Gliffy.com

Gliffy is a really cool alternative to Visio when it comes to creating network topology diagrams. I guess there are already plenty of reviews of this app, I just want to make sure that everyone knows of Gliffys existance.

It’s online, its good and it is (kindof) free! Try it…

CBAC is a simple way to turn a Cisco-router from being a stupid packet-filter into an stateful firewall with protocol inspection.

The following example explains how to configure CBAC to allow return-traffic back when an inside web-client http to an external web-server.

Topology:

First I have my inside acl specifying what outbound traffic to allow (http and dns).

ip access-list extended acl_inside_in
permit tcp any any eq www
permit udp any any eq domain
deny ip any any log ACL_INSIDE_IN_DENYING


Then an acl on outside defining inbound traffic. Look, not allowing any http here…

ip access-list extended acl_outside_in
permit icmp any any echo-reply
permit icmp any any unreachable
permit icmp any any traceroute
permit icmp any any time-exceeded
deny ip any any log ACL_OUTSIDE_IN_DENYING


This is the heart of the CBAC-config. If I wanna inspect multiple protocols I just add more lines with the same inspect name…

ip inspect name INSP_OUTBOUND http alert on audit-trail on


So, this is my outside interface, fronting internet
I have my inspect applied here in an outbound direction. This kinda confused me first but I guess you could think about is as where to make the exceptions to allow return traffic.

interface FastEthernet0
description Outside
ip address 10.0.11.2 255.255.255.0
ip access-group acl_outside_in in
ip inspect INSP_OUTBOUND out
duplex auto
speed auto
end
!

This is my inside

interface FastEthernet1
description Inside
ip address 10.0.12.1 255.255.255.0
ip access-group acl_inside_in in
duplex auto
speed auto
end


And this is what is being logged (because of the “alert on audit-trail on”):


Jan 18 20:14:07.910: %FW-6-SESS_AUDIT_TRAIL_START: Start http session: initiator (10.0.20.100:2350) -- responder (192.168.1.50:80)
Jan 18 20:14:24.423: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (10.0.20.100:2350) sent 224 bytes -- responder (192.168.1.50:80) sent 283 bytes


This is first in a serie of posts in english dealing with technical configurations and solutions. The reason for this is me studying for CCIE Security certification and along the road I will probably find interresting stuff to share with others in the same situation as I am. (I´ve already found that more good configuration examples can be found at blogs than in technical references as CCO. Another purpose for me posting about stuff like this is that I learn alot when trying to explain and write about it. )

I have been bangning my head a couple of ours now trying to understand the modularity of Cisco ASA MPF. There are Class-maps, policy-maps and service-policies. There are a lot of different types of each of them and different combinations are invalid. Deeper information can be found att CCO.

MPF is built with 3 different types of modules:

1. class-maps. Defining what to look for
2. policy-maps. What shall we do with it?
3. service-policy. where do we do it?

I made up an hypothetical example. Lets say that I want to prevent my users from downloading mp3-files with ftp. This is a good example of when MPF comes handy (yes I know that some users know how to rename files, do encrypted file-transfers or use other protocols than ftp.)

Ok. On my LAN I have this PC with IP 192.168.1.215 which should not be able to GET files whose name contains “.mp3″. Where do I start?

First I create a regexp defining the string to search for:

regex mp3 ".*\.mp3.*"

Next I create a class-map type regex that uses the regex defined:


class-map type regex match-any class-map-TEST-mp3-regex
match regex mp3


Next thing to do is to create a class-map type inspect which is going to look into the ftp application-data sent and have a look for filenames with the regexp-string matched:

class-map type inspect ftp match-all class-map-TEST-ftpfilter
match filename regex class class-map-TEST-mp3-regex


After that I create a policy-map that defines the action (reset tcp connection and log the event) to be taken when the class-map above is triggered:

policy-map type inspect ftp policy-map-TEST-dropftp
parameters
class class-map-TEST-ftpfilter
reset log


Now I need to define which traffic to look into. Remember the host

-IP above? I create an acl:

access-list acl_TEST_mytraffic extended permit tcp host 192.168.1.215 any eq ftp


Before putting everything together you need to decide where to apply this. It can be done either globally or inbound to a specific interface. The most logical thing to do in this case is to apply it on my inside-interface where my ftp-clients are. If you have already a policy-map bound to that interface you need to reuse that policy-map in the next step. Otherwise, just create a new policy-map.

asa# sh run service-policy
service-policy policy-inside interface inside
asa#


So I reuse this policy and add a new class:
policy-map policy-inside
class class-map-TEST-mytraffic
inspect ftp strict policy-map-TEST-dropftp

Let´s see if it works…
ftp> (connected to FTP-server from my host)

ftp> ls

200 PORT command successful

150 Connecting to port 40538

Connection closed by remote host.

Finally, a bleeding rocket-science flow-chart with home-made arrows and sugar on top…

I bilen på väg till jobbet fick jag höra morse-signaler och tystnad istället för det vanliga Rix FM-pladdret. Jag ombedes maila stadsministern i protest mot att radiostationen (den kommersiella, som lever på att sända reklam för mattfirmor och rörmokare stup i kvarten!) tydligen har höga driftkostnader.

Det är ungefär lika dumt som att jag som konsult skulle stanna hemma från dagens kundbesök som protest mot den låga milersättningen jag får från min arbetsgivare. Gissa om min kund skulle söka sig till ett annat konsultbolag illa kvickt?

Har jag mailat till Reinfeldt då? Skulle inte tro det. <zap>. *lyssnar på P3 istället*

Jag har sagt det förr, och jag säger det igen. Pick Your Fights. Ska vi se här. Vilken ska jag välja bort av nedanstående fighter?

1. Ställningstagande mot rasism
2. Mitt stöd till BRIS eller barncancerfonden
3. Stödja kommersiell radio att sänka sina kostnader och därmed öka vinsten

Kvalitetsmässigt är inte morgonpasset i P3 ett dugg  bättre än Rix morgonzoo. Men de sänder iallafall inte morsesignaler. Gör dom det så byter jag till Spotify eller skivsamlingen istället.

Gowalla är en blandning mellan Brightkite och Geocaching. Med hjälp av gps och kartor definierar man och checkar in på olika “spots”. På en del ställen hittar man virtuella skatter som man kan byta med nån av de virtuella skatterna man redan har i sin ryggsäck.

Jag saknar bara möjlighet att se var prylarna jag hittar har varit tidigare i sina liv.

Kul är det! Idag har ja checkat in på ett 15-tal platser i Malmö och bland annat lämnat en virtuell bratwurst på Apoteket Lejonet vid Stortorget. Undrar vem som plockar upp den…

När jag var liten spelade jag en del rollspel. Vi var ett gäng klasskamrater som satt runt ett bord och kastade 20-sidiga tärningar och låtsades vara trollkarlar och krigare i en magisk värld. Oftast bar det Drakar & Demoner vi spelade.

Långt senare var jag helt såld på Diablo, ett multiplayer adventurespel på pc.

De senaste 15 åren har jag knappt dödat en enda drake. Tills jag köpte min Iphone.

Nu är jag helt såld på Dungeon Hunter. Om du nån gång spelat D&D, eller nåt liknande spel så kommer du att älska detta. Spelet går ut på att lösa olika uppdrag (oftast ha död på monster) i olika miljöer. Från början är du en klen stackare med bomullsbyxor och en dolk i handen men du hittar bättre utrustning i ungefär samma takt som du stöter på starkare fienden. Givetvis kretsar det mesta kring experience points (xp), mana points (mp) och hit points (hp). Låter det avancerat? Det är det inte, man är igång på några minuter…

Mitt råd: testa Dungeon Hunter på Iphone!

Några bilder:

Min iPhone är fantastisk. Denna Bloggtext skriver jag till exempel på telefonen från en parkbänk medan barnen åker rutschkana. Iphonen är fantastisk på alla sätt och vis. Mer om det i en annan text då hyllningarna förtjänar eget utrymme.

Något som jag däremot stör mig otroligt mycket på är att inte alla applikationer hanterar att man vänder iPhonen mellan stående och liggande läge. Funktionen är underbar. Vissa användningsområden fungerar mycket bättre i liggande läge (t ex när man ska skriva längre texter på tangentbordet med mina rörmokar-tummar). Däremot verkar det vara upp till varje utvecklare att stödja rotation av enheten eller inte. Och riktigt trist tycker jag att det är att inte Apple själva har stöd för detta överallt. Några exempel:

Bloggande från parkbänk - WordPress-applikationen sköter detta eminent

Apples App Store - Det vore tjusigt om Apple själva kunde rotera innehållet på skärmen.

YouTube - inte här heller. Däremot visas videon rätt...

Aardvark

...och Brightkite. Listan kan göras lång men jag tror att du fattat poängen nu...

Jag har skaffat en Iphone. Den är fantastisk! Räkna med att den här bloggen kommer att fyllas med lovord den närmsta tiden! Stay tuned!

IDG skriver att Trend Micro har “utarbetat” några tips för Twitter-användare. Allt det där borde vara sunt förnuft, och inget av det där är på nåt sätt Twitter-relaterat.

Internet är ett publikt forum. Skriver du nåt så utgå från att vem som helst kan läsa det. För all framtid. Och det gäller inte specifikt Twitter utan även bloggar, Facebook, diskussionsforum m m…

Till och med privata meddelanden/mail ska man vara försiktig med. En länk är inte starkare än ens svagaste länk. Kan du inte lita på att mottagaren inte publicerar innehållet ska du inte skriva känsligare information än att du står ut med att alla kan läsa det.

Att förkortningstjänsterna (bit.ly t ex…) är ett säkerhetsproblem instämmer jag i.

Använd komplicerade lösenord, men byt dom inte stup i kvarten!

• Martin Edman makes – Göteborg:
  August 13, 2009 – Kjell o Co är ett fantastiskt företag! De har allt man kan tänkas behöva.
• www.screencast.com – gw
  August 13, 2009 – Jo tack, min semester är slut och jag sitter och tittar in i Google Reader och väntar på att det ska smälla till av nyheter om Wave…
• Planet Gnuheter – Mathias Klang: Att leva på sin blog
  August 13, 2009 – IT-bubblan light, lokalt på Östermalm i Stockholm.pop Borta…
• strandridaren.blogspot.com – Strandridarens öden och äventyr: Diverse… KONGONEWS
  August 13, 2009 – Carl är en av mina gamla konfirmationslärare. Fascinerande läsning om hur allt förfalskas i Kinshasa.Direkt från verkligheten!
• som blir vanligare och vanligare (t ex på Twitter). Det framgår inte om urlen går till cnn.com eller till nån obskyr script-site långtbortistan. DET är läskigt.