Блог сисадмина » Cisco

Port mirroring в Cisco Catalyst

Admin — Mon, 14 Sep 2009 07:47:17 +0000

Есть задача: проанализировать трафик для определенного сетевого устройства. При этом доступа на это устройство у нас нет, либо анализ сильно затруднен даже если такой доступ есть. Зато если имеется доступ на коммутатор, к которому это устройство подключено, то можно организовать зеркалирование (mirroring) трафика с порта, куда включено исследуемое устройство, на другой порт, куда мы можем подключить, к примеру, ноутбук с анализатором трафика (сниффером) таким как tcpdump или wireshark. Пусть, для примера, анализируемое устройство подключено к 1-му порту коммутатора, а наш ноутбук – во 2-ой порт:

Switch>configure terminal
Switch(config)#monitor session 1 source interface Fa0/1
Switch(config)#monitor session 1 destination interface Fa0/2
Switch(config)#^Z

В результате весь трафик с 1-го порта можно будет увидеть на 2-ом порту, как будто у нас не коммутатор, а старый добрый хаб (концентратор).

Похожие заметки:

И снова о кошках: SDM templates Иногда встречаются ситуации, когда L3-коммутатор маршрутизирует трафик намного медленее, чем от него ожидается. В таких случаях нужно проверить правильность установки...
Cisco ACL К, примеру, стоит задача заблокировать отправку почты по протоколу SMTP для пользователя с затрояненной машинкой, которая рассылает спам. Создаем расширенный...
Быстрая массовая правка конфигураций нескольких подинтерфейсов Пусть имеем маршрутизатор с множеством логических интерфейсов, для каждого из которых нужно добавить/заменить один и тот же фрагмент в конфиге,...

Быстрая массовая правка конфигураций нескольких подинтерфейсов

Admin — Fri, 24 Apr 2009 07:53:21 +0000

Пусть имеем маршрутизатор с множеством логических интерфейсов, для каждого из которых нужно добавить/заменить один и тот же фрагмент в конфиге, например добавить строку «shutdown». Сделать это можно с помощью старого доброго sed.

Пример конфига:

$ cat conf.txt
interface FastEthernet0/1.302
description Client1
encapsulation dot1Q 302
ip address 10.10.10.141 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.304
description Client2
encapsulation dot1Q 304
ip address 10.10.10.241 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.313
description Client3
encapsulation dot1Q 313
ip address 10.10.10.33 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.314
description Client4
encapsulation dot1Q 314
ip address 10.10.20.229 255.255.255.252
ip verify unicast source reachable-via rx
shutdown

После команды

$ cat conf.txt | sed -r "s/(interface.*)$/\1\n shutdown/" > conf_new.txt

получаем тот же конфиг, но с уже добавленным «shutdown» для каждого подинтерфейса:

$ cat conf_new.txt
interface FastEthernet0/1.302
shutdown
description Client1
encapsulation dot1Q 302
ip address 10.10.10.141 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.304
shutdown
description Client2
encapsulation dot1Q 304
ip address 10.10.10.241 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.313
shutdown
description Client3
encapsulation dot1Q 313
ip address 10.10.10.33 255.255.255.252
ip verify unicast source reachable-via rx
!
interface FastEthernet0/1.314
shutdown
description Client4
encapsulation dot1Q 314
ip address 10.10.20.229 255.255.255.252
ip verify unicast source reachable-via rx
shutdown

Да, у FastEthernet0/1.314 получилось два shutdown-а, но это не страшно, ведь маслом кашу не испортишь :).

Похожие заметки:

Cisco ACL К, примеру, стоит задача заблокировать отправку почты по протоколу SMTP для пользователя с затрояненной машинкой, которая рассылает спам. Создаем расширенный...
Port mirroring в Cisco Catalyst Есть задача: проанализировать трафик для определенного сетевого устройства. При этом доступа на это устройство у нас нет, либо анализ сильно...
И снова о кошках: SDM templates Иногда встречаются ситуации, когда L3-коммутатор маршрутизирует трафик намного медленее, чем от него ожидается. В таких случаях нужно проверить правильность установки...

И снова о кошках: SDM templates

Admin — Thu, 16 Apr 2009 13:15:46 +0000

Иногда встречаются ситуации, когда L3-коммутатор маршрутизирует трафик намного медленее, чем от него ожидается. В таких случаях нужно проверить правильность установки профиля выделения ресурсов, который известен как Switch Database Management template. Эти профили управляют приоретностью выделения системных ресурсов с целью оптимизации поддержки следующих возможностей:

маршрутизация (Routing) — максимизация выделения ресурсов для выполнения функций маршрутизации;
VLANs — отключение маршрутизации и максимизация количества доступных MAC-адресов (обычно требуется, если коммутатор работает исключительно как L2-коммутатор).
Default — баланс между первыми двумя функциями

Профиль устанавливается следующей командой:
sdm prefer {default | routing | vlan}

Примеры реакции некоторых коммутаторов на команду «sh sdm prefer«.

Cisco Catalyst 3560G:
switch#sh sdm prefer The current template is "desktop routing" template. The selected template optimizes the resources in the switch to support this level of features for 8 routed interfaces and 1024 VLANs.

number of unicast mac addresses: 3K number of IPv4 IGMP groups + multicast routes: 1K number of IPv4 unicast routes: 11K number of directly-connected IPv4 hosts: 3K number of indirect IPv4 routes: 8K number of IPv4 policy based routing aces: 0.5K number of IPv4/MAC qos aces: 0.75K number of IPv4/MAC security aces: 1K

Cisco Catalyst 2970:
switch#show sdm prefer The current template is "desktop default" template. The selected template optimizes the resources in the switch to support this level of features for 8 routed interfaces and 1024 VLANs.

number of unicast mac addresses: 8K number of IPv4 IGMP groups: 1K number of IPv4/MAC qos aces: 0.5K number of IPv4/MAC security aces: 1K

Подробнее можно почитать тут:

http://www.cisco.com/en/US/docs/switches/lan/catalyst3560/software/release/12.1_19_ea1/configuration/guide/swsdm.html

Похожие заметки:

Port mirroring в Cisco Catalyst Есть задача: проанализировать трафик для определенного сетевого устройства. При этом доступа на это устройство у нас нет, либо анализ сильно...
Быстрая массовая правка конфигураций нескольких подинтерфейсов Пусть имеем маршрутизатор с множеством логических интерфейсов, для каждого из которых нужно добавить/заменить один и тот же фрагмент в конфиге,...
Файловая система proc В OS Linux имеется псевдофайловая система /proc, в которой содержится много полезной информации и помощью которой можно управлять некоторыми параметрами...

Cisco ACL

Admin — Mon, 09 Feb 2009 13:01:43 +0000

К, примеру, стоит задача заблокировать отправку почты по протоколу SMTP для пользователя с затрояненной машинкой, которая рассылает спам. Создаем расширенный список доступа:

ip access-list extended spamblock deny tcp any any eq smtp permit ip any any

Вешаем созданный список доступа на нужный интерфейс:

interface Fa0/0.x ip access-group spamblock in

Другой пример – разрешаем трафик только для двух заданных хостов (10.10.10.1 и 10.10.10.254) + icmp-трафик для сети 172.16.0.0/19, все остальное запрещаем:

ip access-list extended client1_in_rules
  permit ip host 10.10.10.1 any
  permit ip host 10.10.10.254 any
  permit icmp 172.16.0.0 0.0.31.255 any
  deny ip any any
ip access-list extended client1_out_rules
  permit ip any host 10.10.10.1
  permit ip any host 10.10.10.254
  permit icmp any 172.16.0.0 0.0.31.255
  deny ip any any

interface FastEthernet0/0.77
  description client1
  encapsulation dot1Q 77
  ip address 10.10.10.7 255.255.255.0
  ip access-group client1_out_rules in
  ip access-group client1_in_rules out
  no cdp enable
!

Следует учитывать, что здесь в именах ACL-ей слова «in» и «out» используются с точки зрения клиента, а ключевые слова «in» и «out» в конце выражений «ip access-group» используются с точки зрения маршрутизатора. Т.е. что для клиента входящий трафик, то для клиентского подинтерфейса роутера – исходящий и наоборот.

Похожие заметки:

Port mirroring в Cisco Catalyst Есть задача: проанализировать трафик для определенного сетевого устройства. При этом доступа на это устройство у нас нет, либо анализ сильно...
Быстрая массовая правка конфигураций нескольких подинтерфейсов Пусть имеем маршрутизатор с множеством логических интерфейсов, для каждого из которых нужно добавить/заменить один и тот же фрагмент в конфиге,...
Раздаем права в samba по IP-адресу Представим ситуацию: есть samba-пользователь vasya, который ходит на samba-сервер с компьютеров с IP-адресами 172.16.0.7 и 172.16.0.13, и нужно сделать так,...