informatique:cisco
Differences
This shows you the differences between two versions of the page.
| Both sides previous revisionPrevious revisionNext revision | Previous revision | ||
| informatique:cisco [2008/11/08 19:06] – MSTP pteu | informatique:cisco [2008/12/15 18:06] (current) – effacée pteu | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| - | {{tag> | ||
| - | ====== Commandes Cisco ====== | ||
| - | //à valider et insérer\\ | ||
| - | telnet 132.169.103.24 8000 / | ||
| - | PVID = n° du VLAN non taggué (le VLAN en access sur un port access et le VLAN natif sur un port trunk)\\ | ||
| - | bla// | ||
| - | |||
| - | Cette page est un recueil de l' | ||
| - | |||
| - | Ne travaillant que sous IOS, il n'y aura ici aucune référence aux commandes relatives aux vieux catOS. | ||
| - | |||
| - | =====B.A.-BA===== | ||
| - | |||
| - | ====Les types de mémoire==== | ||
| - | * **DRAM** Dynamic Random-Access Memory ou **RAM** tout court ; mémoire rapide et non permanente (elle s' | ||
| - | * **ROM** (Read-Only Memory) contient un IOS minimal et le code, chargé au boot du routeur, qui lance l'IOS présent sur la flash | ||
| - | * **Flash memory** (EEPROM ou carte PCMCIA) contient l'IOS, les sauvegardes des confs, le serveur http, etc... | ||
| - | * **NVRAM** (Non-Volatile RAM) contient la startup-config | ||
| - | Ce bref récapitulatif montre la différence entre la running-config et la startup-config : | ||
| - | * **running-config** c'est la conf courante, celle qui est modifiée dynamiquement quand on tape une commande ; elle n'est pas enregistrée automatiquement. C'est la copie de travail de la startup. | ||
| - | * **startup-config** c'est une sauvegarde de la running-config, | ||
| - | |||
| - | ====Les 2 niveaux d' | ||
| - | Il existe 2 modes liés à différents privilèges, | ||
| - | * **mode utilisateur** '' | ||
| - | * **mode privilégié** '' | ||
| - | |||
| - | Le **mode configuration** '' | ||
| - | Switch> | ||
| - | Switch> | ||
| - | Password: | ||
| - | Switch#conf t | ||
| - | Enter configuration commands, one per line. End with CNTL/Z. | ||
| - | Switch(config)# | ||
| - | On peut protéger l' | ||
| - | |||
| - | Depuis le mode configuration global (conf t) on peut accéder aux modes de configuration : | ||
| - | * d'une interface '' | ||
| - | * d'une sous-interface '' | ||
| - | * d'un contrôleur '' | ||
| - | * d'une ligne '' | ||
| - | * du router '' | ||
| - | |||
| - | ====Commandes de base==== | ||
| - | IOS permet : | ||
| - | * la complétion automatique (comme les UNIX) avec la touche ''< | ||
| - | Mais à la différence d' | ||
| - | * une aide pour connaitre les paramètres attendus par une commande, ou pour lister les commandes : ''?'' | ||
| - | * un modèle en couches successives (cf ci-dessus) de privilèges : pour accéder à un mode privilégié on doit passer par tous les autres modes : | ||
| - | utilisateur (prompt '' | ||
| - | |||
| - | On quitte un mode avec la commande '' | ||
| - | * '' | ||
| - | * la plupart du temps, pour annuler une commande, on utilise le mot '' | ||
| - | |||
| - | ====Raccourcis clavier==== | ||
| - | Ils ressemblent aux raccourcis clavier que l'on trouve sous Unix/Linux, et il est préférable de les connaitre quand on se sert souvent du CLI car ils font gagner pas mal de temps ! | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | Le rappel des dernières commandes passées peut se faire avec les flèches '' | ||
| - | |||
| - | ===Les signaux=== | ||
| - | Sous Linux on peut utiliser le raccourcis clavier ctrl+C pour envoyer un SIGINT qui provoque l' | ||
| - | Sous les IOS on utilise l' | ||
| - | |||
| - | A valider, sous Linux il paraitrait qu'il faille utiliser '' | ||
| - | |||
| - | ===Séquence d' | ||
| - | C'est une séquence de touches qui, lorsqu' | ||
| - | |||
| - | ====Commandes filtres==== | ||
| - | Quand on fait une commande qui renvoie une grosse sortie, on peut filtrer les résultats avec le caractère '' | ||
| - | |||
| - | |||
| - | =====Configuration de base===== | ||
| - | |||
| - | ====hostname==== | ||
| - | C'est le nom de l' | ||
| - | Switch(config)# | ||
| - | Toto(config)# | ||
| - | |||
| - | ====IP de management==== | ||
| - | Dans le cas d'un switch, il n'y a pas de traitement de paquet niveau 3 normalement (hors ACLs, mais disons pas de routage comme sur un routeur). Pourtant, on a besoin d' | ||
| - | On spécifie l'IP d' | ||
| - | Switch(conf t)#int vlan 1 | ||
| - | Switch(conf-if)# | ||
| - | |||
| - | Un switch ne peut avoir qu'une seule adresse IP de management (sauf s'il s'agit d'un switch multilayer comme un 3500 ou un 3700). | ||
| - | |||
| - | |||
| - | ====Passerelle==== | ||
| - | Pour sortir du réseau, on doit spécifier la passerelle du réseau, c'est à dire la machine qui va router les paquets : | ||
| - | |||
| - | (conf t)#ip default-gateway 192.168.0.254 | ||
| - | |||
| - | Évidemment celle-ci doit être dans le VLAN pour être inaccessible ! | ||
| - | |||
| - | ====subnet zero==== | ||
| - | '' | ||
| - | exemple : on a la plage 172.16.0.0 /16 que l'on veut découper en sous-réseaux, | ||
| - | |||
| - | ====no ip domain-lookup==== | ||
| - | '' | ||
| - | Router#sxow | ||
| - | Translating " | ||
| - | % Unknow command or computer name, or unable to find computer address | ||
| - | |||
| - | ====logging synchronous==== | ||
| - | On peut recevoir des messages du routeur qui trouble l' | ||
| - | Router# | ||
| - | %SYS-5-CONFIG_I : Configured from console by console | ||
| - | Enter configuration commands, one per line. End with CNTL/Z. | ||
| - | |||
| - | Pour retrouver sa ligne de commande on peut faire un '' | ||
| - | Router(config)# | ||
| - | Router(config-line)# | ||
| - | |||
| - | Voici l' | ||
| - | Router# | ||
| - | %SYS-5-CONFIG_I : Configured from console by console | ||
| - | Router# | ||
| - | |||
| - | |||
| - | =====Configuration générale===== | ||
| - | |||
| - | ====Bannière==== | ||
| - | Quelque soit le type de bannière, il faut indiquer un délimiter de fin de bannière lors de l' | ||
| - | |||
| - | On peut spécifier une chaine de caractère qui s' | ||
| - | Switch(config)# | ||
| - | Enter TEXT message. | ||
| - | Salut mecbon ; t'es sur le bon ! | ||
| - | % | ||
| - | Switch(config)# | ||
| - | |||
| - | On peut spécifier une bannière spécifique pour un utilisateur lambda : | ||
| - | Switch# | ||
| - | |||
| - | |||
| - | =====Màj IOS par tftp===== | ||
| - | // | ||
| - | * l' | ||
| - | * se connecter au switch par le réseau (telnet ou ssh), pas par le port série (trop lent) | ||
| - | |||
| - | On a une version sur un serveur tftp (192.168.0.100) dans '' | ||
| - | |||
| - | |||
| - | |||
| - | |||
| - | |||
| - | * téléchargement d'IOS | ||
| - | Switch#copy tftp: | ||
| - | Address or name of remote host []? 192.168.0.100 | ||
| - | Destination filename [c2940-i6k2l2q4-mz.121-22.EA8a.bin]? | ||
| - | Accessing tftp:// | ||
| - | Loading logiciel/ | ||
| - | 288): !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!! | ||
| - | [OK - 3737506 bytes] | ||
| - | | ||
| - | 3737506 bytes copied in 65.352 secs (57190 bytes/sec) | ||
| - | |||
| - | * changement des paramètres de démarrage | ||
| - | Switch#sh boot | ||
| - | BOOT path-list: | ||
| - | Config file: flash:/ | ||
| - | Private Config file: flash:/ | ||
| - | Enable Break: | ||
| - | Manual Boot: no | ||
| - | HELPER path-list: | ||
| - | NVRAM/ | ||
| - | buffer size: 32768 | ||
| - | Timeout for Config | ||
| - | Download: | ||
| - | Config Download | ||
| - | via DHCP: | ||
| - | |||
| - | Ici, l' | ||
| - | Switch#conf t | ||
| - | Switch(config)# | ||
| - | |||
| - | puis sauvegarder la config | ||
| - | Switch(config)# | ||
| - | Switch#wr mem | ||
| - | Building configuration... | ||
| - | [OK] | ||
| - | |||
| - | * on peut enfin redémarrer | ||
| - | |||
| - | Switch# | ||
| - | |||
| - | |||
| - | =====Configurer un VLAN===== | ||
| - | |||
| - | Un //Virtual LAN, réseau virtuel, permet de créer plusieurs réseaux sur différents ports du switch.// | ||
| - | Cela consiste à tagger les paquets des LANs virtuels et à les échanger via des liens trunk. Ainsi on peut avoir différents VLANs sur plusieurs switchs, avec un domaine de broadcast propre à chaque VLAN. | ||
| - | but : segmentation (un domaine de broadcast), flexibilité (possibilité de plusieurs vlan pour un switch), sécurité (lié à la segmentation). | ||
| - | Il existe 2 protocoles pour tagguer les vlans : | ||
| - | * **802.1q** : normalisé par l' | ||
| - | * **ISL** (Inter Switch Link) est le protocole propriétaire CISCO déuet actuellement. Il encapsule la trame Ethernet en lui rajoutant un header de 26 octets et un FCS (CRC) de 4 octets. Le VLAN ID est codé dans un champ de 10 bits, donc ce protocole ne supporte, lui, que 1024 VLANs max. Comme pour le 802.1q, ce protocole n'est utilisé que sur des liens point-à-point (point-to-point). | ||
| - | |||
| - | Les différents types de vlan : | ||
| - | * **vlan par défaut** : le VLAN 1, celui dans lequel sont mis tous les ports par défaut. | ||
| - | * **vlan natif** : les trames du VLAN natif ne sont pas tagguées afin d' | ||
| - | * **vlan de management** : VLAN dans lequel est située d'IP de management du commutateur, | ||
| - | * **vlan utilisateur** : VLAN " | ||
| - | |||
| - | **Une best-practice concernant les VLANs consiste à isoler le VLAN natif (ni data ni utilisateurs dedans) ainsi que le VLAN d' | ||
| - | |||
| - | Les différents VLANs : | ||
| - | * le VLAN 1 est, comme vu plus haut, le VLAN natif par défaut. | ||
| - | * les VLANs 1 à 1001 sont les **VLANs standards**, | ||
| - | * les VLANs 1002 à 1005 sont des **VLANs réservés** pour FDDI et Token Ring ; ils sont créés automatiquement et on ne peut pas les supprimer. | ||
| - | * sur un switch configuré en mode transparent utilisant une version récente d'IOS (version " | ||
| - | |||
| - | ====La règle des 80/20==== | ||
| - | Vilfredo Paretto était un économiste italien qui avait " | ||
| - | |||
| - | La **règle des 80/20** en réseau en est fortement inspirée : " | ||
| - | |||
| - | De nos jours, les coûts liés à la bande-passante ont baissé et on constate l' | ||
| - | |||
| - | Ces 2 règles sont essentielles pour choisir le type de VLAN que l'on va mettre en place : | ||
| - | * VLANs locaux si on se rapproche de la règle des 80/20 | ||
| - | * VLANs géographiques si on se rapproche de la règle des 20/80 | ||
| - | |||
| - | ====Création d'un vlan==== | ||
| - | Pour créer le vlan 5 de nom "vlan cinq" (tiens, c'est original). | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-vlan)# | ||
| - | |||
| - | Avant il fallait rentrer dans la '' | ||
| - | |||
| - | La configuration des vlans est contenu dans le fichier '' | ||
| - | |||
| - | |||
| - | ====Mode access==== | ||
| - | C'est le cas d'un port physiquement relié à une machine. | ||
| - | |||
| - | ===Configuration statique=== | ||
| - | // | ||
| - | |||
| - | Il faut maintenant attribuer des ports physiques à ce vlan, par exemple le fast ethernet 0/2 : | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | ===VMPS (configuration dynamique)=== | ||
| - | Un **VLAN Management Policy Server** permet d' | ||
| - | |||
| - | C'est un switch ou un serveur qui centralise une base de données faisant correspondre à une adresse MAC numéro de VLAN (VLAN ID). Lorsqu' | ||
| - | * dans le bon VLAN | ||
| - | * en mode portfast | ||
| - | |||
| - | C'est ce qu'on appelle le **Dynamic VLAN configuration**. Ce mode est incompatible avec le mode %%port-security%% et le mode trunk. | ||
| - | |||
| - | Le ports doivent être configurés de cette façon : | ||
| - | |||
| - | switchport access dynamic | ||
| - | |||
| - | ===VLAN auxiliaire=== | ||
| - | Avec l' | ||
| - | |||
| - | ====Mode trunk==== | ||
| - | Pour diffuser des VLANs entre 2 switchs (par exemple) par le même lien on doit passer le lien inter-switch en mode trunk : cela consiste à ajouter une information sur chaque paquet Ethernet permettant de définir l' | ||
| - | |||
| - | Un port trunk doit être configuré en '' | ||
| - | |||
| - | Enfin il faut spécifier le protocole utilisé pour le trunk : '' | ||
| - | |||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | Pour modifier le VLAN natif, c' | ||
| - | |||
| - | Switch(config-if)# | ||
| - | |||
| - | ===DTP=== | ||
| - | **Dynamic Trunking Protocol** permet à un port de dialoguer avec le port d'en face dans le but de passer en mode trunk ou non. | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * mode **desirable** : négocie __activement__ pour passer le lien en trunk ; il passe donc en mode trunk face à un port configuré en trunk, desirable ou en auto. C'est le mode par défaut. | ||
| - | * mode **auto** : négocie __passivement__ le lien en trunk ; il passe en trunk face à un port configuré en trunk ou desirable. | ||
| - | |||
| - | Si rien n'est spécifié et c'est une __faille potentielle__ quand c'est sur un port relié à un PC (ce dernier peut se faire passer pour un switch, forcer en mode trunk, et faire passer tous les VLANs dessus). | ||
| - | |||
| - | ==Synthèse des interactions== | ||
| - | |||
| - | | ^ Dynamic auto ^ Dynamic desirable ^ Trunk ^ Access | ||
| - | ^ Dynamic auto | access | ||
| - | ^ Dynamic desirable | trunk | ||
| - | ^ Trunk | ||
| - | ^ Access | ||
| - | |||
| - | |||
| - | ==Vérification== | ||
| - | |||
| - | sh dtp interface | ||
| - | DTP information for GigabitEthernet1/ | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | Hello timer expiration (sec/ | ||
| - | | ||
| - | | ||
| - | | ||
| - | FSM state: | ||
| - | # times multi & trunk 0 | ||
| - | | ||
| - | In STP: no | ||
| - | |||
| - | | ||
| - | | ||
| - | 203 packets received (0 good) | ||
| - | 203 packets dropped | ||
| - | 0 nonegotiate, | ||
| - | 0 bad TLVs, 0 bad TAS, 0 bad TAT, 0 bad TOT, 203 other | ||
| - | 0 packets output (0 good) | ||
| - | 0 native, 0 software encap isl, 0 isl hardware native | ||
| - | 0 output errors | ||
| - | 0 trunk timeouts | ||
| - | 1 link ups, last link up on Mon Mar 01 1993, 00:01:57 | ||
| - | 2 link downs, last link down on Wed Mar 10 1993, 23:43:59 | ||
| - | |||
| - | ====Vérification==== | ||
| - | Switch#sh vlan [ brief | id < | ||
| - | Switch#sh vlan brief | ||
| - | | ||
| - | VLAN Name | ||
| - | ---- -------------------------------- --------- ------------------------------- | ||
| - | 1 default | ||
| - | Fa0/6, Fa0/7, Fa0/8, Fa0/9 | ||
| - | Gi0/1 | ||
| - | 5 vlan cinq active | ||
| - | 1002 fddi-default | ||
| - | 1003 token-ring-default | ||
| - | 1004 fddinet-default | ||
| - | 1005 trnet-default | ||
| - | |||
| - | Les vlans 1, 1002, 1003, 1004 et 1005 sont les vlans par défaut de chaque type d' | ||
| - | Là on voit qu' | ||
| - | |||
| - | =====VTP===== | ||
| - | Le **Vlan Transport Protocol** permet de propager la configuration des VLANs sur un domaine VTP (un ensemble de switch convenu). Le VTP est propagé __uniquement sur les ports trunk__ ; les conditions suivantes sont requises pour que le VTP fonctionne correctement : | ||
| - | * chaque switch doit appartenir au même domaine VTP | ||
| - | * les switchs doivent être adjacents | ||
| - | * les switchs doivent être reliés entre eux par des liens trunk | ||
| - | |||
| - | Chaque switch envoie les information suivantes : | ||
| - | * le nom du domaine VTP | ||
| - | * le numéro de révision | ||
| - | * les VLANs connus ainsi que leurs paramètres spécifiques | ||
| - | |||
| - | Chaque switch envoie des //VTP advertisement// | ||
| - | |||
| - | |||
| - | ====Les 3 modes de fonctionnement==== | ||
| - | |||
| - | Il existe 3 modes de fonctionnement pour le VTP : | ||
| - | |||
| - | * **serveur** : les serveurs centralisent la conf en écriture, et la propagent vers les clients --et serveurs-- du même domaine. Chaque modification de la base des VLAN incrémente la révision du VTP et est transmise à tout le domaine. | ||
| - | * **client** : les clients reçoivent et ré-émettent la conf de leur domaine VTP, qu'ils gardent en lecture seule : impossible de créer un VLAN en mode client. | ||
| - | * **transparent** : le mode transparent permet de garder une base de VLAN indépendante (locale) à l' | ||
| - | |||
| - | Un commutateur ne peut appartenir qu'à un seul domaine VTP ; en revanche il peut y avoir plusieurs domaines VTP dans un même réseau. | ||
| - | |||
| - | Les confs envoyées par VTP disposent d'un numéro de version par domaine VTP ; les équipement se synchronisent sur le **dernier numéro de version de ce domaine**. Il faut donc faire attention lorsqu' | ||
| - | * soit on supprime le fichier **vlan.dat** qui contient les informations VTP ('' | ||
| - | * soit on change le domaine du switch pour reseter son compteur ; puis on remet le domaine voulu | ||
| - | * (à vérifier) soit on fait un '' | ||
| - | * si le switch est en mode transparent il ne communique pas sa version de sa vlan database donc il est normalement " | ||
| - | |||
| - | Pour ce protéger de cela, il est fortement conseillé de définir un mot de passe au domaine VTP. Ainsi un switch connecté par inadvertance sur un réseau de prod ne pourra pas modifier pas les confs des autres équipements sans ce mot de passe. | ||
| - | |||
| - | |||
| - | ====Les différents types d' | ||
| - | |||
| - | * **Summary Advertisements** envoyés par les clients toutes les 5 minutes ou lors d'un changement de topologie | ||
| - | * **Subset Advertisements** faisant suite à un **summary advertisements**, | ||
| - | * **Avertisement Requests** est une demande d' | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | Comme pour la création de VLAN, elle peut se faire dans le mode de configuration des vlans (en entrant dans la '' | ||
| - | |||
| - | Switch(conf t)#vtp domain < | ||
| - | Switch(conf t)#vtp mode [serveur | client | transparent] | ||
| - | Switch(conf t)#vtp password < | ||
| - | |||
| - | |||
| - | ====Pruning==== | ||
| - | Comme pour le multicast, le **pruning** est l' | ||
| - | |||
| - | Configuration du VTP pruning : | ||
| - | |||
| - | Switch(conf t)#vtp pruning | ||
| - | |||
| - | Ou alors : | ||
| - | |||
| - | Switch(conf t)#set vtp pruneeligible {VLAN_list} | ||
| - | |||
| - | Pour supprimer le pruning : | ||
| - | |||
| - | Switch(conf t)#clear vtp pruneeligible {VLAN_list} | ||
| - | |||
| - | ====Vérification==== | ||
| - | Switch#sh vtp status | ||
| - | VTP Version | ||
| - | Configuration Revision | ||
| - | Maximum VLANs supported locally : 128 | ||
| - | Number of existing VLANs : 7 | ||
| - | VTP Operating Mode : Transparent | ||
| - | VTP Domain Name : vtp_montage | ||
| - | VTP Pruning Mode : Disabled | ||
| - | VTP V2 Mode : Disabled | ||
| - | VTP Traps Generation | ||
| - | MD5 digest | ||
| - | Configuration last modified by 10.2.1.30 at 3-5-93 00:41:31 | ||
| - | |||
| - | ====Recommandations==== | ||
| - | * utiliser un mot de passe par domaine VTP | ||
| - | * ne pas créer de domaine VTP trop étendu | ||
| - | * ne pas dépasser 1 ou 2 VTP server | ||
| - | |||
| - | =====Configurer un port===== | ||
| - | |||
| - | Il faut passer en mode configuration du port '' | ||
| - | Switch> | ||
| - | Switch#conf t | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | Dans l' | ||
| - | |||
| - | Voici les paramètres classiques qu'on peut retrouver configurés sur un port : | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | Autre vraie sécurité du STP : activer le **bpduguard** sur les ports utilisateurs '' | ||
| - | * '' | ||
| - | |||
| - | A ceux-là s' | ||
| - | |||
| - | Cela est bien pratique pour préconfigurer un nouveau switch : on peut configurer un " | ||
| - | Switch(config)# | ||
| - | |||
| - | Les ports d'un même " | ||
| - | Switch(config)# | ||
| - | |||
| - | ====Switchport==== | ||
| - | Pour configurer le niveau 2 d'un port on utilise la commande switchport, généralement soit en mode access (vers une machine) soit en mode trunk (vers un autre switch ou un routeur) : | ||
| - | * soit en mode access (vers un PC) : | ||
| - | |||
| - | switchport | ||
| - | switchport mode access | ||
| - | switchport access vlan x | ||
| - | |||
| - | * soit en mode trunk (vers un autre switch) | ||
| - | |||
| - | switchport | ||
| - | switchport mode trunk | ||
| - | switchport trunk encapsulation dot1q | ||
| - | switchport trunk allowed vlan x,y | ||
| - | |||
| - | ====port-security==== | ||
| - | On peut ajouter une sécurité par vérification d' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | On limite le nombre d' | ||
| - | Pour déterminer le comportement du switch s'il rencontre une mauvaise adresse mac : | ||
| - | * '' | ||
| - | |||
| - | Pour info, l' | ||
| - | Cela permet aussi d' | ||
| - | |||
| - | Pour vérifier la configuration : | ||
| - | sh port-security [interface fa0/1] | ||
| - | |||
| - | ====port serie==== | ||
| - | Vérifier si le port est en DCE ou DTE : | ||
| - | Router#sh controller serial 0/0 | include DCE | ||
| - | DCE V.35, clock rate 64000 | ||
| - | |||
| - | Là il est DCE, c'est à dire que c'est lui qui a la vitesse d' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | ====troubleshooting==== | ||
| - | Switch#sh interface fa0/0 | ||
| - | |||
| - | Lancer cette commande et vérifier : | ||
| - | * que l' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | |||
| - | Switch#sh interface ethernet | ||
| - | Vérifier que les collisions ne dépassent pas 0.1 % des paquets émis | ||
| - | |||
| - | Vérifier le '' | ||
| - | |||
| - | |||
| - | =====Gestion des accès===== | ||
| - | |||
| - | Différents types d' | ||
| - | |||
| - | Pour la première configuration il faut se connecter au port **console** avec le câble fourni par Cisco. Sous Windows on ouvre l' //Hyper terminal//, on saisit un nom de connexion bidon, on clique sur " | ||
| - | Switch> en | ||
| - | Switch# | ||
| - | |||
| - | ====Mode enable==== | ||
| - | En mode config on va saisir un nouveau mot de passe pour le mode privilégié. On a le choix entre, respectivement, | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | Si les 2 sont configurés, | ||
| - | |||
| - | ====Console==== | ||
| - | On veut mettre en place un mot de passe pour se connecter sur la ligne console (CTY) : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | '' | ||
| - | |||
| - | ====Ligne auxiliaire==== | ||
| - | La principale différence entre les ports console (CTY) et auxiliaire (AUX) est que le port auxiliaire supporte le contrôle de flux hardware ; le port console non. Le contrôle de flux permet un contrôle des transmissions, | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | ====ligne vty==== | ||
| - | Elles correspondent à des lignes virtuelles (des connexions non physiques comme le port console ou AUX), celles utilisées quand un utilisateur se connecte en telnet ou ssh. | ||
| - | |||
| - | Tant qu'un mot de passe n'est pas spécifié (via la console), les sessions telnet sont interdites pour des problèmes de sécurité. | ||
| - | De plus on ne peut y accéder que quand on a spécifié une adresse IP d' | ||
| - | |||
| - | Souvent les routeurs ne comprennent que 5 lignes vty ('' | ||
| - | P4SW#sh line | ||
| - | Tty Typ | ||
| - | * 0 CTY - - - - - 0 | ||
| - | * 1 VTY - - - - - 4 | ||
| - | 2 VTY - - - - - 0 | ||
| - | 3 VTY - - - - - 0 | ||
| - | 4 VTY - - - - - 0 | ||
| - | 5 VTY - - - - - 0 | ||
| - | 6 VTY - - - - - 0 | ||
| - | 7 VTY - - - - - 0 | ||
| - | 8 VTY - - - - - 0 | ||
| - | 9 VTY - - - - - 0 | ||
| - | 10 VTY - - - - - 0 | ||
| - | 11 VTY - - - - - 0 | ||
| - | 12 VTY - - - - - 0 | ||
| - | 13 VTY - - - - - 0 | ||
| - | 14 VTY - - - - - 0 | ||
| - | 15 VTY - - - - - 0 | ||
| - | 16 VTY - - - - - 0 | ||
| - | |||
| - | On veut les configurer tous les vtys ensemble : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | On peut spécifier le type de protocole qu'on veut utiliser (ici ssh et telnet) : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | |||
| - | Dans les 3 cas ci-dessus, on demande un mot de passe pour établir une connexion ; si on veut demander aussi un login, il faut rajouter : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)login local | ||
| - | |||
| - | On spécifie de nom d' | ||
| - | Switch(config)# | ||
| - | |||
| - | |||
| - | ====SSH==== | ||
| - | //Les lignes vty doivent être copnfigurées (cf § précédent)// | ||
| - | |||
| - | Le SSH ne fonctionne qu' | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | |||
| - | On peut préciser certains paramètres (facultatif) : | ||
| - | toto(config)# | ||
| - | toto(config)# | ||
| - | toto(config)# | ||
| - | |||
| - | Configuration de l' | ||
| - | //à valider : le fait de devoir faire un '' | ||
| - | |||
| - | Génération d'un couple de clés RSA : | ||
| - | toto(config)# | ||
| - | |||
| - | Les lignes vty doivent être configurées (cf § précédent). | ||
| - | |||
| - | On créé ensuite un compte local : | ||
| - | toto(config)# | ||
| - | |||
| - | |||
| - | =====Gestion des sessions===== | ||
| - | |||
| - | Pour afficher les sessions courante sur l' | ||
| - | show sessions | ||
| - | |||
| - | Pour afficher la liste des utilisateurs connectés : | ||
| - | show users | ||
| - | |||
| - | (Et aussi : '' | ||
| - | |||
| - | Pour déconnecter une session : | ||
| - | disconnect < | ||
| - | |||
| - | |||
| - | =====Mot de passe oublié===== | ||
| - | //Testé avec un Catalyst 2940// | ||
| - | |||
| - | Mode opératoire pour récupérer l' | ||
| - | |||
| - | * Débrancher le switch | ||
| - | * Le rebrancher en maintenant le bouton " | ||
| - | |||
| - | C2940 Boot Loader (C2940-HBOOT-M) Version 12.1(13r)AY1, | ||
| - | Compiled Mon 30-Jun-03 15:16 by antonino | ||
| - | WS-C2940-8TF-S starting... | ||
| - | Base ethernet MAC Address: 00: | ||
| - | Xmodem file system is available. | ||
| - | The password-recovery mechanism is enabled. | ||
| - | | ||
| - | The system has been interrupted prior to initializing the | ||
| - | flash filesystem. | ||
| - | the flash filesystem, and finish loading the operating | ||
| - | system software: | ||
| - | | ||
| - | flash_init | ||
| - | load_helper | ||
| - | boot | ||
| - | |||
| - | (la complétion automatique ne fonctionne pas) | ||
| - | * '' | ||
| - | * '' | ||
| - | * Sauvegarder la config : '' | ||
| - | * Démarrer : '' | ||
| - | * Passer en mode //enable// : '' | ||
| - | * Restaurer la config : '' | ||
| - | * Sauver la conf : '' | ||
| - | * Changer le mot de passe : '' | ||
| - | * Sauvegarder la conf sur la flash : '' | ||
| - | |||
| - | |||
| - | =====MAJ IOS via Rommon===== | ||
| - | //merci les gars j'ai enfin réussi | ||
| - | http:// | ||
| - | |||
| - | voici ma soluce// | ||
| - | |||
| - | rommon 1 > flash_init | ||
| - | rommon 2 > set | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | si pb de checksum : '' | ||
| - | |||
| - | //You must use the sync command to save ROMmon environment variables to nonvolatile RAM (NVRAM).// | ||
| - | rommon 3 > sync | ||
| - | rommon 4 > tftpdnld | ||
| - | |||
| - | The variables to set for tftpdnld are shown here: | ||
| - | usage: tftpdnld [-ur] | ||
| - | |||
| - | Si on avait modifié les registres | ||
| - | confreg 0x2101 | ||
| - | |||
| - | |||
| - | =====STP===== | ||
| - | |||
| - | Le **Spanning-Tree Protocol** est un protocole de niveau 2 normalisé par l'IEEE en tant que **802.1D**. Il permet de découvrir la topologie du réseau, d'en détecter les changements et d' | ||
| - | |||
| - | Les communications entre les commutateurs se font par des paquets appelés BPDUs, qui sont notamment composés du " | ||
| - | |||
| - | * 100 pour 10Mbps | ||
| - | * 19 pour du 100Mbps | ||
| - | * 4 pour 1Gbps | ||
| - | * 2 pour 10Gbps, etc... | ||
| - | |||
| - | On peut influer sur l' | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | ====STP BPDU Guard==== | ||
| - | Désactive le port sur lequel il reçoit des BPDUs si le portfast est activé sur le port. Il faut réactiver manuellement le port. | ||
| - | Pour activer le BPDU guard, on se met en config-if : | ||
| - | '' | ||
| - | Voir aussi '' | ||
| - | |||
| - | NB : on peut activer par défaut sur tous les ports avec la commande globale '' | ||
| - | |||
| - | ====STP Root Guard==== | ||
| - | Désactive le port si le switch de l' | ||
| - | Pour activer le root guard, on se met en config-if : | ||
| - | '' | ||
| - | |||
| - | http:// | ||
| - | |||
| - | ====RST==== | ||
| - | |||
| - | Le **Rapid Spanning-Tree** est une modification du ST qui permet une convergence bien plus rapide que le standart initial : on passe de 50 secondes à quelques secondes lors d'une perte d'un lien. C'est devenu un standart lui aussi. | ||
| - | |||
| - | C'est actuellement ce mode de fonctionnement qui utilisé partout. Partout vous dis-je. | ||
| - | |||
| - | ====PVST==== | ||
| - | |||
| - | Le **Per VLAN Spanning-Tree** est une amélioration propriétaire de Cisco qui permet de négocier un arbre ST par VLAN (ça permet de faire de la répartition de flux puisqu' | ||
| - | |||
| - | Cependant son inconvénient est que ce n'est pas un standart (donc concrètement ça ne tourne qu' | ||
| - | |||
| - | Comme ce protocole utilise une instance par VLAN, chaque BID doit contenir le numéro de VLAN : la priorité du STP (**bridge priority**, sur 16 bits) a été décomposée en 2 champs pour devenir l' | ||
| - | |||
| - | =====R-PVSTP===== | ||
| - | Rapid-PVST Protocol ou **Rapid Per VLAN Spanning Tree Protocol** permet de combiner le " | ||
| - | |||
| - | * **Rapid** : de converger plus vite lors d'un changement de topologie (2 secondes au lieu de 50 environs) | ||
| - | * **Per VLAN** : d' | ||
| - | |||
| - | C'est un protocole propriétaire CISCO à la différence du MSTP (**Multiple STP**, extension du RSTP, qui permet de créer plusieurs instances de STP avec un ou plusieurs VLAN rattaché). | ||
| - | |||
| - | Configuration (idem pour le PVSTP activé par défaut) : | ||
| - | |||
| - | On active le RPVST : | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | La priorité par défaut est de 32768 : on va déclarer le Switch1 en "root primaire" | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | On aurait pu gérer les priorités statiques à la main : | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | Vérification : | ||
| - | Switch1#sh spanning-tree vlan 445 | ||
| - | |||
| - | |||
| - | =====MSTP===== | ||
| - | **Multiple Spanning-tree** permet de créer des groupes (instance) de VLANs qui partageront une seule et même topologie spanning-tree. On diminue ainsi la charge du réseau et des CPUs des commutateurs par rapport au PVST (moins de BPDUs et moins de calculs d' | ||
| - | |||
| - | L' | ||
| - | |||
| - | On associe donc un groupe de VLAN à une instance (numérotées de 1 à 15 max), contenue dans une région ; ces VLANs partageront leur topologie ST (ou plutôt RST car chez Cisco le MST implique de fonctionner en RST). | ||
| - | |||
| - | Par défaut l' | ||
| - | |||
| - | Les switchs appartenant à une même région MST doivent avoir en commun : | ||
| - | |||
| - | * les mêmes numéros d' | ||
| - | * le même mapping de VLAN par instance | ||
| - | * le même numéro de révision | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | On va créer 2 instances dans la région region1 avec un n° de révision de 1 : | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | |||
| - | Puis on active le MST : | ||
| - | |||
| - | Switch(config)# | ||
| - | |||
| - | Chaque commutateur doit avoir la même configuration de région sous peine de ne pas pouvoir communiquer avec les autres commutateurs " | ||
| - | |||
| - | Pour réinitialiser la détection des protocoles ST, il faut passer la commande : | ||
| - | |||
| - | clear spanning-tree detected-protocols | ||
| - | |||
| - | Dans certains cas (à déterminer) il faut passer la directive suivante sur les interfaces physiques reliées à certains commutateurs : | ||
| - | |||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | ====Vérification==== | ||
| - | |||
| - | show spanning-tree mst configuration | ||
| - | show spanning-tree mst | ||
| - | |||
| - | =====Etherchannel===== | ||
| - | |||
| - | C'est le nom utilisé par CISCO pour désigner du bonding ou channel bonding, c'est à dire un agrégat de ports physiques en un port logique. On peut fusionner jusqu' | ||
| - | * addition globale (pas de machine à machine) de la bande passante de chaque lien (ex : 4 liens physiques à 100 Mbps ~= 1 lien logique à 400 Mbps). | ||
| - | * redondance d' | ||
| - | On l' | ||
| - | |||
| - | Il 2 principaux protocoles : le LACP (standart IEEE 802.3ad) et le PAgP (propriétaire Cisco). | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | On créer l' | ||
| - | Switch(config)# | ||
| - | |||
| - | On la configure comme une interface normale. | ||
| - | |||
| - | Pour chaque interface physique que l'on veut ajouter à l' | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | On peut spécifier le mode par : | ||
| - | |||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Les ports physiques d'un Etherchannel doivent être de même type et de même vitesse ; ils doivent avoir la même configuration. | ||
| - | |||
| - | |||
| - | =====HSRP===== | ||
| - | |||
| - | On veut créer une architecture //High Availability// | ||
| - | On va mettre le 1 par défaut, le 2 prendra le relais si le 1 tombe en panne (**la priorité standby la plus haute désigne le routeur prioritaire**) : | ||
| - | Le HSRP utilise l' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | routeur1 : | ||
| - | Router1(config)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | Router1(config-if)# | ||
| - | |||
| - | routeur2 : | ||
| - | Router2(config)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | Router2(config-if)# | ||
| - | |||
| - | ====Vérification==== | ||
| - | La négociation dure quelques secondes, puis : | ||
| - | router1# | ||
| - | P indicates configured to preempt. | ||
| - | | | ||
| - | Interface | ||
| - | Vl5 | ||
| - | [..] | ||
| - | |||
| - | Le routeur **backup** est marqué en standby, le maître est **Active**. | ||
| - | |||
| - | router2#sh standby vlan 5 | ||
| - | Vlan5 - Group 48 | ||
| - | Local state is Active, priority 90, may preempt | ||
| - | Hellotime 5 sec, holdtime 15 sec | ||
| - | Next hello sent in 1.305 | ||
| - | Virtual IP address is 10.0.10.6 configured | ||
| - | Active router is local | ||
| - | Standby router is 10.0.10.5 expires in 11.716 | ||
| - | Virtual mac address is 0000.0c07.ac30 | ||
| - | Authentication text " | ||
| - | 1 state changes, last state change 9w0d | ||
| - | IP redundancy name is " | ||
| - | |||
| - | |||
| - | =====VRRP===== | ||
| - | |||
| - | |||
| - | =====GLBP===== | ||
| - | |||
| - | |||
| - | =====OSPF===== | ||
| - | |||
| - | **Open Shortest Path First** est un protocole de routage à état de lien non propriétaire ; c'est le protocole de routage intra-domaine (IGP) le plus utilisé de nos jours. | ||
| - | |||
| - | ====Mise en place==== | ||
| - | Les //best pratices// recommandent d' | ||
| - | R1(config)interface loopback 0 | ||
| - | R1(config-if)description Lo0 pour OSPF | ||
| - | R1(config-if)ip address 192.168.0.23 255.255.255.0 | ||
| - | |||
| - | Pour activer le routage : on créer une instance OSPF : | ||
| - | R1(config)# | ||
| - | |||
| - | Puis on annonce les réseaux connus, avec la syntaxe '' | ||
| - | On annonce la loopback 0 ainsi que les réseaux connus que l'on veut injecter dans l' | ||
| - | R1(config-router)# | ||
| - | R1(config-router)# | ||
| - | |||
| - | Le routeur Cisco va automatiquement détecter l' | ||
| - | '' | ||
| - | |||
| - | ====Authentification==== | ||
| - | Sur l' | ||
| - | int gi0/0 | ||
| - | ip ospf authentication | ||
| - | ip ospf authentication-key san-fran | ||
| - | |||
| - | Cela va sans dire qu'il vaut mieux que le routeur d'en face ait les mêmes paramètres pour que ça marche bien. | ||
| - | |||
| - | ====Vérification==== | ||
| - | debug ip ospf adj | ||
| - | debug ip ospf events | ||
| - | |||
| - | Pour désactiver le debugging : | ||
| - | undebug all | ||
| - | |||
| - | sh ip ospf interface | ||
| - | sh ip ospf neighbor | ||
| - | sh ip protocols | ||
| - | sh ip route | ||
| - | |||
| - | |||
| - | =====EIGRP===== | ||
| - | |||
| - | //Protocole de routage propriétaire CISCO à vecteur de distance.// | ||
| - | |||
| - | ====Mise en place==== | ||
| - | On veut activer l' | ||
| - | interface Serial0/0 | ||
| - | | ||
| - | | ||
| - | ip address 10.140.3.2 255.255.255.0 | ||
| - | clock rate 64000 | ||
| - | |||
| - | Création de l' | ||
| - | interface Loopback0 | ||
| - | ip address 192.168.2.65 255.255.255.240 | ||
| - | |||
| - | Activer l' | ||
| - | Routeur(config)# | ||
| - | |||
| - | Activer l' | ||
| - | Router(config-router)# | ||
| - | Router(config-router)# | ||
| - | |||
| - | Le routeur va activer l' | ||
| - | |||
| - | Dans certains cas, on doit l' | ||
| - | Router(config-router)# | ||
| - | |||
| - | On configure l' | ||
| - | Router(config)# | ||
| - | Router(config-keychain)# | ||
| - | Router(config-keychain-key)# | ||
| - | |||
| - | On active l' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | |||
| - | ====Vérifications==== | ||
| - | Router#sh ip eigrp neighbors | ||
| - | IP-EIGRP neighbors for process 100 | ||
| - | H | ||
| - | (sec) | ||
| - | 0 | ||
| - | |||
| - | Router#sh ip protocols | ||
| - | Routing Protocol is "eigrp 100" | ||
| - | Outgoing update filter list for all interfaces is not set | ||
| - | Incoming update filter list for all interfaces is not set | ||
| - | Default networks flagged in outgoing updates | ||
| - | Default networks accepted from incoming updates | ||
| - | EIGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0 | ||
| - | EIGRP maximum hopcount 100 | ||
| - | EIGRP maximum metric variance 1 | ||
| - | Redistributing: | ||
| - | EIGRP NSF-aware route hold timer is 240s | ||
| - | Automatic network summarization is in effect | ||
| - | Automatic address summarization: | ||
| - | 192.168.2.0/ | ||
| - | Summarizing with metric 128256 | ||
| - | 10.0.0.0/8 for Loopback0 | ||
| - | Summarizing with metric 28160 | ||
| - | Maximum path: 4 | ||
| - | Routing for Networks: | ||
| - | 10.0.0.0 | ||
| - | 192.168.2.0 | ||
| - | Routing Information Sources: | ||
| - | Gateway | ||
| - | (this router) | ||
| - | 10.45.45.2 | ||
| - | Gateway | ||
| - | 10.140.3.1 | ||
| - | Distance: internal 90 external 170 | ||
| - | |||
| - | Router#sh ip route eigrp | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | |||
| - | Router#sh ip eigrp interfaces | ||
| - | IP-EIGRP interfaces for process 100 | ||
| - | | ||
| - | Xmit Queue | ||
| - | Interface | ||
| - | Lo0 0 0/0 | ||
| - | Fa0/0 0 0/0 | ||
| - | Se0/0 1 0/0 22 | ||
| - | Se0/1 0 0/0 | ||
| - | |||
| - | ====Debug==== | ||
| - | Router# | ||
| - | EIGRP Neighbors debugging is on | ||
| - | |||
| - | |||
| - | =====BGP===== | ||
| - | |||
| - | Lister les annonces BGP sur un routeur | ||
| - | sh bgp ipv4 unicast | ||
| - | |||
| - | Lister les voisins | ||
| - | sh ip bgp neighbors | ||
| - | |||
| - | Pour redémarrer toutes les sessions BGP | ||
| - | clear bgp all | ||
| - | |||
| - | |||
| - | =====ACL===== | ||
| - | |||
| - | //Access Control List//, implémenté sur les switchs et routeurs CISCO. | ||
| - | Il existe les ACLs standarts (numérotées de 1-99 ou 1300-1999) et les ACLs étendues (numérotées 100-199 ou 2000-2699). | ||
| - | * **ACLs standarts** : elles travaillent au niveau 3 de la pile OSI et **uniquement sur les IP source**. Elles sont de la forme | ||
| - | access-list <numéro entre 1-99> {permit | deny} <ip source> [< | ||
| - | |||
| - | * **ACLs étendues** : elles travaillent au niveau 4 de la pile OSI = on peut tester également les protocles de niveau 4 (tcp, udp) et notamment les numéros de port. Elles sont de la forme : | ||
| - | |||
| - | access-list < | ||
| - | < | ||
| - | |||
| - | ACLs additonnelles : | ||
| - | * **ACLs dynamiques** : l' | ||
| - | * **Reflexive ACLs** : permet de passer en staful = on permet un traffic de passer uniquement s'il est déjà passé dans l' | ||
| - | * **Time-based ACLs** défini des critère de date/time pour l' | ||
| - | |||
| - | On applique une access-list sur une interface en " | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | Une ACL est lu de manière séquentielle = ligne 1 puis ligne 2, etc. Si la ligne 1 matche, le routeur applique la règle pour le paquet et sors de l'ACL. Ainsi, si plusieurs lignes conviennent pour un même paquet, seule la première sera appliquée. | ||
| - | |||
| - | |||
| - | =====VACL===== | ||
| - | |||
| - | Les **VLAN Access-list** ou **VLAN access maps** sont des ACLs de niveau 2, qui s' | ||
| - | |||
| - | Pour les mettre en place, il faut spécifier une ou plusieurs //map sequence// qui associent une action à une ACL ; si un permit de l'ACL " | ||
| - | |||
| - | ! déclaration de l'ACL niveau 2 | ||
| - | mac access-list extended MAC-ACL | ||
| - | | ||
| - | | ||
| - | ! Déclaration de l' | ||
| - | ! il permet de déterminer un ordre d' | ||
| - | ! On filtre (match) sur les adresses MAC (|IP|IPX) en spécifiant "mac address", | ||
| - | ! L' | ||
| - | vlan access-map 1 10 | ||
| - | match mac address MAC-ACL | ||
| - | | ||
| - | | ||
| - | ! On associe l' | ||
| - | vlan filter 1 vlan-list 11,12 | ||
| - | |||
| - | Dans l' | ||
| - | |||
| - | =====NAT/ | ||
| - | // | ||
| - | |||
| - | On considère l' | ||
| - | |||
| - | Soit fa0/0 l' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | On créé une ACL pour définir quelle est la plage d'IP source qui va être nattée (c'est l' | ||
| - | Router(config)# | ||
| - | |||
| - | Et on l' | ||
| - | Router(config)# | ||
| - | |||
| - | L' | ||
| - | |||
| - | ====Vérification==== | ||
| - | //On vient de faire 5 pings de 10.4.4.11 vers 10.1.1.1.// | ||
| - | Attention : la table de translation a un timeout ce qui fait que si personne n'a été natté récemment, les commandes suivantes renverront un résultat " | ||
| - | |||
| - | Router#sh ip nat statistics | ||
| - | Total active translations: | ||
| - | Outside interfaces: | ||
| - | Serial0/0 | ||
| - | Inside interfaces: | ||
| - | FastEthernet0/ | ||
| - | Hits: 920 Misses: 920 | ||
| - | CEF Translated packets: 1840, CEF Punted packets: 0 | ||
| - | Expired translations: | ||
| - | Dynamic mappings: | ||
| - | -- Inside Source | ||
| - | [Id: 2] access-list 1 interface FastEthernet0/ | ||
| - | Queued Packets: 0 | ||
| - | |||
| - | Router#sh ip nat translations | ||
| - | Pro Inside global | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | |||
| - | |||
| - | =====IPv6===== | ||
| - | |||
| - | Activer IPv6 sur un routeur CISCO : | ||
| - | Router(config)# | ||
| - | |||
| - | Assigner une addresse IPv6 globale unicast à l' | ||
| - | Router(config-if)# | ||
| - | |||
| - | **eui-64** indique l' | ||
| - | |||
| - | On créer l' | ||
| - | Router(config-if)# | ||
| - | |||
| - | Router#sh ipv6 int | include line protocol | ||
| - | Serial0/1 is up, line protocol is up | ||
| - | Loopback2 is up, line protocol is up | ||
| - | |||
| - | ====RIPng==== | ||
| - | Mise en place du RIP New Generation (RIPv6) | ||
| - | |||
| - | On active RIPng avec le //label// (process name) " | ||
| - | Router(config)# | ||
| - | |||
| - | Et sur chaque interface qui doit participer au routage " | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | ===Vérifications=== | ||
| - | Router#sh ipv6 rip | ||
| - | RIP process " | ||
| - | | ||
| - | | ||
| - | | ||
| - | Split horizon is on; poison reverse is off | ||
| - | | ||
| - | | ||
| - | Interfaces: | ||
| - | Loopback2 | ||
| - | Serial0/1 | ||
| - | Redistribution: | ||
| - | None | ||
| - | |||
| - | Router#sh ipv6 route | ||
| - | IPv6 Routing Table - 7 entries | ||
| - | Codes: C - Connected, L - Local, S - Static, R - RIP, B - BGP | ||
| - | U - Per-user Static route | ||
| - | I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary | ||
| - | O - OSPF intra, OI - OSPF inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2 | ||
| - | ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2 | ||
| - | C | ||
| - | via ::, Loopback2 | ||
| - | L | ||
| - | via ::, Loopback2 | ||
| - | C | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Null0 | ||
| - | L | ||
| - | via ::, Null0 | ||
| - | |||
| - | |||
| - | =====Frame Relay===== | ||
| - | |||
| - | Par défaut l' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | Router#sh frame-relay map | ||
| - | Serial0/0 (up): ip 0.0.0.0 dlci 120(0x78, | ||
| - | broadcast, | ||
| - | CISCO, status defined, active | ||
| - | |||
| - | Ici on voit qu'on récupère bien l' | ||
| - | |||
| - | On va donc la rajouter à la main sur l' | ||
| - | Router(config-if)# | ||
| - | |||
| - | **broadcast** pour activer le broadcast nécessaire aux protocoles de routage (normalement FR ne le supporte pas) ; avec l'IARP il aurait été activé par défaut. | ||
| - | |||
| - | On créer une subinterface en point-to-point, | ||
| - | |||
| - | Router(config)# | ||
| - | Router(config-subif)# | ||
| - | Router(config-subif)# | ||
| - | |||
| - | Il semble qu'on ne puisse pas faire de // | ||
| - | |||
| - | |||
| - | ====Vérifications==== | ||
| - | |||
| - | Router#sh run int se0/0 | ||
| - | interface Serial0/0 | ||
| - | | ||
| - | ip address 10.140.3.2 255.255.255.0 | ||
| - | | ||
| - | | ||
| - | |||
| - | Router#sh int se0/0 | include Encapsulation | ||
| - | Encapsulation FRAME-RELAY, | ||
| - | |||
| - | Router#sh frame-relay lmi | ||
| - | | ||
| - | LMI Statistics for interface Serial0/0 (Frame Relay DTE) LMI TYPE = CISCO | ||
| - | Invalid Unnumbered info 0 | ||
| - | Invalid dummy Call Ref 0 Invalid Msg Type 0 | ||
| - | Invalid Status Message 0 Invalid Lock Shift 0 | ||
| - | Invalid Information ID 0 Invalid Report IE Len 0 | ||
| - | Invalid Report Request 0 Invalid Keep IE Len 0 | ||
| - | Num Status Enq. Sent 94 Num Status msgs Rcvd 96 | ||
| - | Num Update Status Rcvd 0 Num Status Timeouts 0 | ||
| - | Last Full Status Req 00: | ||
| - | |||
| - | Router#sh frame-relay pvc | ||
| - | | ||
| - | PVC Statistics for interface Serial0/0 (Frame Relay DTE) | ||
| - | | ||
| - | Active | ||
| - | Local 1 0 0 0 | ||
| - | Switched | ||
| - | Unused | ||
| - | | ||
| - | DLCI = 120, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0 | ||
| - | | ||
| - | input pkts 349 | ||
| - | out bytes 12742 dropped pkts 0 in pkts dropped 0 | ||
| - | out pkts dropped 0 out bytes dropped 0 | ||
| - | in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 | ||
| - | out BECN pkts 0 in DE pkts 0 out DE pkts 0 | ||
| - | out bcast pkts 105 out bcast bytes 10920 | ||
| - | 5 minute input rate 0 bits/sec, 0 packets/sec | ||
| - | 5 minute output rate 0 bits/sec, 0 packets/sec | ||
| - | pvc create time 00:16:09, last time pvc status changed 00:09:22 | ||
| - | |||
| - | |||
| - | =====Crypto===== | ||
| - | |||
| - | Etat des tunnels : | ||
| - | |||
| - | sh crypto session | ||
| - | Crypto session current status | ||
| - | | ||
| - | Interface: Vlan809 | ||
| - | Session status: UP-ACTIVE | ||
| - | Peer: 192.168.7.78/ | ||
| - | IKE SA: local 192.168.7.75/ | ||
| - | IPSEC FLOW: permit 47 host 192.168.7.75 host 192.168.7.78 | ||
| - | Active SAs: 2, origin: crypto map | ||
| - | |||
| - | Renégocier un tunnel spécifique : | ||
| - | * Trouver le peer (l'IP de l' | ||
| - | |||
| - | sh ip arp vlan 809 | ||
| - | Protocol | ||
| - | Internet | ||
| - | Internet | ||
| - | Internet | ||
| - | |||
| - | Les " | ||
| - | |||
| - | * Puis on renégocie le tunnel : | ||
| - | |||
| - | clear crypto session remote 192.168.0.78 | ||
| - | |||
| - | |||
| - | =====VoIP===== | ||
| - | |||
| - | Configuration de la VoIP avec QoS : | ||
| - | |||
| - | Sur le port ou est branché un téléphone IP Cisco, avec derrière un PC sur le vlan 11 : | ||
| - | |||
| - | * Sur le switch d' | ||
| - | |||
| - | sur le port du téléphone IP : | ||
| - | int fa0/3 | ||
| - | desc PC + tel | ||
| - | | ||
| - | | ||
| - | mls qos trust dscp | ||
| - | |||
| - | sur le port vers le switch de distribution : | ||
| - | int gi0/1 | ||
| - | mls qos trust device cisco-phone | ||
| - | mls qos trust cos | ||
| - | |||
| - | Sur le switch de distribution, | ||
| - | mls qos | ||
| - | |||
| - | Puis on trust le champ COS venant du switch d' | ||
| - | int gi1/0/1 | ||
| - | mls qos trust cos | ||
| - | |||
| - | |||
| - | =====Les services===== | ||
| - | service password-encryption | ||
| - | |||
| - | permet de crypter tous les mots de passe dans la conf | ||
| - | |||
| - | |||
| - | =====Tracking d' | ||
| - | Permet de baisser un coup HSRP en cas de perte d'une route. | ||
| - | ! L’objet tracking est = 1 | ||
| - | ! Tracking de la route 10.4.101.8 255.255.255.248 | ||
| - | ! Delay down = temps en secondes avant de déclarer la perte de la route. | ||
| - | ! delay up = temps en secondes avant de prendre en compte le retour de la route. | ||
| - | | ||
| - | track 1 ip route 10.4.101.8 255.255.255.248 reachability | ||
| - | delay down 5 up 30 ! pour les « 2 » | ||
| - | delay down 3 up 40 ! pour les « 1 » | ||
| - | |||
| - | interface VlanX | ||
| - | ! Récupération de l’objet tracking 1 | ||
| - | ! Si l’objet est valide (route inaccessible) alors décrémenter le poids HSRP de 30 | ||
| - | | ||
| - | |||
| - | |||
| - | =====Port mirroring===== | ||
| - | |||
| - | Permet de répliquer le trafic d'un port vers un autre à l' | ||
| - | |||
| - | Voir les sessions de mirroring existantes : | ||
| - | show monitor session all | ||
| - | Session 1 | ||
| - | --------- | ||
| - | Type : Local Session | ||
| - | Source Ports : | ||
| - | |||
| - | |||
| - | Both : Gi1/0/2 | ||
| - | Destination Ports : Gi2/0/1 | ||
| - | Encapsulation | ||
| - | Ingress | ||
| - | |||
| - | La mention **Both** indique que la redirection se fait sur le trafic entrant et sortant de l' | ||
| - | |||
| - | Mise en place de la session de monitoring : | ||
| - | monitor session 1 source interface Gi1/0/2 [both | rx | tx] | ||
| - | monitor session 1 destination interface Gi2/0/1 | ||
| - | |||
| - | On peut donc choisir de ne redirigerque le trafic entrant ou sortant (ou les 2, par défaut) de l' | ||
| - | On peut aussi monitorer le trafic d'un vlan en remplaçant **interface** par **vlan** dans la source. | ||
| - | |||
| - | |||
| - | ===== Tester la longueur d'un cable ===== | ||
| - | Les dernières version de matériel peuvent calculer la longueur d'un câble relié à un de leur port (il doit être UP). C'est possible notamment sur des 3750-E ou des cartes 67xx (pour les châssis 65xx). Pour cela : | ||
| - | |||
| - | router#test cable-diagnostics tdr interface gigabitethernet1/ | ||
| - | TDR test started on interface Gi1/2 | ||
| - | A TDR test can take a few seconds to run on an interface | ||
| - | Use 'show cable-diagnostics tdr' to read the TDR results. | ||
| - | |||
| - | Puis, comme indiqué : | ||
| - | |||
| - | router#sh cable-diagnostics tdr interface Gi1/2 | ||
| - | | ||
| - | TDR test last run on: September 02 09:39:51 | ||
| - | Interface Speed Pair Cable length | ||
| - | --------- ----- ---- ------------------- ------------------- ------- ------------ | ||
| - | Gi1/2 | ||
| - | 3-4 2 +/- 6 m | ||
| - | 5-6 1 +/- 6 m | ||
| - | 7-8 2 +/- 6 m | ||
| - | |||
| - | |||
| - | =====Le modèle d' | ||
| - | |||
| - | C'est un modèle de conception d' | ||
| - | * switchs d' | ||
| - | * switchs de distribution : des switchs multilayers (niveau 2/3) qui gèrent le routage inter-vlan, la haute disponibilité, | ||
| - | * backbone ou réseau de cœur désigne de gros switch qui assurent le transport ultra-rapide inter-site. | ||
| - | |||
| - | =====Divers===== | ||
| - | |||
| - | ====Numéros de série==== | ||
| - | Pour récupérer le //serial number// d'un équipement sans avoir un accès physique pour regarder l' | ||
| - | |||
| - | * pour les c65XX : '' | ||
| - | * pour les c3825 : '' | ||
| - | |||
| - | ====show==== | ||
| - | * '' | ||
| - | |||
| - | Interface | ||
| - | Vlan1 unassigned | ||
| - | FastEthernet0/ | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Interface | ||
| - | Vlan1 unassigned | ||
| - | FastEthernet0/ | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Port Name | ||
| - | Fa0/1 | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | Vlan Mac Address | ||
| - | All 000b.46a4.f880 | ||
| - | 457 0000.0cd6.ac05 | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Protocol | ||
| - | Internet | ||
| - | Internet | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | router#sh processes cpu history | ||
| - | | ||
| - | | ||
| - | 100 | ||
| - | 90 | ||
| - | 80 | ||
| - | 70 | ||
| - | 60 | ||
| - | 50 | ||
| - | 40 | ||
| - | | ||
| - | | ||
| - | | ||
| - | 0....5....1....1....2....2....3....3....4....4....5....5.... | ||
| - | 0 5 0 5 0 5 0 5 0 5 | ||
| - | | ||
| - | CPU% per minute (last 60 minutes) | ||
| - | * = maximum CPU% # = average CPU% | ||
| - | |||
| - | * '' | ||
| - | |||
| - | router#sh ver | ||
| - | Cisco Internetwork Operating System Software | ||
| - | IOS (tm) c6sup2_rp Software (c6sup2_rp-PK9SV-M), | ||
| - | Technical Support: http:// | ||
| - | Copyright (c) 1986-2005 by cisco Systems, Inc. | ||
| - | Compiled Fri 13-May-05 22:43 by ssearch | ||
| - | Image text-base: 0x4002100C, data-base: 0x422F0000 | ||
| - | | ||
| - | ROM: System Bootstrap, Version 12.1(11r)E1, | ||
| - | BOOTLDR: c6sup2_rp Software (c6sup2_rp-PK9SV-M), | ||
| - | | ||
| - | router uptime is 31 weeks, 7 hours, 20 minutes | ||
| - | Time since routeur switched to active is 31 weeks, 7 hours, 21 minutes | ||
| - | System returned to ROM by power-on (SP by power-on) | ||
| - | System restarted at 07:41:26 MET Wed Aug 23 2006 | ||
| - | System image file is " | ||
| - | | ||
| - | | ||
| - | This product contains cryptographic features and is subject to United | ||
| - | States and local country laws governing import, export, transfer and | ||
| - | use. Delivery of Cisco cryptographic products does not imply | ||
| - | third-party authority to import, export, distribute or use encryption. | ||
| - | Importers, exporters, distributors and users are responsible for | ||
| - | compliance with U.S. and local country laws. By using this product you | ||
| - | agree to comply with applicable laws and regulations. If you are unable | ||
| - | to comply with U.S. and local laws, return this product immediately. | ||
| - | | ||
| - | A summary of U.S. laws governing Cisco cryptographic products may be found at: | ||
| - | http:// | ||
| - | | ||
| - | If you require further assistance please contact us by sending email to | ||
| - | export@cisco.com. | ||
| - | | ||
| - | cisco WS-C6506 (R7000) processor (revision 3.0) with 227328K/ | ||
| - | Processor board ID SAL0738LMUH | ||
| - | R7000 CPU at 300Mhz, Implementation 0x27, Rev 3.3, 256KB L2, 1024KB L3 Cache | ||
| - | Last reset from power-on | ||
| - | X.25 software, Version 3.0.0. | ||
| - | Bridging software. | ||
| - | 9 Virtual Ethernet/ | ||
| - | 48 FastEthernet/ | ||
| - | 20 Gigabit Ethernet/ | ||
| - | 381K bytes of non-volatile configuration memory. | ||
| - | | ||
| - | 32768K bytes of Flash internal SIMM (Sector size 512K). | ||
| - | Configuration register is 0x2102 | ||
| - | |||
| - | On peut notamment remarquer les informations suivantes : | ||
| - | sur un switch : '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | ====clear==== | ||
| - | La commande clear sert dans beaucoup de cas pour " | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | |||
| - | ====Gestion de la mémoire==== | ||
| - | sh file systems | ||
| - | File Systems: | ||
| - | | ||
| - | | ||
| - | * 7741440 | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | On peut utiliser les commandes '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * sauvegarder la config '' | ||
| - | |||
| - | ===Créer une archive=== | ||
| - | Pour compresser le fichier flash:/ | ||
| - | archive tar /create tftp: | ||
| - | |||
| - | |||
| - | ====FTP==== | ||
| - | Pour utiliser le FTP il faut configurer un username et password en mode '' | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | |||
| - | Puis on procède comme pour le tftp, par exemple : | ||
| - | Switch#copy ftp: flash | ||
| - | |||
| - | ====boot==== | ||
| - | router#sh bootvar | ||
| - | BOOT variable = disk0: | ||
| - | CONFIG_FILE variable does not exist | ||
| - | BOOTLDR variable = bootflash: | ||
| - | Configuration register is 0x2102 | ||
| - | | ||
| - | Standby is not up. | ||
| - | |||
| - | router#sh bootflash: | ||
| - | -#- ED ----type---- --crc--- -seek-- nlen -length- ---------date/ | ||
| - | 1 .. image B597155E | ||
| - | 2 .. image DEF2AA44 1B6417C | ||
| - | | ||
| - | 3784324 bytes available (28197244 bytes used) | ||
| - | |||
| - | Pour changer le mode de démarrage : | ||
| - | router(config)# | ||
| - | |||
| - | En sachant que **0x2102** c'est le mode normal, **0x2101** c'est pour booter sur le bootstrap, **0x2100** pour booter sur le Rommon (IOS minimal) et **0x2402** pour booter en mode normal sans charger de config (pour récupérer un mot de passe oublié par exemple). | ||
| - | |||
| - | On peut spécifier le système de fichier où l' | ||
| - | router(config)# | ||
| - | |||
| - | Pour lui préciser l' | ||
| - | router(config)# | ||
| - | On peut lui en spécifier plusieurs, par ordre croissant de priorité, en les séparant par des virgules. | ||
| - | |||
| - | Pour changer le bootloader par défaut : | ||
| - | router(config)# | ||
| - | |||
| - | |||
| - | ====GBIC==== | ||
| - | GBIC (Gigabit Interface Converter) est un module qui convertit un signal électrique en signal optique. | ||
| - | |||
| - | * 1000BASE-SX multi-mode (jusqu' | ||
| - | * 1000BASE-LX/ | ||
| - | * 1000Base-ZX mono-mode (jusqu' | ||
| - | |||
| - | * ST: carré/gros gbic | ||
| - | * LC: mini gbic (sfp) | ||
| - | * SC: rond/quart de tour | ||
| - | * FC: rond à visser | ||
| - | |||
| - | Connecteur (terminaison des fibres) : | ||
| - | * plat | ||
| - | * PC et UPC | ||
| - | * APC (bisoté) | ||
| - | |||
| - | |||
| - | ====ping==== | ||
| - | On peut utiliser la commande '' | ||
| - | |||
| - | ====Historique==== | ||
| - | On peut voir la liste des dernières commandes passées sur l' | ||
| - | |||
| - | On peut paramétrer la taille de max de l' | ||
| - | |||
| - | ====Régler l' | ||
| - | Pour ajuster l' | ||
| - | |||
| - | ====Commandes en vrac==== | ||
| - | '' | ||
| - | |||
| - | '' | ||
| - | |||
| - | '' | ||
| - | Si on veut récupérer l' | ||
| - | |||
| - | '' | ||
| - | |||
| - | |||
| - | =====Liens===== | ||
| - | |||
| - | * http:// | ||
| - | * http:// | ||
informatique/cisco.1226171167.txt.gz · Last modified: 2013/10/14 20:52 (external edit)