CiscoExpo 2011

-
Хожу, слушаю... Упор на виртуализованые сервисы

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

ASA и AnyConnect пользователи и маршруты

-
При подключении пользователя по AnyConnect, ASA добавляет в таблицу маршрутизации маршрут /32 с метрикой: Known via "static", distance 1, metric 0 (connected) В таблице маршрутизайии он будет отмечен как V (VPN) Зачем это нужно и почему /32? Если два пользователя с одним и тем же пулом, подключаться к разным внешним интерфейсам то будет два разных маршрута, и все будет работать. Но вот чтоб этот маршрут передать кудато еще, нужно завести статический маршрут на весь пул, например 192.168.2.0/25 на null или на внешний какой то один интерфейс. И уже его анонсировать в другие протоколы маршрутизации. Хотя если у вас ASA маршрутизатор основной, и у всех за ней маршрут по умолчанию на нее, то и этого не требуется.    
Далее...

Статические маршруты и петли маршрутизации

-
 Допустим у вас есть маршрутизатор, он является шлюзом по умолчанию для ПК. Пусть сеть ПК будет 192.168.0.0 255.255.255.0 Так же у вас есть сеть принтеров 192.168.1.0 255.255.255.0 И предположим есть файрвол, он связан с маршрутизатором PtP сетью например 10.0.0.0 255.255.255.252 Сети у вас иногда добавляются но их немного и вам нет смысла поднимать динамическую маршрутизацию. Но вы на файрволе прописали маршрут на сети 192.168.0.0 255.255.0.0 через маршрутизатор 10.0.0.1 А на маршрутизаторе маршрут по умолчанию на файрвол. И теперь если мы пинганем принтер 192.168.1.5 то если он существует мы увидим ответ а если его нет то будет таймаут. А вот если мы пинганем адрес 192.168.2.5 то мы увидим ответ от маршрутизатора что истек TTL потому что у маршрутизатора адрес 192.168.2.5 попадает в маршрут по умолчанию на файрвол, а у файрвола он же в маршрут на сети 192.168.0.0 255.255.0.0 на маршрутизатор. Так они и шлют трафик друг другу пока не истечет TTL. Что делать? 1. Прописать маршруты ...
Далее...

Двухфакторная аутентификация на VPN шлюзах для всех

-
Двухфакторная аутентификация с использованием одноразовых паролей, является одним из самых надежных методов защиты от несанкционированного доступа к внутренним ресурсам компании, так как с одной стороны делает утечку логина/пароля не достаточной для того чтоб злоумышленник смог получить доступ, и с другой делает невозможной перебор паролей, так как перебирать нужно одновременно логин, пароль и одноразовый пароль, а он все время разный. Одноразовый пароль можно например отправить по СМС или по электронной почте, или можно его сгенерировать при помощи программного или аппаратного токена что наиболее удобно и бесплатно. Поставщиков программного обеспечения для двухфакторной аутентификации великое множество, как облачных так и тех кто позволяет развернуть его внутри компании. Для примера приведем несколько подобных: DUO SafeNet MFASoft Multifactor multiOTP   Большинство подобных продуктов состоит, как минимум из следующих компонентов: 1. Radius сервера, который взаимодействует с ш...
Далее...