eBGP-MultiHop

عرض ادب به حضور دوستان ارجمندم

 سئوال بعدی در مورد این بوده است که دوستان نوشته اند که می دانند پروسه ی BGP و Run کردن آن مابین دو روتر بصورت عادی ساده است ولی بیشتر در مورد زمانی که مابین دو روتر بیشتر از یک لینک وجود دارد ... مثل شکل ارائه شده ... و بوسیله ی LoopBack ها ، پروسه ی BGP توجیه داره رو خواسته بودند ... و اینکه پشت پروسه ی eBGP-Multihop چه فرایندی اتفاق می افتد . چرا از این دستور استفاده می شود ، ماحصل خواسته ی آنها بود ... راستش سئوالشون خیلی طولانیه و از حوصله ی من ، خارج . ولی تلاشمو می کنم ...

یادآوری نکته اول :
باید یادمان باشد مواردی که باید رعایت شوند تا همسایگی و مجاورت ما بین روترها اتفاق بیافتد کدامند ؟ ... لطفا خودتان از صفحه 426 کتاب CCNP - Route مطالعه فرمایید .

یادآوری نکته دوم :
در BGP ما Load sharing نداریم . بهترین مسیر همیشه یک مسیر است که بر اساس Policy انتخاب می گردد. لطفا با PBR اشتباه نشود .

.............

راه حل در خصوص زمانی که ما بین دو روتر 2 تا لینک داریم :

اول :
ابتدا باید روی روترهایی که 2 تا لینک دارند ، یک اینترفیس LoopBack ایجاد کنیم .

دوم :
BGP را باید بین LOOPBack ها RUN کرد .

سوم :
و به روترها بگوییم که ترافیک شان را با سورس LoopBack ها بفرستند .

چهارم :
در صورتیکه از IGP استفاده نکنید ، حتما لوپ بک ها همدیگر را نمی بینند و پینک نمی شوند . لذا باید بوسیله روت استاتیک یا IGP ، ارتباط را هندل کرد و در این میان بخاطر وجود روت استاتیک مثلا Load share اتفاق می افتد . یعنی لوپ بک ها برای دیدن همدیگر از هر دو مسیر استفاده می کنند .

نکته مهم :

یعنی پاکت های BGP روی هر دو مسیر بوسیله ی IGP ارسال می شوند و نه BGP .

خوب ...

پس تا اینجا BGP را ما بین لوپ بک ها ران می کنیم ولی باز هم همسایگی تشکیل نمی شود . چون درست است که BGP برای تشکیل همسایگی نیازی ندارد تا روترها Connected باشند ولی در اینجا بطور استثناء در eBGP ، بطور پیش فرض باید همه همسایه هایش Connected باشند مگر اینکه اگر همسایه ها Connected نیستند باید صریحا اعلام شود . لذا از دستور ذیل استفاده می کنیم :

Neighbor 1.1.1.1 ebgp-multihop 2

خوب ...

حالا بعد از زدن دستور فوق همسایگی تشکیل می شود . این پاسخ تا اینجای سئوال دوستان ؛حالا بعضی ها در مورد پروسه ی علمی پشت دستور بالا ، سئوال داشتند که بدین صورت پاسخ می دهم :

...
در پیکربندی روترها در سناریویی با 2 لینک از لوپ بک ها استفاده می شود که شرح داده شد . فقط بدانید که بطور پیش فرض ، هنگامی که روتر ها ، قصد ارسال یک پاکت به سمت روتر همسایه ی eBGP داشته باشند ، مقدار فیلد TTL را برابر با عدد 1 قرار می دهند و همین تنظیمات پیش فرض است که همسایگی ما بین روترها را Down می کند ؛ چون در صورتیکه پاکتی با TTL برابر 1 به دست روتر همسایه برسد ، روتر مزبور آنرا یک واحد کاهش داده و به صفر تبدیل می کند . آن پیام ، قبل از پردازش ، Discard می شود و از بین می رود و راه حل ، اجرای دستور eBGP - Multihop است تا مشکل حل شود . در واقع این دستور روترها را مجبور می کنند تا TTL مربوط به پاکت های ارسالی را به جای عدد 1 ، به عدد 2 مثلا Set کنند . بنابراین روتر مربوطه پس از دریافت آن و کاهش یک واحدی از TTL ، می تواند پیام را به سمت LoopBack خود ، ارسال نماید ...

آخ ... پدرم در اومد ...
این هم جواب سئوالی که خواسته بودید . راستی دوستان . سر جدتون قسم . بابا جانم . یه کمی هم به کتاب ها نظری بیافکنید بد نیست به خدا ... امید که بکارتون بیاد . البته این جوابیه ، جز موارد محض دانش شبکه است  ؛ ولی دانستنش برای استادان و طراحان الزامیست . فدای همه شماها . یا حق

لینک برای تحقیق و مطالعه بیشتر :

http://www.cisco.com/en/US/tech/tk365/technologies_tech_note09186a00800c95bb.shtml

آموزش تصویری مباحث پیشرفته ی Advanced BGP

با سلام به حضور دوستان شبکه دوست

 

یکبار دیگر بر اساس ایمیل های دریافتی از شما عزیزان بر آن شدم به منظور بر طرف سازی مشکلات شما عزیزان اقدام به پیاده سازی یک سناریوی کامل پیرامون مباحث مهم و حرفه ای BGP بنمایم که هم اکنون فیلم پیاده سازی آن تهیه شده و آماده عرضه به دوستان می باشد . شکی نیست که مطالب ارائه شده در این ویدئوی آموزشی را در هیچ کلاس آموزشی عمومی ، نمی توان یافت . چرا که نه تنها جز سرفصل آموزشی خیلی جاها نیست ، بلکه اساسا مبحث BGP بسیار حرفه ای و دشوار همچنین پر مطلب می باشد و زمان آن کلاس ها ، اجازه ی تدریس همه مطالب را به استادان فن ، نمی دهد . در خاتمه امید است که با استفاده از این آموزش تصویری ، حداکثر استفاده علمی را از آن بنمایید .

 

Ali Kasraei - Cisco internal BGP : iBGP Part 1

 

 

 

Ali Kasraei - Cisco internal BGP : iBGP - Part 2

 

 

 

Ali Kasraei - Cisco internal BGP : iBGP - Part 3

 

 

 

Cisco Firewall - ASA FAQ

بسیار خوب ... بنده تمام 2 ماه گذشته رو صرف و سرگرم طراحی سناریوهای امنیتی بودم . خلاصه همان توهم امنیتی همیشگی ؛ تازه میان اون توهم ؛ مجبور به پاسخگویی به سئوالات Routing هم بودم . ولی خوشبختانه دارم می بینم که توی فیس بوک هم همه توهم امنیتی زدند . برای اینکه ماهم عقب نمانیم ؛ گفتیم به چند تا سئوالی که برام ایمیل شده بود جواب دهم :
.....
سئوال اول : در مورد ریفرنس های فایروال CCNP :

باید بگم که CCNP Security Firewall با کد 617-642 ارائه شده بود که پر از اغلاط تکنیکی و علمی بود . در نگارش بعدی ؛ کد آن به 618-642 تغییر کرد که در آن غیر از اصلاح موارد مذکور ؛ بعضی از مسائل علمی جدید اضافه شد . مانند ارائه کانفیگ های NAT در ورژن های ASAی 8.2 و 8.3 به بعد ... همینطور مبحث Etherchannel و غیره ... در مورد VPN هم تغییر کد به صورت 642-648 انجام شده است . خلاصه حواستون باشه . سایت سیسکو همه ی این موارد رو توضیح داده است . حتما برید یه سری بزنید .
.....
سئوال دوم : در مورد ساخت ID سیسکو در سایت سیسکو :

باید عرض کنم که جواب مثبت است . همه می توانند در سایت سیسکو آی-دی بسازند . لطفا از V...P...N استفاده کنید .
.....
سئوال سوم : در مورد DNS Doctoring در ASA :

باید بگم که این امکان علمی عالی در ASA وجود دارد و معنی آن اینست که هنگامی که از وجود سرورهای DNS در شبکه مان بهره مند هستیم با استفاده از آن ، مقصدها از محیط اینترنت هنگام اتصال به آی پی های VALID آن سایت ؛ آدرس مربوطه را به آدرس داخلی و حقیقیه آن تبدیل می کنند . پس در اصل بوسیله ی آن به ASA می گوییم که ترافیک های DNS را نگاه کند و ادامه داستان .
.....
سئوال چهارم : در خصوص ماژولار پالیسی فریم ورک و ACL :

در مورد انتخاب IP ؛ بعد و قبل از اعمال ACL به اینترفیس ها ... باید عرض کنم که اگر ACL را هنگام ورود اعمال کنیم ؛ ACL ، آی پی قبل از NAT را عملیاتی می کند و اگر در موقع خروج اعمال شود ، ACL ، آی پی بعد از NAT را عملیاتی می کند . فقط اینو اضافه کنم که در IOS 8.3 به بعد ؛ همیشه Real IP ی سرور را قبول می کند و اینترفیس خروجی و یا ورودی فرقی در دستور و اعمال آن ندارد .

سئوال پنجم : در خصوص ASA و اینکه کجاها نباید NAT پیاده سازی شود ؟

در 3 جا نباید NAT پیاده سازی شود :

اول ) در جاهایی که کل ترافیک ؛ بصورت End to End ، رمز شده یا Encrypted هست . چون دستگاه NAT کننده نمی تواند آنرا NAT کند .

دوم ) در جایی که در ترافیک ها ؛ کل پاکت ها ، Authenticate می شود . مانند BGP که در برقراری ارتباط بصورت دوطرفه ، هر دو سمت ، بوسیله ی Hash پاکت ها ، همدیگر را Authenticate می کنند . حالا اگه توی مسیر NAT انجام بشه و آدرس ها Translate بشوند ، Authentication سمت مقابل به درستی انجام نمیشه و اتصال BGP آپ نخواهد شد .

سوم ) در جایی که IP ی مبدا و مقصد ، در لایه ی App ذخیره شود . مانند ترافیک های FTP . چرا که هنگامی که Reply از FTP بر می گردد ؛ در اصل به آی پی یی که در Header لایه ی App هست ، Reply داده می شود و نه Header آی پی . پس چون IP InValid از اینترنت به درستی دیده نمی شود ؛ ارتباط به درستی بر قرار نخواهد شد .
.....
سئوال ششم ) در خصوص راه حل مربوط به سئوال پنجم :

برای هر 3 مورد بهتر است از راه حل NAT Exemption استفاده کنیم و یا بوسیله ی Application NAT ؛ به NAT بگوییم که غیر از هدر IP ، هدر لایه ی App ؛ یا به اصطلاح هر دوی آنها را Translate کند . فقط حواستون باشه که چون ASA به اصطلاح Application Ever NAT است ، App را درک می کند و NAT را هم درک می کند . پس به راحتی سرور FTP از داخل و بیرون شبکه مان دیده می شود . ولی اگر بجای ASA از Router استفاده کنیم ، ارتباط FTP برقرار نمی شود .
.....
سئوال هفتم ) در مورد Outside NAT هست . که خواستند بگم یعنی چی ؟

جوابش که خیلی راحته . یعنی اگر از سمت LAN1 با آدرس X بخواهیم به مثلا LAN2 با همان آدرس X ؛ که مابین آنها یک اتصال WAN هست ، متصل شویم ، این NAT را Outside می گویند . یعنی برقراری ارتباط ما بین 2 شعبه با Range آدرس یکسان که باید دوطرفه هم باشد . همین .

..................

خوب دوستان . نیم دو جین سئوال دیگه هم برام رسیده و ایمیل شده که یک کم حالم بهتر بشه و حس اش بیاد براتون کاور می کنم . فدای همتون . یا حق

Cisco INE on IOU

با عرض سلامی دوباره ...

دوستان ارجمندم . یک سالیست که مشغول تحقیق و تدریس مجموعه ی لابراتوارهای INE ورژن جدید هستم . در همین وادی سیستم های IOU های بسیاری ، لابراتوارهای INE را ساپورت کرده بودند که خیلیهایشان کار نمی کردند و دوستان داخلی و خارجی بسیاری بودند که با توپولوژی آن بر روی IOU مشکل داشتند . چون همانطور که می دانید شناخت پورت ها و کل توپولوژی این رک ها کار مهمیست . از طرفی چون نوع پورتها در IOU ها با اشکال فیزیکال و غیره ی این کتابها تطابق ندارد . در کنار این مورد دیده شد که بعضی از سایتها اقدام به ارائه ی این توپولوژی ها کرده اند که خالی از اشکال نبود . لذا خوشحالم که ضمن برطرف سازی مشکلات کار آنها و همینطور کار خداپسندانه ی آنها ، عکس مربوطه را که شامل نمونه ی خالی از اشکال توپولوژی مبتنی بر IOU هست را تقدیم می کنم . خوب می دانم که همه ی دوستانی که در مقطع CCIE هستند با این مطلب مشکلات دارند . امید که رفع مشکل شده باشد . فدای دوست . یا حق

آموزش پیاده ساز GNS3 برای اولین بار در جهان به زبان فارسی

 

آموزش فارسی GNS3

نویسنده : مهندس علی کسرایی

 

 نکته بسیار مهم :

آموزش مذکور ، بر روی ورژن کلاسیک یا قبلی GNS3 ارایه شده است و دوستان بدانند که هنوز مباحث اصلیه پیاده سازی سناریوها در هر دو ورژن ، همسان است . لذا تهیه این محصول کمک بسیار شایانی به درک مباحث متفاوت ورژن جدید GNS3 خواهد کرد . در خاتمه شایان ذکر است که آموزش جدید مباحث مربوط به GNS3 جدید به زودی تقدیم می گردد . فدای دوست

با سلام خدمت شبکه دوستان ارجمند

نزدیک به دو سال است که از انتشار بین المللی اولین آموزش فارسی شبیه ساز روترهای سیسکو می گذرد . شکی نیست که این بسته آموزشی اولین کوشش علمی انتشار یافته در نوع خود می باشد . لازم به ذکر است که سال گذشته در اولین ساعات انتشار آن در سایت youtube.com بالغ بر 18000 بار دانلود شده و مورد استقبال جهانی قرار گرفت . البته پس از این آمار ، سایت گوگل در اولین اقدام کم سابقه خود در حمایت از آثار علمی ، به مدت 72 ساعت در اولین پیج سایت Youtube آنرا مورد حمایت و تبلیغ خود قرار داده است . بدیهی است که در طی این دو سالی که از انتشار آن می گذرد تعداد بی شماری از نسخه ی آموزشی مذکور خریداری و مورد حمایت جامعه علمی داخلی و خارجی قرار گرفت . در این مجموعه به تکامل ، همراه با ارائه سناریوهای محکم ، به آموزش GNS3 پرداخته و در این وادی کلیه تکنولوژی های قابل استفاده در آنرا معرفی و آموزش داده ایم . بر اساس نظر سنجی انجام شده مدعی هستیم که در هر سطحی از دانش شبکه که باشید حتما به این بسته آموزشی نیازمندید و اگر پیاده سازی سناریوهای علمی دغدغه ی شماست ، بسته ی حاضر پیشنهاد ما به شماست. خوشبختانه در حال حاضر انتشارات پندار پارس این محصول را برای عموم عرضه کرده است و خرید آنلاین آن میسر است. لینک صفحه خرید آنلاین برای سادگی دسترسی به حضورتان ارائه گردیده و امید که مقبول افتد . فدای شما عزیزانم . یا حق

 

لینک دانلود و خرید اینترنتی آموزش GNS3 :

 

http://www.pendarepars.com/cd/view/1

 

Gns3 Tutorials For The World's First Implementation In Farsi / Persian

 

Hi dear friends network

Nearly two years after the international release of the first Persian Training Simulator Cisco router passes. There is no doubt that this Toolkit, the first of its kind to be published in scientific endeavor. It should be noted that last year the first hours of its release on the site youtube.com Over 18,000 downloads and was welcomed by the world. But then it hit its record low of Google's first action in support of the scientific literature, for a period of 72 hours on the first page Youtube site, it has been supported and promoted. The evolution of the series, along with providing a solid scenarios, train GNS3 and in the valley all the technologies used in it are introduced and taught. Luckily we thought Publication pars This product has been released to the public, it is possible to buy online. Listings page for easy access to shopping online with you and hope that the proposed compliant happen. Maybe you, dear. Or the right

 

Download link education and shopping GNS3:

 

http : / / Www.pendarepars.com/Cd/View/1

 

نکته مهم :

بسیاری از دوستان پس از تهیه ی بسته ی آموزشی ایمیل زده و اطلاع دادند که لینک های دانلود IOS های روترها خراب می باشد . لذا بدینوسیله لینک دانلود جدید برای شما عزیزان ارائه می گردد.

لینک دانلود IOS :

http://www.mediafire.com/folder/s3co9w545hbb4/Cisco_IOS

 

لینک برای تحقیق و مطالعه بیشتر :

http://www.gns3.net/download/

 

 

 

MicroSoft - WMIC

با سلام خدمت شما عزیزانم

چند روز پیش به دنبال دریافت چند ایمیل شیطنت آمیز در خصوص یک سئوال واحد مجبور شدم به آن پاسخ دهم . البته نمی دونم چرا بعضیا اینطوری عمل می کنند. خلاصه چون مطلب رو برای شماها عزیزانم هم مفید دیدم بیشتر دلم خواست تا براتون در موردش یه پست بزارم . مطلب در مورد تیتر این یادداشت هستش که مدل جدیدتر نسخه ی دابلیو-ام-آی می باشد

دوستان سئوال کرده بودند که دابلیو-ام-آی-سی چیست و چطوری میشه سید یوزرها رو مستقیما دید و مشاهده کرد ؟

...................

البته من خودم این مطلب رو بیشتر دز کلاس های امنیتی خودم میگم و کامل روش بحث می کنم . چند تا لینک برای مطالعتون ارائه می دم که خودتون بیشتر بخونید . آخه نیازی ندیدم توضیح واضحات بدم . ولی در پاسخ با این افراد شیطون یک عکس براتون آپ کردم . خوب ببینینش . شبیه سازی توسط خودم انجام شده .  بدردتون می خوره و جوابتون رو در اون میگیرید . فقط اینو بگم که اگر در حین عمل هک ، هکری بتونه بعد از مرحله ی ریکانیسنس و ... خلاصه یک شل کامل با قابلیت فول اکسس به دست بیاره ، با دیدن  سیدها ، روزگارتون سیاه میشه . البته هک سیستم بصورت داخلی و خارجی انواع و روش هایی دارد که از حوصله ی این پست خارج است . دستوراتی که براتون در تصویر گذاشتم کاملا گویا هستند . لطفا بعد از دیدن تصویر بنده و خوندن لینک های ذیل اگر باز هم سئوالی داشتید در خدمتتون هستم

فدای شما دوستان فرهیخته و مهربانم

لینک برای تحقیق و مطالعه بیشتر :

http://technet.microsoft.com/en-us/library/bb742610.aspx

http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/wmic.mspx?mfr=true

از اینکه نظرات و سئوالهای خود را با کلیک نمودن بر روی آیکون حباب ارائه می نمایید سپاسگزارم .

MicroSoft-Remote Server Administration Tools

با سلام حضور دوستان فرهیخته ام

دوباره طرح بعضی سوالات و پیام ها بهانه ای برای عرض ادب شد . دوستان شاکی بودند که چرا در ویندوز 7 ، قابلیت هایپر-وی ( Hyper-v ) وجود ندارد و ابزاری برای استفاده از آن نیست و چطوری می تونیم از آن در ویندوز 7 ، استفاده کرد :

پاسخ :

در مورد اینکه چرا این قابلیت در ویندوز 7 وجود ندارد ، من معذرت می خوام . شما منو ببخشید . آخه چی بگم ؟! این به سیاست های مایکروسافت بر می گردد و امری شخصی نیست که ؟ ... مایکروسافت قابلیت ها را روی ویندوز 8 و سرور 2008 و چند تایه دیگه گذاشته که می تونید برید به سایت مایکروسافت تا مقالشو بخونید و بدونید که چه سیستم عامل هایی هایپر - وی رو ساپورت

می کنند . این از این ... در بخش بعدی سئوال :

پاسخ اینست که

Packet Tracer 6

سلام به حضور دوستان عزیزم

بعضی از دوستان برایم ایمیل زده بودند و می خواستند بدونند که من از کدام ورژن پاکت تریسر سیسکو استفاده می کنم . وقتی که باهم حرف زدیم فهمیدم که اصلا خیلی ها نمی دونند که پاکت تریسر به روز شده و آخرین ورژن ماژور آن 6.0.1 به بالاست و هنوز روی 5.3 کار می کنند . بدین دلیل گفتم این پست رو بزارم شاید به درد کسی بخوره . در این پست اشاره ای به اندکی تازه های پاکت تریسر می کنم . امید که بدرد دوستان بخوره . فدای دوستان گلم .

Cisco Firewall - Access Lists InActive

سلام و عرض ادب به حضور دوستانم

کلا دوباره دوستان چند هفته پیش ایمیلی برایم فرستاده بودند که ندیده بودمش . گویا دوستان دوباره توهم امنیتی زدند و سئوالات سکیوریتی مطرح می کنند . خیلی هم خوب . بنده خودم دائم التوهم هستم پس سریع می رم سر اصل مطلب . سئوال کرده بودند در فایروال ASA ، چگونه اکسس لیست ها رو از بین ببریم یا موقتا از کار بندازیمشون ?

Cisco Firewall - time-based Access Rules

سلام مجدد به حضور دوستانم

دو تا ایمیل در مورد فایروال و تکنیک time-based Access Rules زده شده که خواسته بودند با مثال و کد نویسی براشون توضیح بدم که جریان چیه . به روی چشم . راستی من نمی دونم این دوستان کجا کار می کنند و نمی دونم آیا اصلا به دردشون می خوره یا نه .

ولی کاور می کنم .

پاسخ :

اول باید بدونین که تایم بیس اککس لیست برای نوشتن و اپلای کردن اکسس لیست ها در زمان های خاص و یا بازه های زمانی خاص می باشند و کلا دو2 نوع تایم بیس اکسس رول داریم . اول ( Periodic ) , دوم ( Absolute ) . دومی یعنی مثلا در یک زمان بخصوصی مثلا یک سرویس پرمیت یا دینای باشد و اولی یعنی مثلا آن سرویس قبلی را مثلا هر هفته در زمان خاصی مدام پرمیت یا دینای کن . دوم ؛ حالا برسیم بر سر کد نویسی :

 time-range PERIODIC10

 periodic Weekdays  08:00 to 13:00

 exit

 Access-list 110 permit tcp any any eq www time-range PERIODIC10

مانند پریودیک هست . لطفا نگاه کنید  absolute

 time-range ABSOLUTE10

 periodic Weekdays start 08:00 10 jan 2012 end 09:00 10 jan 2012

 ....

 Access-list 110 permit tcp any any eq www time-range ABSOLUTE10

این هم یه پست انفجاری دیگه . حالشو ببرین . همیشه برای موفقیتتون دعا می کنم . امید که خیلی از شما دوستانم را از نزدیک ببینم . از اینکه نظرات و سئوالهای خود را با کلیک نمودن بر روی آیکون حباب ارائه می نمایید سپاسگزارم . فدای دوست . یا حق

لینک برای تحقیق و مطالعه بیشتر :

http://www.cisco.com/en/US/docs/security/asa/asa83/asdm63/configuration_guide/access_rules.html