Так, мне стало интересно. :)
Router#sh ip flow export
Flow export is enabled
Exporting flows to x.x.x.57 (9991)
Exporting using source interface FastEthernet0/0
Version 6 flow records, peer-as
10 flows exported in 8 udp datagrams
^ - 8 пакетиков
0 flows failed due to lack of export packet
7 export packets were sent up to process level
^ - 7 из которых были посланы на процесс левел
Router#sh ip acce
Extended IP access list 100
permit icmp any any
permit ip any any (7 matches)
^ опаньки. Вот они.
Router#sh ip cef
%CEF not running
Router#sh ver | incl Vers
IOS (tm) 7200 Software (C7200-P-M), Version 12.0(20.3)ST2, EARLY DEPLOYMENT
MAINTENANCE INTERIM SOFTWARE
Router#conf t
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#ip cef
Router(config)#^Z
пару минут спустя:
Router#sh ip flo ex
Flow export is enabled
Exporting flows to x.x.x.57 (9991)
Exporting using source interface FastEthernet0/0
Version 6 flow records, peer-as
28 flows exported in 23 udp datagrams
0 flows failed due to lack of export packet
20 export packets were sent up to process level
^ число замёрзло.
Router#sh ip acce 100
Extended IP access list 100
permit icmp any any
permit ip any any (20 matches)
^ и тут тоже.
Витя, ты не мог бы посмотреть на расхождение кол-ва пакетиков которые были
exported с теми, которые были sent to process level? Есть ли шанс, что на .11
пакетитки ушли через fast switching, а на .25 по какой-то причине пошли через
процесс-свичинг?
SY,
--
CCNP, CCDP (R&S) Dmitri E. Kalintsev
CDPlayer@irc Network Architect @ connect.com.au
dek @ connect.com.au phone: +61 3 9674 3913 fax: 9251 3666
UIN:7150410 mobile: +61 414 821 382
----- Original Message -----
From: "Alex Bakhtin" <bakhtin@amt.ru>
To: <inet-admins@info.east.ru>
Sent: 20 июня 2002 г. 0:59
Subject: Re: [inet-admins] Re: [inet-admins] Re: [inet-admins] netflow export
и ACL
> >>>>> "VS" == Victor Sudakov writes:
> Пpивет.
>
> VS> Коллеги, не встречался ли кто с таким фактом, что netflow пакеты,
> VS> экспортируемые с Cisco, попадают под ACL?
> >> >>
> VS> Jun 19 11:20:40 <local5.info> gateway.tomsk.su 212:
%SEC-6-IPACCESSLOGP: list PROTECT_SERVERS denied udp 213.59.238.2(56997) ->
213.59.238.25(9991), 1 packet
> >> >>
> VS> Насколько я понимаю, пакеты, порожденные самим роутером, ни при каких
> VS> условиях под ACL попадать не должны? 213.59.238.2/26 - это сама кошка
> VS> 3662, IOS 12.2(5a). Баг или фича?
> >> >>
> AB> 213.59.238.25 в ARP таблице есть? Сделай ping.
> >> >>
> >> >> Btw, 12.2(10a) тоже нас этим "pадует". Сломали все, до чего pучки
> >> >> дотянулись. Ребятки пытались сделать отпpавку netflow export чеpез
CEF, но
> >>
> VS> У меня на этой кошке, кстати, cef выключен.
> >>
> >> Hу тогда понятно - почему оно у тебя вообще не pаботает;)
>
> VS> Как раз работает. На x.x.x.11 уже больше года экспортится без проблем,
> VS> а x.x.x.25 кошке не понравился. Где логика? Никакой строчки типа
>
> Откуда я знаю - где логика? У меня в лабоpатоpном тесте все именно
> так, как я написал. Почему экспоpтилось на дpугой хост понять невозможно,
> не обладая полной инфоpмацией. Так что если будет не лень - можешь всякую
> инфу пособиpать - sh tech там, я, если будет тоже не лень - туда посмотpю;)
> Btw, глянул на подвеpнувшейся 5300 с 12.1(13) - та же фигня.
>
> VS> permit udp any host x.x.x.11 eq 9991
>
> VS> не было и нет. А для x.x.x.25 вдруг понадобилась.
>
> >> Действительно, пpи остсутствии CEFа такое поведение будет всегда.
>
> VS> Самое странное как раз в том, что оно не всегда. Иначе я бы на эти
грабли
> VS> еще в прошлом марте наступил, когда запускали первый flow collector.
>
> Hе обязательно.
>
> --
> Best regards, Alex Bakhtin, CCIE #8439
> AMT Group, Cisco Systems Gold Partner,
=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on
