Procédure pour la mise en production d un nouveau Switch

Transcription

1 Procédure pour la mise en production d un nouveau Switch 1. Mise en place d un serveur TFTP sur la machine Debian 7. Installation du serveur tftpd-hpa TFTP Rentrer la commande apt-get suivante en utilisateur root: $ sudo apt-get install tftpd-hpa Ou # apt-get install tftpd-hpa Configuration Editer /etc/default/tftpd-hpa, lancer : # nano /etc/default/tftpd-hpa Configuration de base : TFTP_USERNAME="tftp" TFTP_DIRECTORY="/srv/tftp" TFTP_ADDRESS=" :69" TFTP_OPTIONS="--secure" Comment Démarrer/Stoper/Redémarrer le serveur tftpd-hpa? Taper les commandes suivantes : 1

2 service tftpd-hpa status service tftpd-hpa stop service tftpd-hpa start service tftpd-hpa restart service tftpd-hpa force-reload Vous pouvez créer la structure suivante pour différents OS ou firmwares: # cd /srv/tftp # mkdir {openbsd,freebsd,netbsd} # mkdir -p linux/{debian,ubuntu,rhel,centos,fedora,suse} # mkdir -p firmwares/{linksys,cisco,soekris,pata,sata,ipmi,nic} # ls -l # ls -l linux/ # ls -l firmwares/ Comment je test mon serveur tftp? Vous devez installer le client tftp nommé tftp. C est l interface pour l utilisateur de TFTP sur internet, qui permet aux utilisateurs de transférer des fichiers à partir de/vers une machine distante. L hôte distant peut être spécifié dans le terminal de commande, dans ce cas, Tftp utilise l hôte comme hôte par défaut. 2. Sauvegarde et restauration de la config Cisco Connectez-vous en SSH sur votre switch Cisco. Introduisez le mot de passe et passez en mode enable. Pour sauvegarder votre config sur votre serveur TFTP, c est à dire copier la runningconfig du switch dans le répertoire /tftp de votre serveur TFTP sur votre PC Debian, il suffit d introduire la commande suivante au prompt de votre switch: SW1.1#copy system:running-config tftp Address or name of remote host []? Destination filename [sw1.1-confg]? Cette commande demande à l IOS du switch de copier la config du switch vers le serveur TFTP qui se trouve à l adresse (c est l adresse de votre PC sur lequel vous avez installé le serveur TFTP) et de lui donner le nom de fichier sw1.1-confg. Il est évident que vous donnez le nom que vous voulez à ce fichier. Le switch vous demandera de confirmer l adresse et le nom de fichier et une fois la commande exécutée, vous retrouverez le fichier sw1.1-confg dans le répertoire /tftp de votre PC. Pour restaurer une configuration c est à dire envoyer vers le switch la config qui se trouve dans un fichier dans le répertoire /tftp de votre PC, introduisez ceci dans le Cisco: SW1.1#copy tftp:// /sw1.1-confg system:running-config 2

3 Installer le client trivial file transfer protocol (tftp) Tapez la commande suivante : $ sudo apt-get install tftp OR # apt-get install tftp 3. Configuration du switch Cisco Configuration du nom du switch, du domaine DNS, puis enregistrement de la configuration. Dans l'exemple, le nom du switch est : SW1.1 et le domaine est mondomaine.local. Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)# Switch(config)#hostname SW1.1 SW1.1 (config)#ip domain-name mondomaine.local SW1.1 (config)#end SW1.1 #wr Building configuration... [OK] SW1.1 # Adressage IP du switch: L'adressage IP du switch va nous servir à superviser celui ci à distance. Un vlan dédié au management du switch est configuré (dans l'exemple: vlan19). L'adresse IP sera donc associée au vlan 19. La configuration IP choisie est: Adresse IP : Masque de sous-réseau : Passerelle par défaut : SW1.1 (config)#vlan 19 SW1.1 (config-vlan)#exit SW1.1 (config)#interface vlan19 SW1.1 (config-if)#ip address

4 SW1.1 (config-if)#ex SW1.1 (config)#ip default-gateway Vérification de la configuration du vlan d'administration SW1.1 #sh run int vlan19 Building configuration... Current configuration : 64 bytes! interface Vlan2 ip address end SW1.1 # Suppression de l'adresse IP et de la passerelle par défaut Si vous souhaitez supprimer l adresse IP et la passerelle par défaut voici comment procéder : SW1.1 (config)#interface vlan19 SW1.1 (config-if)#no ip address SW1.1 (config-if)#ex SW1.1 (config)#no ip default-gateway Ajout de mot de passe pour l'authentification La connexion au switch s'effectue par le port console en utilisant la ligne associée à ce port ou bien à distance en utilisant les lignes virtuelles (appelées VTY). Par défaut, il n'y a pas de compte créé pour l'authentification. Il faut créer au minimum un mot de passe pour l'accès aux différents terminaux (console et virtuel) et un mot de passe pour l'accès au mode privilégié (enable). Le mode d'administration par défaut est telnet. Par défaut, les mots de passe apparaissent en clair lors de l'affichage du fichier de configuration. Nous allons donc tout d'abord activer le service encryption-password, les mots de passe apparaitront alors chiffrés lorsque les commandes d'affichage de la configuration sont entrées. Activation du service password-encryption Switch(config)#service password-encryption 4

5 Création des mots de passe et configuration de la console et des lignes virtuelles. Un mot de passe est créé pour se loguer au différentes lignes. SW1.1 (config)#enable secret SW1.1 (config)#line con 0 SW1.1 (config-line)#password P@55w0rd SW1.1 (config-line)#login SW1.1 (config-line)#exit SW1.1 (config)#line vty 0 15 SW1.1 (config-line)#password P@55w0rd SW1.1 (config-line)#login SW1.1 (config-line)#end SW1.1 # Il y a maintenant un mot de passe à saisir pour l'accès au switch et un mot de passe à saisir pour l'accès au mode avec privilège. User Access Verification Password: SW1.1 >en Password: SW1.1 # Configuration et affichage de l'heure switch#clock set 11:11:00 10 september 2014 switch# switch#show clock 11:11: UTC Wed Sep switch# Configurer une bannière indiquant que l'accès non autorisé est interdit Un message apparaissant dès que l'on tente un accès Telnet ou SSH. Pour cela il suffit d utiliser la commande suivante : SW1.1(config)#banner motd # Enter TEXT message. End with the character '#' Attention, vous vous connectez sur un dispositif réseau appartenant au Lycee Savary de Mauleon, toutes tentatives d'acces frauduleuses seront enregistrees# 5

6 Activation / désactivation des interfaces d'administration web Les commandes suivantes activent puis désactivent l'administration web non sécurisée et sécurisée. Ici nous activerons http secure-server, désactiverons http server et snmp server. SW1.1 (config)#ip http secure-server SW1.1 (config)#no ip http server SW1.1 (config)#no snmp-server Configuration du protocole ssh pour le switch Vérification de la prise en compte du protocole ssh par l'ios Tout d'abord, il faut vérifier que l'ios du switch supporte ssh. La mention k9 (crypto) doit figurer dans le nom de l'ios. La commande pour vérifier la version de l'ios est: SW1.1#Show version Cisco IOS Software, C2960 Software (C2960-LANBASEK9-M), Version 12.2(50)SE5, RELEASE SOFTWARE (fc1) Technical Support: Copyright (c) by Cisco Systems, Inc. Compiled Tue 28-Sep-10 13:44 by prod_rel_team Création de la clé SW1.1(config)#crypto key generate rsa general-keys modulus 1024 The name for the keys will be: SW1.1.mondomaine.fr % The key modulus size is 1024 bits % Generating 1024 bit RSA keys, keys will be non-exportable...[ok] Activation de ssh SW1.1(config)#ip ssh version 2 Options ajoutées au service ssh - les évènements associés aux connexions ssh sont enregistrés. - Un timeout de 60 secondes est ajouté pour les sessions ssh en cas d'inactivité. - Nous laissons trois essais pour la connexion au switch. SW1.1 (config)#ip ssh logging events SW1.1 (config)#ip ssh time-out 60 SW1.1 (config)#ip ssh authentication-retries 3 6

7 Ajout d'un compte administrateur SW1.1 (config)#username admin secret Désactivation de telnet pour l'accès au switch SW1.1 (config)#line vty 0 15 SW1.1 (config-line)#login local SW1.1 (config-line)#transport input ssh Vérification de la configuration SW1.1 #show ip ssh SSH Enabled - version 2.0 Authentication timeout: 60 secs; Authentication retries: 3 Configuration du service NTP Synchronisons maintenant les informations horaires du switch à un serveur NTP (network time protocol). Nous indiquons dans un premier temps l'adresse IP du serveur NTP, puis on configure le fuseau horaire ainsi que le moment de passer à l'heure d'été (dans l'exemple: pour la France). SW1.1(config)#ntp server 0.fr.pool.ntp.org SW1.1(config)#clock timezone cet 1 SW1.1(config)#clock summer-time cest recurring last Sun Mar 3:00 last Sun Oct 3:00 Quelques commandes de vérification: les associations avec le serveur ntp et l'affichage de la date et de l'heure courante: SW1.1#sh ntp associations SW1.1#sh clock Configuration du service syslog Le pré-requis est d'avoir installé un serveur type syslog (adresse dans l'exemple). Comment installer Syslog sous Debian : L'installation pour Debian est très simple il vous suffit de taper : apt-get install syslog-ng 7

8 Le client syslog-ng s'installe sur une machine où l'on souhaite exporter ses logs. Comme vous l'avez compris les machines concernées sont généralement des serveurs. Grâce à syslogng, vous pouvez définir ce que vous souhaitez exporter et vers quelle machine : Nano /etc/syslog-ng/syslog-ng.conf Pour plus d informations sur les fichiers de configuration vous pouvez consulter cette documentation : Doc Syslog sous Debian. Configuration du niveau d'information demandée: dans l'exemple, on demande le maximum d'information. SW1.1(config)#logging trap? <0-7> Logging severity level alerts Immediate action needed (severity=1) critical Critical conditions (severity=2) debugging Debugging messages (severity=7) emergencies System is unusable (severity=0) errors Error conditions (severity=3) informational Informational messages (severity=6) notifications Normal but significant conditions (severity=5) warnings Warning conditions (severity=4) SW1.1(config)#logging trap debugging SW1.1(config)# A vous de sélectionner quels niveaux souhaitez vous enregistrer dans vos logs. Les activer tous via logging trap debugging risquerait d encombrer vos fichiers logs et d empêcher un bon accès aux informations clés de ceux-ci. Puis on configure l'étiquette associée à chaque message (ici local4) ainsi que l'adresse IP du serveur syslog. SW1.1(config)#logging facility local4 SW1.1(config)#logging Petit bonus Si vous souhaitez lire vos log avec un peux de couleur, je vous conseil d'utiliser CCZE sudo apt-get install ccze Il ne vous reste plus qu'a rediriger le flux de vos log vers ccze tail -f /var/log/today/messages ccze -A 8

9 Voilà! Votre switch Cisco est maintenant configuré et sa configuration sauvegardée sur votre serveur TFTP! 9