gezhongyun 的BLOG
用户名：gezhongyun
文章数：13
访问量：1162
注册日期：
阅读量：2972
阅读量：3849
51CTO推荐博文
5287人学习
使用扩展ACL封杀PING命令
650) this.width=650;" style="width:683height:340" alt="图片" src="http://b253.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/YpVdcQP*5GfRFDCvUWkfz7J8*vOODX0juaWW0xAywNU!/b/dBwM3JYAJQAA&bo=qwJUAQAAAAABANs!" />实验要求：1、路由器名称为R1、R2，并配置相关的IP地址，保持其连通性。2、做扩展的访问控制列表，禁止R1PING到R2。实验过程：1、配置路由器的基本参数650) this.width=650;" style="width:683height:451" alt="图片" src="http://b250.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/1eF2*Num7P*JLiOj5avMkE4*mtbuez4DKAI703PGSnM!/b/dC4VBpURNAAA&bo=qwLDAQAAAAABAEw!" />650) this.width=650;" style="width:686height:428" alt="图片" src="http://b253.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/W2w6oHCUbWHL9SrU56lR*so2gLzGph8*ky9FEdxVUKM!/b/dCdf0ZaUJAAA&bo=vAKsAQAAAAABADQ!" />2、验证连通性650) this.width=650;" style="width:686height:164" alt="图片" src="http://b252.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/jI.fUnUsJ8iqBElkYjgtpJyDhctnfcxcRWujfEYjqTc!/b/dEWyNZYiKgAA&bo=pgKkAAAAAAABACc!" />650) this.width=650;" style="width:690height:183" alt="图片" src="http://b250.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/f3MyTRk2.bUp2OAJQhBuh8pnX.4rDyTZLz6MYFPf4SI!/b/dPepDZXHNAAA&bo=vwK3AAAAAAABAC0!" />3、创建ACL650) this.width=650;" style="width:690height:76" alt="图片" src="http://b251.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/S0dZUchCizBSxq*z1tU8o.hyIj4CpJXg8fgbLjmfM4E!/b/dGdLppWJNQAA&bo=twJMAAAAAAABAN4!" />注明：扩展ACL的编号范围为100-199。我们需要拒绝的是PING命令，它是属于ICMP协议，所以我们需要拒绝ICMP。用反掩码绝对匹配一个源地址，用反掩码绝对匹配一个目的地址。ACL有隐含拒绝的条目，它会拒绝所有的数据流量，为了防止数据流被误拒绝，我们可以加一条放行所有数据流量的条目。4、检查ACL650) this.width=650;" style="width:695height:81" alt="图片" src="http://b251.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/V90BdlF3vjyZk0HoXcoOufD79AYVx*WbXFvJGOmerUw!/b/dNxMqZU3MwAA&bo=vwJRAAAAAAABAMs!" />5、应用ACL到接口650) this.width=650;" style="width:696height:82" alt="图片" src="http://b254.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/6n8kRnvRFRyKs6iBV9U68d*YkGXieyYke4SMAWegCzA!/b/dHhkaJdMLAAA&bo=vQJSAAAAAAABAMo!" />6、验证效果650) this.width=650;" style="width:697height:113" alt="图片" src="http://b251.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/uxYQdlAJe8HIQ25xQPHj9lKAb7uOAK*tuJC8wG2EUS4!/b/dAnnp5V9MwAA&bo=uQJxAAAAAAABAO0!" />注明：实验失败，依然可以PING通，问题分析：对于ACL的放置位置，我们有以下的原则：扩展ACL放置在靠近源的位置，标准ACL放置在靠近目的位置，那么按照上述原则，我们创建一个扩展ACL，放置在源端，并没有错误。但对于ACL来说，它有一个重要特性就是，它不能过滤本地数据流，也就是说对于R1上发送的数据，设置在R1接口上的ACL并不能对它进行过滤，为了能对它进行过滤，那么我们需要在对端的R2上设置ACL.7、在R2上设置并应用ACL650) this.width=650;" style="width:700height:167" alt="图片" src="http://b250.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/EyqYQHyR.Ts6qgHDIdEMgKRO396FMUgLx9lVxi75M34!/b/dF2KBJUPMgAA&bo=vQKnAAAAAAABAD8!" />8、检验效果650) this.width=650;" style="width:700height:110" alt="图片" src="http://b251.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/O2LmP7rrgXZ4rC63VREvc*75sHhEMymRcdOnuS*lSsE!/b/dHrHp5W9LgAA&bo=qwJuAAAAAAABAOA!" />注明：试验成功，PING不通，ICMP包被拒绝。650) this.width=650;" style="width:701height:92" alt="图片" src="http://b253.photo./psb?/c7c93164-dce9-406c-a0cb-ef3046bf30fc/xJn488rNgpMmsyhjFmKlZAhbC0KXWwZe*u2zP4qUio0!/b/dP1a0ZYsJwAA&bo=xAJcAAAAAAABAL0!" />本文出自 “” 博客，请务必保留此出处
了这篇文章
类别：┆阅读(0)┆评论(0)allanhi 的BLOG
用户名：allanhi
文章数：94
评论数：833
访问量：483117
注册日期：
阅读量：2972
阅读量：3849
51CTO推荐博文
5890人学习
1740人学习
这里继上次写的搭建环境而来,由于我们需要根据自己的需求进行个性化定制,这里环境是基于CENTOS 4.7版本
先到CentOS里面装samba服务,用命令联网在线安装:yum &y install samba
装完以后配置samba服务相关设定,(这里不再说明,请自行配置好)让winxp系统可以访问得到CentOS共享目录,为什么要这样做?我在虚拟环境,CentOS跑的是命令行环境,那么当增加Cacti相关插件的时候,需要复制相关文件到CentOS相关Cacti安装目录下,这时我就通过winxp把相关文件复制到CentOS共享目录下面喽,所以就要搭建Samba服务.
大家可以访问Cacti论坛,可以学到更多东东,不过我觉得CACTI建图的基本原理是先创建数据模板,然后创建图形模板,而图形模板是调用数据模板而来,意思就是将数据转换到图形上来输出,这样便于我们直观查看到,然后我们可以把相应的图形模板加到主机模板里面去,这样我们就可以在创建设备监控的时候就可以选择相应的主机模板来创建图形喽,说了这么多不知道你明白了没有?这是CATCI精髓之所在,你一定要搞明白,其时我们导入的这些模板可以在数据模板里面找得到,你可以深入研究它究竟是怎样写公式来得到相关数据滴.
Cacti脚本及模板论坛：
一个完整的cacti脚本及模板列表：
进阶应用之一:增加advance ping模板
我觉得监控端口是不是down掉了还是有必要的,但是ping会产生arp包，arp包会消耗设备cpu哦
插入Advance Ping 脚本及模板
下载地址：
1）功能：此模板用来监控一个TCP/UDP端口、ICMP的延时情况和丢包情况。
2）下载ss_fping.php脚本并放到/var/www/html/scripts/目录下，下载cacti_graph_template_ping_advanced_ping_v1_3.xml模板，用cacti的模板导入页将此模板导入,(通过XP系统把文件拷贝到CentOS里面来哈)这里我把ss_fping.php按照说明复制的时候发现此目录下已存在此文件,所以我没有覆盖.
接下来导入模板,我们通过XP系统进入到CentOS里的Cacti WEB控制台来做操作,方便快捷,如下图操作导入此模板先.
在左边点device---add device的时候就可以看到advanced ping图形模板了
这里我们假设一次发20个探测包ping主机的80端口,确认对外提供的internet服务是否正常
完成以后的效果图如下:
应用之二:多核CPU绘制到一张图
到这里下载相应的模板,这里分别有2,4,8,16核的CPU模板,,导入模板跟上面一样哈,完了之后在DEVICE-ADD DEVICE添加此图形模板,如下图所示,我这里用双核的CPU来测试(在虚拟机XP下面启用双CPU有点跳侦的感觉,但可以使用,但win7下面启双CPU根本启动不起来)
添加完图形模板以后,现在来为主机添加此图形模板的监控图,点右上角的create graph for this host,然后按如下图操作
接着弹出以下图面,这里什么都不要填写,直接点创建即可
关键点到了,点graph management找到你要最监控主机的此选项点击进去
在数据源里选择对应CPU数据模板就OK
完成以后可以看到双核CPU的每一个CPU的使用率了.
这里我说明了两个例子,论坛上有很多模板自己可以去找,如 juniper netscreen/cisco router and switch/sql server等相关监控模板
我找到一个好模板附上来共享给大家Cacti_SNMP_INFORMANT_STD_W32_Metrics_V9.zip的包，里面包含的文件就是脚本文件，其中snmp_informant_.xml开头的文件是需要放到cacti服务端的snmp_queries目录下,我这里目录地址是/var/www/html/resource/snmp_queries/。
cacti_data_query_snmp开头的文件全都通过cacti页面导入,然后关联对应的主机模板如下图:
OK,下面放几张监控美图出来(这些模板里面有些出不来图,不知什么原因需要研究)
这里需要说明的是，除了windows自带安装的snmp之外，还需要安装SNMP Informant-STD 1.6,要不然出不来图,安装完成以后不需要做什么设置.
软件下载地址：
差点忘记了我在导入模板的时候出错啦~!把经验分享给大家
用百度一搜原来是将新版本到处的cacti模板导入到旧版本的时候，就会报Error: XML: Hash version does not exist.，解决的办法是修改xml里面的相关hash值就可以了。
以下是cacti xml hash的一些说明：
Take the following example: &hash_040018258d1cdd804f4a&
The first 2 digits are the type of the template.
The next 4 digits are the Cacti version it was created on.
The next 32 digits are a random number.
List of Versions
&0.8.4&& =& &0000&,&&
&0.8.5&& =& &0001&,&&
&0.8.5a& =& &0002&,&&
&0.8.6&& =& &0003&,&&
&0.8.6a& =& &0004&,&&
&0.8.6b& =& &0005&,&&
&0.8.6c& =& &0006&,&&
&0.8.6d& =& &0007&,&&
&0.8.6e& =& &0008&,&&
&0.8.6f& =& &0009&,&&
&0.8.6g& =& &0010&,&&
&0.8.6h& =& &0011&,&&
&0.8.6i& =& &0012&,&&
&0.8.6j& =& &0013&,&&
&0.8.7&& =& &0014&,&&
&0.8.7a& =& &0015&,&&
&0.8.7b& =& &0016&,&&
&0.8.7c& =& &0017&,&&
&0.8.7d& =& &0018&
&0.8.7e& =& &0019&
For the example above, this template was exported with Cacti 0.8.7d.
所以需要导入新版cacti模板的时候，只需要修改hash里面的version相关字段即可。
知道原因,当然要解决问题,先确认Cacti当前所用的版本,我用的是0.8.7C,那么对应是0017
下载open xml Editor 1.6软件下载地址:
安装完成以后,打开XML文件以后发现当前版本应该是0.8.7.e,按当前自己所有的版本的hash值全部查找替换然后保存即可.这样模板就可以成功的导入了.
接下来我再教大家怎么手动建立自己的模板,先要介绍一个软件GetIf
＝＝＝＝＝
GetIf是一个运行于WINDOWS平台的SNMP工具。功能非常强大，可以查询WINDOWS很多设备的MIB码和其他网络设备，如思科等的MIB码。有了这些MIB码就可以方便的对设备进行监测了。
GetIf可以在： 下载。
安装GetIf的方法如下：
1、下载GETIF2.3
2、下载MIB库
3、解压GETIF2.3后进行安装，按照默认设置安装即可。
4、删除GETIF2.3安装目录中MIBs子目录里的.index文件。
5、解压GETIF-MIBS.ZIP到上步中.index文件所在的目录。
6、运行GetIf2.3
输入主机的IP地址点开始就可以看得到主机相关的信息了
现在正式开始建立数据模板&data templates----Add&如下图方法填写相关数据,|host_description|在这里相当于会自填写你要监控的主机名称.
通过Getif查看到我们想要监控项目的OID值,这里我们找网络接口收到总的字节数,可以在下面找到对应的OID值复制到如下图所示位置处.
我们到Cacti主机通过SNMPWALK命令查看返回数据也没有问题,看到了这里返回的数据类型为Counter32,下面有用
如果返回值是Counter这里就要选数据源类型为counter
添加图形模板,Graph templates----Add
接着会弹出以下画面点Add
记住这里的Data source要选刚才我们创建的数据模板,按如下图设定即可
接着再多Add一项,如下图设定
完成后如下图所示
在DEVICE里在相应的主机下面添加图形模板如下图所示
添加完成以后点&Create this host for graph&----选中此项点CREATE即可
出来的效果图
最后谈谈Cacti数据采集方式,总结如下表
&&&&&&&非SNMP&&&&&&&
& & 难易度
&&&&&&& 不支持
&& &&&& 易
data queries
&&&&&&&不支持
&&&& && 难
&&&&&& 支持
多个&&&&&&
&&&&&&& 难
Cacti有三种数据采集方式,snmp get / data queries /script,从以上表格我们可以看出snmp get方式最简单也是最容易,但灵活性有限,比如说我们主机有多个CPU,而用snmpget方式只能监控单个CPU数据,想要输出多个CPU的数据到一张图,我们只能用data queries或脚本方式来实现,当某些设备不支持SNMP我就可能通过脚本的方式,把数据收集计算以后返回给Cacti然后以图形的方式显示出来,这也显示出了Cacti强大的扩展性和灵活性.本文出自 “” 博客，转载请与作者联系！
了这篇文章
附件下载：　　
类别：┆阅读(0)┆评论(0)
11:44:29 13:27:41 20:13:29 15:43:50 09:27:45 15:59:06 16:57:23 15:36:15 16:25:55 17:25:50 14:59:08
请输入验证码：访问：898639次
积分：14550
积分：14550
排名：第253名
原创：583篇
转载：86篇
评论：606条
(1)(4)(2)(1)(1)(3)(5)(4)(1)(2)(3)(3)(23)(14)(16)(11)(5)(5)(5)(14)(7)(4)(19)(16)(35)(30)(24)(18)(5)(7)(5)(1)(2)(15)(12)(5)(18)(2)(6)(8)(16)(7)(13)(9)(9)(3)(6)(23)(43)(4)(36)(9)(32)(30)(28)(24)(16)