On Wed, 19 Jun 2002, Victor Sudakov wrote:
> Date: Wed, 19 Jun 2002 21:05:31 +0700
> From: Victor Sudakov <vas@mpeks.tomsk.su>
> Reply-To: inet-admins@info.east.ru
> To: inet-admins@info.east.ru
> Subject: [inet-admins] Re: [inet-admins] netflow export и ACL
>
> Alex Bakhtin wrote:
> >
> > VS> Коллеги, не встречался ли кто с таким фактом, что netflow пакеты,
> > VS> экспортируемые с Cisco, попадают под ACL?
> >
> > VS> Jun 19 11:20:40 <local5.info> gateway.tomsk.su 212:
>%SEC-6-IPACCESSLOGP: list PROTECT_SERVERS denied udp 213.59.238.2(56997) ->
>213.59.238.25(9991), 1 packet
> >
> > VS> Насколько я понимаю, пакеты, порожденные самим роутером, ни при каких
> > VS> условиях под ACL попадать не должны? 213.59.238.2/26 - это сама кошка
> > VS> 3662, IOS 12.2(5a). Баг или фича?
> >
> >
> > 213.59.238.25 в ARP таблице есть? Сделай ping.
>
> По "sh arp" он есть. И пинг ходит.
>
> В общем я workaround, конечно, нашел - разрешил 9991/udp на
> 213.59.238.25 в исходящем access-list интерфейса. Убирание
> соответствующего permit прекращает export. Воспроизводимо.
>
> Конечно, workaround это хорошо, но первопричину бы интересно знать.
>
Плохо это. Как я понял, оригинальная идея была - защита от спуфа netflow
packets. То, что родилось на рутере - пропускаем. То, что пришло снаружи -
(spoofed) режем.. Плохо, что не работает.
Dmitry.
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
