Telegram
Network Quiz
Взгляните на топологию и описание квиза выше 👆🏻
Какой будет next-hop на SW1/2 в vrf RED в сторону подсети 192.168.0.0/24?
10.0.0.3 / 10.0.0.4 / 172.16.0.1 / 172.16.0.2
Какой будет next-hop на SW1/2 в vrf RED в сторону подсети 192.168.0.0/24?
10.0.0.3 / 10.0.0.4 / 172.16.0.1 / 172.16.0.2
📝 Разбор квиза: NQ Next-hop
Казалось бы, в качестве next-hop на коммутаторах SW1/2 в vrf RED в сторону подсети 192.168.0.0/24 должен быть выбран маршрут eBGP, т.к. его AD ниже, чем у OSPF на оборудовании Cisco (
Но сравнение AD идет после того, как в пределах RIB каждого протокола будет выбран лучший маршрут.
В таблице BGP лучшим выбирается локальный, полученный редистрибьюцией из OSPF. Его LP=100 и ему назначен Weight 32768. AD локального BGP выше OSPF (
#netquiz_explanation #netquiz_routing #netquiz_cisco
👤 Автор разбора квиза: @ikiliikkuja
Казалось бы, в качестве next-hop на коммутаторах SW1/2 в vrf RED в сторону подсети 192.168.0.0/24 должен быть выбран маршрут eBGP, т.к. его AD ниже, чем у OSPF на оборудовании Cisco (
20>110). Но сравнение AD идет после того, как в пределах RIB каждого протокола будет выбран лучший маршрут.
В таблице BGP лучшим выбирается локальный, полученный редистрибьюцией из OSPF. Его LP=100 и ему назначен Weight 32768. AD локального BGP выше OSPF (
200>110).SW2# sh ip route 192.168.0.0 vrf RED
IP Route Table for VRF "RED"
'*' denotes best ucast next-hop
'**' denotes best mcast next-hop
'[x/y]' denotes [preference/metric]
'%string' in via output denotes VRF 'string'
192.168.0.0/24, ubest/mbest: 1/0
*via 10.0.0.4, Vlan10, [110/90], 6d14h, ospf-1, intra
SW2# sh ip bgp 192.168.0.0/24 longer-prefixes vrf RED
BGP routing table information for VRF RED, address family IPv4 Unicast
BGP table version is 295, Local Router ID is 10.0.0.2
Status: s-suppressed, x-deleted, S-stale, d-dampened, h-history, *-valid, >-best
Path type: i-internal, e-external, c-confed, l-local, a-aggregate, r-redist, I-injected
Origin codes: i - IGP, e - EGP, ? - incomplete, | - multipath, & - backup, 2 - best2
Network Next Hop Metric LocPrf Weight Path
*>r192.168.0.0/24 0.0.0.0 90 100 32768 ?
SW2# sh ip bgp 192.168.0.0/24 vrf RED
BGP routing table information for VRF RED, address family IPv4 Unicast
BGP routing table entry for 192.168.0.0/24, version 292
Paths: (1 available, best #1)
Flags: (0x80c0002) (high32 0x000020) on xmit-list, is not in urib, exported
vpn: version 194855, (0x00000000100002) on xmit-list
Advertised path-id 1, VPN AF advertised path-id 1
Path type: redist, path is valid, is best path, no labeled nexthop, is extd
AS-Path: NONE, path locally originated
0.0.0.0 (metric 0) from 0.0.0.0 (10.0.0.2)
Origin incomplete, MED 90, localpref 100, weight 32768
#netquiz_explanation #netquiz_routing #netquiz_cisco
👤 Автор разбора квиза: @ikiliikkuja
🔥5❤1💯1
Telegram
Network Quiz
При каком условии DNS переходит с UDP на TCP для передачи данных?
Высокая загрузка DNS-сервера / Если DNS запрос или ответ превышает определённый размер в байтах / Наличие необходимости в аутентификации клиента / Выполнение запросов с нестандартных портов
Высокая загрузка DNS-сервера / Если DNS запрос или ответ превышает определённый размер в байтах / Наличие необходимости в аутентификации клиента / Выполнение запросов с нестандартных портов
✍️ Разбор квиза: NQ TCP/UDP в DNS
Всем известно, что DNS работает по UDP на порту 53. Но IANA для DNS выделила 53 порт и для UDP, и для TCP. Зачем для DNS протокол TCP и когда он работает поверх UDP?
Напомним, что в отличие от TCP, у UDP нет функции сегментации трафика при превышении MTU, что ведёт к фрагментации такого трафика и проблемам. Более того, размер UDP датаграммы ограничен 512 байтами (хотя современная реализация протокола и позволяет использовать больший размер, DNS по умолчанию до сих пор использует ограничение в 512 байт).
Становится очевидным, что DNS переключается на TCP при превышении размера ответа в 512 байт. Как и когда это происходит?
1️⃣ По умолчанию, запрос передачи зоны AXFR работает поверх TCP, так как необходимо передать большое количество данных.
2️⃣ При отсутствии EDNS0, при превышении ответа в 512 байт, сервер отправляет неполный ответ с флагом TC (truncated), тем самым заставляя клиента переключиться на TCP. Подобного типа ответы могут быть на запрос записей типа TXT, для работы DNSSec. Пример:
В дампе можно увидеть ТС=1 и переключение клиента на TCP. Значение +bufsize=0 отключает EDNS0 на стороне клиента.
3️⃣ При наличии опции EDNS0, клиент отправляет информацию о том, что он готов принять больший размер датаграммы, что значительно снижает вероятность переключения на TCP.
В этом случае сервис переключается на TCP, если размер ответа превышает значение размера, отправленного клиентом.
#netquiz_explanation #netquiz_dns
Источники: RFC 5966, RFC 1123, RFC 2671, RFC 5625
👤 Автор разбора квиза: Surgeon
Всем известно, что DNS работает по UDP на порту 53. Но IANA для DNS выделила 53 порт и для UDP, и для TCP. Зачем для DNS протокол TCP и когда он работает поверх UDP?
Напомним, что в отличие от TCP, у UDP нет функции сегментации трафика при превышении MTU, что ведёт к фрагментации такого трафика и проблемам. Более того, размер UDP датаграммы ограничен 512 байтами (хотя современная реализация протокола и позволяет использовать больший размер, DNS по умолчанию до сих пор использует ограничение в 512 байт).
Становится очевидным, что DNS переключается на TCP при превышении размера ответа в 512 байт. Как и когда это происходит?
1️⃣ По умолчанию, запрос передачи зоны AXFR работает поверх TCP, так как необходимо передать большое количество данных.
2️⃣ При отсутствии EDNS0, при превышении ответа в 512 байт, сервер отправляет неполный ответ с флагом TC (truncated), тем самым заставляя клиента переключиться на TCP. Подобного типа ответы могут быть на запрос записей типа TXT, для работы DNSSec. Пример:
dig google.com +trace +bufsize=0В дампе можно увидеть ТС=1 и переключение клиента на TCP. Значение +bufsize=0 отключает EDNS0 на стороне клиента.
3️⃣ При наличии опции EDNS0, клиент отправляет информацию о том, что он готов принять больший размер датаграммы, что значительно снижает вероятность переключения на TCP.
В этом случае сервис переключается на TCP, если размер ответа превышает значение размера, отправленного клиентом.
#netquiz_explanation #netquiz_dns
Источники: RFC 5966, RFC 1123, RFC 2671, RFC 5625
👤 Автор разбора квиза: Surgeon
👏14✍1❤1👌1
📝 Разбор квиза: NQ Конфигурация BGP
На схеме изображены два маршрутизатора Cisco R1 и R2, подключенные друг к другу. На интерфейсе Gi0/0 на R1 прописан IP-адрес 10.10.10.1/24, на R2 - 10.10.10.2/24.
Конфигурация BGP на R1:
На R2:
Когда запускаешь BGP без явного указания address-family, Cisco автоматически активирует IPv4 Unicast для всех соседей. Но на маршрутизаторе R1 прописана команда
Поэтому BGP-сессия не поднимется. Необходимо на R1 добавить явную команду
#netquiz_explanation #netquiz_bgp #netquiz_cisco
👤 Автор разбора квиза: author
На схеме изображены два маршрутизатора Cisco R1 и R2, подключенные друг к другу. На интерфейсе Gi0/0 на R1 прописан IP-адрес 10.10.10.1/24, на R2 - 10.10.10.2/24.
Конфигурация BGP на R1:
router bgp 100
bgp log-neighbor-changes
no bgp default ipv4-unicast
neighbor 10.10.10.2 remote-as 200
neighbor 10.10.10.2 description R2
!
address-family ipv4
exit-address-family
На R2:
router bgp 200
bgp log-neighbor-changes
neighbor 10.10.10.1 remote-as 100
neighbor 10.10.10.1 description R1
Когда запускаешь BGP без явного указания address-family, Cisco автоматически активирует IPv4 Unicast для всех соседей. Но на маршрутизаторе R1 прописана команда
no bgp default ipv4-unicast, которая отключает активацию IPv4 Unicast для соседей.Поэтому BGP-сессия не поднимется. Необходимо на R1 добавить явную команду
neighbor 10.10.10.2 activate внутри address-family ipv4.#netquiz_explanation #netquiz_bgp #netquiz_cisco
👤 Автор разбора квиза: author
🔥13👍2
Telegram
Network Quiz
Взгляните на топологию, описание квиза и варианты ответов выше 👆🏻
Что пошло не так? (приветствуются размышления в комментариях)
Вариант 1 / Вариант 2 / Вариант 3
Что пошло не так? (приветствуются размышления в комментариях)
Вариант 1 / Вариант 2 / Вариант 3
📝 Разбор квиза: NQ Подключение сервера
На СХД оба таргета обслуживаются единым IP-стеком.
Так как оба инициатора на сервере и оба таргета на СХД принадлежат к одной подсети, то даже когда интерфейс с адресом 10.0.0.2 сервера обращается к 10.0.0.4 на СХД, ответ СХД с адреса 10.0.0.4 уйдет с интерфейса iscsitrg1 - у них одинаковы все метрики, все маршруты, но у этого интерфейса при прочих равных меньше IP-адрес.
Это, впрочем, не является гарантированным и универсальным поведением, но оно является весьма возможным и более вероятным, если СХД построена на ОС общего назначения типа Linux, без дополнительной настройки правил машрутизации.
Автор встречал такое поведение на NAS производства QNAP и Synology, на системах Debian и RHEL.
Так что хорошей практикой будет разносить IP-адреса первого и второго пути по разным подсетям.
#netquiz_explanation #netquiz_server
👤 Автор разбора квиза: @rm_chik
На СХД оба таргета обслуживаются единым IP-стеком.
Так как оба инициатора на сервере и оба таргета на СХД принадлежат к одной подсети, то даже когда интерфейс с адресом 10.0.0.2 сервера обращается к 10.0.0.4 на СХД, ответ СХД с адреса 10.0.0.4 уйдет с интерфейса iscsitrg1 - у них одинаковы все метрики, все маршруты, но у этого интерфейса при прочих равных меньше IP-адрес.
Это, впрочем, не является гарантированным и универсальным поведением, но оно является весьма возможным и более вероятным, если СХД построена на ОС общего назначения типа Linux, без дополнительной настройки правил машрутизации.
Автор встречал такое поведение на NAS производства QNAP и Synology, на системах Debian и RHEL.
Так что хорошей практикой будет разносить IP-адреса первого и второго пути по разным подсетям.
#netquiz_explanation #netquiz_server
👤 Автор разбора квиза: @rm_chik
🔥8❤2😱1
📝 Разбор квиза
Promiscuous mode позволяет сетевому интерфейсу принимать фреймы с любым DST_MAC, но стек TCP/IP по-прежнему проверяет MAC-адрес на уровне L2.
Если DST_MAC не совпадает с адресом интерфейса или мультикаст/бродкаст, фрейм принимается только драйвером, фиксируется в AF_PACKET и статистике интерфейса, но не передаётся в IP-стек: маршрутизация не выполняется, iptables/netfilter его не видит.
#netquiz_explanation #netquiz_system #netquiz_linux
👤 Автор разбора квиза: @merura
#netquiz_explanation #netquiz_system #netquiz_linux
👤 Автор разбора квиза: @merura
👍26🤔6
📝 Разбор квиза
Атрибуты пути BGP:
1️⃣ Well-known mandatory:
▫️ AS Path
▫️ Next-hop
▫️ Origin
2️⃣ Well-known discretionary:
▫️ Local preference
▫️ Atomic aggregate
3️⃣ Optional transitive:
▫️ Aggregator
▫️ Community
4️⃣ Optional non-transitive:
▫️ MED (Multi-exit discriminator)
▫️ Originator ID
▫️ Cluster list
#netquiz_explanation #netquiz_bgp
Источник: xgu.ru
👤 Автор разбора квиза: @nurkeynw
▫️ Next-hop
▫️ Origin
▫️ Atomic aggregate
▫️ Community
▫️ Originator ID
▫️ Cluster list
#netquiz_explanation #netquiz_bgp
Источник: xgu.ru
👤 Автор разбора квиза: @nurkeynw
🔥6👍5
📝 Разбор квиза
Как известно, MAC-адрес состоит из 6 байт, или 48 бит. Для человеческого удобства он представлен в виде шестнадцатеричных значений, где каждое его значение занимает 4 бита.
Для определения принадлежности MAC-адреса нужно проанализировать первый байт MAC-адреса - CC, или в двоичной системе 11001100.
7️⃣-й бит MAC-адреса определяет, является ли MAC-адрес глобально уникальным или локально администрируемым:
▫️ Значение 0 - глобально уникальный адрес
Если MAC-адрес является глобально уникальным, то он будет вшитым в устройство. Выданным компанией-производителем.
▫️ 1 - локально администрируемый адрес
Локально администрируемый MAC-адрес изменяется вручную или программно. Этот адрес будет поверх глобально уникального адреса на устройстве. Например, в том же сетевом адаптере Windows можно это сделать.
В случае с примером из вопроса, MAC-адрес является глобально уникальным адресом, т.к. 7-й бит равен 0.
8️⃣-й бит - определяет принадлежность MAC-адреса к unicast или multicast адресам:
▫️ 0 - unicast адрес
Передача данных для одного устройства.
▫️ 1 - multicast адрес
Передача данных для устройств, которые состоят в группе multicast.
MAC-адрес из примера - unicast, т.к. 8-й бит равен 0.
А теперь вопрос навскидку, а как определить какого производителя этот MAC-адрес?
#netquiz_explanation #netquiz_mac_address
Источник: RFC 7042
👤 Автор разбора квиза: @nurkeynw
Если MAC-адрес является глобально уникальным, то он будет вшитым в устройство. Выданным компанией-производителем.
Локально администрируемый MAC-адрес изменяется вручную или программно. Этот адрес будет поверх глобально уникального адреса на устройстве. Например, в том же сетевом адаптере Windows можно это сделать.
Передача данных для одного устройства.
Передача данных для устройств, которые состоят в группе multicast.
#netquiz_explanation #netquiz_mac_address
Источник: RFC 7042
👤 Автор разбора квиза: @nurkeynw
👍7🔥3❤1😱1
📝 Разбор квиза
Использовалась команда reload at / reload in, задающая перезагрузку устройства через заданный интервал времени.
Если после настройки все было в порядке, можно было отменить перезагрузку командой reload cancel и сохранить текущую конфигурацию в загрузочную.
#netquiz_explanation #netquiz_commands #netquiz_cisco
👤 Автор разбора квиза: @rm_chik
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
#netquiz_explanation #netquiz_commands #netquiz_cisco
👤 Автор разбора квиза: @rm_chik
🔥6
📝 Разбор квиза
Выбор корневого моста (Root Bridge) основан на Bridge ID, который включает в себя приоритет, номер VLAN и MAC-адрес. Рассмотрим, как выглядит поле Bridge ID:
▫️Приоритет - 2 байта;
▫️MAC-адрес - 6 байт.
Приоритет включает в себя:
▫️4-х битное значение приоритета, кратное 4096;
▫️12 битное значение расширенного идентификатора системы или, иначе, номер VLAN.
Выбор корневого моста основывается на:
1️⃣ шаг - на основе наименьшего приоритета;
2️⃣ шаг - на основе наименьшего MAC-адреса, если значения приоритета равны.
На выбор корневого моста на основе приоритета претендуют коммутаторы SW1 и SW4. В итоге корневым мостом будет коммутатор SW1, т.к. у него значение MAC-адреса меньше.
❔Вопрос для обсуждения: Если значение приоритета должно быть кратно 4096, то почему у корневного моста приоритет равен 5006?
#netquiz_explanation #netquiz_stp
👤 Автор разбора квиза: @nurkeynw
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
▫️MAC-адрес - 6 байт.
▫️12 битное значение расширенного идентификатора системы или, иначе, номер VLAN.
#netquiz_explanation #netquiz_stp
👤 Автор разбора квиза: @nurkeynw
❤6
📝Разбор квиза
S-terra имеет 3 оболочки конфигурации:
1️⃣ Linux-подобная оболочка (базовый доступ к ОС при входе);
2️⃣ FRR (Free Range Routing) – оболочка для настройки маршрутизации (аналогично Zebra/Quagga);
3️⃣ Cisco-like CLI – интерфейс, похожий на Cisco IOS, для настройки VPN и сетевых параметров.
#netquiz_explanation #netquiz_security #netquiz_sterra
👤 Автор разбора квиза: @blessed_bogdan
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
#netquiz_explanation #netquiz_security #netquiz_sterra
👤 Автор разбора квиза: @blessed_bogdan
❤1
📝 Разбор квиза
Для ограничения скорости применяются два инструмента QoS:
1️⃣ Policing - ограничивает скорость путём сбрасывания лишнего трафика.
2️⃣ Shaping - ограничивает скорость путём буферизации лишнего трафика.
На изображении ниже видно, как работают оба инструмента.
Разница между ними в том, что policing отбросит все пакеты, которые превышают лимит, а shaping поместит их в буфер и отправит с задержкой.
Также shaping более ресурсоемкая операция, так как размер буферов ограничен и массово не используется.
#netquiz_explanation #netquiz_qos
Источник изображения: Cisco
👤 Автор разбора квиза: @nurkeynw
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
Источник изображения: Cisco
👤 Автор разбора квиза: @nurkeynw
👍8❤2
📝 Разбор квиза
Начинающий сетевой инженер корректно настроил Port Security, согласно требованиям от старшего инженера, но упустил одну незначительную, но важную деталь.
Пройдёмся по требованиям Port Security, взяв за основу конфигурацию на интерфейсе FastEthernet 0/10 на коммутаторе SW1_FL15:
▫️Максимальное количество MAC-адресов - 2
Команда switchport port-security maximum 2 соответствует требованиям. По умолчанию на Cisco IOS максимальное количество MAC-адресов - 1.
▫️MAC-адреса должны изучаться динамически и сохраняться в startup-config
Согласно настроенной команде switchport port-security mac-address sticky MAC-адреса изучаются динамически на интерфейсе и будут в startup-config, если конфигурация будет сохранена (write memory). По умолчанию на Cisco IOS MAC-адреса изучаются динамически и они удаляются после перезагрузки коммутатора.
▫️При нарушении порт должен отключаться
Явной команды для отключения порта при нарушении безопасности нет, т.к. она используется по умолчанию при конфигурации Port Security на интерфейсе - switchport port-security violation shutdown. При нарушении безопасности порт будет переведен в состояние err-disable.
❔Вопрос на засыпку: Как выйти из состояния err-disable?
Что же забыл начинающий сетевой инженер? Какую деталь он упустил?
Вышеперечисленные команды не работают и лишь будут “висеть” на конфигурации Cisco из-за того, что не хватает команды для активации Port Security - switchport port-security.
Полностью конфигурация должна выглядеть таким образом:
SW1_FL15#show running-config interface FastEthernet0/10
interface FastEthernet0/10
switchport mode access
switchport access vlan 20
switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
Не забываем себя перепроверять и расти как специалисты!
#netquiz_explanation #netquiz_port_security #netquiz_cisco
👤 Автор разбора квиза: @nurkeynw
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
interface FastEthernet0/10
switchport mode access
switchport access vlan 20
switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
#netquiz_explanation #netquiz_port_security #netquiz_cisco
👤 Автор разбора квиза: @nurkeynw
❤22
📝 Разбор квиза
Ключ -t задает TTL.
Запуская последовательно
ping -t 1 destination-ip
ping -t 2 destination-ip
ping -t 3 destination-ip
....
ping -t N destination-ip
можно получать сообщения TTL expired от всех попутных маршрутизаторов. Собственно, так и работает утилита traceroute.
#netquiz_explanation #netquiz_utility #netquiz_linux
👤 Автор разбора квиза: @rm_chik
Для самопроверки просим прочитать разбор квиза после ответа на сам квиз.
ping -t 2 destination-ip
ping -t 3 destination-ip
....
ping -t N destination-ip
#netquiz_explanation #netquiz_utility #netquiz_linux
👤 Автор разбора квиза: @rm_chik
🔥17