Differences

This shows you the differences between two versions of the page.

--- informatique:enterasys [2022/04/12 13:52] – [CDP/LLDP] désactiver pteu
+++ informatique:enterasys [2022/12/07 15:25] (current) – [MAC-security] pteu
@@ Line 483: / Line 483: @@
 ====MAC-security====
-La fonctionnalité mac-security permet de limiter et bloquer le nombre et la valeur d'@mac sur un port
+La fonctionnalité maclock permet de limiter et bloquer le nombre et la valeur d'@MAC sur un port. Il s'agit d'un mécanisme de contrôle d'accès à n'activer que sur les ports utilisateurs/edge, et surtout pas sur les ports ISL (inter-switchs) sous peine de bloquer le réseau.
+Exemple de mise en place sur tous les ports utilisateur d'un commutateur, avec 1 MAC par port maximum :
 <code bash>
-set maclock enable ge.2.72
+set maclock enable ge.1.1-23
 # nb max d'@ mac sur le port (1)
-set maclock static ge.2.72 1
+set maclock static ge.1.1-23 1
-# n'autoriser que cette @ mac
+set maclock firstarrival ge.1.1-23 1
-set maclock 00-11-88-00-11-22 ge.2.72
+# activer la fonctionnalité
+set maclock enable
+!
+# configuration de l'action en cas de dépassement des seuils configurés
+set maclock syslog ge.1.1-23 enable violation
+# vérifications
+show maclock
+show maclock stations
+# recopie des MAC apprises en firstarrival vers static
+set maclock move ge.1.1-23
 </code>
+Vérifications :
+<code bash>
+show maclock
+show maclock stations
+</code>
+Modifications manuelle d'une MAC :
+<code bash>
+// ajouter une MAC staique à la main
+set maclock 00-11-88-4A-28-BF ge.2.72 create
+</code>
 ====Shaping====
@@ Line 716: / Line 738: @@
 =====Edge ports====
-Un port edge est un port sur lequel se connecte un équipement qui n'est pas un switch et avec lequel le switch courant n'aura pas à dialoguer en STP. Il n'est pas protégé contre les boucles mais a l'avantage de "monter" (passer UP et FORWARDING) plus rapidement. Les ports edge ne devraient donc jamais envoyer de BPDU.
+Un port edge est un port "utilisateur" (~ équivalent de portfast chez Cisco), sur lequel se connecte un équipement qui n'est pas un switch et avec lequel le switch n'aura pas à dialoguer en STP. Il n'est pas protégé contre les boucles mais a l'avantage de "monter" (passer UP et FORWARDING) plus rapidement. Les ports edge ne devraient donc jamais envoyer de BPDU.
 <code bash>
-# Définir un port comme edge (= feuille = qui n'est pas un switch)
+# Définir un port comme edge
-# cela permet une meilleur réactivité lors du branchement d'un équipement
 set spantree adminedge ge.1.1 true
-# ça n'est pas nécessairement utile car la fonction autoedge est activée par défaut :
+# ça n'est nécessaire dans l'absolu car la fonction autoedge est activée par défaut
 show spantree autoedge
  Auto Edge is set to enable
@@ Line 728: / Line 749: @@
 show spantree adminedge port ge.1.1
 Port ge.1.1    has a port Admin Edge of Edge-Port
+</code>
+=====Spanguard=====
+Fonctionnalité qui protège contre les "TC" (topology change) intempestifs, le **spanguard** permet de désactiver un port (il passe en "blocking") sur lequel le commutateur reçoit un BPDU. Le port sera réactivé automatiquement à la fin du timeout défini, ou réactivé manuellement.
+Cela permet de traquer les commutateurs sauvages (installés en douce par des utilisateurs) ou des bridges "mal" configurés sur des PCs (par exemple libvirt pour des machines virtuelles ou docker) : qui n'ont pas désactivé le STP.
+Il ne faut pas l'activer tant que l'on n'a pas défini nos ISL (liens inter-switchs), sinon cela coupera nos intercos et créera un gros incident des familles.
+<code bash>
+show spantree spanguard
+ Spanguard is disabled
+# Pour fonctionner correctement, il faut préalablement configurer tous les ports utilisateur en edge forcé
+set spantree adminedge ge.1.1-47 true
+# mais surtout pas nos ISLs (Inter-Switchs links = les interconnexions avec nos autres commutateurs)
+clear spantree adminedge ge.1.48        # au cas ou !...
+# Options éventuelles
+set spantree spanguardtimeout 60
-# Bloquer les ports edge qui envoient des BPDUs
+# Enfin, activer le spanguard
-# (cas des PCs qui ont un bridge br0 (ex : libvirt) sans avoir désactivé le STP)
 set spantree spanguard enabled
 </code>
@@ Line 1037: / Line 1079: @@
 .1.3.6.1.4.1.5624.1.2.49.1.1.1.1.3.1.1           CPU 1min
 .1.3.6.1.4.1.5624.1.2.49.1.1.1.1.4.1.1           CPU 5min
+# Processus
+.1.3.6.1.4.1.5624.1.2.49.1.2.1.1.2               liste des noms de process
+.1.3.6.1.4.1.5624.1.2.49.1.2.1.1.3               %age CPU 5s par process
+.1.3.6.1.4.1.5624.1.2.49.1.2.1.1.4               %age CPU 1min par process
+.1.3.6.1.4.1.5624.1.2.49.1.2.1.1.5               %age CPU 5min par process
 # Matrix
-.1.3.6.1.4.1.5624.1.2.49.1.1.1.1.3               liste % CPU par slot
+.1.3.6.1.4.1.5624.1.2.49.1.1.1.1.3               liste % CPU (5s) par slot
 # Bornes WIFI