Cisco 827 Problema...

[keemax]

Originariamente inviato da NightStalker
x il discorso upgrade Ios:
hai presente il detto "squadra che vince non si cambia"?

cambiare solo quando è fondamentale e necessario... ovvio che se vuoi aggiungere features in più (Des, FW, etc) allora ha senso, ma dipende se ne senti la necessità.

PS: per il discorso Acl: come avrei letto sopra (leggi eh ) basta spostare in cima alla access-list 100 quelle dedite all'apertura delle porte poi necessarie al Nat (4662/4661/4665 e 20/21) per evitare che vengano "scavalcate"dall'antispoofing.

tra l'altro se non hai bisogno del multicast (perlopiu routing e streaming audio/video) puoi pure aggiungere una riga con "access-list 100 deny ip 224.0.0.0 15.255.255.255 any" sempre nella sezione anti-spoofing (quindi dopo quella con il deny del loopback 127.0.0.0 0.0.0.255), cmq non è fondamentale.

Per il discorso delle access-list, ho letto e stasera modifico...
Piu che altro, sai dove posso reperire una guida in italiano, per tutti i comandi e descrizione delle ios cisco ?
Cosi' almeno, non romperei piu' le scatole a voi con domande, a volte, banali...

[NightStalker]

Originariamente inviato da keemax
Per il discorso delle access-list, ho letto e stasera modifico...
Piu che altro, sai dove posso reperire una guida in italiano, per tutti i comandi e descrizione delle ios cisco ?
Cosi' almeno, non romperei piu' le scatole a voi con domande, a volte, banali...

guida access-list:
http://www.cisco.com/en/US/products/...800a5b9a.shtml

ma purtroppo non è italiano ma inglese (però secondo la buona tradizione Cisco, è completissimo)


per lo IOS e i suoi comandi, cerca "Ios command reference" sul sito Cisco e beccati quello della tua release di Ios.

[keemax]

Originariamente inviato da NightStalker
guida access-list:
http://www.cisco.com/en/US/products/...800a5b9a.shtml

ma purtroppo non è italiano ma inglese (però secondo la buona tradizione Cisco, è completissimo)


per lo IOS e i suoi comandi, cerca "Ios command reference" sul sito Cisco e beccati quello della tua release di Ios.

Grazie...

[CH1CC0]

pienamente d'accordo sul detto "squadra che vince non si cambia".

Se devi fare upgrade, accertati di avere un buon motivo (es. vuoi aggiungere features, oppure l'IOS che hai ti dà problemi...)

CiAO

[keemax]

Originariamente inviato da CH1CC0
pienamente d'accordo sul detto "squadra che vince non si cambia".

Se devi fare upgrade, accertati di avere un buon motivo (es. vuoi aggiungere features, oppure l'IOS che hai ti dà problemi...)

CiAO

Credo che se riesco a tenere stabile questa versione di ios, mi terro questa... Come giustamente mi dite.. Lo devo testare per bene..
Grazie ragazzi, siete stati di grande aiuto...
Sonosempre disposto per la birra...

[keemax]

Niente da fare, ho fatto la modifica, ma ho sempre low id in emule e compagnia...
Mah...

[NightStalker]

Originariamente inviato da keemax
Niente da fare, ho fatto la modifica, ma ho sempre low id in emule e compagnia...
Mah...

mmm strano se hai seguito quello che ti ho detto :|
cmq ti ricordo che per aggiungere le righe che ti ho dato devi metterle in cima, quindi devi cancellare l'access-list (no ip access-list 100, ricordati che le access-list non possono essere modificate ma devono essere riscritte da capo a ogni modifica) e ridare tutta la acl da capo.


facciamo cosi al limite: se ti va, mi puoi contattare in pm domani e mandarmi il tuo ip e creare un account temporaneo apposta x il mio accesso (devi darmi sia username che password e anche la enable secret, che poi modificherai nuovamente e infine l'indirizzo ip che hai al momento) e vedo cosa possa fare (ovviamente lo faccio durante i "buchi" al lavoro quindi non sarà una cosa immediata, basta che non ti disconnetti altrimenti perdi l'ip e devi ridarmelo).


fammi sapere, ciao

[keemax]

Originariamente inviato da NightStalker
mmm strano se hai seguito quello che ti ho detto :|
cmq ti ricordo che per aggiungere le righe che ti ho dato devi metterle in cima, quindi devi cancellare l'access-list (no ip access-list 100, ricordati che le access-list non possono essere modificate ma devono essere riscritte da capo a ogni modifica) e ridare tutta la acl da capo.


facciamo cosi al limite: se ti va, mi puoi contattare in pm domani e mandarmi il tuo ip e creare un account temporaneo apposta x il mio accesso (devi darmi sia username che password e anche la enable secret, che poi modificherai nuovamente e infine l'indirizzo ip che hai al momento) e vedo cosa possa fare (ovviamente lo faccio durante i "buchi" al lavoro quindi non sarà una cosa immediata, basta che non ti disconnetti altrimenti perdi l'ip e devi ridarmelo).


fammi sapere, ciao

Ciao, ieri sera ho dovuto completamente resettare il router, perche' non mi prendeva i comandi anche dopo aver cancellato l'access-list 100 e rimessa come mi avevi detto tu...
Oltretutto avevo anche provato a cambiare ios con alcuni vecchi che avevo, ma mi ha fatto piu' casini che tutto il resto...
Allora sono andato in rommon e ho resettato il tutto..
Ho ricaricato la ios, ma devo ancora reinserire tutta la conf...
Questa sera riprovo a inserire tutto da capo e vedo se, essendo pulito, si prende tutto regolarmente...
Domani ti giro l'indirizzo ip e le varie pwd..
Cmq ho guardato il link che mi hai girato e e la conf delle access-list e', a parer mio, precisa...
Strano veramente,a meno che emule e compagnia, non utilizzano altre porte che in realta non avendo l'access-list passano tranquillamente...
Ma di solito sono quelle, cioe' la tcp 4661-4662 e udp 4665...

[NightStalker]

Originariamente inviato da keemax
Ciao, ieri sera ho dovuto completamente resettare il router, perche' non mi prendeva i comandi anche dopo aver cancellato l'access-list 100 e rimessa come mi avevi detto tu...
Oltretutto avevo anche provato a cambiare ios con alcuni vecchi che avevo, ma mi ha fatto piu' casini che tutto il resto...
Allora sono andato in rommon e ho resettato il tutto..
Ho ricaricato la ios, ma devo ancora reinserire tutta la conf...
Questa sera riprovo a inserire tutto da capo e vedo se, essendo pulito, si prende tutto regolarmente...
Domani ti giro l'indirizzo ip e le varie pwd..
Cmq ho guardato il link che mi hai girato e e la conf delle access-list e', a parer mio, precisa...
Strano veramente,a meno che emule e compagnia, non utilizzano altre porte che in realta non avendo l'access-list passano tranquillamente...
Ma di solito sono quelle, cioe' la tcp 4661-4662 e udp 4665...

io so che su Emule sono (ma su Emule standard, non overnet o emule plus) 4662 tcp e 4672 udp, e lo dico perchè l'ho usato intensivamente per qualche mese.

cmq prova a reinserire tutto da capo come hai detto, se no mi comunichi i parametri di cui sopra via PM e vedo qual'è il problema appena trovo un buco.

[keemax]

Originariamente inviato da NightStalker
io so che su Emule sono (ma su Emule standard, non overnet o emule plus) 4662 tcp e 4672 udp, e lo dico perchè l'ho usato intensivamente per qualche mese.

cmq prova a reinserire tutto da capo come hai detto, se no mi comunichi i parametri di cui sopra via PM e vedo qual'è il problema appena trovo un buco.

ok, io provo a cambiare anche l'udp con il 4672 e vediamo cosa succede...
Grazie ancora...

[NightStalker]

Originariamente inviato da keemax
ok, io provo a cambiare anche l'udp con il 4672 e vediamo cosa succede...
Grazie ancora...

io proverei PRIMA a rimettere la config da capo, e solo poi provare a cambiar le porte.

[keemax]

Originariamente inviato da NightStalker
io proverei PRIMA a rimettere la config da capo, e solo poi provare a cambiar le porte.

Giusta osservazione....

[keemax]

Originariamente inviato da NightStalker
io proverei PRIMA a rimettere la config da capo, e solo poi provare a cambiar le porte.

Ciao, ieri sera ho ripristinato il tutto...
Devo dire che da quando ho resettato completamente il router e ricaricato da 0 il tutto sembra molto piu' stabile...
La access-list 100, pero' mi fanno ancora lo stesso scherzo...
Ho seguito anche il discorso della modifica per l'accesso via telnet, ma la cosa che non riesco a capire, che insendo il discorso di user e pwd locali, non riesco piu' ad accedervi...
Cioe' quando mi chiede l'utente, io non ho definito nessun utente nella conf... Quale dovrei usare ?
Ho fatto praticamente come mi avevi detto tu, ma ora solo via console riesco ad entrare via conf...
Lo so che e' una domanda banale, ma se riesco a risolverla, ti giro i dati per poterti collegare via telnet, per controllare le access-list.
Ha, un'ultima cosa : la hold-queue, nell'interfaccia ethernet la mette sempre di default...Io non l'ho impostata inizialmente....
Cmq, credo che la cisco si comporti come windows... Piu' ci smanetti e piu' si introia completamente fono ad arrivare al "FORMATTONE" come windows
Grazie...
Ciao.

[CH1CC0]

Le queue-list le mette di default.

Per username e pw, devi aggiungere in global configuration, questa stringa:

username xxxxxxx password 0-7 yyyyyyyy

xxxxx: scegli uno username
0-7: sono i livelli di encryption, 0 in chiaro e 7 criptato
yyyyy: scegli una pw

CiAO

[keemax]

Originariamente inviato da CH1CC0
Le queue-list le mette di default.

Per username e pw, devi aggiungere in global configuration, questa stringa:

username xxxxxxx password 0-7 yyyyyyyy

xxxxx: scegli uno username
0-7: sono i livelli di encryption, 0 in chiaro e 7 criptato
yyyyy: scegli una pw

CiAO

Grazie, ecco il perche'...

[NightStalker]

Originariamente inviato da CH1CC0
Le queue-list le mette di default.

è vero me nero dimenticato, ma non per tutte le versioni dello IOS

Originariamente inviato da CH1CC0

Per username e pw, devi aggiungere in global configuration, questa stringa:

username xxxxxxx password 0-7 yyyyyyyy

xxxxx: scegli uno username
0-7: sono i livelli di encryption, 0 in chiaro e 7 criptato
yyyyy: scegli una pw

CiAO

se è abilitato il "service password encryption", se dai come comando "username pluto password 7 pippo", lo IOS da per scontato che la parola "pippo" che segue il parametro "7" è già crittografata e così non ti autentica più (pippo in questo modo diventa l'hash non la password, e quindi non coincide col "pippo" da noi digitato), invece se usi "username pluto password pippo", la password viene ritenuta da crittografare (per modo di dire, a dire il vero il level 7 viene decifrato in qualche secondo avendo l'hash) e quindi viene inserita normalmente. poi nella configurazione lui ci mostrerà "username pluto password 7 23uio2u3012" dopo che avrà generato l'hash.

[NightStalker]

Originariamente inviato da keemax
Ciao, ieri sera ho ripristinato il tutto...
Devo dire che da quando ho resettato completamente il router e ricaricato da 0 il tutto sembra molto piu' stabile...
La access-list 100, pero' mi fanno ancora lo stesso scherzo...
Ho seguito anche il discorso della modifica per l'accesso via telnet, ma la cosa che non riesco a capire, che insendo il discorso di user e pwd locali, non riesco piu' ad accedervi...
Cioe' quando mi chiede l'utente, io non ho definito nessun utente nella conf... Quale dovrei usare ?
Ho fatto praticamente come mi avevi detto tu, ma ora solo via console riesco ad entrare via conf...
Lo so che e' una domanda banale, ma se riesco a risolverla, ti giro i dati per poterti collegare via telnet, per controllare le access-list.
Ha, un'ultima cosa : la hold-queue, nell'interfaccia ethernet la mette sempre di default...Io non l'ho impostata inizialmente....
Cmq, credo che la cisco si comporti come windows... Piu' ci smanetti e piu' si introia completamente fono ad arrivare al "FORMATTONE" come windows
Grazie...
Ciao.

se metti "login local" nel telnet, devi per forza settare un utente con "username X password Y", altrimenti non ti fa entrare.


per la hold-queue, mi ero dimenticato che in certe versioni dello IOS viene messa di default.



per discorso nat e acl 100:

ip nat inside source static udp 192.168.1.2 4665 interface Dialer1 4665
ip nat inside source static tcp 192.168.1.2 4662 interface Dialer1 4662
ip nat inside source static tcp 192.168.1.2 4661 interface Dialer1 4661
ip nat inside source static tcp 192.168.1.2 20 interface Dialer1 20
ip nat inside source static tcp 192.168.1.2 21 interface Dialer1 21

access-list 100 permit tcp any host 192.168.1.2 range 20 21
access-list 100 permit tcp any host 192.168.1.2 range 4661 4662
access-list 100 permit udp any host 192.168.1.2 eq 4665
access-list 100 deny ip host 0.0.0.0 any
access-list 100 deny ip host 255.255.255.255 any
access-list 100 deny ip 10.0.0.0 0.0.0.255 any
access-list 100 deny ip 172.16.0.0 0.15.255.255 any
access-list 100 deny ip 192.168.0.0 0.0.255.255 any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any
access-list 100 permit tcp any any established
access-list 100 permit udp any eq 53 any gt1023
access-list 100 permit tcp any range 20 21 any gt1023



sei sicuro che l'ip 192.168.1.2 sia l'ip del pc su usi emule? altrimenti si spiega perchè la porta non risulta raggiungibile...

[keemax]

Originariamente inviato da NightStalker
se metti "login local" nel telnet, devi per forza settare un utente con "username X password Y", altrimenti non ti fa entrare.


per la hold-queue, mi ero dimenticato che in certe versioni dello IOS viene messa di default.



per discorso nat e acl 100:

ip nat inside source static udp 192.168.1.2 4665 interface Dialer1 4665
ip nat inside source static tcp 192.168.1.2 4662 interface Dialer1 4662
ip nat inside source static tcp 192.168.1.2 4661 interface Dialer1 4661
ip nat inside source static tcp 192.168.1.2 20 interface Dialer1 20
ip nat inside source static tcp 192.168.1.2 21 interface Dialer1 21

access-list 100 permit tcp any host 192.168.1.2 range 20 21
access-list 100 permit tcp any host 192.168.1.2 range 4661 4662
access-list 100 permit udp any host 192.168.1.2 eq 4665
access-list 100 deny ip host 0.0.0.0 any
access-list 100 deny ip host 255.255.255.255 any
access-list 100 deny ip 10.0.0.0 0.0.0.255 any
access-list 100 deny ip 172.16.0.0 0.15.255.255 any
access-list 100 deny ip 192.168.0.0 0.0.255.255 any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any
access-list 100 permit tcp any any established
access-list 100 permit udp any eq 53 any gt1023
access-list 100 permit tcp any range 20 21 any gt1023



sei sicuro che l'ip 192.168.1.2 sia l'ip del pc su usi emule? altrimenti si spiega perchè la porta non risulta raggiungibile...

Si, l'ip e' giusto...
Se vuoi ti giro i dati per la connessione telnet via pm...
Dimmi tu...
Lo accendo questa sera e quando puoi avvisami, cosi' non lo faccio lavorare in download...
Fammi sapere...
Grazie...

[CH1CC0]

Originariamente inviato da NightStalker
...
se è abilitato il "service password encryption", se dai come comando "username pluto password 7 pippo", lo IOS da per scontato che la parola "pippo" che segue il parametro "7" è già crittografata e così non ti autentica più (pippo in questo modo diventa l'hash non la password, e quindi non coincide col "pippo" da noi digitato), invece se usi "username pluto password pippo", la password viene ritenuta da crittografare (per modo di dire, a dire il vero il level 7 viene decifrato in qualche secondo avendo l'hash) e quindi viene inserita normalmente. poi nella configurazione lui ci mostrerà "username pluto password 7 23uio2u3012" dopo che avrà generato l'hash.

Grazie a NightStalker per la precisazione.
Ora che ci faccio caso, infatti, metto sempre
username xxxx password 0 yyyyy
e poi aggiungo il "service password-encryption".
Azz, quant'è brutto quando, a forza di fare sempre le stesse cose, diventa tutto automatico e non fai caso a queste piccole ma GRANDI differenze...

[keemax]

Originariamente inviato da CH1CC0
Grazie a NightStalker per la precisazione.
Ora che ci faccio caso, infatti, metto sempre
username xxxx password 0 yyyyy
e poi aggiungo il "service password-encryption".
Azz, quant'è brutto quando, a forza di fare sempre le stesse cose, diventa tutto automatico e non fai caso a queste piccole ma GRANDI differenze...

Hai perfettamente ragione... In tutti i lavori e' cosi'... +o-