Mal for konfigurasjon av svitsjer og rutere EDU 20x

Transkript

1 Mal for konfigurasjon av svitsjer og rutere EDU 20x

2 Agenda Port-Security Spanning-tree portfast bpduguard Spanning-tree root guard Mac address notification DHCP-snooping Dynamic arp inspection IP source guard 802.1x 2 «host-port» konfigurasjon

3 Støtte pr. modell (cisco) IP source guard o o o o o DHCP-snooping /Option 82 o o o o o o o SI opt.82only Dynamic arp inspection o o o o o Port security o o o o o o o o o urpf check o Multilevel account privilege o o o o o STP PortFast BPDU o o o o o o o o o STP Root Guard o o o o o o o o o Mac address notification o o o o o o o o o 3 hw-based ipv4 multicast o o o ikke PIM ikke PIM o o o o hw-based ipv6 multicast o SSM o o o PIM-sparse o o o o o PIM-snooping o IGMP v1/v2 o o o o o o o o o IGMP v3 o o o o o o o o o

4 Port-Security Styrer antall mac-adresser som er tillatt på en port Styrer hvilke maskiner som er tillatt på en bestemt port. Ved skifte av maskin må man inn på svitsjen å resette port-security for porten. Stenger porten hvis den oppdager samme mac-adresse på en annen port.. (Ikke bruk dette mot trådløsbaser) 4

5 Port-Security konfig. Max 3 adresser 60 min timeout pr. adresse Dropper pakker ved flere enn 3 lærte adresser. 5 switchport port-security switchport port-security maximum 3 switchport port-security violation restrict switchport port-security aging time 60

6 Spanning-tree portfast bpduguard Funksjon som forhindrer BPDUpakker over en port satt til portfast. Mottar porten slike pakker settes den til errorsisabled. Dette kan vel være en standard instilling mot alt endeutstyr? 6

7 STP portfast bpduguard konfig. Kan settes globalt eller pr. port Tar opp porten igjen etter 300 sek. 7 spanning-tree portfast bpduguard default spanning-tree bpduguard enable errdisable recovery cause bpduguard errdisable recovery interval 300

8 Spanning-tree root guard Forhindrer at svitsjer eller annen utstyr bak denne porten blir valgt som ny root i spanning-tree Forsiktig med hvor dette settes Kan bare brukes sammen med PVST+, rapid PVST+, eller MSTP. 8

9 STP root guard konfig. Settes pr. interface spanning-tree guard root 9

10 Mac address notification Man kan slå dette på for å sende SNMP-trapp når en ny mac-adresse er lært eller timer ut. Man kan be svitsjen samle opp traps og sende dem i bulk. 10

11 Mac address notification konfig. Interval på 60 sekund Størrelse på 100 innslag 11 snmp-server enable traps mac-notification mac address-table notification mac address-table notification interval 60 mac address-table notification history-size 100 (config-if)# snmp trap mac-notification added

12 DHCP-snooping Filtrerer DHCP-svar fra uautoriserte porter. Bygger en DHCP-snooping tabell Option 82 kan slås på, slik at man kan legge med informasjon om hvilket interface forespørselen kommer fra. Hva skjer hvis man ikke har støtte for dette på alle svitsjer? 12

13 13

14 DHCP-snooping konfig. Setter trust på interface man stoler på. 100 DHCP-pakker pr. sek. Lagrer DHCP-databasen eksternt 14 ip dhcp snooping (config-if)#ip dhcp snooping trust ip dhcp snooping information option ip dhcp snooping verify mac-address (config-if)#ip dhcp snooping limit rate 100 ip dhcp snooping database tftp:// /directory/file

15 Dynamic arp inspection Tillater kun arp trafikk med en mac-ip binding som den finner i DHCPsnooping tabellen. Krever DHCP-snooping påslått, eller statisk satte innslag. Hva skjer hvis svitsjen rebooter? 15

16 Dynamic arp inspection konf. Slås på pr. vlan. Sett trust på trunkporter 16 ip arp inspection vlan 10-12,15 (config-if)#ip arp inspection trust (config-if)#ip arp inspection limit rate 20 burst interval 2

17 IP source guard Tillater kun trafikk med en ip-adresse eller en ip-mac binding som den finner i DHCP-snooping tabellen. Man må ha DHCP-snooping påslått Hva skjer når svitsjen rebooter og DHCP-snooping tabellen slettes Støttes kun på L2 interface 17 ip verify source vlan dhcp-snooping port-security

18 Traffic Storm Control Dropper all broadcast/multicast trafikk som overstiger et gitt nivå. Interval på 1 sekund. Nivå gitt i % % er lik ingen storm-control (config-if)# storm-control broadcast level 70

19 802.1x Når og hvor kan dette være aktuelt å bruke? Hva forhindrer oss fra å ta dette ibruk Støte på nettutstyr Klientstøtte 19

20 802.1x konfig. aaa authentication dot1x default group radius aaa accounting dot1x default start-stop group radius 20 (config-if)#dot1x system-auth-control (config-if)#dot1x port-control auto (config-if)#dot1x timeout reauth-period 900 (config-if)#dot1x guest-vlan vlannummer (config-if)#dot1x reauthentication

21 Standard «host-port» konfig. Hva kan vi ellers tenke oss som kan settes på alle porter mot endeutstyr. Slå av autoforhandlig av trunk Slå på port-fast Slå av CDP Ikke bruk vlan 1 (native vlan) Duplex/speed auto eller fast? shutdown på porter som ikke er ibruk 21

22 Slå av alt man ikke trenger! Slå av de tjenestene man ikke har behov for. http-server bootp finger udp-small-servers, tcp-small-servers VTP

23 Administrasjon Standard oppsett som vi bør ha på alle rutere svitsjer. Lokalt passord, tacacs, radius? Flere tilgangsnivå? ntp, hvilke ntp tjenere bør vi bruke? logging, bruk localtime ikke uptime og eksporter til syslogtjener. Aksessliste på vty? SNMP Telnet eller ssh? tftp les/skriv løsning, sikker, gode rutiner 23

24 Tips og Triks Interface range SmartPort Macro 3. parts SFP Time Domain Reflector (TDR) 24

25 Interface range (config-if)# interface range fastethernet 5/1-5, gigabitethernet 1/1 2 (config-if-range)# switchport mode access (config-if-range)# spanning-tree portfast 25

26 Smart Port macro macro name ledig macro description host-port shutdown description *** Port ikke i bruk *** switchport no ip adresse # Sette sikkerhetsparameter for host port switchport mode access switchport access vlan 999 switchport nonegotiate no cdp enable ntp disable # Slår på sikring av spanning-tree spanning-tree portfast spanning-tree bpdufilter enable spanningtree bpduguard enable spanningtree bpduguard root # Slår på port security switchport port-security switchport port-security maximum 10 switchport port-security aging time 60 switchport port-security aging type 26

27 3. parts SFP 12.2(25)SE Kommando? 27

28 Time Domain Reflector (TDR) 12.2(25)SE Kun på 10/100/1000 kobber porter test cable-diagnostics tdr interface gigabitethernet 0/29 show cable-diagnostics tdr interface gigabitethernet 0/29 28 Interface Speed Local pair Pair length Remote pair Pair status Gi0/30 autopair A 74 +/- 4 meters Pair B Normal Pair B 78 +/- 4 meters Pair A Normal Pair C 77 +/- 4 meters Pair C Short Pair D 76 +/- 4 meters Pair D Short

29 Andre ting? QoS remote console, console log Programvare oppgradering rutine Portnavnsetting NetFlow 29

30 Slutt! 30