October 2003 - NLNOG - mailman3.nlnog.net

El cheapo WDM
by pieter＠sara.nl 27 Oct '03

27 Oct '03

On Fri, 24 Oct 2003, Arjan wrote: > On Fri, 24 Oct 2003 at 22:03 +0200, Arien Vijn wrote: > > > Helaas werken sommige fabrikanten niet echt mee. Tenzij je meedoet aan > > hun GBIC-conspiracy: > > > > http://www.nanog.org/mtg-0310/wodelet.html > > Welke venders doen hieraan mee? Uhoh, maar mogelijk zou de grote C zich hieraan kunnen gaan bezondigen. Heb wat XENPAK troubels gehad met hun 4 poort 10GigE blade voor de cat6500. Ze supporten de modulle alleen onder de latest greatest 12.2.17a-SX, die alleen de Cisco XENPAK's snapt en de orginele Intel XENPAK's niet lust (de gelijkenis was treffend). Uiteindelijk maar een debugging <kuch> special image op basis 12.2.14SX1 gedraaid (voor veel geld kan ik die nog wel ergens opduikelen). Maar hoop dat dit niet maatgevend is voor...... Pieter ps een XENPAK is zeg maar een gbic maar dan voor 10GigE (zie http://www.xenpak.org/) -------------------------------------------------------------------------- You have the right to remain silent. Everything you say will be misquoted, then used against you.

1 0

ORF
by erik＠is.nl 27 Oct '03

27 Oct '03

> -----Original Message----- > From: Alex Bik [mailto:alex at bit.nl] > Je zou het zo moeten doen dat je filters kan plaatsen in andere > netwerken waarvan je het source en destination address van de > te droppen > packets kunt opgeven mits het destination address binnen het > ASN van de > aanvrager van zo'n filter valt. Over vertrouwen gesproken .. Al zie ik wel een voordeel .. in sommige routers zou ik met veel plezier onze prefix's op een block zetten. Met vriendelijke groeten, Erik Bais -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - info at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend ---------------------------------------------------------------

13 30

ORF
by frans＠quanza.net 27 Oct '03

27 Oct '03

On Mon, 27 Oct 2003, Arjan wrote: > On Sun, 26 Oct 2003 at 18:22 +0100, Alex Bik wrote: > > > Is dat trouwens wat, zo'n 6500 met layer 3 shit? [...] > Verder kan het ding afaik nog geen MPLS aan, we hebben naast dit ding > dus nog een apart platform voor MPLS klanten. Met de nieuwe SUP720 zal er vanaf Q1 2004 TAC support zijn voor PE functionaliteit. De support is al ingebouwd in IOS en werkt, maar ik deploy 'm liever niet voordat ze 'm officieel supporten. Frans

1 0

El cheapo WDM
by alex＠bit.nl 24 Oct '03

24 Oct '03

On Fri, 24 Oct 2003, Arjan wrote: > Dat is wel heeeeel erg extreem goedkoop voor eem OADM he? En ze leveren > die dingen in allerlei combinaties van golflengtes? De prijs is wel afhankelijk van het aantal kanalen en de golflengten natuurlijk 1550/1310 is blijkbaar niet zo moeilijk. Ze kunnen inderdaad van alles en nogwat leveren. > Helaas kan je op deze manier niet twee identieke golflengtes muxen, twee > keer GigE gaat je dus niet lukken. Twee keer GigE lukt prima, maar dan moet je GBICs kopen op verschillende golflengten. Die zijn gewoon te koop. Je kunt ze in ieder geval op de standaard CWDM golflengten kopen (1470nm - 1610nm in stapjes van 20nm). -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

3 3

El cheapo WDM
by alex＠bit.nl 24 Oct '03

24 Oct '03

On Fri, 24 Oct 2003, Arjan wrote: > > http://foto.sambalbij.nl/showtwo.php?one=2003-10-24&two=WDM%20type%20Alex > > Geinig, waar haal je dat spul vandaan en wat kost het? De OADM's heb ik gekocht bij Infra Concepts in Breda, kosten 165 euro per stuk (daar heb je er dus 4 van nodig). Het 19" bakje met connectortjes kwam daar ook vandaan, kostte een kleine honderd euro geloof ik. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0

El cheapo WDM
by alex＠bit.nl 24 Oct '03

24 Oct '03

Hi, GigE en SDH over 1 fiberpaar voor weinig: http://foto.sambalbij.nl/showtwo.php?one=2003-10-24&two=WDM%20type%20Alex -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0

ORF
by bvisser-nlnog＠xs4all.nl 23 Oct '03

23 Oct '03

> On Wed, 22 Oct 2003, MarcoH wrote: > >> Dan nog moet je IMHO het target richting /dev/null zetten, die is toch >> al down. Zodra je mogelijk gespoofde sources gaat blackholen heb je kans >> dat die script kiddies 2 vliegen in 1 klap slaan, en de target gaat >> onderuit en een onschuldig netwerk wordt aan alle kanten richting >> /dev/null gerouteerd en gaat dus ook plat. > > Daarom zou je ook in andere netwerken moeten kunnen filteren op source > EN destination. Alleen packets van <x> naar <y> droppen dus. FYI: De > dozen bij ons die de laatste tijd gedossed zijn (IRC servers) zijn niet > down geweest. Wel onbereikbaar via transit, omdat daar de attacks > vandaan kwamen. Ah, dat beantwoordt meteen een vraagje dat ik had, nl hoe nodig een ams-ix spoofing filtering awareness dag zou zijn. Ten minste, ik neem aan dat jij ook praat over de gespoofde attacks die Pim noemde ? Als die vooral via je transits binnenkwamen, zou je denken (laten we positief zijn) dat je [ams-ix] peers al behoorlijk voorzien zijn van anti-spoofing filters. Nu de rest van de wereld nog ... Boudewijn (overigens, ook zonder spoofing ,of met spoofing binnen dezelfde netwerk range, kunnen natuurlijk heel grote DDos'en gedaan worden. Ze zijn dan alleen makkelijker te traceren )

4 8

ORF
by pim＠bit.nl 22 Oct '03

22 Oct '03

Hoi, Wat heb ik aan ORF als: a. mijn IP upstreams het niet ondersteunen b. ik tcpsyn en udpfloods krijg met gespoofte source adressen ? Ik zie het niet zo zitten dus als oplossing voor DDoS. -- __________________ Met vriendelijke groet, /\ ___/ Pim van Pelt /- \ _/ Business Internet Trends BV PBVP1-RIPE /--- \/ __________________

4 12

ddos filtering (Was: RE: [Nlnog] xs4all problemen ?)
by bvisser-nlnog＠xs4all.nl 22 Oct '03

22 Oct '03

[..] >> Om de mensen wat zoekwerk te besparen : >> >> ORF - Outbound Route Filter >> >> Vertel je peer wat je niet wilt zien aan routes, en je krijgt ze ook >> niet. > > Ik had het er in mijn hoofd bij getyped, alleen je moet dus > niet tig dingen door elkaar doen, I forgot. Niet iedereen > zal hier mee bekend zijn nog, het is vrij nieuw ook. > > Je kan momenteel dus afaik alle filters die je normaal definieert > zoals "10.0.0.0/8 le 32" per BGP aan je peer vertellen maar ook > ASpath filters zijn mogelijk. Nadeel was dus dat dit aan je peer > wordt verteld en niet verder aan andere routers. Dat lijkt me voor de hand liggen, want dat *jij* die prefixen niet wilt zien, wil niet zeggen dat anderen ze ook niet willen. Dus zou je jouw AS erbij moeten voegen (AS 123 wil filterset xyz). Maar ASen die niet rechtstreeks met jou communiceren, kunnen daar toch niks mee, want hun neigbours willen die prefixen wel, dus kunnen ze die voor jou niet droppen. Kortom, route filters alleen tussen BGP neighbours vind ik niet zo vreemd. Puur ORF lijkt dus meer een add-on die nuttig is voor partijen die geen full routing ontvangen, en ook zelf niet filteren, als ik de (cisco) manuals zo bekijk. [..] > Je kan momenteel een cisco/zebra oid pakken en dan de routes van > ddos'ers (sources) announcen met een bepaalde community oid. > Zie oa. http://www.secsup.org/CustomerBlackHole/ > Die pagina beschrijft de manier om bij je upstream een bepaalde *destination* (binnen je eigen netwerk ;-) ) te laten blackholen. Zeker ook nuttig, wanneer je upstream verbinding volledig dicht zit. Maar het blijft natuurlijk een DoS; Hiermee hebben alleen je andere services er geen last meer van. De slimme truken om, via uRPF en een BGP bron, *source* reeksen te droppen beper ken zich toch typisch tot je eigen netwerk. >> Ik heb een beetje het idee dat degenen die zouden deelnemen aan zoiets >> degenen zijn die toch al weinig een bron van problemen zijn, en >> indien wel, toch al snel bereikbaar om er op de gewone manier >> wat aan te doen. > > Ja, dat is helaas zeker zo, maar als je dus samen werkt kan je iig > zorgen dat die traffic niet bij de deelnemers komen. Een upstream > zou bovenstaand mechanisme kunnen maken waardoor hun die IP's al > nullrouten, geen traffic naar jou. Een onderling destination blackhole zou best kunnen, maar het aantal mensen hier dat elkaar de mogelijkheid zou durven geven om *source* reeksen te blackholen lijkt me toch wel wat kleiner. Dat is nou echt een geval waarmee je geen fuckups wilt. (Idem voor upstream providers : al je klanten de mogelijkheid geven om naar behoefte source reeksen netwerk breed te droppen ? Uhhh nee. Of zelfs border-router (waar meer dan 1 klant aan hangt) breed ? ) > > Filteren van die prefixen is netter en sneller though. Met alleen het filteren van prefixen heb je nog niks aan een DDos gedaan. Alleen kan uRPF nu verkeer droppen vanwege het ontbreken van een route. >> > een filter definieren en *flop* al je routers snappen hem. >> > (u)RPF er bij et tada. Uitgebreide voorbeelden op aanvraag :) >> >> Bovenstaande kan ieder voor zich al doen, naar source danwel >> destinations droppen en de informatie daarvoor via (i)BGP verspreiden. >> Wat sneller en makkelijker dan op een aantal plaatsen allemaal filters >> zetten. > > Dat filters plaatsen kan dan op 1 plek want je verzend de info > per BGP en ORF. Huidige ORF werkt nu dus alleen tussen 2 routers. Wat ik nog even niet zie is wat je precies zou willen filteren. Als iemand upstream een destination (binnen zijn eigen AS) wil laten blackholen, prima. Wil iemand een *source* reeks, uit een ander AS, verderop laten blackholen, wel, daar komt nogal een stukje vertrouwen en controle bij kijken, om het zacht uit te drukken. Als je de blackhole zou kunnen beperken tot een bepaalde source reeks *en gericht aan het netwerk van de klager*, zou het niet zo'n probleem zijn. Maar de uiteindelijke forwarding table in een router is niet peer-specifiek. Boudewijn

1 0

xs4all problemen ?
by bvisser-nlnog＠xs4all.nl 22 Oct '03

22 Oct '03

> On Tue, Oct 21, 2003 at 05:28:07PM +0200, Arjan wrote: >> On Tue, 21 Oct 2003 at 17:19 +0200, Raymond Dijkxhoorn wrote: >> >> > Zie veel packetloss richting het xs4all netwerk en ook sites en >> services >> > doen niet veel. >> > >> > Ik heb wel een announce gezien in xs4all.announce, last van attacks op >> de >> > RBL servers ? >> >> Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de >> rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet >> geheel onvoorstelbaar... > > We hebben de afgelopen dagen verschillende floods ontvangen, irc zat er > vandaag niet bij ;-) Hoogste synflood rate die we gezien hebben was zo'n > 1,3 > miljoen pps. Door de laatste flood raakte een van de Juniper dozen in de > stress waardoor er tussen 2 lokaties vanmiddag packetloss ontstond. Misschien niet alleen vanmiddag; Op moment (tue 23.00) heeft de popserver problemen om NIS (en NFS?) te bereiken : fetchmail: POP3> PASS * fetchmail: POP3< yp_match: clnt_call: RPC: Timed out (en andere kuren : fetchmail: POP3< -ERR This user has no maildir. fetchmail: This user has no maildir. ) idem voor www.xs4all.nl, momenteel slecht bereikbaar. (vanaf xs4all DSL ) Hm, krijg de neiging om stuurman aan de wa^H^H^H consultant te gaan uithangen .... Boudewijn [is overigens ook serieus bereid om mee te denken over oplossingen & workarounds ]

3 4