Компания Cisco - одна из ведущих транснациональных корпораций на рынке телекоммуникационного оборудования.
Продукция компании Cisco получила признание во всем мире из-за своей надежности и неприхотливости.
Настройка Cisco 2960: в этой статье мы выполним базовую настройку коммутатора. Статья будет полезна всем, начинающим работать с продукцией компании Cisco.
Шаг 1. Подключение оборудования Cisco
Настройка оборудования Cisco весьма специфична и несколько отличается от оборудования .
Например, для выполнения первичных настроек коммутаторов компании Cisco , нам потребуется фирменный плоский кабель RJ -45 – RS -232 голубого цвета (идет в комплекте с оборудованием) и наличие COM -порта на компьютере, с которого будет производиться настройка.
Решением вопроса является копирование папки HyperTerminal c Windows XP (месторасположение каталога – Program Files ) в любой удобный каталог Windows 7/8 .
Для запуска программы используется файл hypertrm .exe , который можно найти в той же папке.
Либо использовать программу Putty , которую помимо подключения к Cisco -оборудованию можно использовать для подключения к серверам, пр. с помощью SSH -подключения.
Переходим к подключению. На передней панели коммутатора ищем разъем RJ -45 с подписью «Console », и подключаем кабель.
Включаем питание коммутатора.
Заходим на компьютере в HyperTerminal, выбираем интерфейс разъема (COM1), скорость порта – 9600 Б/с, на все дальнейшие вопросы даем отрицательный ответ («No »).
Шаг 3. Общие принципы настройки оборудования Cisco
В целях безопасности на коммутаторах Cisco доступно 2 режима ввода команд: пользовательский режим для проверки состояния коммутатора и привилегированный режим (аналог пользователя root в UNIX или администратора в Windows) для изменения конфигурации коммутатора.
Для пользователей, привыкших работать в UNIX-системах, понять в каком режиме они работают не составит труда.
Для пользователей, работающих в Windows дадим пояснение, - если строка перед командной начинается с символа «#», вы в привилегированном режиме.
То же самое касается ввода пароля, как и в UNIX-системах, пароль, который вводит пользователь не отображается на экране.
Для перехода в привилегированный режим служит команда «enable», без кавычек, а для выхода «disable».
Приступим к первичной настройке коммутатора. При первой загрузке устройства мастер установки предложит выполнить пошаговую настройку, отказываемся от этого шага:
Continue with configuration dialog? : no
После чего оказываемся в пользовательский режиме:
Переходим в привилегированный режим, пароль по умолчанию, как правило, отсутствует, поэтому ничего не вводим, а нажимаем «Enter».
Switch> enable
Для задания настроек, касающихся всего коммутатора (задание имени коммутатора, IP-адреса , указание сервера синхронизации времени, пр), используется режим глобальной конфигурации, для настройки отдельных интерфейсов существует режим конфигурации интерфейса.
Шаг 4. Базовая настройка Cisco 2960
1. Изменим имя нашего коммутатора (по умолчанию имя Switch):
Switch# configure terminal
Switch(config)# hostname Switch01 (Задаем имя коммутатора – Switch01)
Switch01(config)#
В последующем это помогает быть уверенным, что конфигурация выполняется именно на нужном устройстве.
Также обращаем ваше внимание на то, что вместо длинных команд как, например, «configure terminal» существуют их короткие аналоги «conf t».
2. Зададим IP-адрес для интерфейса управления коммутатором.
Switch01(config)# interface fa0/0 (указываем интерфейс для настройки)
Switch01(config-if)# no shutdown (включаем интерфейс)
Switch01(config-if)# ip address 255.255.255.0 (задаем IP- адрес и маску)
Switch01(config-if)# exit (выходим из режима конфигурации интерфейса)
Switch01(config)#
3. Установим пароль для привилегированного режима:
Switch01(config)# enable secret pass1234 (пароль pass1234)
Switch01(config)# exit
Switch 01#
Важно! Установка пароля может быть выполнена двумя командами password и secret. В первом случае пароль хранится в конфигурационном файле в открытом виде, а во втором в зашифрованном. Если использовалась команда password , необходимо зашифровать пароли, хранящиеся в устройстве в открытом виде с помощью команды «service password-encryption» в режиме глобальной конфигурации.
4. Поскольку данные при telnet соединении передаются в открытом виде, для удаленного подключения к коммутатору будем использовать SSH -соединение позволяющее шифровать весь трафик.
Switch01# conf t
Switch 01(config )# ip domain name geek -nose .com (Указываем домен, если домена нет пишем любой)
Switch01(config)# crypto key generate rsa (Выполняем генерацию RSA- ключа для ssh)
Switch01(config)# ip ssh version 2 (Указываем версию ssh- протокола)
Switch01(config)# ip ssh autentification-retries 3 (Задаем кол- во попыток подключения по ssh)
Switch01(config)# service password-encryption (Сохраняем пароли в зашифрованном виде)
Switch 01(config )# line vty 0 2 (Переходим в режим конф-и терминальных линий)
Switch01(config-line)# transport input ssh (Разрешаем подключение только по ssh)
Switch01(config-line)# exec timeout 20 0 (Активируем автоматическое разъединение ssh- сессии через 20 минут)
Switch 01(config -line )# end (Выходим из режима конфигурирования)
Switch01# copy running-config startup-config (Сохраняем настройки)
Важно! Для выхода из подменю конфигурирования на 1 уровень выше, например, из «config -line » в «config » используется команда «exit ». Для полного выхода из режима конфигурирования используйте команду «end ».
Выше была описана базовая настройка ssh , с более продвинутой настройкой можно ознакомиться ниже:
Switch01# conf t
Switch01(config)# aaa new-model (Включаем ААА- протокол )
Данная статья также подойдет для настройки таких коммутаторов, как Cisco Catalyst 2950 , Cisco Catalyst 2960 , Cisco Catalyst 3550 , Cisco Catalyst 3560 , Cisco Catalyst 3560G .
Для первичных настроек коммутаторов Cisco , нам потребуется кабель RJ-45 – RS-232 и наличие COM -порта в компьютере.
В качестве консоли я буду использоваться ZOC .
Настройки подключения:
При первой загрузке устройства мастер установки предложит выполнить пошаговую настройку, отказываемся от этого шага:
Переходим в привилегированный режим:
Установим пароль для привилегированного режима
И разрешим вход по telnet:
Если ошибиться при наборе чего-либо в консоле или ввести команду на русском, то Cisco попробует это отрезолвить, выключим эту особенность, чтобы не тратить время:
Настроим access-list для доступа к свитчу только с указанных IP-адресов:
Напоследок сохраняемся:
C2960G-test# copy running-config startup-config
|
C2960G-test# wr
|
Шаблон базовой настройки маршрутизатора Cisco
- Cisco
В последнее время приходится часто настраивать с нуля маршрутизаторы Cisco (в основном 800-1800 серии) для филиалов моей компании и дабы не набирать одни и теже команды третий десяток раз составил для себя небольшой шаблон настроек на разные случаи жизни. Сразу скажу что сертификаты от Cisco не получал, книжек по данным роутерам особо не читал, весь свой опыт приобрел методом научного тыка, курением мануалов на cisco.com и кое каким вдумчивым заимствованием кусков чужих конфигов…
Итак распаковываем роутер, заливаем последнюю прошивку (для SSH необходим минимум Advanced Security), делаем
#erase startup-config
дабы избавится от преднастроеного мусора и перегружаемся.
Настройка авторизации и доступа по SSH
Включаем шифрование паролей
service password-encryption
! используем новую модель ААА и локальную базу пользователей
aaa new-model
aaa authentication login default local
! заводим пользователя с максимальными правами
username admin privilege 15 secret PASSWORD
Даем имя роутеру
hostname <...>
ip domain-name router.domain
! генерируем ключик для SSH
crypto key generate rsa modulus 1024
! тюнингуем SSH
ip ssh time-out 60
ip ssh authentication-retries 2
ip ssh version 2
! и разрешаем его на удаленной консоли
line vty 0 4
transport input telnet ssh
privilege level 15
Настройка роутинга
Включаем ускоренную коммутацию пакетов
ip cef
Настройка времени
Временная зона GMT+2
clock timezone Ukraine 2
clock summer-time Ukraine recurring last Sun Mar 2:00 last Sun Oct 2:00
! обновление системных часов по NTP
ntp update-calendar
! ntp сервера лучше задавать по айпи, ибо если при перегрузке DNS-сервера не доступны то настройки по именам слетают…
ntp server NTP.SERVER.1.IP
ntp server NTP.SERVER.2.IP
Архивирование конфигов
Включаем архивирование всех изменений конфига, скрывая пароли в логах
archive
log config
logging enable
hidekeys
Историю изменения конфига можно посмотреть командой
show archive log config all
Настройка DNS
Включить разрешение имен
ip domain-lookup
! включаем внутренний DNS сервер
ip dns server
! прописываем DNS провайдера
ip name-server XXX.XXX.XXX.XXX
! на всякий случай добавляем несколько публичных DNS серверов
ip name-server 4.2.2.2
ip name-server 208.67.222.222
ip name-server 208.67.220.220
Настройка локальной сети
Обычно порты внутреннего свитча на роутере объединены в Vlan1
interface Vlan1
description === LAN ===
ip address 192.168.???.1
Включаем на интерфейсе подсчет пакетов передаваемых клиентам - удобно просматривать кто съедает трафик
ip accounting output-packets
Посмотреть статистику можно командой
show ip accounting
! очистить
clear ip accounting
Настройка DHCP сервера
Исключаем некоторые адреса из пула
ip dhcp excluded-address 192.168.???.1 192.168.???.99
! и настраиваем пул адресов
ip dhcp pool LAN
network 192.168.???.0 255.255.255.0
default-router 192.168.???.1
dns-server 192.168.???.1
Настройка Internet и Firewall
Настраиваем фильтр входящего трафика (по умолчанию все запрещено)
ip access-list extended FIREWALL
permit tcp any any eq 22
Включаем инспектирование трафика между локальной сетью и Интернетом
ip inspect name INSPECT_OUT dns
ip inspect name INSPECT_OUT icmp
ip inspect name INSPECT_OUT ntp
ip inspect name INSPECT_OUT tcp router-traffic
ip inspect name INSPECT_OUT udp router-traffic
ip inspect name INSPECT_OUT icmp router-traffic
Настраиваем порт в Интернет и вешаем на него некоторую защиту
interface FastEthernet0/0
description === Internet ===
ip address ???.???.???.??? 255.255.255.???
ip virtual-reassembly
ip verify unicast reverse-path
no ip redirects
no ip directed-broadcast
no ip proxy-arp
no cdp enable
ip inspect INSPECT_OUT out
ip access-group FIREWALL in
Ну и напоследок шлюз по умолчанию
ip route 0.0.0.0 0.0.0.0 ???.???.???.???
Настройка NAT
На Интернет интерфейсе
interface FastEthernet0/0
ip nat outside
На локальном интерфейсе
interface Vlan1
ip nat inside
Создаем список IP имеющих доступ к NAT
ip access-list extended NAT
permit ip host 192.168.???.??? any
Включаем NAT на внешнем интерфейсе
ip nat inside source list NAT interface FastEthernet0/0 overload
Добавляем инспекцию популярных протоколов
ip inspect name INSPECT_OUT http
ip inspect name INSPECT_OUT https
ip inspect name INSPECT_OUT ftp
Отключение ненужных сервисов
No service tcp-small-servers
no service udp-small-servers
no service finger
no service config
no service pad
no ip finger
no ip source-route
no ip http server
no ip http secure-server
no ip bootp server
UPD. Убрал лишнее по советам хаброюзеров
UPD2. Добавил отключение ненужных сервисов
UPD3. Изменил настройка файрвола (спасибо
Очень часто у новичков возникает вопрос:
«Что нужно настроить на Cisco Catalyst с нуля?»
«Скачать дефолтовый конфиг для Cisco Catalyst»
«catalyst 2960 2950 3560 ip адрес по умолчанию»
«как настроить cisco catalyst «
Попробую немного помочь этим людям
- Дефолтовых конфигов не бывает, т.к. у каждого своя сеть и свои «правила»
- Нету у Cisco IP-адреса по умолчанию (это же не Dlink), все настраивается ручками и сначала через консоль.
Итак, попробуем разобраться в том, что желательно настроить на нулевом Cisco Catalyst ?
Например, часто встречающиеся:
- Cisco Catalyst 2950
- Cisco Catalyst 2960
- Cisco Catalyst 3550
- Cisco Catalyst 3560
- Cisco Catalyst 3560G
Я использовал Cisco Catalyst 3560G
0. Подключаемся к cisco по консольному кабелю через com порт:
FreeBSD через com порт:
cu -l /dev/cuad0
FreeBSD через переходник USB->Com:
- kldload uplcom.ko
- kldstat | grep uplcom (убедиться что подгрузился)
- подключить переходник к USB порту
- cu -l /dev/cuaU0
в Windows можно использовать Hiper Terminal для подключения к com порту
1. Зададим пароль на enable режим
Switch> enable
Switch# configure terminal
Switch(config)# enable password my-secret-password
2. Установим пароль для входа по telnet
Switch(config)# line vty 0 15
Switch(config-line)#password my-telnet-password
3. Сразу разрешим вход по telnet
Switch(config-line)# login
Switch(config)# exit
4. Зашифруем пароли, чтобы по sh run они не показывались в открытом виде
Switch(config)# service password-encryption
5. Зададим имя девайсу, например будет c3560G
Switch(config)# hostname c3560G
6. повесим / присвоим IP-адрес нашему девайсу
c3560G(config)# interface vlan 1
c3560G(config-if)# ip address 192.168.1.2 255.255.255.0
c3560G(config-if)# exit
7. Если вы ошибетесь при наборе чего либо в консоле, то циска начнет пытаться это отрезолвить, чем заставляет вас ждать, выключим эту фичу
c3560G(config)# no ip domain-lookup
8. Зададим имя домена
c3560G(config)# ip domain-name my-domain.ru
9. Зададим IP-адрес DNS сервера
c3560G(config)# ip name-server 192.168.1.15
10. Зададим время
если у вас есть доступный NTP сервер
c3560G(config)# ntp server 192.168.1.1 version 2 source vlan 1
c3560G(config)# ntp clock-period 36029056
c3560G(config)# ntp max-associations 1
где 192.168.1.1 - это IP-адрес NTP сервера
а используя «добавку» source vlan вы можете четко задать номер vlan с IP которого будет отправляться NTP запрос
если нет NTP сервера, то можно задать время вручную, но для этого придется выйти из режима конфигурирования
c3560G(config)# exit
c3560G# clock set 20:00:50 23 Aug 2008
11. Зададим переход с зимнего на летнее время и наоборот
c3560G# configure terminal
c3560G(config)# clock timezone MSK 3
c3560G(config)# clock summer-time MSD recurring last Sun Mar 2:00 last Sun Oct 2:00
12. Сделаем так, чтобы по команде show logging отображалось нормальное время, а не кол-во дней и т.п.
c3560G(config)# service timestamps log datetime localtime
13. Зададим дефолтовые настройки сразу всем портам на девайсе (у меня catalyst 24 порта + 4 SFP)
C3560G(config)# vlan 999
c3560G(config-vlan)# name unused_ports
c3560G(config-vlan)# shutdown
c3560G(config-vlan)# exit
c3560G(config)# interface range gi 0/1 - 28
c3560G(config-if-range)# description not_used
c3560G(config-if-range)# shutdown
c3560G(config-if-range)# no cdp enable
c3560G(config-if-range)# switchport nonegotiate
c3560G(config-if-range)# switchport access vlan 999
c3560G(config-if-range)# switchport mode access
c3560G(config-if-range)# exit
14. Выключим web-интерфейс, командная строка рулит
c3560G(config)# no ip http server
15. Зададим gateway по умолчанию (допустим это будет 192.168.1.1, т.к. мы присвоили девайсу IP 192.168.1.2/255.255.255.0)
c3560G(config)# ip default-gateway 192.168.1.1
16. Если этот свич будет моддерживать маршрутизацию (будет router`ом), то включим функцию маршрутизации (если это позволяет сам девайс и его прошивка)
3560G прекрасно справляется с функцией маршрутизации
c3560G(config)# ip routing
c3560G(config)# ip classless
c3560G(config)# ip subnet-zero
17. Если вы выолнили пункт 16-ть, то снова необходимо задать gateway по умолчанию, но уже другой командой
c3560G(config)# ip route 0.0.0.0 0.0.0.0 192.168.1.1
18. Настроим access-list для доступа к свичу только с определенных IP-адресов
c3560G(config)# ip access-list standard TELNET
c3560G(config-std-nacl)# permit 192.168.1.1
c3560G(config-std-nacl)# permit 192.168.1.15
c3560G(config-std-nacl)# exit
19. Применим этот access-list
c3560G(config)# line vty 0 15
c3560G(config-line)# access-class TELNET in
20. Зададим timeout неактивности telnet сессии, по истечении указанного времени, если вы в консольке ничего не вводили, то telnet соединение будет автоматически закрываться
c3560G(config-line)# exec-timeout 5 0
c3560G(config-line)# exit
21. Включим SNMP, но только read only (RO) и доступность только с хоста 192.168.1.1
c3560G(config)# snmp-server community RO-MY-COMPANY-NAME RO
c3560G(config)# snmp-server trap-source Vlan1
c3560G(config)# snmp-server source-interface informs Vlan1
c3560G(config)# snmp-server location SWITCH-LOCATION
c3560G(config)# snmp-server contact [email protected]
c3560G(config)# snmp-server host 192.168.1.1 RO-MY-COMPANY-NAME
c3560G(config)# exit
22. Ну и наконец сохраним свои труды
c3560G# copy running-config startup-config
или можно проще и короче
c3560G# wri
Море документации по catalyst`ам, и не только по ним, вы можете найти, ессно, на сайте производителя: www.cisco.com
OSPF (Open Shortest Path First)router ospf (запуск процесса ospf)
Режим:
Router(config)#
Синтаксис:
router ospf process-id
|| no router ospf process-id
Описание:
process-id: Номер процесса OSPF. (любое число > 0) (можно запустить несколько процессов)
Пример:
Router(config)# router ospf 1
network area
Режим:
Router(config-router)#
Синтаксис:
network address wildcard-mask
area area-id
|| no network address wildcard-mask
area area-id
Описание:
address wildcard-mask: Адрес и wild-card маска сети, которая будет учавствовать в OSPF маршрутизации. (также определяет интерфейс на котором будет запущен OSPF)
Пример:
Router(config-router)# network 10.0.0.0 0.0.0.255 area 1
ip ospf cost
Режим:
Router(config-if)#
Синтаксис:
ip ospf cost cost
|| no ip ospf cost
Описание:
cost: Стоимость (метрика) маршрута (для данного интерфейса) для OSPF маршрутизации. (от 1 до 65535). При отсутствии данной команды стоимость (метрика) для данного интерфейса расчитываеться исходя из его пропускной способности. (см команду bandwidth)
Пример:
Router(config-if)# ip ospf cost 100
ip ospf priority
Режим:
Router(config-if)#
Синтаксис:
ip ospf priority number
|| no ip ospf priority
Описание:
number: Приоритет маршрутизатора. (от 1 до 65535). Приоритет используется при выборе выделенного (designated) маршрутизатора. Чем выше приоритет, тем больше шансов, что этот маршрутизатор станет выделенным.
Пример:
Router(config-if)#ip ospf priority 15
area
Режим:
Router(config-router)#
Синтаксис:
area area-id {
authentication
stub
nssa
default-cost cost
range address mask
virtual-link router-id
}
Описание:
- area-id: для какой зоны будут дальнейшие настройки.
- authentication Указание того, что для данной зоны включена авторизация. (см. команду ip ospf authentication-key)
- Если указан параметр message-digest то будет использоваться авторизация по MD5 ключу. (см. команду ip ospf message-digest-key)
- stub указывает, что данная зона являеться тупиковой. В нее не отправляються обновления о изменениях состояния каналов, а отправляются только суммированые данные. При указании параметра no-summary не отправляються и суммированые данные (LSA тип 3).
- nssa Cisco как обычно вставила свои 5-копеек в протокол OSPF. :-). NSSA = not-so-stubby area. Не совсем тупиковая зона. (О как!) То же что и stub, но при этом маршрутизатор будет импортировать внешние маршруты.
- Опция default-information-originate - говорить всем что маршрут 0.0.0.0 - через меня.
- default-cost cost Указывает стоимость (метрику) суммарного маршрута по умолчанию отправляемого в тупиковую зону.
- range address mask используеться для указания сумманого адреса и маски на границе зоны.
- virtual-link router-id Если маршрутизатор не имеет прямой связи с зоной 0 (требование протокола OSPF), но имеет соединение с (например) с зоной 1, то зона 1 обьявляеться как "транзитная" (виртуальная).
Пример:
Router(config-router)# area 0 authentication message-digest
ip ospf authentication-key
Режим:
Router(config-if)#
Синтаксис:
ip ospf authentication-key password
|| no ip ospf authentication-key
Описание:
password: Пароль для авторизации пакетов от соседнего маршрутизатора на котором настроена авторизация аналогичным образом.(до 8 символов). Для включения авторизации необходимо явно указать это (для конкретной зоны) с помощью команды area authentication
Пример:
Router(config-if)# ip ospf authentication-key thispwd
ip ospf message-digest-key
Режим:
Router(config-if)#
Синтаксис:
ip ospf message-digest-key key-id
md5 key
|| no ip ospf message-digest-key key-id
Описание:
Команда используеться для установки авторизационных параметров по алгоритму MD5. key-id: Номер ключа. (от 1 до 255). key: Пароль (буквенно-циферный). (до 16 символов). key-id и key ДОЛЖНЫ совпадать на соседних маршрутизаторах. Для включения авторизации необходимо явно указать это (для конкретной зоны) с помощью команды area authentication
Пример:
Router(config)# interface ethernet 0/1
Router(config-if)# ip ospf message-digest-key 1 md5 coolpwd1
ip ospf network
Режим:
Router(config-if)#
Синтаксис:
ip ospf network {
broadcast
non-broadcast {
point-to-multipoint
}
} || no ip ospf network
Описание:
Команда указывает протоколу OSPF к камому типу сети подключен данный интерфейс.
Пример:
Router(config-if)# ip ospf network non-broadcast
router-id
Режим:
Router(config-router)#
Синтаксис:
router-id ip-address
|| no router-id ip-address
Описание:
Команда необходима для явного указания ID маршрутизатора. (Иначе ID будет присвоен автоматически.) ID разных маршрутизаторов не должны совпадать!
Пример:
Router(config-router)# router-id 10.0.0.1