Alex Bakhtin wrote:
>
> VS> Коллеги, не встречался ли кто с таким фактом, что netflow пакеты,
> VS> экспортируемые с Cisco, попадают под ACL?
>
> VS> Jun 19 11:20:40 <local5.info> gateway.tomsk.su 212: %SEC-6-IPACCESSLOGP:
>list PROTECT_SERVERS denied udp 213.59.238.2(56997) -> 213.59.238.25(9991), 1
>packet
>
> VS> Насколько я понимаю, пакеты, порожденные самим роутером, ни при каких
> VS> условиях под ACL попадать не должны? 213.59.238.2/26 - это сама кошка
> VS> 3662, IOS 12.2(5a). Баг или фича?
>
>
> 213.59.238.25 в ARP таблице есть? Сделай ping.
По "sh arp" он есть. И пинг ходит.
В общем я workaround, конечно, нашел - разрешил 9991/udp на
213.59.238.25 в исходящем access-list интерфейса. Убирание
соответствующего permit прекращает export. Воспроизводимо.
Конечно, workaround это хорошо, но первопричину бы интересно знать.
--
Victor Sudakov, VAS4-RIPE, VAS47-RIPN
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
