July 2003 - NLNOG - mailman3.nlnog.net

Extreme EAPS fun :)
by nils.swart＠attorn.nl 18 Sep '03

18 Sep '03

Allemaal, Vanochtend kreeg Multikabel een mooi mailtje van de AMSIX met de vraag waarom wij port security aan het triggeren waren. Welnu het volgende verhaal is wellicht interessant, en kan een mailtje van de AMS-IX schelen: Recept: Men neme een viertal Extreme Networks Alpine switches en sluiten die in een vierkant aan. EAPS zorgt voor sub-second failover van links. Op een van de vier switches neme men een aansluiting op ons aller AMS-IX lan, alwaar men port security in de vorm van mac address counts ingesteld heeft. Bij de voorbereiding voor een firmware upgrade worden gedurende business hours de nieuwste versies ingeladen op de secondary slot van de switches. Gedurende deze TFTP file transfer _vergeet_ de switch te luisteren naar EAPS updates. Resultaat: een EAPS ring instabiliteit & een case bij Extreme. Nu is alleen nog even onduidelijk waarom er vervolgens mac adressen die gelearnd zijn uit poort A ook weer terug gaan naar poort A. Maar een ding is zeker: Bij het upgraden/transferen van firmware in uw EAPS netwerk, gaarne de poort met de AMS-IX dicht zetten. Demon & BIT: u bent gewaarschuwd :) Greets, Nils Swart nils.swart at attorn.nl

12 35

Kleine ATM switches?
by marcoh＠marcoh.net 31 Jul '03

31 Jul '03

On Thu, Jul 31, 2003 at 02:01:25PM +0200, Arjan wrote: > On Thu, 31 Jul 2003 at 13:22 +0200, Niels Raijer wrote: > > > Cisco LS1010 zou een mogelijkheid zijn, of een kleine Marconi Fore switch > > of zo (hoewel ik geen wijs word uit de Marconi website). Weet iemand nog > > andere opties? > > Ik heb hier nog een LS1010 staan met 4x STM-1 multimode en 4xE3. > > Doe een bod :-) Dat is het probleem, we hebben single-mode nodig... MarcoH

4 8

Kleine ATM switches?
by raymond＠prolocation.net 31 Jul '03

31 Jul '03

Hi! > > Cisco LS1010 zou een mogelijkheid zijn, of een kleine Marconi Fore switch > > of zo (hoewel ik geen wijs word uit de Marconi website). Weet iemand nog > > andere opties? > Ik heb hier nog een LS1010 staan met 4x STM-1 multimode en 4xE3. > Doe een bod :-) We hebben hier nog een hele stapel 1010's. Bye, Raymond.

2 1

Kleine ATM switches?
by marcoh＠marcoh.net 31 Jul '03

31 Jul '03

On Thu, Jul 31, 2003 at 02:51:52PM +0200, Arjan wrote: > On Thu, 31 Jul 2003 at 14:50 +0200, MarcoH wrote: > > > Ik heb toch wel iets tegen media conversie, de laatste lijn waar we dat > > mee probeerden gaat vaker plat als de vrouwen achter Amsterdam CS. > > Hoe weet jij dat ? Kleine gok...die lijn lag eigenlijk altijd plat en ik zie die vrouwen achter CS nog weleens staan :)

1 0

Kleine ATM switches?
by alex＠bit.nl 31 Jul '03

31 Jul '03

On Thu, 31 Jul 2003, Arjan wrote: > Ik heb hier nog een LS1010 staan met 4x STM-1 multimode en 4xE3. > > Doe een bod :-) Heb je er twee? -- __________________ Met vriendelijke groet, /\ ___/ Alex Bik /- \ _/ Business Internet Trends BV AB2298-RIPE /--- \/ __________________

1 0

Kleine ATM switches?
by niels＠nl.demon.net 31 Jul '03

31 Jul '03

Hoi, Heeft er iemand ervaringen met of tips over kleine ATM switches waarmee je alleen maar lekker wat PVC's heen en weer kan switchen, verder niks? We zoeken iets waar je een stuk of vier ATM STM-1's in kan prikken en dat je dan fijn PVC 3.809 van de ene STM-1 naar PVC 2.16 op de andere STM-1 kan switchen en zo. Gewoon een soort patchpaneel voor ATM PVC's. Normaal zouden we daar een Lucent CBX500 voor pakken of zo maar om verschillende redenen doen we dat in dit geval liever niet ;-) Cisco LS1010 zou een mogelijkheid zijn, of een kleine Marconi Fore switch of zo (hoewel ik geen wijs word uit de Marconi website). Weet iemand nog andere opties? -- Niels Raijer niels at nl.demon.net

3 2

Urgent: Administrative issue enclosed, please read. (fwd)
by frans＠quanza.net 24 Jul '03

24 Jul '03

hoi, Iemand een idee door welke tool onderstaande mails worden uitgespuugd ? Sinds vandaag krijg ik ze in exact dezelfde template toegestuurd vanaf allerlei kanten. Een traceroute naar genoemde host resulteert enige seconden later in nog meer van die rommel. De defaults lijken wel errug strak te staan. groet, Frans ---------- Forwarded message ---------- Date: Wed, 23 Jul 2003 11:44:11 -0700 From: root <root(a)home.insomniaserver.com> To: frans at quanza.net Subject: Urgent: Administrative issue enclosed, please read. To whom it may concern; The remote system 212.129.200.59 was logged attacking our host 69.1.84.176, this is an automated warning based on admin contacts from the arin.net whois database. Please do not ignore this message! 212.129.200.59 was found to have exceeded acceptable inbound packet flow, we have as such banned the remote host from our network. However to remove the stress from our carrier providers network, we require your assistance to further investigate this issue and see that it does not occure again. Enclosed below are log portions detailing the attack on our host, all time stamps are GMT -0700. Event logs: Jul 23 11:43:39 home kernel: ** UDP DROP ** IN=eth0 OUT= MAC=00:20:ed:76:47:8b:00:b0:4a:6a:c9:80:08:00 SRC=212.129.200.59 DST=69.1.84.176 LEN=40 TOS=0x00 PREC=0x00 TTL=1 ID=58077 PROTO=UDP SPT=58034 DPT=33477 LEN=20 Jul 23 11:43:44 home kernel: ** UDP DROP ** IN=eth0 OUT= MAC=00:20:ed:76:47:8b:00:b0:4a:6a:c9:80:08:00 SRC=212.129.200.59 DST=69.1.84.176 LEN=40 TOS=0x00 PREC=0x00 TTL=1 ID=58078 PROTO=UDP SPT=58034 DPT=33478 LEN=20 Jul 23 11:43:49 home kernel: ** UDP DROP ** IN=eth0 OUT= MAC=00:20:ed:76:47:8b:00:b0:4a:6a:c9:80:08:00 SRC=212.129.200.59 DST=69.1.84.176 LEN=40 TOS=0x00 PREC=0x00 TTL=1 ID=58079 PROTO=UDP SPT=58034 DPT=33479 LEN=20 Jul 23 11:43:54 home kernel: ** UDP DROP ** IN=eth0 OUT= MAC=00:20:ed:76:47:8b:00:b0:4a:6a:c9:80:08:00 SRC=212.129.200.59 DST=69.1.84.176 LEN=40 TOS=0x00 PREC=0x00 TTL=2 ID=58080 PROTO=UDP SPT=58034 DPT=33480 LEN=20 Jul 23 11:43:59 home kernel: ** UDP DROP ** IN=eth0 OUT= MAC=00:20:ed:76:47:8b:00:b0:4a:6a:c9:80:08:00 SRC=212.129.200.59 DST=69.1.84.176 LEN=40 TOS=0x00 PREC=0x00 TTL=2 ID=58081 PROTO=UDP SPT=58034 DPT=33481 LEN=20 - Administrative team, ExpertPAD <admin at insomniaserver.com>

6 13

Fwd: CERT Advisory CA-2003-15 Cisco IOS Interface Blocked by IPv4 Packet
by tycho＠e-dude.org 17 Jul '03

17 Jul '03

Voor degenen die geen cert advisories binnen krijgen. ----- Forwarded message from CERT Advisory <cert-advisory at cert.org> ----- From: CERT Advisory <cert-advisory(a)cert.org> To: cert-advisory at cert.org Date: Thu, 17 Jul 2003 00:10:17 -0400 Subject: CERT Advisory CA-2003-15 Cisco IOS Interface Blocked by IPv4 Packet Organization: CERT(R) Coordination Center - +1 412-268-7090 List-Help: <http://www.cert.org/>, <mailto:Majordomo at cert.org?body=help> List-Subscribe: <mailto:Majordomo at cert.org?body=subscribe%20cert-advisory> List-Unsubscribe: <mailto:Majordomo at cert.org?body=unsubscribe%20cert-advisory> List-Post: NO (posting not allowed on this list) List-Owner: <mailto:cert-advisory-owner at cert.org> List-Archive: <http://www.cert.org/> Precedence: list CERT Advisory CA-2003-15 Cisco IOS Interface Blocked by IPv4 Packet Original release date: July 16, 2003 Last revised: -- Source: CERT/CC A complete revision history can be found at the end of this file. Systems Affected * All Cisco devices running Cisco IOS software and configured to process Internet Protocol version 4 (IPv4) packets Overview A vulnerability in many versions of Cisco IOS could allow an intruder to execute a denial-of-service attack against a vulnerable device. I. Description Cisco IOS is a very widely deployed network operating system. A vulnerability in IOS could allow an intruder to execute a denial-of-service attack against an affected device. Cisco has published an advisory on this topic, available at http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml We strongly encourage sites using IOS to read this document and take appropriate action. The CERT/CC is tracking this issue as VU#411332. This reference number corresponds to CVE candidate CAN-2003-0567. II. Impact By sending specially crafted IPv4 packets to an interface on a vulnerable device, an intruder can cause the device to stop processing packets destined to that interface. Quoting from Cisco's advisory: "A device receiving these specifically crafted IPv4 packets will force the inbound interface to stop processing traffic. The device may stop processing packets destined to the router, including routing protocol packets and ARP packets. No alarms will be triggered, nor will the router reload to correct itself. This issue can affect all Cisco devices running Cisco IOS software. This vulnerability may be exercised repeatedly resulting in loss of availability until a workaround has been applied or the device has been upgraded to a fixed version of code." III. Solution Apply a patch from Cisco Apply a patch as described in Cisco's Advisory. Until a patch can be applied, you can mitigate the risks presented by this vulnerability by judicious use of access control lists (ACLs). The correct use of ACLs depends of your network topology. Additionally, ACLs may degrade performace on some systems. We recommend reviewing the following before applying ACLs http://www.cisco.com/warp/public/707/cisco-sa-20030717-blocked.shtml#workar… http://www.cisco.com/warp/public/707/racl.html http://www.cisco.com/warp/public/707/iacl.html _________________________________________________________________ The CERT Coordination Center thanks Cisco Systems of for notifying us about this problem and for helping us to construct this advisory. _________________________________________________________________ Feedback about this advisory may be directed to the author, Shawn Hernan ______________________________________________________________________ This document is available from: http://www.cert.org/advisories/CA-2003-15.html ______________________________________________________________________ CERT/CC Contact Information Email: cert at cert.org Phone: +1 412-268-7090 (24-hour hotline) Fax: +1 412-268-6989 Postal address: CERT Coordination Center Software Engineering Institute Carnegie Mellon University Pittsburgh PA 15213-3890 U.S.A. CERT/CC personnel answer the hotline 08:00-17:00 EST(GMT-5) / EDT(GMT-4) Monday through Friday; they are on call for emergencies during other hours, on U.S. holidays, and on weekends. Using encryption We strongly urge you to encrypt sensitive information sent by email. Our public PGP key is available from http://www.cert.org/CERT_PGP.key If you prefer to use DES, please call the CERT hotline for more information. Getting security information CERT publications and other security information are available from our web site http://www.cert.org/ To subscribe to the CERT mailing list for advisories and bulletins, send email to majordomo at cert.org. Please include in the body of your message subscribe cert-advisory * "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office. ______________________________________________________________________ NO WARRANTY Any material furnished by Carnegie Mellon University and the Software Engineering Institute is furnished on an "as is" basis. Carnegie Mellon University makes no warranties of any kind, either expressed or implied as to any matter including, but not limited to, warranty of fitness for a particular purpose or merchantability, exclusivity or results obtained from use of the material. Carnegie Mellon University does not make any warranty of any kind with respect to freedom from patent, trademark, or copyright infringement. _________________________________________________________________ Conditions for use, disclaimers, and sponsorship information Copyright 2003 Carnegie Mellon University. Revision History July 16, 2003: Initial release ----- End forwarded message ----- -- Tycho Eggen (Unix|Network|Social) Engineer tycho at e-dude.org +31 6 41 824 855 "Don't worry over what other people are thinking about you." "They're too busy worrying over what you are thinking about them."

1 0

New Cisco Vulnerability (fwd)
by peter＠proserve.nl 16 Jul '03

16 Jul '03

Voor de mensen die geen nanog lezen, en geen klant van Level3 of Sprint zijn: ===== Subject: EMERGENCY LEVEL (3) COMMUNICATIONS MAINTENANCE - NETWORK CHANGE CONTROL (NCC) 17TH JULY - 687183/30326 Date: Wed, 16 Jul 2003 14:33:10 +0100 LEVEL (3) COMMUNICATIONS - NETWORK CHANGE CONTROL (NCC) *** SERVICE AFFECTING*** *** DEMAND CRITICAL MAINTENANCE ADVISEMENT *** ALL YOUR IP SERVICES WITH LEVEL (3) COMMUNICATIONS, IN ALL EUROPEAN GATEWAYS/CITIES WILL BE AFFECTED FOR UP TO 30 MINUTES ON AVERAGE Clarify Case #: 687183 / GCR 30326 Dates: 17 Jul 2003 00:01 AM - 17 Jul 2003 06:00 BST 17 Jul 2003 01:01 AM - 17 Jul 2003 07:00 CET Location Of Maintenance: Level 3- European Sites Summary/Description of Maintenance Activity: Level (3) Communications is conducting emergency maintenance activities to portions of its network to mitigate a potentially critical risk to our network. All activities will be conducted within a maintenance window of between 00:01-06:00 BST (01:01- 07:00 CET). Additional details will be provided once available. Customer Impact: Service Affecting ===== En: http://www.sprint.net/maintview/index.cgi Gerucht is dus dat er een nogal groot lekje in de current IOS'jes zit, en dat dit morgen bekend gemaakt gaat worden. Als dit echt zo is, kan dit nog wel eens leuk worden. Iemand meer info? -- /- Met vriendelijke groet/With kind regards, -\ <- Peter Batenburg - ProServe B.V. - www.proserve.nl -> \- tel: +31-184-423815 - fax: +31-184-417160 -/ ---------- Forwarded message ---------- Date: Wed, 16 Jul 2003 15:17:54 -0400 From: Vincent J. Bono <vbono(a)vinny.org> To: nanog at merit.edu Subject: New Cisco Vulnerability Hello All, There seem to be rumors going around that there is a new major Cisco vulnerability but only the major backbones are being given fixes right now. Something about packets malformed in a certain manner cause the router to wedge. Can anyne shed any light on or off list? -vb

1 0

Hello World!
by marco＠sara.nl 14 Jul '03

14 Jul '03

Dag allemaal, Mijn eerste posting op deze lijst. Allereerst mijn complimenten voor het mooie NLnog-logo! Maar nu ter zake. Ik ben op deze lijst, na lang zoeken overigens :-( , terecht gekomen na een bezoek aan de meest recente NANOG (http://www.nanog.org) Zou het niet mooi zijn als er een Europese of nationale variant van de NANOG zou zijn, zo bedacht ik mij. Als je gaat Googlen, kom je zaken als ENOG en EUNOG tegen, maar ze stellen geen van allen veel voor (zelfs http://www.nlnog.nl/ is niet wat je verwacht en http://www.nlnog.net bruist nou ook niet echt, moet ik zeggen). Ondanks dat ik door de mail-archieven van NLnog ben gegaan, is me ook nog niet helemaal duidelijk wat ik me precies bij NLnog moet voorstellen. Is het charter er nou al bijvoorbeeld? Wordt het niet eens tijd om te werken aan een fraaie site (het logo is er al), mooie samenwerkingsverbanden met swinog, frnog, nordnog en wat dies meer zij om zo te komen tot de eerste EUNOG (of ENOG) conferentie? SARA is gaarne bereid hier tijd en moeite in te steken. Groeten, -- Marco Davids SARA - Amsterdam http://www.sara.nl

3 2