informatique:cisco
Differences
This shows you the differences between two versions of the page.
| Both sides previous revisionPrevious revisionNext revision | Previous revision | ||
| informatique:cisco [2008/11/23 11:53] – DAI pteu | informatique:cisco [2008/12/15 18:06] (current) – effacée pteu | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| - | {{tag> | ||
| - | ====== Commandes Cisco ====== | ||
| - | |||
| - | {{ http:// | ||
| - | |||
| - | //à valider et insérer\\ | ||
| - | telnet 132.169.103.24 8000 / | ||
| - | PVID = n° du VLAN non taggué (le VLAN en access sur un port access et le VLAN natif sur un port trunk)\\ | ||
| - | bla// | ||
| - | |||
| - | Cette page est un recueil de l' | ||
| - | |||
| - | Ne travaillant que sous IOS, il n'y aura ici aucune référence aux commandes relatives aux vieux catOS. | ||
| - | |||
| - | =====B.A.-BA===== | ||
| - | |||
| - | ====Les types de mémoire==== | ||
| - | * **DRAM** Dynamic Random-Access Memory ou **RAM** tout court ; mémoire rapide et non permanente (elle s' | ||
| - | * **ROM** (Read-Only Memory) contient un IOS minimal et le code, chargé au boot du routeur, qui lance l'IOS présent sur la flash | ||
| - | * **Flash memory** (EEPROM ou carte PCMCIA) contient l'IOS, les sauvegardes des confs, le serveur http, etc... | ||
| - | * **NVRAM** (Non-Volatile RAM) contient la startup-config | ||
| - | Ce bref récapitulatif montre la différence entre la running-config et la startup-config : | ||
| - | * **running-config** c'est la conf courante, celle qui est modifiée dynamiquement quand on tape une commande ; elle n'est pas enregistrée automatiquement. C'est la copie de travail de la startup. | ||
| - | * **startup-config** c'est une sauvegarde de la running-config, | ||
| - | |||
| - | ====Les 2 niveaux d' | ||
| - | Il existe 2 modes liés à différents privilèges, | ||
| - | * **mode utilisateur** '' | ||
| - | * **mode privilégié** '' | ||
| - | |||
| - | Le **mode configuration** '' | ||
| - | Switch> | ||
| - | Switch> | ||
| - | Password: | ||
| - | Switch#conf t | ||
| - | Enter configuration commands, one per line. End with CNTL/Z. | ||
| - | Switch(config)# | ||
| - | On peut protéger l' | ||
| - | |||
| - | Depuis le mode configuration global (conf t) on peut accéder aux modes de configuration : | ||
| - | * d'une interface '' | ||
| - | * d'une sous-interface '' | ||
| - | * d'un contrôleur '' | ||
| - | * d'une ligne '' | ||
| - | * du router '' | ||
| - | |||
| - | ====Commandes de base==== | ||
| - | IOS permet : | ||
| - | * la complétion automatique (comme les UNIX) avec la touche ''< | ||
| - | Mais à la différence d' | ||
| - | * une aide pour connaitre les paramètres attendus par une commande, ou pour lister les commandes : ''?'' | ||
| - | * un modèle en couches successives (cf ci-dessus) de privilèges : pour accéder à un mode privilégié on doit passer par tous les autres modes : | ||
| - | utilisateur (prompt '' | ||
| - | |||
| - | On quitte un mode avec la commande '' | ||
| - | * '' | ||
| - | * la plupart du temps, pour annuler une commande, on utilise le mot '' | ||
| - | |||
| - | ====Raccourcis clavier==== | ||
| - | Ils ressemblent aux raccourcis clavier que l'on trouve sous Unix/Linux, et il est préférable de les connaitre quand on se sert souvent du CLI car ils font gagner pas mal de temps ! | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | Le rappel des dernières commandes passées peut se faire avec les flèches '' | ||
| - | |||
| - | ===Les signaux=== | ||
| - | Sous Linux on peut utiliser le raccourcis clavier ctrl+C pour envoyer un SIGINT qui provoque l' | ||
| - | Sous les IOS on utilise l' | ||
| - | |||
| - | A valider, sous Linux il paraitrait qu'il faille utiliser '' | ||
| - | |||
| - | ===Séquence d' | ||
| - | C'est une séquence de touches qui, lorsqu' | ||
| - | |||
| - | ====Commandes filtres==== | ||
| - | Quand on fait une commande qui renvoie une grosse sortie, on peut filtrer les résultats avec le caractère '' | ||
| - | |||
| - | |||
| - | =====Configuration de base===== | ||
| - | |||
| - | ====hostname==== | ||
| - | C'est le nom de l' | ||
| - | Switch(config)# | ||
| - | Toto(config)# | ||
| - | |||
| - | ====IP de management==== | ||
| - | Dans le cas d'un switch, il n'y a pas de traitement de paquet niveau 3 normalement (hors ACLs, mais disons pas de routage comme sur un routeur). Pourtant, on a besoin d' | ||
| - | On spécifie l'IP d' | ||
| - | Switch(conf t)#int vlan 1 | ||
| - | Switch(conf-if)# | ||
| - | |||
| - | Un switch ne peut avoir qu'une seule adresse IP de management (sauf s'il s'agit d'un switch multilayer comme un 3500 ou un 3700). | ||
| - | |||
| - | |||
| - | ====Passerelle==== | ||
| - | Pour sortir du réseau, on doit spécifier la passerelle du réseau, c'est à dire la machine qui va router les paquets : | ||
| - | |||
| - | (conf t)#ip default-gateway 192.168.0.254 | ||
| - | |||
| - | Évidemment celle-ci doit être dans le VLAN pour être inaccessible ! | ||
| - | |||
| - | ====subnet zero==== | ||
| - | '' | ||
| - | exemple : on a la plage 172.16.0.0 /16 que l'on veut découper en sous-réseaux, | ||
| - | |||
| - | ====no ip domain-lookup==== | ||
| - | '' | ||
| - | Router#sxow | ||
| - | Translating " | ||
| - | % Unknow command or computer name, or unable to find computer address | ||
| - | |||
| - | ====logging synchronous==== | ||
| - | On peut recevoir des messages du routeur qui trouble l' | ||
| - | Router# | ||
| - | %SYS-5-CONFIG_I : Configured from console by console | ||
| - | Enter configuration commands, one per line. End with CNTL/Z. | ||
| - | |||
| - | Pour retrouver sa ligne de commande on peut faire un '' | ||
| - | Router(config)# | ||
| - | Router(config-line)# | ||
| - | |||
| - | Voici l' | ||
| - | Router# | ||
| - | %SYS-5-CONFIG_I : Configured from console by console | ||
| - | Router# | ||
| - | |||
| - | |||
| - | =====Configuration générale===== | ||
| - | |||
| - | ====Bannière==== | ||
| - | Quelque soit le type de bannière, il faut indiquer un délimiter de fin de bannière lors de l' | ||
| - | |||
| - | On peut spécifier une chaine de caractère qui s' | ||
| - | Switch(config)# | ||
| - | Enter TEXT message. | ||
| - | Salut mecbon ; t'es sur le bon ! | ||
| - | % | ||
| - | Switch(config)# | ||
| - | |||
| - | On peut spécifier une bannière spécifique pour un utilisateur lambda : | ||
| - | Switch# | ||
| - | |||
| - | |||
| - | =====Màj IOS par tftp===== | ||
| - | // | ||
| - | * l' | ||
| - | * se connecter au switch par le réseau (telnet ou ssh), pas par le port série (trop lent) | ||
| - | |||
| - | On a une version sur un serveur tftp (192.168.0.100) dans '' | ||
| - | |||
| - | |||
| - | |||
| - | |||
| - | |||
| - | * téléchargement d'IOS | ||
| - | Switch#copy tftp: | ||
| - | Address or name of remote host []? 192.168.0.100 | ||
| - | Destination filename [c2940-i6k2l2q4-mz.121-22.EA8a.bin]? | ||
| - | Accessing tftp:// | ||
| - | Loading logiciel/ | ||
| - | 288): !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! | ||
| - | !!!!!!!!!!!!!!!! | ||
| - | [OK - 3737506 bytes] | ||
| - | | ||
| - | 3737506 bytes copied in 65.352 secs (57190 bytes/sec) | ||
| - | |||
| - | * changement des paramètres de démarrage | ||
| - | Switch#sh boot | ||
| - | BOOT path-list: | ||
| - | Config file: flash:/ | ||
| - | Private Config file: flash:/ | ||
| - | Enable Break: | ||
| - | Manual Boot: no | ||
| - | HELPER path-list: | ||
| - | NVRAM/ | ||
| - | buffer size: 32768 | ||
| - | Timeout for Config | ||
| - | Download: | ||
| - | Config Download | ||
| - | via DHCP: | ||
| - | |||
| - | Ici, l' | ||
| - | Switch#conf t | ||
| - | Switch(config)# | ||
| - | |||
| - | puis sauvegarder la config | ||
| - | Switch(config)# | ||
| - | Switch#wr mem | ||
| - | Building configuration... | ||
| - | [OK] | ||
| - | |||
| - | * on peut enfin redémarrer | ||
| - | |||
| - | Switch# | ||
| - | |||
| - | |||
| - | =====Configurer un VLAN===== | ||
| - | |||
| - | Un //Virtual LAN, réseau virtuel, permet de créer plusieurs réseaux sur différents ports du switch.// | ||
| - | Cela consiste à tagger les paquets des LANs virtuels et à les échanger via des liens trunk. Ainsi on peut avoir différents VLANs sur plusieurs switchs, avec un domaine de broadcast propre à chaque VLAN. | ||
| - | but : segmentation (un domaine de broadcast), flexibilité (possibilité de plusieurs vlan pour un switch), sécurité (lié à la segmentation). | ||
| - | Il existe 2 protocoles pour tagguer les vlans : | ||
| - | * **802.1q** : normalisé par l' | ||
| - | * **ISL** (Inter Switch Link) est le protocole propriétaire CISCO déuet actuellement. Il encapsule la trame Ethernet en lui rajoutant un header de 26 octets et un FCS (CRC) de 4 octets. Le VLAN ID est codé dans un champ de 10 bits, donc ce protocole ne supporte, lui, que 1024 VLANs max. Comme pour le 802.1q, ce protocole n'est utilisé que sur des liens point-à-point (point-to-point). | ||
| - | |||
| - | Les différents types de vlan : | ||
| - | * **vlan par défaut** : le VLAN 1, celui dans lequel sont mis tous les ports par défaut. | ||
| - | * **vlan natif** : les trames du VLAN natif ne sont pas tagguées afin d' | ||
| - | * **vlan de management** : VLAN dans lequel est située d'IP de management du commutateur, | ||
| - | * **vlan utilisateur** : VLAN " | ||
| - | |||
| - | **Une best-practice concernant les VLANs consiste à isoler le VLAN natif (ni data ni utilisateurs dedans) ainsi que le VLAN d' | ||
| - | |||
| - | Les différents VLANs : | ||
| - | * le VLAN 1 est, comme vu plus haut, le VLAN natif par défaut. | ||
| - | * les VLANs 1 à 1001 sont les **VLANs standards**, | ||
| - | * les VLANs 1002 à 1005 sont des **VLANs réservés** pour FDDI et Token Ring ; ils sont créés automatiquement et on ne peut pas les supprimer. | ||
| - | * sur un switch configuré en mode transparent utilisant une version récente d'IOS (version " | ||
| - | |||
| - | ====La règle des 80/20==== | ||
| - | Vilfredo Paretto était un économiste italien qui avait " | ||
| - | |||
| - | La **règle des 80/20** en réseau en est fortement inspirée : " | ||
| - | |||
| - | De nos jours, les coûts liés à la bande-passante ont baissé et on constate l' | ||
| - | |||
| - | Ces 2 règles sont essentielles pour choisir le type de VLAN que l'on va mettre en place : | ||
| - | * VLANs locaux si on se rapproche de la règle des 80/20 | ||
| - | * VLANs géographiques si on se rapproche de la règle des 20/80 | ||
| - | |||
| - | ====Création d'un vlan==== | ||
| - | Pour créer le vlan 5 de nom "vlan cinq" (tiens, c'est original). | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-vlan)# | ||
| - | |||
| - | Avant il fallait rentrer dans la '' | ||
| - | |||
| - | La configuration des vlans est contenu dans le fichier '' | ||
| - | |||
| - | |||
| - | ====Mode access==== | ||
| - | C'est le cas d'un port physiquement relié à une machine. | ||
| - | |||
| - | ===Configuration statique=== | ||
| - | // | ||
| - | |||
| - | Il faut maintenant attribuer des ports physiques à ce vlan, par exemple le fast ethernet 0/2 : | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | ===VMPS (configuration dynamique)=== | ||
| - | Un **VLAN Management Policy Server** permet d' | ||
| - | |||
| - | C'est un switch ou un serveur qui centralise une base de données faisant correspondre à une adresse MAC numéro de VLAN (VLAN ID). Lorsqu' | ||
| - | * dans le bon VLAN | ||
| - | * en mode portfast | ||
| - | |||
| - | C'est ce qu'on appelle le **Dynamic VLAN configuration**. Ce mode est incompatible avec le mode %%port-security%% et le mode trunk. | ||
| - | |||
| - | Le ports doivent être configurés de cette façon : | ||
| - | |||
| - | switchport access dynamic | ||
| - | |||
| - | ===VLAN auxiliaire=== | ||
| - | Avec l' | ||
| - | |||
| - | ====Mode trunk==== | ||
| - | Pour diffuser des VLANs entre 2 switchs (par exemple) par le même lien on doit passer le lien inter-switch en mode trunk : cela consiste à ajouter une information sur chaque paquet Ethernet permettant de définir l' | ||
| - | |||
| - | Un port trunk doit être configuré en '' | ||
| - | |||
| - | Enfin il faut spécifier le protocole utilisé pour le trunk : '' | ||
| - | |||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | Pour modifier le VLAN natif, c' | ||
| - | |||
| - | Switch(config-if)# | ||
| - | |||
| - | ===DTP=== | ||
| - | **Dynamic Trunking Protocol** permet à un port de dialoguer avec le port d'en face dans le but de passer en mode trunk ou non. | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * mode **desirable** : négocie __activement__ pour passer le lien en trunk ; il passe donc en mode trunk face à un port configuré en trunk, desirable ou en auto. C'est le mode par défaut. | ||
| - | * mode **auto** : négocie __passivement__ le lien en trunk ; il passe en trunk face à un port configuré en trunk ou desirable. | ||
| - | |||
| - | Si rien n'est spécifié et c'est une __faille potentielle__ quand c'est sur un port relié à un PC (ce dernier peut se faire passer pour un switch, forcer en mode trunk, et faire passer tous les VLANs dessus). | ||
| - | |||
| - | ==Synthèse des interactions== | ||
| - | |||
| - | | ^ Dynamic auto ^ Dynamic desirable ^ Trunk ^ Access | ||
| - | ^ Dynamic auto | access | ||
| - | ^ Dynamic desirable | trunk | ||
| - | ^ Trunk | ||
| - | ^ Access | ||
| - | |||
| - | |||
| - | ==Vérification== | ||
| - | |||
| - | sh dtp interface | ||
| - | DTP information for GigabitEthernet1/ | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | Hello timer expiration (sec/ | ||
| - | | ||
| - | | ||
| - | | ||
| - | FSM state: | ||
| - | # times multi & trunk 0 | ||
| - | | ||
| - | In STP: no | ||
| - | |||
| - | | ||
| - | | ||
| - | 203 packets received (0 good) | ||
| - | 203 packets dropped | ||
| - | 0 nonegotiate, | ||
| - | 0 bad TLVs, 0 bad TAS, 0 bad TAT, 0 bad TOT, 203 other | ||
| - | 0 packets output (0 good) | ||
| - | 0 native, 0 software encap isl, 0 isl hardware native | ||
| - | 0 output errors | ||
| - | 0 trunk timeouts | ||
| - | 1 link ups, last link up on Mon Mar 01 1993, 00:01:57 | ||
| - | 2 link downs, last link down on Wed Mar 10 1993, 23:43:59 | ||
| - | |||
| - | ====Vérification==== | ||
| - | Switch#sh vlan [ brief | id < | ||
| - | Switch#sh vlan brief | ||
| - | | ||
| - | VLAN Name | ||
| - | ---- -------------------------------- --------- ------------------------------- | ||
| - | 1 default | ||
| - | Fa0/6, Fa0/7, Fa0/8, Fa0/9 | ||
| - | Gi0/1 | ||
| - | 5 vlan cinq active | ||
| - | 1002 fddi-default | ||
| - | 1003 token-ring-default | ||
| - | 1004 fddinet-default | ||
| - | 1005 trnet-default | ||
| - | |||
| - | Les vlans 1, 1002, 1003, 1004 et 1005 sont les vlans par défaut de chaque type d' | ||
| - | Là on voit qu' | ||
| - | |||
| - | =====VTP===== | ||
| - | Le **Vlan Transport Protocol** permet de propager la configuration des VLANs sur un domaine VTP (un ensemble de switch convenu). Le VTP est propagé __uniquement sur les ports trunk__ ; les conditions suivantes sont requises pour que le VTP fonctionne correctement : | ||
| - | * chaque switch doit appartenir au même domaine VTP | ||
| - | * les switchs doivent être adjacents | ||
| - | * les switchs doivent être reliés entre eux par des liens trunk | ||
| - | |||
| - | Chaque switch envoie les information suivantes : | ||
| - | * le nom du domaine VTP | ||
| - | * le numéro de révision | ||
| - | * les VLANs connus ainsi que leurs paramètres spécifiques | ||
| - | |||
| - | Chaque switch envoie des //VTP advertisement// | ||
| - | |||
| - | |||
| - | ====Les 3 modes de fonctionnement==== | ||
| - | |||
| - | Il existe 3 modes de fonctionnement pour le VTP : | ||
| - | |||
| - | * **serveur** : les serveurs centralisent la conf en écriture, et la propagent vers les clients --et serveurs-- du même domaine. Chaque modification de la base des VLAN incrémente la révision du VTP et est transmise à tout le domaine. | ||
| - | * **client** : les clients reçoivent et ré-émettent la conf de leur domaine VTP, qu'ils gardent en lecture seule : impossible de créer un VLAN en mode client. | ||
| - | * **transparent** : le mode transparent permet de garder une base de VLAN indépendante (locale) à l' | ||
| - | |||
| - | Un commutateur ne peut appartenir qu'à un seul domaine VTP ; en revanche il peut y avoir plusieurs domaines VTP dans un même réseau. | ||
| - | |||
| - | Les confs envoyées par VTP disposent d'un numéro de version par domaine VTP ; les équipement se synchronisent sur le **dernier numéro de version de ce domaine**. Il faut donc faire attention lorsqu' | ||
| - | * soit on supprime le fichier **vlan.dat** qui contient les informations VTP ('' | ||
| - | * soit on change le domaine du switch pour reseter son compteur ; puis on remet le domaine voulu | ||
| - | * (à vérifier) soit on fait un '' | ||
| - | * si le switch est en mode transparent il ne communique pas sa version de sa vlan database donc il est normalement " | ||
| - | |||
| - | Pour ce protéger de cela, il est fortement conseillé de définir un mot de passe au domaine VTP. Ainsi un switch connecté par inadvertance sur un réseau de prod ne pourra pas modifier pas les confs des autres équipements sans ce mot de passe. | ||
| - | |||
| - | |||
| - | ====Les différents types d' | ||
| - | |||
| - | * **Summary Advertisements** envoyés par les clients toutes les 5 minutes ou lors d'un changement de topologie | ||
| - | * **Subset Advertisements** faisant suite à un **summary advertisements**, | ||
| - | * **Avertisement Requests** est une demande d' | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | Comme pour la création de VLAN, elle peut se faire dans le mode de configuration des vlans (en entrant dans la '' | ||
| - | |||
| - | Switch(conf t)#vtp domain < | ||
| - | Switch(conf t)#vtp mode [serveur | client | transparent] | ||
| - | Switch(conf t)#vtp password < | ||
| - | |||
| - | |||
| - | ====Pruning==== | ||
| - | Comme pour le multicast, le **pruning** est l' | ||
| - | |||
| - | Configuration du VTP pruning : | ||
| - | |||
| - | Switch(conf t)#vtp pruning | ||
| - | |||
| - | Ou alors : | ||
| - | |||
| - | Switch(conf t)#set vtp pruneeligible {VLAN_list} | ||
| - | |||
| - | Pour supprimer le pruning : | ||
| - | |||
| - | Switch(conf t)#clear vtp pruneeligible {VLAN_list} | ||
| - | |||
| - | ====Vérification==== | ||
| - | Switch#sh vtp status | ||
| - | VTP Version | ||
| - | Configuration Revision | ||
| - | Maximum VLANs supported locally : 128 | ||
| - | Number of existing VLANs : 7 | ||
| - | VTP Operating Mode : Transparent | ||
| - | VTP Domain Name : vtp_montage | ||
| - | VTP Pruning Mode : Disabled | ||
| - | VTP V2 Mode : Disabled | ||
| - | VTP Traps Generation | ||
| - | MD5 digest | ||
| - | Configuration last modified by 10.2.1.30 at 3-5-93 00:41:31 | ||
| - | |||
| - | ====Recommandations==== | ||
| - | * utiliser un mot de passe par domaine VTP | ||
| - | * ne pas créer de domaine VTP trop étendu | ||
| - | * ne pas dépasser 1 ou 2 VTP server | ||
| - | |||
| - | =====Configurer un port===== | ||
| - | |||
| - | Il faut passer en mode configuration du port '' | ||
| - | Switch> | ||
| - | Switch#conf t | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | Dans l' | ||
| - | |||
| - | Voici les paramètres classiques qu'on peut retrouver configurés sur un port : | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | Autre vraie sécurité du STP : activer le **bpduguard** sur les ports utilisateurs '' | ||
| - | * '' | ||
| - | |||
| - | A ceux-là s' | ||
| - | |||
| - | Cela est bien pratique pour préconfigurer un nouveau switch : on peut configurer un " | ||
| - | Switch(config)# | ||
| - | |||
| - | Les ports d'un même " | ||
| - | Switch(config)# | ||
| - | |||
| - | ====Switchport==== | ||
| - | Pour configurer le niveau 2 d'un port on utilise la commande switchport, généralement soit en mode access (vers une machine) soit en mode trunk (vers un autre switch ou un routeur) : | ||
| - | * soit en mode access (vers un PC) : | ||
| - | |||
| - | switchport | ||
| - | switchport mode access | ||
| - | switchport access vlan x | ||
| - | |||
| - | * soit en mode trunk (vers un autre switch) | ||
| - | |||
| - | switchport | ||
| - | switchport mode trunk | ||
| - | switchport trunk encapsulation dot1q | ||
| - | switchport trunk allowed vlan x,y | ||
| - | |||
| - | ====port-security==== | ||
| - | On peut ajouter une sécurité par vérification d' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | Pour déterminer le comportement du switch s'il rencontre une mauvaise adresse MAC : | ||
| - | * '' | ||
| - | * **protect** drop les trames incorrectes mais ne log pas l' | ||
| - | * **restrict** comme protect mais log une alerte et envoie un trap SNMP | ||
| - | * **shutdown** une alerte est émise (log + SNMP) et l' | ||
| - | |||
| - | Pour info, l' | ||
| - | Cela permet aussi d' | ||
| - | |||
| - | Pour vérifier la configuration : | ||
| - | sh port-security [interface fa0/1] | ||
| - | ou | ||
| - | sh port-security address | ||
| - | |||
| - | ====port serie==== | ||
| - | Vérifier si le port est en DCE ou DTE : | ||
| - | Router#sh controller serial 0/0 | include DCE | ||
| - | DCE V.35, clock rate 64000 | ||
| - | |||
| - | Là il est DCE, c'est à dire que c'est lui qui a la vitesse d' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | ====troubleshooting==== | ||
| - | Switch#sh interface fa0/0 | ||
| - | |||
| - | Lancer cette commande et vérifier : | ||
| - | * que l' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | * les '' | ||
| - | |||
| - | Switch#sh interface ethernet | ||
| - | Vérifier que les collisions ne dépassent pas 0.1 % des paquets émis | ||
| - | |||
| - | Vérifier le '' | ||
| - | |||
| - | |||
| - | =====Gestion des accès===== | ||
| - | |||
| - | Différents types d' | ||
| - | |||
| - | Pour la première configuration il faut se connecter au port **console** avec le câble fourni par Cisco. Sous Windows on ouvre l' //Hyper terminal//, on saisit un nom de connexion bidon, on clique sur " | ||
| - | Switch> en | ||
| - | Switch# | ||
| - | |||
| - | ====Mode enable==== | ||
| - | En mode config on va saisir un nouveau mot de passe pour le mode privilégié. On a le choix entre, respectivement, | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | Si les 2 sont configurés, | ||
| - | |||
| - | ====Console==== | ||
| - | On veut mettre en place un mot de passe pour se connecter sur la ligne console (CTY) : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | '' | ||
| - | |||
| - | ====Ligne auxiliaire==== | ||
| - | La principale différence entre les ports console (CTY) et auxiliaire (AUX) est que le port auxiliaire supporte le contrôle de flux hardware ; le port console non. Le contrôle de flux permet un contrôle des transmissions, | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | ====ligne vty==== | ||
| - | Elles correspondent à des lignes virtuelles (des connexions non physiques comme le port console ou AUX), celles utilisées quand un utilisateur se connecte en telnet ou ssh. | ||
| - | |||
| - | Tant qu'un mot de passe n'est pas spécifié (via la console), les sessions telnet sont interdites pour des problèmes de sécurité. | ||
| - | De plus on ne peut y accéder que quand on a spécifié une adresse IP d' | ||
| - | |||
| - | Souvent les routeurs ne comprennent que 5 lignes vty ('' | ||
| - | P4SW#sh line | ||
| - | Tty Typ | ||
| - | * 0 CTY - - - - - 0 | ||
| - | * 1 VTY - - - - - 4 | ||
| - | 2 VTY - - - - - 0 | ||
| - | 3 VTY - - - - - 0 | ||
| - | 4 VTY - - - - - 0 | ||
| - | 5 VTY - - - - - 0 | ||
| - | 6 VTY - - - - - 0 | ||
| - | 7 VTY - - - - - 0 | ||
| - | 8 VTY - - - - - 0 | ||
| - | 9 VTY - - - - - 0 | ||
| - | 10 VTY - - - - - 0 | ||
| - | 11 VTY - - - - - 0 | ||
| - | 12 VTY - - - - - 0 | ||
| - | 13 VTY - - - - - 0 | ||
| - | 14 VTY - - - - - 0 | ||
| - | 15 VTY - - - - - 0 | ||
| - | 16 VTY - - - - - 0 | ||
| - | |||
| - | On veut les configurer tous les vtys ensemble : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | On peut spécifier le type de protocole qu'on veut utiliser (ici ssh et telnet) : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)# | ||
| - | |||
| - | |||
| - | Dans les 3 cas ci-dessus, on demande un mot de passe pour établir une connexion ; si on veut demander aussi un login, il faut rajouter : | ||
| - | Switch(config)# | ||
| - | Switch(config-line)login local | ||
| - | |||
| - | On spécifie de nom d' | ||
| - | Switch(config)# | ||
| - | |||
| - | |||
| - | ====SSH==== | ||
| - | //Les lignes vty doivent être copnfigurées (cf § précédent)// | ||
| - | |||
| - | Le SSH ne fonctionne qu' | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | |||
| - | On peut préciser certains paramètres (facultatif) : | ||
| - | toto(config)# | ||
| - | toto(config)# | ||
| - | toto(config)# | ||
| - | |||
| - | Configuration de l' | ||
| - | //à valider : le fait de devoir faire un '' | ||
| - | |||
| - | Génération d'un couple de clés RSA : | ||
| - | toto(config)# | ||
| - | |||
| - | Les lignes vty doivent être configurées (cf § précédent). | ||
| - | |||
| - | On créé ensuite un compte local : | ||
| - | toto(config)# | ||
| - | |||
| - | |||
| - | =====Gestion des sessions===== | ||
| - | |||
| - | Pour afficher les sessions courante sur l' | ||
| - | show sessions | ||
| - | |||
| - | Pour afficher la liste des utilisateurs connectés : | ||
| - | show users | ||
| - | |||
| - | (Et aussi : '' | ||
| - | |||
| - | Pour déconnecter une session : | ||
| - | disconnect < | ||
| - | |||
| - | |||
| - | =====Mot de passe oublié===== | ||
| - | //Testé avec un Catalyst 2940// | ||
| - | |||
| - | Mode opératoire pour récupérer l' | ||
| - | |||
| - | * Débrancher le switch | ||
| - | * Le rebrancher en maintenant le bouton " | ||
| - | |||
| - | C2940 Boot Loader (C2940-HBOOT-M) Version 12.1(13r)AY1, | ||
| - | Compiled Mon 30-Jun-03 15:16 by antonino | ||
| - | WS-C2940-8TF-S starting... | ||
| - | Base ethernet MAC Address: 00: | ||
| - | Xmodem file system is available. | ||
| - | The password-recovery mechanism is enabled. | ||
| - | | ||
| - | The system has been interrupted prior to initializing the | ||
| - | flash filesystem. | ||
| - | the flash filesystem, and finish loading the operating | ||
| - | system software: | ||
| - | | ||
| - | flash_init | ||
| - | load_helper | ||
| - | boot | ||
| - | |||
| - | (la complétion automatique ne fonctionne pas) | ||
| - | * '' | ||
| - | * '' | ||
| - | * Sauvegarder la config : '' | ||
| - | * Démarrer : '' | ||
| - | * Passer en mode //enable// : '' | ||
| - | * Restaurer la config : '' | ||
| - | * Sauver la conf : '' | ||
| - | * Changer le mot de passe : '' | ||
| - | * Sauvegarder la conf sur la flash : '' | ||
| - | |||
| - | |||
| - | =====MAJ IOS via Rommon===== | ||
| - | //merci les gars j'ai enfin réussi | ||
| - | http:// | ||
| - | |||
| - | voici ma soluce// | ||
| - | |||
| - | rommon 1 > flash_init | ||
| - | rommon 2 > set | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | si pb de checksum : '' | ||
| - | |||
| - | //You must use the sync command to save ROMmon environment variables to nonvolatile RAM (NVRAM).// | ||
| - | rommon 3 > sync | ||
| - | rommon 4 > tftpdnld | ||
| - | |||
| - | The variables to set for tftpdnld are shown here: | ||
| - | usage: tftpdnld [-ur] | ||
| - | |||
| - | Si on avait modifié les registres | ||
| - | confreg 0x2101 | ||
| - | |||
| - | |||
| - | =====STP===== | ||
| - | |||
| - | Le **Spanning-Tree Protocol** est un protocole de niveau 2 normalisé par l'IEEE en tant que **802.1D**. Il permet de découvrir la topologie du réseau, d'en détecter les changements et d' | ||
| - | |||
| - | Les communications entre les commutateurs se font par des paquets appelés BPDUs, qui sont notamment composés du " | ||
| - | |||
| - | * 100 pour 10Mbps | ||
| - | * 19 pour du 100Mbps | ||
| - | * 4 pour 1Gbps | ||
| - | * 2 pour 10Gbps, etc... | ||
| - | |||
| - | On peut influer sur l' | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | ====STP BPDU Guard==== | ||
| - | Désactive le port sur lequel il reçoit des BPDUs si le portfast est activé sur le port. Il faut réactiver manuellement le port. | ||
| - | Pour activer le BPDU guard, on se met en config-if : | ||
| - | '' | ||
| - | |||
| - | NB : on peut activer par défaut sur tous les ports __configurés en portfast__ avec la commande globale '' | ||
| - | |||
| - | ====STP BPDU filter==== | ||
| - | '' | ||
| - | |||
| - | NB : on peut activer par défaut sur tous les ports __configurés en portfast__ avec la commande globale '' | ||
| - | |||
| - | ====STP Root Guard==== | ||
| - | Désactive le port si un BPDU de plus faible priorité est reçu (= si le switch de l' | ||
| - | |||
| - | Pour activer le root guard, on se met en config-if : | ||
| - | '' | ||
| - | |||
| - | http:// | ||
| - | |||
| - | ====Loop guard==== | ||
| - | Le **loop guard** est une sécurité supplémentaire pour éviter les boucles ST. Lorsqu' | ||
| - | |||
| - | SPANTREE-2-LOOPGUARDBLOCK: | ||
| - | |||
| - | Lorsque le port recevra à nouveau des BPDUs, il se débloquera automatiquement. | ||
| - | |||
| - | ====RST==== | ||
| - | |||
| - | Le **Rapid Spanning-Tree** est une modification du ST qui permet une convergence bien plus rapide que le standart initial : on passe de 50 secondes à quelques secondes lors d'une perte d'un lien. C'est devenu un standart lui aussi. | ||
| - | |||
| - | C'est actuellement ce mode de fonctionnement qui utilisé partout. Partout vous dis-je. | ||
| - | |||
| - | ====PVST==== | ||
| - | |||
| - | Le **Per VLAN Spanning-Tree** est une amélioration propriétaire de Cisco qui permet de négocier un arbre ST par VLAN (ça permet de faire de la répartition de flux puisqu' | ||
| - | |||
| - | Cependant son inconvénient est que ce n'est pas un standart (donc concrètement ça ne tourne qu' | ||
| - | |||
| - | Comme ce protocole utilise une instance par VLAN, chaque BID doit contenir le numéro de VLAN : la priorité du STP (**bridge priority**, sur 16 bits) a été décomposée en 2 champs pour devenir l' | ||
| - | |||
| - | =====R-PVSTP===== | ||
| - | Rapid-PVST Protocol ou **Rapid Per VLAN Spanning Tree Protocol** permet de combiner le " | ||
| - | |||
| - | * **Rapid** : de converger plus vite lors d'un changement de topologie (2 secondes au lieu de 50 environs) | ||
| - | * **Per VLAN** : d' | ||
| - | |||
| - | C'est un protocole propriétaire CISCO à la différence du MSTP (**Multiple STP**, extension du RSTP, qui permet de créer plusieurs instances de STP avec un ou plusieurs VLAN rattaché). | ||
| - | |||
| - | Configuration (idem pour le PVSTP activé par défaut) : | ||
| - | |||
| - | On active le RPVST : | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | La priorité par défaut est de 32768 : on va déclarer le Switch1 en "root primaire" | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | NB : quand on configure un switch en '' | ||
| - | |||
| - | On aurait pu gérer les priorités statiques à la main : | ||
| - | Switch1(config)# | ||
| - | Switch2(config)# | ||
| - | |||
| - | Vérification : | ||
| - | Switch1#sh spanning-tree vlan 445 | ||
| - | |||
| - | |||
| - | =====MSTP===== | ||
| - | **Multiple Spanning-tree** permet de créer des groupes (instance) de VLANs qui partageront une seule et même topologie spanning-tree. On diminue ainsi la charge du réseau et des CPUs des commutateurs par rapport au PVST (moins de BPDUs et moins de calculs d' | ||
| - | |||
| - | L' | ||
| - | |||
| - | On associe donc un groupe de VLAN à une instance (numérotées de 1 à 15 max), contenue dans une région ; ces VLANs partageront leur topologie ST (ou plutôt RST car chez Cisco le MST implique de fonctionner en RST). | ||
| - | |||
| - | Par défaut l' | ||
| - | |||
| - | Les switchs appartenant à une même région MST doivent avoir en commun : | ||
| - | |||
| - | * les mêmes numéros d' | ||
| - | * le même mapping de VLAN par instance | ||
| - | * le même numéro de révision | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | On va créer 2 instances dans la région region1 avec un n° de révision de 1 : | ||
| - | |||
| - | Switch(config)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | Switch(config-mst)# | ||
| - | |||
| - | Puis on active le MST : | ||
| - | |||
| - | Switch(config)# | ||
| - | |||
| - | Chaque commutateur doit avoir la même configuration de région sous peine de ne pas pouvoir communiquer avec les autres commutateurs " | ||
| - | |||
| - | Pour réinitialiser la détection des protocoles ST, il faut passer la commande : | ||
| - | |||
| - | clear spanning-tree detected-protocols | ||
| - | |||
| - | Dans certains cas (à déterminer) il faut passer la directive suivante sur les interfaces physiques reliées à certains commutateurs : | ||
| - | |||
| - | Switch(config-if)# | ||
| - | |||
| - | |||
| - | ====Vérification==== | ||
| - | |||
| - | show spanning-tree mst configuration | ||
| - | show spanning-tree mst | ||
| - | |||
| - | =====Etherchannel===== | ||
| - | |||
| - | C'est le nom utilisé par CISCO pour désigner du bonding ou channel bonding, c'est à dire un agrégat de ports physiques en un port logique. On peut fusionner jusqu' | ||
| - | * addition globale (pas de machine à machine) de la bande passante de chaque lien (ex : 4 liens physiques à 100 Mbps ~= 1 lien logique à 400 Mbps). | ||
| - | * redondance d' | ||
| - | On l' | ||
| - | |||
| - | Il 2 principaux protocoles : le LACP (standart IEEE 802.3ad) et le PAgP (propriétaire Cisco). | ||
| - | |||
| - | ====Configuration==== | ||
| - | |||
| - | On créer l' | ||
| - | Switch(config)# | ||
| - | |||
| - | On la configure comme une interface normale. | ||
| - | |||
| - | Pour chaque interface physique que l'on veut ajouter à l' | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | |||
| - | On peut spécifier le mode par : | ||
| - | |||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Les ports physiques d'un Etherchannel doivent être de même type et de même vitesse ; ils doivent avoir la même configuration. | ||
| - | |||
| - | |||
| - | =====HSRP===== | ||
| - | |||
| - | Le HSRP est un protocole propriétaire Cisco semblable au VRRP, qui permet de mettre en place une redondance au niveau du routage (High Availability). On met en place un groupe de plusieurs routeurs, qui élisent entre eux un " | ||
| - | |||
| - | Le HSRP utilise l' | ||
| - | |||
| - | Le routeur master envoie des paquets Hello à tous les routeurs standby toutes les 3 secondes. Quand ces derniers ne reçoivent plus ces paquets pendant 10 secondes d' | ||
| - | |||
| - | ====Mise en place==== | ||
| - | On a 2 routeurs (routeur1 et routeur2) : le 1 sera le principal (master), le 2 (standby) prendra le relais si le 1 tombe en panne. | ||
| - | |||
| - | * '' | ||
| - | * le HSRP ne peut se configurer que sur les interfaces de type Port-channel (Po), SVI (int vlan) et port routé (no switchport) | ||
| - | |||
| - | routeur1 : | ||
| - | R1(config)# | ||
| - | R1(config-if)# | ||
| - | R1(config-if)# | ||
| - | R1(config-if)# | ||
| - | R1(config-if)# | ||
| - | |||
| - | routeur2 : | ||
| - | R2(config)# | ||
| - | R2(config-if)# | ||
| - | R2(config-if)# | ||
| - | R2(config-if)# | ||
| - | R2(config-if)# | ||
| - | |||
| - | ====Configuration avancée==== | ||
| - | |||
| - | ===Modification des timers=== | ||
| - | Le premier est le Hello time (par défaut de 3s) et le second est le Hold time (par défaut de 10s). | ||
| - | |||
| - | RX(config-if)# | ||
| - | |||
| - | ===Authentification=== | ||
| - | A mettre sur tous les routeurs d'un groupe : | ||
| - | |||
| - | RX(config-if)# | ||
| - | |||
| - | ===Tracking d' | ||
| - | Le tracking d' | ||
| - | |||
| - | * on peut " | ||
| - | * lorsque l' | ||
| - | |||
| - | Dans le cas suivant, le routeur R1 baissera sa priorité HSRP de 50 (110-50 = 60) quand l' | ||
| - | |||
| - | R1(config-if)# | ||
| - | |||
| - | ===HSRP sur ip secondaire=== | ||
| - | On peut mettre en place de l'HSRP sur une IP secondaire avec la commande : | ||
| - | |||
| - | R1(config-if)# | ||
| - | |||
| - | ====Vérification==== | ||
| - | La négociation dure quelques secondes, puis : | ||
| - | router1# | ||
| - | P indicates configured to preempt. | ||
| - | | | ||
| - | Interface | ||
| - | Vl5 | ||
| - | [..] | ||
| - | |||
| - | Le routeur **backup** est marqué en standby, le maître est **Active**. | ||
| - | |||
| - | router2#sh standby vlan 5 | ||
| - | Vlan5 - Group 48 | ||
| - | Local state is Active, priority 90, may preempt | ||
| - | Hellotime 5 sec, holdtime 15 sec | ||
| - | Next hello sent in 1.305 | ||
| - | Virtual IP address is 10.0.10.6 configured | ||
| - | Active router is local | ||
| - | Standby router is 10.0.10.5 expires in 11.716 | ||
| - | Virtual mac address is 0000.0c07.ac30 | ||
| - | Authentication text " | ||
| - | 1 state changes, last state change 9w0d | ||
| - | IP redundancy name is " | ||
| - | |||
| - | |||
| - | =====VRRP===== | ||
| - | |||
| - | |||
| - | =====GLBP===== | ||
| - | |||
| - | C'est un protocole apportant de la haute disponibilité comme le HSRP ou le VRRP, mais qui permet en plus une répartition de charge entre les routeurs d'une groupe. | ||
| - | |||
| - | Un groupe de routeurs apparait comme un seul et permet la répartition de charge. Chaque routeur appartenant à un même groupe est appelé AVF (Active Virtual Forwarder) et possède une adresse MAC virtuelle. L'un d'eux est désigné pour être également répartiteur de charge (Active Virtual Gateway) = il va répondre aux requêtes ARP sur l'IP virtuelle du groupe par une des adresses MAC d'un AVF. La façon dont il distribue les MACs aux client définit la façon dont sera répartie la charge (par poids, par host, ou Round Robin). Si l'AVG tombe, une nouvelle élection a lieu parmi les AVF. | ||
| - | |||
| - | * la priorité la plus grande est la meilleure ; elles vont de 1 à 255, celle par défaut étant 100. | ||
| - | * les groupes GLBP peuvent aller de 0 à 1023 | ||
| - | * le GLBP permet de faire du tracking d' | ||
| - | |||
| - | ====Mise en place==== | ||
| - | |||
| - | Sur le routeur destiné à être AVG : | ||
| - | ip address 10.0.0.2 255.255.255.0 | ||
| - | glbp 1 ip 10.0.0.1 | ||
| - | glbp 1 priority 150 | ||
| - | |||
| - | Sur un routeur AVF : | ||
| - | ip address 10.0.0.3 255.255.255.0 | ||
| - | glbp 1 ip 10.0.0.1 | ||
| - | glbp 1 priority 100 | ||
| - | |||
| - | On peut redéfinir les timers (resp. Hello et Hold timers) : | ||
| - | glbp 1 timers msec 200 msec 700 | ||
| - | |||
| - | =====OSPF===== | ||
| - | |||
| - | **Open Shortest Path First** est un protocole de routage à état de lien non propriétaire ; c'est le protocole de routage intra-domaine (IGP) le plus utilisé de nos jours. | ||
| - | |||
| - | ====Théorie==== | ||
| - | * protocole de routage à état de liens standardisé par l'IEEE ([[http:// | ||
| - | * update seulement sur changement de topologie | ||
| - | * updates périodiques toutes les 30 min | ||
| - | * utilisation d'IP multicast pour dialoguer : 224.0.0.5 pour les routeurs et 224.0.0.6 pour les DR/BDR | ||
| - | * basé sur l' | ||
| - | * comme en EIGRP, 3 tables : la table des voisins, la table de topologie et la table de routage qui en découle. | ||
| - | * notion d'aire OSPF = sectorisation qui permet d' | ||
| - | * découverte du voisinage par l' | ||
| - | * la métrique (le coût) OSPF est basé sur la bande passante (BW) du lien inter-routeur (= 10< | ||
| - | * le protocole OSPF est encapsulé dans un paquet IP, mais le protocole OSPF inclut des paquets de type ACK qui permettent d' | ||
| - | |||
| - | ====Terminologie==== | ||
| - | * **PDU** Protocol Data Units ; les LSAs sont des PDUs | ||
| - | * **LSA** Link-State Advertisement qui sont envoyer à tous les routeurs de l'aire | ||
| - | * **LSU** Link-State Update | ||
| - | * **LSDB** Link-State DataBase qui sont identiques sur tous les routeurs de l'aire | ||
| - | * **DR** Designated Router | ||
| - | * **BDR** Backup Designated Router | ||
| - | * **ABR** Area Border Router | ||
| - | * **ABDR** Autonomous Sytem Boundary Router = tout routeur qui redistribue des routes | ||
| - | * **SPF** Shortest Path First | ||
| - | * **stub area** aire " | ||
| - | * **totally stubby area** est une stub area qui ne reçoit pas non plus les LSAs de type 3 | ||
| - | * **NSSA** ou **Not So Stubby Area** est une stub area qui annonce un réseau externe | ||
| - | |||
| - | ====BR, BDR et relations d' | ||
| - | Une relation d' | ||
| - | * les intervalles Hello et dead time | ||
| - | * le numéro d'aire | ||
| - | * l' | ||
| - | * le flag stub area qui identifie une //stub area// càd une aire " | ||
| - | |||
| - | Selon le type de lien qui relie 2 routeurs, l'OSPF va monter différents types d' | ||
| - | * avec les liens point-à-point comme du HDLC : adjacence complète (full adjacency) | ||
| - | * avec des liens LAN comme Ethernet, OSPF procède à l' | ||
| - | Il y a autant de DR dans une aire que de réseau multi-access. | ||
| - | |||
| - | ====Mise en place basique==== | ||
| - | Les //best pratices// recommandent d' | ||
| - | R1(config)interface loopback 0 | ||
| - | R1(config-if)description Lo0 pour OSPF | ||
| - | R1(config-if)ip address 192.168.0.23 255.255.255.255 | ||
| - | |||
| - | Pour activer le routage : on créer une instance OSPF (ici le processus 111 qui est un ID local), et on spécifie l' | ||
| - | |||
| - | R1(config)# | ||
| - | R1(config-router)# | ||
| - | |||
| - | Puis on annonce les réseaux connus, avec la syntaxe '' | ||
| - | * va activer l'OSPF sur la ou les interfaces qui matchent | ||
| - | * va annoncer dans l'OSPF les réseaux des interfaces qui matchent, avec les masques définis sur ces interfaces. | ||
| - | Ce dernier point signifie que si on a '' | ||
| - | |||
| - | On annonce la loopback 0 ainsi que les réseaux connus que l'on veut injecter dans l' | ||
| - | R1(config-router)# | ||
| - | R1(config-router)# | ||
| - | |||
| - | Si l' | ||
| - | R1(config-router)# | ||
| - | |||
| - | Le routeur Cisco va automatiquement détecter l' | ||
| - | '' | ||
| - | |||
| - | Une autre méthode alternative pour déclarer le réseau 192.168.1.0/ | ||
| - | |||
| - | R1(config-if)# | ||
| - | |||
| - | |||
| - | ====Configuration avancée==== | ||
| - | |||
| - | ===Authentification=== | ||
| - | Sur l' | ||
| - | int gi0/0 | ||
| - | ip ospf authentication | ||
| - | ip ospf authentication-key san-fran | ||
| - | |||
| - | Cela va sans dire qu'il vaut mieux que le routeur d'en face ait les mêmes paramètres pour que ça marche bien. | ||
| - | |||
| - | ===Passive interface=== | ||
| - | Pour désactiver l'OSPF sur une interface de routage, on utilise la commande '' | ||
| - | router ospf 111 | ||
| - | | ||
| - | |||
| - | Cette interface ne participera plus à l' | ||
| - | |||
| - | ===agrégation de routes=== | ||
| - | Ne peut se faire que sur les ABR : | ||
| - | R1(config-router)# | ||
| - | |||
| - | Ici on aggrège pour n' | ||
| - | |||
| - | ===stub area=== | ||
| - | Doit se configurer sur chaque router de l'aire (ici l'aire 3) : | ||
| - | |||
| - | R1(config-router)# | ||
| - | |||
| - | Cela provoque l' | ||
| - | sh ip route | ||
| - | [..] | ||
| - | O*IA 0.0.0.0/0 [110/2] via 10.3.2.2, 00:01:23, FastEthernet0/ | ||
| - | |||
| - | ===totally stubby area=== | ||
| - | Ne se configure que sur l'ABR de l' | ||
| - | |||
| - | R1(config-router)# | ||
| - | |||
| - | ===virtual-link=== | ||
| - | Pour connecter une aire à l'aire 0 via une autre aire, on créé un lien virtuel (tunnel) entre l'ABR de l'aire " | ||
| - | |||
| - | Dans l' | ||
| - | |||
| - | R1(router-config)# | ||
| - | R1(router-config)# | ||
| - | |||
| - | R2(router-config)# | ||
| - | |||
| - | Vérifs avec '' | ||
| - | |||
| - | ====Vérification==== | ||
| - | |||
| - | debug ip ospf adj | ||
| - | debug ip ospf events | ||
| - | |||
| - | (Pour désactiver le debugging : '' | ||
| - | |||
| - | sh ip ospf interface | ||
| - | sh ip ospf neighbor | ||
| - | sh ip protocols | ||
| - | sh ip route ospf | ||
| - | |||
| - | |||
| - | =====EIGRP===== | ||
| - | |||
| - | **EIGRP** (Enhanced IGRP) est un protocole de routage propriétaire CISCO à vecteur de distance. | ||
| - | Ces particularités sont : | ||
| - | * convergence rapide | ||
| - | * VLSM support : le protocole diffuse les réseaux avec leur masque (// | ||
| - | * updates partiels | ||
| - | * support de multiples protocoles tels IP, Appletalk, IPX | ||
| - | * métrique " | ||
| - | * utilise une adresse multicast pour dialoguer (224.0.0.10) mais peut aussi utilier de l' | ||
| - | * RTP (Reliable Transport Protocol) : les paquets d' | ||
| - | * basé sur l' | ||
| - | * utilise des paquets Hello pour découvrir ses voisins et connaitre leur état | ||
| - | |||
| - | EIGRP maintient 3 tables : | ||
| - | * la table de voisins : contient la liste des routeurs voisins ainsi que l' | ||
| - | * la table de topology : contient tous les réseaux connus avec leur FD/ | ||
| - | * la table de routage : contient les meilleures routes (= successor route) | ||
| - | |||
| - | 5 types de paquets : | ||
| - | * Hello | ||
| - | * Update | ||
| - | * Query | ||
| - | * Reply | ||
| - | * ACK : pour acquitter les update, query et reply | ||
| - | |||
| - | Par défaut EIGRP est capable de faire du partage de charge entre 2 successeurs de même métrique ; en jouant sur la variance il peut même le faire sur des routes à métrique différente. Par défaut la variance vaut 1 ; si on la passe à 2 cela signifie que le routeur fera du partage de charge sur tous les //feasible successors// | ||
| - | |||
| - | Terminologie : | ||
| - | * **AD** (Advertised Distance) c'est le coût pour atteindre un réseau annoncé par un voisin | ||
| - | * **FD** (Feasible Distance) c'est le coût vers un réseau du point de vue du routeur, donc c'est égal à AD + coût de la liaison vers le routeur voisin. | ||
| - | * **(current) Successor** c'est le " | ||
| - | * **FS** (Feasible Successor, ou successeur éventuel) : c'est le backup du successor vers un réseau donné ; la condition pour cela est que son AD soit inférieur au FD du successeur. C'est cela qui permet de s' | ||
| - | |||
| - | |||
| - | ====Mise en place==== | ||
| - | On veut activer l' | ||
| - | interface Serial0/0 | ||
| - | | ||
| - | | ||
| - | ip address 10.140.3.2 255.255.255.0 | ||
| - | clock rate 64000 | ||
| - | |||
| - | Notez que le paramètre bandwidth ne joue pas sur la bande passante réelle du lien, il sert uniquement au calcul de la métrique. | ||
| - | |||
| - | Création de l' | ||
| - | interface Loopback0 | ||
| - | ip address 192.168.2.65 255.255.255.240 | ||
| - | |||
| - | Activer l' | ||
| - | Routeur(config)# | ||
| - | |||
| - | Activer l' | ||
| - | Router(config-router)# | ||
| - | Router(config-router)# | ||
| - | |||
| - | Le routeur va activer l' | ||
| - | |||
| - | Dans certains cas, on doit l' | ||
| - | Router(config-router)# | ||
| - | |||
| - | ====Configuration avancée==== | ||
| - | |||
| - | ===Authentification=== | ||
| - | On peut choisir soit un simple mot de passe (qui transite en clair, donc inutilisable) soit par hash MD5 (par clé partagée). Les clés peuvent être au nombre de 5 maximum ; on peut leur spécifier des dates de validité. Dans notre exemple on n'en utilisera qu'une seule (key 1). | ||
| - | |||
| - | On configure l' | ||
| - | Router(config)# | ||
| - | Router(config-keychain)# | ||
| - | Router(config-keychain-key)# | ||
| - | |||
| - | On active l' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | ===Routeur d' | ||
| - | Un routeur d' | ||
| - | |||
| - | (config-router)# | ||
| - | |||
| - | Un routeur stub ne reçoit pas les queries ; il annonce juste ses routes connectées directement. | ||
| - | |||
| - | ====Vérifications==== | ||
| - | Router#sh ip eigrp neighbors | ||
| - | IP-EIGRP neighbors for process 100 | ||
| - | H | ||
| - | (sec) | ||
| - | 0 | ||
| - | |||
| - | Router#sh ip protocols | ||
| - | Routing Protocol is "eigrp 100" | ||
| - | Outgoing update filter list for all interfaces is not set | ||
| - | Incoming update filter list for all interfaces is not set | ||
| - | Default networks flagged in outgoing updates | ||
| - | Default networks accepted from incoming updates | ||
| - | EIGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0 | ||
| - | EIGRP maximum hopcount 100 | ||
| - | EIGRP maximum metric variance 1 | ||
| - | Redistributing: | ||
| - | EIGRP NSF-aware route hold timer is 240s | ||
| - | Automatic network summarization is in effect | ||
| - | Automatic address summarization: | ||
| - | 192.168.2.0/ | ||
| - | Summarizing with metric 128256 | ||
| - | 10.0.0.0/8 for Loopback0 | ||
| - | Summarizing with metric 28160 | ||
| - | Maximum path: 4 | ||
| - | Routing for Networks: | ||
| - | 10.0.0.0 | ||
| - | 192.168.2.0 | ||
| - | Routing Information Sources: | ||
| - | Gateway | ||
| - | (this router) | ||
| - | 10.45.45.2 | ||
| - | Gateway | ||
| - | 10.140.3.1 | ||
| - | Distance: internal 90 external 170 | ||
| - | |||
| - | Router#sh ip route eigrp | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | | ||
| - | D | ||
| - | |||
| - | Router#sh ip eigrp interfaces | ||
| - | IP-EIGRP interfaces for process 100 | ||
| - | | ||
| - | Xmit Queue | ||
| - | Interface | ||
| - | Lo0 0 0/0 | ||
| - | Fa0/0 0 0/0 | ||
| - | Se0/0 1 0/0 22 | ||
| - | Se0/1 0 0/0 | ||
| - | |||
| - | ====Debug==== | ||
| - | Router# | ||
| - | EIGRP Neighbors debugging is on | ||
| - | |||
| - | |||
| - | =====IS-IS===== | ||
| - | |||
| - | Activation globale : | ||
| - | |||
| - | R1(config)# | ||
| - | R1(config-router)# | ||
| - | |||
| - | Puis sur chaque interface participant au routage : | ||
| - | |||
| - | R1(config-if)# | ||
| - | |||
| - | ====Configuration avancée==== | ||
| - | |||
| - | Par défaut une interface participe aux levels 1 et 2. | ||
| - | |||
| - | Forcer une interface à ne participer qu'au routage de niveau 1 : | ||
| - | R1(config-if)# | ||
| - | |||
| - | Forcer une interface à ne participer qu'au routage de niveau 2 : | ||
| - | R1(config-if)# | ||
| - | |||
| - | ====Vérifications==== | ||
| - | |||
| - | sh isis topology | ||
| - | | ||
| - | |||
| - | IS-IS paths to level-1 routers | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | IS-IS paths to level-2 routers | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | |||
| - | =====BGP===== | ||
| - | |||
| - | Activer le routage avec le numéro d'AS 65001 : | ||
| - | |||
| - | router bgp 65001 | ||
| - | |||
| - | Déclarer la Loopback0 comme IP source : | ||
| - | |||
| - | | ||
| - | |||
| - | Déclarer des réseaux : | ||
| - | |||
| - | | ||
| - | | ||
| - | Lister les annonces BGP sur un routeur | ||
| - | sh bgp ipv4 unicast | ||
| - | |||
| - | Lister les voisins | ||
| - | sh ip bgp neighbors | ||
| - | |||
| - | Pour redémarrer toutes les sessions BGP | ||
| - | clear bgp all | ||
| - | |||
| - | |||
| - | =====Redistribution de routes===== | ||
| - | |||
| - | * Redistribuer des routes RIP dans l'OSPF : | ||
| - | |||
| - | router ospf 3 | ||
| - | | ||
| - | | ||
| - | |||
| - | * Redistribuer des routes OSPF dans du RIP avec une métrique de 15 | ||
| - | |||
| - | router rip | ||
| - | | ||
| - | | ||
| - | no auto-summary | ||
| - | | ||
| - | |||
| - | * Changer le distance administrative des routes qui matchent l'ACL 64 apprises par la source 10.0.0.1 : | ||
| - | |||
| - | router ospf 3 | ||
| - | | ||
| - | | ||
| - | access-list 64 permit 10.200.200.32 | ||
| - | access-list 64 permit 10.3.0.0 0.0.255.255 | ||
| - | |||
| - | * Changer la métrique des routes injectées dans l'OSPF : on remplace 1 par 1000 et 2 par 2000 (on utilise une route-map): | ||
| - | |||
| - | router ospf 3 | ||
| - | | ||
| - | | ||
| - | route-map CONVERT permit 10 | ||
| - | match metric 1 | ||
| - | set metric 1000 | ||
| - | ! | ||
| - | route-map CONVERT permit 20 | ||
| - | match metric 2 | ||
| - | set metric 2000 | ||
| - | ! | ||
| - | route-map CONVERT permit 30 | ||
| - | |||
| - | * Filtrer les réseaux RIP redistribués dans l'OSPF | ||
| - | |||
| - | router ospf 3 | ||
| - | | ||
| - | | ||
| - | access-list 61 deny | ||
| - | access-list 61 permit any | ||
| - | |||
| - | |||
| - | =====ACL===== | ||
| - | |||
| - | //Access Control List//, implémenté sur les switchs et routeurs CISCO. | ||
| - | Il existe les ACLs standarts (numérotées de 1-99 ou 1300-1999) et les ACLs étendues (numérotées 100-199 ou 2000-2699). | ||
| - | * **ACLs standarts** : elles travaillent au niveau 3 de la pile OSI et **uniquement sur les IP source**. Elles sont de la forme | ||
| - | access-list <numéro entre 1-99> {permit | deny} <ip source> [< | ||
| - | |||
| - | * **ACLs étendues** : elles travaillent au niveau 4 de la pile OSI = on peut tester également les protocles de niveau 4 (tcp, udp) et notamment les numéros de port. Elles sont de la forme : | ||
| - | |||
| - | access-list < | ||
| - | < | ||
| - | |||
| - | ACLs additonnelles : | ||
| - | * **ACLs dynamiques** : l' | ||
| - | * **Reflexive ACLs** : permet de passer en staful = on permet un traffic de passer uniquement s'il est déjà passé dans l' | ||
| - | * **Time-based ACLs** défini des critère de date/time pour l' | ||
| - | |||
| - | On applique une access-list sur une interface en " | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | Une ACL est lu de manière séquentielle = ligne 1 puis ligne 2, etc. Si la ligne 1 matche, le routeur applique la règle pour le paquet et sors de l'ACL. Ainsi, si plusieurs lignes conviennent pour un même paquet, seule la première sera appliquée. | ||
| - | |||
| - | |||
| - | =====VACL===== | ||
| - | |||
| - | Les **VLAN Access-list** ou **VLAN access maps** sont des ACLs de niveau 2, qui s' | ||
| - | |||
| - | Pour les mettre en place, il faut spécifier une ou plusieurs //map sequence// qui associent une action à une ACL ; si un permit de l'ACL " | ||
| - | |||
| - | ! déclaration de l'ACL niveau 2 | ||
| - | mac access-list extended MAC-ACL | ||
| - | | ||
| - | | ||
| - | ! Déclaration de l' | ||
| - | ! il permet de déterminer un ordre d' | ||
| - | ! On filtre (match) sur les adresses MAC (|IP|IPX) en spécifiant "mac address", | ||
| - | ! L' | ||
| - | vlan access-map 1 10 | ||
| - | match mac address MAC-ACL | ||
| - | | ||
| - | |||
| - | ! Pour dropper le reste on doit créer un second statement (20) | ||
| - | vlan access-map 1 20 | ||
| - | | ||
| - | |||
| - | ! On associe l' | ||
| - | vlan filter 1 vlan-list 11,12 | ||
| - | |||
| - | Dans l' | ||
| - | |||
| - | =====NAT/ | ||
| - | // | ||
| - | |||
| - | On considère l' | ||
| - | |||
| - | Soit fa0/0 l' | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | On créé une ACL pour définir quelle est la plage d'IP source qui va être nattée (c'est l' | ||
| - | Router(config)# | ||
| - | |||
| - | Et on l' | ||
| - | Router(config)# | ||
| - | |||
| - | L' | ||
| - | |||
| - | ====Vérification==== | ||
| - | //On vient de faire 5 pings de 10.4.4.11 vers 10.1.1.1.// | ||
| - | Attention : la table de translation a un timeout ce qui fait que si personne n'a été natté récemment, les commandes suivantes renverront un résultat " | ||
| - | |||
| - | Router#sh ip nat statistics | ||
| - | Total active translations: | ||
| - | Outside interfaces: | ||
| - | Serial0/0 | ||
| - | Inside interfaces: | ||
| - | FastEthernet0/ | ||
| - | Hits: 920 Misses: 920 | ||
| - | CEF Translated packets: 1840, CEF Punted packets: 0 | ||
| - | Expired translations: | ||
| - | Dynamic mappings: | ||
| - | -- Inside Source | ||
| - | [Id: 2] access-list 1 interface FastEthernet0/ | ||
| - | Queued Packets: 0 | ||
| - | |||
| - | Router#sh ip nat translations | ||
| - | Pro Inside global | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | icmp 10.4.4.3: | ||
| - | |||
| - | |||
| - | =====IPv6===== | ||
| - | |||
| - | Activer IPv6 sur un routeur CISCO : | ||
| - | Router(config)# | ||
| - | |||
| - | Assigner une addresse IPv6 globale unicast à l' | ||
| - | Router(config-if)# | ||
| - | |||
| - | **eui-64** indique l' | ||
| - | |||
| - | On créer l' | ||
| - | Router(config-if)# | ||
| - | |||
| - | Router#sh ipv6 int | include line protocol | ||
| - | Serial0/1 is up, line protocol is up | ||
| - | Loopback2 is up, line protocol is up | ||
| - | |||
| - | ====RIPng==== | ||
| - | Mise en place du RIP New Generation (RIPv6) | ||
| - | |||
| - | On active RIPng avec le //label// (process name) " | ||
| - | Router(config)# | ||
| - | |||
| - | Et sur chaque interface qui doit participer au routage " | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | Router(config)# | ||
| - | Router(config-if)# | ||
| - | |||
| - | ===Vérifications=== | ||
| - | Router#sh ipv6 rip | ||
| - | RIP process " | ||
| - | | ||
| - | | ||
| - | | ||
| - | Split horizon is on; poison reverse is off | ||
| - | | ||
| - | | ||
| - | Interfaces: | ||
| - | Loopback2 | ||
| - | Serial0/1 | ||
| - | Redistribution: | ||
| - | None | ||
| - | |||
| - | Router#sh ipv6 route | ||
| - | IPv6 Routing Table - 7 entries | ||
| - | Codes: C - Connected, L - Local, S - Static, R - RIP, B - BGP | ||
| - | U - Per-user Static route | ||
| - | I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary | ||
| - | O - OSPF intra, OI - OSPF inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2 | ||
| - | ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2 | ||
| - | C | ||
| - | via ::, Loopback2 | ||
| - | L | ||
| - | via ::, Loopback2 | ||
| - | C | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Serial0/1 | ||
| - | L | ||
| - | via ::, Null0 | ||
| - | L | ||
| - | via ::, Null0 | ||
| - | |||
| - | |||
| - | =====Frame Relay===== | ||
| - | |||
| - | Pour la suite, on configure une interface série en frame-relay, | ||
| - | |||
| - | Configuration de l' | ||
| - | |||
| - | interface Serial0/0/0 | ||
| - | no ip address | ||
| - | | ||
| - | no frame-relay inverse-arp | ||
| - | |||
| - | ====point-to-multipoint==== | ||
| - | |||
| - | interface Serial0/ | ||
| - | ip address 172.31.33.2 255.255.255.0 | ||
| - | ip ospf network point-to-multipoint | ||
| - | | ||
| - | |||
| - | **broadcast** pour activer le broadcast nécessaire aux protocoles de routage (normalement FR ne le supporte pas) ; avec l'IARP il aurait été activé par défaut. | ||
| - | |||
| - | ====point-to-point==== | ||
| - | |||
| - | interface Serial0/ | ||
| - | ip address 10.33.0.2 255.255.255.0 | ||
| - | | ||
| - | |||
| - | Il semble qu'on ne puisse pas faire de // | ||
| - | |||
| - | ====Vérifications==== | ||
| - | |||
| - | Router#sh run int se0/0 | ||
| - | interface Serial0/0 | ||
| - | | ||
| - | ip address 10.140.3.2 255.255.255.0 | ||
| - | | ||
| - | | ||
| - | |||
| - | Router#sh int se0/0 | include Encapsulation | ||
| - | Encapsulation FRAME-RELAY, | ||
| - | |||
| - | Router#sh frame-relay lmi | ||
| - | | ||
| - | LMI Statistics for interface Serial0/0 (Frame Relay DTE) LMI TYPE = CISCO | ||
| - | Invalid Unnumbered info 0 | ||
| - | Invalid dummy Call Ref 0 Invalid Msg Type 0 | ||
| - | Invalid Status Message 0 Invalid Lock Shift 0 | ||
| - | Invalid Information ID 0 Invalid Report IE Len 0 | ||
| - | Invalid Report Request 0 Invalid Keep IE Len 0 | ||
| - | Num Status Enq. Sent 94 Num Status msgs Rcvd 96 | ||
| - | Num Update Status Rcvd 0 Num Status Timeouts 0 | ||
| - | Last Full Status Req 00: | ||
| - | |||
| - | Router#sh frame-relay pvc | ||
| - | | ||
| - | PVC Statistics for interface Serial0/0 (Frame Relay DTE) | ||
| - | | ||
| - | Active | ||
| - | Local 1 0 0 0 | ||
| - | Switched | ||
| - | Unused | ||
| - | | ||
| - | DLCI = 120, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0/0 | ||
| - | | ||
| - | input pkts 349 | ||
| - | out bytes 12742 dropped pkts 0 in pkts dropped 0 | ||
| - | out pkts dropped 0 out bytes dropped 0 | ||
| - | in FECN pkts 0 in BECN pkts 0 out FECN pkts 0 | ||
| - | out BECN pkts 0 in DE pkts 0 out DE pkts 0 | ||
| - | out bcast pkts 105 out bcast bytes 10920 | ||
| - | 5 minute input rate 0 bits/sec, 0 packets/sec | ||
| - | 5 minute output rate 0 bits/sec, 0 packets/sec | ||
| - | pvc create time 00:16:09, last time pvc status changed 00:09:22 | ||
| - | |||
| - | Router#sh frame-relay map | ||
| - | Serial0/0 (up): ip 0.0.0.0 dlci 120(0x78, | ||
| - | broadcast, | ||
| - | CISCO, status defined, active | ||
| - | |||
| - | =====Crypto===== | ||
| - | |||
| - | Etat des tunnels : | ||
| - | |||
| - | sh crypto session | ||
| - | Crypto session current status | ||
| - | | ||
| - | Interface: Vlan809 | ||
| - | Session status: UP-ACTIVE | ||
| - | Peer: 192.168.7.78/ | ||
| - | IKE SA: local 192.168.7.75/ | ||
| - | IPSEC FLOW: permit 47 host 192.168.7.75 host 192.168.7.78 | ||
| - | Active SAs: 2, origin: crypto map | ||
| - | |||
| - | Renégocier un tunnel spécifique : | ||
| - | * Trouver le peer (l'IP de l' | ||
| - | |||
| - | sh ip arp vlan 809 | ||
| - | Protocol | ||
| - | Internet | ||
| - | Internet | ||
| - | Internet | ||
| - | |||
| - | Les " | ||
| - | |||
| - | * Puis on renégocie le tunnel : | ||
| - | |||
| - | clear crypto session remote 192.168.0.78 | ||
| - | |||
| - | |||
| - | =====VoIP===== | ||
| - | |||
| - | Configuration de la VoIP avec QoS : on utilise le champ CoS (802.1p) dans du 802.1q. | ||
| - | |||
| - | Dans cet exemple le VLAN voix est le 10 et le VLAN data est le 11. | ||
| - | |||
| - | Sur le port où est branché un téléphone IP Cisco, avec derrière un PC sur le vlan 11 : | ||
| - | |||
| - | * Sur le switch d' | ||
| - | |||
| - | sur le port du téléphone IP : | ||
| - | int fa0/3 | ||
| - | desc PC + tel | ||
| - | | ||
| - | | ||
| - | mls qos trust dscp | ||
| - | |||
| - | sur le port vers le switch de distribution : on fait confiance au champ CoS et aux matériels cisco phone | ||
| - | int gi0/1 | ||
| - | mls qos trust device cisco-phone | ||
| - | mls qos trust cos | ||
| - | |||
| - | On peut réécrire le CoS à 0 si on ne fait pas confiance au device : | ||
| - | | ||
| - | |||
| - | Sur le switch de distribution, | ||
| - | mls qos | ||
| - | |||
| - | Puis on trust le champ COS venant du switch d' | ||
| - | int gi1/0/1 | ||
| - | mls qos trust cos | ||
| - | |||
| - | |||
| - | =====Les services===== | ||
| - | service password-encryption | ||
| - | |||
| - | permet de crypter tous les mots de passe dans la conf | ||
| - | |||
| - | |||
| - | =====Tracking d' | ||
| - | Permet de baisser un coup HSRP en cas de perte d'une route. | ||
| - | ! L’objet tracking est = 1 | ||
| - | ! Tracking de la route 10.4.101.8 255.255.255.248 | ||
| - | ! Delay down = temps en secondes avant de déclarer la perte de la route. | ||
| - | ! delay up = temps en secondes avant de prendre en compte le retour de la route. | ||
| - | | ||
| - | track 1 ip route 10.4.101.8 255.255.255.248 reachability | ||
| - | delay down 5 up 30 ! pour les « 2 » | ||
| - | delay down 3 up 40 ! pour les « 1 » | ||
| - | |||
| - | interface VlanX | ||
| - | ! Récupération de l’objet tracking 1 | ||
| - | ! Si l’objet est valide (route inaccessible) alors décrémenter le poids HSRP de 30 | ||
| - | | ||
| - | |||
| - | |||
| - | =====Port mirroring===== | ||
| - | |||
| - | Permet de répliquer le trafic d'un port vers un autre à l' | ||
| - | |||
| - | Voir les sessions de mirroring existantes : | ||
| - | show monitor session all | ||
| - | Session 1 | ||
| - | --------- | ||
| - | Type : Local Session | ||
| - | Source Ports : | ||
| - | |||
| - | |||
| - | Both : Gi1/0/2 | ||
| - | Destination Ports : Gi2/0/1 | ||
| - | Encapsulation | ||
| - | Ingress | ||
| - | |||
| - | La mention **Both** indique que la redirection se fait sur le trafic entrant et sortant de l' | ||
| - | |||
| - | Mise en place de la session de monitoring : | ||
| - | monitor session 1 source interface Gi1/0/2 [both | rx | tx] | ||
| - | monitor session 1 destination interface Gi2/0/1 | ||
| - | |||
| - | On peut donc choisir de ne redirigerque le trafic entrant ou sortant (ou les 2, par défaut) de l' | ||
| - | On peut aussi monitorer le trafic d'un vlan en remplaçant **interface** par **vlan** dans la source. | ||
| - | |||
| - | |||
| - | =====DHCP Snooping===== | ||
| - | |||
| - | C'est une fonctionnalité qui permet de se prémunir contre les attaques de type : | ||
| - | * DHCP snooping (serveur DHCP illicite) | ||
| - | * DHCP starvation (de multiples requêtes DHCP qui réduisent le nombre d' | ||
| - | Elle permet au switch d' | ||
| - | |||
| - | Mise en place globale : | ||
| - | (config)#ip dhcp snooping | ||
| - | |||
| - | Définir une interface " | ||
| - | (config-if)# | ||
| - | |||
| - | On peut limiter le nombre de paquets DHCP par seconde émis sur un port : | ||
| - | (config-if)# | ||
| - | |||
| - | Enfin, on peut activer la fonctionnalité sur tout un VLAN : | ||
| - | (config)#ip dhcp snooping vlan 11 | ||
| - | |||
| - | ====Vérifications==== | ||
| - | |||
| - | show ip dhcp snooping | ||
| - | |||
| - | ====IP source guard==== | ||
| - | |||
| - | Permet au switch de vérifier que les paquets émis depuis un port on bien toujours la même adresse MAC et IP. | ||
| - | |||
| - | Pour activer l'IP source guard par rapport à l' | ||
| - | |||
| - | (config-if)# | ||
| - | |||
| - | |||
| - | =====DAI===== | ||
| - | |||
| - | **Deep ARP Inspection** est un mécanisme qui permet d' | ||
| - | |||
| - | Cette fonctionnalité peut être activée sur les ports de type access, trunk, port-channel et private vlan. | ||
| - | |||
| - | Mise en place du DAI sur le VLAN 11 : | ||
| - | (config)#ip arp inspection vlan 11 | ||
| - | |||
| - | On défini une insterface de ce VLAN comme " | ||
| - | (config-if)# | ||
| - | |||
| - | |||
| - | ===== Tester la longueur d'un cable ===== | ||
| - | Les dernières version de matériel peuvent calculer la longueur d'un câble relié à un de leur port (il doit être UP). C'est possible notamment sur des 3750-E ou des cartes 67xx (pour les châssis 65xx). Pour cela : | ||
| - | |||
| - | router#test cable-diagnostics tdr interface gigabitethernet1/ | ||
| - | TDR test started on interface Gi1/2 | ||
| - | A TDR test can take a few seconds to run on an interface | ||
| - | Use 'show cable-diagnostics tdr' to read the TDR results. | ||
| - | |||
| - | Puis, comme indiqué : | ||
| - | |||
| - | router#sh cable-diagnostics tdr interface Gi1/2 | ||
| - | | ||
| - | TDR test last run on: September 02 09:39:51 | ||
| - | Interface Speed Pair Cable length | ||
| - | --------- ----- ---- ------------------- ------------------- ------- ------------ | ||
| - | Gi1/2 | ||
| - | 3-4 2 +/- 6 m | ||
| - | 5-6 1 +/- 6 m | ||
| - | 7-8 2 +/- 6 m | ||
| - | |||
| - | |||
| - | =====Le modèle d' | ||
| - | |||
| - | C'est un modèle de conception d' | ||
| - | * switchs d' | ||
| - | * switchs de distribution : des switchs multilayers (niveau 2/3) qui gèrent le routage inter-vlan, la haute disponibilité, | ||
| - | * backbone ou réseau de cœur désigne de gros switch qui assurent le transport ultra-rapide inter-site. | ||
| - | |||
| - | =====Divers===== | ||
| - | |||
| - | ====Numéros de série==== | ||
| - | Pour récupérer le //serial number// d'un équipement sans avoir un accès physique pour regarder l' | ||
| - | |||
| - | * pour les c65XX : '' | ||
| - | * pour les c3825 : '' | ||
| - | |||
| - | ====show==== | ||
| - | * '' | ||
| - | |||
| - | Interface | ||
| - | Vlan1 unassigned | ||
| - | FastEthernet0/ | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Interface | ||
| - | Vlan1 unassigned | ||
| - | FastEthernet0/ | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Port Name | ||
| - | Fa0/1 | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | Vlan Mac Address | ||
| - | All 000b.46a4.f880 | ||
| - | 457 0000.0cd6.ac05 | ||
| - | |||
| - | * '' | ||
| - | |||
| - | Protocol | ||
| - | Internet | ||
| - | Internet | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | router#sh processes cpu history | ||
| - | | ||
| - | | ||
| - | 100 | ||
| - | 90 | ||
| - | 80 | ||
| - | 70 | ||
| - | 60 | ||
| - | 50 | ||
| - | 40 | ||
| - | | ||
| - | | ||
| - | | ||
| - | 0....5....1....1....2....2....3....3....4....4....5....5.... | ||
| - | 0 5 0 5 0 5 0 5 0 5 | ||
| - | | ||
| - | CPU% per minute (last 60 minutes) | ||
| - | * = maximum CPU% # = average CPU% | ||
| - | |||
| - | * '' | ||
| - | |||
| - | router#sh ver | ||
| - | Cisco Internetwork Operating System Software | ||
| - | IOS (tm) c6sup2_rp Software (c6sup2_rp-PK9SV-M), | ||
| - | |||
| - | |||
| - | Technical Support: http:// | ||
| - | Copyright (c) 1986-2005 by cisco Systems, Inc. | ||
| - | Compiled Fri 13-May-05 22:43 by ssearch | ||
| - | Image text-base: 0x4002100C, data-base: 0x422F0000 | ||
| - | | ||
| - | ROM: System Bootstrap, Version 12.1(11r)E1, | ||
| - | BOOTLDR: c6sup2_rp Software (c6sup2_rp-PK9SV-M), | ||
| - | | ||
| - | router uptime is 31 weeks, 7 hours, 20 minutes | ||
| - | Time since routeur switched to active is 31 weeks, 7 hours, 21 minutes | ||
| - | System returned to ROM by power-on (SP by power-on) | ||
| - | System restarted at 07:41:26 MET Wed Aug 23 2006 | ||
| - | System image file is " | ||
| - | | ||
| - | | ||
| - | This product contains cryptographic features and is subject to United | ||
| - | States and local country laws governing import, export, transfer and | ||
| - | use. Delivery of Cisco cryptographic products does not imply | ||
| - | third-party authority to import, export, distribute or use encryption. | ||
| - | Importers, exporters, distributors and users are responsible for | ||
| - | compliance with U.S. and local country laws. By using this product you | ||
| - | agree to comply with applicable laws and regulations. If you are unable | ||
| - | to comply with U.S. and local laws, return this product immediately. | ||
| - | | ||
| - | A summary of U.S. laws governing Cisco cryptographic products may be found at: | ||
| - | http:// | ||
| - | | ||
| - | If you require further assistance please contact us by sending email to | ||
| - | export@cisco.com. | ||
| - | | ||
| - | cisco WS-C6506 (R7000) processor (revision 3.0) with 227328K/ | ||
| - | Processor board ID SAL0738LMUH | ||
| - | R7000 CPU at 300Mhz, Implementation 0x27, Rev 3.3, 256KB L2, 1024KB L3 Cache | ||
| - | Last reset from power-on | ||
| - | X.25 software, Version 3.0.0. | ||
| - | Bridging software. | ||
| - | 9 Virtual Ethernet/ | ||
| - | 48 FastEthernet/ | ||
| - | 20 Gigabit Ethernet/ | ||
| - | 381K bytes of non-volatile configuration memory. | ||
| - | | ||
| - | 32768K bytes of Flash internal SIMM (Sector size 512K). | ||
| - | Configuration register is 0x2102 | ||
| - | |||
| - | On peut notamment remarquer les informations suivantes : | ||
| - | sur un switch : '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | ====clear==== | ||
| - | La commande clear sert dans beaucoup de cas pour " | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | |||
| - | |||
| - | ====Gestion de la mémoire==== | ||
| - | sh file systems | ||
| - | File Systems: | ||
| - | | ||
| - | | ||
| - | * 7741440 | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | On peut utiliser les commandes '' | ||
| - | |||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * '' | ||
| - | * sauvegarder la config '' | ||
| - | |||
| - | ===Créer une archive=== | ||
| - | Pour compresser le fichier flash:/ | ||
| - | archive tar /create tftp: | ||
| - | |||
| - | |||
| - | ====FTP==== | ||
| - | Pour utiliser le FTP il faut configurer un username et password en mode '' | ||
| - | Switch(config)# | ||
| - | Switch(config)# | ||
| - | |||
| - | Puis on procède comme pour le tftp, par exemple : | ||
| - | Switch#copy ftp: flash | ||
| - | |||
| - | ====boot==== | ||
| - | router#sh bootvar | ||
| - | BOOT variable = disk0: | ||
| - | CONFIG_FILE variable does not exist | ||
| - | BOOTLDR variable = bootflash: | ||
| - | Configuration register is 0x2102 | ||
| - | | ||
| - | Standby is not up. | ||
| - | |||
| - | router#sh bootflash: | ||
| - | -#- ED ----type---- --crc--- -seek-- nlen -length- ---------date/ | ||
| - | 1 .. image B597155E | ||
| - | 2 .. image DEF2AA44 1B6417C | ||
| - | | ||
| - | 3784324 bytes available (28197244 bytes used) | ||
| - | |||
| - | Pour changer le mode de démarrage : | ||
| - | router(config)# | ||
| - | |||
| - | En sachant que **0x2102** c'est le mode normal, **0x2101** c'est pour booter sur le bootstrap, **0x2100** pour booter sur le Rommon (IOS minimal) et **0x2402** pour booter en mode normal sans charger de config (pour récupérer un mot de passe oublié par exemple). | ||
| - | |||
| - | On peut spécifier le système de fichier où l' | ||
| - | router(config)# | ||
| - | |||
| - | Pour lui préciser l' | ||
| - | router(config)# | ||
| - | On peut lui en spécifier plusieurs, par ordre croissant de priorité, en les séparant par des virgules. | ||
| - | |||
| - | Pour changer le bootloader par défaut : | ||
| - | router(config)# | ||
| - | |||
| - | |||
| - | ====GBIC==== | ||
| - | GBIC (Gigabit Interface Converter) est un module qui convertit un signal électrique en signal optique. | ||
| - | |||
| - | * 1000BASE-SX multi-mode (jusqu' | ||
| - | * 1000BASE-LX/ | ||
| - | * 1000Base-ZX mono-mode (jusqu' | ||
| - | |||
| - | * ST: carré/gros gbic | ||
| - | * LC: mini gbic (sfp) | ||
| - | * SC: rond/quart de tour | ||
| - | * FC: rond à visser | ||
| - | |||
| - | Connecteur (terminaison des fibres) : | ||
| - | * plat | ||
| - | * PC et UPC | ||
| - | * APC (bisoté) | ||
| - | |||
| - | |||
| - | ====ping==== | ||
| - | On peut utiliser la commande '' | ||
| - | |||
| - | ====Historique==== | ||
| - | On peut voir la liste des dernières commandes passées sur l' | ||
| - | |||
| - | On peut paramétrer la taille de max de l' | ||
| - | |||
| - | ====Régler l' | ||
| - | Pour ajuster l' | ||
| - | |||
| - | ====Commandes en vrac==== | ||
| - | '' | ||
| - | |||
| - | '' | ||
| - | |||
| - | '' | ||
| - | Si on veut récupérer l' | ||
| - | |||
| - | '' | ||
| - | |||
| - | |||
| - | =====Liens===== | ||
| - | |||
| - | * http:// | ||
| - | * http:// | ||
| - | * [[http:// | ||
informatique/cisco.1227441215.txt.gz · Last modified: 2013/10/14 20:53 (external edit)