CS-MARS 6.x.x (6.0.2) 虚拟机的安装

========phanx.com=========
Author:  phanx
Updated: 2009-2-13
=========================

网上关于CS-MARS 4.x.x的虚拟机安装的文章已经很多了，对于6.x.x来讲，其实大体一致。但是有些和4.x.x不一样的地方，这里特别讲一下。

在4.x.x版本的安装文章中提到，当MARS的Recovery CD完成安装后，在MARS第一次启动的时侯，按住SHIFT键等待lilo停留在lilo boot:状态，然后输入linux rw init=/bin/bash进入系统的shell。

但是在6.x.x版本的安装中，我发现无法按住SHIFT键停在lilo boot状态（其实lilo只要按住SHIFT或者CTRL或者ALT任意一个键都会停住），后来发现可以通过边按SHIFT边乱敲字母键的方式停在lilo boot:状态，但是只要不敲键，很快就会进入正常启动过程。于是我很快的输入了linux  rw init=/bin/bash，但是发现还是进入MARS的shell（pnsh）。

后来找了点资料，发现6.x.x在这里有点不同。需要用linux的CD来启动进入rescue状态。我用的是Redhat Linux Enterprise Server Advanced 5的CD1来启动的。 CD启动后按F5再输入linux rescue进入拯救模式。

Linux会问你，是否自动查找硬盘上的linux。选择Continue，然后就会找到MARS上的Linux了，并且会自动帮你挂载在/mnt/sysimage下面。

然后就可以进入做license了。

cd /mnt/sysimage/opt/janus/release/bin
mv pnlicense pnlicense.org
echo “/bin/echo d84f7ceaf50f9c45683e2efb77752d4f:License verified:4:0:0:4″ > pnlicense
chmod +x pnlicense

好了，到这里我们的MARS的license就有了，把光盘拿出来，退出rescure模式的shell，就会重新启动。然后进行MARS的第一次启动，然后开始prepare Oracle（相当慢），完成后就可以进入MARS的shell了。

然后第一次Web登录MARS会让你输入License，OK，前面我们都弄了，所以这里随便输入任意数字填满输入框就行了，全1都可以。然后就可以随便用了。

到这里基本就OK了，但是有的人并不满足，比如我，想用root？OK，有办法。

但是必需要在前面rescue模式下多做些东西。

首先要修改/mnt/sysimage/etc/passwd里面的内容

把pnadmin:x:500:500::/opt/janus/release/bin:/opt/janus/release/bin/pnsh
改为pnadmin:x:500:500::/opt/janus/release/bin:/bin/bash
这个意思是让pnadmin用户不用MARS的shell而使用系统的bash。

然后，修改/mnt/sysimage/etc/passwd的内容增加一行
pnadmin ALL=(ALL)       NOPASSWD: ALL
这个意思是让pnadmin用户可以使用sudo命令来进行命令执行，并且执行sudo的时侯不询问密码。

BTW：别说你不会用vi….好了，保存好，其余和前面一样，退出rescue的shell。开始第一次启动MARS的系统，然后开始prepare Oracle（相当慢），完成后就可以进入系统的bash了。

这个时侯用命令

sudo su
就可以不要口令直接变成root用户了。
然后马上修改root的口令
passwd
输入一个口令。
最后再修改/etc/passwd里面的内容
把pnadmin:x:500:500::/opt/janus/release/bin:/bin/bash
改为pnadmin:x:500:500::/opt/janus/release/bin:/opt/janus/release/bin/pnsh
让pnadmin用户还原为MARS的shell而不使用系统的bash。

好了，退出root用户。回到pnadmin用户，起用:/opt/janus/release/bin/pnsh到MARS的shell，这个时候我们就可以使用隐藏命令expert来进入root用户了，口令就是你刚才为root用户设置的口令。 OK，大功告成，enjoy it～

这个问题是老外讲的，我也发现了。

还有，在rescue的时侯如果没有自动挂载好，你可以试试
mkdir /mnt/opt
mount /dev/md2 /mnt/opt

NAT/PAT中对于FTP的处理，以及PAT后的非标准21 FTP端口设置

TCP Intercept防止TCP SynFlood DoS

7600 SPA-IPSEC-2G和SPA-5xGE-V2配合之小问题

说起SPA-5xGE-V2这卡也怪,在6500机框上要用7600-SIP-600来装,在7600上就非得用7600-SIP-400来装. 当然SPA-IPSEC-2G只能装在7600-SSC-400 上
弄得之复杂.

SPA-IPSEC-2G是采用的Vlan Connect方式,即一个在传统直连链路上将IPSEC加速模块嵌入进去.以前是用一个以太口的子接口连接对方.现在则将以太口子接口上的地址移到inside interface vlan上. 然后再用 outside vlan或者一个子接口去连接对方,最后通过connect方式将inside vlan和outside vlan/sub-interface桥接起来.

以前是 sub-interface ——> 对端    或者 interface vlan & switchport trunk ——-> 对端

interface Vlan2
 ip address 1.1.1.1 255.255.255.252
interface G1/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
或者
interface G4/0/0.2
 encapsulation dot1q 2
 ip address 1.1.1.1 255.255.255.252
 

现在是 interface Vlan.inside —[connect engine]— [SPA-IPSEC-2G] — [connect vlan.inside] — vlan outside in switchoport trunk ——>对端

或者是 interface Vlan.inside —[connect engine]— [SPA-IPSEC-2G] — [connect vlan.inside] — sub-interface.outside ——>对端

interface Vlan102
 ip address 1.1.1.1 255.255.255.252
 crypto engine slot 2/0
interface Vlan2
 crypto connect vlan 102
interface G1/1
 switchport trunk encapsulation dot1q
 switchport mode trunk

或者
interface Vlan102
 ip address 1.1.1.1 255.255.255.252
 crypto engine slot 2/0
interface G4/0/0.2
 encapsulation dot1q 2
 crypto connect vlan 102

配置方式就说到这里. Guide上写的很明确,but 遇到一个Bug..

CSCsg49757 Bug Details

什么意思呢,简单说就是用子接口方式做就ping不通对端,IPSec也不行…. 解决方法是在子接口下多配一个 cdp enable…. //寒…

仿佛SPA的GE卡默认就没有开起cdp. 查了Bug Toolkit,发现还没有版本修复这个BUG的(到12.2(33)SRC1为止). 就用Workaround凑合吧.

又遇到另外一个不知道是不是Bug的问题. 由于对端节点较多,所以子接口数目较多, 别人贴配置的时候一不留神把某几个子接口的配置多贴了一次.

贴完发现crypto connect语句重复的地方有提示 xxxx already connect to vlan xxx, 然后发现重复的子接口下的OSPF neighber就起不来了.ping也能ping通对端,就是OSPF无法建立邻接关系. Debug看本端有OSPF的Hello出去,但是在对端Debug却没有收到. 无奈之下,no掉子接口下crypto connect语句重新配上,好了.

依此办法对其他贴重复的子端口重配crypto connect语句, OSPF Neighbor就全部正常了.

看来SIP/SPA的bug还真不少….!

再补充一个SPA-IPSEC-2G的BUG，在Catalyst 6500 Series Switches Release Notes for Cisco IOS Release 12.2(33)SXH and Later Releases中提到：Note SPA-IPSEC-2G does not support TACACS+ authentication for IPsec. (CSCee33200)

也就是说用SPA-IPSEC-2G来做Remote Access VPN的时侯没法用TACACS来做XAuth。我同事就很走运的遇到这个BUG了。

2950/2960 Port Manager Internal Software Error

Cisco VPN Client Automatic Initiation 自动重连

创建在Cisco路由器上可以show run的只读用户

Cisco PIX /ASA 防火墙密码恢复

rommon #1> confreg

然后更改: 

Current Configuration Register: 0x00000011

Configuration Summary:

  boot TFTP image, boot default image from Flash on netboot failure

Do you wish to change this configuration? y/n [n]: y

所有都按照默认回答,在问"disable system configuration?" 的时候,选择 y.

然后重启:

rommon #2> boot

hostname> enable

hostname# copy startup-config running-config
hostname# configure terminal
hostname(config)# password password
hostname(config)# enable password password
hostname(config)# username name password password
再把configuration register 改回来.

hostname(config)# config-register value
然后存盘.

hostname(config)# copy running-config startup-config

请参考cisco文档:

RR环境下的iBGP等价负载均衡路径问题

========phanx.com=========
Author:   phanx
Updated: 2007-5-12
=========================

3750升级IOS后CPU利用率高,并且出现Traceback报错