IOS IPS

Problemy z zakresu security (VPN, firewall, IDS/IPS itp.)
ODPOWIEDZ
Wiadomość
Autor
Awatar użytkownika
enceladus
inner circle
inner circle
Posty: 506
Rejestracja: 27 paź 2003, 14:32
Lokalizacja: Poznan

IOS IPS

#1

#1 Post autor: enceladus »

No właśnie - czy ktoś to stosował ... ostatnio spotkałem się z czymś takim, że uruchomiony zgodnie z guide-m IPS przyczepiony na in i out jednego interfejsu, który ma tylko alertować, po pewnym czasie zaczyna zamulać ruch.... Zamulać tak, że sesje TCP zawisają, nie są nawiązywane czy też zrywane... wiszą.
<: Enceladus :>
Na górę
Awatar użytkownika
em_er
wannabe
wannabe
Posty: 692
Rejestracja: 21 sty 2005, 22:29

#2

#2 Post autor: em_er »

mnie dzialal ok. to napewno o ipsa chodzi? cbac jest na tym routerze?
po pewnym czasie zaczyna zamulać ruch
po pewnym tzn?? sekundy/minuty, czy godziny, a moze jeszcze dluzej?
Na górę
Awatar użytkownika
enceladus
inner circle
inner circle
Posty: 506
Rejestracja: 27 paź 2003, 14:32
Lokalizacja: Poznan

#3

#3 Post autor: enceladus »

em_er pisze:mnie dzialal ok. to napewno o ipsa chodzi? cbac jest na tym routerze?
po pewnym czasie zaczyna zamulać ruch
po pewnym tzn?? sekundy/minuty, czy godziny, a moze jeszcze dluzej?
minuty ...
<: Enceladus :>
Na górę
Awatar użytkownika
em_er
wannabe
wannabe
Posty: 692
Rejestracja: 21 sty 2005, 22:29

#4

#4 Post autor: em_er »

ja mialem identyczny rezultat tyle ze wsyztsko siadalo po upływie kilkudziesięciu sekund.
okazało sie że wewnątrz sieci siedział sobie jakiś syfek który nawiązywal tysiące sesji. moj błąd że nie określiłem wtedy maksymalnej ilości natowań poprzez:
ip nat translation max-entries

co dziwne ani ips ani cbac nie dal znaku ze cos jest nie tak...
Na górę
Awatar użytkownika
enceladus
inner circle
inner circle
Posty: 506
Rejestracja: 27 paź 2003, 14:32
Lokalizacja: Poznan

#5

#5 Post autor: enceladus »

Problemów z IPS/IDS ciąg dalszy ...
inny router problem podobny -

Kod: Zaznacz cały

ip audit po max-events 100
ip audit protected 10.1.0.0 to 10.1.255.255
ip audit name IDS_IN info action alarm
ip audit name IDS_IN attack action alarm
IDS_IN przypięte jest na in interfejsu którym przychodzi internet. Internet jest dostępny tylko dla wybranych adresów (które są statycznie natowane) przez policy routing.
Konfiguracja IDS jak widać powinna robić tylko alarm ale .... serwer ma wystawione ssh i https - https działa prawidłowo - strony się otwierają z internetu itp, a SSH nie chce działać -- tzn połączenie TCP zostaje nawiązane, ale na tym koniec. Gdy zdejmę z interfejsu IDS-a wszystko zaczyna działać.
Niedostępność SSH jest natychmiastowa po przypisaniu IDS_IN do interfejsu.
<: Enceladus :>
Na górę
Awatar użytkownika
em_er
wannabe
wannabe
Posty: 692
Rejestracja: 21 sty 2005, 22:29

#6

#6 Post autor: em_er »

mialem to samo tylko z https wlasnie :?
Na górę
Awatar użytkownika
enceladus
inner circle
inner circle
Posty: 506
Rejestracja: 27 paź 2003, 14:32
Lokalizacja: Poznan

#7

#7 Post autor: enceladus »

czyli nic nie wymyśliłeś ... szkoda :(
Ja miałem coś takiego jeszcze z VPNem do koncentratora - mogłem się zalogować, grupa, login przechodziło .. sesja nawiązana. Niestety statystyka połączenia pokazywała 0 pakietów przychodzących. Po wyłączeniu IDS-a VPN ruszył. Niestety nie mam warunków aby powtórzyć to laboratoryjnie...
Problem stwierdziłem na kilku routerach z różnym softem... trzeba będzie "pogadać" z TACiem ...
<: Enceladus :>
Na górę
ODPOWIEDZ

Wróć do „Security”