fortigate ipsec vpn

fortigate ipsec vpn有2種模式

interface mode:
較直覺。勾選ipsec interface mode即可建立一個虛擬的interface。
之後就可以建立
internal -> ipsec interface allow all.
ipsec interface -> interal allow all.
就可以了

fortigate <-> fortigate
fortigate <-> cisco
測試過都ok。
不過相容性和vigor, tp-link好像都不合。


policy mode：
是在interal -> wan 的第一條policy設成ipsec
勾選inbound outbound就可以內外通了。
只要一條policy。
source可控制哪些ip可通過vpn tunnel。
相容性較高，和大部分設備都可以成功互連。

firefox set proxy search bar broken

try this..

Go to %ProgramFiles(x86)%\Mozilla Firefox\searchplugins then open google.xml with Notepad and replace all https by http, save and you're done.
(doesn't work for about:home that's a different file)

pvst/pvst+

做個筆記
http://mynetworknote.blogspot.tw/2010/07/pvstpvst.html

cisco 的PVST+是專利...
extreme接cisco最好是用trunk...
不然會出現Port VLAN ID (PVID) inconsistency—A per-VLAN spanning tree (PVST+) Bridge Protocol Data Unit (BPDU) is received on a different VLAN than it was originated: (Port VLAN ID Mismatch or *PVID_Inc).

port被spanning tree block.
解法:1.trunk  2. cisco 關掉spanning tree功能

fortigate reset password

如果忘記了Fortigate Firewall 的管理密碼該如何還原，底下提供一個簡單的做法

Step 1 在console底下輸入：
console線如果遺失可用cisco console線
必須先從開機，在14秒內輸入
帳號：maintainer
密碼：bcpbFGTxxxxxxxxxxxx (FGT1234567890為該設備的序號)
Type in bcpbFGTxxxxxxxxxxxxx as the password. xxxxxxxxxxxxx will be the S/N of the Fortigate. The serial number is case sensitive so for example you should use FGT60B, not FGT60b.
通常序號位於機器背後的貼紙

Step 2 登入後修改admin密碼
config system admin
edit admin
set password
end

如此即可完成 Password Reset ，在進行Admin Password Reset的過程中並不會將原本的Rule給清除，不過在Reset Password 完畢之後機器會自動進行 Reboot 的動作，所以建議在於離峰時間進行相關設定。

fortigate 80C SSL VPN 4.0 mr2

4.0 mr2後為了split tunnel找好久，總算有好心人分享了..感謝..
http://what-a-good-day.blogspot.com/2011/03/ssl-vpn-on-fortigate-80c.html

這是另一個問題要設split tunnel, wanl->internal的SSL VPN policy的destination 不能為any
FD31464 - Troubleshooting Note : FortiGate message "Destination address of Split Tunneling policy is invalid" 

http://kb.fortinet.com/kb/microsites/microsite.do?cmd=displayKC&externalId=FD31464

Firewall fortigate 4.0 MR2 patch 1 cpu loading high

http://firewallguru.blogspot.com/2010/07/high-cpu-utilization-caused-by-ips.html

# diag test app ipsmonitor 99

yes, It works.

fiber lc connector

mini gbic sfp

http://www.tech-faq.com/lc-connector.shtml

國內各大ISP DNS伺服器位址

國內各大ISP DNS伺服器位址

Hinet dns - 中華電信dns
168.95.1.1
168.95.192.1
168.95.192.2

SeedNet dns - 數位聯合電信 dns
北區: 台北, 桃園, 新竹, 宜蘭, 花蓮, 苗栗
139.175.55.244
139.175.252.16
中區: 台中, 彰化, 南投, 雲林
139.175.150.20
139.175.55.244
南區: 高雄, 台南, 嘉義, 屏東, 台東
139.175.10.20
139.175.55.244

So-Net dns
61.64.127.1
61.64.127.2

GIGA dns
203.133.1.8
203.133.1.6

APOL dns - 亞太線上 dns
203.79.224.10
203.79.224.30

Sparq dns - 速博 dns
211.78.130.10
211.78.130.11

TFN dns - 台灣固網dns
211.78.215.137
211.78.215.200

TTN dns - 台灣電訊dns
202.145.136.4
202.145.138.1
202.145.138.136
202.145.138.200
210.17.1.1

CHT8000 Hard reset

CHT8000 (Huawei U8220) Hard reset factory default

CHT8000清空使用者資料 回復出廠設定

1. shutdown

2. press "menu" + "red button(hang off button)" + "power button"

3. pulse

4. choose "wipe data factory default"

5. choose "reboot"

6. take more time for booting....be patient....

7. boot ok...done....

Firewall fortigate 4.0 MR2 patch 1 cpu loading high

http://firewallguru.blogspot.com/2010/07/high-cpu-utilization-caused-by-ips.html

# diag test app ipsmonitor 99

yes, It works.

Reset Juniper ISG Firewall to factory default settings

Reset Juniper ISG Firewall to factory default settings

I was put in a situation to bring Juniper Firewall to factory default settings.

Firewall Model: Juniper ISG 1000

Note: By default settings of Juniper Firewall, recovery settings are enabled. Some admins might have disabled it by unset admin device-reset

Step 1: Execute "set admin device-reset" command

Step 2: Execure "reset" command

Say "Yes" to confirm saving the configuration and restarting

Step 3: After the image is loaded in the firewall, at login prompt, type the serial number as user name. At password prompt, type the serial number again. The following message appears

!!! Lost Password Reset !!! You have initiated a command to reset the device to factory defaults, clearing all current configuration and settings. Would you like to continue? y/[n]

Press Y in the screen

!! Reconfirm Lost Password Reset !! If you continue, the entire configuration of the device will be erased. In addition, a permanent counter will be incremented to signify that this device has been reset. This is your last chance to cancel this command. If you proceed, the device will return to factory default configuration, which is: System IP: 192.168.1.1; username: netscreen; password: netscreen. Would you like to continue? y/[n]

Press Y in the screen to reset the device to factory default settings

Note: Connect to Management Port (Set your IP in 192.168.1.0 segment) and access 192.168.1.1. Use netscreen/netscreen as default password.

juniper ssg nat advice

Anyway: My advise as experienced user and instructor on ScreenOS: Allways put every interface in route-mode and do the natting in the policy. It's so much more clear what's going on with natting that way!
because interface base nat only valid for traffic from trust to untrust where interface in trust zone you set in nat mode

ADSL FTTB MTU 設定

什麼是 MTU 呢？那就是 Maximum Transmission Unit 的縮寫！

　

因為不同的網路介面卡具有不同的 MTU 要求，當 MTU 的需求與你的網路介面卡不同時，就會有問題發生啦！一般而言，MTU 在網路卡（EtherNet）的預設值為 1500 單位！好啦！剛剛說到不同的網路介面具有不同的 MTU 要求，那以下就列出一下各主要的網路介面之 MTU 的要求啦！　

　

網路介面 MTU 列表如下:

EtherNet （一般的網路介面，這是預設值）　1500 　

PPPoE(ADSL用的)　1492 　

XP Vista PPPoE(內建的)　1480 　

Dial-up(modem)　 576 　

　

Microsoft WnXP 內置PPPoE MTU (Maximum Transmission Unit) 1480 計法:　

1500- 6 (PPPoE overhead)- 4 (PPP header)- 4 (Multilink PPP header)-4 (compression & encryption)- 2 (PPP Header for BRAS identify) = 1480

　

RFC 2516 PPPoE MTU (Maximum Transmission Unit) 1492 計法:　

1500- 6 (PPPoE overhead)- 2 (PPP header) = 1492

　

　

由上面的MTU 列表我們可以知道，預設的網路介面 MTU 是 1500 ，那 PPPOE 使用的是 1492，自然而然的 MTU 要求並不相同，所以啦！有一些網頁、郵件資料等等的咚咚就無法合理的讓你使用啦！

光世代的後端已經不是走ATM而是GigaEthernet了，所以用分享器時可以設定成1492。

不再會有ATM 48byte padding的問題。

XP,Vista內定1480，倒是不用特別去調整，差沒多少啦...

如果是用10M/2M或20M以上的線路，OS最好是Vista以上。

XP可能會因為TCP windows size太小，而造成速度略慢，無法到最高速。

ADSL及 64K、T1數據專線傳輸速率與反應時間測試報告

ADSL及 64K、T1數據專線傳輸速率與反應時間測試報告

http://web.tp.edu.tw/docc/documents/ADSL_rate.htm

在 Switch Port上鎖mac - port security

檢查

#sh port-security

設定鎖定

(config)#int f0/9

(config-if)#switchport port-security

(config-if)#switchport port-security mac-address sticky

(config-if)#switchport port-security violation restrict

取消鎖定

(config-if)#no switchport port-security dynamic interface f0/9

或

(config-if)#no switchport port-security dynamic

馬上生效(動作後只學到第1個mac)

#clear port-security sticky

--------------------參考資料---------------------------

思科 Port Security feature 可以防止 MAC 和 MAC/CAM 攻擊。通過配置 Port Security 可以控制：

‧ 埠上最大可以通過的 MAC 位址數量

‧ 埠上學習或通過哪些 MAC 地址

‧ 對於超過規定數量的 MAC 處理進行處理

埠上學習或通過哪些 MAC 位址，可以通過靜態手工定義，也可以在交換機自動學習

交換機動態學習埠 MAC ，直到指定的 MAC 位址數量，交換機關機後重新學習。

目前較新的技術是 Sticky Port Security ，交換機將學到的 mac 位址寫到埠配置中，交換機重啟後配置仍然存在。

對於超過規定數量的 MAC 處理進行處理一般有三種方式（針對交換機型號會有所不同）：

‧ Shutdown 。這種方式保護能力最強，但是對於一些情況可能會為管理帶來麻煩。

‧ Protect 。丟棄非法流量，不報警。

‧ Restrict 。丟棄非法流量，報警，對比上面會是交換機 CPU 利用率上升但是不影響交換機使用。推薦使用這種方式。

配置方式:只接受第一次接入該埠電腦的mac位址, 預設maxumum = 1

Switch#config terminal

Switch(config)#interface f0/9 進入需要配置的埠

Switch(config-if)#switchport mode access 設置為交換模式

Switch(config-if)#switchport port-security 打開埠安全模式

Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }

//針對非法接入電腦，埠處理模式:

| protect: 丟棄資料包，不發警告

| restrict: 丟棄數據包，在console發警告

| shutdown: 關閉埠為err-disable狀態，除非管理員手工啟動，否則該埠失效

配置 port-security 最大 mac 數目為2，違背處理方式，恢復方法

Cat4507(config)#int fastEthernet 3/48

Cat4507 (config-if)#switchport port-security

Cat4507 (config-if)#switchport port-security maximum 2

Cat4507 (config-if)#switchport port-security violation shutdown

Cat4507 (config)#errdisable recovery cause psecure-violation

Cat4507 (config)#errdisable recovery interval 30

通過配置 sticky port-security學得的MAC

interface FastEthernet3/29

switchport mode access

switchport port-security

switchport port-security maximum 5

switchport port-security mac-address sticky

switchport port-security mac-address sticky 000b.db1d.6ccd

switchport port-security mac-address sticky 000b.db1d.6cce

switchport port-security mac-address sticky 000d.6078.2d95

switchport port-security mac-address sticky 000e.848e.ea01

-----------------------------------------------------

綁定某PORT只允許哪些MAC進出

Switch(config)#Mac access-list extended MAC20

Switch(config)#permit host 0011.5b18.a56f any

Switch(config)#permit any host 0011.5b18.a56f

Switch(config-if )#interface Fa0/2

Switch(config-if )#mac access-group MAC20 in

-----------------------------------------------------

ex,block some attacker mac xxxx.xxxx.xxxx

Ans: deny host xxxx.xxxx.xxxx any

permit any any

mac地址與ip地址綁定

基本原理：

在交換機內建立mac位址和ip位址對應的映射表。埠獲得的ip和mac位址將匹配該表，不符合則丟棄該埠發送的資料包。

實現方法：

Switch#config terminal

Switch(config)#arp 1.1.1.1 0001.0001.1111 arpa

ex,

快速封鎖現存的某ip 192.168.1.120

arp 192.168.1.120 0000.0000.0000 arpa

配置MAC位址持續時間

1） 進入介面模式 interface 介面

2） 配置持續時間

switchport port-security aging time type [absolute | inactivity]

absolute模式：當持續時間過後，安全埠上的地址將被絕對刪除

inactivity模式：在持續時間內，沒有使用的埠將被刪

該配置的主要注意事項：

需要將網段內所有IP都建立MAC位址映射，沒有使用的IP位址可以與0000.0000.0000建立映射。

否則該綁定對於網段內沒有建立映射的IP位址無效。