Loiqig Dec 21 2015 at 12:43

Смотрим в looking-glass

7 min

33K

System administration*Network technologies*

Comments 14

JDima Dec 21 2015 at 13:53

в своей я пока не решился выставить подобный сервис наружу.

Да ничего особо страшного в этом нет. Берете какой-нибудь древний, не нужный роутер (или виртуалку с CSR1k). Делаете соседства с несколькими бордерами. На тех бордерах запрещаете принятие любых префиксов с того LG, и вообще выполняете все настройки как для вражеского роутера, например, ограждаете LG средствами ACL'ей, чтобы если кто-то каким-то образом получит на нем CLI, то никуда прыгнуть с него не сможет, настраиваете со всех сторон полисеры, storm control. Ну и делаете фронтенд на http, валидирующий команды по регулярным выражениям. Или не делаете, а просто пускаете людей по telnet/ssh, но с фильтрацией команд белым списком (по tacacs, RBAC или как угодно).

Итого: если вы решите грохнуть абсолютно любой из найденных вами LG, то повлияет это только на сервис LG. Продакшн вы никому не обвалите. Надо быть идиотом, чтобы выделять под LG боевой роутер с продуктивным трафиком.

UFO just landed and posted this here

Loiqig Dec 21 2015 at 14:50

Надо быть идиотом, чтобы выделять под LG боевой роутер с продуктивным трафиком.

Вот summary с lg RETN Воронеж соседство с Эр-Телеком:

Peer          AS       InPkt    OutPkt      OutQ   Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped...
87.245.243.62 9049     412381   45106746       0      18     19w0d1h Establ  inet.0: 185/773/769/0

185 активных маршрутов в default таблице. Боевой у RETN роутер или нет? А у Эр-Телеком?

JDima Dec 21 2015 at 14:59

По обратке пир похож на принадлежащий RETN бордер с эр-телекомом. gw-ertelecom.retn.net.

Сколько активных маршрутов — не особо важно для LG, хотя конечно странно, что оно в RIB пишется.

JDima Dec 21 2015 at 15:07

Хотя конечно странно, что ASN у пира чужой… Ну либо что-то хитрое делают, либо «безумству храбрых поем мы славу».

Loiqig Dec 21 2015 at 17:18

В том-то и дело, что такое много где.

JDima Dec 21 2015 at 17:23

Люди настолько уверены в отсутствии хотя бы элементарных багов? Взять любую версию IOS — у нее найдется что-то вроде «show run вызывает крэш».

Ну не верю я, что кто-то будет давать посторонним какой угодно доступ к своему боевому железу. Что мешает взять какой-нибудь древний хлам и на него пускать?

Loiqig Dec 21 2015 at 17:32

А я верю, когда писал пост пролез достаточно много LG. Ввод везде фильтрован так как написано в статье, если попадается что-то не стандартное команда улетает дальше и там видны сообщения об ошибках с железки. Боевые соседства тоже вполне себе видны.
Изначальное в этом же и был смысл, как мне кажется, это сейчас выглядит пугающе.

k0ldbl00d Dec 22 2015 at 01:00

Мы тут с коллегами интересуемся — а как при такой схеме смотреть, например, sh bgp summary или sh route receive-protocol bgp {neighbor}?

JDima Dec 22 2015 at 08:08

С какой целью, и что конкретно смущает?

LG нужен в первую очередь чтобы посмотреть через него на свою AS.

equand Dec 21 2015 at 13:57

Я оставлю это здесь:
github.com/ServerAstra/py-lookingglass

Для быстрого решения работает неплохо. Буду дорабатывать, кому не лень дополняйте )

phantasm1c Dec 22 2015 at 14:01

Вообще не понимаю в чем сложность написания looking glass «под себя» и не использовать не пойми что от других. Это пишется за один вечер, с учётом просмотра мануалов по html и php (сам так и написал). Главное не забывать валидировать пользовательский ввод регекспами.

Loiqig Dec 22 2015 at 18:38

Так в этом и посыл. «Не пойми что от других», про который говорится в посте — очень, даже очень популярный вариант.

PavelSu Oct 17 2017 at 09:56

У других можно вполне подходящий выбрать. Народ аж коллекционирует ссылки на LG:
LookingGlass.org
traceroute.org

Show the best of all time