Skip to content

Categories:

web服务器禁止range: 请求

range: 请求一般是多线程下载的客户端程序使用
在httpd.conf中增加下面的配置,可以禁止range请求RewriteEngine on
RewriteCond %{HTTP:Range} [0-9\\-]$
RewriteRule \\.(rar|zip|iso|ISO|rm|rmvb|mpg|mp3|mp2|wmv|wma|exe)$ / [F,L]

Posted in 未分类.

By james
三月 26, 2009

No comments

注Cisco 6509的一个BUG

 

现象: 6509自动重新启动
more sup-bootflash:crashinfo_????
看到

Data Bus Error exception, CPU signal 10, PC = 0xA0000100

-Traceback= A0000100
$0 : 00000000, AT : 414D0000, v0 : 00000008, v1 : 02D023F3
a0 : 50A653E8, a1 : 00000000, a2 : 18000204, a3 : 18000076
t0 : 00000000, t1 : 50C35BA0, t2 : FFFFF8FD, t3 : 40423530
t4 : 3400F800, t5 : 45067470, t6 : 00000000, t7 : 45067468
s0 : 1800020C, s1 : 000003A2, s2 : 50A653E8, s3 : 00000001
s4 : 423B0000, s5 : 423B0000, s6 : 423B0000, s7 : 41120000
t8 : 0811040C, t9 : 402BF7D8, k0 : 00000000, k1 : 00000000
gp : 415D0CC0, sp : 42D23600, s8 : 41120000, ra : 4062C924
EPC  : A0000100, ErrorEPC : A0000100, SREG    : 3400F803
MDLO : A3BEB7FE, MDHI    : E5BADB27, BadVaddr : 00000000
Cause 0000041C (Code 0×7): Data Bus Error exception

如果有2个引擎,一起重新启动

引起这个故障的bug是:
CSCsj16969,按照cisco的文档CSCsj16969—Resolved in 12.2(18)SXF10

Symptom: A Cisco IOS device supporting IPv6 MLD may crash with a data bus error exception and stack trace PC = 0xA0000100

Conditions: Device is running normal production traffic. Presence of malformed MLD packet in this network caused the issue.

Workaround: Disabling MLD snooping on the VLAN or globally on the box will stop the crash.

即升级到最新的IOS或者暂时用
no ipv6 mld snooping
解决.

我校的3台6509都因为这个bug在一周内自动重起过,其中有一台
配置了
no ipv6 mld snooping

Posted in 未分类.

By james
三月 26, 2009

No comments

基于BGP协议的IP黑名单分发系统

 

相关网站 http://blackip.ustc.edu.cn

有兴趣的可以来试一试,目前有安徽5所高校，外地3所高校在使用这个黑名单。
使用的效果非常明显,arp攻击、木马下载等事件明显减少.

技术上的一些细节可以参考今年的CERNET年会文章,上面网站中也有个年会交流的ppt.

Internet上有很多恶意IP，这些IP上提供了恶意软件的下载，是很多客户机感染病毒、木马的源头。在网络设备上封锁客户机对这些IP的通信后，客户机感染木马事件明显减少，网络更加稳定。
这里的IP blacklist是我们收集的一些恶意IP，即IP黑名单。为了简化IP黑名单的更新操作，我们提供利用BGP协议来进行IP黑名单的自动分发。

如果您也希望在网络设备上封锁这些IP，最简单的就是配置BGP协议，利用BGP协议自动封锁这些IP。

对于cisco设备，需要如下步骤：

1. 在交换机或路由器上增加如下配置

router bgp 65500
no synchronization
bgp log-neighbor-changes
neighbor 202.38.64.17 remote-as 24362
neighbor 202.38.64.17 ebgp-multihop 255
neighbor 202.38.95.241 remote-as 24362
neighbor 202.38.95.241 ebgp-multihop 255
no auto-summary

ip route 202.38.64.17 255.255.255.255 x.x.x.x
ip route 202.38.95.241 255.255.255.255 x.x.x.x
ip route 192.0.2.1 255.255.255.255 Null0

上面的202.38.64.17和202.38.95.241是2个科大的bgp设备，设置2个是为了冗余。

其中x.x.x.x是到教育网的网关IP，一般应该是默认路由，不确定的话，可以在交换机或路由器上执行show ip route 202.38.64.17来查看显示的next-hop地址。

2. 确保交换机或路由器能连接202.38.64.17 与 202.38.95.241 的179端口，这是bgp协议使用的端口。
可以在交换机或路由器上执行
telnet 202.38.64.17 179
telnet 202.38.95.241 179
来测试。

3. 把交换机或路由器的IP告诉我 msn/email: james@ustc.edu.cn，我来配置科大的设备。
router bgp 24362
neighbor x.x.x.x remote-as 65500
neighbor x.x.x.x peer-group blackipclient

router bgp 24362
neighbor x.x.x.x
  remote-as 65500
  use neighbor-group blackipclient
  address-family ipv4 unicast

4. 配置正确后，在交换机或路由器上执行
#show ip bgp neighbors 202.38.64.17，应该能看到这样
BGP neighbor is 202.38.64.17, remote AS 24362, external link
BGP version 4, remote router ID 202.38.64.17
BGP state = Established, up for 05:52:00

执行show ip bgp 能看到学到的路由表，里面全部是黑名单IP。

——————————————————————————–
华为设备(VRP 3.4)的配置：
bgp 65500
log-peer-change
undo synchronization
group blackip external
peer blackip as-number 24362
peer blackip ebgp-max-hop 255
peer 202.38.64.17 group blackip
peer 202.38.95.241 group blackip

ip route-static 192.0.2.1 255.255.255.255 NULL 0

Posted in 未分类.

By james
三月 26, 2009

2 comments

Linux做为NAT设备的一些注意事项

Linux做为NAT设备的一些注意事项1. 每个连接占用内存数量
  一个连接，大约占用400字节左右内存。

2. 机器允许的最多连接数
  linux默认只会使用很少的内存，因此允许的连接数也比较少。
  可以使用类似这样的命令加载模块
modprobe ip_conntrack hashsize=100000
modprobe ip_conntrack_ftp
modprobe ipt_state
modprobe ipt_conntrack
modprobe iptable_nat
modprobe ip_nat_ftp

上面的hashsize是10万，最大的连接数是 hashsize*8=80万，大约会占用320MB内存，
这样的设置对于>512M内存的机器是可以的。

3. 默认超时时间的修改
  linux默认的超时时间太长了，完全没有必要。可以使用以下命令修改
#修改超时时间
echo 600 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
echo 10 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_syn_sent
echo 300 > /proc/sys/net/ipv4/netfilter/ip_conntrack_udp_timeout_stream
echo 120 > /proc/sys/net/ipv4/netfilter/ip_conntrack_udp_timeout

通过以上设置，几乎不会出现table full的情况。

Posted in 未分类.

By james
三月 26, 2009

No comments