> Добрый день!
> Собственно проблема в подключении по ssh с железяк Cisco на коммутатор Huawei
> S5731
> При попытке подключения такая ошибка на Хуавее:
> %%01SSH/4/SSH_FAIL(s)[0]:Failed to login through SSH. (IP=10.10.10.2, VpnInstanceName=
> , UserName=, Times=1, FailedReason=Failed to negotiate the encryption algorithm)
> Что не так с шифрованием и как это исправить?
> P.S. С ПК через putty проблем с подключением нет.

Может быть назовете модель "железяк Cisco", версии прошивок?

Failed to negotiate the encryption algorithm - говорит о том, что на одной из сторон используется шифрование, которое не поддерживается другой стороной.

> Добрый день!
> Собственно проблема в подключении по ssh с железяк Cisco на коммутатор Huawei
> S5731
> При попытке подключения такая ошибка на Хуавее:
> %%01SSH/4/SSH_FAIL(s)[0]:Failed to login through SSH. (IP=10.10.10.2, VpnInstanceName=
> , UserName=, Times=1, FailedReason=Failed to negotiate the encryption algorithm)
> Что не так с шифрованием и как это исправить?
> P.S. С ПК через putty проблем с подключением нет.

keep both devices up-to-date with the latest firmware updates and patches, as these updates may include fixes for known SSH vulnerabilities.

Но ведь у тебя есть сохранённый скриншот конфига? Правда есть?

Алгоритм выбора: кто быстрее ответит, с той циской и пойдет соединение.
Что касается выбора, то да, можно. Я точно не помню, кажется там задействованы имена хостов pppoe-серверов. Можно прописать, что желаю подключиться к этому конкретному с таким-то именем. Поснифай пакеты и посмотри имена. В винде в настройках pppoe-соединения есть даже поле с этой настройкой: Имя соужбы, и оно там указывается типа "server1/" или "server1\"... опять же запамятовал.
Ну или просто заблокируй PADO с неугодного мака :)

> Как сделать доступ vlan3, vlan4 к vlan2?

Считайте что настроив vlan в один маршрутизатор воткнуты разные провода. В этом случае настройка может осуществлять или на уровне роутинга или на уровне firewall. С vlan так же.

> Добрый день! перечитал десятки гайдов. не могу понять как правильно настроить VLAN
> на Mikrotik L3.
> Интересует вопрос: Есть сервер (vlan2), отдел 1 (vlan3), отдел 2(vlan4).
> Как сделать доступ vlan3, vlan4 к vlan2?
> но при этом чтобы не было доступа vlan3 к vlan4?
> Спасибо

по запросу в поисковик Mikrotik vlan первые две ссылки на английском (да кто они такие чтобы нам по английски писать??) а третья по русски...
По русски то вы прочесть статью сможете?

> При настройке черед браузер (подключив к роутеру) не сохраняет внесенные параметры, только
> включение Radio0-802.11G, но он как бы включен и в то же
> время не включается.
> Подключил через консоль, не могу войти, просит пароль который не возможно внести.
> При настройке черед браузер

  Шурик, это не наши методы! Консоль наше ФСЁ !!!

Если конфиг не актуален - только через сброс ИМХО.

Кстати, Апэха искаропки или БЭУ ?

> Доброе время суток!
> Где-то чего-то в конфигах не хватает, а где и чего понять не
> могу.

Перестарались вы с обрезкой ненужного из конфигов.
В приведенных конфигах не видно что созданы все необходимые VLAN.
Показывайте show vlan и show vlan ip 130

а vtp domain один и тот же на обоих коммутаторах?

>[оверквотинг удален]
> !
> !
> snmp-server community pub RO
> !
> control-plane
> banner motd ^CC
> !
> end
> Где-то чего-то в конфигах не хватает, а где и чего понять не
> могу.

Всё дело было в присутствующих между Cisco Catalyst 4948E и cisco WS-C3750G-48TS еще двух настраиваемых коммутатора SNR, которые были не настроены и по умолчанию пропускали только vlan 1. Настроил их как надо и все заработало.
Спасибо за помощь и поддержку.

Найди старый browser, залей через него новую прошивку.

Вообще выбрось этот 1100 - ты попал на замену iOS-XE на Viptela. Тебе пытались это объяснить, но ты начал хамить. Студент, мля. Рогуль и мудаг.

Кстати, коллеги - кто смог развернуть простейшую штуку под названием "VPN" в маркетинговый элемент под названием SD-WAN? Я его жестоко убью.

Ибо словочь - это называется "VPN", а вовсе не "SD-WAN".

>   Input queue: 0/75/0/1243686 (size/max/drops/flushes); Total output drops: 0

У вас очень много Input queue flushes. Попробуйте разобраться с этим.
Зачем вам на интерфейсах одновременно ip nat enable и ip nat <inside|outside> ? Оставьте только одно что-нибудь.
Проверьте состояние интерфейса gi0/1. Может там есть ошибки.
Попробуйте поставить на интерфейсах скорость жестко.
Попробуйте выставить MTU/MSS на интерфейсах.

Ну, во первых, выключи автоматический роутинг на сервере, чтобы wireguard не управлял роутингом и не добавлял/удалял маршруты.
Далее, поднимай динамический роутинг на debian, на микротиках уже есть всё в комплекте.
Уот и всё.

> Скажите пожалуйста, как выставить время и актуальную дату в логах Cisco

примерно так

clock set 13:00:00 08 jun 2022
clock timezone MSK 3
service timestamps log datetime msec localtime show-timezone

> Скажите пожалуйста, как выставить время и актуальную дату в логах Cisco 1310

Поднять локальный NTP сервер. Или заставить синхронизироваться с каким-либо внешним.
В настройках указать "ntp server <адрес_выбранного_NTP_сервера>"
Ну и две последние команды как в сообщении выше.

Роскомпозор?
Возможно криво настроена и криво работает блокировка запрещенных ресурсов,
но я ни на чем не настаиваю

а может сам sbis.ru банил ваш ip? поэтому то один адрес работал, то другой. и приходилось прыгать между ними.

> не могли войти в СБИС. Диагностирую, узел online.sbis.ru - недоступен (и
> ping, и tracert, и telnet на 443 порт).
> Для верности проверяю с другого провайдера (с домашнего интернета) - ресурс доступен.

Я бы сменил днс.

Есть к примеру обычный офис, с пограничным микротом. Все в инет выходят обычным натом. Канал 100Мбит, пользователей порядка 100, белый ИП.

> "username"??

этих пробовал ?? - https://www.192-168-1-1-ip.co/router/draytek/vigor-2950/6323/

> Здравствуйте, требуется помощь с IOS. Есть маршрутизатор  cisco 1760 c  
> установленным модулем WIC4ESW. Нужна IOS с поддержкой модуля WIC4ESW и протоколом
> BGP. Поменял несколько IOS возникает проблема либо не поддерживается BGP, либо
> модуль. Память - 64Мб

Если правильно помню, то модулей WIC-4ESW не было. Были HWIC-4ESW.
C1700 изначально не расчитаны на работу с HWIC. Работа HWIC в линейке C1700 не гарантируется.
Тут только переходить на более производительную модель (С2800).

Держать BGP на С1700 в сегодняшних реалиях только для стенда. Проще взять какой-нибудь микротик.

> Здравствуйте, требуется помощь с IOS. Есть маршрутизатор  cisco 1760 c  
> установленным модулем WIC4ESW. Нужна IOS с поддержкой модуля WIC4ESW и протоколом
> BGP. Поменял несколько IOS возникает проблема либо не поддерживается BGP, либо
> модуль. Память - 64Мб

Ты бы озвучил имя нужного иоса, тогда можно было бы поискать.

> Коллеги, прошу помощи. Уже всю голову сломал.

Стоило вот это вот все понаписать, чтобы сразу найти workaround - добавление маршрута до openvpn-сервера через wifi-интерфейс проблему решило (route add a.b.c.d mask 255.255.255.255 10.10.50.1 if 18)

>[оверквотинг удален]
> и на нём эту линию завожу - она спокойно работает.
> Т.е. с 10.10.10.4 - пакеты идут во вне но тогда обратно на
> микрот не возвращаются и более того даже до адресата не доходят
> в итоге, а с любого компа 192.168.1.0/24 - всё работает.
> Никаких фильтраций на микроте или 1.100 нет, и для всей локалки всё
> что изменилось - это роутер, который точно также натом просто раздаёт
> инет.
> Помогите куда-нибудь начать копать, я всё что мог уже диагностировал, докопался и
> до провайдера инета и до провайдера воип, всё указывает на то,
> что проблема на моей стороне.

микрот сетку 10.10. роутит в инет, но не заворачивает ее на свой нат...
подымите на 1.100 нат и все заработает, либо крутите микрот...

https://mum.mikrotik.com/presentations/RU18M/presentation_56...
сюда читал?

> Помогите куда-нибудь начать копать, я всё что мог уже диагностировал, докопался и
> до провайдера инета и до провайдера воип, всё указывает на то,
> что проблема на моей стороне.

На микроте есть отличный тулз - Packet Sniffer. Смотри вначале на внутреннем интерфейсе что и кула идёт от твоего астериска, а потом - на внешнем(их). В пакетиках потом всё прекрасно расазложено - протокол-порт-интерфейс... Ну и потом корректируй свой фаервол. Уверен - никакой мистики на самом деле не будет.

https://www.site24x7.com/help/netflow/configuring-flow-expor...

> никаких режимов agregation на Huawei не включено, шлет ту же инфу что
> и Cisco в октетах

Если видите что именно СЫРЯК нормальный, то причем тут агент?
Мож у вас таки коллектор мозги полоскает? Или парсится где-то криво.

https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3...

Тебе обязательно интерфейс указывать? ИП и порта достаточно.

А что там с мразотиком нонче, не забанили прибалты обновления?

ip dns export

пиши в поддержку cisco

>[оверквотинг удален]
> Установили на клиенты SBL module + отметили в профиле "Start VPN before
> logon to computer".
> Но почему-то Start Before Logon работает не у всех клиентов: не все
> клиенты видят иконку anyconnect на экране ctrl-alt-del после ребута.
> Экспериментальным путем выяснил, что у таких глючных клиентов это лечится переустановкой
> Start Before Login Module, и то, этого хватает только на один
> ребут.
> Версия anyconnect последняя 4.10.05095, у клиентов Windows 10
> Кто-нибудь сталкивался?
> Спасибо за внимание

use this instead

https://www.cisco.com/c/en/us/support/docs/security/adaptive...

> всем хай. хочу купить домой роутер Cisco RV340W (другие фирмы не предлагать)
> для 2-х провайдеров, но возникли некоторые вопросы

...
> в настройках нужно обязательно входить в свой аккаунт smart accaunt cisco? без
> этой учётки я смогу управлять же роутером через веб в дальнейшем
> без проблем? не заблокируется управление роутером? smart accaunt у них только
> для компаний предоставляется

Имо, если не кошковод, pc или одноплатник c 2-4 eth..
Головняки создавть с вендорами за свои же ресурсы ? Нафейхоа ?

Вы его настроить то сможете? Зачем вам циска домой? Вы смотрели сколько она трафика прожевать сможет? Я бы на вашем месте взял бы микротик, если вам именно роутер нужен.

> всем хай. хочу купить домой роутер Cisco RV340W (другие фирмы не предлагать)

Это не "настоящая" циска, в ней нет IOS. Это для малого офиса серия. С тем же успехом можете какой нибудь зухель взять или асус.

при применении любого правила IPv4 в фаерволле (Firewall-Access Rules-IPv4 Access Rules Table) всегда обрываются все активные подключения на пару секунд через все wan порты. так и должно быть? такая особенность фаерволла?
подключены 2 провайдера, интернет работает в 2-х локалках всё раздельно, всё ок, у каждой локалки свой белый ip, прошивка стоит последняя 1.0.03.24 

> Не знаю, сталкивался ли кто с подобным, а я даже не слышал,
> что так может быть. Поэтому сейчас нахожусь в изумлении и недоумении.
> Что делать, куда гуглить? Может ли это быть связано с тем, что
> центральный Huawei постоянно говорит про дерево STP?
> MSTP received BPDU with TC, MSTP process 0 instance 0, port name
> is XGigabitEthernet0/0/X
> MSTP received BPDU with TC, MSTP process 0 instance 0, port name
> is XGigabitEthernet0/0/Y
> ...хотя он и раньше такое говорил, а проблем не возникало.

Вполне предсказуемое поведение, при получении TC, mac-таблица флашится, и unknown unicast трафик форвардится по все порты, также как бродкаст. Смотрите настройки MSTP, может на акцессных портах portfast/edge не включен.

Прошивку надо менять на OpenWrt.

Возможно ли поднять единую Wi-Fi сеть fast roaming на точках доступа с OpenWRT?

> Я теряюсь в догадках, когда такое может пригодится.

Очень специфическое применение. Провайдеру могут не давать доступ к электричеству в щитке (например, у нас дома Ростелекому не дают подключать своё оборудование к общедомовым нуждам). А такая штуковина будет забирать электричество от клиентов.

> Прошу помощи в понимании. Зачем столько PoE-in интерфейсов на некоторых коммутаторах?
> Допустим у микротика netPower Lite 7R аж целых 7 входных PoE и
> только один выходной.
> А есть коммутаторы на 24 порта, из которых 23 для входящего питания
> и 1 - исходящее.
> Я теряюсь в догадках, когда такое может пригодится. Я подозреваю, что я
> чего-то не понимаю и здесь идет речь о каком-то особом PoE
> интерфейсе.
> Объясните страждущему знаний, пожалуйста.

А точнее? Общий "запас мощности" по питанию входящего и исходящего какой?

Решение проблемы оказалось очень простым.
Я создал дополнительные клиентские комьюнити:

community CUSTOMER-UPSTREAM-1-EXP members XXXXX:1100
community CUSTOMER-UPSTREAM-1-EXP-1 members XXXXX:1101
community CUSTOMER-UPSTREAM-1-EXP-2 members XXXXX:1102
community CUSTOMER-UPSTREAM-1-EXP-3 members XXXXX:1103
community CUSTOMER-UPSTREAM-1-EXP-4 members XXXXX:1104
community CUSTOMER-UPSTREAM-1-EXP-DENY members XXXXX:1109

community CUSTOMER-UPSTREAM-2-EXP members XXXXX:1110
community CUSTOMER-UPSTREAM-2-EXP-1 members XXXXX:1111
community CUSTOMER-UPSTREAM-2-EXP-2 members XXXXX:1112
community CUSTOMER-UPSTREAM-2-EXP-3 members XXXXX:1113
community CUSTOMER-UPSTREAM-2-EXP-4 members XXXXX:1114
community CUSTOMER-UPSTREAM-2-EXP-DENY members XXXXX:1119

community CUSTOMER-UPSTREAM-3-EXP members XXXXX:1120
community CUSTOMER-UPSTREAM-3-EXP-1 members XXXXX:1121
community CUSTOMER-UPSTREAM-3-EXP-2 members XXXXX:1122
community CUSTOMER-UPSTREAM-3-EXP-3 members XXXXX:1123
community CUSTOMER-UPSTREAM-3-EXP-4 members XXXXX:1124
community CUSTOMER-UPSTREAM-3-EXP-DENY members XXXXX:1129

И добавил их в исходящие политики ПЕРЕД старыми, т.к. политика работает таким образом, что после первого вхождения далее она не обрабатывается:

# show policy-options policy-statement UPSTREAM-1-OUT-v4

...
term 20 {
from community [ UPSTREAM-1-EXP-DENY CUSTOMER-UPSTREAM-1-EXP-DENY ];
then reject;
}

term 50 {
    from community CUSTOMER-UPSTREAM-1-EXP;
    then accept;
}
term 60 {
    from community CUSTOMER-UPSTREAM-1-EXP-1;
    then {
        as-path-prepend XXXXX;
        accept;
    }
}
term 70 {
    from community CUSTOMER-UPSTREAM-1-EXP-2;
    then {
        as-path-prepend "XXXXX XXXXX";
        accept;
    }
}
term 80 {
    from community CUSTOMER-UPSTREAM-1-EXP-2;
    then {                              
        as-path-prepend "XXXXX XXXXX XXXXX";
        accept;
    }
}
term 90 {
    from community CUSTOMER-UPSTREAM-1-EXP-4;
    then {
        as-path-prepend "XXXXX XXXXX XXXXX XXXXX";
        accept;
    }
}

term 100 {
    from community [ UPSTREAM-1-EXP ];
    then accept;
}
term 110 {
    from community [ UPSTREAM-1-EXP-1 ];
    then {
        as-path-prepend XXXXX;
        accept;
    }
}
...

>[оверквотинг удален]
> При первичном подключении клиентского компьютера, проверка подлинности проходить,появляется
> форма ввода логина и пароля, пользователь вводить свой логин и пароль
> (Active Directory) и получает доступ к сети. После выключение  или
> после перезагрузки компьютера, не появляется форма ввода логина и пароля и
> проверка подлинности не проходить. Но если после выключение или перезагрузки вручную
> отключить сетевое подключение и обратно включить, заново появляется форма ввода логина
> и пароля и проверка подлинности проходить. Хотелось бы, чтобы форма ввода
> логина и пароля проверки подлинности работала автоматически после выключение или перезагрузки
> компа. Подскажите пожалуйста где нужно настраивать и как настраивать, чтобы процесс
> проверки подлинности пользователя работал как надо?

Глобально:
authentication mac-move permit

На порту:
authentication periodic
?

> distrib#sh access-lists VM-Network (этим заблокировал все остальные ip адреса в сети для
> route-map)
> Extended IP access list VM-Network
> 10 permit ip 0.0.0.0 255.255.255.0 any

Я что-то упустил или в ACL вместо wildcard с недавних пор пишется прямая маска сети?

> Люди добрые, расскажите как настроить шлюз vip-450.
> Нужно чтобы звонки поступали из линии АТС по ethernet к ip телефон.

http://ftp.asm.cz/Planet/0-software-info/VoIP-navody/Voice&#...

>> Может подскажите, что делать?

Скачать документацию с сайта производителя и делать по ней.

>[оверквотинг удален]
> IPv6 Packet Frame Type: PKTFMT_ETHNT_2,  Hardware Address: 20fd-f190-9001
>  Last clearing of counters:  Never
>     Last 300 seconds input rate: 0 bytes/sec, 0
> bits/sec, 0 packets/sec
>     Last 300 seconds output rate: 0 bytes/sec, 0
> bits/sec, 0 packets/sec
>     0 packets input, 0 bytes, 0 drops
>     0 packets output, 0 bytes, 0 drops
> Вот такая проблема.
> Заранее спасибо.

Ну дык влан то на какой-нибудь порт отдали чтобы он в АПе был?