| Оглавление | ||
|---|---|---|
|
...
Настройка Netflow
Netflow — сетевой протокол, предназначенный для учета и анализа трафика. Netflow позволяет передавать данные о трафике (адрес отправителя и получателя, порт, количество информации и др.) с сетевого оборудования (сенсора) на коллектор. В качестве коллектора может использоваться обычный сервер.
| Информация |
|---|
В текущей реализации трафик, отброшенный маршрутизатором по каким-либо причинам, не будет учитываться в статистике. |
Алгоритм настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Задать версию Netflow-протокола.
...
esr(config)# netflow version <VERSION>
...
<VERSION> – версия Netflow-протокола: 5, 9 и 10.
...
2
...
Установить максимальное количество наблюдаемых сессий.
...
esr(config)# netflow max-flows <COUNT>
...
<COUNT> – количество наблюдаемых сессий, принимает значение [10000..2000000].
Значение по умолчанию: 512000.
...
<TIMEOUT> – интервал времени, по истечении которого информация об активных сессиях экспортируются на коллектор, задается в секундах, принимает значение [5..36000].
Значение по умолчанию: 1800 секунд.
...
4
...
Установить интервал, по истечении которого информация об устаревших сессиях экспортируются на коллектор.
...
esr(config)# netflow inactive-timeout <TIMEOUT>
...
<TIMEOUT> – задержка перед отправкой информации об устаревших сессиях, задается в секундах, принимает значение [0..240].
Значение по умолчанию: 15 секунд.
...
5
...
Установить частоту отправки статистики на Netflow-коллектор.
...
esr(config)# netflow refresh-rate <RATE>
...
<RATE> – частота отправки статистики, задается в пакетах на поток, принимает значение [1..10000].
Значение по умолчанию: 10.
...
6
...
Активировать Netflow на маршрутизаторе.
...
esr(config)# netflow enable
...
7
...
Создать коллектор Netflow и перейти в режим его конфигурирования.
...
esr(config)# netflow collector <ADDR>
...
<ADDR> – IP-адрес коллектора, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
...
8
...
Установить порт Netflow-сервиса на сервере сбора статистики.
...
esr(config-netflow-host)# port <PORT>
...
<PORT> – номер UDP-порта, указывается в диапазоне [1..65535].
Значение по умолчанию: 2055.
...
9
...
Включить отправку статистики на Netflow-сервер в режим конфигурирования интерфейса/туннеля/сетевого моста.
...
esr(config-if-gi)# ip netflow export
Пример настройки
Задача:
Организовать учет трафика с интерфейса gi1/0/1 для передачи на сервер через интерфейс gi1/0/8 для обработки.
Решение:
Предварительно необходимо настроить адресацию на интерфейсах.
Основной этап конфигурирования:
Укажем IP-адрес коллектора:
| Блок кода |
|---|
esr(config)# netflow collector 10.10.0.2 |
Включим сбор экспорта статистики Netflow на сетевом интерфейсе gi1/0/1:
| Блок кода |
|---|
esr(config)# interface gigabitethernet 1/0/1
esr(config-if-gi)# ip netflow export |
| Scroll Pagebreak |
|---|
Активируем Netflow на маршрутизаторе:
| Блок кода |
|---|
еsr(config)# netflow enable |
Для просмотра статистики Netflow используется команда:
| Блок кода |
|---|
esr# show netflow statistics |
Настройка Netflow для учета трафика между зонами аналогична настройке sFlow, описание приведено в разделе Настройка sFlow.
...
sFlow — стандарт для мониторинга компьютерных сетей, беспроводных сетей и сетевых устройств, предназначенный для учета и анализа трафика.
Алгоритм настройки
...
esr(config)# sflow sampling-rate <RATE>
...
<RATE> – частота отправки пакетов пользовательского трафика на коллектор, принимает значение [1..65535]. При значении частоты 10 на коллектор будет отправлен один пакет из десяти.
Значение по умолчанию: 1000.
...
2
...
Установить интервал, по истечении которого происходит получение информации о счетчиках сетевого интерфейса.
...
esr(config)# sflow poll-interval <TIMEOUT>
...
<TIMEOUT> – интервал, по истечении которого происходит получение информации о счетчиках сетевого интерфейса, принимает значение [1..300] секунд.
Значение по умолчанию: 10 секунд.
3
Создать коллектор sFlow и перейти в режим его конфигурирования.
...
esr(config)# sflow collector <ADDR> [ vrf <VRF> ]
...
<ADDR> – IP-адрес коллектора, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<VRF> – имя экземпляра VRF, задаётся строкой до 31 символа.
...
<ADDR> – IPv4/IPv6-адрес агента sFlow.
Если команда не указана, то в качестве адреса агента будет использован случайный адрес из присутствующих в конфигурации.
...
6
...
Активировать сервис sFlow на маршрутизаторе.
...
esr(config)# sflow enable
...
7
...
В режиме конфигурирования интерфейса/туннеля/сетевого моста включить отправку статистики sFlow.
...
esr(config-if-gi)# ip sflow export
| Scroll Pagebreak |
|---|
Задача:
Организовать учет трафика между зонами trusted и untrusted.
Решение:
Для сетей ESR создадим две зоны безопасности:
| Блок кода |
|---|
esr# configure
esr(config)# security zone TRUSTED
esr(config-zone)# exit
esr(config)# security zone UNTRUSTED
esr(config-zone)# exit |
Настроим сетевые интерфейсы и определим их принадлежность к зонам безопасности:
| Блок кода |
|---|
esr(config)# interface gi1/0/1
esr(config-if-gi)# security-zone UNTRUSTED
esr(config-if-gi)# ip address 10.10.0.1/24
esr(config-if-gi)# exit
esr(config)# interface gi1/0/2-3
esr(config-if-gi)# security-zone TRUSTED
esr(config-if-gi)# exit
esr(config)# interface gi1/0/2
esr(config-if-gi)# ip address 192.168.1.5/24
esr(config-if-gi)# exit
esr(config)# interface gi1/0/3
esr(config-if-gi)# ip address 192.168.3.5/24
esr(config-if-gi)# exit |
Укажем IP-адрес коллектора:
| Блок кода |
|---|
esr(config)# sflow collector 192.168.1.8 |
| Scroll Pagebreak |
|---|
| Блок кода |
|---|
esr(config)# security zone-pair TRUSTED UNTRUSTED
esr(config-zone-pair)# rule 1
esr(config-zone-pair-rule)# action sflow-sample
esr(config-zone-pair-rule)# match protocol any
esr(config-zone-pair-rule)# match source-address any
esr(config-zone-pair-rule)# match destination-address any
esr(config-zone-pair-rule)# enable |
Активируем sFlow на маршрутизаторе:
| Блок кода |
|---|
еsr(config)# sflow enable |
Настройка sFlow для учета трафика с интерфейса осуществляется аналогично настройке Netflow.
Настройка SNMP
SNMP (англ. Simple Network Management Protocol — простой протокол сетевого управления) — протокол, предназначенный для управления устройствами в IP-сетях на основе архитектур TCP/UDP. SNMP предоставляет данные для управления в виде переменных, описывающих конфигурацию управляемой системы.
Алгоритм настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Включить SNMP-сервер.
...
esr(config)# snmp-server
...
2
...
Определить community для доступа по протоколу SNMPv2c.
...
esr(config)# snmp-server community <COMMUNITY> [ <TYPE> ]
[ { <IP-ADDR> | <IPV6-ADDR> } ]
[ client-list <OBJ-GROUP-NETWORK-NAME> ]
[ <VERSION> ] [ view <VIEW-NAME> ] [ vrf <VRF> ]
...
<COMMUNITY> – сообщество для доступа по протоколу SNMP;
<TYPE> – уровень доступа:
- ro – доступ только для чтения;
- rw – доступ для чтения и записи.
<IP-ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];
<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, от которых обрабатываются snmp-запросы, задаётся строкой до 31 символа;
<VERSION> – версия snmp, поддерживаемая данным community, принимает значения v1 или v2c;
<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа;
<VRF> – имя экземпляра VRF, из которого будет разрешен доступ, задается строкой до 31 символа.
...
3
...
Устанавливает значение переменной SNMP, содержащей контактную информацию.
...
esr(config)# snmp-server contact <CONTACT>
...
<CONTACT> – контактная информация, задается строкой до 255 символов.
...
4
...
Установить значение кода DSCP для использования в IP-заголовке исходящих пакетов SNMP-сервера (не обязательно).
...
esr(config)# snmp-server dscp <DSCP>
...
<DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].
Значение по умолчанию: 63.
...
5
...
Разрешить перезагрузку маршрутизатора при помощи snmp-сообщений (не обязательно).
...
esr(config)# snmp-server system-shutdown
...
6
...
Cоздать SNMPv3-пользователь.
...
esr(config)# snmp-server user <NAME>
...
<NAME> – имя пользователя, задаётся строкой до 31 символа.
...
7
...
Устанавливает значение переменной SNMP, содержащей информацию о расположении оборудования.
...
esr(config)# snmp-server location <LOCATION>
...
<LOCATION> – информация о расположении оборудования, задается строкой до 255 символов.
...
8
...
Определить уровень доступа пользователя по протоколу SNMPv3.
...
esr(config-snmp-user)# access <TYPE>
...
<TYPE> – уровень доступа:
- ro – доступ только для чтения;
- rw – доступ для чтения и записи.
...
9
...
Определить режим безопасности пользователя по протоколу SNMPv3.
...
esr(config-snmp-user)# authentication access <TYPE>
...
<TYPE> – режим безопасности:
- auth – используется только аутентификация;
- priv – используется аутентификация и шифрование данных.
...
10
...
Определить алгоритм аутентификации SNMPv3-запросов.
...
esr(config-snmp-user)# authentication algorithm <ALGORITHM>
...
<ALGORITHM> – алгоритм шифрования:
- md 5 – пароль шифруется по алгоритму md5;
- sha 1 – пароль шифруется по алгоритму sha1.
...
11
...
Установить пароль для аутентификации SNMPv3-запросов.
...
esr(config-snmp-user)# authentication key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }
...
<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;
- encrypted – при указании команды задается зашифрованный пароль:
<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).
...
12
...
Активировать фильтрацию и установить профиль IP-адресов, с которых могут приниматься SNMPv3-пакеты с данным именем SNMPv3-пользователя.
...
esr(config-snmp-user)# client-list <NAME>
...
<NAME> – имя ранее сознанной object-group, задается строкой до 31 символа.
...
14
...
Активировать фильтрацию и установить IPv4/IPv6-адрес, которому предоставлен доступ к маршрутизатору под данным SNMPv3-пользователем.
...
esr(config-snmp-user)# ip address <ADDR>
...
<ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
...
esr(config-snmp-user)# ipv6 address <ADDR>
...
<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].
...
15
...
Активировать SNMPv3-пользователя.
...
esr(config-snmp-user)# enable
...
Значение по умолчанию: процесс выключен.
...
16
...
Определить алгоритм шифрования передаваемых данных.
...
esr(config-snmp-user)# privacy algorithm <ALGORITHM>
...
<ALGORITHM> – алгоритм шифрования:
- aes 128 – использовать алгоритм шифрования AES-128;
- des – использовать алгоритм шифрования DES.
...
17
...
Установить пароль для шифрования передаваемых данных.
...
esr(config-snmp-user)# privacy key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }
...
<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;
<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).
...
18
...
Установить профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для user.
...
esr(config-snmp-user)# view <VIEW-NAME>
...
<VIEW-NAME> – имя SNMP view профиля, на основании которого обеспечивается доступ к OID, задается строкой до 31 символа.
...
19
...
Включить передачу SNMP-уведомлений на указанный IP-адрес и перейти в режим настройки SNMP-уведомлений.
...
esr(config)# snmp-server host
{ <IP-ADDR> | <IPV6-ADDR> } [vrf <VRF>]
...
<IP-ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];
<VRF> – имя экземпляра VRF, в котором находится коллектор SNMP-уведомлений, задается строкой до 31 символа.
...
20
...
Определить порт коллектора SNMP-уведомлений на удаленном сервере (не обязательно).
...
esr(config-snmp-host)# port <PORT>
...
<PORT> – номер UDP-порта, указывается в диапазоне [1..65535].
Значение по умолчанию: 162.
...
21
...
Разрешить отправку SNMP-уведомлений различных типов.
...
esr(config)# snmp-server enable traps <TYPE>
...
<TYPE> – тип фильтруемых сообщений. Может принимать значения:
config, entry, entry-sensor, environment, envmon, files-operations, flash, flash-operations, interfaces, links, ports, screens, snmp, syslog.
Дополнительные параметры зависят от типа фильтра. См. справочник команд CLI.
...
22
...
Создать профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для community (SNMPv2) и user (SNMPv3).
...
esr(config)# snmp-server enable traps <TYPE>
...
<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа.
Пример настройки
Задача:
Настроить SNMPv3-сервер с аутентификацией и шифрованием данных для пользователя admin. IP-адрес маршрутизатора ESR – 192.168.52.8, IP-адрес сервера – 192.168.52.41.
Решение:
Предварительно нужно выполнить следующие действия:
- указать зону для интерфейса gi1/0/1;
- настроить IP-адрес для интерфейсов gi1/0/1.
| Scroll Pagebreak |
|---|
Включаем SNMP-сервер:
| Блок кода |
|---|
esr(config)# snmp-server |
Создаем пользователя SNMPv3:
| Блок кода |
|---|
esr(config)# snmp-server user admin |
Определим режим безопасности:
| Блок кода |
|---|
esr(snmp-user)# authentication access priv |
Определим алгоритм аутентификации для SNMPv3-запросов:
| Блок кода |
|---|
esr(snmp-user)# authentication algorithm md5 |
Установим пароль для аутентификации SNMPv3-запросов:
| Блок кода |
|---|
esr(snmp-user)# authentication key ascii-text 123456789 |
Определим алгоритм шифрования передаваемых данных:
| Блок кода |
|---|
esr(snmp-user)# privacy algorithm aes128 |
Установим пароль для шифрования передаваемых данных:
| Блок кода |
|---|
esr(snmp-user)# privacy key ascii-text 123456789 |
Активируем SNMPv3-пользователя:
| Блок кода |
|---|
esr(snmp-user)# enable |
Определяем сервер-приемник Trap-PDU-сообщений:
| Блок кода |
|---|
esr(config)# snmp-server host 192.168.52.41 |
Настройка Zabbix-agent/proxy
Zabbix-agent — агент, предназначенный для мониторинга устройства, а также выполнения удаленных команд с Zabbix-cервера. Агент может работать в двух режимах: пассивный и активный. Для работы в пассивном режиме, по умолчанию, необходимо разрешающее правило в firewall — протокол tcp, порт 10050. Для активного режима – протокол tcp, порт 10051.
Zabbix-прокси — это cервис, способный собирать данные мониторинга с одного или нескольких наблюдаемых устройств и отправлять эту информацию Zabbix-серверу.
Алгоритм настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Перейти в контекст настройки агента/proxy.
...
esr(config-zabbix-agent)# zabbix-agent
esr(config-zabbix-proxy)# zabbix-proxy
...
2
...
Указать имя узла сети (опционально).
Для активного режима имя должно совпадать с именем узла сети на Zabbix-cервере.
...
esr(config-zabbix-agent)# hostname <WORD>
esr(config-zabbix-proxy)# hostname <WORD>
...
<WORD> – имя узла сети, задается строкой до 255 символов.
...
3
...
Указать адрес Zabbix-cервера.
...
esr(config-zabbix-agent)# server <ADDR>
esr(config-zabbix-proxy)# server <ADDR>
...
<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
...
4
...
Указать адрес сервера для активных проверок (при использовании активного режима).
...
esr(config-zabbix-agent)# active-server <ADDR> <PORT>
esr(config-zabbix-proxy)# active-server <ADDR> <PORT>
...
<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
<PORT> – порт сервера, задается в диапазоне [1..65535].
Значение по умолчанию 10051.
...
5
...
Указать порт, который будет слушать агент/прокси (не обязательно).
esr(config-zabbix-agent)# port <PORT>
esr(config-zabbix-proxy)# port <PORT>
...
<PORT> – порт, который слушает zabbix-агент/прокси, задается в диапазоне [1..65535].
Значение по умолчанию: 10050.
...
6
...
Разрешить выполнение удаленных команд zabbix-агентом/прокси (при использовании активного режима).
...
esr(config-zabbix-agent)# remote-commands
esr(config-zabbix-proxy)# remote-commands
...
7
...
Указать адрес, с которого будет осуществляться взаимодействием с сервером (не обязательно).
...
esr(config-zabbix-agent)# source-address <ADDR>
esr(config-zabbix-proxy)# source-address <ADDR>
...
<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
Значение по умолчанию: ближайший адрес по маршрутизации.
...
8
...
Указать время обработки удаленных команд (не обязательно).
...
esr(config-zabbix-agent)# timeout <TIME>
esr(config-zabbix-proxy)# timeout <TIME>
...
<TIME> – время ожидания, определяется в секундах [1..30].
Значение по умолчанию 3. Рекомендуется устанавливать максимальное значение, т. к. некоторые команды могут выполняться дольше значения по умолчанию.
Если за указанное время команда не будет выполнена, то обработка команды будет прекращена.
...
<TIME> – время между опросами в секундах, принимает значения [1..604800].
Значение по умолчанию: 3600.
...
11
...
Включить функционал агента/прокси.
...
esr(config-zabbix-agent)# enable
esr(config-zabbix-proxy)# enable
...
Пример настройки zabbix-agent
Задача:
Настроить взаимодействие между агентом и сервером для выполнения удаленных команд с сервера.
Решение:
В контексте настройки агента укажем адрес Zabbix-cервера и адрес, с которого будет осуществляться взаимодействие с сервером:
| Блок кода |
|---|
esr(config-zabbix-agent)# server 192.168.32.101
esr(config-zabbix-agent)# source-address 192.168.39.170 |
Для активации активного режима укажем hostname, active-server, а также включим выполнение удаленных команд:
| Блок кода |
|---|
esr(config-zabbix-agent)# hostname ESR-agent
esr(config-zabbix-agent)# active-server 192.168.32.101
esr(config-zabbix-agent)# remote-commands |
Зададим время выполнения удаленных команд и активируем функционал агента:
| Блок кода |
|---|
esr(config-zabbix-agent)# timeout 30
esr(config-zabbix-agent)# enable |
| Scroll Pagebreak |
|---|
Пример настройки zabbix-server
Создадим узел сети:
| Scroll Pagebreak |
|---|
Маршрутизаторы ESR поддерживают выполнение следующих привилегированных команд:
Ping
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo ping -c 3 192.168.32.101]" |
Клиент (ESR), получивший данную команду от сервера, выполнит ping до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.
| Примечание |
|---|
Использование ключа "-c" с указанием количества пакетов в тесте — обязательно. Без данного ключа команда ping не остановится самостоятельно и тест не будет считаться завершенным. |
...
Ping в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo netns -exec -n backup sudo ping 192.168.32.101 -c 5 -W 2 ]" |
Вышеупомянутая команда будет выполнена в заданном VRF с именем backup.
...
Fping
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo fping 192.168.32.101]" |
Клиент (ESR), получивший данную команду от сервера, выполнит fping до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.
Scroll Pagebreak
Fping в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo netns-exec -n backup sudo fping 192.168.32.101 ]" |
Traceroute
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo traceroute 192.168.32.101] |
Клиент (ESR), получивший данную команду от сервера, выполнит traceroute до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.
Traceroute в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo netns-exec -n backup sudo traceroute 192.168.32.179]" |
...
Iperf
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo iperf -c 192.168.32.101 -u -b 100K -i 1 -t 600]" |
Клиент (ESR), получивший данную команду от сервера, выполнит iperf до заданного сервера (в нашем примере до 192.168.32.101), и вернет результат серверу.
Iperf3
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo iperf3 -c 192.168.32.101 -u -b 100K -i 1 -t 600]" |
Iperf в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo netns-exec -n backup sudo iperf -c 192.168.32.101 -u -b 100K -i 1 -t 600]" |
Iperf3 в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo netns-exec -n backup sudo iperf3 -c 192.168.32.101 -u -b 100K -i 1 -t 600]" |
Nslookup
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo nslookup ya.ru ]" |
Клиент (ESR), получивший данную команду от сервера, выполнит nslookup, и вернет результат серверу.
...
Nslookup в VRF
| Блок кода |
|---|
zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo netns-exec sudo nslookup ya.ru ]" |
| Scroll Pagebreak |
|---|
...
Кроме того, возможно выполнение команд, не требующих привилегий, таких как: snmpget, cat, pwd, wget и др.
Пример выполнения команды snmpget:
| Scroll Pagebreak |
|---|
Настройка Syslog
Syslog (англ. System Log — системный журнал) — стандарт отправки и регистрации сообщений о происходящих в системе событиях, используется в сетях, работающих по протоколу IP.
Алгоритм настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Включить отправку syslog-сообщений на snmp-сервер в виде snmp-trap.
...
esr(config)# syslog snmp
...
esr(config-syslog-snmp)# match [not] process-name <PROCESS-NAME>
...
<PROCESS-NAME> – см. в cправочнике команд CLI.
Если описаны разрешающие критерии (match process-name) – логируются только сообщения указанных процессов.
Если указаны запрещающие критерии (match not process-name) – логируются сообщения всех не запрещенных процессов.
По умолчанию разрешено логирование сообщений всех процессов.
...
esr(config-syslog-snmp)# severity <SEVERITY>
...
<SEVERITY> – уровень важности сообщения, принимает значения (в порядке убывания важности):
- emerg – в системе произошла критическая ошибка, система неработоспособна;
- alert – сигналы тревоги, необходимо немедленное вмешательство персонала;
- crit – критическое состояние системы, сообщение о событии;
- error – сообщения об ошибках;
- warning – предупреждения, неаварийные сообщения;
- notice – сообщения о важных системных событиях;
- info – информационные сообщения системы;
- debug – отладочные сообщения, предоставляют пользователю информацию для корректной настройки системы;
- none – отключает вывод syslog-сообщений.
...
4
...
Включить отображение syslog-сообщений при удаленных подключениях (Telnet, SSH) (не обязательно).
...
esr(config)# syslog monitor
...
esr(config-syslog-monitor)# match [not] process-name <PROCESS-NAME>
...
<PROCESS-NAME> – описано во 2 пункте.
...
esr(config-syslog-monitor)# severity <SEVERITY>
...
<SEVERITY> – описано в 3 пункте.
...
esr(config-syslog-console)# match [not] process-name <PROCESS-NAME>
...
<PROCESS-NAME> – описано во 2 пункте.
...
esr(config-syslog-console)# severity <SEVERITY>
...
<SEVERITY> – описано в 3 пункте.
...
10
...
Включить сохранение сообщений syslog в указанный файл журнала (при необходимости ведения локального syslog-файла).
...
esr(config)# syslog file <NAME>
...
<NAME> – имя файла, в который будет производиться запись сообщений заданного уровня, задается строкой до 31 символа.
...
esr(config-syslog-file)# match [not] process-name <PROCESS-NAME>
...
<PROCESS-NAME> – описано во 2 пункте.
...
esr(config-syslog-file)# severity <SEVERITY>
...
<SEVERITY> – описано в 3 пункте.
...
13
...
Указать максимальный размер файла журнала (не обязательно).
...
esr(config)# syslog file-size <SIZE>
...
<SIZE> – размер файла, принимает значение [10..10000000] Кбайт.
...
14
...
Задать максимальное количество файлов, сохраняемых при ротации (не обязательно).
...
esr(config)# syslog max-files <NUM>
...
<NUM> – максимальное количество файлов, принимает значения [1.. 1000].
...
15
...
Включить передачу сообщений syslog на удаленный syslog-сервер (при необходимости отправки сообщений на удаленный syslog-сервер).
...
esr(config)#syslog host <HOSTNAME>
...
<HOSTNAME> – наименование syslog-сервера, задаётся строкой до 31 символа. Используется только для идентификации сервера при конфигурировании. Значение «all» используется в команде no syslog host для удаления всех syslog-серверов;
...
<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].
...
<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];
Значение по умолчанию: IPv4/IPv6-адрес интерфейса, с которого отправляется пакеты на удаленный syslog-сервер.
...
<VRF> – имя экземпляра VRF, в котором доступен удаленный syslog-сервер, задается строкой до 31 символа;
Значение по умолчанию: отсутствует (глобальная таблица маршрутизации).
...
Значение по умолчанию: 514.
...
esr(config-syslog-host)# match [not] process-name <PROCESS-NAME>
...
<PROCESS-NAME> – описано во 2 пункте.
...
esr(config-syslog-host)# severity <SEVERITY>
...
<SEVERITY> – описано в 3 пункте.
...
23
...
Включить вывод отладочных сообщений во время загрузки устройства (не обязательно).
...
esr(config)#syslog reload debugging
...
24
...
Включить процесс логирования введенных команд пользователя на локальный syslog-сервер (не обязательно).
...
esr(config)# syslog cli-commands
...
25
...
Включить нумерацию сообщений (не обязательно).
...
esr(config)#syslog sequence-numbers
...
26
...
Включить точность даты сообщений до миллисекунд (не обязательно).
...
esr(config)#syslog timestamp msec
...
28
...
Включить регистрацию неудачных аутентификаций (не обязательно).
...
esr(config)#logging login on-failure
...
29
...
Включить регистрацию изменений настроек системы аудита (не обязательно).
...
esr(config)#logging syslog configuration
...
30
...
Включить регистрацию изменений настроек пользователя (не обязательно).
...
esr(config)#logging userinfo
| Scroll Pagebreak |
|---|
...
Пример настройки
Задача:
Настроить отправку сообщений для следующих системных событий:
- неудачная аутентификация пользователя;
- внесены изменения в конфигурацию логирования системных событий;
- старт/остановка системного процесса;
- внесены изменения в профиль пользователей.
IP-адрес маршрутизатора ESR – 192.168.52.8, IP-адрес Syslog-сервера – 192.168.52.41. Использовать параметры по умолчанию для отправки сообщений – протокол UDP порт 514.
Решение:
Предварительно нужно выполнить следующие действия:
- указать зону для интерфейса gi1/0/1;
- настроить IP-адрес для интерфейсов gi1/0/1.
Основной этап конфигурирования:
Создаем файл на маршрутизаторе для системного журнала, уровень сообщений для журналирования – info:
| Блок кода |
|---|
esr(config)# syslog file tmpsys:syslog/ESR
esr(config-syslog-file)# severity info
esr(config-syslog-file)# exit |
Указываем IP адрес и параметры удаленного syslog-сервера:
| Блок кода |
|---|
esr(config)# syslog host SERVER
esr(config-syslog-host)# remote-address 192.168.52.41
esr(config-syslog-host)# severity info
esr(config-syslog-host)# exit |
Задаем логирование неудачных попыток аутентификации:
| Блок кода |
|---|
esr(config)# logging login on-failure |
Задаем логирование изменений конфигурации syslog:
| Блок кода |
|---|
esr(config)# logging syslog configuration |
Задаем логирование старта/остановки системных процессов:
| Блок кода |
|---|
esr(config)# logging service start-stop |
| Scroll Pagebreak |
|---|
Задаем логирование внесений изменений в профиль пользователей:
| Блок кода |
|---|
esr(config)# logging userinfo |
Изменения конфигурации вступят в действие после применения:
| Блок кода |
|---|
esr# commit
Configuration has been successfully committed
esr# confirm
Configuration has been successfully confirmed |
Посмотреть текущую конфигурацию системного журнала:
| Блок кода |
|---|
esr# show syslog configuration |
Посмотреть записи системного журнала:
| Блок кода |
|---|
esr# show syslog ESR |
Проверка целостности
Проверка целостности подразумевает проверку целостности хранимых исполняемых файлов.
Процесс настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Запустить проверку целостности системы
...
esr# verify filesystem <detailed>
...
detailed – детальный вывод информации в консоль.
Пример конфигурации
Задача:
Проверить целостность файловой системы.
Решение:
Запускаем проверку целостности:
| Блок кода |
|---|
esr# verify filesystem
Filesystem Successfully Verified |
| Scroll Pagebreak |
|---|
Настройка архивации конфигурации маршрутизатора
На маршрутизаторах ESR предусмотрена функция локального и/или удаленного копирования конфигурации по таймеру или при применении конфигурации.
Процесс настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Перейти в режим настройки параметров резервирования конфигурации.
...
esr(config)# archive
...
2
...
Установить тип сохранения резервных конфигураций маршрутизатора
(не обязательно).
...
esr(config-ahchive)# type <TYPE>
...
<TYPE> – тип сохранения резервных конфигураций маршрутизатора. Принимает значения:
- local;
- remote;
- both.
Значение по умолчанию: remote.
...
3
...
Включить режим резервирования конфигурации по таймеру
(не обязательно).
...
esr(config-ahchive)# auto
...
4
...
Включить режим резервирования конфигурации после каждого успешного применения конфигурации
(не обязательно).
...
esr(config-ahchive)# by-commit
...
5
...
Указать путь для удаленного копирования конфигураций маршрутизатора
(обязательно для типов remote и both).
...
esr(config-ahchive)# path <PATH>
...
<PATH> – определяет протокол, адрес сервера, расположение и префикс имени файла на сервере.
...
6
...
Задать период времени для автоматического резервирования конфигурации (не обязательно, актуально только для режима auto).
...
esr(config-ahchive)# time-period <TIME>
...
<TIME> – периодичность автоматического резервирования конфигурации, принимает значение в минутах [1..35791394].
Значение по умолчанию: 720 минут.
...
7
...
Задать максимальное количество локально сохраняемых резервных копий конфигураций
(не обязательно, актуально при типах local и both).
...
esr(config-ahchive)# count-backup <NUM>
...
<NUM> – максимальное количество локально сохраняемых резервных копий конфигураций. Принимает значения в диапазоне [1..100].
Значение по умолчанию: 1.
Пример конфигурации
Задача:
Настроить локальное и удаленное резервное копирование конфигурации маршрутизатора 1 раз в сутки и при успешном изменении конфигурации. Удаленные копии необходимо отправлять на tftp-сервер 172.16.252.77 в подпапку esr-example. Максимальное количество локальных копий – 30.
Решение:
Для успешной работы удаленной архивации конфигураций, между маршрутизатором и сервером должна быть организована IP-связность, настроены разрешения на прохождение tftp-трафика по сети и сохранения файлов на сервере.
Основной этап конфигурирования:
Перейти в режим конфигурирования резервного копирования конфигураций:
| Блок кода |
|---|
esr# configure
esr(config)# archive |
Задать режим локального и удаленного резервного копирования конфигурации:
| Блок кода |
|---|
esr(config-archive)# type both |
Настроить путь для удаленного копирования конфигураций и максимальное количество локальных резервных копий:
| Блок кода |
|---|
esr(config-archive)# path tftp://172.16.252.77:/esr-example/esr-example.cfg
esr(config-archive)# count-backup 30 |
Задать интервал резервного копирования конфигурации в случае отсутствия изменений:
| Блок кода |
|---|
esr(config-archive)# time-period 1440 |
| Scroll Pagebreak |
|---|
Включить режимы архивации конфигурации маршрутизатора по таймеру и при успешном изменении конфигурации:
| Блок кода |
|---|
esr(config-archive)# auto
esr(config-archive)# by-commit |
После применения данной конфигурации 1 раз в сутки и при каждом успешном изменении конфигурации маршрутизатора на tftp-сервер будет отправляться конфигурационный файл с именем вида "esr-exampleYYYYMMDD_HHMMSS.cfg". Также на самом маршрутизаторе в разделе flash:backup/ будет создаваться файл с именем вида "config_YYYYMMDD_HHMMSS". Когда в разделе flash:backup/ накопится 30 таких файлов, при создании нового будет удаляться наиболее старый. Посмотреть можно командой:
| Блок кода |
|---|
esr(config)# show archive configuration |
...
IP SLA (Internet Protocol Service Level Agreement) — технология измерения активных компьютерных сетей. На маршрутизаторах ESR, сервис IP SLA использует непрерывную генерацию трафика для тестирования качественных и количественных характеристик каналов связи в сети передачи данных на базе протокола IP. Два основных понятия при рассмотрении сервиса IP SLA: SLA-agent (SLA-sender) – тестирующий маршрутизатор, отправляющий запросы; SLA-responder – удаленный/тестируемый маршрутизатор или произвольный хост, принимающий запросы от SLA-sender.
Алгоритм настройки SLA-теста
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Создать в системе новый SLA-тест и перейти в режим его конфигурирования.
...
esr(config)# ip sla test <NUM>
...
Задать режим тестирования канала связи и параметры тестирования. Разные режимы подразумевают различный набор параметров, которые необходимо указать. Для одного SLA-теста возможно указать только один набор параметров тестирования.
...
<DST-ADDRESS> – IPv4-адрес, на который будут направляться тестовые пакеты. Задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<SRC-ADDRESS> – IPv4-адрес, с которого будут отправляться тестовые пакеты. Задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IF> – тип и идентификатор интерфейса, IP-адрес которого будет использоваться в качестве адреса источника пакетов. Задаётся в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора;
<TUN> – тип и идентификатор туннеля, IP-адрес которого будет использоваться в качестве адреса источника пакетов. Задаётся в виде, описанном в разделе Типы и порядок именования туннелей маршрутизатора;
<INTERVAL> – интервал между отправкой каждого последующего тестового пакета. Может принимать значение [1..255] миллисекунд;
<NUM-PACKETS> – количество тестовых пакетов, отправляемых в рамках одной сессии тестирования. Может принимать значение [1..100000].
...
<DST-ADDRESS> – IPv4-адрес, на который будут направляться тестовые пакеты. Задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<DST-PORT> – номер UDP-порта назначения тестовых пакетов, принимает значения [1..65535];
<SRC-ADDRESS> – IPv4-адрес, с которого будут отправляться тестовые пакеты. Задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IF> – тип и идентификатор интерфейса, с IP-адреса которого будут отправляться тестовые пакеты. Задаётся в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора;
<TUN> – тип и идентификатор туннеля, с IP-адреса которого будут отправляться тестовые пакеты. Задаётся в виде, описанном в разделе Типы и порядок именования туннелей маршрутизатора;
<SRC-PORT> – номер UDP-порта источника тестовых пакетов, принимает значения [1..65535];
<INTERVAL> – интервал между отправкой каждого последующего тестового пакета. Может принимать значение [1..255] миллисекунд;
<NUM-PACKETS> – количество тестовых пакетов, отправляемых в рамках одной сессии тестирования. Может принимать значение [1..100000].
...
<TYPE> – тип отслеживаемой величины, может принимать значения:
- delay – формирование сообщений о превышении/нормализации задержек в канале;
- jitter – формирование сообщений о превышении/нормализации джиттера в канале;
- losses – формирование сообщений о превышении/нормализации потерь пакетов в канале.
<VALUE_H> – верхнее пороговое значение, при пересечении которого будет производиться информирование;
<VALUE_L> – нижнее пороговое значение, при пересечении которого будет производиться информирование.
...
esr(configt)# ip sla schedule { <TEST-NUMBER> | all } [ life { <LIFE-TIME> | forever } ] [ start-time { <MONTH> <DAY> <TIME> | now } ]
...
<TEST-NUMBER> – номер SLA-теста, может принимать значение [1..10000]. При использовании ключа "all" вместо номера, устанавливается расписание работы для всех активированных SLA-тестов;
<LIFE-TIME> – время жизни теста, может принимать значение [1..2147483647] секунд;
forever – время жизни теста не ограничено;
<TIME> – время начала теста, задаётся в виде HH:MM:SS, где:
HH – часы, может принимать значение [0..23];
MM – минуты, может принимать значение [0..59];
SS – секунды, может принимать значение [0..59];
<MONTH> – месяц начала теста, принимает значения [ January / February / March / April / May / June / July / August / September / October / November / December ];
<DAY> – день месяца начала теста, может принимать значение [1..31];
now – начать тест немедленно.
...
<TYPE> – название группы информационных сообщений, может принимать значения:
- error – отображение сообщений об ошибках в работе SLA-тестов, причинах их провала, а также ошибок в работе SLA-responder (если таковой сконфигурирован в системе);
- delay – отображение сообщений о превышении/нормализации значений, установленных в thresholds delay;
- jitter – отображение сообщений о превышении/нормализации значений, установленных в thresholds jitter;
- losses – отображение сообщений о превышении/нормализации значений, установленных в thresholds losses;
- status – отображение сообщений о смене статуса SLA-теста.
...
Шаг
...
Описание
...
Команда
...
Ключи
...
<TYPE> – название целевой платформы SLA-agent, может принимать значения:
- eltex – функционал Eltex SLA-responder для Eltex SLA-agent;
- cisco – функционал Cisco SLA-responder для Cisco SLA-agent.
...
Пример настройки ICMP-режима тестирования
Задача:
Настроить постоянную проверку доступности публичного DNS-сервера с IP-адресом 8.8.8.8. Интерфейс, имеющий доступ в сеть Интернет gi1/0/1, имеет адрес 192.168.44.15.
Решение:
Для выяснения сетевой доступности достаточной является проверка с помощью ICMP-запросов. Для этого настроим SLA-тест с типом icmp-echo и всеми параметрами по умолчанию:
| Блок кода |
|---|
esr# configure
esr(config)# ip sla test 1
esr(config-sla-test)# icmp-echo 8.8.8.8 source-ip 192.168.44.15
esr(config-sla-test)# enable
esr(config-sla-test)# exit
esr(config)# ip sla schedule 1 life forever start-time now
|
Также включим логирование событий смены статуса теста и сообщений о причинах неудачи (на случай, если адрес перестанет быть доступен).
| Блок кода |
|---|
esr(config)# ip sla logging status
esr(config)# ip sla logging error
esr(config)# ip sla
esr(config)# exit
esr# commit
|
После применения конфигурации тест стартует, и выводится сообщение о его текущем состоянии:
| Блок кода |
|---|
esr# 2023-12-13T14:01:55+00:00 %IP_SLA-I-STATUS: (test 1) State changed to success
|
| Scroll Pagebreak |
|---|
Сводную информацию о результате и конфигурации теста можно вывести командой:
| Блок кода |
|---|
esr# show ip sla test status
Test Type Source Destination Status Last Run
------- ------------ ---------------- ---------------- ------------ ------------------
1 icmp-echo 192.168.44.15 8.8.8.8 Successful 1 second(s) ago
|
Пример настройки UDP-режима тестирования
Задача:
Настроить тестирование качества канала связи между двумя маршрутизаторами ELTEX. Маршрутизаторы находятся в одной подсети 198.18.3.0/24.
Решение:
Измерение качества канала связи (задержки, потери, дубликаты при передаче трафика и др.) возможно с использованием UDP-тестирования. Сконфигурируем SLA-тест с типом udp-jitter, который будет измерять количественные характеристики канала связи, а также сигнализировать о превышении установленных порогов.
Сконфигурируем на R1 SLA-тест udp-jitter с адресом назначения R2 (198.18.3.20). Поскольку ограничений на выбор портов не обозначено, воспользуемся портами 20002 на отправку и на получение. Также укажем интервал между пакетами, равный 10 мс, чтобы ускорить общий поток тестового трафика.
| Блок кода |
|---|
R1# configure
R1(config)# ip sla test 2
R1(config-sla-test)# udp-jitter 198.18.3.20 20002 source-ip 198.18.3.10 source-port 20002 interval 10
|
Далее установим пороговые значения для информирования об ухудшении качества канала: максимальные значения двусторонней задержки – 15 мс, джиттера – 5мс и потерь – 5 пакетов (из 100 в настройках по умолчанию):
| Блок кода |
|---|
R1(config-sla-test)# thresholds delay high 15
R1(config-sla-test)# thresholds jitter forward high 5
R1(config-sla-test)# thresholds jitter reverse high 5
R1(config-sla-test)# thresholds losses high 5 |
| Scroll Pagebreak |
|---|
Активируем тест и зададим расписание, согласно которому тест запустится немедленно и не будет иметь ограничений по следующим перезапускам:
| Блок кода |
|---|
R1(config-sla-test)# enable
R1(config)# ip sla schedule 2 start-time now life forever |
Включим отображение всех групп сообщений, активируем сервис SLA-agent и применим конфигурацию:
| Блок кода |
|---|
R1(config)# ip sla logging status
R1(config)# ip sla logging error
R1(config)# ip sla logging delay
R1(config)# ip sla logging jitter
R1(config)# ip sla logging losses
R1(config)# ip sla
R1(config)# exit
R1# commit |
Тест будет завершаться ошибкой до тех пор, пока не будет активирован Eltex SLA-responder на второй стороне – маршрутизаторе R2:
| Блок кода |
|---|
R1# 2023-12-13T14:01:55+00:00 %IP_SLA-I-STATUS: (test 2) State changed to fail
R1# 2023-12-13T14:01:55+00:00 %IP_SLA-E-ERROR: (test 2) Control phase failed: destination host is not responding |
Для этого перейдем в режим конфигурирования интерфейса, адрес которого ранее был указан как адрес назначения SLA-теста, и включим на нем Eltex SLA-responder:
| Блок кода |
|---|
R2(config)# interface gigabitethernet 1/0/1
R2(config-if-gi)# ip sla responder eltex
R2(config-if-gi)# exit
R2(config)# exit
R2# commit |
| Подсказка |
|---|
Порт назначения пакетов аутентификации по умолчанию – 1800 и должен быть открыт на R2. Если прохождение трафика по данному порту запрещено, необходимо изменить настройку портов, воспользовавшись алгоритмом настройки параметров аутентификации, а также командами из раздела Настройка SLA-Responder. |
После активации SLA-responder тест перейдет в состояние 'Успешно'.
| Блок кода |
|---|
2023-12-13T15:35:32+00:00 %IP_SLA-I-STATUS: (test 2) State changed to success |
При ухудшении характеристик канала и, вследствие, превышения обозначенных пороговых значений, на R1 будут выводиться сообщения вида:
| Блок кода |
|---|
2023-12-13T15:59:22+00:00 %IP_SLA-I-DELAY: (test 2) Two-way delay is high: 50.71ms > 15ms
2023-12-13T16:00:40+00:00 %IP_SLA-I-LOSSES: (test 2) Total losses are high: 43 > 5
2023-12-13T16:04:04+00:00 %IP_SLA-I-JITTER: (test 2) One-way jitter in forward direction is high: 9.41ms > 5ms
2023-12-13T16:04:04+00:00 %IP_SLA-I-JITTER: (test 2) One-way jitter in reverse direction is high: 9.41ms > 5ms |
Просмотреть результаты измерений теста можно командой:
| Блок кода |
|---|
R1# show ip sla test statistics 2
Test number: 2
Test status: Successful
Transmitted packets: 100
Lost packets: 39 (39.00%)
Lost packets in forward direction: 0 (0.00%)
Lost packets in reverse direction: 39 (39.00%)
One-way delay forward min/avg/max: 0.08/94.10/130.86 milliseconds
One-way delay reverse min/avg/max: 0.08/94.10/130.86 milliseconds
One-way jitter forward: 35.94 milliseconds
One-way jitter reverse: 35.94 milliseconds
Two-way delay min/avg/max: 0.15/188.19/261.73 milliseconds
Duplicate packets: 5
Out of sequence packets in forward direction: 0
Out of sequence packets in reverse direction: 40 |
...
Шаг
...
Описание
...
Команда
...
Ключи
...
<ALGORITHM> – алгоритм хеширования, принимает значения [sha-256, hmac-sha-256].
...
<CLEAR-TEXT> – строка длиной от 8 до 16 символов;
<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).
...
<CLEAR-TEXT> – строка длиной от 8 до 16 символов;
<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).
...
<TIME_B> – устанавливаемое время начала действия ключа, задаётся в виде HH:MM:SS, где:
HH – часы, принимает значение [0..23];
MM – минуты, принимает значение [0 .. 59];
SS – секунды, принимает значение [0 .. 59].
<DAY_B> – день месяца начала действия ключа, принимает значения [1..31];
<MONTH_B> – месяц начала использования ключа, принимает значения [January/February/March/April/May/June/July/August/September/October/November/December];
<YEAR_B> – год начала использования ключа, принимает значения [2001..2037];
<TIME_E> – устанавливаемое время окончания действия ключа, задаётся в виде HH:MM:SS, где:
HH – часы, принимает значение [0..23];
MM – минуты, принимает значение [0 .. 59];
SS – секунды, принимает значение [0 .. 59].
<DAY_E> – день месяца окончания действия ключа, принимает значения [1..31];
<MONTH_E> – месяц окончания действия ключа, принимает значения [January/February/March/April/May/June/July/August/September/October /November/December];
<YEAR_E> – год окончания действия ключа, принимает значения [2001..2037].
...
<TIME_B> – устанавливаемое время начала действия ключа, задаётся в виде HH:MM:SS, где:
HH – часы, принимает значение [0..23];
MM – минуты, принимает значение [0 .. 59];
SS – секунды, принимает значение [0 .. 59].
<DAY_B> – день месяца начала действия ключа, принимает значения [1..31];
<MONTH_B> – месяц начала использования ключа, принимает значения [January/February/March/April/May/June/July/August/September/October/November/December];
<YEAR_B> – год начала использования ключа, принимает значения [2001..2037];
<TIME_E> – устанавливаемое время окончания действия ключа, задаётся в виде HH:MM:SS, где:
HH – часы, принимает значение [0..23];
MM – минуты, принимает значение [0 .. 59];
SS – секунды, принимает значение [0 .. 59].
<DAY_E> – день месяца окончания действия ключа, принимает значения [1..31];
<MONTH_E> – месяц окончания действия ключа, принимает значения [January/February/March/April/May/June/July/August/September/October /November/December];
<YEAR_E> – год окончания действия ключа, принимает значения [2001..2037].
...
<TIME> – интервал между попытками, может принимать значение [1..86400] секунд.
...
<VRF> – имя экземпляра VRF, задаётся строкой длиной до 31 символа. При указании данного параметра, SLA-responder включается в указанном VRF.
...
<CLEAR-TEXT> – строка длиной от 8 до 16 символов;
<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).
...
Пример конфигурации UDP-теста с аутентификацией по ключ-строке
Задача:
Установить нестандартные порты отправки и получения запросов аутентификации, а для аутентификации использовать ключ-строку. Базовый UDP-тест уже настроен.
Решение:
Конфигурация активного UDP-теста:
| Блок кода |
|---|
R-sender# show running-config sla
ip sla
ip sla logging error
ip sla logging status
ip sla test 1
udp-jitter 10.0.0.1 20001 source-ip 10.0.0.2 source-port 20002
enable
exit
ip sla schedule 1 life forever start-time now
|
| Блок кода |
|---|
R-responder# show running-config sla
interface gigabitethernet 1/0/3
ip sla responder eltex
exit
|
Изменим порты отправки и получения запросов аутентификации (пакетов контрольной фазы). Для аутентификации будем использовать порт отправки – 50000 и порт получения – 49500. Для этого укажем их в параметрах SLA-теста:
| Блок кода |
|---|
R-sender# configure
R-sender(config)# ip sla test 1
R-sender(config)# ip sla test 1
R-sender(config-sla-test)# control-phase destination-port 49500
R-sender(config-sla-test)# control-phase source-port 50000
|
Таким образом, при каждом новом запуске SLA-теста первая пара запрос-ответ будет происходить по адресам 10.0.0.2:50000 ↔ 10.0.0.1:49500, а последующий тестовый трафик – 10.0.0.2:20002 ↔ 10.0.0.1:20001.
Здесь же укажем алгоритм для хеширования ключа и сам ключ:
| Блок кода |
|---|
R-sender(config-sla-test)# control-phase authentication algorithm sha-256
R-sender(config-sla-test)# control-phase authentication key-string ascii-text sla_password
R-sender(config-sla-test)# end
R-sender# commit
|
| Scroll Pagebreak |
|---|
Далее необходимо продублировать эти параметры на ответной стороне. Для этого перейдем в режим конфигурирования интерфейса, который выступает SLA-Responder, и укажем порт прослушивания запросов аутентификации:
| Блок кода |
|---|
R-responder# configure
R-responder(config)# interface gigabitethernet 1/0/3
R-responder(config-if-gi)# ip sla responder eltex port 49500
R-responder(config-if-gi)# exit
R-responder(config)#
|
После этого необходимо перейти в параметры SLA-Responder и указать там тот же алгоритм хеширования и ключ-пароль:
| Блок кода |
|---|
R-responder(config)# ip sla responder
R-responder(config-sla-responder)# authentication algorithm sha-256
R-responder(config-sla-responder)# authentication key-string ascii-text sla_password
R-responder(config-sla-responder)# end
R-responder# commit
|
Таким образом конфигурации R-sender и R-responder:
| Блок кода |
|---|
R-sender# show running-config sla
ip sla
ip sla logging error
ip sla logging status
ip sla test 1
control-phase destination-port 49500
control-phase source-port 50000
control-phase authentication algorithm sha-256
control-phase authentication key-string ascii-text encrypted 8CB5107EA7005AFF2D
udp-jitter 10.0.0.1 20001 source-ip 10.0.0.2 source-port 20002
enable
exit
ip sla schedule 1 life forever start-time now
|
| Блок кода |
|---|
R-responder# show running-config sla
interface gigabitethernet 1/0/3
ip sla responder eltex port 49500
ip sla responder eltex
exit
ip sla responder
authentication algorithm sha-256
authentication key-string ascii-text encrypted 8CB5107EA7005AFF2D
exit
|
| Scroll Pagebreak |
|---|
Пример конфигурации UDP-теста с аутентификацией по связке ключей
Задача:
Изменить конфигурацию, приведенную в примере выше, используя при этом связки ключей.
Решение:
После указания портов аутентификации, создадим связку ключей и новый ключ:
| Блок кода |
|---|
R-sender(config)# key-chain SLA_CHAIN
R-sender(config-key-chain)# key 1
R-sender(config-key-chain-key)# key-string ascii-text sla_password
R-sender(config-key-chain-key)# exit
R-sender(config-key-chain)# exit
R-sender(config)#
|
Привяжем созданную связку к SLA-agent, а ключ из связки привяжем к SLA-тесту:
| Блок кода |
|---|
R-sender(config)# ip sla key-chain SLA_CHAIN
R-sender(config)# ip sla test 1
R-sender(config-sla-test)# control-phase authentication key-id 1
R-sender(config-sla-test)# end
R-sender# commit
|
Аналогичные действия произведем на R-responder. Создадим связку ключей с необходимым ключом и привяжем связку к SLA-Responder:
| Блок кода |
|---|
R-responder(config)# key-chain SLA
R-responder(config-key-chain)# key 1
R-responder(config-key-chain-key)# key-string ascii-text sla_password
R-responder(config-key-chain-key)# exit
R-responder(config-key-chain)# exit
R-responder(config)# ip sla responder
R-responder(config-sla-responder)# authentication key-chain SLA
R-responder(config-sla-responder)# end
R-responder# commit |
| Scroll Pagebreak |
|---|
Таким образом конфигурации R-sender и R-responder:
| Блок кода |
|---|
R-sender# show running-config
key-chain SLA_CHAIN
key 1
key-string ascii-text encrypted 8FB80252A00E5BE802FA0217
exit
exit
ip sla key-chain SLA_CHAIN
ip sla
ip sla logging error
ip sla logging status
ip sla test 1
control-phase destination-port 49500
control-phase source-port 50000
control-phase authentication algorithm sha-256
control-phase authentication key-id 1
udp-jitter 10.0.0.1 20001 source-ip 10.0.0.2 source-port 20002
enable
exit
ip sla schedule 1 life forever start-time now |
| Блок кода |
|---|
R-responder# show running-config
key-chain SLA
key 1
key-string ascii-text encrypted 8FB80252A00E5BE802FA0217
exit
exit
interface gigabitethernet 1/0/3
***
ip sla responder eltex port 49500
ip sla responder eltex
exit
ip sla responder
authentication algorithm sha-256
authentication key-chain SLA
exit |
Использование связок ключей позволяет комбинировать различные уникальные пароли для аутентификации между SLA-agent и SLA-Responder.