Archive for the '*BSD' Category

H3C交换机(S5500)策略路由配置笔记

写过华为S8508的策略路由,这次碰到一台H3C S5500,在配置上和华为交换机有些不同。大致配置如下:

拓扑图:

h3c55002

网络情况如下:

用户1网络:172.16.1.0/24
用户2网络: 192.168.1.0/24
至出口1网络:172.16.100.0/24
至出口2网络:192.168.100.0/24

实现功能:用户1通过互联网出口1,用户2通过互联网出口2。
功能实现:在三层交换台机上配置默认路由,将数据包丢向192.168.100.253,再利用策略路由,凡是用户2网络IP192.168.1.0/24的地址都丢向172.16.100.253。

配置步骤:

说明:这里接口的配置等操作就不在写了。

1、首先建立默认路由,将所有的数据包都丢往出口2的下一节点192.168.100.253

[H3C5500] ip route-static 0.0.0.0 0.0.0.0 192.168.100.253

2、配置流分类1,对象为172.16.1.0/24的数据

[H3C5500]acl number 3001

[H3C5500-acl-adv-3001] rule 0 permit ip source 172.16.1.0 0.0.0.255

[H3C5500] quit

[H3C5500] traffic classifier 1

[H3C5500-classifier-1] if-match acl 3001

[H3C5500-classifier-1] quit

3、配置刚才定义的流分类的行为,定义如果匹配就下一跳至出口1即172.16.100.253

[H3C5500] traffic behavior 1

[H3C5500-behavior-1] redirect next-hop 172.16.100.253

[H3C5500-behavior-1] quit

4、将刚才设置的应用至QOS策略中,定义policy 1

[H3C5500] qos policy 1

[H3C5500-qospolicy-1] classifier 1 behavior 1

[H3C5500-qospolicy-1] quit

5、在接口上应用定义的QOS策略policy 1

[H3C5500] interface GigabitEthernet 1/0/15

[H3C5500-GigabitEthernet1/0/15] qos apply policy 1 inbound

[H3C5500-GigabitEthernet1/0/15] quit

至此,配置已完成。

配置文件(略过一些接口配置信息):

version 5.20, Release 2102P02
#
sysname H3C5500
#
domain default enable system
#
telnet server enable
#
vlan 1
#
vlan 100 to 103
#
traffic classifier 1 operator and
if-match acl 3001
#
traffic behavior 1
redirect next-hop 172.16.100.253
#
qos policy 1
classifier 1 behavior 1
#
dhcp server ip-pool 1
network 192.168.1.0 mask 255.255.255.0
gateway-list 192.168.1.254
dns-list 221.228.255.1
#
dhcp server ip-pool 2
network 172.16.1.0 mask 255.255.255.0
gateway-list 172.16.1.254
dns-list 221.228.255.1
#
local-user huawei
password cipher .]@USE=B,53Q=^Q`M<1!!
service-type telnet terminal
level 3
#
acl number 3001
rule 0 permit ip source 172.16.1.0 0.0.0.255
#
interface NULL0
#
interface Vlan-interface1
ip address 192.168.0.254 255.255.255.0
#
interface Vlan-interface100
ip address 192.168.100.254 255.255.255.0
#
interface Vlan-interface101
ip address 192.168.1.254 255.255.255.0
#
interface Vlan-interface102
ip address 172.16.100.254 255.255.255.0
#
interface Vlan-interface103
ip address 172.16.1.254 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type access
port access vlan 100
speed 1000
duplex full
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 102
speed 1000
duplex full
#
interface GigabitEthernet1/0/15
port link-type trunk
port trunk permit vlan 1 101 103
speed 1000
duplex full
qos apply policy 1 inbound
#
interface GigabitEthernet1/0/16
port link-type trunk
port trunk permit vlan 1 101 103
speed 1000
duplex full
qos apply policy 1 inbound
#
ip route-static 0.0.0.0 0.0.0.0 192.168.100.253
#
dhcp enable
#
load xml-configuration
#
user-interface aux 0
authentication-mode scheme
user-interface vty 0 4
authentication-mode scheme
user privilege level 3
#
return

核心H3C S7506E与边界3COM 4400通过光纤口链接时的注意

by funpower,2009年1月5日21:31,funpower#gmail.com,转载请注明出处。水平有限,文中难免有错误,望指正。

前段时间将一个网络中的核心交换机替换为H3C S7506E,与核心相连的四十几个边界交换机都为3COM 4400,在网络切割中出现了一些小问题,做个笔记。

简单拓扑图:

h3c6

1、速率及全双工、半双工问题

经调试下来,H3C S7506E与3COM 4400都设置为自协商,光纤口也不能起来,有可能是品牌不同引起,最后将两边都强制为1000兆且全双工,光纤口就起来了。

因此切割前一定要先查看所有边界交换机的速率及全双工、半双工设置,进入3COM交换机管理界面后输入:phy eth sum 1:26,查看显示的光纤口的设置。

h3c1

h3c2

上图mode显示为1000full,即模式为强制1000兆并且全双工,如果显示为1000<auto>,为1000兆并且自动协商,需改为强制全双式,输入命令:phy eth portmode,然后输入1:26,接下来是确定自动协商为disable还是enable,这里要强制,不协商,所以输入disable,接下来为端口模式,输入1000full,步骤如下图。

h3c3

这样就把一个边界交换机的光纤口设置为强制1000及全双工了。

然后连接到H3C S7506E核心交换机上,将连接至边界交换机的光纤口也都改成1000兆且全双工,如下:

[center7506]interface gig2/0/1
[center7506-GigabitEthernet2/0/1]speed 1000
[center7506-GigabitEthernet2/0/1]duplex full
[center7506-GigabitEthernet2/0/1]q

2、3COM交换机VLAN1带标记的问题

在调试过程中,出现了一个问题,边界交换机的其它VLAN都能和三层交换通讯且可以出防火墙上互联网,唯独VLAN1不能和三层通讯,最后发现是所有的边界交换机把VLAN1口也打上TAG标记再送给核心三层,如下图:

h3c5

但H3C默认是不认打标记的VLAN1的帧,所以会产生其它非VLAN1打标记都能和三层通讯。此时有两种解决方法,第一是将所有的边界交换机都改成VLAN1不打标记,第二种方法就是如果核心交换机支持HYBRID模式,就可以将核心交换机的和边界交换机相连的所有光纤口都从TRUNK模式改为HYBRID模式。这里采用了第二种方法:具体如下:

[center7506]interface gig 2/0/1
[center7506-GigabitEthernet2/0/1]undo port link-type trunk
[center7506-GigabitEthernet2/0/1]port link-type hybrid
[center7506-GigabitEthernet2/0/1]port hybrid vlan 1 to 2 4 to 46 51 to 59 tagged
[center7506-GigabitEthernet2/0/1]q

这样就将光口2/0/1改为了hybrid模式,这样就强制该端口的VLAN1也打上tag。就能认边界发过来的带tag的VLAN1的帧了。

AIX、Solaris、FreeBSD等系统的免费真实学习环境

很早就知道Unix-Center.Net(Unix体验中心)并注册了。但一直没有使用他,因为以前都是用FreeBSD,他可以安装在Intel架构的机器上,随便找一台586的低档机器就可以安装FreeBSD并开始学习他。

最近在学习IBMAIX,花了些时间把AIX的文档简单的看了一些, 和学习FreeBSD一样,接下来就是要有一台安装AIX的机器能真实的操作,安装完VMware后突然想到,AIX不像FreeBSD能支持x86或者说是Inte CPU的机器,他只支持IBM的POWER处理器,网上搜索下,得到了确认,确实不能在VMware上安装AIX。

ChinaUnix.net上看到有朋友说有人贡献提供网友远程学习的AIX机器, 找了一圈没有,然后就想到了很早就注册的Unix-Center.Net,马上进入网站,果然看到了很多“UNIX”服务器,其实就有AIX。

用以前的帐号登陆,然后试着连接AIX的服务器地址:aix.unix-center.net,再用登陆网站的用户名密码(说明:网站上注册的用户名密码可以登陆所有的unix-center服务器),连接成功。

马上试了几个前两天刚看的简单的AIX命令, 都可以使用。又连接了另外两台服务器:freebsd.unix-center.net和t1000.unix-center.net,也都成功。如图:

1、AIX

center1.gif

center2.gif

2、FreeBSD

center3.gif

3、Solars

center4.gif

AIXSolaris等系统而且自己很难架设学习环境的人来说,Unix-Center.Net挺有用。当然考虑到安全,一些命令或者在服务器的使用上肯定会有所限制。

最后引用Unix-Center.Net网站上的一段话:

中国是一个发展中国家,我们有很多教师、学生和工程人员希望能够学习Unix/Linux系统,却又苦于没有合适的环境和条件。本站存在的目的,就是给这些爱好Unix/Linux的人一个学习和练习的条件,希望您能够支持我们的行动。

^M符号的去除

 由于Windows和FreeBSD下换行符号的不同,在windows中使用文本编辑器如UltraEdit编辑后上传至FreeBSD服务器,打开后,每行的结尾会出现“^M”,如下图:

mproultraedit.gif

这里,使用UltraEdit的“转换”功能就能将文本从DOS格式转换为UNIX格式,点击菜单栏[文件] -> [转换] -> [DOS转UNIX]即可,如下图。

mproultraedit2.gif

RouterOS2.9.6安装及试用笔记

最近在用一台老机器安装RouterOS做测试,效果不错,在管理及流量控制等方面比BSD要好的多,如是你是一个中型的单位企业,使用一台普通的P4+IDE硬盘接口的PC安装一个RouterOS,应该能完全满足上网的需求了。以下为安装及配置的简要过程:

一、下载及安装RouterOS

从网络上下载后将ISO结尾的文件镜像刻盘,然后开始安装,将光盘放入,直到出现如下画面:

routeros1.gif

依次键入“a”(选择全部安装),然后键入“i”(开始安装),这时会跳出第一个对话框:是否删除硬盘里所有数据,选“y”,接着跳出第二个对话框:是否保存原有数据,选“n”,接着就开始安装了,半分钟后,出现如下画面后按回车重启机器,这样RouterOS就完成安装了。

routeros2.gif

二、 配置内网网卡ip

先配置内网网卡地址,然后使用winbox远程配置。

重启后使用默认用户名admin密码为空登陆系统,如下图:

routeros3.gif

登陆后使用setup命令配置网卡地址,将出现如下画面:

routeros4.gif

这里选择“a”选项(配置ip地址和网关),出现下一对话框后再选择“a”,然后选择网卡,默认为“ether1”,直接回车,最后输入内网网卡地址和子网掩码,如下图。

routeros5.gif

输入完ip回车后又会出现两次对话框要求输入ip和网关,直接按两次“x”键即可退出。因为RouterOS命令是直接生效的,所以下来就可以用一台windows机器加上winbox软件来远程安装配置了。

三、配置外网网卡地址

RourterOS可以使用winbox来实现远程的管理与维护,winbox登陆界面如下:

routeros7.gif

连接后winbox的主界面如下:

routeros6.gif

接下来开始配置外网网卡ip,依次点击IP -> Addresses,如下图:

routeros8.gif

在弹出的对话框中点击“+”按扭,然后在New Address对话框中输入外网IP,这里只填Address项,为58.241.2.156/29,点击“ok”,如下图。

routeros9.gif

四、配置路由与NAT

1)路由配置

依次选择IP -> Routes,点击“+”按扭,弹出New Route对话框,Destination为0.0.0.0/0,gateway为外网网关,这里为58.241.2.153,如下图。

routeros10.gif

2)配置NAT

依次选择IP -> Firewall -> NAT,在出现的对话框中选择General选项卡,Chain选项中选择srcnat,再选择Action选项卡,Action选项中选择masquerade,点击“ok”,如下图。

routeros11.gif

至此,内网用户设置6段地址后就可以上网了,接下来做一些安全及流量的配置:

五、添加防火墙规则

点击New Terminal, 打入“/ ip firewall filter”命令,然后复制防火墙文件中的规则列表,再进入New Terminal窗口,点击右键选择“Paste”,如下图。

routeros12.gif

这样,在IP -> Firewall -> Filter Rules中可以看到刚才导入的防火墙规则了,如下图。

routeros13.gif

 六、对单个IP限速

选择Queues -> Simple Queues,点击“+”按扭,选择General,Name中填入任一名称,在Dst. Address中填入想限速的IP,如192.168.6.1/32,然后将Max Limit  (tx/rx)打钩,然后在后面的框中输入“1M/512K”,这里的1M为下载速度(tx),512K为上传速度(rx) ,点击“ok”,如下图。

routeros14.gif

小结:因为RouterOS使用的是Linux的内核,所以在大网络环境或者大吞吐量时的表现应该表现不凡,这方面linux应该说比BSD要更出现。在安装、配置、管理等方面也比BSD要更简单,因为它使用了窗口式管理。如果在SCSI硬盘的支持上RouterOS能更好的话,相信它的性能会更强。

刚接触RouterOS,文中难免有错误。

funpower  2008-03-05   funpower@gmail.com

FreeBSD 6.3-RELEASE发布

FreeBSD Release开发小组正式发布了FreeBSD 6-Stable分支中最新的版本——FreeBSD 6.3-Release,在性能和可靠性上都有了一定的增强。

FreeBSD/i386 6.3-RELEASE 发行说明      FreeBSD 6.3-RELEASE 发行版勘误     下载

另外,FreeBSD 6.3-RELEASE 同时是作为对萩野純一郎博士的纪念版本发布的。萩野純一郎博士在 IPv6 协议栈以及 BSD 系统的其他方面做出了卓越的贡献。

FreeBSD 7.0-BETA4发布

下载:ftp://ftp.freebsd.org/pub/FreeBSD/releases/i386/ISO-IMAGES/7.0/

FreeBSD新闻

1、FreeBSD 6.3-RC1下载)已发布。

2、由于在测试过程中发现的问题,决定在7.0发布周期中新增加两个 BETA build:BETA3和BETA4,以便进一步排查问题;FreeBSD 7.0-RELEASE的预计发布时间,由2007年12月17日推迟至2008年1月14日。

FreeBSD 7.0-BETA3发布

如果不出意外,FreeBSD 7.0-BETA3将是RC1之前的最后一个BETA版本。FreeBSD7.0RELEASE估计将在12月中旬发布。

下载地址:

ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-i386/7.0/7.0-BETA3-i386-disc1.iso

ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-i386/7.0/7.0-BETA3-i386-disc2.iso

ftp://ftp.FreeBSD.org/pub/FreeBSD/ISO-IMAGES-i386/7.0/7.0-BETA3-i386-bootonly.iso

FreeBSD6.2+Squid2.6架设“对外网用户的squid代理+认证”服务器

架设一台代理,提供对外网用户的代理请求,端口仍然为3128,加入Squid认证功能。这样可以保证只提供给某些你信任的用户该服务。架设过程和架设对内网用户提供服务的过程基本相同,只是在编译安装squid时和squid的配置文件squid.conf有些不同。这次架设的服务器将保留对内网用户提供squid服务(内网用户不增加认证功能限制)的同时再增加对外网用户提供squid+认证功能。版本为FreeBSD6.2-RELEASE+Squid2.6-STABLE12

服务器及网络信息:

外网网卡:em0;外网ip:221.6.117.50/255.255.255.240
内网网卡:em1;内网ip:128.0.0.4/255.255.252.0

架设过程:

一、FreeBSD的安装

1、最小化安装FreeBSD6.2RELEASE

2、配置内核:

jiulongproxynew# cd /usr/src/sys/i386/conf
jiulongproxynew# cp GENERIC funpower
jiulongproxynew# ee funpower

修改内核配置文件,将不需要的选项(如网卡)之类的前面打#,然后按esc并按a保存退出,再执行:

jiulongproxynew# /usr/sbin/config funpower
jiulongproxynew# cd ../compile/funpower
jiulongproxynew# make cleandepend
jiulongproxynew# make depend
jiulongproxynew# make
jiulongproxynew# make install

3、配置/etc/rc.conf:

hostname="jiulongproxynew.jscpu.com"
defaultrouter="221.6.117.97"
ifconfig_em0="inet 221.6.117.50 netmask 255.255.255.240"
ifconfig_em1="inet 128.0.0.4 netmask 255.255.252.0"
sendmail_enable="NONE"
inetd_enable="YES"
linux_enable="YES"
sshd_enable="YES"
usbd_enable="YES"

4、配置resolv.conf:

jiulongproxynew# cd /etc
jiulongproxynew# ee resolv.conf

添加如下两行:

nameserver 221.6.96.177
nameserver 221.6.96.178

5、重启服务器

二、squid的安装

1、安装perl以支持squid

jiulongproxynew# cd /usr/ports/lang/perl5
jiulongproxynew# make install

2、安装Apache,squid认证用户设置密码时使用apache的密码管理程序htpasswd

jiulongproxynew# cd /usr/ports/www/apache13
jiulongproxynew# make install

3、下载并安装squid

http://www.squid-cache.org/Versions/v2/2.6/下载squid-2.6.STABLE16.tar.gz并通过FTP放置服务器目录中/home/funpower,然后开始解压安装:

jiulongproxynew# cd /home/funpower
jiulongproxynew# tar zxvf squid-2.6.STABLE16.tar.gz
jiulongproxynew# cd squid-2.6.STABLE16
jiulongproxynew# ./configure –prefix=/usr/local/squid –enable-auth=”basic” –enable-basic-auth-helpers=”NCSA”
jiulongproxynew# make
jiulongproxynew# make install

3、配置squid和创建认证用户及密码

将ncsa_auth拷贝至可执行目录/usr/sbin

jiulongproxynew# cd /home/funpower/squid-2.6.STABLE16
jiulongproxynew# cd helpers/basic_auth/NCSA/
jiulongproxynew# cp ncsa_auth /usr/sbin

创建squid认证用户www

jiulongproxynew# /usr/local/bin/htpasswd -c /usr/local/squid/etc/password www
New password:
Re-type new password:
Adding password for user www

输入www两遍密码后出现上面的信息就说明用户创建成功。

4、配置squid.conf

jiulongproxynew# cd /usr/local/squid/etc
jiulongproxynew# ee squid.conf

内容如下:

auth_param basic program /usr/sbin/ncsa_auth /usr/local/squid/etc/password
auth_param basic children 5
auth_param basic realm Please enter the user name and password
auth_param basic credentialsttl 2 hours

acl web src 128.0.0.0/22 //内网ip段定义
acl all src 0.0.0.0/0.0.0.0 //外网ip段定义
acl all1 proxy_auth REQUIRED //定义all1字段为需要认证

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

#deny bbs
acl bbs url_regex -i bbs
http_access deny bbs

#deny baidu post
acl baidupost dstdom_regex post.baidu.com
acl baidupost2 dstdomain post.baidu.com
http_access deny baidupost
http_access deny baidupost2

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow web //定义内网ip段为允许通过
http_access allow all all1 //定义外网ip段为允许通过,但需要认证,因为加了all1字段
icp_access allow all
http_port 3128
http_port 221.6.117.x:3128 //增加一个对本机外网地址的3128端口
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY
cache_mem 64 MB
cache_dir ufs /usr/local/squid/cache 7000 16 256
access_log /dev/null
cache_log /dev/null
cache_store_log none
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
cache_mgr webmaster@jscpu.com
cache_effective_user squid
cache_effective_group squid
visible_hostname jiulongproxynew.jscpu.com

4、创建用户及缓存等:

jiulongproxynew# pw groupadd squid
jiulongproxynew# pw adduser squid -g squid -s /nonexistent
jiulongproxynew# mkdir /usr/local/squid/cache
jiulongproxynew# chown -R squid /usr/local/squid/cache
jiulongproxynew# chgrp -R squid /usr/local/squid/cache
jiulongproxynew# chown -R squid /usr/local/squid/var/logs
jiulongproxynew# chgrp -R squid /usr/local/squid/var/logs
jiulongproxynew# /usr/local/squid/sbin/squid -z
jiulongproxynew# cd /usr/local/squid/sbin
jiulongproxynew# ./squid
jiulongproxynew# ee /etc/rc.local

加入如下一行:
/usr/local/squid/sbin/squid
保存退出。

5、重启服务器

三、客户端的设置及上网演示

1、内网用户

内网用户因为没有增加squid代理的认证功能,所以上网设置不变,只需在IE浏览器中设置服务器内网网卡地址128.0.0.4及3128端口即可。如下图:

freebsdsquidauth1.gif

2、外网(家庭)用户

外网用户,一般是家中,在使用该代理,需将IE上的代理服务器地址设置为该服务器的外网网卡地址221.6.117.50,端口仍为3128。如下图:

freebsdsquidauth22.gif

设置完后,在IE上打开任一网址,即会跳出一认证对话框,如下图,输入刚才创建的www用户及密码,若能访问该网站,及该服务器架设正确。

freebsdsquidauth3.gif