как роутер 3650ый, я бы на него аксесс лист на все порты бы не вешал.Ivan06.04.2018
21:00:08
21:00:08
давай раскажи как вещать на пару сотню svi интерфейсов ацли и блокировкой портов
дык закрой порт, обнови железки вот это вот всеSergey06.04.2018
21:00:24
21:00:24
Roman06.04.2018
21:00:31
21:00:31
Если у тебя на едже нет ничего фильтрующего... Ну это такое...
Sergey06.04.2018
21:01:04
21:01:04
нет отдельного ацл для контрол плана в тех свитчах
какой фаерволл если циска у тебя бордер
с какой стороны закрываться, атакм может быть как с интернета так и сзараженного клиента
клиент может быть в любом из сотни вланов
GoogleIvan06.04.2018
21:02:31
21:02:31
с какой стороны закрываться, атакм может быть как с интернета так и сзараженного клиента
ну циске же сообщили об этом за 4 месяца (вроде как)Pavel06.04.2018
21:02:33
21:02:33
Вот эту штуку периодически мониторить можно, чтобы попытаться оперативно не допустить беды:
https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities
Правда едва ли там быстрее будут появляться сведения, чем во всяких чатиках и каналах
Ivan06.04.2018
21:02:47
21:02:47
можно было патч выпустить и всем письмо написать.
Sergey06.04.2018
21:02:48
21:02:48
Pavel06.04.2018
21:03:39
21:03:39
ну железки-то старые. Намёк - типа покупайте новые продукты)
Sergey06.04.2018
21:03:54
21:03:54
странно вообще такой сервис держать на всех л3 интерфейсах, ладно она в дефолте .есть 1 влан дхцп на нем
Anton Klochkov06.04.2018
21:04:25
21:04:25
с какой стороны закрываться, атакм может быть как с интернета так и сзараженного клиента
вырубить нахрен no vstack
Vladimir
Ivan06.04.2018
21:05:04
21:05:04
ip access-list extended SMI_HARDENING_LIST
permit tcp host 10.10.10.1 host 10.10.10.200 eq 4786
deny tcp any any eq 4786
permit ip any any`
Anton Klochkov06.04.2018
21:05:06
21:05:06
Алё
На некоторых, на пример 3845 дописывай
GoogleIvan06.04.2018
21:06:33
21:06:33
https://roem.ru/06-04-2018/269389/u-provajderov-cisco/
Sergey06.04.2018
21:07:39
21:07:39
001E371C *.4786 *.* LISTEN
так же висит
#sh tcp brief all | inc 4786
001E371C *.4786 *.* LISTEN
Anton Klochkov06.04.2018
21:09:56
21:09:56
ХМ а на чем ты? 3750?
Sergey06.04.2018
21:11:50
21:11:50
3750G
Anton Klochkov06.04.2018
21:14:15
21:14:15
А дай вывод sh vstack config
Sergey06.04.2018
21:14:50
21:14:50
#sh vstack config
Role: Client
Vstack Director IP address: 0.0.0.0
* Following configurations will be effective only on director *
Vstack default management vlan: 1
Vstack management Vlans: none
Join Window Details:
Window: Open (default)
Operation Mode: auto (default)
Vstack Backup Details:
Mode: On (default)
Repository:
Alex06.04.2018
21:14:55
21:14:55
таки чем плох уход в менеджмент так и не было озвучено. Очень понравилось сранвение про красную кнопку. Уровень компетенции и широты знаний + выше уровень ответственности, как следствие - переход на уровень менеджмента. Когда человек командуя армиями чужими руками может решать больше задач и более эффективно, чем собственноручно на уровне исполнителя копая окопы круглые сутки.
Это просто бралось как данное. Что делать если возраст уже не тот, а в менеджмент не можется/хочется.Denis06.04.2018
21:16:38
21:16:38
-(config)#no vstack config
^
% Invalid input detected at '^' marker.
-(config)#no vstack ?
director Configure director's IP address
-#sh vstack config
Role: Client
Vstack Director IP address: 0.0.0.0
12.2(55)SE
на 2960
WS-C2960G-48TC-L
Anton Klochkov06.04.2018
21:17:31
21:17:31
https://supportforums.cisco.com/t5/lan-switching-and-routing/cannot-disable-vstack-on-switch/td-p/3326603
Красиво
Innokentiy06.04.2018
21:17:37
21:17:37
No vstack config не выключает vstack
GoogleInnokentiy06.04.2018
21:19:19
21:19:19
только что проверил на тестовом 3560
там есть no vstack, и оно помогает
а no vstack config - не помогает
U06.04.2018
21:22:42
21:22:42
WS-C2960G-48TC-L
как раз днём настраивал, вливал c2960-lanbasek9-mz.122-55.SE12.bin, было там на тему no vstackSergey06.04.2018
21:23:33
21:23:33
это же л2 свитчи, им транзитом л3 не гонять, ип только на управлении, его зафаерволить можно где нибудь еще, клиенты и инетрнет этот л3 интерфейс не увидят
Denis06.04.2018
21:23:34
21:23:34
у меня SE просто
U06.04.2018
21:25:05
21:25:05
это же л2 свитчи, им транзитом л3 не гонять, ип только на управлении, его зафаерволить можно где нибудь еще, клиенты и инетрнет этот л3 интерфейс не увидят
на L2 само собой хорошим тоном является вынос управления в отдельный vlan с ограниченным доступом. Я просто проверил на всякий случай )Anton Klochkov06.04.2018
21:43:25
21:43:25
#sh vstack config
Role: Client
Vstack Director IP address: 0.0.0.0
* Following configurations will be effective only on director *
Vstack default management vlan: 1
Vstack management Vlans: none
Join Window Details:
Window: Open (default)
Operation Mode: auto (default)
Vstack Backup Details:
Mode: On (default)
Repository:
Попробуй назначить не дефолтный влан для этого говнаvstack vlan
Anton Klochkov06.04.2018
21:43:48
21:43:48
Vstack default management vlan: 10
Vstack management Vlans: none
Sergey06.04.2018
21:44:00
21:44:00
у меня в 1 влане ничего же нет
Anton Klochkov06.04.2018
21:44:36
21:44:36
Железка так не думает наверно, попробуй хуеж точно не будет влан 666 какой-нибуль :)
Innokentiy06.04.2018
21:47:25
21:47:25
ему пофиг на вланы, увы
влан указывается для бродкастового поиска директора клиентом
Sergey06.04.2018
21:52:30
21:52:30
по дефолту процесс весит на всех адресах
Anton Klochkov06.04.2018
21:52:31
21:52:31
188.123.253.246
Вот этот IP вижу в логах фаера :)
AKADO-STOLITSA-HFC
Sergey06.04.2018
21:52:52
21:52:52
сливай в роскомнадзор, пусть банят
Открыть в Telegram