Справочник по настройке сетевого оборудования Cisco

Фильтр

BPDU

пакетов

(Bpdufilter)

Данная утилита предназначена, для фильтрации BPDU пакетов, она не пропускает чужой и не отправляет свой BPDU пакет и при этом не отключает интерфейс, к примеру, наш коммутатор стоит против коммутатора нашего провайдера, чтобы не пропускать его BPDU пакеты мы должны установить данную утилиту на интерфейс, обращенный к провайдеру.

Мы можем указать данную команду одной строкой для всех портов portfast:

sw1(config)#spanning-tree portfast default

sw1(config)#spanning-tree portfast bpdufilter default

Проверка осуществляется командой:

sw1#show spanning-tree summary

Switch is in rapid-pvst mode

Root bridge for: VLAN0001, VLAN0116, VLAN0120

Extended system ID is enabled

Portfast Default is enabled

PortFast BPDU Guard Default is disabled

Portfast BPDU Filter Default is enabled

Loopguard Default is enabled

EtherChannel misconfig guard is enabled

UplinkFast is disabled

BackboneFast is disabled

Configured Pathcost method used is short

–– часть информации удалена –

Настраивается на определенном интерфейсе, применение показано ниже:

sw1(config)#interface FastEthernet0/1

sw1(config-if)#spanning-tree bpdufilter enable

Следует заметить, что не стоит использовать данную утилиту вместе с утилитой bpduguard.

Защита коневого коммутатора (Guard root)

Данная утилита позволяет гарантировать не избрание корневым определенного коммутатора, но для её использования обязательно требуется, чтобы до её включения мы избрали коммутатор, который будет у нас корневым и только после этого мы прописываем на интерфейсах в сторону не корневого коммутатора данную команду:

sw1(config)#interface FastEthernet0/24

sw1(config-if)#spanning-tree guard root

Проверка осуществляется командой:

sw1#show spanning-tree inconsistentports

Защита

от

петель

(Guard loop)

Данная утилита обеспечивает дополнительную защиту против образования петель, для предотвращения STP петель за счет однонаправленной связи.

Работает подобно UDLD, но вместо этого использует BDPU keepalive для определения однонаправленного движения. Заблокированные порты будут переведены в состояние LOOP_INCONSISTANT_STATE, чтобы избежать петель.

Глобально задается командой показанной ниже:

sw1(config)#spanning-tree loopguard default

Проверка осуществляется командой:

sw1#show spanning-tree summary

Switch is in pvst mode

Root bridge for: none

EtherChannel misconfig guard is enabled

Extended system ID is disabled

Portfast Default is disabled

PortFast BPDU Guard Default is disabled

Portfast BPDU Filter Default is disabled

Loopguard Default is enabled

UplinkFast is disabled

BackboneFast is disabled

Pathcost method used is short

–– часть информации удалена –

На отдельном интерфейсе задается командой, показанной ниже:

sw1(config)#interface FastEthernet0/24

sw1(config-if)#spanning-tree guard loop

Протокол обнаружения однонаправленной связи UniDirectional Link Detection (UDLD)

Протокол обнаружения однонаправленной связи (UDLD), является протоколом 2 уровня, отслеживает физическую конфигурацию кабелей и обнаруживает однонаправленные соединения и отключает порт. Данные соединения могут быть причиной петель в коммутации, образовывать черные дыры и недетерминированных перенаправлении. Чтобы включить интерфейс, после его отключения, необходимо на интерфейсе выполнить команду shutdown, а потом no shutdown.

Настраивается на интерфейсе:

sw1#conf t

sw1(config)# interface range fa0/19 – 20

Для медной пары:

sw1(config-if)#udld aggressive

Для оптического кабеля:

sw1(config-if)#udld

sw1(config-if)#end

sw1#wr

Проверка осуществляется командой:

sw1# show udld

Туннель через коммутаторы (802.1q Tunneling)

Туннель через коммутаторы 802.1q Tunneling, имеем 2 маршрутизатора их надо соединить туннелем через коммутаторы, следует отметить, что между коммутаторами есть магистральное соединение и на них прописаны vlan, настройка приводиться ниже:

r1(config)#interface f0/0

r1(config-if)#no shutdown

r1(config-if)#interface f0/0.10

r1(config-if)#encapsulation dot1Q 10

r1(config-if)#ip address 10.0.0.1 255.255.255.0

r1(config-if)#interface f0/0.20

r1(config-if)#encapsulation dot1Q 20

r1(config-if)#ip address 20.0.0.1 255.255.255.0

r2(config)#interface f0/0

r2(config-if)#no shutdown

r2(config-if)#interface f0/0.10

r2(config-if)#encapsulation dot1Q 10

r2(config-if)#ip address 10.0.0.2 255.255.255.0

r2(config-if)#interface f0/0.20

r2(config-if)#encapsulation dot1Q 20

r2(config-if)#ip address 20.0.0.2 255.255.255.0

sw1(config)#system mtu 1504

Данный интерфейс смотрит на маршрутизатор r1

sw1(config)#interface f0/1

sw1(config-if)#switchport access vlan 200

sw1(config-if)#switchport mode dot1q-tunnel

sw1(config-if)#l2protocol-tunnel cdp

sw1(config-if)#no cdp enable

sw1(config-if)#interface f0/19

sw1(config-if)#switchport trunk encapsulation dot1q

sw1(config-if)#switchport mode trunk

sw2(config)#system mtu 1504

Данный интерфейс смотрит на маршрутизатор r2

sw2(config)#interface f0/2

sw2(config-if)#switchport access vlan 200

sw2(config-if)#switchport mode dot1q-tunnel

sw2(config-if)#l2protocol-tunnel cdp

sw2(config-if)#no cdp enable

sw2(config-if)#interface f0/19

sw2(config-if)#switchport trunk encapsulation dot1q

sw2(config-if)#switchport mode trunk

Проверяем командой show cdp neighbor и ping на первом и втором маршрутизаторе.

Частные виртуальные локальные сети (Private VLANs)

Частные виртуальные локальные сети используются, когда нужно, чтобы один хост или несколько хостов не имели доступа к общей сети. Соответственно существуют три типа таких портов изолированные (isolated),сообщество (community) и прослушивающий (promiscuous), прослушивающий (promiscuous) порт может общаться со всеми видами портов в пределах частной виртуальной локальной сети. Также через него частные порты могут обмениваться между собой информацией. Варианты настройки приведены ниже:

Настройка изолированной виртуальной локальной сети (isolated vlan)

Обязательно переводим коммутатор в прозрачный режим (transparent) и после этого создаем изолированию виртуальную локальную сеть и первую виртуальную локальную сеть, только одна изолированная сеть может быть привязана к первой сети, к которой она будет привязана:

sw2(config)#vtp transparent

sw2(config-vlan)#vlan 201

sw2(config-vlan)#private-vlan isolated

sw2(config-vlan)#vlan 100

sw2(config-vlan)#private-vlan primary

sw2(config-vlan)#private-vlan association 201

sw2(config-vlan)#end

sw2#wr

Настраиваем порт, к которому будет подключен изолированный хост:

sw2(config)#interface f0/1

sw2(config-if)#switchport mode private-vlan host

sw2(config-if)#switchport private-vlan host-association 100 201

Проверка осуществляется командой:

sw2#show vlan private-vlan

Primary Secondary Type Ports

–– – – –

100 201 isolated Fa0/1

Также посмотреть результат можно и этой командой

sw2#show interface f0/1 switchport

Name: Fa0/1

Switchport: Enabled

Administrative Mode: private-vlan host

Operational Mode: private-vlan host

Administrative Trunking Encapsulation: negotiate

Operational Trunking Encapsulation: native

Negotiation of Trunking: Off

Access Mode VLAN: 1 (default)

Trunking Native Mode VLAN: 1 (default)

Administrative Native VLAN tagging: enabled

Voice VLAN: none

Administrative private-vlan host-association: 100 (VLAN00100) 201 (VLAN00201)

Administrative private-vlan mapping: none

Administrative private-vlan trunk native VLAN: none

Administrative private-vlan trunk Native VLAN tagging: enabled

Administrative private-vlan trunk encapsulation: dot1q

Administrative private-vlan trunk normal VLANs: none

Administrative private-vlan trunk private VLANs: none

Operational private-vlan:

100 (VLAN00100) 201 (VLAN00201)

Настройка сообщества виртуальной локальной сети (community vlan)

В данном случае мы настраиваем закрытое сообщество, где несколько хостов связаны между собой.

sw2(config)#vtp transparent

sw2(config-vlan)#vlan 202

sw2(config-vlan)#private-vlan community

sw2(config-vlan)#vlan 100

sw2(config-vlan)#private-vlan primary

sw2(config-vlan)#private-vlan association 202

sw2(config-vlan)#end

sw2#wr

Назначаем четыре порта, к которым будет привязано данное сообщество:

sw2(config)#interface range f0/2 – 5

sw2(config-if)#switchport mode private-vlan host

sw2(config-if)#switchport private-vlan host-association 100 202

sw2(config-if)#end

sw2#wr

Проверка осуществляется командами:

sw2#show vlan private-vlan

Primary Secondary Type Ports

–– – – –

100 202 community Fa0/2

100 202 community Fa0/3

100 202 community Fa0/4

100 202 community Fa0/5

sw2#show interface f0/1 switchport

Настройка

прослушивавшего

порта

(promiscuous)

Если нам требуется обмен данными между изолированным портом и сообществом портов, то надо настроить (promiscuous) прослушивающий порт, в который надо будет добавить все виртуальные локальные сети, которые будут обмениваться данными. Как это делается показано ниже:

sw2(config)#interface f0/24

sw2(config-if)#switchport mode private-vlan promiscuous

sw2(config-if)#switchport private-vlan mapping 100 add 201 202

sw2(config-if)#end

sw2#wr

Проверка осуществляется командами:

Sw2#show interface private-vlan mapping

sw2#show interface f0/1 switchport

МАС

адресация

По умолчанию динамические MAC адреса находятся в таблице коммутатора 5 минут, но мы можем изменить это время:

sw1(config)# mac address-table aging-time <10-1000000> vlan <номер vlan>

Проверяем командой:

sw1# show mac address-table aging-time

К примеру, нам надо найти, на каком коммутатора находиться нужный нам МАС адрес, вводим команду:

sw01#show mac address-table dynamic address 984b.e1ad.63e3

И получаем ответ:

Mac Address Table

––

Vlan Mac Address Type Ports

–– – – –

5 984b.e1ad.63e3 DYNAMIC Gi1/0/10

Total Mac Addresses for this criterion: 1

Если нам надо узнать какой МАС адрес использует, наш IP адрес используем данную ниже команду:

sw01#show arp | i 10.0.10.11

B результате мы получим искомый нами МАС адрес, если мы просто зададим show arp, то получим полный список IP адресов с соответствующими им МАС адресами.

Охраняемый порт (Protected Ports)

Данная функция работает только на локальном коммутаторе. Между protected портами на канальном уровне не передается трафик (multicast, broadcast или unicast) то есть они не общаются между собой, но разрешен обмен трафиком с незащищенными портами, при этом обмен маршрутной информации между данными портами возможет. Включается:

sw1(config)#interface FastEthernet0/3

sw1(config-if)#switchport protected

sw1(config)#interface FastEthernet0/4

sw1(config-if)#switchport protected

Для отключения данной команды, следует ввести команду no:

sw1(config)#interface FastEthernet0/3

sw1(config-if)#no switchport protected

Проверка осуществляется командой:

sw1#show interface FastEthernet0/3 switchport

Protected: true

Шторм

контроль

(Storm Control)

Данная функция помогает избежать распространения перегрузок multicast, broadcast или unicast шторма, которые могут возникнуть при наводнении виртуальной локальной сети ненужными пакетами, включается на интерфейсе командой показанной ниже:

sw1(config)#interface FastEthernet0/3

sw1(config-if)#storm-control broadcast level 1

sw1(config-if)#storm-control action shutdown

В настроенном варианте мы ограничили, шторм 1 процентом от пропускной полосы интерфейса и если он будет происходить, вторая команда отключит интерфейс.

Для отключения данной команды, следует ввести команду no:

sw1(config)#interface FastEthernet0/3

sw1(config-if)#no storm-control broadcast level 1

Проверка осуществляется командой:

sw1#show storm-control

Interface Filter State Upper Lower Current

–– – – – –

Fa0/3 Forwarding 1.00% 1.00% 0.00%

Маршрутизатор

на

палочке

(Router-On-A-Stick)

Классический пример подключения небольшого офиса, мы имеем коммутатор уровня доступа серии 2900 и маршрутизатор создаем две виртуальные сети 21 для данных и 22 для голоса.

Создаем на коммутаторе две виртуальные сети, и назначаем порты доступа:

sw1(config)#vlan 21,22

sw1(config-vlan)#name DATA

sw1(config-vlan)#vlan 22

sw1(config-vlan)#name VOICE

sw1(config-vlan)#exit

sw1(config)#interface range FastEthernet0/1 – 23

sw1(config-if)#switchport mode access

sw1(config-if)#switchport access vlan 21

sw1(config-if)#switchport voice vlan 22

Делаем данный интерфейс магистральным:

sw1(config)#interface FastEthernet0/24

sw1(config-if)# switchport trunk encapsulation dot1q

sw1(config-if)# switchport mode trunk

На маршрутизаторе:

r1(config)# interface FastEthernet0/0

r1(config-if)#no ip address

r1(config-if)#no shutdown

r1(config)#interface FastEthernet0/0.21

r1(config-if)# encapsulation dot1q 21

r1(config-if)# ip address 10.1.21.1 255.255.255.0

r1(config)# interface FastEthernet0/0.22

r1(config-if)# encapsulation dot1q 22

r1(config-if)# ip address 10.1.22.1 255.255.255.0

Следует добавить, что на маршрутизаторе можно включить DHCP сервер, но об этом дальше.

Анализ коммутированного порта SPAN (Switchport Analyzer)

Переводит указанный трафик для анализа на определенный порт, к которому подключено устройство для анализа трафика IPS/IDS. Источниками трафика могут быть любые порты второго уровня. Примеры настройки показаны ниже:

В данном случае перехватывается весь трафик от виртуальных локальных сетей с 1 по 10 и отправляется на порт 20, соответственно к 20 порту должно быть подключено устройство для анализа данного трафика.

sw01(config)#monitor session 1 source vlan 1 – 10

sw01(config)#monitor session 1 destination interface f0/20

Если требуется забрать трафик с определенного интерфейса:

sw1(config)#monitor session 1 source interface f0/1

sw1(config)#monitor session 1 destination interface f0/20

Только входящий:

sw1(config)#monitor session 1 source interface f0/1 rx

Только исходящий:

sw1(config)#monitor session 1 source interface f0/34 tx

Забирать трафик с магистрального порта:

sw1(config)#monitor session 1 source interface g0/1 encapsulation replicate

sw1(config)#monitor session 1 destination interface f0/20

Нас интересуют не все виртуальные локальные сети, а только с 6 по 9:

sw1(config)#monitor session 1 source interface g0/1 encapsulation replicate

sw1(config)#monitor session 1 filter vlan 1-5, 10

sw1(config)#monitor session 1 destination interface f0/20

Указанные в фильтре виртуальные локальные сети не будут перехватываться.

Проверка осуществляется командой:

sw01#show monitor session 1

Удаленный анализ коммутированного порта RSPAN (Remote Switchport Analyzer)

Используется когда надо анализировать трафик на других коммутаторах, как настраивается показано ниже:

В начале, на все коммутаторах задается сеть перехвата:

sw1(config)#vlan 100

sw1(config-vlan)#remote-span

sw1(config)#exit

sw2(config)#vlan 100

sw2(config-vlan)#remote-span

sw2(config)#exit

sw3(config)#vlan 100

sw3(config-vlan)#remote-span

sw3(config)#exit

На первом коммутаторе перехватываем трафик на всех виртуальных локальных сетях:

sw1(config)#monitor session 1 source vlan 1 – 10

sw1(config)#monitor session 1 destination remote vlan 100

На втором только порты 1 и 2:

Sw2(config)#monitor session 1 source interface f0/1

Sw2(config)#monitor session 1 source interface f0/2

sw2(config)#monitor session 1 destination remote vlan 100

На третьем у нас установлено устройство для анализа трафика на 20 порту:

sw3(config)#monitor session 1 source remote vlan 100

sw3(config)#monitor session 1 destination interface f0/20

Проверка осуществляется командой:

sw01#show monitor session 2

Голосовая виртуальная локальная сеть (Voice VLAN)

Голосовая виртуальная локальная сеть настраивается на коммутаторе достаточно просто, настройку смотрите ниже:

sw01(config)#interface f0/1

sw01(config-if)#switchport voice vlan 30

Получается, что интерфейс доступа может поддерживать две виртуальных частных сети, одну для данных и вторую для голоса, разделение происходит на основе того, что одна сеть идет тегированной другая не тегированной.

Автоматическая настройка качество обслуживания на коммутаторах (Auto QoS)

На устройствах Cisco существует удобная функция, которая позволяет настроить качество обслуживание для сетевых телефонов Cisco. Для включения данной функции следует, на коммутаторе следует выполнить следующие команды:

sw1(config)#ip cef

sw1(config)#mls qos

sw1(config)#interface range f0/1 – 48

sw1(config-if)#auto qos voip cisco-phone

sw1(config-if)#exit

sw1(config)#interface g0/1

sw1(config-if)#auto qos voip trust

sw1(config-if)#end

sw1#wr

У нас порты с 1 по 48 являются портами доступа и к ним подключены телефоны Cisco, а Гигабитный порт 0/1 является магистральным. После выполнения данных команд, правила QoS, будут автоматом настроены на коммутаторе.

Список доступа виртуальной локальной сети (Vlan map)

Список доступа виртуальной локальной сети, осуществляет пакетную фильтрацию всех типов трафика внутри используемой виртуальной сети или сетей.

Данный пример показывает правилом разрешить доступ всем сетям, кроме 10.0.10.0/24

Настраиваются следующим образом:

sw1(config)#access-list 1 permit 10.0.10.0 0.0.0.255

sw1(config)#access-list 2 permit any

sw1(config)#vlan access-map aclmap 10

sw1(config-access-map)#match ip address 1

sw1(config-access-map)#action drop

sw1(config-access-map)#exit

sw1(config)#vlan access-map aclmap 20

sw1(config-access-map)#match ip address 2

sw1(config-access-map)#action forward

sw1(config-access-map)#exit

sw1(config)# vlan filter mymap vlan-list 1-10

sw1(config)#exit

sw1#wr

Проверка осуществляется командой:

sw1# show vlan access-map

Vlan access-map "aclmap" 10

Match clauses:

ip address: 1

Action:

drop

Vlan access-map "aclmap" 20

Match clauses:

ip address: 2

Action:

Forward

sw1# show vlan filter

VLAN Map mymap is filtering VLANs:

1-10

Пример фильтрации трафика, в данном случае мы запрещаем трафик IPv6 на 10 виртуальную локальную сеть:

sw1(config)#mac access-list extended IPv6

sw1(config-ext-macl)#permit any any 0x86dd 0x0000

sw1(config-ext-macl)#exit

sw1(config)#vlan access-map no_IPv6 10

sw1(config-access-map)#match mac address IPv6

sw1(config-access-map)#action drop

sw1(config-access-map)#exit

sw1(config)#vlan access-map no_IPv6 20

sw1(config-access-map)#action forward

sw1(config-access-map)#exit

sw1(config)#vlan filter no_IPv6 vlan-list 10

sw1(config)#exit

sw1#wr

Ниже приведены примеры, для фильтрации:

0x0806 0x0000 ARP

0x0800 0x0000 IPv4

0x86DD 0x0000 IPv6

0xAAAA 0x0000 CISCO proprietary (STP, PAGP, VTP, PVST+, CDP, DTP, and UDLD)

0x4242 0x0000 CST

Списки доступа второго уровня (MAC-ACL)

Данные списки доступа предназначены для фильтрации не IP трафика, он фильтрует только трафик 2 уровня на виртуальных локальных сетях и интерфейсах, и могут применяться только для входящего трафика. Ниже приведен пример блокировки всех пакетов AppleTalk Address Resolution Protocol (AARP):

sw1(config)# mac access-list extended mac-acl

sw1(config-ext-macl)# deny any any aarp

sw1(config-ext-macl)# permit any any

sw1(config-ext-macl)# exit

sw1(config)# interface Fastethernet0/10

sw1(config-if)# mac access-group mac-acl in

sw1(config-if)# end

sw1#wr

Маршрутизация и протоколы маршрутизации