Posts

HA command

load merge relative terminal # 全新設備上面沒啟用過HA 必須先定義Cluster ID # ClustartID 必須獨立，不可以與其他SRX重複，因為HA會建立一組Virtual MAC Address ，而這個ID數值會對其產生影響，重複有可能導致MAC address 重複而出現不可預期的錯誤 # request system zeroize # 以下command 必須在 > 模式使用 set chassis cluster cluster-id <ID範圍 0~ 255> node 0 # 這個是在 node 0 的設備下的 set chassis cluster cluster-id <ID範圍 0~ 255> node 1 # 這個是在 node 1 的設備下的在secondary node 下這個command request chassis cluster configuration-synchronize # 等待機器重開機後，會出現Hold 或stanby 字樣，看到Cluster 是否有起來 show chassis cluster status # 這個是RETH interface 建立好才會出現，必須先做config才會有 show chassis cluster interfaces # 以下command 則是在 Config mode 下使用，先把設定檔建起來 --- # 這邊需要 backup-router 是給 HA裡面的Standby Device 的管理介面 (fxp) 一筆routing 可以回應，預設Standby 不會啟用routing engine，所以需要這筆設定 set groups node0 system host-name SRX-node0 set groups node0 system backup-router 10.10.0.254 set groups node0 system backup-router destination 0.0.0.0/0 set groups node0 interfaces fxp0 unit 0 family inet address 10.10.0.2/24 set groups node1 system host-name SRX-node1 set groups node1 system backup-router 10.10.0.254 set groups node1 system backup-router destination 0.0.0.0/0 set groups node1 interfaces fxp0 unit 0 family inet address 10.10.0.3/24 set apply-groups "${node}" set system time-zone Asia/Taipei set chassis cluster control-link-recovery set chassis cluster reth-count 10 set chassis cluster heartbeat-interval 2000 # 另外建議在建置期間先將IPv6 打開，可以使用以下指令，因為日後開啟IPv6功能則必須要將設備重開機 set security forwarding-options family inet6 mode flow-based # 這邊的interface 號碼要看每一台Chassis 的型號不同而會有所不同 # 最簡單的識別方式是看那台設備的Slot 有幾個，像SRX550HM 是 0~ 8都有擴充可以使用，所以預設HA會在 9開始，所以會是 ge-9/x/x set chassis cluster redundancy-group 0 node 0 priority 150 set chassis cluster redundancy-group 0 node 1 priority 100 set chassis cluster redundancy-group 0 interface-monitor ge-0/0/3 weight 150 set chassis cluster redundancy-group 0 interface-monitor ge-0/0/5 weight 150 set chassis cluster redundancy-group 0 interface-monitor ge-9/0/3 weight 100 set chassis cluster redundancy-group 0 interface-monitor ge-9/0/5 weight 100 set chassis cluster redundancy-group 1 node 0 priority 150 set chassis cluster redundancy-group 1 node 1 priority 100 set chassis cluster redundancy-group 1 interface-monitor ge-0/0/3 weight 150 set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 150 set chassis cluster redundancy-group 1 interface-monitor ge-9/0/3 weight 100 set chassis cluster redundancy-group 1 interface-monitor ge-9/0/5 weight 100 # 這裡是作為Redundancy group: 1 的 Data sync 設定，請務必設定上去才會啟用ge-0/0/2 的 heartbeat link set interfaces fab0 fabric-options member-interfaces ge-0/0/2 set interfaces fab1 fabric-options member-interfaces ge-9/0/2 # 設定interface 加入reth Group set interfaces ge-0/0/3 gigether-options redundant-parent reth0 set interfaces ge-0/0/4 gigether-options redundant-parent reth0 set interfaces ge-9/0/3 gigether-options redundant-parent reth0 set interfaces ge-9/0/4 gigether-options redundant-parent reth0 set interfaces ge-0/0/5 gigether-options redundant-parent reth1 set interfaces ge-9/0/5 gigether-options redundant-parent reth1 set interfaces reth0 vlan-tagging # 務必要將RETH 加入 data sync Group 裡面，不然不會動 set interfaces reth0 redundant-ether-options redundancy-group 1 # 特別注意，在SRX雖然是LACP Passive mode ，在Switch 請務必使用LACP Activate mode set interfaces reth0 redundant-ether-options lacp passive set interfaces reth0 redundant-ether-options lacp periodic slow set interfaces reth1 redundant-ether-options redundancy-group 1 set interfaces reth1 unit 0 family inet address 202.99.240.100/26

Saturday, July 21, 2018 閱讀

與 DDoS 奮戰：nginx, iptables 與 fail2ban

Friday, July 20, 2018 閱讀

[Juniper Firewall] command

下列操作命令在操作模式下使用，或在配置模式下 run show… 查看當前防火牆 session 數 show security flow session | match 10.22.12.104 show security flow session source-prefix 10.22.12.104 清除當前 session clear security flow session all 查 OID show snmp mib walk decimal 1.3.6.1.2.1.2.2.1.2 查看當前軟體版本號 show system software 查看系統啟動時間 show system uptime 查看硬體板卡及序列號 show chassis haredware 查看硬體板卡當前狀態 show chassis environment 查看路由表 show route 設備商的 Administrative distance / Route preference 預設值比較查看 ARP 表 show arp 查看系統 log show log messages 查看所有介面運行狀態 show interface terse 查看介面運行細節資訊 show interface ge-x/y/z detail 動態統計介面資料包轉發資訊 monitor interface ge-x/y/z 檢查 ALG 開啟情況

Wednesday, June 27, 2018 閱讀

Switch版本更新

事前準備: 插 console 將更新檔丟到 usb 裡使用前可先使用 show version 查看當前版本更新 SOP: 將裝有更新檔的 usb 插入要更新版本的 Switch 上，此時畫面會顯示偵測到 device name 將 usb 裡的更新檔複製到 switch 的 flash 裡面: copy usbflash0(device name):更新檔 flash: 此時按 enter 後他會問你檔名是否要用這個，再按一次 enter 即可，看到一堆 ccccccccc 就代表有在複製複製完後，dir flash 查看底下有沒有剛剛複製過去的更新檔 conf t 進入編輯模式，boot system flash:更新檔，指定 Switch 使用新版的 IOS 來開機 exit 離開編輯模式，show boot，確定是否使用新版的 IOS 來開機 write memory，套用設定至 Running-Config reload 大概會跑 15~20 分鐘左右，等他跑完就可以查看版本是否升級成功 copy usbflash0:cat.bin flash: copy usbflash0:cat.bin flash0-2: software install file flash:cat.bin switch 1-2 software clean

Thursday, June 14, 2018 閱讀

防火牆更新

事前準備: 插 console 將更新檔丟到 usb 裡使用前可先使用 show version 查看當前版本更新 SOP: start shell su成root身分建資料夾mkdir /var/tmp/usb(名字可自取) 插入 USB，這邊要注意 da 後面的數字，目前是 da1 掛載 mount -t msdos /dev/da1s1 /var/tmp/usb (如果是 da0，就要變成 da0s1，以此類推) 跑完後 cd /cf/var/tmp/usb/da2s1/ (usb) ls (junos-srxsme-15.1X49-D120.3-domestic.tgz) cli 切換成 operational mode request system software add /var/tmp/usb/da2s1/junos-srxsme-15.1X49-D120.3-domestic.tgz request system reboot show version

Tuesday, June 12, 2018 閱讀

最好用的 V2Ray 一键安装脚本 & 管理脚本

最好用的 V2Ray 一键安装脚本 & 管理脚本 v2ray

Thursday, February 8, 2018 閱讀

如何在 Switch 上啟用 snmp 設定

如何在 Switch 上啟用 snmp 設定以 snmp-server 為主要指令 C3750(Config)#snmp-server community RO 指的是 SNMP 協定時互相溝通的密碼 RO 指的是 Read Only (SNMP 工具不允許修改設定) RW 指的是 Read and Write (SNMP 工具可以修改設定) C3750(config)#snmp-server group SNMP_ROA v3 priv match exact 設定 SNMP Group 名： SNMP_ROA Version ： V3 最高的 priv C3750(config)#snmp-server user cater SNMP_ROA v3 auth MD5 cisco12345 priv des56 test12345 這行設定跟 PRTG 設定有關聯，一定要記清楚使用者：cater 隸屬 Group 為：SNMP_ROA 驗證模式：MD5 密碼(MD5) ：cisco12345 (PRTG 要求要 8 碼以上) Priv 驗證密碼：test12345 (PRTG 要求要 8 碼以上) C3750(config)#snmp-server host 192.168.3.100 version 3 priv cater

Sunday, February 4, 2018 閱讀

A10

A10 Link Aggregation Health Monitor use TCL A10 SSL Offload Cipher Suite Support List Compression A10 RAM Cache 加速 A10 NAT A10 configuration template A10 Link Aggregation 802.3ad LACP A10 trunk can config a maximnm of 16 LACP trunks per device. interface ethernet 1 lacp trunk 1 mode active lacp timeout long ! interface ethernet 2 lacp trunk 1 mode active lacp timeout long Static Link Aggregation None LACP. Up to 8 static trunks.

Wednesday, January 10, 2018 閱讀

具有代表性的 HTTP 状态码

Friday, December 15, 2017 閱讀

Switch notes

Switch Switch 通常是 L2 設備只會將封包傳送到指定目的地的電腦（透過 MAC Table），相對上能減少資料碰撞及資料被竊聽的機會。交換器更能將同時傳到的封包分別處理，而集線器則不能。 Hub 則是 L1 設備會將網路內某一使用者傳送的封包傳至所有已連接到集線器的電腦，因會碰撞所以 random retry。 MAC Table Learning 從某個 Port 收到某網段（設為 A）MAC 位址為 X 的計算機發給 MAC 位址為 Y 的計算機的資料包。交換機從而記下了 MAC 位址 X 在網段 A。這稱為學習(learning)。 Flooding 交換機還不知道 MAC 位址 Y 在哪個網段上，於是向除了 A 以外的所有網段轉發該資料包。這稱為洪水(flooding)。 Forwarding MAC 位址 Y 的電腦收到該封包，向 MAC 位址 X 發出確認包。交換器收到該包後，從而記錄下 MAC 位址 Y 所在的網段。交換機向 MAC 位址 X 轉發確認包。這稱為轉發(forwarding)。 Filtering 交換機收到一個資料包，查表後發現該資料包的來源位址與目的位址屬於同一網段。交換機將不處理該資料包，這稱為過濾(filtering)。 Aging 交換機內部的 MAC 位址-網段查詢表的每條記錄採用時間戳記錄最後一次存取的時間。早於某個閾值（用戶可配置）的記錄被清除，這稱為老化(aging)。 Vlan Switch Interface 需支援 802.1Q

Saturday, November 25, 2017 閱讀

Juniper notes

[Juniper Firewall] tunnel ACG icare@TWCHIJF01# show | compare rollback 4 [edit security policies] from-zone DB_12 to-zone TCT_Office { ... } + from-zone DB_12 to-zone JC32 { + policy For_Backup { + match { + source-address DB_10.11.12.0/24; + destination-address BACKUP_10.32.32.130; + application any; + } + then { + permit; + } + } + } [edit security zones security-zone DB_12 address-book] address DB_10.11.12.57 { ... } + address DB_10.11.12.0/24 10.11.12.0/24; [edit security zones] security-zone ESB_15 { ... } + security-zone JC32 { + address-book { + address BACKUP_10.32.32.130 10.32.32.130/32; + } + host-inbound-traffic { + system-services { + ping; + } + } + interfaces { + gr-0/0/0.32; + } + } [edit interfaces gr-0/0/0] + unit 32 { + description To_JC32_DBBackup; + tunnel { + source 202.168.193.128; + destination 218.253.210.8; + } + family inet { + address 10.32.0.101/30; + } + } [edit routing-options static] route 0.0.0.0/0 { ... } + route 10.32.32.130/32 next-hop 10.32.0.102; set security policies from-zone DB_12 to-zone JC32 policy For_Backup match source-address DB_10.11.12.0/24 set security policies from-zone DB_12 to-zone JC32 policy For_Backup match destination-address BACKUP_10.32.32.130 set security policies from-zone DB_12 to-zone JC32 policy For_Backup match application any set security policies from-zone DB_12 to-zone JC32 policy For_Backup then permit set security zones security-zone DB_12 address-book address DB_10.11.12.0/24 10.11.12.0/24 set security zones security-zone JC32 address-book address BACKUP_10.32.32.130 10.32.32.130/32 set security zones security-zone JC32 host-inbound-traffic system-services ping set security zones security-zone JC32 interfaces gr-0/0/0.32 set interfaces gr-0/0/0 unit 32 description To_JC32_DBBackup set interfaces gr-0/0/0 unit 32 tunnel source 202.168.193.128 set interfaces gr-0/0/0 unit 32 tunnel destination 218.253.210.8 set interfaces gr-0/0/0 unit 32 family inet address 10.32.0.101/30 set routing-options static route 10.32.32.130/32 next-hop 10.32.0.102 icare@TWCHIJF01> show configuration | compare rollback 1

Thursday, November 23, 2017 閱讀

機房 notes

第一張網卡-藍色線第二張網卡-綠色線交換機互連-白色線黃、紅 Storage 有磁碟陣列，數據交換量大，用光纖連接，使用光纖專用的交換機。光纖顏色：多模 (Multi-mode)或單模 (Single-mode)的光纖線單模光纖是黃色，多模光纖 50μm 或是 62.5μm 通常都是橘色。10GB 多模光纖通常是水藍色(Aqua)。以下是一些常見的規格區分方式。 OS1, OS2, 9µm, 9/125 = 單模光纖 OM1, 62.5µm, 62.5/125 = 多模光纖 62.5 OM2, 50µ, 50/125 = 多模光纖 50 OM3, 10GB, 50µm, 50/125 = 多模光纖 10GB OM4, 100GB, 50µm, 50/125 = 多模光纖 100GB 光纖結構光纖裸纖的構成主要分為三層：中心：高折射率玻璃芯(芯徑一般為單模 9μm，多模 50 或 62.5μm) 。夾層：低折射率硅玻璃包層(直徑為 125μm) 。外層：加強用樹脂塗層(直徑為 250μm)。光纖的種類一般依光波長在光纖中的傳輸模式可分為：單模態光纖和多模態光纖。多模態光纖：中心玻璃芯(纖核)較粗(50 或 62.5μm)，外層纖殼為 125μm 可傳輸多種模代的光波長。但其模間色散較大，因而限制了傳輸信號的頻率，而隨著距離的增加會更加嚴重。例如：600MB/KM 的光纖再 2KM 時則只有 300MB 的頻寬了。因此，多模光纖傳輸的距離就比較近，一般只有幾公里的距離。單模態光纖：中心玻璃芯較細(纖核一般為 9 或 10μm)，只能傳一種模式的光。因此，其模間色散很小，適用於遠距離通訊，但其色度色散起了主要作用，這樣單模光纖對光源的譜寬和穩定性有較高的要求，即譜寬要窄，穩定性要好。按最佳傳輸頻率窗口分：常規型單模光纖和色散位移型單模光纖。常規型：光纖生產廠將光纖傳輸頻率最佳化在單一波長的光上，如 1300μm。色散位移型：光纖生產廠將光纖傳輸頻率最佳兩個波長的光上，如 1300μm 和 1550μm。按折射率分佈情況分：突變型和漸變型光纖。常用光纖規格

Tuesday, October 24, 2017 閱讀