Thoughts on Cybersecurity, Wi-Fi and some other stuff
Eigentlich sollte — egal auf welchem Gerät — immer nur ein Admin zur Zeit Änderungen vornehmen. In der Realität ist es manchmal aber doch schwer, sich abzusprechen. Um dieses “Problem” zu lösen, wurde im IOS 12.3(14)T das Feature Exclusive Configuration Change Access eingeführt, das im IOS 12.4(11)T nochmals überarbeitet wurde.
Mitte letzten Jahres konnte ich die Lieferung meiner UMTS-Karte nicht abwarten, aber als sie dann endlich geliefert wurde, hatte ich keine Zeit sie in Betrieb zu nehmen. Das habe ich jetzt endlich nachgeholt. Die Hardware-Installation beschränkt sich auf das Einstecken der SIM-Karte, Einbau des Moduls in einen freien HWIC-Slot eines
Für alle Netzwerk-Komponenten sollte man jederzeit wissen, wer wann, was geändert hat. Normalerweise wird diese Funktionalität über AAA Accounting, Cisco Works, Syslog oder einer Software wie den Kiwi CatTools implementiert. Wenn aber kein zentraler Server für Syslog oder AAA zur Verfügung steht (was gerade bei kleineren Firmen manchmal vorkommt), dann
Über Control Plane Policing (CPP) habe ich vor einiger Zeit schon etwas geschrieben. In der IOS-Version 12.4(4)T wurde der Schutz der Control-Plane nochmals erweitert, u.a. mit einem Paketfilter, der auf geschlossene Ports wirkt. Dieses Beispiel zeigt die Wichtigkeit dieser Funktion auf einem meiner Router.
Wiederkehrende Aktionen mit cron unter Linux oder at unter Windows kennt wohl jeder Admin. Es ist aber noch relativ unbekannt, dass im Cisco IOS seit Version 12.3(1) auch wiederkehrende Aktionen möglich sind. Die Konfiguration mit dem zuständigen Befehl kron teilt sich in zwei Bereiche:
Vor Kurzem habe ich einen Cisco ISR 2811 als Terminalserver “verschwendet” (verschwendet deshalb, weil für diese Aufgabe ein alter 26xx oder 3620 ohne weiteres reicht). Dort ist mir das erste Mal aufgefallen, daß sich bei den ISRs die Zählweise der Terminal-Lines geändert hat, so daß die Konfiguration wie in dem
Im Cisco Security-Kurs DVS (Designing VPN Security) wird als ein Thema “look-ahead fragmentation” (in der Doku “IPSec pre-fragmentation” genannt) angesprochen.
In die IOS-Version 12.4.(6)T wurde eine neue Möglichkeit der Firewall-Konfiguration eingebaut, die Zonen-basierte Konfiguration.
AAA wird in mehreren Cisco-Kursen angesprochen, aber in so ziemlich keinem Kurs gibt es ein schlüssiges Beispiel wie es konfiguriert werden könnte.
Da der IPS4210-Sensor nur zwei Interfaces (einmal Command und Control, einmal Monitoring) hat, habe ich diesen Sensor nach dem Update auf die IPS-Software 5.0 schon abgeschrieben, da er mit nur einem Monitoring-Interface nicht den doch recht interessanten Inline-Mode beherrschte.