תצורת Cisco IOS למתגים ונתבים במפתח מלא

הגדרת Cisco IOS למתגים ונתבים במפתח מלא

אנו מגדירים Cisco IOS לרשתות ארגוניות במפתח מלא: מ-VLAN פשוטים ועד OSPF מלא עם יתירות שער. עם ניסיון של למעלה מ-10 שנים, נתקלנו בעשרות מצבים שבהם הגדרת STP או VTP שגויה הפילה משרדים שלמים. להלן בעיות אופייניות והגישה שלנו לפתרונן.

לאחרונה טיפלנו בתקרית: סערת broadcast עקב היעדר BPDU Guard במתגי גישה שיתקה משרד למשך 3 שעות. מישהו חיבר מתג לא מורשה לפורט, מה שיצר לולאה. לאחר מכן, יישמנו Rapid PVST+ עם PortFast ו-BPDU Guard על כל פורטי הגישה. הבעיה נפתרה, הרשת הפכה ליציבה. צרו קשר לבדיקת אודיט — נבדוק נקודות תורפה תוך יומיים.

כיצד להגדיר STP ללא סיכון של סערת broadcast?

Spanning Tree Protocol הוא מקור לחצי מהתקרית ברשתות מתגים. STP שהוגדר לא נכון או היעדרו מוביל לסערת broadcast שמפילה את הרשת תוך שניות. אנו משתמשים ב-Rapid PVST+ כסטנדרט.

שיטות עבודה מומלצות בסיסיות למתגי שכבת גישה:

! Включаем Rapid PVST+ (быстрее STP, лучше 802.1w)
spanning-tree mode rapid-pvst
!
! Root bridge должен быть distribution/core коммутатором
spanning-tree vlan 1-4094 priority 4096 ! на core switch
spanning-tree vlan 1-4094 priority 8192 ! на distribution (резерв)
!
! PortFast на портах конечных устройств (не trunk!)
interface range GigabitEthernet1/0/1-24
 spanning-tree portfast
 spanning-tree bpduguard enable
!
! bpduguard переводит порт в err-disabled если получен BPDU
! — защита от подключения неавторизованного коммутатора

! Включаем Rapid PVST+ (быстрее STP, лучше 802.1w) spanning-tree mode rapid-pvst ! Root bridge должен быть distribution/core коммутатором spanning-tree vlan 1-4094 priority 4096 ! на core switch spanning-tree vlan 1-4094 priority 8192 ! на distribution (резерв) ! PortFast на портах конечных устройств (не trunk!) interface range GigabitEthernet1/0/1-24 spanning-tree portfast spanning-tree bpduguard enable ! bpduguard переводит порт в err-disabled если получен BPDU ! — защита от подключения неавторизованного коммутатора + bpduguard הוא זוג חובה. PortFast ללא bpduguard יוצר אפשרות ללולאה אם מישהו מחבר מתג לפורט.

עבור פורטי trunk ופורטי uplink — portfast מגן מפני התקפות שמשנות את גשר השורש:

interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,100
 spanning-tree guard root

למה עדיף להשבית VTP בסביבת production?

VTP נוח, אבל בסביבת production הוא הופך לסיכון. מספר גרסת VTP: אם מתג משומש עם מספר גרסה גבוה מחובר לרשת, הוא דורס את מסד הנתונים של VLAN על כל לקוחות VTP. זה מוחק את הגדרות ה-VLAN של כל הרשת. תקרית אמיתיות עם תרחיש זה מתועדות.

! Отключаем VTP на всех коммутаторах
vtp mode transparent
! или vtp mode off
! IOS-XE 15.2+
! VLAN создаём вручную на каждом коммутаторе
vlan 10
 name Users
vlan 20
 name Servers
vlan 30
 name Management
vlan 100
 name Native-Trunk

ה-VLAN המקורי בפורטי trunk צריך להיות VLAN שאינו בשימוש (לא VLAN 1). VLAN 1 הוא ברירת המחדל עבור STP BPDU ו-CDP/LLDP, ואם ה-VLAN המקורי תואם ל-VLAN של משתמש, אפשרית קפיצת VLAN.

בחירה בין Router-on-a-Stick למתג L3

שתי גישות לניתוב בין VLAN. Router-on-a-Stick משתמש בתת-ממשקים על נתב, הגיוני כאשר קיים נתב נפרד. מתג L3 עם SVI הוא בעל ביצועים גבוהים יותר מכיוון שהמיתוג נעשה בחומרה.

! L3 Switch: SVI конфигурация
ip routing
! включаем маршрутизацию
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 ip helper-address 192.168.30.5
! DHCP relay
 no shutdown
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
 no shutdown
! ACL между VLAN
ip access-list extended VLAN20-to-VLAN10
 permit tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 5432
 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
 permit ip any any
interface Vlan20
 ip access-group VLAN20-to-VLAN10 in

עבור יתירות שער, אנו מגדירים HSRP או VRRP — בלעדיהם, אם מתג L3 הראשי נופל, כל הפלח מאבד ניתוב.

interface Vlan10 standby 1 ip 192.168.10.1 standby 1 priority 110 standby 1 preempt no shutdown 

כיצד להגדיר OSPF לרשת מרובת אתרים?

לניתוב דינמי בין מספר משרדים, אנו משתמשים ב-OSPF area 0 עבור עמוד השדרה ואזורי ילדים עבור אתרים מרוחקים. הוראות שלב אחר שלב:

1. הקצאת router-id ידנית על כל נתב.
2. הגדרת passive-interface default כדי למנוע פרסום OSPF על פורטי לקוח.
3. הגדרת אזורים שאינם backbone כ-stub או NSSA להקטנת טבלאות הניתוב.
4. הפעלת אימות message-digest על כל ממשקי OSPF.

דוגמה להגדרה:

router ospf 1
 router-id 10.0.0.1
 passive-interface default
 no passive-interface GigabitEthernet0/1
 network 192.168.10.0 0.0.0.255 area 0
 network 10.0.0.0 0.0.0.255 area 0
 area 10 stub
 interface GigabitEthernet0/1
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 <password>

ניטור באמצעות SNMP ו-NetFlow

snmp-server group MONITORING v3 priv
snmp-server user prometheus MONITORING v3 auth sha AuthPass priv aes 128 PrivPass
ip flow-export version 9
ip flow-export destination 192.168.30.10 9995
interface GigabitEthernet0/0
 ip flow ingress
 ip flow egress

אנו מפנים נתוני NetFlow ל-ntopng, pmacct או Elastic Stack כדי לבנות קו בסיס תעבורה ולזהות חריגות.

מה כלול בעבודה

• אודיט של ההגדרה והטופולוגיה הנוכחית
• תכנון (VLAN, STP, ניתוב, ACL, QoS)
• הגדרת ציוד (מתגים, נתבים)
• בדיקות כשל (HSRP, port-security)
• תיעוד (דיאגרמת רשת, תיאור ACL, פרמטרי ניטור)
• הדרכת צוות על תפעול בסיסי
• 30 ימי תמיכה לאחר מסירה

קבלו ייעוץ מומחה להגדרת Cisco IOS — המהנדסים שלנו עם הסמכת CCNP וניסיון של 5+ שנים מוכנים לקחת על עצמם פרויקטים בכל מורכבות.

טעויות הגדרה נפוצות

שמירת הגדרות היא אובדן קלאסי. spanning-tree guard root או interface GigabitEthernet1/0/48 switchport mode trunk switchport trunk allowed vlan 10,20,30,100 spanning-tree guard root — חובה לאחר כל שינוי. ללא שמירה, הכל אבוד לאחר אתחול.

כתובות IP כפולות על ממשקים של שני התקנים באותו פלח גורמות לאובדן מנות לסירוגין, שקשה מאוד לאבחן ללא לכידת מנות. ! Отключаем VTP на всех коммутаторах vtp mode transparent ! или vtp mode off ! IOS-XE 15.2+ ! VLAN создаём вручную на каждом коммутаторе vlan 10 name Users vlan 20 name Servers vlan 30 name Management vlan 100 name Native-Trunk + ! L3 Switch: SVI конфигурация ip routing ! включаем маршрутизацию interface Vlan10 ip address 192.168.10.1 255.255.255.0 ip helper-address 192.168.30.5 ! DHCP relay no shutdown interface Vlan20 ip address 192.168.20.1 255.255.255.0 no shutdown ! ACL между VLAN ip access-list extended VLAN20-to-VLAN10 permit tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 5432 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 permit ip any any interface Vlan20 ip access-group VLAN20-to-VLAN10 in עוזר לזהות את הקונפליקט.