part1 here https://community.cisco.com/t5/security-blogs/mitm-attack-ipsec-what-happens-if-attacker-knows-ipsec-pre/ba-p/3756562   A brief summary of the part1 : we showed that the security level of IPSec with preshared key is equal to the security level of the configuration file of the router. And how can the configuration file of the router fall into the hands of a hacker? There are a lot of options. For example, I bought a used router and there was a working config from one of the banks.   Most experts will say that you need to use PKI CA authentication. Now I will demonstrate to you that IPSec with basic primitive PKI authentication even less secure than IPSec with a preshared key. on the diagram from Lo0 ROUTER-A to Lo0 ROUTER-B, an IPSec tunnel is established. Authentication is performed using certificates signed by SERVER. This is the simplest configuration.   Now suppose that the hacker turned off the link in the direction of ROUTER-B and installed his router R4 on R4, the hacker created the same IP addresses, generated an RSA key pare, sent a request to SERVER to sign the public key, received a signed certificate in response, and established an IPSec tunnel with ROUTER-A. So easy. In the application configuration files. ... View more

часть 1 здесь https://community.cisco.com/t5/%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D1%8C-%D0%B1%D0%BB%D0%BE%D0%B3%D0%B8-security/%D0%B0%D1%82%D0%B0%D0%BA%D0%B0-mitm-%D0%BD%D0%B0-ipsec/ba-p/3756579   Итак краткий итог первой части: мы показали что уровень безопасности IPSec с использованием preshared key равен уровню безопасности конфигурацинного файла роутера. А каким образом в руки хакера может попасть конфигурацинный файл роутера? Вариантов очень много. Например я купил бу роутер и там оказался рабочий конфиг одного из банков.   Большинство специалистов скажут что нужно использовать аутентификацию PKI CA. Сейчас я продемонстрирую Вам что IPSec с базовой примитивной  аутентификацией PKI CA даже менее безопасен чем IPSec с использованием preshared key.     на схеме от Lo0 ROUTER-A  до  Lo0  ROUTER-B  установлен IPSec туннель. Аутентификация осуществляется с помощью сертификатов подписанных SERVER. Это самая простая и часто используемая конфигурация.    предположим что хакер отключил линк в сторону ROUTER-B и установил свой роутер R4 на R4 хакер создал такие же IP адреса, сгенерировал RSA key pare, послал запрос на SERVER для подписи публичного ключа, получил в ответ подписанный сертификат и установил IPSec туннель с ROUTER-A. В приложении конфигурационные файлы. ... View more

https://www.cisco.com/c/en/us/td/docs/security/asa/asa90/configuration/guide/asa_90_cli_config/interface_start.html#34996   The ASA does not support connecting an EtherChannel to a switch stack. If the ASA EtherChannel is connected cross stack, and if the Master switch is powered down, then the EtherChannel connected to the remaining switch will not come up.   Colleagues, Can somebody explain this? What in means? If I have ASA 5515x and switch stack 2 pieces   3750 or 3850, I can not connect ASA G0/1   to switch1 G1/0/1 and ASA G0/2  to switch2 G2/0/1 ? only VSS supported ?   ... View more

Допустим у нас есть 2 роутера и IPsec туннель между ними защищающий трафик от Loopback 0 до Loopback 0 Если хакер узнал ipsec pre-shared key то он не сможет расшифровать пакеты, поскольку ключи шифрации формируются динамически с помощью протокола Диффи-Хеллман.   Но хакер может применить МИТМ атаку. Он может установить 2 промежуточных роутера как показано на рисунке красным В этом случае роутер R1 lдумает что он соединен с роутером R2 и IPsec туннель терминируется на R2 Пакеты от R1 уходят в зашифрованный туннель.  Хакер может перехватить и даже заменить пакеты на линке между R3 - R4, где они незашифрованы. Конфигурационные файлы приложены.       ... View more

For example we have 2 routers and ipsec tunnel between.  Packets from lo0 to lo0 ipsec protected.   If attacker knows ipsec preshared key he can not decrypt packets traversing unprotected media. But he can use MITM attack. And I will show you how it works. Attacker can install 2 more routers as shown red.  Router R1 believes it is connected to R2 and ipsec is terminated on R2, but actually on R3 and R2  believes it is connected to R1 and ipsec is terminated on R1, but actually on R4 R1 lo0 can ping R2 lo0 but packets can be captured in clear between R3 and R4 Configuration files included.           ... View more

I want to connect HPE server and Cisco switch with MM patch cord. in HPE server I want to install SFP+ Transceivers HPE BladeSystem c-Class 10Gb SFP+ SR Transceiver 455883-B21 https://h20195.www2.hpe.com/v2/getpdf.aspx/c04111517.pdf   and I want to know which SFP+ module to install in Cisco switch a)  Cisco 10GBase-SR b)   HPE BladeSystem c-Class 10Gb SFP+ SR ... View more

At what distance does SFP GLC-LH-SMD work? Recently I had a conversation with a colleague. Between the two buildings installed SM optic cable. Length is about 15 km, attenuation is about 8 dB. I say, we will install SFP LX and it will work. The colleague says that according to the datasheet will not. I knew perfectly well that according to the datasheet 10 km. https://www.cisco.com/c/en/us/products/collateral/interfaces-modules/gigabit-ethernet-gbic-sfp-modules/product_data_sheet0900aecd8033f885.html We open the datasheet, it shows 10 km on the SM cable and the maximum allowable loss on the cable 6 dB. With a transmission power of -3 to -9.5 dB. Receiver sensitivity is -3 to -20 dB. I think this information in the datasheet is a bit outdated. Firstly, a few years ago and maybe more than 10 years ago SM cables could have losses of 0.4-0.5 dB per km, which results in a total loss of 6 dB per 10 km, but now the cables are 0.35 dB / km and the welding places are not 1 dB and already 0-0.1 dB. Now even for 15 km attenuation can be about 6 dB. Secondly, the maximum allowable loss of 6 dB also raises the question, if we take a new SFP module, then the transmitter will give output power -3, -4 or -5 dB and the sensitivity of the receiver is -20 ie. even in the worst case 15 dB, and even if we take a margin 5 that remains 10 dB. Previously, it was always recommended to take a margin of 3 to 8 dB. This was due to the fact that in the event of breakage and new welding, a loss up to 2 dB could appear at the breakage site, because it is necessary to weld in two places and 1 dB each welding place but now the welding quality is different 0-0.1. As a result, SFP LX installed and work fine. Up to alarm levels far. I am asking here my colleagues to say their thoughts and comments.   ... View more

На какой дистанции работает SFP GLC-LH-SMD ? Недавно у меня был разговор с коллегой. Между двумя зданиями проложена SM оптика. Длина примерно 15 км, затухание примерно 8 дБ. Я говорю SFP LX установим и будет работать. Коллега говорит что согласно даташит не будет. Я прекрасно знал что согласно даташит 10км. https://www.cisco.com/c/en/us/products/collateral/interfaces-modules/gigabit-ethernet-gbic-sfp-modules/product_data_sheet0900aecd8033f885.html https://www.cisco.com/c/en/us/td/docs/switches/metro/me6500/hardware/installation/guide/hig/0Bxcvrs.pdf открываем даташит 10 км на SM кабеле и максимально допустимая потеря на кабеле 6 дБ при этом мощность передачи -3 to -9.5 дБ. чувствительность приемника -3 to -20 дБ. Мне кажется эта информация в даташит немного устарела. Во первых, несколько лет назад а может и больше чем 10 лет назад SM кабели возможно имели потери 0.4-0.5 дб на км, что приводило к общим потерям 6 дб на 10 км, но сейчас уже кабели 0.35 дб на км и места сварки не 1 дБ а уже 0-0.1 дБ, в итоге даже на 15 км может оказаться около 6 дБ Во вторых, максимально допустимая потеря в 6 дБ тоже вызывает вопрос, если мы возьмем новый SFP модуль то передатчик будет давать мощность на выходе -3, -4 или -5 дБ а чувствительность приемника -20 т.е. даже в худшем случае 15 дБ, и даже если мы берем запас (margin) 5 то остается 10 дБ. Ранее всегда рекомендовалось брать запас (margin) от 3 до 8 дБ. Это было связано с тем что в случае обрыва и новой сварки на месте обрыва могла появиться потеря до 2 дБ, потому что сваривать надо в двух местах и по 1 дБ каждое место сварки но сейчас качество сварки другое 0-0.1 В итоге SFP LX установили и прекрасно работают. До уровней аларм далеко. Прошу коллег высказать свои мысли и замечания. ... View more

SIP is easier to make redundant. If there is more than one physical cable to the provider, then SIP can be reserved in three ways at  L2, it's the Portchannel, STP and the Fex link, the same as RTG from Juniper. CUBE routers can also be reserved for slightly modified HSRP technology (conventional HSRP technology does not work with SIP) https://www.cisco.com/c/en/us/support/docs/voice-unified-communications/unified-border-element/112095-cube-hsrp-config-00.html   And in the case of E1, very few E1 multiplexers support redundancy using two physically different links. and the router on which E1 is terminated can only be reserved by a second router in a cold standby.  in the event of a failure, you must manually switch the patch cord. ... View more