Differences

This shows you the differences between two versions of the page.

--- informatique:extreme_networks [2025/04/16 10:03] – [Stacking/Liens] pteu
+++ informatique:extreme_networks [2026/10/19 15:41] (current) – [BGP] Vérifier les attributs envoyés pteu
@@ Line 22: / Line 22: @@
 =====Licences=====
-Certaines fonctionnalités sont restreintes à un certain niveau de licence.
+Certaines fonctionnalités sont restreintes à un certain niveau de licence. A partir du voucher, générer la clé de licence sur le portail Extreme [[https://extreme-networks.my.site.com/ExtrLicenseLanding|Licenses Home]] ou [[https://extreme-networks.my.site.com/ExtrCloudLicenseLanding|Cloud Licenses Home]] ; celle-ci sera, en fonction du type de licence, liée au numéro de série d'un switch (à renseigner sur le site).
-Procédure pour changer la licence d'un stack :
+Dans le cas d'un switch universel, de modèle 5000 : une fois la clé de licence récupérée, déposer le fichier de licence sur un serveur de fichier (TFTP par ex) et le télécharger sur le switch :
+<code bash>
+tftp get serveur-tftp vr VR-Mgmt lservlcXXXXXXX-XXXPRD-5000-PRMR.lic
+install license file lservlcXXXXXXX-XXXPRD-5000-PRMR.lic
+# vérification:
+show licenses
+Enabled License Level:
+        Premier
+Enabled Feature Packs:
+        None
+</code>
+Procédure pour changer la licence d'un stack (dans le cas de switch non-universels, x460-g2 par ex) :
 <code bash>
 # on enlève la restriction de licence sur le slot4 (s'il y en a une)
@@ Line 48: / Line 61: @@
 </code>
+Dans le cas
 =====Système=====
@@ Line 120: / Line 133: @@
 Supported:                 yes
 Wavelength:                0
+# plus précis
+show port 5 transceiver information detail
+Port :  5
+    Media Type            : LX (Unsupported)
+    SKU                   : N/A
+    Vendor Name           : OEM
+    Vendor Date           : 06/19/17
+    Vendor Revision       : A
+    Part Number           : GLC-LH-SMD-C
+    Serial Number         : XYZ
+    Power Up Counter      : N/A
+    Wavelength            : 1310 nm
+    Temp (Celsius)            :  37.82      Status               :  Normal
+          Low Warn Threshold  : -5.00       High Warn Threshold  :  85.00
+          Low Alarm Threshold : -10.00      High Alarm Threshold :  90.00
+    Voltage AUX-1/Vcc (Volts) :  3.29       Status               :  Normal
+          Low Warn Threshold  :  3.10       High Warn Threshold  :  3.50
+          Low Alarm Threshold :  3.00       High Alarm Threshold :  3.60
+    Tx Power (dBm)            : -5.71       Status               :  Normal
+          Low Warn Threshold  : -9.00       High Warn Threshold  : -3.00
+          Low Alarm Threshold : -10.00      High Alarm Threshold : -2.00
+          Tx DDM              :  N/A        Tx DDM Last Gasp     :  N/A
+    Rx Power (dBm)            : -5.88       Status               :  Normal
+          Low Warn Threshold  : -20.00      High Warn Threshold  : -3.00
+          Low Alarm Threshold : -21.02      High Alarm Threshold : -2.00
+          Rx DDM              :  N/A        Rx DDM Last Gasp     :  N/A
+    Tx Bias Current (mA)      :  16.40      Status               :  Normal
+          Low Warn Threshold  :  2.00       High Warn Threshold  :  70.00
+          Low Alarm Threshold :  1.00       High Alarm Threshold :  90.00
+=================================================================================
+      N/A  - parameter not applicable to transceiver connected to the port
+      -inf - negative infinity, parameter not defined
 </code>
@@ Line 299: / Line 353: @@
 # Lister les clés configurées sur le switch:
 show sshd2 user-key
+</code>
+====Iimporter un certificat SSL====
+Pour mettre en place du rsyslog TLS ou un certificat pour l'accès HTTPS.
+Importer la CA au format PEM texte (le fichier doit commencer par la ligne "<nowiki>-----BEGIN CERTIFICATE-----</nowiki>" et être de taille > 2048 bits), depuis un serveur TFTP.
+<code bash>
+download ssl 10.0.0.1 certificate trusted-ca ca.pem
+</code>
+Celui-ci doit avoir les bons flags, notamment dans les extensions X509v3:
+  * **Basic Constraints**: CA/ TRUE
+  * **Subject key identifier**
+  * **Authority key identifier**
+  * **Key Usage**: Digital signature, Certificate Sign
+Importer le certificat du commutateur :
+<code bash>
+download ssl 10.0.0.1 certificate ssl-cert commutateur.pem
+Warning:
+SSL Certificate and Key do not match.
+Please load new Key now.
+New Certificate will be usable after restart of thttpd process..
+!
+download ssl 10.0.0.1 certificate privkey commutateur.key
 </code>
@@ Line 489: / Line 569: @@
 .1.3.6.1.2.1.1.1.0			description système/version du firmware
 .1.3.6.1.2.1.1.3.0                      uptime du matériel
+!
+.1.3.6.1.2.1.17.7.1.4.2.1.3		liste des VLANs sur le switch
+!
 .1.3.6.1.4.1.1916.1.1.1.34.1.10.3	idem
 .1.3.6.1.4.1.1916.1.1.1.13.0		primary system image
@@ Line 607: / Line 689: @@
   * via clé USB
+ref:  [[https://extreme-networks.my.site.com/ExtrArticleDetail?an=000081794|Upgrade Switch Engine (EXOS) via USB]]
+Avant EXOS 31.1:
 <code bash>
-# puis vérifier qu'elle soit reconnue
+# vérifier qu'elle soit reconnue (elle doit être en FAT32)
 show memorycard
@@ Line 617: / Line 703: @@
  This image will be used only after rebooting the switch!
 </code>
+Depuis la version EXOS 31.1
+<code bash>
+# vérifier que la clé USB est reconnue et montée (elle doit être en FAT32)
+show switch mounts
+Memory storage is present.
+!
+show switch usb
+USB port: Disabled
+# Si KO, activer la prise en chagre de l'USB
+enable switch usb
+This setting will take effect at the next system reboot
+# la clé USB est montée ici:
+ls /usr/local/ext
+-rwxrwxr--    1 admin    admin    113982743 Mar 26 18:50 summit_arm-32.7.2.19.xos
+[..]
+# copier l'image dans la mémoire interne
+download url file:///usr/local/ext/summit_arm-32.7.2.19.xos
+</code>
+Puis ''reboot''.
   * via scp
@@ Line 650: / Line 759: @@
   * ''Error: Failed to download image on Slot-3 - tftp: write error''
 L'erreur apparait après téléchargement de l'image sur le master, pendant le transfert vers les autres slots de la stack, lors de la MAJ de le 22 vers la v30.7. En passant par la version intermédiaire 30.2.1.8, le problème n'apparait plus. ([[https://gtacknowledge.extremenetworks.com/articles/Solution/000043762|source GTAC]])
+  * autre erreur TFTP quand on passe de la 30.1 à la 30.3 : ''rm: cannot remove '/scratch': Device or resource busy
+ Error: Failed to download image on Slot-2 - tftp: write error'' -> [[https://extreme-networks.my.site.com/ExtrArticleDetail?an=000058389|Upgrading To EXOS 30.3 or Higher Fails with TFTP Errors]]
 ====Commandes UNIX-like====
@@ Line 1208: / Line 1321: @@
 enable radius netlogin
 </code>
+NB: le VLAN d'accueil ne peut pas être propagé sur d'autres switchs (voir: [[https://extreme-networks.my.site.com/ExtrArticleDetail?an=000085498|When configuring 802.1X authentication, why can't I configure netlogin VLANs on tagged trunk ports?]])
 ===Configuration côté serveur Radius===
@@ Line 1237: / Line 1352: @@
 [...]
 </file>
+====PoE====
+<code bash>
+show inline-power
+                Inline Power System Information
+Configured                 : Enabled
+Power Usage Threshold      : 70 percent
+Disconnect Precedence      : deny-port
+Inline Power budget        : Maximum
+                   Budgeted       Measured
+Firmware Status    Power (Watts)  Power (Watts)
+Operational         370 W           0 W
+show inline-power info ports 1
+Port    State           Class      Volts    Curr    Power     Fault
+                                            (mA)   (Watts)
+       searching       ------      0.0       0      0.000    None
+</code>
+=====DHCP snooping=====
+Le DHCP snooping est un service de sécurité qui permet de spécifier à un switch où (sur quel port) est situé le serveur DHCP légitime, afin qu'il bloque les flux DHCP illicites émanant des ports utilisateur. On ne l'active pas toujours avant de rencontrer le premier incident de rogue DHCP server ;) .
+Le DHCP snooping s'active par port et par VLAN ; les flux bloqués sont les flux à destination des clients (dst udp/68), qui ne sont permis que s'ils arrivent d'un "trust port" = un port desservant un serveur DHCP légitime.
+On peut choisir l'action à faire (''violation-action'') en plus de bloquer le paquet udp/68.
+<code bash>
+# définir un serveur DHCP par VLAN (limité à 8)
+configure trusted-servers vlan v2 add server 192.168.1.253 trust-for dhcp-server
+# alternative: définir le port 1 comme "trust port" sans restriction d'IP
+configure trusted-port 1 trust-for dhcp-server
+# activer la protection sur les ports utilisateur et bloquer pour 1h l'adresse MAC du rogue DHCP
+enable ip-security dhcp-snooping vlan v2 port 2-48 violation-action drop-packet block-mac duration 3600 snmp-trap
+</code>
+Vérifications
+<code bash>
+show ip-security dhcp-snooping vlan v2-Commerciaux
+show configuration ipSecurity
+</code>
+Logs typiques :
+<code bash>
+/03/2026 15:56:41.76 <Warn:ipSecur.dhcpViol> A Rogue DHCP server on VLAN v2 with IP 192.168.0.1 was detected on port 5
+/03/2026 15:56:41.76 <Warn:ipSecur.blkMac> DHCP violation occurred. Blocking MAC 70:F3:5A:00:11:22 temporarily
+</code>
 =====Spanning-tree=====
@@ Line 1746: / Line 1911: @@
 ====BGP====
-Le BGP n'est activé qu'à partir d'une licence **Core**.
+Le BGP n'est utilisable qu'à partir d'une licence **Core** ou **Premier** pour les séries 5000.
 Exemple de configuration BGP simple et exhaustive :
@@ Line 1755: / Line 1920: @@
 configure vr VR-Default del ports 15
 configure vr VR-BGP add ports 15
-# activation du BGP sur le VR-BGP
+# activation du BGP sur le VR-BGP (déjà activé si vr-Default)
 configure vr VR-BGP add protocol bgp
@@ Line 1791: / Line 1956: @@
 On peux ajouter une protection par mot de passe MD5 :
 <code bash>
-configure bgp neighbor 10.55.6.92 password encrypted "#$r7jd531s6df4s6f8ze+rENrdw=="
+configure bgp neighbor 10.55.6.92 password motdepassesecret123456789
 </code>
@@ Line 1807: / Line 1972: @@
    then { deny; }
  }
+# vérification de la routemap
+check policy BGP-in
 # application de la routemap
@@ Line 1814: / Line 1982: @@
 Après la MAJ d'une policy, pour qu'elle soit prise en compte :
 <code bash>
-check policy BGP-in.pol
+check policy BGP-in.pol    # vérification de la syntaxe
-refresh policy BGP-in
+refresh policy BGP-in      # actualisation
 configure bgp soft-reconfiguration
 </code>
@@ Line 1852: / Line 2020: @@
 show bgp neighbor 10.55.200.92 accepted-routes all
 show bgp neighbor 10.55.200.92 rejected-routes all
+[...]
+BGP Route Statistics
+  Total Rxed Routes : 8
+  Rejected Routes   : 1
+  Unfeasible Routes : 0
 !
 show bgp neighbor 10.55.200.92 transmitted-routes all
@@ Line 1862: / Line 2035: @@
 show bgp neighbor 10.55.200.92 suppressed-routes all
+</code>
+<WRAP center round important 80%>
+Les commandes précédentes n'affiche que le nombre de route demandées (rejected/suppressed ; pour voir les routes rejetées/supprimées [[https://extreme-networks.my.site.com/ExtrArticleDetail?an=000095632|il faut activer l'option]] ''soft-reset in/out'' : ''configure bgp neighbor 10.55.200.92 soft-reset [ in | out ]''
+</WRAP>
+===Envoyer des attributs===
+Pour envoyer/recevoir des attributs, il faut activer l'option **send-community** sur le voisin :
+<conf bash>
+configure bgp neighbor 10.0.0.2 send-community both
+</conf>
+Puis, créer une condition dans la policy (ici **BGP-out.pol**) BGP out du voisin souhaité :
+<code bash BGP-out.pol>
+@description routemap BGP out vers 10.0.0.2
+# on envoie la commu uniquement pour l'une ou l'autre des routes listées ici
+entry send-commu {
+   if match any {
+      nlri 10.31.6.8/29;
+      nlri 10.31.7.8/29;
+   }
+   then {
+      community set "64513:100";
+      permit; }
+}
+</code>
+Puis, vérifier la syntaxe et rafraîchir la policy (ou l'appliquer sur le voisin) :
+<code bash>
+check policy BGP-out
+refresh policy BGP-out
+# ou
+#configure bgp neighbor 10.0.0.2 route-policy out BGP-out
+</code>
+Et forcer la MAJ vers les voisins :
+<code bash>
+configure bgp soft-reconfiguration
+</code>
+Vérifier les attributs envoyés (ici vers le voisin "10.0.65.1" pour le préfixe 10.31.6.8/29) :
+<code bash>
+show bgp neighbor "10.0.65.1" transmitted-routes detail network 10.31.6.8/29
+Advertised Routes:
+Route: 10.31.6.8/29, Active
+Origin IGP, Next-Hop 10.0.65.3, MED 0
+As-PATH: 64512
+Community: 123456789
+Ext Community: rt:64513:100
+BGP Route Statistics Matching the Display Criteria
+  Advertised Routes : 1
 </code>