* ESIL TP réseau n 3 partie 1 Réseaux *

Transcription

1 Premiers pas chez Cisco Le but de ce TP est de se familiariser avec le matériel réseau en effectuant des commandes de bases permettant de configurer et de sauvegarder la configuration d'un routeur ou d'un switch Cisco. 1 Le matériel du TP Chaque groupe possède : une machine sous Windows 2000 avec un accès root, l'utilitaire hyperterminal et le serveur TFTP solarwinds, un routeur Cisco 2500 possédant 2 interfaces séries et 2 interfaces Ethernet (port AUI) un transceiver AUI - RJ45 un switch Cisco Catalyst 1900 (24 ports 10 RJ45 et 1 port 100 base X) ou Catalyst 2940 ( 8 ports 10/100 RJ45 et 1 port 1000 RJ45) ou un Catalyst 2950 (24 ports 10/100 RJ45). Le TP se base sur les caractéristiques communes à tous ces switchs. La salle possède en plus : un routeur Cisco 2600 ayant 2 interfaces séries et une interface ethernet 10/100 RJ45 un routeur Cisco 1700 ayant 2 interfaces Ethernet RJ45 des câbles croisés et des câbles droits RJ45 un serveur avec notamment un serveur web 2 Le système d'exploitation Cisco Les routeurs, switchs et catalyst Cisco sont classés par gamme comprenant chacune plusieurs modèles. L'IOS, le système d'exploitation, est le même sur l'ensemble des matériels. L'IOS se décline selon plusieurs gammes appelées packages dont les fonctionnalités varient en fonction des capacités du matériel. Les switch fonctionne au niveau 1 et 2, les routeurs au niveau 1,2 et 3, les catalyst sont des switchs (donc niveau 2) ayant des fonctionnalités de routage (niveau 3) plus ou moins réduites selon la gamme. 3 Architecture matériel L'architecture compte 5 composants : Le CPU : de la puissance du CPU dépend la capacité de traitement du matériel. La mémoire flash : sous forme d'une barrette ou d'une carte permet de stocker une ou plusieurs images de l'ios souvent compressées. La ROM : mémoire permanente contenant le code de diagnostique du matériel ainsi que le code de chargement de l'image contenu dans la flash vers la RAM. C'est l'équivalent du BIOS. La RAM : mémoire volatile contenant toutes les informations permettant au matériel de fonctionner (table de routage, table ARP, table de VLANs,...). L'IOS se charge en RAM au démarrage du matériel. La NVRAM : mémoire non volatile, c'est la mémoire de masse, l'espace de stockage de la configuration. Au démarrage le programme de la ROM charge une image de la Flash vers la RAM, la première action de l'ios est de charger la configuration stockée dans la NVRAM vers la RAM. Si on modifie la configuration présente dans la NVRAM en cours de fonctionnement, le matériel ne prendra en compte les modifications qu'au prochain chargement de cette configuration dans la RAM. Si on modifie la configuration présente dans la RAM en cours de fonctionnement, le matériel prendra en compte les modifications instantanément.

2 4 Configuration du matériel Il existe différents moyens de configurer du matériel : Par la porte console (c'est une liaison série avec un terminal) qui donne accès à la CLI (Command Line Interface), une console de commande en ligne. Par Telnet ou SSH pour avoir accès à la CLI à distance (nécessite que le matériel possède une adresse IP). Par TFTP en chargeant une configuration complète (nécessite que le matériel possède une adresse IP). Par l'interface WEB CMS (Cluster Management Suite) lorsqu'elle existe (nécessite que le matériel possède une adresse IP). Par SNMP par une console d'administration SNMP (nécessite généralement que le matériel possède une adresse IP). La configuration initiale se fera donc par la console! 5 Première configuration 5.1 Connexion à la console La connexion se à la console se fait via un terminal série, celui ci peut être un VT100, un TX ou bien un PC en utilisant un port COM et un émulateur de terminal comme hyperterminal. Connectez donc votre PC à votre routeur 2500 via le port Série et lancez Hyperterminal. Dans une liaison série il y a toujours un DTE et un DCE, Le matériel Cisco est un DTE, le port RS232 aussi! On utilise donc un câble série croisée... La synchronisation série dépend du matériel, généralement Cisco utilise une liaison série à 9600 bits/s avec 8 bits de données, pas de bit de parité et 1 comme bit d'arrêt. Il n'y a pas vraiment de connexion mais dès que vous êtes connectés vous verrez sur la console tout ce qu'il se passe sur le routeur. Vous pouvez maintenant démarrer le routeur et voir les différentes étapes du démarrage. Attention : si votre routeur n'a aucune configuration lors de son démarrage il affichera une question à un moment vous proposant d'entrer dans le «dialog configuration», ne jamais répondre yes lors de tout ce TP!!! Ce dialog configuration permet suite à une grande série de questions de configurer automatiquement le routeur, cela n'a aucun intérêt dans notre cas et vous ferez perdre beaucoup de temps. 5.2 Premières commandes Cisco Lorsque le routeur (ou un switch) démarre vous arrivez sur un prompt de la forme : routeur>. Le symbole > vous indique que vous êtes en mode «observateur», c'est à dire que vous avez accès à un nombre limité de commandes vous permettant simplement d'observer l'état du routeur. La commande? vous permet de voir quelles sont les commandes disponibles. Le? peut être utilisé à n'importe quel moment d'une commande pour connaître les options disponibles. Ainsi si vous souhaitez voir la version de l'ios du routeur vous pouvez tapez? pour voir les commandes disponibles, vous repérerez à ce moment la commande show. Pour connaître l'utilisation de cette commande vous pouvez taper «show?», vous aurez les différentes options possibles dont «show version». La complétude automatique existe lorsqu'il n'y a pas d'ambiguïté possible : si vous tapez «sh» suivi de tabulation «show» s'affichera en entier ainsi que si vous tapez «show vers» la commande «show version» s'affichera. Mais ceci n'est que rarement utilisé car lorsqu'il n'y a pas d'ambiguïté, on peut écrire les premières lettres seulement de la commande, par exemple «sh version» sera interprété comme «show version» et bien sur cela fonctionne aussi pour les options. De ce fait pour visualiser la version de l'ios il suffit de faire «sh vers»... Visualisez les utilisateurs connectés, les protocoles utilisées, l'horloge, la mémoire flash, la version du système et les dernières commandes saisies.

3 La commande show version nous donne quelque chose du genre : La valeur de configuration register nous indique quel image de la flash le BIOS de la ROM doit charger en RAM. 5.3 Le mode privilège Pour effectuer l'administration et la configuration du routeur il faut passer en mode privilège. Pour cela il existe les commandes enable (en en abrégé) et disable (dis en abrégé) pour respectivement entrer et sortir du mode privilège. Vous savez que vous êtes en mode privilège grâce au prompt : le «>» laisse la place au symbole «#». En mode privilège vous aurez donc un prompt du genre : Router#. Le mode privilège permettant de faire toutes les modifications du matériels doit être protégé par un mot de passe. Essayez de passer en mode privilège (vous devriez être bloqué par un mot de passe...) 5.4 Récupérer un matériel dont on ne connaît pas le mot de passe Le principe de récupération d'un mot de passe est expliqué dans le manuel du routeur au chapitre «Recovering a Lost Enable Password», pour certains switchs il peut y avoir quelques différences, dans ce cas reportez vous au document «Récupérer le password d'un 1900». Ce principe est une suite d'action permettant d'accéder au fichier de configuration pour en effacer le mot de passe et le remplacer par le votre. L'existence même de cette procédure justifie le contrôle de l'accès physique au matériel : si vous avez un accès physique au matériel (donc à la porte console), vous pouvez modifier le mot de passe et surtout la configuration du matériel. Il est décrit en résumé ci dessous, en cas d'imprécisions reportez vous au manuel : La commande «show version» vous permet de regarder la version, les interfaces,... et surtout de noter le numéro du register. Ce numéro permet d'indiquer sur quelle image on démarre le routeur. Le principe récupération du mot de passe est de démarrer sur le système minimum (donc de changer la valeur du config register) pour accéder au fichier de configuration, d'en changer le mot de passe avant de redémarrer sur l'image normale.

4 Une fois le numéro du config register bien noté, nous allons démarrer sur le système minimum et pour cela nous allons accéder au ROM Monitor en faisant un break sur la porte console pendant le démarrage. Redémarrez et après un arrêt de 5 secondes et envoyez un break pendant le démarrage. Le break dépend du terminal utilisé ou de l'émulateur de terminal utilisé. Le break n'est pas un signal c'est une séquence non interprétable en 0 ou 1, sur hyper terminal pour envoyer un break il faut généralement utiliser ctrl break (break correspond souvent à la touche pause). Le document nommé «Break» décrit les différentes manière de générer un break sur les terminaux et si aucun ne fonctionne comment simuler un break. Une fois le break envoyé le routeur entre dans le mode ROM Monitor (prompt >), vous pouvez ici changer la valeur du config register grâce à la commande «o/r 0x0142». Cette nouvelle valeur indiquera dans la ROM que le démarrage devra se faire sur le système minimum. Une fois le registre modifié on peut démarrer le matériel avec la commande «initialize» (en abrégé : i), le système minimum va se charger et comme ce dernier ne possède pas de configuration le dialogue de configuration initial vous serez proposé. Tapez no pour le dialogue de configuration initial (vous pose les questions et configure automatiquement en fonction des réponses hors ici nous ne voulons surtout pas configurer le routeur...). Vous pouvez maintement passer en mode enable du système minimum! Le systeme minimum n'a pas de mot de passe et ne doit pas en avoir. Vous pouvez alors charger en mémoire la configuration stockée avec la commande «configure memory» (conf mem), on se retrouve alors avec la configuration du routeur normale mais on est déjà en mode enable car on y est entré avant de charger le mot de passe!!! En mode enable vous pouvez changer le password, pour cela il faudra passer en mode configuration avec la commande «conf ter» (configuration terminal) qui permet de configurer le routeur puis lui affecter un nouveau mot de passe avec la commande «enable secret votremotdepasse». Un IOS Cisco possède 2 types de mot de passe, Secret et Password. En théorie seul Secret est utilisé mais pour des questions de compatibilité Password existe toujours. Lorsque Secret existe Password est censé ne pas servir, il est quand même recommandé de le configurer mais avec une valeur différente du Secret. Vous pouvez modifier la valeur de Password avec la commande «enable password unsecondmotdepasse». Une fois les mots de passe modifiés, il faut sauvegarder la configuration : «copy running-config startup-config» puis il suffit de redémarrer sur l'image normale du routeur et pour cela il faut remettre la valeur d'origine au registre avant de redémarrer. La commande config-register (dans le mode configuration) vous permet de modifier ce registre, remettez donc le numéro que vous avez noté au début de la procédure. Le registre remis à sa valeur d'origine il ne reste plus qu'à sortir du mode de configuration (exit) et en mode enable redémarrer (voir dans la liste des commandes comment redémarrer le routeur...) Vérifiez après le démarrage la valeur du registre, en théorie vous pouvez maintenant accéder au mode enable! 5.5 Passage en mode privilège et effacement de la configuration existante Entrer maintenant en mode enable pour voir les commandes disponibles et ce que l'on peut consulter avec la commande show. Avec la commande show vous pouvez notamment voir la configuration stockée (NVRAM) et celle en cours (RAM). Cisco les nomme respectivement la startup-config (celle du démarrage) et la running-config (celle qui est en cours). Comme les routeurs sont déjà configurés mais n'importe comment, effacez la configuration stockée (vous pouvez comparer la configuration active et stockée après cet opération) : erase startup-config. rebooter encore une fois pour avoir un routeur propre!!!

5 5.6 Configuration IP Vous allez maintenant configurer une interface de votre routeur de manière à lui attribuer une adresse IP. On utilisera l'interface Ethernet. Pour attribuer une adresse IP vous devez être en mode configuration terminal du mode privilège. Chaque interface se configure indépendamment, il faut donc sélectionner l'interface à configurer. Lorsque vous observer avec la commande show la configuration du routeur vous pouvez voir les différentes interfaces. Dans le cas d'un 2500 il existe 2 interfaces séries (certainement nommées serial0 et serial1) ainsi que 2 interfaces ethernet (eth0 et eth1). On va utiliser le port AUI0 donc l'interface Eth0. Pour sélectionner l'interface Eth0 on utilise la commande «interface eth0» (remarque la commande «interface?» vous permet de savoir ce qu'il est possible de saisir derrière interface). Une fois l'interface sélectionnée le prompt change encore : prompt > : en mode observateur prompt # : en mode privilège prompt (conf) # : en mode configuration terminal prompt (conf-if) # : en mode configuration d'une interface La configuration de l'interface necessite 2 opérations : 1) attribution de l'adresse IP commande «ip address uneadresseip lemasquecorrespondant» remarque : ip? Indique qu'il faut mettre le mot clef address, ip address? Indique qu'il faut noter une adresse au format A.B.C.D, ip address ? indique qu'il faut noter un masque au format A.B.C.D, ip address ? indique que la commande est terminé... en abrégé on aurait pu aussi noter «ip add »! Pour supprimer une adresse IP configurer il faut entrer la même commande que pour la configurer mais précéder de no, ainsi si l'on souhaitait supprimer la configuration précédente on aurait pu écrire : «no ip add ». 2) activation de l'interface par défaut les interfaces du matériel sont down (inactive), il faut donc les activer et pour cela on executera la commande «no shutdown». Une fois sorti du mode de configuration (interface et terminal), vous pouvez tester votre configuration. Pour cela brancher un transceiver sur le port AUI afin d'avoir une interface RJ45 (un port AUI est un port Ethernet standard transformable en RJ45, BNC, Fibre,...). Configurer votre PC avec une adresse IP compatible à celle de votre routeur : connexion au réseau local / propriété /TCP IP/ propriété... Essayez un ping de votre PC vers le routeur. Quand cela fonctionne essayez aussi l'inverse : un ping de votre routeur vers le PC! 5.7 Sauvegarde de la config La configuration que vous avez effectuez fonctionne, comparez la startup-config et la running-config. Si vous laissez le routeur dans cet état au prochain redémarrage votre configuration sera perdue puisque c'est la startup-config qui sera chargée dans la running-config lors qu démarrage. Pour sauvegarder votre configuration vous pouvez simplement copier la configuration active dans la configuration stockée : copy running-config startup-config. Comparez de nouveau la startup-config et la running-config une fois la sauvegarde effectuée. Seulement cette sauvegarde est effectuée sur le routeur lui même, si le startup-config est modifié par quelqu'un d'autre vous n'avez plus rien. Faisons donc une sauvegarde de votre configuration sur le PC avec tftp.

6 Si le serveur TFTP n'est pas installer, le faire. Sinon ouvrez simplement votre serveur TFTP : configurez le dossier ou seront stockés les fichiers à uploader ou downloader, vérifiez les droits dans la sécurité pour pouvoir transmettre et recevoir des fichiers. Vous pouvez aussi configurer les adresses IP ayant le droit d'accéder à votre serveur TFTP. Depuis la CLI du routeur la sauvegarde vers le serveur TFTP se fait de la même manière que la sauvegarde locale : Copy running-config tftp (vous sera demander l'adresse IP du TFTP et nom du fichier sous lequel on doit enregistrer la configuration). Cette fonction copy fonctionne dans tous les sens, vous pouvez copier la running-config vers la startup ou le tftp, mais vous pouvez aussi copier la startup vers la running ou le TFTP ou même copier un fichier du TFTP vers la running ou la startup!!! Modifiez l'adresse IP dans le fichier sauvegardé sur le PC et rechargez le fichier sur le routeur (commande depuis le routeur) et testez un ping vers cette nouvelle adresse!!! A partir de maintenant, toutes configurations peut se faire en CLI ou directement sur le fichier de configuration. Nous allons tout de même continuer dans ce TP à travailler en CLI. 5.7 Accès à la CLI par Telnet Puisque notre routeur possède maintenant une adresse IP, nous pouvons légitimement pensez y accéder via le réseau. Essayez de le contacter avec telnet. La réponse négative vient du fait qu'un routeur Cisco n'accepte une connexion sur son interface telnet que si un mot de passe a été définit pour celle ci. Il va donc falloir encore utiliser un peu la console pour configuration ce mot de passe (qui est complétement indépendant du mot de Secret ou Password du mode privilège). Un accès à distance va être vu comme un terminal réseau par le routeur, ces terminaux sont dénommés des VTY. Pour configurer le mot de passe de ces terminaux il va donc falloir entrer dans le mode de configuration de cette interface : «line vty 0 15», le prompt devrait devenir cette fois (config-line) Une fois dans la configuration des vty, vous pouvez entrez un password (avec la commande password) et activer la possibilité de se connecter (avec la commande login sans paramètre). Quand cela est configurer vous pouvez reessayer de vous connecter avec Telnet et accéder à la CLI par le réseau. Remarque : une fois connecté en telnet regarder les utilisateurs connectés avec la commande «show», lorsque vous êtes en mode console vous n'êtes pas connecté, en telnet oui! 5.8 Accès à la CLI par HTTP Le serveur Web n'est pas toujours disponible, cela dépend des équipements et nécessite d'avoir la bonne version de machine virtuelle Java sur votre PC. Vous pouvez néanmoins essayez d'activer le serveur HTTP sans perdre de temps sur cette question non essentielle. Le serveur Web se configure evidement dans le mode configuration de terminal et s'active via la commande «ip http server» en précisant le port avec la commande «ip http port 80»! 5.9 Mise au propre du routeur Nous avons fait la configuration minimale, ceci dit le routeur s'appele toujours router et n'est pas à l'heure... La commande hostname vous permettra de donner un nom à votre routeur, pour la mise à l'heure c'est un peu plus complexe : Par défaut la timezone utilisée est UTC (UTC=GMT), chez nous en hiver la timezone est CET=UTC+1, en hiver CEST=UTC+2. Par une directive du parlement européen l'heure d'été commence à 1h du matin (temps universel) le dernier dimanche de mars et se termine à 1h du matin (temps universel) le dernier dimanche d'octobre.

7 La mise à l'heure se fait donc en plusieurs étapes : en mode configuration de terminal, il faut définir la timezone : clock timezone CET +1 puis définir le passage à l'heure d'été : clock summer-time CEST recurring last sunday march 02:00 last sunday october 03:00 en mode privilège simple on pourra alors définir l'heure actuelle : clock set 10:12:05 22 november 2007 Pour vérifier l'heure la commande show vous permettra de voir à quelle heure est le matériel... Pensez à sauvegarder votre configuration sur TFTP puis sur la clef usb du responsable TP pour le prochain TP. Remarque : si vos mots de passe apparaissent en clair dans le fichier de configuration, c'est peut être que le service de chiffrement des mots de passe n'est pas activé, vous pouvez l'activer avec la commande : «service password-encryption» Configuration du switch La configuration du switch se passe exactement comme celle d'un routeur à quelques exceptions prêts : La récupération du mot de passe peut se passer différemment, le principe reste le même mais l'envoie du break et le boot sur système minimum diffère en fonction du matériel. En principe vos switch n'ont pas de mot de passe, vous n'aurez donc pas à les débloquer. Laissez les sans mot de passe! Si néanmoins vous tombez sur un switch avec mot de passe, vous pouvez essayez la méthode présentée pour le routeur sur les catalyst 2940 et 2950, pour les catalyst 1900 consulter le document «récupération password 1900». Vous pouvez les mettre à l'heure et leur donner un nom. La seconde différence est que pour y accéder par réseau (telnet ou tftp) vous avez besoin d'une adresse IP. Hors un switch fonctionne au niveau 2 et ne permet donc pas d'attribuer une adresse IP à ses interfaces. Pour cela nous auront recours à un artifice. Nous allons configurer une adresse IP sur un VLAN. Nous reviendront plus tard sur les VLANs, la seule chose qui nous importe pour l'instant c'est de savoir que pour gérer les VLANs, un switch utilise des interfaces virtuelles joignable depuis tous les ports du switchs. En activant un VLAN, on active l'interface virtuelle y étant reliée et nous pouvons donc attribuer une adresse IP à cette interface. On contactera ensuite le switch via cette interface!! En résumé au lieu de faire «interface eth 0» on fera «interface vlan 1» mais pour tout le reste cela est strictement identique! Configurez donc votre switch afin de pouvoir y accéder par telnet!