Netscreenユーザスレ r4.0
>>360
線路長があるし電流自体もそんなに流れないようになってる。
まあパチパチ何回もやってるとNTTから電話かかってくるぞ。 >>359
色々できるのかもしれんが使いずれーよって感じか。 客「缶切りを１つください」
Juniper「（無造作に道具類が放り込まれた箱を差し出して）こんなかからテキトーに探して」
こうじゃないか 後継と呼ばれる製品は扱ったことあるが、使い易いとは御世辞でも言えん製品だったな。残念だけど、まだFortigateの方が許容出来るわ。 十分に枯れきってる安心感から、まだ提案時には候補に入れてます
IDS(P)があると他プロダクトに座を譲ることになるけれど。
EOS考えるとあと２年が限度かな DIでは代替提案には難しいのかな。
ScreenOS終わったらショックだなあ。 バイト先で、使わなくなったNetScreen-5XTを貰ってきたんですけど、これって、PeerBlock(Windowsの
ソフトです)みたいに、食わせたIP一覧を元にして遮断したり通したりすることって出来ますか？日本以
外のIPを全部弾くといったような使い方です。
それにしてもこれ、めちゃくちゃ熱を持つんですね。怖いくらい。 SSG5をFWとして使っているのだけどUntrust側にルータがありそこからインターネットに接続している
その上でUntrust側にあるPCやスマホのインターネットへのアクセス制御をするためにあえてSSGをゲートウェイにし
Untrust上にあるルータにスタティックでルーティングしてネットに出すようにしているのだけど
そのUntrust上のスマホからのLINEによる通信が異常に遅いんだけど理由分かる人いる？
通信できないわけじゃなく劇的に遅い。
ちなみにゲートウェイをルータに直接張った場合はやたら早いので回線やルータのせいではないし
ポリシーも全通しで設定して試しているけどそれで遅い。
ログ見ても特に何かをDenyしている事はない。通信としてはhttp/httpsと5228しか発生していないようだし
それは通過しているので原因がつかめない・・・ ちなみに同じくUntrust側においてある通常のPCからの通信は特に何か他が遅いということはないようだ。
スマホからのLINE以外の通信も特に遅いと感じたことはないんだよなぁ。 スマホをTrust側においたらどうなる？
LINEだけってことはアプリケーションレベルの話でどうしようもないかも。 >>374
Trust側には無線がないからスマホではチェック出来ないんだよね
PCのLINEアプリはTrustのPCでチェックしたけど遅くならない
アプリケーションレベルの問題だとしたらSSGを通さないでルータをゲートウェイにした時は
この問題が起こらないのも理由が分からんのよね
もしかしたらLINE以外でも遅いことがあるのかもしれないが他のスマホアプリはそもそもが
速度が明確に分かるような使い方してないってのもあるのかも。
ブラウザでウェブ見るのは普通に早い気はする。 やはり今チェックしてみたがブラウザも早いし2chも早い。
LINEだけがやたら遅い。←マークがなくなるまで10秒ぐらいかかる時がある
さらに問題をややこしくしているのはたまに普通に早い時があるんだよ
ログでは特に早い時と遅い時で何か違いがあるようには見えないんだよなぁ。 Untrust側にルータって所謂Wi-Fi付のブロードバンドルータのこと？
(グローバル)
│
[ルータ]
│
├[PC1][スマホ]
│
[SSG5]
│
┴─[PC2]
どういうポリシー切ってるのか知らんけど、普通にルータとSSG逆にしたらよくね？
プライベートNWのセグメント分けたいならSSG配下で分けられるし。 >>377
構成はまさにその通りの構成なんだけど入れ替えは出来ないんだ
理由としてはSSG5の周辺にはDMZも作っていて有線接続のサーバがたくさん配置されてあるんだが
ルータ及びONUのそばにはそれを設置するスペースが無いためSSGにイーサネットコンバータで
無線ルータとONUがある場所に無線でUntrustの通信を飛ばしている
回線の口がそのスペースがない場所にしかないため仕方なくそういう構成になっている なんという苦肉の策、、
物理もそうだが、どういうルーティングになってるんだ。。
VLAN切れるスイッチを用意してグローバルNWとルータのLAN側NWを別VLAN割り当てて繋いで
Trunkに設定したポートをアドホックで繋げられるイーサネットコンバータでSSGに接続
SSG側接続ポートでSub-IF作ってVLAN-ID指定してグローバルとルータのLAN側のIPを設定したら
論理的にはキレイになるかも・・・。 >>380
返事が遅れてスイマセン。
構成としては
[VDSLモデム]→インターネット
│
[無線ルータ]
│（無線）
├[PC1（無線LAN）][スマホ]
│（無線）
[イーサネットコンバータ]
untrust
[SSG5]ーDMZー[SV1（有線）］[SV2（有線）］[SV3（有線）］
│
trust
┴─[PC2（有線）]［PC3（有線）］
のような構成になってます。ルーティングは至極簡単で無線ルータが192.168.0.0にスタティックで
SSG5のuntrustインタフェースにしているだけです。
なのでPC1やスマホは無線ルータで無線を受けたあとDHCPでSSG5からIPを払いだしてもらう形になっています。
払い出すIPはUntrust側のセグメントアドレスでデフォゲをSSG5のインタフェースに張っており
SSG5はデフォルトルートで無線ルータのLAN側インタフェースを張っている。
見て頂ければ分かる通り無線ルータインターネット側のインタフェースはPPPoEで接続しているため
グローバル側にVLANを持たせて回すようなやり方は出来ない。
なぜ通信が無駄に遅いのかは理解できないんだよなぁ・・・ この構成だと、ポリシーや設定によってはicmpが破棄されるかも
icmp通らないとpath mtu discoveryできなくなるから注意 >>382
ポリシーは一応全通しにしてあるんだけど今見たらインタフェースのpath mtuにチェックが入っていないので
それが原因の可能性もある？ 今試してみたけど関係なかった
しかしどの辺が非推奨な設定なのかが分からない
まぁUntrustでのIntra-zone policyになってる事自体があまり綺麗とは言えないというか
同一セグメント上の別の機器にルーティングしてる時点でおかしな構成ではあるのだが
SSG通さないと通信の制御が出来ないから仕方なく・・・ あと unset flow tcp-syn-check いれてみるとか >>386
今ソレやってみたらスムーズに通信が流れてるというか反応が早い。
もしかしたらこれが原因かもしれない。少し様子見してから判断にはなるけど
解決が見えてきたかも。マジでありがとう。詳しい人がいてくれて助かったよ！ unset flow tcp-syn-checkについて色々調べて分かったんだけどまさに
これが原因としか思えない内容があちこちに書いてある
SSGが導入されたネットワークにおいてGatewayが2つあり、SSGをデフォルトゲートウェイにしている場合、
SSG以外のGatewayの向こうにあるネットワークにアクセスする場面においてパケットがタイムアウトする、と
不可解なところは、最初はパケットのやり取りには問題ないところで、ある程度時間が
経過すると、現象が発生します。とも書いてあるんだがまさにこれ！
しばらく様子見してみるけど事象があまりにもそれっぽいのでこれに間違いはなさそうな気配 長文だったんで読んでなかったんだけどそれが原因で悩んでたんか。気がつかずに済まん。
俺が設定する場合にはもう次の3行はデフォルトで設定するようにしてる。
当然、場合によってはやっちゃダメな場合もあるからそれは考慮してくだされ。
unset flow no-tcp-seq-check → set flow no-tcp-seq-check
set flow tcp-syn-check → unset flow tcp-syn-check
set flow path-mtu 追加 それが原因だったかあ、現象がLINEだけっていうのが気になって
そこにたどり着かなかった。 半日以上様子見してるけど安定的にいけてるっぽい
現象は実際はLINE以外でも発生していたのかも知れんが再送の場合通したりしてしまうため
LINEの←マーク以外は明確に目について速度差を感じ取れなかったってのもあるかも
他の通信はちょっと遅いかな？とか思ってももともとそんなクソ早いとも限らない通信でもあるからね
ちなみにset flow no-tcp-seq-checkは一緒にやったけどset flow path-mtuはインタフェース設定の
チェックとどう違うのかイマイチ分からんので入れていない あとはJuniperがScreenOS続けます宣言すればいい
EOLとかいやだ >>391
SSGからみてsynは通ったけどsyn-ackは見てない
でも、ack出てってる
おかしくね？で遮断
3wayの流れをトレースしてみて、それなら確定でいいよ PPPoE接続してるNS50にHA設定したら、再起動すべきですか。 >>397
set flow no-tcp-seq-checkってそういう通信を遮断しないって意味の設定なの？ SSG5程度の大きさでGigaポート備えたScreenOSのFWが欲しいと思ってる人多そう
俺のことだけど >>401
SRX100の下にってことかい？
でももうScreenOSは出さないって言ってたぞ。 >>401
まさに俺もだわ。
結構売れると思うんだけどな。
SRX100ってギガ対応してたっけ？ 高い安い以前にJUNOSの使いにくさときたら・・・
アレ使うぐらいならFortiのがマシ >>400
それはシーケンスを見るか見ないかだったかと
tcp-syn-checkでsyn,syn-ack,ackのチェックをするかしないか >>408
unset flow tcp-syn-checkの方か
行きの経路と帰りの経路が違う場合は3wayの仕組みで言うと
synが来てsyn-ackが来ないままackが来る状態にSSGからは見えてしまうってところは分かるが
なぜ出来たり出来なかったりするんだろうなぁ。 icmp-redirectとかで一時的に経路を学習するから？ ScreenOSはICMP Redirect対応してないんじゃね？
SRXはオン/オフできたとおもうけど。 NS50でHA成功しました。
ただ、サブ機でアラームLEDがついて、DNSエラーが起きてるみたい。
その後DNS接続成功してるけど、接続の度にエラーになって、その後成功。
メイン機では、エラーは無いけど、なんだかなぁ、です。
同じような事例はありますか？
ScreenOS5.4r26です。 PPPoEセッションが張れるのはMaster機だけなら
Backup機はグローバルへのルートが存在しない状態。
グローバルにあるDNSを参照できないのは当たり前のような気がするが。 その後成功しているのはセッションが同期されているためかな？ vipの設定をしていたら、too many virtual ip って出て、vipの設定ができないんだが、これってライセンス数の制限でもかかってるのかな？すみません教えてください。 vipの数って機種ごとに上限があるよ。
ちなみにSSG5で4つまで。（ただし、Extended版では5つまで） netscreen25だとvipは二つまでなのかな？スクリーンOSを4系から5の最新版にしても駄目なんですかね？
あー困った.・・・・・ >>418
NetScreen-25のScreenOS 5.4ならVIP 16までいけない？
仕様上はそうなってるが。 VIPってそんなに少なかったっけ？
OSバージョンによっても上限値変わる項目あった気がするね。
特に情報なしでスマソ。 たしかにNetScreen-25の5.4だったら公式だとvip16になってるんですよね
ちょっと明日最新版にバージョンアップしてみます！
いきなり大幅なバージョンアップだから壊れないか心配ですｗｗｗ シリアルケーブルと各バージョンのファームウェアと、tftpdを用意しておけよー WebUIからのアップデートだと確かにバージョンによってはうまくいかないことがあったね 2ヶ月ほど電源を切っていたNS50の電源を入れたら、コンソールへ次の表示が繰り返され止まりません。
止めている間に、ハードが壊れたでしょうか？
Invalid BCD number-ff
Illegal month value 0###time trace:, Trace Dump ................
フラッシュが死んじゃったかな ssg5 wirelessが3000円でゲットできた。
純正アンテナがなかったが、アンテナ2本を700円で買ってきてくっつけたら何の問題もなく動いた。
これで遊べるわぁ ちょっと教えて欲しいのですがSSGでは通常の名前解決はDNS Proxyでやりつつ、
個別のホスト名だけは特定IPに名前解決をしてやる方法はありますか？
通常は外のDNSサーバに名前解決をリレーしてあげたいのですが、
内部サーバをわざわざループバックさせたくないので・・・ 内部の端末のhostsファイルにサーバのIPとホスト名書いちゃうとか。
だめか。。 >>429
その方法だと内部にぶら下がってる全ての端末のhostsを書き換えないといけないのと
ぶら下がってるモノの中にはandroid端末もあったりするので書き換え不可なモノもあるの
内部に自由にいじれるDNSを建ててしまうって手も考えたけどたかだかこんな事のために
サーバ1台立てるのは・・・ってのもあってどんな通信も経由するSSGが個別に名前解決出来たら
全ての問題が解決するのになぁと思った次第 >>428
ドメインレベルでなら出来たけどホストレベルまで出来るかどうかはやったこと無い。 補足
解決するDNSをドメインべつに変えただけで、SSGにダイレクトにIPを解決させたわけじゃ無いです。 >>432
それだとどうしても別にDNSが必要になってくるので・・・
余ってるPCにBJDのDNS入れてみたけど不安定で使いものにならん
素直にBIND入れた端末作るしかないか・・・ Raspberry PiにUnboundでいーじゃん キャンペーン価格のSRXに移行するか、他ベンダーに移行するか・・。 SRX選んだってSSGとは別物だし、他社製品を選ぶのと大して変わらん。 今320使った構築やらされてんだけど、SRXのほうがいいのか 320mだとJunosとコンパチだけどあれはJシリーズか >>298
亀だけど、切り戻りする際に元masterが完全に復旧してるかわかんない(再起動が続いてしまう故障とか)から
ある程度連続で応答があったら切り戻りしましょうねっていう設定があるよ >>428だけどもしかしてDNSキャッシュのスタティック登録で出来るかもしれないっぽい気がしてきたんだけど
誰かやったこと無い？ 二拠点間でVPN接続しているNS50の両方をHAしたら、別拠点のメインとサブの管理画面が表示されなくなりました。それぞれ自分側の管理画面は表示されます。
管理画面はそれぞれ専用のIPを振ってます。
こんなもんでしょうか。 >>453
両方マスターになってるオチが浮かんだけど、
管理画面以外の通信は問題ない？ 各拠点を2台づつでHAして、それぞれはマスターとサブになってます。
その他異常はないんです。 管理用IPへのポリシーある？
マスター→スタンバイへのポリシーは対向側でNAT必要 Firefox 36.0にアプデしたらssg140の管理画面にアクセスできぬorz 
