201 Flashcards
(287 cards)
1
Q
Kde v GUI viem konfigurovat mgmt IP?
A
System>Platform
2
Q
Ake moznosti vidim pod hlavnym tabom Statistics
A
Dashboard, Module Statistics a Performance Reports
3
Q
Ake moznosti su pod Statistics>Module Statistics tabom?
A
Traffic Summary, DNS, Local Traffic, Network, Memory a System
4
Q
Kde v GUI viem verifikovat in/out traffic a connections per pool/pool member
A
Statistics>Module Statistics>Local Traffic>Pools
5
Q
Kde v GUI viem verifikovat ze Load balancing funguje spravne?
A
Statistics>Module Statistics>Local Traffic>Pools
6
Q
Kde v GUI viem pozriet network statistics (errors/drops in/out traffic?
A
Statistics>Module Statistics>Network
7
Q
Kde v GUI viem pozriet detailnu memory statistiku?
A
Statistics>Module Statistics>Memory
8
Q
Kde v GUI viem nakonfigurovat VLANs?
A
Network>VLANs
9
Q
Aka je defaultna hodnota MTU pre VLAN?
A
1500
10
Q
Kde v GUI sa konfiguruju floating IP alebo Self IPs?
A
Network>Self IPs
11
Q
Aky je konfiguracny rozdiel medzi self IP a floating IP?
A
Rozdielne nastavenei traffic group:
Self IP ma “traffic-group-local-only” alebo “traffic-group-local-only (non-floating)”
Floating ma “traffic-group-#” alebo “traffic-group-# (floating)”
12
Q
Kde v GUI viem pozriet ake su na F5ke images?
A
System>Software Management>Image List
13
Q
Kde v GUI viem aktivovat iny module/ADC?
A
System>Resource Provisioning
14
Q
Kde v GUI sa nastavuje root a admin account username a password?
A
System>Platform
15
Q
Kde v GUI sa da vygenerovat UCS file?
A
System>Archives
16
Q
Co predstavuje UCS file?
A
save of: config, licenses, user credentials ,…
17
Q
Ako v GUI viem nacitat niektory z UCS?
A
System>Archives><UCS>Restore</UCS>
18
Q
Kde v GUI viem verifikovat ci mam zapnuty proces pre napr DNS alebo NTP?
A
System>Services
19
Q
Kde v GUI vytvorim dalsieho usera mimo admin?
A
System>Uses
20
Q
Kde v GUI najdem logy?
A
System>Logs
21
Q
Kde v GUI zistim kedy sa kto prihlasoval na danu F5?
A
System>Logins
22
Q
Kde v GUI viem vygenerovat QKVies file?
A
System>Support>New Support Snapshot
23
Q
Aky je rozdiel medzi UCS file, QKView file a Core file?
A
UCS file - konfig, licencie, passwordy
QKView file - health status
Core file - ked F5ka crashne je to vlastne crash file
24
Q
Kde v GUI viem konfigurovat web caching a optimizaciu?
A
Acceleration>…
25
Kde v GUI viem konfigurovat ASM a AFM?
Security>..
26
Kde v GUI viem konfigurovat APM?
Policy Manager>..
27
Kde v GUI sa konfiguruje HA a clustering?
Device Management>..
28
Kde v GUI sa konfiguruje SSL/TLS traffic optimizacia?
SSL Orchestration>..
29
Kde v GUI viem pouzit automatizovane templates pre implementaciu Traffic/Application objects?
iApps>..
30
Na co je dobry Application Visibility and Reporting AVR module v GUI?
web app, system performance insight
31
Ake su types of resource alocation?
Non/disabled - disabled
Dedicated - vsetky resources pojdu jednemu modulu, ostatne aktualne sa deaktivuju
Nominal - malo resources ale dalsie budu pridane
Minimum - len minimalne resources
32
Aky je TCP/UDP port pre iQuery
4353
33
Aky je TCP port pre HTTPS
443
34
Aky je TCP/UDP port pre SNMP
161
35
Aky je TCP port pre SSH
22
36
aky je TCP/UDP port pre DNS
53
37
Aky je UDP port pre RIP
520
38
Aky je UDP port pre network failover?
1026
39
Co znamena ked z tmosu pingnem URL a dostanem spat odpoved:
ping: unknown host www.f5.com
neni nakonfigurovany DNS server
System>Configuration>Device>DNS
40
Ako verifikujem NTP z tmosu?
ntpq -np
41
Co ak pouzijem v tmose prikaz "ntpq -np" a pod remote je len nejaka IPcka 127.127.1.0 a zaroven pod refid je ".LOCL."?
tak to znamena ze ma len seba ako NTP server a treba nakonfigurovat NTP server
System>Configuration>Device>NTP
42
Akou konfiguraciou sa da obmedzit pristup na F5ku?
Port Lockdown alebo packet filter
43
Ake su moznosti privilegii pre usera ked sa logne do F5?
Bud ma pristup aj na advanced shell/linux BASH a aj na TMOS Shell/TMSH alebo len na TMOS Shell/TMSH
44
Co treba zmenit ked mi nejde prihlasit do SSH cez vygenerovany admin username a password?
System>Users>vyberiem dany kredenc>
Tu pod Terminal Access prekliknem z Disabled na Advanced shell alebo TMOS
45
Aky je rozdiel medzi root a nejakym generovanym userom s advanced shell alebo tmos terminal accessom ?
user root to v CLI vidi takto:
[root@bigip:Active:Standalone] config #
user admin s advanced shell terminal access to v CLI vidi takto:
[admin@bigip:Active:Standalone] ~ #
user admin s tmos terminal access to v CLI vidi takto:
admin@(bigip) (cfg-sync Standalone) (Active) (/Common) (tmos) #
46
tmsh list vs show?
list ukaze konfig zatial co show ukaze hodnoty
47
tmsh create vs modify?
create - objekt este neexistuje a chcem ho vytvorit
modify - chcem len urpavit hodnoty objektu
48
Ako cez CLI viem vygenerovat QKVies file?
tmsh
run qkview
run /util qkview
run /util qkview n-19
shell
qkview
/var/tmp/.f5trn.com.qkview
treba teraz pouzit filezilu alebo nieco na kopirovanie
49
Ake su Lb metody?
Round robin
Ratio
Dynamic ratio
Fastest
Least connection
Weighted least connection
Observed
Predictive
Least sessions
Ratio least connections
50
Ktora LB metoda je defaultna?
Round robin
51
Ako sa sprava LB metoda Ratio v pripade ze neprenastavujeme ziadne settings (priorita)
kedze je defaultna priorita 1 tak ako Round robin
52
Ak pouzivame "Ratio" ako LB metodu a mam 3 servre (priority 3:2:1) vysvetli poradie ako sa bude loadbalacovat
prvy server (prio3) - 1,4,6
druhy server (prio2) - 2,5
treti server (prio1) - 3
53
Co sa radi pod Dynamic LB metody?
Dynamic ratio
Fastest
Least connection
Weighted least connection
Observed
Predictive
Least sessions
Ratio least connections
54
Ak pouzivame "Lease Connections" ako LB metodu a mam 3 servre (connections 105:105:110) vysvetly poradie ako sa bude loadbalacovat
prvy server (conn3) - 1,3,
druhy server (conn3) - 2,4
treti server (conn5) - 5
55
Ako funguje LB metoda "Fastest" ?
loadbalancuje tak ze dalsia connection ide na membera/node s najmensim poctom "outstanding L7 requestov" co znamena ze sa rataju len neskompletizovane requesty.
Kazdy napr HTTP request ktory LB posiela na backend server sa rata ako jeden
neskompletizovany request.
Ak backend server odpovie s HTTP response tak sa tento counter znizi o jeden pretoze uz je dany request skompletizovany.
56
Ako funguje LB metoda "Least Sessions" ?
Loadbalancuje tak ze dalsia connection ide na membera/node s najmensim poctom existujucich persistence rekordov.
Napriklad Source Address Afinity persistance metoda si udrziava tabulku podla coho sa vykonava perzistencia a presne pocet pre kazdy backend server rozhoduje kam sa bude loadbalancovat dalsia session.
57
Ak pouzivame "Weighted Lease Connections" ako LB metodu a mam 3 servre vysvetli poradie ako sa bude loadbalacovat
prvy server (% of connection limit - 50%) - actual connections 25, maximum connections 50
druhy server % of connection limit - 25%) - actual connections 50, maximum connections 200
treti server (% of connection limit - 20%) - actual connections 40, maximum connections 200
prvy server (conn3) -
druhy server (conn3) - 11,13
treti server (conn5) - 1,2,3,4,5,6,7,8,9,10,12,...
58
Aka je defaultna hodnota % pre "Weighted Lease Connections" LB metodu?
0 - nekonecno
59
Ako funguje LB metoda "Observed" ?
F5 vypocitava dynamicke ratio hodnoty na zaklade L4 konekcii ktore observoval. Dalsia konekcia ide na backend server s najvyssie vyratanym ratio
60
Ako funguje LB metoda "Predictive" ?
F5 vypocitava dynamicke ratio hodnoty na zaklade L4 konekcii ktore observoval a porovnava ich s tymi aktualnymi ktore tiez vyratal. Dalsia konekcia ide na backend server s najvyssie ratio
61
Aky je rozdiel medzi LB metodami "Observed" a "Predictive" a ktora z nich ponuka lepsi performance?
Observed vyratava ratio na zaklade predoslych L4 connections na rozdiel od Predictive ktora robi to iste a zaroven tieto hodnoty porovnava s aktualnymi hodnotami. Predictive ponuka lepsi performance.
62
Kde v GUI pozrieme statistiku loadbslancingu pre nejsky VS?
Statistics>Module Statistics>Local Traffic
Tu vyberieme z tyou statistiky to co chceme vidiet napriklad virtual servers ked chceme vidiet statistiku voci VIP IP
Ked dame pools a rozklikneme plusko uvidime ako sa to lb medzi jednotlivych memberov
63
Ako v GUI nakonfigurujeme load balancing?
Local Traffic>Pools>Pool List> - tu sa specifikuje aj aku LB metody pouzijes
Local Traffic>Virtual Servers
64
Kde v GUI pozries aku LB metodu pouziva dany VS?
Local Traffic>Virtual Servers>Resources>
tu si pozriem aky je pouzity pool
Local Traffic>Pools>Pool List>Members
65
Co vsetko mi ponuka "Network Map" tool
zoznam vsetkych: nazov VS s prislusnou Self IP + nazov poolu a pool member IP adresy:servis port
66
Ake typy health check monitorov mame?
Address check - monitoruje len IPcky
Service check - monitoruje servis
Content check - monitoruje obsah servisu
Passive minitor - f5ka momitoruje bezny traffic a porovnava l4 info
Wmi service - len pre win servre kde sa posielaju spravy o server performance
67
na co vsetko viem aplikovat Health Monitoring?
Nodes
Pools
Pool Member
Links (BIG-IP DNS only)
68
Ake typy address checku pouziva f5
Icmp monitor
Gateway icmp monitor
Tcp echo
69
Ako funguje service check monitor
Posle SYN na pool membera ktory odpoveda so SYN ACK na co f5 odpoveda s RST. Skontroluje tym ci bezi servis no nevytvori nepotrebnu tcp session
70
Ako funguje content check monitor
F5 posle SYN na pool membra a ten odpovie s SYN ACK. F5 odpoveda s ACK a posle hned aj HTTP GET command cim dostane od servra kopiu web page. Na F5 sa zoberie vystup s nejakym klucovym slovom ktore sa hlada vo vystupe a kontroluje sa dostupnost kontentu.
Send string
Receive string
71
Ako funguje Passive monitor
Inband monitor
F5ka len prezera data traffic ktory prechadza zariadenim a uchovava a porovnava L4 info
72
Ako funguje WMI
Tento servis funguje len pre win servre a je to komunikacia medzi serverom a f5 kedy server providuje info ako napr performance statistiku.
73
Ako vytvorit health monitor?
Local traffic>Monitors>Create
Local traffic>Pools>Pool list>
Tu vyberiem ktory pool chcem
Z poolu sa mi to inheritne na kazdeho specifickeho pool membera co sa da zmenit pod jednotlivymi membermi
74
Ako vytvorit content health monitor
Treba najskor vytvorit monitor cez
Local traffic>Monitors>Create
Tu vyberieme napr http a urcime send a receive string
Nasledne do
Local traffic>Pools>Pool List>
Tu aplikujeme nas monitor
75
Ako nastavit node monitor
Tu urcime defaultny minitor
Local traffic>Nodes>Default monitor
Alebo
Local traffic>Nodes>Node list>
Tu klikneme na nejaky node a dole zmenime node defsult na nejaku metodu ktoru chceme
76
Health monitor timers?
Interval - cas medzi sondami (5s default)
Timeout - dead interval - kolko intervalov musi prejst aby bol objekt prehlaseny za down (3x interval + 1s)
77
Ak nastavime health monitor po akej dlhej dobe sa z modreho stvroca stane zeleny kruzok ?
po 5sekundach kym prejde prvy interval check
78
Co v Health monitoringu znamena zeleny kruzok?
Healthy
79
Co v Health monitoringu znamena cerveny kruzok?
Unhealthy
80
Co v Health monitoringu znamena modry stvorec?
Unknown, treba niekam nahodit health monitor
81
Co v Health monitoringu znamena zlty trojuholnik?
Unavailable alert, iny dovod ako service down
82
Co v Health monitoringu znamena cierny kruzok?
Disabled active member
83
Co v Health monitoringu znamena cierny trojuholnik?
Disabled inactive member
84
Co v Health monitoringu znamenju rozne sede ikony?
Unavailable pretoze je nejaka dependency na disabled objekt
85
Co v Health monitoringu znamena cierny stvorec?
Disabled unknown member
86
Ked vidim health monitor zeleno aj pri poole a aj pri pool membroch no aj napriek tomu nefunguje VS VIP tak v com moze byt problem?
IP servisu moze byt up ale servis samotny nemusi byt up takze treba prisposobit health monitoring
87
Co znamena pod pool memberom "connection Limit 0"
Znamena to ze tento backend server moze servovat nekonecne vela connections
88
Ako sa zmeni health monitor piktogram zo zeleneho v pripade ze sa posle viac connection requestov na backend server ako ma nakonfigurovany pod pool memberom vramci connection limit
zo zeleneho na zlte - nedostupne
89
Ako zistim na aku hodnotu mam upravit connection limit v pripade ze mam pool membera zlteho?
treba ist do statistik a pozriet aky je aktualny pocet connections pre daneho membera pripadne pozriet ako je nakonfigurovany member na ake cislo konekcii a zmenit to accordingly
Statistics>Module Statistics>Local Traffic>Pools>
pozriem tu hodnotu connections
kliknem na dany pool
kliknem na daneho membera ktory je zlty
zmenim tu hodnotu Connection Limit (v advanced configuration)
90
Aky je rozdiel medzi SNAT a defaultne nastavenym "NAT" vramci Source Address Translation ?
pri defaultnom behaviore sa preklada len destination IP adresa co sposobuje problemy pri spatnom routingu ak je medzi backend serverom a F5kou nejaky router alebo ak F5ka nepozna route na klienta
SNAT meni aj source IP adresu na IP adresu Self IP/floating IP v ktorej je dany backend server
91
Kde sa da zmenit nastavenie z defualtneho virtual server "NAT" behavioru na SNAT ?
Local Traffic>Virtual Servers>VS>
tu pohladam Source Address Translation a zmenim z None na Auto Map/SNAT
92
Co je to Auto-Map option pre "NAT" Source Address Translation?
je to option kedy sa source IP adresa pri translacii vybera automaticky
Floating self IP addresses on the egress VLAN
Floating self IP addresses on different VLANs
Non-floating self IP addresses on the egress VLAN
Non-floating self IP addresses on different VLANs
93
co je SNAT option pre "NAT" Source Address Translation?
je to option kedy sa source IP adresa pri translacii vybera staticky z poolu ktory je zadefinovany
94
Aky je rozdiel medzi Virtual server setupom a NAT setupom?
VS - vacsia skalovatelnost a moznosti nastavenia
NAT - v podstate automaticky preklada akykolvek servis na danu IP adresu (1:1)
95
Kde sa konfiguruje klasicky NAT ?
Local Traffic>Address Translation>NAT List>create
tu vyplnime name, NAT Address (listener IP address - VIP), Origin Address (backend server)
96
Co predstavuje Protocol profile (client/server) pod VS-kom ?
network optimization
97
Co znamena Protocol profile pod VS ?
L4 profil takze TCP/UDP..
98
Kde nakonfigurujem Profile?
Vacsinou su vsetky priamo pod VS no persistence profile je v
Local Traffic>Virtual Server>>Resources
99
Na co sluzi FTP profile?
V pripade active mode to funguje takto:
vytvoria sa dve connections
100
Ako funguje FTP active mode?
Klient posiela na FTP server cez dst port 21 svoje kredence cim sa prihlasi na server. Server preveri kredence a posle status code 230 (klient auth successfully). Tymto sa vytvori control connection. Klient nasledne pouzitim prikazu PORT posiela FTP serveru svoju IP adresu a cislo portu (1023+). Server sa nasledne pripoji na tento port z TCP portu 20 cim sa vytvori data connection na prenos dat.
Vyhodou je ze server ma kontrolu nad datovym prenosom
Nevyhodou je ze vznika problem ak je klient za NAT alebo firewallom (spojenie moze byt blokovane)
101
Ako funguje FTP passive mode ?
Klient posiela na FTP server cez dst port 21 svoje kredence cim sa prihlasi na server. Server preveri kredence a posle status code 230 (klient auth successfully). Tymto sa vytvori control connection. Klient si nasledne pouzitim prikazu PASV vypyta server IP adresu s portom na ktorom bude ocakavat spojenie. Server odpoveda. Klient sa na tento port pripaja a vytvara sa data connection na prenos dat.
Vyhodou je ze to funguje aj ked je klient za NAT alebo firewallom pretoze klient otvara spojenie.
nevyhodou je ze server nema plnu kontrolu.
102
Kolko spojeni vytvara FTP?
2:
Control connection - sluzi na odoslanie prikazov a odpovedi medzi klientom a serverom
Data connection - pouziva sa na prenos samotnych dat
103
Co sa stane ak nepridam FTP profile pre FTP connection ?
prihlasim sa na FTP server no nevytvori sa mi data connection a neprenesu sa mi data cez FTP.. to sa prejavi tak ze napr Filezila mi sice ukaze ze som na serveri ale neukaze mi kontent FTP servera. Na CLI servera mi zase nepojde dat ziaden command respektive vyhodi chybovu hlasku.
104
Na co sluzi SSL Profile (client/server)
umoznuje to F5ke robit SSL inspection a tym padom ponukam serveru SSL offloading co velmi savuje serveru CPU resources
105
Co treba zmenit ak som pridal uz SSL profile (client) no stale dostavam z web servera Bad Request error status code?
treba upravit pool memberov aby neboli x.x.x.x:443 ale x.x.x.x:80 pretoze backend servery stale pocuvaju na HTTPS. V tomto setupe chceme docielit aby bolo SSL offloadovane na F5ke takze medzi F5 a servermi musi ist HTTP tym padom treba mat aj pool memberov ako x.x.x.x:80
Local Traffic>Virtual Servers>>Resources
Tu zmenim Default Pool z HTTPS na HTTP
106
Co je to persistence
po prvotnom LB sa skipuje akakolvek dalsia LB a vsetko ide na prvotne vybrany backend server
107
Ake typy persistencii pozname
Source Address Affinity - based on source IP add (klient)
Cookie Persistence - based on contents of browser cookie (posiela server)
Destination Address Affinity - based on destination IP add
SSL-Based - based on SSL session za pouzitia session ID
Universal - customize, vlastne kriteria (iRule)
Hash - persistence hask based on existing iRule
108
Na zaklade coho si F5 pamata ako ma narabat s perzistenciami?
na zaklade Persistence record table kde je hodnota (napr. IPcka hosta/network), persistence mode, VS, pool, pool member a age (timeout pre record co je defautlne 180s)
109
Ako nakonfigurujem Source Address Affinity persistence?
vytvorenie persistence profilu:
Local Traffic>Profiles>Persistence
Create
ak chcem zmenit z host na network ako match kriterium tak prepiusem Prefix Length z none na specifiy, IPv4 a 24
aplikovanie persistence profilu:
Local Traffic>Virtual Servers>>Resources
tu zmenim Default Persistence Profile na "source_addr"
110
Ako z CLI pozriem persistence record table?
show /ltm persistence persist-records
show /ltm persistence persist-records all-properties
111
Ako z GUI pozriem persistence record table?
Statistics>Module Statistics>Local Traffic>Persistence Records
112
Ako funguje Cookie Persistence?
backend server pridava cookie information (selected pool member) do HTTP response a po tom co to F5ka zprocessuje vytvori si mapping do persistence record table a nasledne kazdy dalsi request skipuje LB podla persistence record table
113
Aky je default cookie name?
BIGipServer
114
Ake typy Cookie Persistence existuju?
HTTP Cookie Insert - F5ka managuje persistence cookie
HTTP Cookie Rewrite - F5ka prepisuje cookie ked aplikacia (server) posle prazdny cookie
HTTP Cookie Passive - aplikacia (server) si manazuje cookies sama
115
HTTP Cookie Insert process
Ked klient posle request na VS a cookie persistence je enabled tak F5ka vyberie najskor pool membera podla LB metody. Ked backend posle prvy response vramci session tak F5ka vytvori cookie s info ktory pool member bol vybrany a vlozi ho do HTTP headeru. Response posle dalej na klienta a tym padom na klient tento cookie stored vo svojom webovom prehliadaci. Dalsi krat ked klient posle request tak ho posle aj s cookie a F5ka po dekodovani cookie tym padom vie na ktory server ma daneho klienta prehodit a nemusi vykonavat LB. Kazdy dalsi HTTP response uz F5ka ignoruje respektive uz nevytvara cookie. Insert je defaultna cookie metoda.
116
Na co sluzi Always Send Cookie ?
tato defaultne disabled feature robi to ze ak F5ka dostane prvotny response od backend servera a prida cookie a posle response dalej na klienta a server posle dalsi request tak defaultne sa negeneruje dalsi cookie. Tym padom sa stava ze cookie vyexpiruje. Naopak ked je tato feature enabled tak pri kazdej Response odpovedi zo servera F5ka generuje novy cookie cim sa znizuje sanca na to ze cookie vyexpiruje
117
Co sa stane ked vyexpiruje cookie? Ako tomu zabranit ?
po expiracii cookie dochadza opat ku prvotnemu LB pri HTTP requeste a naslednej generacii noveho cookie na F5ke. Riesenim je zapnutie feature Always Send Cookie ktora umoznuje F5ke generovat novy cookie update pri kazdej HTTP Response od servera.
118
HTTP Cookie Rewrite process
Ked klient posle request na VS a cookie persistence je enabled tak F5ka vyberie najskor pool membera podla LB metody. Ked backend posiela response s blank cookie (Set-Cookie header s nazvom BIGipCookie) a F5ka presne tento parameter prepise na BIGipServer (info ktory pool member bol vybrany). Dalsi krat ked klient posle request tak ho posle aj s cookie a F5ka po dekodovani cookie tym padom vie na ktory server ma daneho klienta prehodit a nemusi vykonavat LB. Always send cookie sa ignoruje.
119
HTTP Cookie Passive process
Ked klient posle request na VS a cookie persistence je enabled tak F5ka vyberie najskor pool membera podla LB metody. Ked backend posiela response tak posiela ho rovno aj s validnym cookie v HTTP headeri. Dalsi krat ked klient posle request tak ho posle aj s touto cookie a F5kapo dekodovani cookie vie na ktory server ma daneho klienta prehodit a nemusi vykonavat LB. F5ka cookie vobec neriesi.
120
Ako v GUI konfigurovat cookie persistence?
Local Traffic>Virtual Servers>>Resources
tu zmenim Default Persistence Profile na "cookie"
121
Ako pozriet persistence record table pre cookie persistence?
nijako, toto nieje mozne pretoze F5ka tuto info neuklada ale namiesto toho vzdy z HTTP headeru dekoduje cookie takze ak si stiahnem web browser extension - cookie decoder
122
Z akych komponentov sa sklada iRule?
event - when "event" then urob nieco - trigger
operator - conditional expression - if "operator" --> action
command - action to perform
123
Co z pohladu iRule znamena CLIENT_ACCEPTED
je to event ktory pre iRule predstavuej vzniknutie session po skompletizovani 3way handshake medzi kleintom a F5kou
124
Co z pohladu iRule znamena CLIENT_DATA
ked klient po nadviazani TCP spojenia s F5kou zacne posielat data (nie application specific)
125
Co z pohladu iRule znamena HTTP_REQUEST
ked klient po nadviazani TCP spojenia s F5kou zacne posielat application specific data pre HTTP servis
126
Co z pohladu iRule znamena SERVER_CONNECTED
je to event ktory pre iRule predstavuje vzniknutie session po skompletizovani 3way handshake medzi F5kou a serverom
127
Co z pohladu iRule znamena SERVER_DATA
ked server po nadviazani TCP spojenia s F5kou zacne posielat response
128
Co z pohladu iRule znamena HTTP_RESPONSE
ked server po nadviazani TCP spojenia s F5kou zacne posielat application specific data (HTTP data)
129
Co z pohladu iRule znamena command TCP::payload?
gather L4 info
130
Co z pohladu iRule znamena command IP::client_addr?
gather L3 info
131
Co z pohladu iRule znamena command HTTP::header?
application specific command na gather HTTP info
132
Co z pohladu iRule znamena statement log?
bude logovat nejaky event ked sa matche condifion
133
Co z pohladu iRule znamena statement log?
pouzije specificky pool ked sa matche condition
134
Kde v GUI konfigurujem iRule?
Vytvorenie iRule:
Local Traffic >iRules>iRule List>New iRule
Aplikovanie iRule
Local Traffic>Virtual Servers>>Resources>(iRules)Manage
135
Ako zisitm ci funguje iRule ?
Statistics>Module Statistics>Local Traffic>iRules
136
Je potrebne mat pod VS definovany pool ked pouzivam iRule?
nie
137
Mozem aplikovat na VS viacero iRules?
Ano a je dolezite ktory bude ako prvy pretoze to je ako s ACL processingom ide to z vrchu a upon match
138
Akymi sposobmi vieme restriktnut access na F5?
SSH Access
Port Lockdown
Packet Filters
Filter na managemente (musi byt zapnuty AFM)
139
Co mi ovplyvni SSH Access management restriction a ako sa to zapina?
ovplyvni to len SSH na F5ku a nastavuje sa to v System>Platform> a tu treba najst SSH IP Allow a dat tam IP adresu len /32 (alebo network??) z ktoreho bude access povoleny
140
Co viem ovplyvnit nastavenim Port Lockdown?
len to aky servis bude mat pristup resp ktory bude allowed (neovplyvnuje to data traffiz s VS)
141
Kde sa nastavuje Port Lockdown?
Netowrk>Self IPs>
tu vyberiem z mosnosti Port Lockdown niektoru z definovanych
142
Ake su moznosti Port Lockdown?
Allow None - vypnu sa vsetky servisy az na exceptions ktore sa nedaju zmenit
Allow Custom - specifikju sa services ktore budu povolene na Self IPs/floating
Allow Default - povolia sa defaultne preddefinovane servisy
Allow All - povolia sa vsetky servisy
143
Ake su exceptions pre "Allow None" setting pri Port Lockdown-e ?
ICMP
iQuery - TCP 4353 (HA a clustering)
TCP mirroring port - TCP 1029-1155
144
Ake su defaultne povolene servisy pre "Allow Default" setting pri Port Lockdown-e?
iQuery - TCP/UDP - 4353
HTTPS - TCP - 443
SNMP - TCP/UDP - 161
SSH - TCP - 22
DNS -TCP/UDP - 53
RIP - UDP - 520
IGMP
OSPF
PIM
network failover - UDP - 1026
145
Ako sa vola obdoba ACLka pre F5?
Packet Filter - moznost pouzit aj pre mgmt aj data traffic
146
Je Packet filter by default enabled ci disabled?
disabled
147
Kde v GUI sa konfiguruje Packet Filter?
Network>Packet Filter>General
enable
148
Co znamena "Unhandled Packet Action" setting pri Packet Filter-i ?
implicit rule takze ak sa nematchne nic z rules (ACL lines) tak sa packet bud prijme alebo discardne
defaultne je toto nastavene na accept
149
Co sa stane ked zmenim "Unhandled Packet Action" setting pri Packet Filter-i z "Accept" na "Reject" ?
V pripade ze niesu zadefinovane ziadne Rules (ACL lines) a Packet filter je applied na vsetky VLANs znamenalo by to ze by som sa odrezal z mgmt a F5ka by rejectovala akykolvek traffic
150
Na co sluzi "Exemptions" tab pri Packet Filter-i?
Sluzi to na vytvorenie vynimiek takze ajked bude dany prijaty packet splnat podmienky matchnutej Rule (ACL line) a bude tu zadefinovany, tak aj napriek tomu sa stane opak toho co je defined v Rule
151
Na co sluzi "Order" nastavenie pri vytvarani Packet Filter Rule?
je to vlastne sequence number pre dany Rule (ACL line).
Viem tu specifikovat ci tat orule ma byt prva druah tretia alebo ktora kedze sa check up vykonava z vrchnu dole.
152
Ake su Packet Filter Rule Actions ?
Accept - F5ka prijme packet a dalej nebude processovat dalsie packet filter rules
Discard - F5ka dropne packet a dalej nebude processovat dalsie packet filter rules
Reject - F5ka dropne packet, nebude dalej processovat dalsie packet filter rules a posle rejection packet senderovi
Continue - F5ka prijme packet a bude dalej este processovat dalsie packet filter rules (debugging a tshoot purposes, logging can be enabled)
153
Kde si v GUI viem skontrolovat ci mi matchuje Packet Filter Rule (ACL line)?
Statistics>Module Statistics>Network>Packet FIlters
154
Ako vyzera Processing order ?
iRule - podla mna
Packet filter ("Filter established connections" ticked)
Connection table (show /sys connection)
Packet Filter
Virtual Server
SNAT/NAT
155
Co vsetko sa uklada do UCS file?
konfiguracia
product licenses
user accounts a passwordy
DNS zone files a Zone Runner config
SSL certifikacie a kluce
156
Co UCS file a privatne kluce?
pri generovani UCS sa da vybrat ci chcem zahrnut aj privatne kluce alebo nie
157
V akom formate je UCS file?
compressed - gzip format
158
Je mozne sifrovat UCS file?
ano
159
Kde je defaultne ulozeny UCS file?
/var/local/ucs
160
Ako v GUI vygenerovat UCS file ?
System>Archives>create
161
Ako v CLI vygenerovat UCS file (private key included a no encrypted)?
tmsh sys save ucs
162
Ako v CLI vygenerovat UCS file (private key excluded a encrypted)?
tmsh sys save ucs no-private-key passphrase
163
Ako cez CLI viewnut kontent UCS file-u?
Cd /var/local/ucs
Ls
Mkdir /var/tmp/ucs - vytvorime iny directory niekde inde lebo nechceme fuck upnut /var/local/ucs
Copy /var/tmp/ucs - skopirujeme ucs file do vytvoreneho file
Cd /var/tmp/ucs
Ls
Tar -zxOF config/bigip.conf - ukaze kontent toho conf file-u
Tar -zxf - extrahuje alebo rozbali tar file
ls
164
Da sa viewovat siforvany UCS file?
nie..
gzip standout: gzip not found alebo nieco take
165
Rm -rf *
rekurzivne vsetko zmaze vramci directory kde som
166
Cp /var/local/ucs/ .
toto znamena ze skopiruj mi file z tej directory do aktualnej directory kde som teraz ( ta bodka)
167
Ako v CLI loadnut UCS file ?
Tmsh load ucs
y
168
Aky je rozdiel medzi UCS a SCF
SCF obsahuje menej files ale narozsdiel od UCS file ktory je gzip SCF file je .txt.
okrem toho SCF sa neda vygenerovat v GUI
169
Co vsetko obsahuje SCF file?
Bigip.conf
Bigip_base.conf
Bigip_user.conf
Bigip_script.conf
170
Ako generovat SCF file v CLi?
Tmsh save sys config file no-passphrase
Do /var/local/scf/ sa ulozia dve veci .. Jeden .tar a druhy .txt
.txt file je konfig - pozries to cez cat | more alebo nano ..
.tar file obsahuje certifikacie a kluce - treba to rozbalit
Tmsh save sys config file passphrase
Do /var/local/scf/ sa ulozia dve veci .. Jeden .tar a druhy .txt
171
Akym prikazom sa da dat F5ka do factory default settingov?
Tmsh load sys config default
Y
ponecha to povodnu mgmt IPcku a root/admin passwords
172
Z coho mi loaduje factory settings konfig ked pouzijem tmsh "load sys config default"?
/defaults/defaults.scf
173
Ktora particia je by default available?
/Common
174
ake su dve pravidla pre particie?
Objekt vytvoreny pod /Common partition moze byt shared/viewed do inej particie
Objekt vytvoreny pod specifickou partition nemoze byt shared/viewed do inej particie
175
Ak vytvorim VS pod /Common particiou uvidim toto VS ked prepnem view do inej particie?
Ano
176
Ak vytvorim VS pod specifickou particiou uvidim toto VS ked prepnem view do inej particie alebo do /Common?
Nie
177
Funguje particia ako VRF?
Nie pretoze VS v jednej particii nemoze mat rovnaku IP adresu ako VS v inej particii
178
Na co sa pouzivaju rozdielne particie?
Administrative Security
179
Ako funguje spojenie user role a particie?
Zatial co specificke particie mozu byt assignute specifickym userom tak admin user vidi vsetky objekty zo vsetkych particii.
180
Kde v GUI sa da nakonfigurovat nova particia?
System>Users>Partition List>Create
181
Aky je rozdiel medzi User Account a User Role?
User Account
- je to unique identifikacia pre F5 admina
- username a heslo pre GUI/CLi access
- asociovany s particiou alebo s User Role
User Role
- kontroluje user access ku F5 resources (privileges), set of access permissions
- Roles sa asociuju s kazdym User Accountom
182
Ako v GUI vytvorime User Account?
System>Users>User List>Create
183
Kde v GUI viem pozriet failed attempts na prhilasenie pripadne ake particie moze dany user vidiet?
System>Users>User List
184
Aky process/servis sa pouziva na logovanie v F5?
UNIX Syslog-ng
185
V ktorej directory su ulozene vsetky logy?
/var/log directory
186
Na akom principe funguje "Remote logging?"
system posiela spravy do external toolu ako napor. Syslog Server, Splunk alebo ArcSight
187
Na akom porte pocuva Syslog server?
UDP 514
188
Co je "High Speed Logging (HSL)" ?
publishuje log messages destinacii pomocou filtering kriterii
189
Ako sa v GUI konfiguruje logging?
System>Logs>Configuration
190
Ako pozriet nejake logy v GUI?
System>Logs>System
System>Logs>Local Traffic
System>Logs>GSLB
System>Logs>Audit - config changes
191
Ako pozriet nejake logy v CLI? Pripadne zobrazit len poslednych 10 riadkov z daneho log file?
Cd /var/log
ls
Cat ltm
Tail -10 ltm
192
V ktorom file najdem logy prisluchajuce ku LTM?
/var/log/ltm
193
V ktorom file najdem logy prisluchajuce ku APM?
/var/log/apm
/var/log/em
194
V ktorom file najdem logy prisluchajuce ku DNS?
/var/log/gtm
195
V ktorom file najdem logy prisluchajuce ku ASM?
/var/log/asm
196
V ktorom file najdem logy prisluchajuce ku iControl?
/var/log/ltm
197
V ktorom file najdem logy prisluchajuce ku Packet Filteringu?
/var/log/pkfilter
198
V ktorom file najdem logy prisluchajuce ku HTTPD Errors?
/var/log/httpd/httpd_errors
199
V ktorom file najdem logy prisluchajuce ku Linux specific boot messages?
/var/log/boot.log
200
Ake su logging severities pre syslog event logging?
Emergency - system failures
Alert - serious errors, admin intervention required
Critical - hw/system failures
Error - non-critical but possibly important
Warning - logged for review
Notice - useful, can be usually ignored
Informational - useful, can be ignored
Debug - tshooting
201
Na co sluzi iApps ADC?
je to tool ktory umoznuje template based konfiguraciu specifickych aplikacii.
Umoznuje taktiez management a nahlad nad tymito aplikaciami
By defautl sa neda upravovat konfiguracia tychto aplikacii mimo iApps
202
Ako nakonfigurovat v GUI aplikaciu pomocou iApps?
iApps>Application Services>
203
Co treba spravit v GUI ak chceme menit konfiguraciu iApps created aplikacii mimo iApps toolu?
iApps>Properties>Advanced
untick -> Strict Updates
204
Aky je path ku iApps created HTTP objektom?
Common/ihttp.app
205
Kde v GUI viem pozriet total number of connections pre node ?
Statistics>Module Statistics>Local Traffic>Nodes
Local Traffic>Nodes>Node list> a potom klikni na statistics
206
Ako sa to sprava ked je pod poolom viac ako jeden health monitor?
by default musia byt splnene vsetky podmienky aby bol pool prehlaseny za available takze je to AND a teda vsetky podmienky musia byt splnene - vsetky health monitors musia byt zelene
207
Co je "Availability Requirement" a kde to nastavim?
Nastavuje sa tym minimalny pocet health monitorov pod poolom ktore musia byt splnene aby sa neuplatnovatl default AND operator na vsetky health monitors
Local Traffic>Pools>Pool List>>
208
Co je "Slow Ramp" a kde to nastavim?
hovori to o tom kolko sekund F5ka caka kym posle traffic na noveho pridaneho available pool membera
Local Traffic>Pools>Pool List>>
209
Co je "Action on Service Down" a kde to nastavim?
hovori to co ma f5ka robit ked servis na pool memberovi je unavailable
None
Reject (TCP reset flag)
Drop (silently kill connection)
Reselect (pool vyberie dalsieho available membera)
Local Traffic>Pools>Pool List>>
210
Co je to SNAT Pool a ako to v GUI nakonfigurujem?
je to pool kde mozme pridat jedneho alebo viac translated IP addresses co su source IPcky na ktore chcem prekladat
Local Traffic>Address Translation>SNAT Pool List>New SNAT pool
Nasledne treba SNAT Pool aktivovat pod VS v sekcii "Source Address Translation" treba vybrat SNAT cim sa aplikuje SNAT na SNAT Pool
211
SNAT List a ako to v GUI nakonfigurujem?
je to manualny SNAT config
Definujem tu source IP adresu na ktoru chcem prekladat ("Translation") pripadne viem definovat pool source IPcok (musim najskor definovat SNAT Pool)
Dalej tu viem definovat aka konkretna source IP sa ma prekladat vramci "Origin"
Tato IP adresa sa potom zmeni na tu co je nakonfigurovane v "Translation"
Local Traffic>Address Translation>SNAT List>New SNAT List
By default sa SNAT List aplikuje na vsetky VS kde neni nakonfigurovany ziaden NAT vramci VS konfigu ("None")
Ak je tam Auto-Map tak sa SNAT List neaplikuje
"SNAT" nastavenie vramci VS je preferovany pred SNAT List-om
212
Aky je rozdiel medzi SNAT Poolom a SNAT Listom?
SNAT Pool je len zoznam IP adries na ktore sa ma prekladat
SNAT List je vlastne politika kde definujem len ktore source IP adresy sa maju NATovat a nasledne definujem aj na ake IP adresy sa to ma NATovat a to bud na single IP alebo na pool ktory sa specifikuje prave vramci SNAT Pool
By default sa SNAT List aplikuje na vsetky VS kde neni nakonfigurovany ziaden NAT vramci VS konfigu ("None")
Ak je tam Auto-Map tak sa SNAT List neaplikuje
"SNAT" nastavenie vramci VS je preferovany pred SNAT List-om
213
Vramci VS konfiguracie aky je rozdiel ked v "Source Address Translation" vyberiem SNAT, Auto-Map alebo None?
None - vramci tohto nastavenia treba este prezriet ci neni aplikovany nejaky SNAT List pretoze ten sa defaultne uplatnuje na vsetky VS kde je prave toto nastavenie
SNAT - aktivuje SNAT Pool nastavenia, je to preferovanejsie pred SNAT Listom
Auto-Map - je to vlastne to iste ako SNAT len vyber IP adresy na ktoru sa bude prekladat source IP adresa sa vybera automaticky
214
Ake su typy Virtual Servera?
Standard - full proxy
Forwarding (L2)
Forwarding (IP)
Performance (HTTP)
Performance (L4)
Stateless
Reject
DHCP
215
Aky typ VS je "Standard" ?
- ide o klasicky full proxy takze sa vytvoria 2x TCP session jeden medzi klientom a f5 a druhy medzi f5 a serverom
- TCP ku klientom je optimalizovatelne
- vykonava sa LB
- iRule moze processovat vacsinu requestov
- Vacsina ak nie vsetky options su available
- VS je by default enabled pre vsetky VLANs co neni optimalne -> Riesenim je vybrat len tie VLAN/-s na ktore chceme aby VS pocuvalo (napr. len external)
Local Traffic>Virtual Servers>>
VLANs and Tunnels
216
Aky typ VS je "Forwarding"?
- traffic je rovno forwarded na destination (pouziva sa len routing/switching)
- nedochadza ku LB (no pool)
- niesu tu L7 profiles
Vznika tu issue ked su dve networks (external/internal) a obe pocuvaju na rovnaky range of IPs to znamena ze oba networky mozu mat duplicate Ip address … toto sa da fixnut tym ze enablneme VS len pre specificku VLANu
Dalsim riesenim je disable ARP pod virtual address
"Destination Address" nastavenie v VS moze byt kludne aj network co znamena ze bude reachovat nejaky z backend serverov
To ze ktory zalezi od toho aky request prijde na F5 (ako vyzera destination IP address packetu)
217
Aky typ VS je "Stateless"?
tento VS processuje len UDP applikacie (napr. Syslog)
218
Aky typ VS je "Reject"?
akykolvek traffic na tento VS je rejected
219
Aky typ VS je "DHCP"?
ide vlastne o DHCP relay setup
220
Aky je order of precedence pre VS? V akom poradi sa robi lookup medzi vsetkymi VS aby matchoval ten spravny?
1. :
2. :*
3. :
4. :*
5. *:
6. *:*
221
Ktory z tychto VS sa vyberie pre HTTP packet ktory ma destination 172.16.32.2
Reject_vs - 172.16.32.2:80
Forwarding_vs - 172.16.32.0/24
Reject pretoze mi sedi aj IPcka aj port
Druhy mi sedi len network
222
Aky je rozdiel medzi Virtual Address a Virtual Server?
Virtual Address - VIPka, Self IP VSka
Virtual Server - :
223
Ako vytvorim v TMOSe VS?
Tmsh create /ltm virtual destination : pool
Takto vytvoreny Vs nieje Type Standard ale Performance (L4)
224
Co treba v GUI spravit vramci VS setupu ked chceme pouzit iRule na handlovanie HTTP trafficu?
Tam kde treba HTTP profile treba zmenit najskor protokol z "All" na "TCP" a priradit HTTP profile
225
Co je Wildcard VS ?
Ide o specialny typ VS ktory ma destination network IP 0.0.0.0/0
Ak F5ka nenajde match tak to spada pod tento VS
F5ka by nasledne mala takyto traffic forwardovat na firewall alebo router
Existuju dva druhy wildcard VS:
Default wildcard server - 0.0.0.0:0
Port-speciic wildcard server - 0.0.0.0:80 (pre HTTP servis)
226
Ako funguje custom L7 health monitor?
V podstate F5ka ma na vyber medzi roznymi protokolmi ktore su vytvorene pre health monitoring ako napriklad FTP, SIP, ORACLE, IMAP kde sa dane protokoly spravaju specificky
227
Ako funguje FTP L7 health monitor?
V podstate na to aby F5ka overila funkcnost FTP servera tak je potrebne aby sa prihlasila na FTP server a skontrolovala obsah
Local Traffic>Monitors>Create
tu najskor vyberiem Type -> FTP
specifikujem kredence
do Path/Filename dam filepath do directory ktoru chcem kontrolovat
nasledne sa kazdy interval F5ka prihlasuje na FTp server a kontorluje dostupnost filepathu
228
Co predstavuje nastavenie "Manual Resume" pri L7 (FTP,HTTPS,..) application health monitore?
pool member ktory ma tuto feature zapnutu nebude marknuty akoavailable ked sa vrati spat online
takyto member musi byt manualne enabled co sa vyuziva hlavne pri maintenance alebo tshoote
229
Ako viem otestovat health monitor?
viem ho otestovat dokonca bez toho aby som ho aplikoval na nejakeho pool membra a to tak ze ked si rozkliknem dany monitor a vyberiem treti tab "Test" viem si specifikovat co chcem testovat v zavislosti od nastavenia monitora
Local Traffic>Monitors>>Test
Vysledok sa uklada do /var/log/monitors/_
230
Co viem nastavovat vramci L7 application health monitoru pre HTTP?
Send String - posiela sa to ako HTTP GET sprava s tym ze defaultne tam je GET /r\n\
Ak nasa stranka je napr "https://10.10.10.10/priklad.cgi" treba receive string zmenit na GET /priklad.cgi\r\n
Receive String - ak dam ako receive string IP adresu jedneho zo serverov to znamena ze jeden backend bude mat zeleny status a ostatne budu cervene pretoze nesplnaju receive string
Tu viem pouzit aj regex takze napr
172.16.20.[1-3] - ak chcem matchovat kontent na serveroch kde mi vypisuje IP adresu toho daneho servera
Receive Disable String - toto mi vlastne hovori ze akykolvek match tohto monitora mi sposobi ze backend server bude disabled takze bud cierny kruzok/stvorcek/diamand
Reverse - reverzuje to status outcome takze cokolvek co splna monitor bude cervene a cokolvek co nesplna monitor bude zelene
231
Co znamena regex "172.16.20.1|172.16.20.2"
matche bud 20.1 alebo 20.2
232
Co znamena regex ".", "?" alebo "*"
Wildcards
233
Co znamena regex "[1-5] [a-d] [^f]"
matchuje cisla od 1 do 5, pismenka od "a" do "d" a akykolvek charakter mimo "f"
234
Aky je rozdiel medzi "Disabled" a "Force Offline" pod pool memeberom?
Disabled member a Force offline nebudu prijmat nove connections ale budu stale prijmat traffic na starych sessions.
V pripade ze je nastavena persistencia tak disabled prijme aj nove connections ale Forced offline nie.
235
Na co sa pouziva "Nagle algorithm"?
redukuje network congestion
236
Ake L4 profily sa najcastejsie pozuivaju a kde sa aplikuju
F5-tcp-wan - WAN optimizacia
F5-tcp-lan - LAN optimizacia
F5-tcp-mobile - 3/4G cellular optimizacia
F5-tcp-progressive - vhodne pre rozne typy networkov
Pri nastavovani L4 profiloch sa odporuca na VS to nastavit takto:
Protocol Profile (Client) - f5-tcp-wan/tcp
Protocol Profile (Server) - f5-tcp-lan
237
Ako funguej kompresia?
Klient po initial TCP handshake posle na F5ku HTTP request kde v HTTP headeri bude AC co znamena ze som capable na compresion a posle mu ake typy kompresie moze pouzit (AC bude bud gzip alebo deflate, AC je active compression).
F5ka nasledne posiela na server HTTP request no v headeri ma "no AC" pretoze F5ka bude ta ktora bude robit kompresiu nie server.
Content Encoding je to ked F5ka uz odpoveda s kontentom.
Klient nasledne spravi dekompresiu na zaklade protokolu ktory F5ka posle v HTTP response headeri (napr. Gzip).
238
Ako funguje Caching?
Klient posiela request na VS na F5ke.
F5ka zprocessuje request a vyberie nejakeho pool membera.
Ked pool member odpoveda spat na F5ku, ta pozera na data a hlada vacsie staticke data ako JPG, java script alebo css.
Komunikacia pokracuje klasicky.
Pri nasledne dalsom requeste na F5ku, F5ka uz pozna data a teda vie rovno odpovedat.
Tymto sa minimalizuje load na pool membera.
239
Co je to "Client address insertion"?
Niektore appky vyzaduju vediet povodnu Ipcku pred SNAT ..
Tato feature nam umoznuje prezervovat info o starej source IP pri SNAT pomocou custom HTTP alebo "XForwarded For header"
240
Co je "OneConnect"?
Umoznuje klientom (HTTP service) vyuzit (re-use) server-side connections.
Ovplyvnuje to LB metody.
241
Co je "Chunking"?
Umoznuje iRules a kompresii aby co-fungovala spolu s chunked http data
242
Ako treba postupovat a nad cim treba rozmyslat pri nastavovani L7 profilov?
Pri nastavovani L7 profilov respektive pri nastavovani cachingu a kompresie je potrebne aby mala F5ka (konkretne VS) insight do applikacie takze je potrebne nastavit najskor HTTP Profile.
Nasledne sa otvori moznost Acceleration tabu:
Tu sa vyplnaju moznosti HTTP Compression Profile a Web Acceleration Profile (caching)
243
Ako v CLI nakonfigurujem profil?
Tmsh list /ltm profile - zobrazi ake profiles mame configured
Tmsh show /ltm profile - toto ukaze statistiku cachingu pre rozne profiles
Tmsh show /ltm profile web-acceleration - toto ukaze statistiku cachingu pre specificky profile
Tmsh show /ltm profile ramcache webacceleration - ukaze ramcache data pre caching - toto ukaze ze nemame ziadny profil pre web acceleration ak tam naozaj nic neni
Tmsh modify /ltm virtual add { webacceleration } - tymto sa enablne caching za predpokladu ze "webacceleration" je nazov defaultneho profilu pre caching
To ci mi to funguje otestujem po nejakom traffic-u s
Tmsh show /ltm profile ramcache webacceleration
244
Akym prikazom v CLI viem preverit ci mi funguje L7 HTTP "webacceleration "profil?
Tmsh show /ltm profile ramcache webacceleration
245
Ake su dve moznosti pre SSL Profiles?
Client SSL Profile
Client Side - Encrypted Traffic
Server Side - Unencrypted Traffic
Pros
Centralizovany management pre SSL certifikaty
Garancia security
Uspora resources pre backedn servery a v podstate opak vsetkeho co je uvedene nizsie
Limitation Without SSL Offload Termination for HTTPS
No HTTP Profiles
No HTTP Compression, caching, cookie persistance
No Security inspection
Limited iRules
------------------------------------------------------------------
Client and Server SSL Profile
Client Side - Encrypted Traffic
Server Side - Encrypted Traffic
Pros n Cons
Vacsia security
Certifikaty a kluce treba mat aj an F5ke aj na backend serveroch
No SSL offload pre backend servery (ziadna uspora resources)
Komplexnejsi tshoot
246
Co znamena ked loaduje web a vyhodi mi "Secure Connection Failed" error
Ak mam HTTPS service a nastavim HTTP Profile na "HTTP" tak mi stranka vyhodi "Secure Connection Failed" error
To znamena ze profile vie handlovat len HTTP traffic ale nie HTTPS (chyba mi certifikat)
247
Ako nastavim v GUI client certifikat na F5?
System>Certificate Management>Traffic Certificate Management>SSL Certificate List
Tu sa nachadzaju system defined SSL certificates
Tu dame "Create" a vytvorime novy
Name je nazov toho certu
Issuer v testovacom prostredi moze byt "Self" (not trusted ..) no v produkcii to bude nejaka CA
Common Name v testovacom prostredi je nazov zariadenia (hostname)
Takto vytvoreny certifikat sa neda priamo linknut s VS ale treba ho najskor linknut s profilom a az ten nasledne linknut s VS
Local Traffic>Profiles>SSL>Client
Create
Name je nazov objektu
Kliknem na tick box vedla "Certification Key Chain" a kliknem na "Add"
Certificate zmenim z default na to co som predtym nastavil ako nazov pre ten certifikat
Key zmenim na to iste a dam Add
Finish
Teraz vramci VS konfiguracie treba pridat SSL Profile (Client)
Po tomto sa uz dostaneme na potvrdenie untrusted certifikatu no stale by mi mala prist odpoved "Bad Request" pretoze mame pod poolom memberov s portom 443... Treba to zmenit na 80 v tomto setupe.
Local Traffic>Virtual Servers>Virtual Server List>>Resources
Tu zmenime Default Pool na http pool
248
Co znamena ked sa chcem dostat na web a dostanem "Bad Request" error?
Po tom ako potvrdim untrusted certifikat a ukaze sa mi takyto error message tak viem ze mam pod poolom memberov s portom 443 no profil mam HTTP takze posiela HTTP nesifrovane spravy na listenerov ktory ocakavaju TLS spravy... Treba to zmenit na 80 v tomto setupe.
Local Traffic>Virtual Servers>Virtual Server List>>Resources
Tu zmenime Default Pool na http pool
249
Ako upravit setup aby sa sifrovalo aj na F5ke a aj na serveroch
Vykona sa vsetko co bolo aj pri SSL Offloade
Teraz vramci VS konfiguracie treba pridat aj SSL Profile (Server)
Update
Teoreticky vieme vytvorit novy SSL certifikat pre server ale vieme pouzit aj defaultny profil "serverssl"
Nasledne treba dbat na to ze F5ka desifruje SSL traffic a sifruje ho pre backend servery takze pool members musia pocuvat na porte 443 takze:
Local Traffic>Virtual Servers>Virtual Server List>>Resources
Tu nastavime "Default Pool" na https pool
250
Ake pozname typy perzistencii?
Source Address Affinity - based on source IP
Cookie Persistence - based on cookie sent from server to the client
SSL - based on SSL ID session za pouzitia SSL ID
Universal - we customize persistence kriterium
Destination Address Affinity - based on destination IP
SIP - call-ID persistence (telephony..)
251
Co je to "Fallback Persistence"?
Ked klient posle request ale bez cookie tak sa pouziva fallback persistence
"Source Address" a "Destination Address Affinity" su jedine dve moznosti
252
Co je a ako cca funguje "Universal Persistence"?
Sam si viem navolit na zaklade coho sa ma robit perzistencia.
Customizable based on header alebo content data ktore je specified aplikaciou.
Spajane s iRule:
When HTTP_REQUEST {
If { [HTTP::uri] contains "user=" } {
Persist uie [ findstr [HTTP::uri] "user=" 5 "&" ]
}
}
*Persis uie - universal persistence
Priklad URI:
http://10.10.1.100/env.cgi?user=bigip&pw=abo
Ten iRule script mi hovori ze zober vsetko co je v URI za 5tym znakom v slove user= (od) az po znak "&"
Toto v podstate zoberie len ten "bigip"
tmsh show /ltm persist-records - Persistence Value mi ukaze presne "bigip"
253
Ako si v CLI skontrolovat persistence record table?
tmsh show /ltm persist-records
254
Ako v GUI nakonfigurovat Universal Persistence?
Local Traffic>iRules>Create
Tu dame meno a nakopcime tam ten skript
Finish
Local Traffic>Profiles>Persistence>Create
Name
Persistence type -> universal
Tickneme pri iRule na checkbox a vyberieme nasu iRule
Finished
Local Traffic>Virtual Servers>Virtual Server List>>Resources
Default Persistence Profile vyberieme nas persistence profile
Tmsh show /ltm persist-records
Vysledkom je ze v riadku ti vypise nasledovne:
Persistence metodu ktora ma tento record
To co si parsom iRule-ou
VS:port
LB-ed Poolm member:port
255
Ako v GUI nakonfigurovat iRule?
Local Traffic>iRules>Create
Tu dame meno a nakopcime tam skript
Finish
Local Traffic>Virtual Servers>Virtual Server List>>Resources
Tu pri iRules dame Manage a vyberiem vytvorenu iRule
256
Ako v GUI preverim ci funguje iRule ?
Statistics>Module Statistics>Local Traffic>iRules
257
Ako znie URL pre knowledge base?
support.f5.com
258
Co je to End User Diagnostics (EUD)? Kedy sa to pouziva?
Set of diagnostic tests ktore providuju reporty o roznych komponentoch hardware unitu.
Nerobi sa to pocas produkcie
Vacsinou sa toto robi len po tom co to f5 support odporuci pre tshoot
EUD software je update-ovany regularly.
259
Co sa stane ak pouzijem outdated EUD?
Ak by som pouzil nie up to date verziu tak EUD moze skoncit false negative alebo false positive reportom.
Tieto reporty mozu predlzit tshoot.
260
Kam sa ukladaju EUD reporty?
v zavislosit od platformy do:
/eud.log
/shared/log/eud.log
/shared/TestRPT.log
261
Ked poslielam logy na support, ako ich zozipujem?
Tar -czpf /home/root/log.tar.gz /var/log/*
262
Aky je rozdiel medzi "Connection Limit" a "Connection Rate Limit"?
Connection Limit - limituje maximalny pocet subeznych conekcii pre VS
Connection Rate Limit - limituje maximalny pocet konekcii za sekundu pre VS
263
Co sa stane ked je presiahnuty connection limit alebo connection rate limit?
F5ka pri TCP posle RST TCP packet a pri UDP dropne packet
264
Akym prikazom zapnem logovanie pre rate limit causes?
tmos modify /sys db tm.rstcause.log value enable
265
Akym prikazom vylistujem dovody preco mi prislo TCP RST ?
show /net rst-cause
266
Akym prikazom zapnem zobrazovanie dovodu preco prislo ku TCP RST vramci logov?
tmos modify /sys db tm.rstcause.pkt value enable
267
Control Plane vs Data Plane pre F5?
Data Plane - client related traffic
Control Plane - ConfigSync, mgmt ssh/https traffic, HA related traffic, routing info, logging, provisioning, licensing, iControl REST, crond, ...
268
Kedy robit traffic capture?
Ked riesime network traffic issue alebo ked tracujeme traffic
269
Co hladam pri performance issue v packet capture?
TCP window size issues ako napriklad stav kedy by mi poslal server alebo klient zero window co znamena ze jeho NIC nedokazde prijmat tolko sprav a dochadza ku degradacii konekcie. Taktiez nas zaujimaju retransmisie pripadne iny problem ktory by navadzal v rieseni problemu.
270
Ake su "Security Levels" pre support ticket?
Severity 1 - 1 hour response, preventuje execution kritickych business aktivit, treba telefonovat
Severity 2 - 1 hour response, preventuje alebo signifikantne ovplyvnuje high-level business aktivity
Severity 3 - 4-hour response, degradacia servisu
Severity 4 - tshoot non-critical problemov, request na funkcionalitu ktora nieje sucastou sucasneho produktu
Severity 1 - site down
Severity 2 - site at risk
Severity 3 - performance degraded
Severity 4 - general assistance
271
Kde sa raisuje support case a co vsetko musi takyto case obsahovat?
my.f5.com
Serial number or registration key for your product
Specific information about your issue, depending on your product
Priority-level for your case
pripadne QKView file, UCS file, core file, logs, packet capture
272
Co pouziva F5 na vymenu suborov pre support case reoslution?
securefiles.f5.com
273
Akymi sposobmi viem licencovat F5ku?
Manualne - cez secure.f5.com vyplnime dossier string ktory generuje F5ka
Automaticky - zariadenie treba mat routed mgmt do internetu aby sa dostal na activate.f5.com
274
Co je z pohladu licencii "Add-On Registration Key" ?
je to v podstate kluc ktory sa po pouziti spaja s Base Registration Key a sluzi na dodatocnu licensing modulov
275
Ako v CLI vytvorim novu VLAN pre tagged interface 1.1 s tagom 705?
Create /net vlan internal interfaces add {1.1 {tagged}} tag 705
276
Ako v CLI vytvorim novy trunk "test" ?
create /net trunk test interfaces add {4.0 5.0}
277
Ako v CLI pridam porty 6.0 a 7.0 do trunku "test"?
modify /net trunk test interfaces add {6.0 7.0}
278
Ako v CLI zmazem port 4.0 z trunku "test"?
modify /net trunk test interfaces delete {4.0}
279
Ako v CLI zmazem trunk "test"?
delete /net trunk test
280
Ak mam v trunku dva porty tak aku MAC adresu bude mat takyto trunk?
trunk vzdy pouzije MAC adresu nizsieho port ID
1.1 a 1.2 porty v trunku budu pouzivat MAC z portu 1.1
281
Ako v CLI zapnem LACP pre trunk "test"?
modify /net trunk test lacp enabled
282
Ako z CLI ulozim konfig?
save /sys config
283
Co je ulozene v /config/bigip.conf?
Virtual servers, Pools, SNATs, Monitors, Profiles, etc
284
Co je ulozene v /config/bigip_base.conf?
VLANs, Interfaces, Self IPs, Device Groups, etc
285
Co je ulozene v /config/bigDB.dat?
System settings, Hostname, HA settings, etc
286
Co je ulozene v /config/bigip_user.conf?
User account configuration
287
Co je ulozene v /config/profile_base.conf?
system-defined profile object
