Cisco 3750 stack

Просмотр состояния

show switch stack-ports
show switch neighbors
show switch

Изменить номер члена стека
switch текущий-номер-члена-стека renumber новый-номер-члена-стека
reload slot текущий-номер-члена-стека

Значение приоритета
switch номер-члена-стека priority новое-значение-приоритета

Безопасный debug в Cisco

Запуск debug режима на маршрутизаторе может сильно влиять на производительность вплоть до полной недоступности устройства как по сети так и через консольный порт. Если не посылать вывод сообщений debug режима на консоль, тогда это может помочь в некоторой степени. В этой статье будет описано как без вывода данных на консоль можно посмотреть информацию debug режима.

Некоторые команды debug, например
debug ip packet detail
могут привести к недоступности маршрутизатора во время вывода данных на консоль. Зачастую, это случается из-за большого объема данных при медленной скорости подключения 9600 бод.

Таким образом, отключим эту функцию!
config t
no logging console
Однако, с момента "замирания" данных на экране информация debug режима не очень полезна. Таким образом, можно подключиться к маршрутизатору при помощи telnet клиента и запустить
terminal monitor
для отправки всех сообщений режима debug клиенту. Уже лучше, но это все так же может привести к печальным последствиям.

Необходимо только переместить все сообщения debug режима в буфер
logging buffered

после чего их можно просмотреть при помощи
show log

Есть и другая опция, которая помогает при отладке:
debug ip packet

которая является безопасней при применении списка доступа(access-list) для анализа необходимого трафика. Например:
access-list 100 permit ip any host 1.1.1.1
access-list 100 permit ip host 1.1.1.1 any

debug ip packet detail 100
В этом примере можно увидеть детальную информацию по IP пакетам от хоста(1.1.1.1) или к этому хосту.

Решаем проблему совместимости Cisco и SFP

Столкнулся недавно с проблемой. А суть ее такова: есть коммутатор Cisco 3560E и в нем есть модуль для подключения SFP. Если вставить родные SFP от Cisco, то все работает; если же подключить SFP модуль стороннего производителя, тогда этот модуль не будет принимать коммутатор.

При подключении SFP модуля стороннего производителя в логи коммутатор пишет вот что:

00:40:35: %GBIC_SECURITY_CRYPT-4-VN_DATA_CRC_ERROR: GBIC in port Gi0/25 has bad crc
00:40:35: %PHY-4-UNSUPPORTED_TRANSCEIVER: Unsupported transceiver found in Gi0/25
00:40:40: %GBIC_SECURITY_CRYPT-4-VN_DATA_CRC_ERROR: GBIC in port Gi0/26 has bad crc
00:40:40: %PHY-4-UNSUPPORTED_TRANSCEIVER: Unsupported transceiver found in Gi0/26

Решить эту проблему достаточно просто. Заходим на коммутатор и "заставляем" коммутатор принять наши модули стороннего производителя при помощи команд:

service unsupported-transceiver
no errdisable detect cause gbic-invalid
no errdisable detect cause sfp-config-mismatch

Configuring WPA2 on Cisco Aironet

1240AG> enable
1240AG# configure terminal
1240AG (config)# interface dot11radio 0
1240AG (config-if)# encryption vlan 30 mode ciphers aes-ccm
1240AG (config-if)# ssid Admin
1240AG (config-if-ssid)# vlan 30
1240AG (config-if-ssid)# authentication open
1240AG (config-if-ssid)# authentication key-management wpa version 2
1240AG (config-if-ssid)# wpa-psk ascii $key

cisco bug

sh ip int | inc (.*)(/1)+

ASA 5510 + Squid

Настройка ASA
access-list proxyclients extended permit tcp host $ip_client any eq www
access-list proxyservers extended permit ip host $ip_proxy any
wccp web-cache redirect-list proxyclients group-list proxyservers
wccp web-cache
wccp interface inside web-cache redirect in

Настройки прокси
/etc/sysctl.conf
net.ipv4.ip_forward=1
net.ipv4.conf.default.rp_filter=0
net.ipv4.conf.all.rp_filter=0

echo "ip_gre" >> /etc/modules

/etc/network/wccp.up
#!/bin/bash
iptunnel add wccp0 mode gre remote $asa_router_id local $ip_proxy dev eth0
ifconfig wccp0 inet $ip_proxy netmask 255.255.255.0 up
iptables -t nat -A PREROUTING -i wccp0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128

/etc/network/wccp.down
#!/bin/bash
iptables -t nat -F
iptunnel del wccp0

echo "post-up /etc/network/wccp.up" >> /etc/network/interfaces
echo "pre-down /etc/network/wccp.down" >> /etc/network/interfaces

/etc/squid/squid.conf
wccp2_router $ASA_interface
wccp_version 4
wccp2_rebuild_wait on
wccp2_forwarding_method 1
wccp2_return_method 1
wccp2_assignment_method 1
wccp2_service standard 0

Password Recovery Procedure for the Cisco 806, 826, 827, 828, 831, 836, and 837 Series Routers

1. Attach a terminal or PC with terminal emulation to the console port of the router.
2. Press Break on the terminal keyboard within 60 seconds of power up in order to put the router into ROMMON
3. Type confreg 0x2142 at the rommon 1> prompt in order to boot from Flash.
4. Type reset at the rommon 2> prompt.
5. Type no after each setup question, or press Ctrl-C in order to skip the initial setup procedure.
6. Type enable at the Router> prompt.
7. Type configure memory or copy startup-config running-config in order to copy the nonvolatile RAM (NVRAM) into memory.
Important: Do not type copy running-config startup-config or write. These commands erase your startup configuration.
8. Type configure terminal
9. Type config-register 0x2102
10. Press Ctrl-z or end in order to leave the configuration mode.
11. Type write memory or copy running-config startup-config in order to commit the changes.

update IOS

copy run tftp

show flash:

delete c2800nm-adventerprisek9_mz.124-24.T.bin

copy tftp://c2800nm-adventerprisek9_ivs_mz.124-24.T1.bin flash:c2800nm-adventerprisek9_ivs_mz.124-24.T1.bin

verify /md5 flash:c2800nm-adventerprisek9_ivs_mz.124-24.T1.bin

boot system flash:c2800nm-adventerprisek9_ivs_mz.124-24.T1.bin

reload

DHCP PIX

dhcpd address 10.10.10.1-10.10.10.128 inside
dhcpd enable inside
dhcpd dns 192.168.100.25
dhcpd domain piva.net
dhcpd lease 7200
dhcpd ping_timeout 100

Настройка catalyst 2960

conf t
no enable password
enable secret 1234
service password-encryption
no ip domain-lookup
ip domain-name net.test
ip name-server 172.25.1.1
crypto key generate rsa
ip ssh time-out 60
ip ssh version 2
ip ssh authentication-retries 2
logging on
loggin origin-id hostname
logging buffered 262144 debugging
logging rate-limit 10 except warnings
logging trap debug
login on-failure trap

login on-success trap
logging 172.25.1.2
aaa new-model
aaa authentication login default local
ntp server 172.25.1.2
clock timezone UTC 2
banner motd ^
*************************************************
NOTICE TO USERS WARNING!
This system is the property of NET Inc.
The use of this system is restricted to authorized users,
unauthorized access is forbidden and will be prosecuted by law.
Disconnect IMMEDIATELY if you are not an authorized user!
*************************************************
^

archive
log config
logging enable
hidekeys
notify syslog
exit
exit

aaa authorization exec default local
username cprun privilege 15 secret 0 CopyRunConfig
username cprun autocommand copy run tftp://172.25.1.2/

username cpstart privilege 15 secret 0 CopyStartConfig
username cpstart autocommand copy run tftp://172.25.1.2/


no service finger
no service pad
no service udp-small-servers
no service tcp-small-servers
service password-encryption
service tcp-keepalives-in
service tcp-keepalives-out
no cdp run
no ip bootp server
no ip http server
no ip http secure-server
no ip finger
no ip source-route
no ip gratuitous-arps
no ip identd

ip subnet-zero

spanning-tree portfast default
spanning-tree portfast bpduguard default

line con 0
logging synchronous
escape-character 3
exec-timeout 15 0
exit
line vty 0 15
logging synchronous
escape-character 3
exec-timeout 1440 0
login local
exit
wr

Шаблон для настройки коммутаторов catalyst2950

! на каталистах этот сервис не нужен.Что-то связанное с X.25
no service pad
!
! Периодически посылать пакеты, даже если сессия неактивна
! Нужно чтобы:
! 1. NAT не разрывал соединение
! 2. Чтоб зависшая сессия не висела долго - если нет keepalive пакетов сессия сбрасывается.
service tcp-keepalives-in
service tcp-keepalives-out
!
! В дебаге указывать месное время с точностью до миллисекунд
service timestamps debug datetime msec localtime
!
! В логе указывать местное время
service timestamps log datetime localtime
!
! Скрывать пароли от случайного подглядывания.
! На вид они не читаются, но есть алгоритм который позволяет узнать исходный пароль.
service password-encryption
!
! Нумеровать сообщения которые пишутся в лог
! это позволяет узнать, что какие то сообщения были потеряны либо из за rate-limit на самой циске,
! либо при передаче по сети (это возможно так как протокол syslog использует udp и повторной отправки сообщений нет)
service sequence-numbers
!
! отключем dhcp - все равно на какталисте он не нужен, только занимает память и снижает защищенность
no service dhcp
!
! Выделить в оперативной памяти буфер 256 Кб для записи логов
! не смотря на то, что логи пишутся по сети на сервер, если связь по сети временно отсутствовала, то
! посмотреть ошибки можно будет тоолько в локальном буфере командой show logging
logging buffered 262144 debugging
!
! Писать в лог не больше 10 сообщений (уровня debugging, informational и notifications) в секунду, чтоб не вызвать этим перегрузку
! сообщетия уровня warnings и выше (errors, critical, alerts, emergencies) пишутся не смотря на это ограничение скорости
logging rate-limit 10 except warnings
!
! На консоль (rs-232) выводить только критические сообщения, т. к. вывод сообщений на консоль замедляет работу
logging console critical
!
! Включаем AAA
aaa new-model
!
! По умолчанию при заходе на каталист (через telnet или console) аутентификацмя идет через tacacs+ ! Если tacacs+ сервер недоступен, то для входа используется enable secret (логин при этом не спрашивается, сразу пароль)
aaa authentication login default group tacacs+ enable
!
! Авторизация идет через tacacs+, если он недоступен то авторизацию проходит любой,
! кто прошёл аутентификацию, т. е. ввел enable secret
aaa authorization exec default group tacacs+ if-authenticated
!
! Посылать stop-пакет, если был неправильно введен логин/пароль
! нужно, чтобы в /var/log/tac_plus.acct попадали попытки подобрать пароль
aaa accounting send stop-record authentication failure
!
! Для учета работы через телнет использовать tacacs+
! записи о том, что когда заходил на циску и когда выходил пишутся в /var/log/tac_plus.acct
aaa accounting exec default start-stop group tacacs+
!
! Посылать на tacacs+ сообщения о перезагрузке каталиста
aaa accounting system default start-stop group tacacs+
!
! Задаем enable, чтоб если tacacs+ не работает по нему мы зайти на каталист
enable secret good_password
!
! Указываем часовой пояс, разница времени по сравнению с UTC - 2 часа
clock timezone UTC2
!
! Автоматически восстанавливать работу порта если он отключился по port security по прошествии errdisable recovery interval
! если мака который вызвал отключение на порту больше нет
errdisable recovery cause security-violation
!
! В состоянии errdisable порт находится 120 секунд, после этого пробует включиться если
! для данной причины была указана команда errdisable recovery cause
errdisable recovery interval 120
!
! Разрешить использование 0 в номере подсети
ip subnet-zero
!
! Запретить обработку опций ip пакета source routing
! в современных сетях это не используется для нормальной работы и нужно отключить из соображений безопасности
no ip source-route
!
! Ограничить скорость посылаемых каталистом icmp пакетов типа destination unreachable до 1-го пакета в секунду (1000 мс)
ip icmp rate-limit unreachable 1000
!
! То же самое но для icmp destination unreachable, подтип fragmentation is needed and DF set
ip icmp rate-limit unreachable DF 1000
!
! Включаем TCP Selective Acknowledgment для повышения производительности tcp на каналах, где есть потери пакетов
! Более подробно про SACK можно прочитать в RFC2018
! если в пределах окна было потеряно несколько пакетов SACK позволяет повторно отправить только потерянные пакеты,
! а не все пакеты начиная с первого потеряно. Например, без SACK если были посланы пакеты с 1-го по 8-й и потеряны
! 4-й и 7-й пакеты, то передающий хост получить подтверждение о приеме только 1, 2 и 3-го пакетов и должен будет повторно
! отправить 4, 5, 6, 7, 8. Если включить SACK то будет получены подтверждения для пакетов 1, 2, 3, 5, 6, 8 и повторно
! нужно будет отправить только 4-й и 7-й пакеты.
ip tcp selective-ack
!
! Включаем опцию TCP timestamp для более точного измерения RTT что повышает производительность TCP
! более подробно описано в RFC1323
ip tcp timestamp
!
! Включаем path mtu discovery, который необходим если по маршруту есть участки с mtu меньше чем 1500 байт
! более подробно можно прочитать про эту команду на cisco.com ip tcp path-mtu-discovery
! указываем список доменов, который подставляют когда указано только имя хоста, без домена (в командах ping, traceroute, telnet и др.)
ip domain-list host1.test.com
! имя домена для данного хоста
ip domain-list test.com
! наши ДНС сервера
ip name-server 192.168.1.1
ip name-server 192.168.1.2
!
! per vlan spanning tree
spanning-tree mode pvst
! включать по умолчанию bpdufilter для портов с настройкой spanning-tree portfast
spanning-tree portfast bpdufilter default
! описание этой команды на cisco.com найти не удалось
no spanning-tree optimize bpdu transmission
! исползовать расширения 802.1t для pvst
spanning-tree extend system-id
!
! Порт, подключенный к маршрутизатору или серверу
! на котром настроен inter-vlan routing
interface FastEthernet0/1
! перед любым description ставим -- чтобы он не сливался с конфигом, а выделялся
  description -- to gw
! 802.1q транк
switchport mode trunk
! не распозновать режим (mode access или mode trunk) автоматически
switchport nonegotiate
! загрузка интерфейса, показываемая в show int вычисляется за последние 60 секунд
load-interval 60
! сразу переводить порт в forwarding без задержки
spanning-tree portfast trunk
!
! Порт, к которому подключен другой коммутатор
! Обращаю внимание, что spanning-tree portfast в этом случае прописывать нельзя
interface FastEthernet0/2
description -- to sw2
switchport mode trunk
switchport nonegotiate
load-interval 60
!
! Настройки порта для клиента, подключенного к общему vlan
! чтобы он не мог менять IP на маршрутизаторе с помощью static arp привязываем ip к mac
! а чтобы не мог менять MAC прописываем на порту port-security
interface FastEthernet0/3
description ““--”” 1111 Firmname, office 303
switchport access vlan 100
switchport mode access
switchport nonegotiate
switchport port-security
load-interval 60
! отключаем на клиентских портах cdp - клиентам не нужно знать технически подробности нашего оборудования no cdp enable
! сразу переводить порт в forwarding без задержки, кроме того на таких портах у нас по умолчанию включается bpdufilter
spanning-tree portfast
!
! Клиент для которого выделен отдельный vlan
interface FastEthernet0/4
description -- 2222 Firm2name, room 302
switchport access vlan 14
switchport mode access
switchport nonegotiate
load-interval 60
no cdp enable
spanning-tree portfast
!
! Неиспользуемые порты помещаем в 1001 vlan чтоб они не имели доступа к сети.
! shutdown на таких портах не делам, чтоб видеть подключено к ним что то или нет.
!
interface FastEthernet0/5
switchport access vlan 1001
switchport mode access
switchport nonegotiate
load-interval 60
spanning-tree portfast
!
! .........................
!
interface FastEthernet0/24
switchport access vlan 1001
switchport mode access
switchport nonegotiate
load-interval 60
spanning-tree portfast
!
! Интерфейс, через который мы получаем доступ к коммутатору
interface Vlan1
description -- management interface
  ip address 192.168.1.5 255.255.255.0
no ip redirects
no ip proxy-arp
no ip route-cache
!
! Шлюз по умолчанию
ip default-gateway 192.168.1.1
! Отключаем веб интерфейс. Во многих версиях IOS он подвержен DoS.
no ip http server
!
! Ограничиваем доступ к коммутатру по telnet
! это особенно актуально учитывая что пароль при подключении по telnet передается открытым текстом
! и нужны дополнительные меры для защиты от подключения извне
ip access-list extended vty-access
remark -- hosts permitted to access the router
permit tcp 192.168.1.0 0.0.0.255 any
deny tcp any any range 0 65535 log-input
deny ip any any log-input
!
! сервер на который мы по сети пишем логи. На нем настрое syslogd
logging 192.168.1.6
!
! Сервера по которым мы можем синхронизировать время
! если не использовать этот access list то у злоумышленника будет шанс изменить время на коммутаторе
access-list 2 remark -- ntp hosts to which the router can synchronize
access-list 2 permit 192.168.1.80
access-list 2 permit 192.168.1.68
access-list 2 deny any log
!
! Указываем на какие сервера можно можно копировать конфигурацию (или с каких)
! если дана команда по snmp
! без этого включать WR snmp community небезопасно
access-list 4 remark -- tftp servers to/from which config download/upload is permitted
access-list 4 permit 192.168.1.67
access-list 4 deny any
!
! Ограничиваем доступ по snmp на чтение
access-list 5 remark -- hosts permitted to read snmp MIBs on the switch
access-list 5 permit 192.168.1.34
access-list 5 permit 192.168.1.64 0.0.0.7
access-list 5 deny any log
!
! Ограничиваем доступ по snmp на запись. Чем меньше хостов здесь указаны, тем спокойнее можно спать.
access-list 6 remark -- hosts permitted to write snmp MIBs on the switch
access-list 6 permit 192.168.1.67
access-list 6 deny any log
! snmp community для доступа на чтение. Я предпочитаю генерировать случайную строку программой pwgen
! 5 - номер акцесс листа.
snmp-server community XXXXX RO 5
! То же саме но с доступом на запись. Обязательно указываем aceess list
snmp-server community XXXXX RW 6
! Физическое расположение сервера.
! Настоятельно рекомендую указывать, чтоб не перепутать что где стоит. Когда каталистов в сети много помнить наизусть это нерельно.
snmp-server location Street 9, 2 floor
! контактная информация
snmp-server contact admin@test.com
!
! акцесс лист с адресами куда можно по tftp копировать конфиг, если была команда на это по snmp
snmp-server tftp-server-list 4
tacacs-server host 192.168.1.67 key XXXXXX
!
! Текст, который показывается при подключении к коммутатору
banner motd *
________________________________________________________________________________
Warning : Authorized access only !!!
Disconnect IMMEDIATELY if you are not an authorized person !!!
_______________________________________________________________________________

*
!
line con 0
! Увеличиваем кол-во запоминаемых команд
history size 256
! Что бы не пытался ресолвить через ДНС то что получилось в результате опечатки при наборе команды
transport preferred none
! Перывать traceroute по нажатию Ctrl+C
escape-character 3
line vty 0 15
! Указываем aceess list которым ограничен доступ по telnet
access-class vty-access in
! После 300 минут неактивности закрываем сессию
exec-timeout 300 0
history size 256
transport preferred none
transport input telnet
transport output telnet
escape-character 3
!
! Ключ, который используется для уатентификации в ntp
ntp authentication-key 1 md5 xxxxxx xx
! Включаем его использование
ntp authenticate
ntp trusted-key 1
! Акцесс лист в котором указаны сервера
ntp access-group peer 2
! ntp сервера, по которым синхронизируем время
ntp server 192.168.1.80 key 1
ntp server 192.168.1.68 key 1
!
end

Создание mirror портов в Cisco Catalyst 2960

Создание mirror портов - применяется для зеркалирования всего трафика проходящего через один из портов на другой. В терминах cisco это называется Switched Port Analyzer (SPAN).

Настроить в Catalyst 2960 более чем элементарно, надо из configuration mode написать:

Switch(config)#monitor session 1 source interface Fa0/1
Switch(config)#monitor session 1 destination interface Fa0/2

Как мы видим - все пакеты первого порта зеркалируются на второй. Единственное, что 2 порт не должен быть port-security.

Синхронизация времени Cisco

Посмотр состояния
show clock [detail]
show ntp status
show ntp associations [detail]

Установка значений
clock set hh:mm:ss день месяц год

Настройка на синхронизацию с ntp сервером
ntp server ip-address [version номер] [key номер-ключа][source интерфейс] [prefer]

Максимальное число соседей NTP-протокола
ntp max-associations число

Аутентификация NTP:
ntp authenticate - включить
ntp authentication-key number md value - задать значение ключа
ntp trusted-key номер-ключа - знающий этот ключ может синхронизовать нас

Запретить NTP сервис на определенном интерфейсе
ntp disable

Если cisco имеет несколько IP-адресов то можно определить исходный IP-адрес в NTP-пакетах
ntp source интерфейс

Определить cisco как властный источник времени, даже если она не синхронизована с внешним миром
ntp master [слой]

Сливаем логи cisco на syslog-ng

1. Редактируем конфигурационный файл syslog-ng

vi /ets/syslog-ng/syslog-ng.conf

Добавляем в конец файла строки вида: 
# указываем источник откуда будем слушать сессии для приёма логов
# 0.0.0.0 означает слушаем от всех хостов во всех сетях. 

source net { udp(ip(0.0.0.0) port(514)); };
destination df_cisco { file("/var/log/cisco.log"); };

# какие сообщения пишем в логи

filter f_cisco_info { level(info); };
filter f_cisco_notice { level(notice); };
filter f_cisco_warn { level(warn); };
filter f_cisco_crit { level(crit); };
filter f_cisco_err { level(err); };

# формат записи имя хоста, уровень критичности сообщений, куда пишем

log { source(net); filter(f_cisco_info); destination(df_cisco); };
log { source(net); filter(f_cisco_notice); destination(df_cisco); };
log { source(net); filter(f_cisco_warn); destination(df_cisco); };
log { source(net); filter(f_cisco_crit); destination(df_cisco); };
log { source(net); filter(f_cisco_err); destination(df_cisco); };

2. Настройка logrotate

Создаём файл 
vim /etc/logrotate.d/cisco

следующего содержания: 
/var/log/cisco.log { # какой файл ротировать
rotate 7 # сколько резервных копий хранить
missingok
notifempty
weekly # по прошествии какого времени ротировать
compress # сжимать копии
}

3.  Если используем logcheck

echo "/var/log/cisco.log" >> /etc/logcheck/logcheck.logfiles

4. Перегружаем syslog: 

/etc/init.d/syslog-ng restart

5. Настройка Cisco

!
logging facility local1
logging source-interface Vlan2
logging 192.168.0.10
!

Тонкая настройка CISCO

Формат временной отметки задается командой:
service timestamps log datetime | uptime [localtime] [msec] [show-timezone] 

Чтобы в журнал заносилось время события в нормальном формате надо предварительно выполнить команду:
service timestamps log datetime localtime show-timezone 

Накопление журнала в буфере:
logging buffered 

Посмотреть журнал, накопленный в буфере и состояние подсистемы журнализации:
show logging

Уровень серьезности, начиная с которого информация выводится на консоль:
logging console уровень 

Уровень серьезности, начиная с которого информация выводится на монитор (терминальная линия, на которой выдана команда: term monitor):
logging monitor уровень 

Уровень серьезности, начиная с которого информация выводится на внешний syslog-сервер:
logging trap уровень 

Задание метки источника сообщения (facility), которым будут помечены сообщения, посылаемые на внешний syslog-сервер:
logging facility local0 

Задание адреса внешнего сервера syslog (сообщения могут передаваться на несколько внешних серверов):
logging ip-address 

Задание исходного IP-адреса сообщений журнализации (по умолчанию - адрес интерфейса, через который сообщение выходит из маршрутизатора):
logging source-interface type number

Распределение сообщений по уровням серьезности согласно документации: 
* сбои в работе IOS или оборудования - err
* отладочный вывод - warning
* подъем и падение интерфейсов - notice
* нарушения ACL - уровень info
* перезагрузка -info

Распределение сообщений по уровням серьезности на практике: 
* сбои - critical 
* подъем и падение интерфейсов (LINK-3_UPDOWN) - err 
* замечания по конфигурации - warn 
* линейный протокол (LINEPROTO-5-UPDOWN, LINK-5-CHANGED) - notice 
* сообщения о конфигурации (SYS-5-CONFIG_I) - notice 
* нарушения ACL (SEC-6-IPACCESSLOG) - уровень info