Дерево страниц

Сравнение версий

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Включим сбор экспорта статистики netflow Netflow на сетевом интерфейсе gi1/0/1:

Блок кода
esr(config)# interface gigabitethernet 1/0/1
esr(config-if-gi)# ip netflow export

Активируем netflow Netflow на маршрутизаторе:

Блок кода
еsr(config)# netflow enable

...

Настройка Netflow для учета трафика между зонами аналогична настройке sFlow, описание приведено в разделе Мониторинг#Настройка Настройка sFlow.

Scroll Pagebreak
Якорь
Настройка sFlow
Настройка sFlow
Настройка sFlow

Sflow SFlow — стандарт для мониторинга компьютерных сетей, беспроводных сетей и сетевых устройств, предназначенный для учета и анализа трафика.

...

Шаг

Описание

Команда

Ключи

1

Включить SNMP-сервер.

esr(config)# snmp-server


2

Определить community для доступа по протоколу SNMPv2c.

esr(config)# snmp-server community <COMMUNITY> [ <TYPE> ]
[ { <IP-ADDR> | <IPV6-ADDR> } ]
[ client-list <OBJ-GROUP-NETWORK-NAME> ]
[ <VERSION> ] [ view <VIEW-NAME> ] [ vrf <VRF> ]

<COMMUNITY> – сообщество для доступа по протоколу SNMP;

<TYPE> – уровень доступа:

  • ro – доступ только для чтения;
  • rw – доступ для чтения и записи.

<IP-ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, от которых обрабатываются snmp-запросы, задаётся строкой до 31 символа;

<VERSION> – версия snmp, поддерживаемая данным community, принимает значения v1 или v2c;

<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа;

<VRF> – имя экземпляра VRF, из которого будет разрешен доступ, задается строкой до 31 символа.

3

Устанавливает значение переменной SNMP, содержащей контактную информацию.

esr(config)# snmp-server contact <CONTACT>

<CONTACT> – контактная информация, задается строкой до 255 символов.

4

Установить значение кода DSCP для использования в IP-заголовке исходящих пакетов SNMP-сервера (не обязательно).

esr(config)# snmp-server dscp <DSCP>

<DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

5

Разрешить перезагрузку маршрутизатора при помощи snmp-сообщений (не обязательно).

esr(config)# snmp-server system-shutdown


6

Cоздать SNMPv3-пользователь.

esr(config)# snmp-server user <NAME>

<NAME> – имя пользователя, задаётся строкой до 31 символа.

7

Устанавливает значение переменной SNMP, содержащей информацию о расположении оборудования.

esr(config)# snmp-server location <LOCATION>

<LOCATION> – информация о расположении оборудования, задается строкой до 255 символов.

8

Определить уровень доступа пользователя по протоколу SNMPv3.

esr(config-snmp-user)# access <TYPE>

<TYPE> – уровень доступа:

  • ro – доступ только для чтения;
  • rw – доступ для чтения и записи.

9

Определить режим безопасности пользователя по протоколу SNMPv3.

esr(config-snmp-user)# authentication access <TYPE>

<TYPE> – режим безопасности:

  • auth – используется только аутентификация;
  • priv – используется аутентификация и шифрование данных.

10

Определить алгоритм аутентификации SNMPv3-запросов.

esr(config-snmp-user)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм шифрования:

  • md 5 – пароль шифруется по алгоритму md5;
  • sha 1 – пароль шифруется по алгоритму sha1.

11

Установить пароль для аутентификации SNMPv3-запросов.

esr(config-snmp-user)# authentication key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }

<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;

  • encrypted – при указании команды задается зашифрованный пароль:

<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).

12

Активировать фильтрацию и установить профиль IP-адресов, с которых могут приниматься SNMPv3-пакеты с данным именем SNMPv3-пользователя.

esr(config-snmp-user)# client-list <NAME>

<NAME> – имя ранее сознанной object-group, задается строкой до 31 символа.

13Указать vrf для SNMPv3-пользователя (не обязательно).esr-21(config-snmp-user)# ip vrf forwarding <VRF><VRF> – имя экземпляра VRF, из которого будет разрешен доступ, задается строкой до 31 символа.

14

Активировать фильтрацию и установить IPv4/IPv6-адрес, которому предоставлен доступ к маршрутизатору под данным SNMPv3-пользователем.

esr(config-snmp-user)# ip address <ADDR>

<ADDR> – IP-адрес клиента, которому предоставлен доступ, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

esr(config-snmp-user)# ipv6 address <ADDR>

<IPV6-ADDR> – IPv6-адрес клиента, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].

15

Активировать SNMPv3-пользователя.

esr(config-snmp-user)# enable

Значение по умолчанию: процесс выключен.

16

Определить алгоритм шифрования передаваемых данных.

esr(config-snmp-user)# privacy algorithm <ALGORITHM>

<ALGORITHM> – алгоритм шифрования:

  • aes 128 – использовать алгоритм шифрования AES-128;
  • des – использовать алгоритм шифрования DES.

17

Установить пароль для шифрования передаваемых данных.

esr(config-snmp-user)# privacy key ascii-text
{ <CLEAR-TEXT> | encrypted <ENCRYPTED-TEXT> }

<CLEAR-TEXT> – пароль, задаётся строкой от 8 до 16 символов;

<ENCRYPTED-TEXT> – зашифрованный пароль размером от 8 байт до 16 байт (от 16 до 32 символов) в шестнадцатеричном формате (0xYYYY...) или (YYYY...).

18

Установить профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для user.

esr(config-snmp-user)# view <VIEW-NAME>

<VIEW-NAME> – имя SNMP view профиля, на основании которого обеспечивается доступ к OID, задается строкой до 31 символа.

19

Включить передачу SNMP-уведомлений на указанный IP-адрес и перейти в режим настройки SNMP-уведомлений.

esr(config)# snmp-server host
{ <IP-ADDR> | <IPV6-ADDR> } [vrf <VRF>]

<IP-ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

<VRF> – имя экземпляра VRF, в котором находится коллектор SNMP-уведомлений, задается строкой до 31 символа.

20

Определить порт коллектора SNMP-уведомлений на удаленном сервере (не обязательно).

esr(config-snmp-host)# port <PORT>

<PORT> – номер UDP-порта, указывается в диапазоне [1..65535].

Значение по умолчанию: 162.

21

Разрешить отправку SNMP-уведомлений различных типов.

esr(config)# snmp-server enable traps <TYPE>

<TYPE> – тип фильтруемых сообщений. Может принимать значения:

config, entry, entry-sensor, environment, envmon, files-operations, flash, flash-operations, interfaces, links, ports, screens, snmp, syslog.

Дополнительные параметры зависят от типа фильтра. См. ESR-Series. Справочник справочник команд CLI.

22

Создать профиль snmp view, позволяющий разрешать или запрещать доступ к тем или иным OID для community (SNMPv2) и user (SNMPv3).

esr(config)# snmp-server enable traps <TYPE>

<VIEW-NAME> – имя профиля SNMP view, задаётся строкой до 31 символа.

...

Шаг

Описание

Команда

Ключи

1

Перейти в контекст настройки агента/proxy.

esr(config)# zabbix-agent

esr(config)# zabbix-proxy


2

Указать имя узла сети (опционально).

Для активного режима имя должно совпадать с именем узла сети на Zabbix-cервере.

esr(config-zabbix)# hostname  <WORD>

esr(config-zabbix-proxy)# hostname <WORD>

<WORD> – имя узла сети, задается строкой до 255 символов.

3

Указать адрес Zabbix-cервера.

esr(config-zabbix)# server <ADDR>

esr(config-zabbix-proxy)# server <ADDR>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

4

Указать адрес сервера для активных проверок (при использовании активного режима).

esr(config-zabbix)# active-server <ADDR> <PORT>

esr(config-zabbix-proxy)# active-server <ADDR> <PORT>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

<PORT> – порт сервера, задается в диапазоне [1..65535].

Значение по умолчанию 10051.

5

Указать порт, который будет слушать агент/прокси (не обязательно).

esr(config-zabbix)# port <PORT>

esr(config-zabbix-proxy)# port <PORT>


<PORT> – порт, который слушает zabbix-агент/прокси, задается в диапазоне [1..65535].

Значение по умолчанию: 10050.

6

Разрешить выполнение удаленных команд zabbix-агентом/прокси (при использовании активного режима).

esr(config-zabbix)# remote-commands

esr(config-zabbix-proxy)# remote-commands


7

Указать адрес, с которого будет осуществляться взаимодействием с сервером (не обязательно).

esr(config-zabbix)# source-address <ADDR>

esr(config-zabbix-proxy)# source-address <ADDR>

<ADDR> – IP-адрес сервера, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].
Значение по умолчанию: ближайший адрес по маршрутизации.

8

Указать время обработки удаленных команд (не обязательно).

esr(config-zabbix)# timeout <TIME>

esr(config-zabbix-proxy)# timeout <TIME>

<TIME> – время ожидания, определяется в секундах [1..30].

Значение по умолчанию 3. Рекомендуется устанавливать максимальное значение, т. к. некоторые команды могут выполняться дольше значения по умолчанию.

Если за указанное время команда не будет выполнена, то обработка команды будет прекращена.

9

Включить функционал агента/прокси.

esr(config-zabbix)# enable

esr(config-zabbix-proxy)# enable


10Разрешить из соответствующей зоны безопасности firewall обращение к маршрутизатору (в зону self) по TCP-портам 10050, 10051. См. раздел Конфигурирование Firewall.

...

Маршрутизаторы ESR поддерживают выполнение следующих привилегированных команд:

  • Ping:

    Блок кода
    zabbix_get -s {HOST.CONN}  -p 10050 -k "system.run[ sudo ping -c 3 192.168.32.101]"

    Клиент (ESR), получивший данную команду от сервера, выполнит ping до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.

    Примечание

    Использование ключа "-c" с указанием количества пакетов в тесте — обязательно. Без данного ключа команда ping не остановится самостоятельно и тест не будет считаться завершенным.


  • Ping в VRF:

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo  netns -exec -n backup sudo ping 192.168.32.101 -c 5 -W 2 ]"

    Вышеупомянутая команда будет выполнена в заданном VRF с именем backup.

  • Fping

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo fping 192.168.32.101]"

    Клиент (ESR), получивший данную команду от сервера, выполнит fping до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.

    Scroll Pagebreak

  • Fping в VRF

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[sudo  netns-exec -n backup sudo fping 192.168.32.101 ]"


  • Traceroute

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo traceroute 192.168.32.101]

    Клиент (ESR), получивший данную команду от сервера, выполнит traceroute до заданного узла (в нашем примере до 192.168.32.101), и вернет результат серверу.


  • Traceroute в VRF

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo  netns-exec -n backup sudo traceroute 192.168.32.179]"


  • Iperf

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo iperf -c 192.168.32.101 -u -b 100K -i 1 -t 600]"

    Клиент (ESR), получивший данную команду от сервера, выполнит iperf до заданного сервера (в нашем примере до 192.168.32.101), и вернет результат серверу.


  • Iperf3

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo iperf3 -c 192.168.32.101 -u -b 100K -i 1 -t 600]"


  • Iperf в VRF

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo  netns-exec -n backup  sudo iperf -c 192.168.32.101 -u -b 100K -i 1 -t 600]"


  • Iperf3 в VRF 

    Блок кода
    zabbix_get -s {HOST.CONN} -p 10050 -k "system.run[ sudo  netns-exec -n backup sudo iperf3 -c 192.168.32.101 -u -b 100K -i 1 -t 600]"


  • Nslookup

    Блок кода
    zabbix_get -s  {HOST.CONN} -p 10050 -k "system.run[sudo  nslookup ya.ru ]"

    Клиент (ESR), получивший данную команду от сервера, выполнит nslookup, и вернет результат серверу.


  • Nslookup в VRF

    Блок кода
    zabbix_get -s  {HOST.CONN} -p 10050 -k "system.run[sudo  netns-exec  sudo   nslookup ya.ru ]"

    Scroll Pagebreak
    Пример выполнения команды Iperf:

...

Шаг

Описание

Команда

Ключи

1

Включить отправку syslog-сообщений на snmp-сервер в виде snmp-trap.

esr(config)# syslog snmp


2Активировать или деактивировать отправку на snmp-сервер событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-snmp)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – см. в cправочнике команд CLI.

Если описаны разрешающие критерии (match process-name) – логируются только сообщения указанных процессов.

Если указаны запрещающие критерии (match not process-name) – логируются сообщения всех не запрещенных процессов.

По умолчанию разрешено логирование сообщений всех процессов.

3Указать уровень важности сообщений, которые будут отправляться на snmp-сервер.

esr(config-syslog-snmp)# severity <SEVERITY>

<SEVERITY> – уровень важности сообщения, принимает значения (в порядке убывания важности):

  • emerg – в системе произошла критическая ошибка, система неработоспособна;
  • alert – сигналы тревоги, необходимо немедленное вмешательство персонала;
  • crit – критическое состояние системы, сообщение о событии;
  • error – сообщения об ошибках;
  • warning – предупреждения, неаварийные сообщения;
  • notice – сообщения о важных системных событиях;
  • info – информационные сообщения системы;
  • debug – отладочные сообщения, предоставляют пользователю информацию для корректной настройки системы;
  • none – отключает вывод syslog-сообщений.

4

Включить отображение syslog-сообщений при удаленных подключениях (Telnet, SSH) (не обязательно).

esr(config)# syslog monitor


5Активировать или деактивировать отображение при удаленных подключениях событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-monitor)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – описано во 2 пункте.

6Указать уровень важности сообщений, которые будут отображаться при удаленных подключениях.

esr(config-syslog-monitor)# severity <SEVERITY>

<SEVERITY> – описано в 3 пункте.

7Включить отображение syslog-сообщений при консольном подключении (не обязательно).esr(config)# syslog console
8Активировать или деактивировать отображение при консольном подключении событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-console)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – описано во 2 пункте.

9Указать уровень важности сообщений, которые будут отображаться при консольном подключении.

esr(config-syslog-console)# severity <SEVERITY>

<SEVERITY> – описано в 3 пункте.

10

Включить сохранение сообщений syslog в указанный файл журнала (при необходимости ведения локального syslog-файла).

esr(config)# syslog file <NAME> 

<NAME> – имя файла, в который будет производиться запись сообщений заданного уровня, задается строкой до 31 символа;.

11Активировать или деактивировать сохранение в локальный syslog-файл событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-file)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – описано во 2 пункте.

12Указать уровень важности сообщений, которые будут сохраняться в локальный syslog-файл.

esr(config-syslog-file)# severity <SEVERITY>

<SEVERITY> – описано в 3 пункте.

13

Указать максимальный размер файла журнала (не обязательно).

esr(config)# syslog file-size <SIZE>

<SIZE> – размер файла, принимает значение [10..10000000] Кбайт.

14

Задать максимальное количество файлов, сохраняемых при ротации (не обязательно).

esr(config)# syslog max-files <NUM>

<NUM> – максимальное количество файлов, принимает значения [1.. 1000].

15

Включить передачу сообщений syslog на удаленный syslog-сервер (при необходимости отправки сообщений на удаленный syslog-сервер).

esr(config)#syslog host <HOSTNAME> <ADDR> <TRANSPORT>

<HOSTNAME> – наименование syslog-сервера, задаётся строкой до 31 символа. Используется только для идентификации сервера при конфигурировании. Значение «all» используется в команде no syslog host для удаления всех syslog-серверов;

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<TRANSPORT> – протокол передачи данных, опциональный параметр, принимает значения:

  • TCP – передача данных осуществляется по протоколу TCP;
  • UDP – передача данных осуществляется по протоколу UDP.
16Указать IPv4/IPv6-адрес удаленного syslog-сервера.esr(config-syslog-host)# remote-address { <ADDR> | <IPV6-ADDR> }

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF].

17Указать  IPv4Указать IPv4/IPv6-адрес маршрутизатора, от которого будут отправляться пакеты на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# source-address { <ADDR> | <IPV6-ADDR> }

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IPV6-ADDR> – IPv6-адрес, задаётся в виде X:X:X:X::X, где каждая часть принимает значения в шестнадцатеричном формате [0..FFFF];

Значение по умолчанию: IPv4/IPv6-адрес интерфейса, с которого отправляется пакеты на удаленный syslog-сервер.

18Указать транспортный протокол для передачи пакетов на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# transport { tcp | udp }

<VRF> – имя экземпляра VRF, в котором доступен удаленный syslog-сервер, задается строкой до 31 символа;

Значение по умолчанию: отсутствует (глобальная таблица маршрутизации).

19Указать имя экземпляра VRF, в рамках которого будут отправляться пакеты на удаленный syslog-сервер (не обязательно).esr(config-syslog-host)# vrf <VRF>
20Указать номер TCP/UDP-порта, на который будут отправляться пакеты с syslog-сообщениями (не обязательно).esr(config-syslog-host)# port <PORT>
<PORT> – номер TCP/UDP-порта, на который будут отправляться пакеты с syslog-сообщениями.

Значение по умолчанию: 514.

21Активировать или деактивировать отправку на удаленный syslog-сервер событий работы отдельных процессов маршрутизатора (не обязательно).

esr(config-syslog-host)# match [not] process-name <PROCESS-NAME>

<PROCESS-NAME> – описано во 2 пункте.

22Указать уровень важности сообщений, которые будут сохраняться в локальный syslog-файл.

esr(config-syslog-host)# severity <SEVERITY>

<SEVERITY> – описано в 3 пункте.

23

Включить вывод отладочных сообщений во время загрузки устройства (не обязательно).

esr(config)#syslog reload debugging


24

Включить процесс логирования введенных команд пользователя на локальный syslog-сервер (не обязательно).

esr(config)# syslog cli-commands


25

Включить нумерацию сообщений (не обязательно).

esr(config)#syslog sequence-numbers


26

Включить точность даты сообщений до миллисекунд (не обязательно).

esr(config)#syslog timestamp msec


27Включить отображение имени процесса, который сформировал сообщение (не обязательно).esr(config)#syslog program-name

28

Включить регистрацию неудачных аутентификаций (не обязательно).

esr(config)#logging login on-failure


2829

Включить регистрацию изменений настроек системы аудита (не обязательно).

esr(config)#logging syslog configuration


2930

Включить регистрацию изменений настроек пользователя (не обязательно).

esr(config)#logging userinfo


...

Блок кода
esr(config)# syslog file tmpsys:syslog/ESR
esr(config-syslog-file)# severity info
esr(config-syslog-file)# exit

Указываем IP адрес и параметры удаленного syslog-сервера:

Блок кода
esr(config)# syslog host SERVER
esr(config-syslog-host)# remote-address 192.168.1752.30 info udp 51441
esr(config-syslog-host)# severity info
esr(config-syslog-host)# exit

Задаем логирование неудачных попыток аутентификации:

...

Проверить целостность файловой системы:.

Решение:

Запускаем проверку целостности:

Блок кода
esr# verify filesystem
Filesystem Successfully Verified

Scroll Pagebreak

Настройка архивации конфигурации маршрутизатора

...

После применения данной конфигурации 1 раз в сутки и при каждом успешном изменении конфигурации маршрутизатора на tftp-сервер будет отправляться конфигурационный файл с именем вида "esr-exampleYYYYMMDD_HHMMSS.cfg". Также на самом маршрутизаторе в разделе flash:backup/ будет создаваться файл с именем вида "config_YYYYMMDD_HHMMSS". Когда в разделе flash:backup/ накопится 30 таких файлов, при создании нового будет удаляться наиболее старый. Посмотреть можно командой:

Блок кода
esr(config)# show archive configuration