NEC UNIVERGE IX2000/IX3000 運用構築 12

公式
https://jpn.nec.com/univerge/ix/
https://jpn.nec.com/univerge/ix/Manual/
https://jpn.nec.com/univerge/ix/Support/

前スレ
https://mao.5ch.net/test/read.cgi/network/1654126349/

>>448
fortigate-60EのDoSポリシー機能は試されました？

openSSHが話題になってますが
sshを有効にしてなければ問題ないですよね？

ないです

IXについてはyes.
そもそもIXはOpenSSHじゃないから大丈夫(IX-R/Vは別

LAN内のSSHサーバに到達可能ならそちらは当然対処必要

https://jpn.nec.com/univerge/ix/Support/Security-Info/JVNDB-2016-008892.html
を見る限りOpenSSHじゃないのかな
記事はOpenSSLと混じってわけがわからない感じになってるけど

jpn.nec.com/univerge/ix/Manual/index.html#soft
IX2000, IX3000 の第三者ソフトウェア使用許諾条件のところに OpenSSH 入ってるから、間違いなく OpenSSH は使ってはいるだろ

ただ、 FreeBSD ベースっぽいので、今回の Linux との組み合わせが問題の regreSSHion 脆弱性の影響を受けてない可能性は高いだろうな

正確な情報は公式の発表を待ちたい、…てか、むしろさっさと出せと言いたいが

そんなところに使用許諾があったのか
コマンドで表示されないか探してたのに

FreeBSDも今回のでSecurity Advisoryが出てるのでLinux特有の脆弱性ということはないかと

ttps://www.freebsd.org/security/advisories/FreeBSD-SA-24:04.openssh.asc

IXで使用されてるOpenSSHのバージョンがわからないので対象かどうかもわからないけども

シェルが使えなくて、こういう時にもどかしい

NEC IX は、 ssh-keyscan してもモデル名とルーター自身のソフトウェアバージョンしか返さないのな

# *.*.*.*:22 SSH-2.0-NEC-IX2235-ms-10.8.24
# *.*.*.*:22 SSH-2.0-NEC-IX2310-ms-10.8.24

ちなみに、 Yamaha の RTX の方は OpenSSH のバージョン返してた

# *.*.*.*:22 SSH-2.0-OpenSSH_7.7

どっちがいいのかと言われると、なんとも言い難いが

necが正しい。
毎日脆弱性を嗅ぎ回っている連中に、何を使ってるか教える理由が無い。

モデル名とバージョン書いてる時点でそんな変わらんような…
極東の小国のシェア5%程度のルーターのバージョンの情報なんか攻撃者はいちいち調べんから安全…とも最近は言い切れんくなってきたし

攻撃者はいちいちバージョン調べて狙い撃ちにするのか、投網かけて引っかかればラッキーなのか。

バージョン隠しは外からの犯行には効果ない
関係者の犯行には多少の効果はある

>>461
特定サイトでなければ狙い撃ちされる事は少ないけど、
ポートスキャンなど外部から得られる情報から弱点を探すフットプリンティングはクラッカーの常識、自動的にヤって目星を付けて攻撃開始！

攻撃PoC の内容にもよるだろ

攻撃可否が一瞬で出るなら片っ端から仕掛けた方が効率的だし、少し時間がかかるなら程度攻撃が通りそうなバージョンに絞った方が効率的

今後どんな脆弱性が出るかわからんから、 OpenSSH だろうと FW だろうと、バージョン隠しといた方が、多少なりは攻撃されにくくなることは期待できる
そもそも SSH の口を :22 ポートで公開すんなが基本だけど

まずはping応答する所から

port番号変えてもそんな意味無い。接続元制限

wellknownの22から変えるのは
Probeノイズを抑制する効果があるポイントの1つ
インタネッツのログ見りゃわかる
やったことないバカは黙れ

スキャンかけたらポート番号変えてもsshで待ち受けてるのすぐわかるし「22ポートで公開すんな」じゃなくて「sshdを送信元anyで公開すんな」なんだと思ってるよ

回数制限が有効
連続試行を捨ててる

qx-wの方には7/5付けで、opensshの脆弱性のら影響を受けないって書いてある。
ixで重大な問題があるなら、さっさと掲示してるだろうから、影響は限定的か全く無いかのどちらかだろうな。
今は本当に影響が無いかを調べているのではあるまいか。

ポート番号変えるの意味ない、はニワカ

>>460 は？君マジでログ見て無いっしょ。
winboxの脆弱性が話題になってた頃、うちの2105には1ヶ月程、毎日ポート8291を突ついて来た。失敗するだけなのに毎日欠かさず、だ。
ゼロデイ狙えば成功率高いのだから、メーカーのシェアなんて犯罪者は気になどしていない。

>>471
意味無いとまでは言わんけど本質的にそこじゃないと思ってる派

意味の話であれば「IPv6だけにすればイイ」もワカル(好みでは無い

アクセスもとのIPアドレス固定できるにこしたことはないんだが、現実問題そうしづらい状況はわりとありがちよな

認証破られる脆弱性が表沙汰になる頻度とリスク考えたら、タダでできるwellknownからの変更だけでお茶を濁す選択も仕方あるまい

お茶を濁してる、は実際必要な事あると思うの。
でもお茶を濁してる、でなく本質的な対策だと思ってる文化も結構ありそうなのモヤるわー、と言う小並感

100%完全な対策ではないがやらないよりマシ、の一行で済むこと

100%完全な対策なんか存在しない
当たり前の常識

この糞暑さのせいで、突然ルーターが熱暴走でプッツリ回線がつながらなくなた
ルーターを物理的初期化させて、やっとつながったけど、焦ったわ
今のネットってIPv6だからルーターがないと、直刺しじゃちゃんと接続できないんだな
IPｖ４の接続設定いらないのはいいけど、こういう時には直刺ししても接続情報がわからないから繋げられない。

物理的初期化ってw

クレイジーダイヤモンド

フレッツの IPv6 IPoE やってる VNE はどこもだいたい DHCPv6-PD に加えて、 RA の SLAAC と DHCPv6 での DNS 配布をしてる気がするので、直差しでも IPv6 対応サイトなら繋がりそうなもんだけど

試したことはない

あと、ポリシー的に DHCPv6 非対応の Android は無理か

フレッツに適当な端末を直結すれば自動的につながる
IPv6なら

阿部寛も見えるぞｗ

電気通信機器基準認証制度マニュアル https://www.soumu.go.jp/main_sosiki/joho_tsusin/pdf/kijyun_m.pdf

今さらだがIXはpoweroffコマンドないのな
スタートアップガイドにも取扱説明書にもFAQにも電源の切り方書いてないわ
多分いきなりスイッチ切れってことなんだろう

逆に聞くけど電源スイッチ付きのルーターでshutdownとかhaltコマンドある機器を教えてくれ

古いけどJuniperのSRXシリーズは電源スイッチ有って、押すとshutdownが走って電源切れた気がする。
他は使ったこと無いから知らんけど有りそうな気もする

SRXはUTM

じゃMXならいいのか、MXのPSUにも電源スイッチついてるのあるけど
冗談はともかく電源スイッチついてるやつ思い浮かばないな ヤマハとかついてたっけ？

基本的に業務用ルーターには物理の電源スイッチ付いてるでしょ
スイッチには付いていないが

そうだな、シャシ自体の電源っていうか個別のPSUの電源スイッチはありがち
PSUが取り外せなかったりシングルだったりの1Uとか小型ボックスのは電源スイッチは無いがちじゃない？
スイッチは.. JunosはEXもMXもSRXもshutdownしなきゃそのうち壊れるし仲間だぜ

>>485
答え忘れてたけど、いきなりスイッチ切ってOK
ただし write memory 中とか flash になんか書き込んでるときは切らないのがいいだろうね

IPV6で教えてクレメンス
ひかり電話契約していてONU直下でハブでixと電話を分岐させていて
IPoe使ってると数時間後ネット使えなくなるのは払いだすプレフィックスの
lifetimeが時間切れになってるからかな？同じようなことなった人いませんか？

いますん

IPv4だけが不通ならどうせポート枯渇だろ

NATで増やそう

納豆おいc

show ip napt translationで見ると
40 entrie,65495 freesってあるからnaptテーブルは全然余裕じゃないかなぁ？
yamahaでもあるけど、「ONU 配下、HGW 配下にヤマハルーターと他の機器 ( ひかり電話も含む ) をハブ接続する構成は動作保証外です。通信が不安定となる可能性があります。
」
やっぱ無理そうかな

ひかり電話アダプタをIXの配下に接続するのでは駄目なの？

ビジネスフォンなんでネットワーク変えるにも気軽にテストも出来なくて
この並列環境で安定稼働してる人いないでしょうか？

そりゃそんな繋ぎ方したら切れる。
光でんわ有りだとIPv6はDHCP-PDで降ってくる、それをひかり電話アダプタに取られるからIXのIPv6が消える。
一番簡単な解決 >>499
本当に並列で繋ぎたいなら、ONUとひかり電話アダプタの間にF/W入れてDHCP-PDたたき落とす必要がある。（光でんわはIPv4が取れれば使える）
ただ、これは一般のひかり電話での話、ビジネスフォンがこれで行けるかどうかは知らん。

仕事環境なら尚更>>499にしておくべきだと思うが、どうしてもやりたいってんならネット漁って。

あー、ただひかり電話アダプタ自体がIPv6取れなかった時の動きは知らん。（動かんかもしれん）
家は小型ONUの下にIXとNVR500繋いで、NVRのIPv6を切って使っててHGWは使って無いから。

そんなダサい構成にそもそもしない

>>499とか>>501でもいいけど、一番簡単なのは光電話HGWの下にIXを接続することだと思う
/56から少し減って/60とかでv6-pdで降ってくる。nexthopはHGWになる
この構成だとHGWが単一障害点になるけど、許容できるならいいんじゃね
493が切れる原因はおそらく501の言うとおりv6-pdが取られるから

不通の状況見なきゃ分からんけどIXのコンフィグでIPv6アドレスを固定にすれば行けるんじゃね？

あ、やべ501だけど勘違いしてた>>499って逆やろうとしてたんか。
一番簡単なのは>>504の通り、余計なことはするな、特に仕事なら。って所だな。

ONU直下で二つに割るのはそもそも褒められた構成じゃ無いので、目的があってやるならともかく
ただルーター繋ぎたいだけでやる構成じゃ無い。

>>505
pdの奪い合い起きてたらフレッツ側からの下りのnext-hopが書き換えられるから意味無い

499はUnivergeのconfigが変態的になると思うんで
HGWの性能低下なんてたかがしれてるし、個人的にはHGW配下にUnivergeを置くのがお勧めかな

業務用のひかり電話収容が多いHGWの中に配下にルーター繋ぐと通信品質ががた落ちするのがあった気がする

ひかり電話の帯域計算してシェービングしろよ

ポリッシングだね

alaxalaってFortinetの傘下に入ってたんだ

日立が持株手放して fortinet 75% NEC25%
うーん、世の中変わるね～

光クロス対応済の地域は光ネクストのIPv6リナンバなくなってる？

あるものと思って設定したほうがいいと思うけど面倒だよね

>>486
Juniper

HGWの下にIXつないで数年 使ってる。IPv6も問題なくつながってる。
自宅だけど調子よいとFast.com で800Mpbs以上の数字が出るからHGWの速度低下なんてほとんどないと思う。
数年前にDAZNが遅いのでIPv6にして問題なくなった。(NiftyだからそこのIPv6サービス。）

HGW下ってことはセッションはIX発？

せめて機種は書かないとベンチ意味ないぞ

>> 519
> せめて機種は書かないとベンチ意味ないぞ
HGW は PR-400NE ファームウェアバージョン　8.06 、IXルータはIX2215 です。

>> 518
> HGW下ってことはセッションはIX発？
質問の意味が今一つつかめてないが、HGW に光電話がついていて、HGＷのポートから1Gbps でＩＸにつないでる。(亡き両親の家だったからあまり面倒なことはしたくなかった）
HGW が NTT網からきた IPv６の情報流してきて、それを使ってIXを含む内部の物がつながっているみたいな感じ。IXはHGWからのIPv6 の情報を Proxy で内部の機器に流してる、はず。(もう数年前に設定したので細かいこと忘れた。）

なお、Nifty で IPv６申しむと、セッション設立するというPPP のパスワード入れるみたいな作業は無くなってる。IPv6 網に問答無用で自動的にHGWがつながるようにみえる。そもそもファームウェアないしは起動時にダイナミックにロードされるモジュールが変更されるみたいで（IPv６用の追加機能を入れるところがあるらしくてそこがサービス受けると置き換わる模様）、HGWのユーザインターフェイスも変わってしまって結構とまどう。
状態を見るページで表示するとＨＧＷは一つの相手と常時接続になったままで、接続先設定はもはやできない。
IPｖ４として外からアクセスするIPv４のポートが一部しか使えなくなる問題と、じゃあ手元のルータでどこのポートが使えるかをしらべる方法はさんざん検索しないとわからなくて外からファイルサーバーにアクセスするのに結構こまった。これは Nifty が使ってるIPv6 on IPv4 の問題だけども。
広い意味ではセッションはＨＧＷが勝手に張ってますとしか言いようがない。

両親の家で光電話のところをいろいろ設定するのが面倒だったのと、ＨＧＷのファイアウォール機能が貧弱に思えたのでこうしてます。内部のサーバに外からアクセスなんてしなければＨＧＷに全部任せても良かったと思う。

>> 520
> ... これは Nifty が使ってるIPv6 on IPv4 の問題だけども。
IPv4 on IPv6 のタイプミスでした。

@nifty を Nifty と書くわ、英数字が全角半角混ざってるわでめっちゃ気持ち悪い

自分はVPN(IPsec)通したときにHGW配下にルーターおいて顕著に速度低下を感じた。
普通のHTTPとかだと感じない。

はい

とても素人な質問で恐縮ですが、、、
WAN側のipv6アドレスを知るコマンドとかありますか？
環境はIX2215でIPoE＋MAP-E、ひかり電話なしです

>>522
半角全角混在はたしかに気持ち悪いが、ニフティーの書き方の指摘はさすがに細かすぎる

show ipv6 address

>>522
BBS本業だった頃は Niftyだったけどな

>>524
テンプレにあるコマンドリファレンスマニュアルを読んでから質問しろ

>>526
教えてクンを甘やかすと図に乗るぞ

>>526
レスありがとうございます
そのコマンドではGE0.0や1.0のWAN側はローカルアドレスしか出ません

私が根本的なことを理解が足りてないのですが、
GE0.0や1.0のWAN側にはIPアドレスが割り当てられないものなのでしょうか？

それを言うならニフィティサーブだったような

IPv5アドレスの確認方法はありますか

>>529
それで出ないなら割り当てられてない。
原因はconfig見ないと分からん。
ONUの繋がってるインタフェイスで ipv6 nd proxy 入れてるんだよね？
であれば nd proxy先のインタフェイスでアドレス取れると思うけど

>>532
重ねてのレス感謝です
仰られるようにNDプロキシ運用中ですのでそれが理由だと解釈しました

biglobe 直して…

IX2215で最新にしていたファームが気がついたら旧ファーム（8.xxあたり）に戻ってることが数件あったのですが、
何か切替のような事ができるんでしょうか？
再度ファームアップしたらコンフィグそのままでアップデートできたのですが、
何が起こったのか訳が分かりません
何か情報ございますか？

タイムマシンは存在しないからありえない

Bのfirmwareが起動してる可能性がありそうだけど

そんなのあったっけ

>>537
それに１票

色々調べて確かに状態としては旧バージョンがMAとして起動している（最新ファームもBとして存在は確認できる）
ただ software-select で指定しても最新ファーム名横に”＋”は表示されるが実際に再起動すると
旧バージョンが立ち上がってしまう。

もちろん何も旧バージョンを立ち上げるようなコマンドを打ったりはしていない。
再度アップデートをかければ最新ファームで立ち上がるようになる

という状態です。

私だけで3件は確認できたので他の方も起きていないかなと思ったのですが

>>540
一度お祓いして貰った方が良い

旧バージョンのソフトウェア消しちゃえば？

自分の周囲ではそのようなことが起こったことはないな。
さすがに 8.xx を取っておいてはいないので 8.xx でしか再現しないならちょっと分からない（そこまで古いのを取っておいても…と思う）

自分はIX1000用の4.0.9以降全機種の全版数をとっておいてる変態です

何か問題があってリブートして対応している可能性がなくはないので
原因がわかるまでBのファームウェアを消すのはあまりよくないのでは？

正常ならＢ＋から再起動でＭＡに入れ替わる
手動でこれやらなくても普通にアップデートすれば自動的に入れ替わる
そうならなかったことは一度も経験ない

>>544
スクリプトで取得すると規約違反にならない？

正常じゃないからそうやってリカバリーをしてる可能性があるので
問題を探すのが重要だと思います