Configuration des switchs Cisco Tout est réalisé avec le logiciel Cisco Packet Tracer

Transcription

1 Configuration des switchs Cisco Tout est réalisé avec le logiciel Cisco Packet Tracer La base Nom du switch, nom du domaine et sauvegarde de la configuration Dans l exemple nous appellerons notre Switch «Black» et le domaine aura pour nom «color.local» On rentre d abord dans l édition de la configuration du switch Switch> enable Switch# conf t C est d ici que tout part. On va commencer par renommer le switch avec la commande «hostname» Switch (config)# hostname Black Black (config)# Le nom est changé directement dans la console. On ajoute ensuite le nom de domaine avec «ip domain-name» Black (config)# ip domain-name color.local Enfin on quitte la configuration et on l enregistre Black (config)# end Black# wr Une fois le [OK] affiché la configuration actuelle vient d être sauvegardée

2 Pour supprimer le nom du switch ou le nom de domaine on utilise les commandes Black (config)# no hostname Switch (config)# no ip domain-name Adressage IP du switch Un adressage IP nous permettra de configurer et administrer le switch à distance. On va même lui dédier un VLAN. L adresse IP sera donc associée au VLAN. On va choisir comme configuration IP la suivante : Adresse : Masque de sous réseau : Passerelle par défaut : Les configurations de VLAN seront revues et approfondies plus loin Black (config)# vlan 2 Black (config-vlan)# exit Black (config)# interface vlan2 Black (config-if)# ip address Black (config-if)# ex Black (config)# ip default-gateway Pour vérifier que tout est bon on utilise la commande : Black# sh int vlan2

3 Comme avant on peut supprimer ce que l on vient de configurer Black (config)# int vlan2 Black (config-if)# no ip address Black (config-if)# ex Black (config)# no ip default-gateway Ajout d un mot de passe d authentification On a plusieurs possibilités d accès à un switch. Soit par le port Console soit en passant par une ligne virtuelle (que l on appelle aussi VTY). De base aucune authentification n est demandée. On va donc créer au moins deux mots de passe. Un pour les connexions (console et VTY) et un autre pour le mode privilégié (aussi dit enable) Les mots de passes apparaissent en clair lorsqu on affiche le fichier de configuration. Pour éviter les regards indiscrets on va d abord activer le cryptage des codes. Black (config)# service password-encryption On peut maintenant ajouter des mots de passes Le premier sera celui pour enable Black (config)# enable secret < mot_de_passe_privilégiés> Vient ensuite le mot de passe console Black (config)# line con 0 Black (config-line)# password <mot_de_passe_cty_et_vty> Black (config-line)# login Black (config-line)# exit Puis on termine avec une VTY Black (config)# line vty 0 15 Black (config-line)# password <mot_de_passe_cty_et_vty> Black (config-line)# login Black (config-line)# exit Il y a maintenant un mot de passe pour se connecter au switch puis un second pour accéder au mode priviliégier

4 Réglage et affichage de l heure Pour assurer la bonne synchronisation des équipements il est préférable d avoir toutes son infrastructure à la même heure. Black# clock set 13:23:00 18 november 2014 Black# show clock Réglage du SSH Vérification de la version Le ssh n est pas forcément supporté par tout les switchs. Pour ça il faut vérifier la présence d une petite indication dans la version du switch Black# show version Si la ligne suivante contient le K9 dans le nom de l IOS alors le SSH est suporté par le matériel Cisco IOS Software, 2800 Software (C2800NM-IPBASEK9-M), Version 12.4(23), RELEASE SOFTWARE (fc1) On va créer une clé RSA avec la commande Blakck (config)# crypto key generate rsa Les étapes suivantes demande le nombre de bits (512 par défaut) où l on va mettre Enfin on active le ssh avec : Black (config) # ip ssh version 2 SSH est bien plus sécurisé que telnet. En effet on peut répertorié les connexions faites, ajouter un timer avant la déconnexion des utilisateurs inactifs ou encore autoriser un nombre limité de tentatives de connexions On créé un utilisateurs pour le telnet : Black (config) # username <nom_utilisateur> password <mdp_utilisateur> On peut maintenant se connecter au switch avec un client Putty par exemple

5 Configuration des ports Fast Ethernet => 100Mbits/s Gigabit Ethernet => 1Gbits/s TenGigabit Ethernet => 10Gbits/s On peut croiser deux types de dénomination : 0/1 => numéro du module / numéro du port 1/0/1 => numéro du switch dans le stack / numéro du module / numéro du port Pour afficher la configuration actuelle d une interface on utilise : Black # sh running-config interface fastethernet 0/1 Modification de la description d une interface, de sa vitesse et du duplex Pour ajouter une description on entre la commande suivante : Black (config) # int fa0/1 Black (config-if) # description <description_de_l interface> A la base les duplex et autres vitesses sont décidées par le switch et le périphérique. Cependant on peut le configurer. Pour lister les possibilités des interfaces on utilise les commandes Black (config-if) # speed? Black (config-if) # duplex? Si on veut passer à 10 Mbps et en half-duplex : Black (config-if) # speed 10 Black (config-if) # duplex half Black (config-if) # end On peut aller vérifier les modifications avec la commande vue plus haut. Pour remettre les valeurs par défaut on utilise l option «auto» des deux commandes précédentes. Activer ou désactiver une interface On va simplement désactiver et activer l interface fastethernet 0/1 avec les commandes «shut» et «no shut»

6 Suppression de la configuration d un port Dans le cas où on voudrait remettre la configuration par défaut d un port on le fait par le biais de la commande : Black (config) # default interface fastethernet 0/1 Evidemment on peut vérifier avec une commande vue plus tot si les modifications ont été prises en compte. Configuration des vlan Pour rappel les vlan permettent de créer plusieurs réseaux au sein d un même switch. Cela permet de réduire les domaines de broadcast et ajouter un peu de sécurité si on utilise des règles de filtrage. Les ports peuvent prendre deux valeurs. Access ou Trunk. Access est utilisé dans le cas où un seul Vlan doit passer. On passe en access les ports reliés à un pc ou encore une imprimante. Le mode Trunk permet de faire transiter plusieurs vlan en même temps. On l utilise donc entre deux switchs où avec un serveur dont l interface va sur plusieurs vlans. Ici on va mettre en place des vlans par port. En fait on associe des port à un vlan et ces ports ne communiquent plus qu entre ceux d un même vlan. La communication entre ces vlans se fait avec un routeur ou un switch de niveau 3.

7 Ajouter un Vlan et le supprimer On créé d abord le vlan avant de le configurer. On peut également lui donner un nom. Black (config) # vlan 2 Black (config-vlan) # name administration Black (config-vlan) # ex Black (config) # vlan 3,4,5 Black (config-vlan) # ex On vient de créer 4 vlan. Le 2 ème a pour nom «adminisatration». Il faut savoir que le vlan 1 est déjà attribué. Il est le vlan par défaut. Tout port sans vlan sera automatiquement intégré à vlan 1. Pour supprimer un vlan on utilise la commande Black (config) # no vlan 2 Afficher les ports associés aux vlans Black # show vlan Affectation d un port à un vlan (access) Supposons que l on veut associer le port fa0/2 au vlan 3. Black (config) # int fa0/2 Black (config-if) # switchport mode access Black (config-if) # switchport access vlan 3 Black (config-if) # ex Si on veut placer plusieurs ports d un seul coup dans le même vlan on utilise la commande Black (config) # int range fa0/2-7 On configure ainsi les ports 2 à 7 en même temps. Pour la suite ce sont les mêmes commandes. Port en mode trunk J ai placé la connection entre les deux switchs sur leur dernier port, le 24 ème. Black (config) # int fa 0/24 Black (config-if) # switchport mode trunk Black (config-if) # ex Ce qui est bien avec les ports trunks c est qu on peut gérer les vlans autorisés à passer. Black (config) # int fa 0/24 Black (config-if) # switchport trunk allowed vlan add 2,3,10 Black (config-if) # switchport trunk allowed vlan remove 3 Black (config-if) # ex On a donc autorisé les vlan 2, 3 et 10 pour finalement interdire le 3. Le cas de la téléphonie IP Avec un téléphone IP (qui se place entre le pc et le switch) il faut laisser le port en access même si on a des vlan pour les données et un vlan pour la voix. Cependant il faut avant tout activer le protocole

8 CDP (Cisco Discovery Protocol qui permet de détecter les périphériques voisins directement connectés) Black (config) # vlan 10 Black (config-vlan) # name voice Black (config-vlan) # ex Black (config) # int fa 0/3 Black (config-if) # switchport voice vlan 10 Dessactivation du protocole DTP Le protocole DTP permet de passer automatiquement des ports en mode trunk sous certaines conditions. Mais cela implique des risques, on va donc désactiver la fonction. Black (config) # int range fa 0/1-24 Black (config-if-range) # switchport nonegotiate Spanning tree (éviter les boucles) Le protocole est utile dans des architecture avec des liens redondant. Si on trouve une possible boucle un port est automatiquement fermé pour couper cette boucle et ainsi n avoir qu un «arbre» Il existe trois mode de spanning-tree : pvst+ (actif par défaut), rapid pvst+ et MSTP Il faut configurer la priorité des switchs. Celui avec la plus basse sera le root. Dans la majeure partie des cas ce sera celui en backbone car tout passe par ce matériel et il y a peut de machines connectées dessus. De base la priorité d un port est de 128 et celle d un switch est de Activer le rapid spanning-tree Black (config) # spanning tree mode rapide-pvst Pour vérifier les informations on utilise : Black # sh spanning-tree Définir le switch root On veut que le switch suivant soit root pour les vlan allant de 1 à 100. Black (config) # spanning-tree vlan root primary Black (config) # end Black # show spanning-tree vlan 4 On fini par une simple vérification. Priorité des ports On peut indiquer que des ports sont prioritaires pour transporter un vlan Black (config) # int gigabitethernet 0/1 Black (config-if) # spanning tree vlan port-priority 64

9 Configurer les ports d accès à un switch Quand on démarre un switch il fait une vérification de tout ce qui l entoure et cela prend du temps. On peut donc configurer tout les ports de façons à ce que au démarrage ils ne soient pas vraiment vérifiés. Black (config) # int range fa 0/1-8 Black (config-if-range) # spanning-tree portfast Services Syslog, NTP et SNMP Syslog On peut tout d abord afficher les logs directement sur le switch Black # show log Mais ce que l on veut c est les envoyer sur un serveur de logs, un vrai. On commence par définir le niveau d information demandée. Il en existe 7, tous listés par la commande : Black (config) # logging trap? Dans notre cas on va prendre la plus élevée. Black (config) # logging trap debugging On ajoute une étiquette pour chaque message et l adresse du serveur Syslog Black (config) # logging facility <étiquette> Black (config) # logging <adresse_serveur_syslog> NTP Le serveur NTP permet de synchroniser tout le matériel à partir d un seul serveur de temps On indique l adresse de notre serveur NTP mais par précautions on ajoute aussi le fuseau horaire et le changement d heure d été. Black (config) # ntp server <adresse_ntp> Black (config) # clock timezone cet 1 Black (config) # clock summer-time cest recurring last Sun Mar 3:00 last Sun Oct 3:00 Pour vérifier l heure et la connection au serveur ntp on utilise les commandes : Black # sh clock Black # sh ntp associations SNMP Enfin on peut relier nos switchs à un service de management. On créé donc une Access List (ACL) pour autoriser le serveur, puis on associe la communauté et on défini les droits (ro pour «read only» et rw pour «read and write») Black (config) # access-list 1 permit <adresse_serveur_snmp> Black (config) # snmp-server community macomm ro 1 Black (config) # end Black # show snmp community

10 Mise à jour de switch Vérifier sa version Avec la commande suivante on ne se contente pas de voir quel version tourne actuellement sur le switch. On a aussi accès à son temps de up et son type. Black # sh ver L IOS et les fichiers de configurations sont contenus dans la flash. On y accède par le biais de la commande Black # dir flash : On peut également y voir la place occupée et disponilble. Mettre à jour Il nous faut avant tout un IOS (disponible chez Cisco) et un serveur TFTP La commande qui suit fait tout ce qu il y a à faire et il suffit de redémarrer le switch après avoir fait l installation. Si par malheur le switch ou la connexion entre switch et serveur crash il faudra passer par une étape longue et fastidieuse. Black # archive download-sw /overwrite tftp://<adresse_serveur_tftp>/<nom_nouveau_ios> Avant de redémarrer on s assure avec «sh version» que la nouvelle version est installée. Sauvegarder sa configuration sur un TFTP Si on a plusieurs switchs à configurer de la même façon il est possible d en faire un seul et de venir copier notre configuration sur un serveur de transfert. Black # copy flash:config.text tftp://<adresse_serveur_tftp>/ Commandes utiles et de diagnostique Les commandes qui suivent sont toujours bonnes à connaitre en cas de problèmes ou pour garder un œil sur différent aspect des connexions

11 Lister les voisins d un switch Avec CDP on peut voir les voisins d un switch. Pour cela il faut que le protocole soit activé. Black (config) # cdp run Black (config) # exit Black # show cdp neighbors Black # sh cdp neighbors fa 0/1 detail La 3 ème ligne montrera tout les voisins alors que la 4 ème donnera de plus amples détails sur un seul d entre eux Dans le cas d un parc hétérogène avec différentes marques de matériels on va utiliser le protocole LLDP (Link Layer Discovery Protocol). Les commandes sont exactement les même on remplace juste tout les «cdp» par «lldp» Affichage des adresses MAC On peut lister les adresses MAC des voisins avec la commande : Black # mac address-table Mirroring de port (ou Cisco SPAN) Il peut être nécessaire d analyser les paquets passant par un port pour détecter de possibles attaques ou autres données sensibles. Pour cela on va copier les paquets du port concerné et diriger cette copie vers un autre port qui pourrai les analyser par exemple. Dans l exemple qui suit on écoute le port 1 et le pc qui analyse les paquets est sur le port 4. On donne aussi un numéro de session Black (config) # monitor session 1 source interface fastethernet 0/1 Black (config) # monitor session 1 destination interface fastethernet 0/4 Ensuite on peut afficher les ports surveillés avec la commande : Black # sh monitor Session 1 Affichage des compteurs Pour surveiller les quantités de donnés qui passent par les ports on peut afficher les compteurs avec la commande : Black # show interfaces counters