Cisco SLA 電路備援 自動切換

建立兩筆SLA  每一條電路建一個SLA   基本上就是ping 遠端 IP  

定義 timeout 時間  與  失敗的 threshold 次數


ip sla 5
 icmp-echo 10.255.254.49 source-ip 10.255.254.50
 request-data-size 100
 timeout 2000
 threshold 2
 frequency 2
ip sla schedule 5 life forever start-time now

ip sla 6
 icmp-echo 10.255.254.53 source-ip 10.255.254.54
 request-data-size 100
 timeout 2000
 threshold 2
 frequency 2
ip sla schedule 6 life forever start-time now

track 458 ip sla 5 reachability
track 459 ip sla 6 reachability

ip route 0.0.0.0 0.0.0.0 10.255.254.49        track 458
ip route 0.0.0.0 0.0.0.0 10.255.254.53 50  track 459


優先的 routing 是 track 458，如果track 458 ping失敗後， 路由會變成第二順位
達成自動備援功能，主要路由的 tracking 恢復後，就立即恢復第一路由
以此達成自動備援的目的

Site to Site VPN 測試結果與心得

這幾天為了測試與廈門建立 Site to Site VPN   搞到焦頭爛額

因為台灣這邊用的是 Cisco ISR 3825 Router 而大陸廈門那邊則用 Juniper SSG 320m

怎麼弄就是起不來 最後就得到一串錯誤訊息  "decrypted packet failed SA identity check"

廈門那邊就一付老大心態   擺明他那邊沒問題      也沒時間查   也不給我看設定檔

我只能悶著頭測試   搞了老半天也沒有一個明確的解答     所以就是..........無解

最後 我借了台 cisco isr 2811 來和 3825 對接測試   果然是  "自己人比較好說話"

Cisco 3825 老大說的話    2811怎能敢不聽呢    所以vpn就建起來囉

證明我的設定沒有錯    再來就換證明Cisco 與 Juniper 不同兩家人說的話    彼此聽不聽得懂囉

跟廠商借一台  juniper netscreen 208  並順帶借了工程師來設定

雙方互測半天     最後還是  cisco 公說公有理  juniper 婆說婆有理   的局面

最後只好使出大絕招   用廠商的 juniper  208 與廈門互連   果然又是一個自家人好說話的局面

一連就通了    這不禁使我想罵人  以前廠商推銷設備都說   現在什時代了

通訊協定都標準化了    不同廠牌怎麼可能會無法溝通勒    真他媽的ooxx 屁話

keyword:

IPSec : 這只是一個 IETF 制定的開放標準，主要用來保護 internet 溝通時的資料安全，主要功能為認證與加密。

IPSec包含兩個部分，一個是IKE (Internet Key Exchange)，主要負責金鑰的交換，另外一部份就是負責封包的加解密。

IKE的協商過程分為兩個階段，第一階段建立SA(安全協議)，負責溝通雙方的安全機制，第二階段就是建立IPSec連線。


isakmp   (Internet Security Association and Key Management Protocol)  網路安全協議與秘鑰管理

IKE 第一階段 利用 isakmp 達成SA協議與秘鑰管理

crypto isakmp enable    先將協定啟動
crypto isakmp policy 100                // 建立一個 isakmp的 policy
hash md5                                          // 以MD5的做認證
encr des                                            // 以DES作加密
authentication pre-share                 // 認證方式為  pre-share key
group 2                                             // Group 2
lifetime 28800
exit


crypto isakmp key  key-value  address ip-address             //指定 pre-share key


crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac  //定義第二階段的加解密方式
mode tunnel  //  可以選擇 tunnel 或是 transport 模式
exit

指定 Access-List  確認哪些要經過VPN網路
ip access-list extend  Xmsertec
permit ip 192.168.102.0 0.0.0.255   172.17.0.0 0.0.255.255    //兩端的LAN
exit

第二階段
crypto map map_name 1 ipsec-isakmp
 set security-association life seconds 3600
 set pfs group2
 set peer  ip-address          // Remote site 的 ip address
 set transform-set ESP-DES-SHA
 match address Xmsertec


最後要記得將 crypto map 綁到 interface上面   應該就大功告成啦

另外還有一些相關驗證測試的 command

show crypto isakmp sa  // 看第一階段是否建立
show crypto ipsec sa  // 看第二階段是否完成
show crypto engine connection active  //查看目前的IPSec連線

MSSQL 建立 Link Server 連至 Oracle DB Server

再安裝完 instant client 之後，必須要設定一些環境變數，如:

NLS_LANG = TRADITIONAL CHINESE_TAIWAN.zht16big5
TNS_ADMIN = 指到 tnsnames.ora 目錄
(tnsnames.ora 通常是在 instant client 目錄中建立 /network/admin 下面存放 )

之後最好先以Oracle 的 sql developer 等軟體測試驗證看看是否可以成功連至遠端Oracle server

如果先前準備工作順利完成後， 就可以開始來建立 Link Server 了



如果使用tnsnames.ora 來指出 oracle 的服務 如



則產品名稱填寫 Oracle 與 資料來源填寫 tnsnames.ora 裡面的 網路服務名稱 ，這裡是 NANTOUCS，並給予這個Link Server 一個名字，如 Oracle



在安全性的那一頁 填寫上登入的帳號密碼



完成後點選確定即可完成，如果事前準備工作有缺漏，則在這裡就可能會跳出錯誤訊息

如果要確認是否 Link Server 是否連結正常，可以做個連線測試



成功的話會跳出成功的訊息，如



失敗的話就會跳出錯誤訊息，如



做到這裡就已經大功告成了 可以開始對遠端的 oracle server 作查詢了 ^^

最後發覺一個重點，就是為什麼有的需要設定ODBC，有的不用，原因是因為...

如果您使用 Microsoft ODBC Driver for Oracle，則可使用 @datasrc 參數來指定 DSN 名稱。如果無 DSN 連線，則提供者字串可透過 @provstr 參數提供。有 Microsoft OLE DB Provider for Oracle 時，使用在 TNSNames.Ora 檔案中設定的 Oracle 伺服器別名來當作 @datasrc 參數。

另外一點(這也是從微軟網站上面挖的)

注意 如果您使用協力廠商的 Oracle 提供者，且 Oracle 提供者無法在 SQL Server 處理程序外執行，請變更提供者選項，以執行同處理序。如果要變更提供者選項，請使用下列其中一種方法。

• 方法 1
  找出下列登錄機碼。然後，將 AllowInProcess (DWORD) 項目的值更改為 1。可在對應的提供者名稱底下找到此登錄機碼：
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSQLServer\Providers\ProviderName
• 方法 2
  當您新增新的連結伺服器時，透過 SQL Server Enterprise Manager 直接設定 [允許 InProcess]選項。按一下 [提供者選項]，再按一下以選取 [允許 InProcess] 核取方塊。

安裝ORACLE client

以前要連線Oracle 必須透過Oracle client 程式來連接，
在10g 的版本提供了新的 instant Client 可以不用再安裝龐大的 Oracle Client

之後需要設定一些系統環境變數
設定PATH環境變數，加入C:\Oracle\Ora10IC
設定TNS_ADMIN環境變數，指向TNSNAMES.ORA。
設定NLS_LANG環境變數，設定預設的語系('TRADITIONAL CHINESE.ZHT16BIG5')，不然查詢結果中文會變亂碼

tnsnames.ora 範例
SALES =
(DESCRIPTION =
(ADDRESS_LIST =
(ADDRESS = (PROTOCOL = TCP)(HOST = 192.168.0.20)(PORT = 1521))
)
(CONNECT_DATA =
(SERVICE_NAME = orcl)
)
)

之後設定ODBC讓Hyperion 透過ODBC 連線

PageRequestManagerServerErrorException

發生錯誤訊息 Sys.WebForms.PageRequestManagerServerErrorException

處理方式為 在aspx原始檔案中加入
<%@Page ValidateRequest="false"> 即可