Про опасность и безопасность в сетях Cisco

[xtelekom]

А самое главное, обновить для начала ios, catos и прочий PIX\ASA OS ос до последней поддерживаемой железкой версией. Старые версии ios аля 12.4 это решето, которое уж точно не стоит выставлять например в интернет.

[parta]

а новые версии нет? или надеетесь что индусы внезапно исправились и стали делать ок? :D

кстате, переезд на 15ую ветку чреват покупкой лицензий на фичи, которые были доступны в скаченном с тортонета «старом» иосе.

ps: железо с катосом вроде ж на свалке истории, как и pix'ы, не?

[xtelekom]

Баги есть и в 15, но они новее и нужно следить за их появлением. А вы предлагаете забить и «будь, что будет»?

Что мешает скачать новую версию на торренте? Речь не идет не о новом железе, а о старых железках и новых ОС.

У меня есть один пикс. Оперативы 256 воткнул в него за 200р и работает :)

[xtelekom]

«за их появлением» — За их исправлением тоесть :)

[sahe]

Мешает — новые правила лицензирования. Софт 15-й ветки, поставляется в виде одного единственного бандла с названием universal. Все фичи (ipservisec, advipservices и т.д.) открываются при помощи ключа, который кроме как посредством покупки заполучить нельзя. Сейчас посомтрел — ветка 15S (cisco 76xx и прочие) пока не подвержена этоу юнивёрсалу, можно всё скачать по-человечески. Но это ненадолго.

[IlyaPodkopaev]

есть способ включить демо на 12 лет…

[sahe]

Нагуглить ничего не получилось. Киньте в меня ссылкой, пожалуйста, в личку. Спасибо.

[navion]

Для старых железок (ISR G1) новая лицензия не действует — все фичи в соответсвии с образом системы.

[akshakirov]

А можно подробнее про «12.4 решето»? Ато я себе старенький 1760 купил для «попрактиковаться» к CCNA и на нем сейчас DualISP настроено.

[xtelekom]

Попробуйте проверить на открытые порты несколько раз тем же nmap. Пробовал тестировать свои циски 38, 28, 18 серии, все при прошивке 12.4 отвечали на некоторые закрытые порты. Даже c IDS модулем удалось заставить ответить циску 28ой серии, правда ломать дальше не стал, а то мало ли что :)
Пока самое лучше чем удалось прикрытся если нет нормального FW, это рефлекcивные списки доступа.

[pavelsh]

Меня по пункту 1 смущает следующее: создать view-хи — это здорово, но можно как-то эти view-хи сделать аутентифицируемыми по радиусу/такаксу? Когда устройств много, а админы меняются хотя бы раз в три/шесть месяцев менять конфигурации, даже скриптом, становится сложно. Хочется меня пароль, и конфигурацию учетной записи из одной точки.

[Karroplan]

а это уже самим tacacs-ом можно нарулить. создаешь в нем группу с определнным доступом к командам и пользователям навешиваешь именно группу. ну или Cisco ACS

[vvh1te]

note: для возможности восстановить ISO необходим роутер с PCMCIA слотом

Все же наверное IOS? Ну это так, мелочи…

А вообще хотелось поподробней узнать что механизм «неудаляемого» IOS и конфига. Как реализуется? Что использует? И т.д.

Если лень писать то просто поделитесь ссылками на доки.

[imperial]

Хорошо написано.