JOURNEYS - BIG-IP upgrade and migration utility

 在想安裝此工具時,是2023.6.13.

當天也只有裝ubuntu的時間, 就又繼續忙工作

斷斷續續把utility裝完, 有問題時也無法連續處理.

就這樣一直到2023.10.17才真實完整安裝完, 但有發現有新版, 於是update到v4.0.0

正在加班(2023.10.18)...來記錄此事

又要忙了, 以後再說了

F5 AWAF使用L2 bridge/transparent mode

 客戶某兩地都要加入F5 BIGIP+AWAF各一台, 且都使用inline mode -> two arms bridge/transparent mode

Site1:

這裡FW只有一台, 沒有問題

Site2:

這裡FW有兩台, 且是A/A mode

這樣有陷阱, 要想個解法

K7595: Overview of IP forwarding virtual servers

 reset on timeout原來可以這樣用

forwarding vs要完全Emulating stateless IP routing原來還有一些細節是以前沒注意的

真是有學問啊

DNS Express bind local BIND大於Resolver Cache

近日使用Resolver Cache去幫客戶解一個原本在雲上的zone,要改為解成private ip

這個zone可以從內部走到私有雲.

而這個zone一開始說只有一個A record.....意思是說未來此zone會成長, 而且要考慮到Resource (ex:A record)維護方便, 於是研究後就用Resolver Cache處理, 還有Cache功能.

客戶原本是只用local BIND.

本來Resolver Cache研究出來, Lab測試也正常(Lab裡F5是用WideIP)還很高興, 部屬到線上後, 災難開始了.

忘記解析有順序, 且也不知道有一個特性在(Cache與BIND的前後順序).

 DNS解析順序:

iRule->Wide IP->DNS Express->Cache(ex:Resolver Cache)->local BIND

後來Support說可以在DNS Express去綁local BIND, 這樣順序就能走在Cache前面.

然後昨日研究DNS Express如何綁BIND進來.....讀了多篇文章才研究出來.

高興高興.

 

K95610370: Wireshark shows Encrytped Alert Content Type: Alert (21)

https://support.f5.com/csp/article/K95610370

This is normal and is used by the TLS protocol for notifying the peer that the connection can be closed. This is usually sent when there is no more traffic to send.

先前就研究出來了....

ftps兩種模式--隱含(Implicit)及外顯(Explicit)

FTPS在傳輸時有兩種模式，隱含(Implicit)及外顯(Explicit):

外顯(Explicit):收到AUTH SSL指令後，內容開始加密。
隱含(Implicit):直接從連線一開始就使用SSL Socket進行通訊，990作為隱含式FTPS的PORT，完成握手後，全部的內容都是加密的。

如果SLB將ftps用passthrough處理, 那server端在回應data port是回private ip, 因此你外端連線設備在連data port時, 根本就連不到此private ip

ftps explicit mode是client會先往server port 21, 如果server回應可以

2019.1.24 External Monitor

今日把external monitor分別對http及https搞清楚如何去使用.
近期許多套原https pool 之health monitor使用ECV都正常, 但忽然health monitor偵測變紅燈, 然後主機系統組一定又是跟你講我們都沒有動.........見鬼了, F5也沒動..........然後就變紅燈.
這時候又是我在累.....因為企業裡網路組講話都最小聲, 去跟AP反應都沒有用.
開始查.........查............查
一般的是Send string去加Host即可, 約有三套這樣改就立即生效, 但有一套就很特別, 加入Host還是紅燈, Receive string改200 OK才成功, 表示網頁有異動過, 但原本字串在網頁上還在, 這可能是length 5120 bytes限制因素.
回公司研究必須要用external monitor才能解決.
於是先研究讓http external monitor如何運作, 再研究https external monitor.
https一直無法突破, 後來直接在簡單的http script內直接去改curl, 竟然成功了.
其中一項是我自己忘記格式因素, 這一點解開後, 其他問題也跟著解開了

2020.9遇到另一個有點莫名的情況, 非script問題, 而是import後, 裡面參數要故意動過再使用, 才能正常

2018.8.30 F5 ASM Cookie

客戶來信說F5 ASM Cookie有風險..............我一開始還愣住.
客戶一直要停掉要停掉.
很冷靜地先了解內容一下

2018.8.30 F5最近要用DNSSec

天啊...........還沒有經驗ㄟ, 不過有找到一些文章看一看有一點點概念了

DNS Recursive & Iterative

Client向LDNS問的方式是Recursive
Server對Server是 Iterative
參考文章來源

Windows單張網卡多個IP之順位問題

上禮拜六, 某個客戶最後一次機房搬遷.
一台windows 2012是某個Pool member其對外服務沒有問題.
但此台Server主動往外連線(initial)卻有問題.
客戶初期反應都會認為是F5 or FW有問題, 此時當然就是抓封包(tcpdump)來澄清.

此Server有多個IP,  主IP是x.x.3.16, 請Server啟動連線, tcpdump卻看到是x.x.3.13.
客戶說那是此Server的secondary IP, 先砍掉3.13, 再重新連線, tcpdump卻看到是x.x.3.14.
客戶說那是此Server的另一個secondary IP. 此Server總共有3.13, 3.14, 3.15, 3.16
當砍到剩3.16時, 才能正常出去(因FW, F5都僅設定讓3.16能對外連線).
所以大家就納悶....................為何規則變了??????
以前是Primary IP是代表IP, 現在卻變成是最低位的IP為代表IP.
客戶就將IP改為3.16, 3.17, 3.18, 3.19, 讓3.16變成是最低位IP

iRule使用external file去參考data group

2016.3.24
iRule使用external file去參考data group, 今日試出來了! 但我只先試功能.
測試時data group內只有兩筆!
實際data group內約有兩百多筆ip address

過一個禮拜後才有空繼續測試.
匯入第一次後, 後續編輯其實也很簡單.
寫了文件教導客戶使用!

2016.3.16 DR搶救

昨日發現怪異流量

今日到現場檢查, 今日必須解決, 否則會影響大後天的rehearsal

也不是從內部發起的outbound, 從外線sniffer發現似乎是F5自己發起的流量
這時心裡就有一份不安感
檢查top後, 有發現不尋常的pid, 砍掉後,自己還會重生另一組名字.
追到/bin/cmvdrsjpzl. 另外crontab又看到/etc/cron.hourly/gcc.sh

這時候用膝蓋想也知道發生甚麼事了------------被駭.
我不是除駭高手, 也沒有時間, 就直接format,重建tmos

2016.3.13 F5 Syncookie Protection

HW/SWSyncookie Protection
16384
1993
Syn Flood
nPath
Current Syn Cache
TCP Option
只能講這些

F5 VLAN-keyed connections

asymmetric routing.

VLAN-keyed connections

F5 遇到IPv6 to IPv4 FTPS

今年(2015)下半年遇到兩個客戶要用IPv6, 企業內部維持使用IPv4.
而其中一個客戶其所有服務中的FTPS最難!

需求是FTPS+Passive Mode應用.
我一開始不知道如何解, 不是版本問題
找Dealer後,也聽不懂問題, 那也表示沒有經驗,有經驗的話就知道,也不了解背後遇到甚麼問題.
有人好奇問我此問題, 但光要讓你懂需求,就要費一番唇舌!
總共有三關要過:
1.第一關簡單, 就是處理6to4
2.第二關.................................
3.第三關.................................
後來有一家Dealer測第一次有通, 但之後竟然都不通了,怪怪!
假設是環境造成不通, 先肯定其解法是對的, 我問他原理.................他只知道第三關的解法.
但不知道有第二關的事!
後來反覆思考.............才研究出來怎麼解!

Wireshark out-of-order tcp-retransmission

2015.11.3
同一個sniffer file, 放在不同版本wireshark 1.10.x 1.12.x, 其同一個傳輸 tcp stream,竟然有不同結果.
在wireshark 1.10.x是解析成tcp retransmission
但是在wireshark 1.12.x是解析成out of order
還沒時間搞懂為何會如此???

TCP/IP Packet Size

Ethernet II frame , IEEE802.3 frame

icmp packet size

udp packet size

tcp packet size

2014.12.22 F5 CARP persistence

上禮拜讀到CARP persistence (SOL11362: Overview of the CARP hash algorithm), 讀到睡著了.
今天重新讀了一次, 終於懂了, 唉.
好處很多啊

• No memory storage required
• No timeout
• Failover without mirroring
• Automatic redistribution

F5 GTM v10 upgrade to v11 will meet zrd error message

J客戶F5設備因某種原因要從v10版本升級至v11版本.
原本升級計畫都已擬妥.
就在升級後,tty一直有下列error message
'hostname' emerg logger: Re-starting zrd