Pour la QoS, vous pouvez utiliser PRIQ ou CBQ.
*Note 1* : si vous optez pour CBQ, vous devrez calculer la bande passante nécessaire.
*Attention 1*: quelques soit l'algo PRIQ ou CBQ, si vous souhaitez garantir un minimum, il va falloir configurer la QoS pour tout les flux _sortant_ , notez bien le mot _sortant_.
*Note 2*: pour limiter à un maximum, vous n'avez pas besoin de déclarer le QoS sur tout les flux.
*Attention 2*:
si vous configurez une règle QoS pour un flux IN, par exemple entre IN et DMZ1,
le moteur QoS lui appliquera la limite de bande passante définie (celle de la OUT).
Par ex, si vous n'avez que 1Mo en sortie, si la QoS est appliqué pour du web entre IN et DMZ (donc deux flux IN), le maximum de bande passante utilisé sera de 1Mo.
Wednesday, November 4, 2009
Netasq - pb proxy smtp antivirus
==> Problème:
Les mail en sortie ne sont pas envoyé, en utlisant le proxy smtp avec check antivirus (clamav)
Le message d'erreur reporter:
Error during data transmission
Erreur SMTP:
421 mwinf2f03.orange.fr Error: timeout exceeded
==> Solution:
un keep-alive de 5 secondes au lieu des 20 secondes par defaut.
ConfigFiles/SMTPProxy/01
[Postprocessing]
Policy=Pass
Size=51607
KeepAlive=5
==> Explications:
La problématique vient du fait que le proxy gère deux connexions. Ces deux connexions n'ont pas le meme debit, il y a un ordre de grandeur de différence : ethernet = 100Mbps, ADSL = 10Mbps par exemple. De plus, s'ajoute une latence a cause de l'analyse anti-virus.
Ces deux aspects induisent le comportement suivant :
- le client SMTP envoie rapidement le mail (ethernet) comme suit :
C: DATA
S: 354 End data with .
C: From: "Bob Example"
C: To: Alice Example
C: Cc: theboss@example.com
C: Date: Tue, 15 Jan 2008 16:02:43 -0500
C: Subject: Test message
C:
C: Hello Alice.
C: This is a test message with 5 headers and 4 lines in the body.
C: Your friend,
C: Bob
C: .
En parallèle, cote serveur, la commande DATA est transmise et le temps que le mail soit reçu par le proxy et analyse par l'AV, des faux champs d'en-tête sont transmis pour faire patienter le serveur :
C: DATA
S: 354 End data with .
C: X-Keep-Alive: 1
C: X-Keep-Alive: 1
...
C: X-Keep-Alive: 1
C: X-Keep-Alive: 1
C: From: "Bob Example"
C: To: Alice Example
C: Cc: theboss@example.com
C: Date: Tue, 15 Jan 2008 16:02:43 -0500
C: Subject: Test message
C:
C: Hello Alice.
C: This is a test message with 5 headers and 4 lines in the body.
C: Your friend,
C: Bob
C: .
A partir du moment ou le serveur a reçu le mail complet, il retourne sa réponse, qui est directement transmise au client :
S: 250 Ok: queued as 12345
Les mail en sortie ne sont pas envoyé, en utlisant le proxy smtp avec check antivirus (clamav)
Le message d'erreur reporter:
Error during data transmission
Erreur SMTP:
421 mwinf2f03.orange.fr Error: timeout exceeded
==> Solution:
un keep-alive de 5 secondes au lieu des 20 secondes par defaut.
ConfigFiles/SMTPProxy/01
[Postprocessing]
Policy=Pass
Size=51607
KeepAlive=5
==> Explications:
La problématique vient du fait que le proxy gère deux connexions. Ces deux connexions n'ont pas le meme debit, il y a un ordre de grandeur de différence : ethernet = 100Mbps, ADSL = 10Mbps par exemple. De plus, s'ajoute une latence a cause de l'analyse anti-virus.
Ces deux aspects induisent le comportement suivant :
- le client SMTP envoie rapidement le mail (ethernet) comme suit :
C: DATA
S: 354 End data with .
C: From: "Bob Example"
C: To: Alice Example
C: Cc: theboss@example.com
C: Date: Tue, 15 Jan 2008 16:02:43 -0500
C: Subject: Test message
C:
C: Hello Alice.
C: This is a test message with 5 headers and 4 lines in the body.
C: Your friend,
C: Bob
C: .
En parallèle, cote serveur, la commande DATA est transmise et le temps que le mail soit reçu par le proxy et analyse par l'AV, des faux champs d'en-tête sont transmis pour faire patienter le serveur :
C: DATA
S: 354 End data with .
C: X-Keep-Alive: 1
C: X-Keep-Alive: 1
...
C: X-Keep-Alive: 1
C: X-Keep-Alive: 1
C: From: "Bob Example"
C: To: Alice Example
C: Cc: theboss@example.com
C: Date: Tue, 15 Jan 2008 16:02:43 -0500
C: Subject: Test message
C:
C: Hello Alice.
C: This is a test message with 5 headers and 4 lines in the body.
C: Your friend,
C: Bob
C: .
A partir du moment ou le serveur a reçu le mail complet, il retourne sa réponse, qui est directement transmise au client :
S: 250 Ok: queued as 12345
vmware - esx - tips en vrac
Create the /dev/vmnet* files:
mknod -m 600 /dev/vmnet0 c 119 0
mknod -m 600 /dev/vmnet1 c 119 1
mknod -m 600 /dev/vmnet2 c 119 2
mknod -m 600 /dev/vmnet3 c 119 3
mknod -m 600 /dev/vmnet4 c 119 4
mknod -m 600 /dev/vmnet5 c 119 5
mknod -m 600 /dev/vmnet6 c 119 6
mknod -m 600 /dev/vmnet7 c 119 7
mknod -m 600 /dev/vmnet8 c 119 8
mknod -m 600 /dev/vmnet9 c 119 9
effacer /etc/vmware/not_configured
editer /etc/init.d/vmware
dans la fonction vmware_start_vmnet.
for i in `seq 0 9`; do
if [ ! -c /dev/vmnet$i ];then
mknod -m 660 /dev/vmnet$i c 119 $i > /dev/null 2>&1
done
if [ ! -e /dev/vmmon ];then
mknod /dev/vmmon c 10 165 > /dev/null 2>&1
fi
Ma config SA5K:
/usr/bin/vmnet-bridge -d /var/run/vmnet-bridge-0.pid /dev/vmnet0 br1
/usr/bin/vmnet-natd -d /var/run/vmnet-natd-8.pid -m /var/run/vmnet-natd-8.mac -c /etc/vmware/vmnet8/nat/nat.conf
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet1.pid /dev/vmnet1 vmnet1
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet8.pid /dev/vmnet8 vmnet8
/usr/bin/vmnet-dhcpd -cf /etc/vmware/vmnet8/dhcpd/dhcpd.conf -lf /etc/vmware/vmnet8/dhcpd/dhcpd.leases -pf /var/run/vmnet-dhcpd-vmnet8.pid vmnet8
/usr/bin/vmnet-dhcpd -cf /etc/vmware/vmnet1/dhcpd/dhcpd.conf -lf /etc/vmware/vmnet1/dhcpd/dhcpd.leases -pf /var/run/vmnet-dhcpd-vmnet1.pid vmnet1
/usr/bin/vmnet-bridge -d /var/run/vmnet-bridge-2.pid /dev/vmnet2 br0
création de l'interface physique:
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet2.pid /dev/vmnet2 vmnet2
ifconfig vmnet2 up
vmnet0 ==> bridge br1
vmnet1 ==> private lan + nat
vmnet2 ==> bridge br0
vmnet8 ==> private lan ( host only )
##################################################################################################
Comment faire pour ajouter un binding sur une interface physique dans vmware server ???
si l'interface physique est br0, si le vmnet est vmnet2:
ajouter la ligne suivante dans /etc/vmware/locations:
answer VNET_2_INTERFACE br0
##################################################################################################
Comment faire pour ajouter un virtual-switch dans vmware server ???
si le swith sera vmnet3:
ajouter les lignes suivante dans /etc/vmware/locations:
answer VNET_3_HOSTONLY_HOSTADDR 172.16.133.1
answer VNET_3_HOSTONLY_NETMASK 255.255.255.0
##################################################################################################
si vous voulez activer le dhcp sur ce switch:
faire:
mkdir /etc/vmware/vmnet3/dhcpd
cp /etc/vmware/vmnet3/dhcpd/dhcpd.conf /etc/vmware/vmnet1/dhcpd/dhcpd.conf
modifier le fichier /etc/vmware/vmnet3/dhcpd/dhcpd.conf
et ajouter les lignes suivante au fichier /etc/vmware/locations:
directory /etc/vmware/vmnet3
directory /etc/vmware/vmnet3/dhcpd
file /etc/vmware/vmnet3/dhcpd/dhcpd.conf 1222099462
file /etc/vmware/vmnet3/dhcpd/dhcpd.leases
##################################################################################################
si vous voulez activer le NAT sur le switch:
mkdir /etc/vmware/vmnet3/nat
cp /etc/vmware/vmnet8/nat/nat.conf /etc/vmware/vmnet3/nat/nat.conf
modifier le fichier /etc/vmware/vmnet3/nat/nat.conf
et ajouter les lignes suivante au fichier /etc/vmware/locations:
answer VNET_3_NAT yes
directory /etc/vmware/vmnet3/nat
file /etc/vmware/vmnet3/nat/nat.conf 1222099405
##################################################################################################
# /usr/lib/vmware/net-services.sh status
Bridged networking on /dev/vmnet0 is running
Host-only networking on /dev/vmnet1 is running
Bridged networking on /dev/vmnet2 is running
Host-only networking on /dev/vmnet3 is not running
NAT networking on /dev/vmnet3 is not running
Host-only networking on /dev/vmnet8 is running
NAT networking on /dev/vmnet8 is running
mknod -m 600 /dev/vmnet0 c 119 0
mknod -m 600 /dev/vmnet1 c 119 1
mknod -m 600 /dev/vmnet2 c 119 2
mknod -m 600 /dev/vmnet3 c 119 3
mknod -m 600 /dev/vmnet4 c 119 4
mknod -m 600 /dev/vmnet5 c 119 5
mknod -m 600 /dev/vmnet6 c 119 6
mknod -m 600 /dev/vmnet7 c 119 7
mknod -m 600 /dev/vmnet8 c 119 8
mknod -m 600 /dev/vmnet9 c 119 9
effacer /etc/vmware/not_configured
editer /etc/init.d/vmware
dans la fonction vmware_start_vmnet.
for i in `seq 0 9`; do
if [ ! -c /dev/vmnet$i ];then
mknod -m 660 /dev/vmnet$i c 119 $i > /dev/null 2>&1
done
if [ ! -e /dev/vmmon ];then
mknod /dev/vmmon c 10 165 > /dev/null 2>&1
fi
Ma config SA5K:
/usr/bin/vmnet-bridge -d /var/run/vmnet-bridge-0.pid /dev/vmnet0 br1
/usr/bin/vmnet-natd -d /var/run/vmnet-natd-8.pid -m /var/run/vmnet-natd-8.mac -c /etc/vmware/vmnet8/nat/nat.conf
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet1.pid /dev/vmnet1 vmnet1
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet8.pid /dev/vmnet8 vmnet8
/usr/bin/vmnet-dhcpd -cf /etc/vmware/vmnet8/dhcpd/dhcpd.conf -lf /etc/vmware/vmnet8/dhcpd/dhcpd.leases -pf /var/run/vmnet-dhcpd-vmnet8.pid vmnet8
/usr/bin/vmnet-dhcpd -cf /etc/vmware/vmnet1/dhcpd/dhcpd.conf -lf /etc/vmware/vmnet1/dhcpd/dhcpd.leases -pf /var/run/vmnet-dhcpd-vmnet1.pid vmnet1
/usr/bin/vmnet-bridge -d /var/run/vmnet-bridge-2.pid /dev/vmnet2 br0
création de l'interface physique:
/usr/bin/vmnet-netifup -d /var/run/vmnet-netifup-vmnet2.pid /dev/vmnet2 vmnet2
ifconfig vmnet2 up
vmnet0 ==> bridge br1
vmnet1 ==> private lan + nat
vmnet2 ==> bridge br0
vmnet8 ==> private lan ( host only )
##################################################################################################
Comment faire pour ajouter un binding sur une interface physique dans vmware server ???
si l'interface physique est br0, si le vmnet est vmnet2:
ajouter la ligne suivante dans /etc/vmware/locations:
answer VNET_2_INTERFACE br0
##################################################################################################
Comment faire pour ajouter un virtual-switch dans vmware server ???
si le swith sera vmnet3:
ajouter les lignes suivante dans /etc/vmware/locations:
answer VNET_3_HOSTONLY_HOSTADDR 172.16.133.1
answer VNET_3_HOSTONLY_NETMASK 255.255.255.0
##################################################################################################
si vous voulez activer le dhcp sur ce switch:
faire:
mkdir /etc/vmware/vmnet3/dhcpd
cp /etc/vmware/vmnet3/dhcpd/dhcpd.conf /etc/vmware/vmnet1/dhcpd/dhcpd.conf
modifier le fichier /etc/vmware/vmnet3/dhcpd/dhcpd.conf
et ajouter les lignes suivante au fichier /etc/vmware/locations:
directory /etc/vmware/vmnet3
directory /etc/vmware/vmnet3/dhcpd
file /etc/vmware/vmnet3/dhcpd/dhcpd.conf 1222099462
file /etc/vmware/vmnet3/dhcpd/dhcpd.leases
##################################################################################################
si vous voulez activer le NAT sur le switch:
mkdir /etc/vmware/vmnet3/nat
cp /etc/vmware/vmnet8/nat/nat.conf /etc/vmware/vmnet3/nat/nat.conf
modifier le fichier /etc/vmware/vmnet3/nat/nat.conf
et ajouter les lignes suivante au fichier /etc/vmware/locations:
answer VNET_3_NAT yes
directory /etc/vmware/vmnet3/nat
file /etc/vmware/vmnet3/nat/nat.conf 1222099405
##################################################################################################
# /usr/lib/vmware/net-services.sh status
Bridged networking on /dev/vmnet0 is running
Host-only networking on /dev/vmnet1 is running
Bridged networking on /dev/vmnet2 is running
Host-only networking on /dev/vmnet3 is not running
NAT networking on /dev/vmnet3 is not running
Host-only networking on /dev/vmnet8 is running
NAT networking on /dev/vmnet8 is running
Juniper - vpn proposal
IKE Phase 1 Proposal:
* Method: indicates whether preshared key (“pre”) or digital certificates (using “RSA”-Sig or “DSA”-Sig) are used as the authentication method
* DH Group: Indicates the Diffie-Hellman group used for the key generation or exchange (“g1”, “g2” or “g5”)
* Encrypt: Indicates the encryption algorithm (“3DES”, “DES” or “AES”)
* Auth: Indicates the hash algorithm (“MD5” or “SHA-1”)
Valeurs:
--------
(pre|dsa|rsa) (g1|g2|g5) (DES|3DES|AES) (MD5|SHA1)
Examples of a Phase 1 proposal include:
---------------------------------------
* pre-g1-des-md5
* dsa-g2-3des-sha1
* rsa-g5-aes128-md5
* or the current de-facto standard: pre-g2-3des-sha1
IPSEC Phase 2 Proposal:
* PFS: Indicates whether PFS is not being used (“nopfs”) or if it is, which DH group is being applied (“g1”, “g2” or “g5”).
* Encapsulation: Whether the ESP (“esp”) protocol is being used for encryption and authentication, or just the AH (“ah”) protocol.
* Encryption : Indicates the encryption algorithm (“DES”, “3DES” or “AES”)
* Authentication: Indicates the hash algorithm (“MD5” or “SHA1”)
Valeurs:
--------
(nopfs|g1|g2|g5) (ESP|AH) (DES|3DES|AES) (MD5|SHA1)
Examples of a Phase 2 proposal include:
---------------------------------------
nopfs-esp-des-md5
g1-ah-null-sha1
And the defacto standard: g2-esp-3des-sha1
* Method: indicates whether preshared key (“pre”) or digital certificates (using “RSA”-Sig or “DSA”-Sig) are used as the authentication method
* DH Group: Indicates the Diffie-Hellman group used for the key generation or exchange (“g1”, “g2” or “g5”)
* Encrypt: Indicates the encryption algorithm (“3DES”, “DES” or “AES”)
* Auth: Indicates the hash algorithm (“MD5” or “SHA-1”)
Valeurs:
--------
(pre|dsa|rsa) (g1|g2|g5) (DES|3DES|AES) (MD5|SHA1)
Examples of a Phase 1 proposal include:
---------------------------------------
* pre-g1-des-md5
* dsa-g2-3des-sha1
* rsa-g5-aes128-md5
* or the current de-facto standard: pre-g2-3des-sha1
IPSEC Phase 2 Proposal:
* PFS: Indicates whether PFS is not being used (“nopfs”) or if it is, which DH group is being applied (“g1”, “g2” or “g5”).
* Encapsulation: Whether the ESP (“esp”) protocol is being used for encryption and authentication, or just the AH (“ah”) protocol.
* Encryption : Indicates the encryption algorithm (“DES”, “3DES” or “AES”)
* Authentication: Indicates the hash algorithm (“MD5” or “SHA1”)
Valeurs:
--------
(nopfs|g1|g2|g5) (ESP|AH) (DES|3DES|AES) (MD5|SHA1)
Examples of a Phase 2 proposal include:
---------------------------------------
nopfs-esp-des-md5
g1-ah-null-sha1
And the defacto standard: g2-esp-3des-sha1
Subscribe to:
Posts (Atom)