История страницы

Якорь
factory_config factory_config

Заводская конфигурация устройства (только для ESBC-3200)

При отгрузке устройства клиенту на устройство пограничном контроллере сессий будет загружена заводская конфигурация, которая включает минимально необходимые базовые настройки. Заводская конфигурация позволяет использовать маршрутизатор пограничный контроллер сессий в качестве шлюза с функцией SNAT без необходимости применять дополнительные настройки. Кроме того, заводская конфигурация содержит настройки, позволяющие получить сетевой доступ к устройству для выполнения расширенного конфигурирования. 

Заводскую конфигурацию можно сбросить командой copy system:default-config system:candidate-config. После сброса необходимо настроить ESBC-3200 с помощью консольного порта.

Описание заводской конфигурации

...

1. Зона «Untrusted» предназначена для подключения к публичной сети (WAN). В этой зоне открыты порты DHCP-протокола для получения динамического IP-адреса от провайдера. Все входящие соединения из данной зоны на маршрутизатор запрещеныпограничный контроллер сессий запрещены.
   

   В данную зону безопасности входят интерфейсы:

   • для ESBC-3200: Twentyfivegigabitethernet 1/0/1-2.
     
     Интерфейсы зоны объединены в один L2-сегмент через сетевой мост Bridge 2.
2. Зона «Trusted» предназначена для подключения к локальной сети (LAN). В этой зоне открыты порты протоколов Telnet и SSH для удаленного доступа, ICMP-протокола для проверки доступности маршрутизаторапограничного контроллера сессий, DHCP-протокола для получения клиентами IP-адресов от маршрутизатораустройства. Исходящие соединения из данной зоны в зону «Untrusted» разрешены.
   

   В данную зону безопасности входят интерфейсы:

   • для ESBC-3200: Twentyfivegigabitethernet 1/0/3-12.

Интерфейсы зоны объединены в один L2-сегмент через сетевой

...

мост  Bridge 1.

На интерфейсе Bridge 2 включен DHCP-клиент для получения динамического IP-адреса от провайдера. На интерфейсе Bridge 1 сконфигурирован статический IP-адрес 192.168.1.1/24. Созданный IP-интерфейс выступает в качестве шлюза для клиентов локальной сети. Для клиентов локальной сети настроен DHCP-пул адресов 192.168.1.2-192.168.1.254 с маской 255.255.255.0. Для получения клиентами локальной сети доступа к Internet на маршрутизаторе включен пограничном контроллере сессий включен сервис Source NAT.

Политики зон безопасности настроены следующим образом :(см. таблицу 16). 

Таблица 70 16 – Описание политик зон безопасности

...

Scroll Pagebreak

Подключение и конфигурирование

...

устройства

Пограничные контроллеры сессий ESBC-3200 предназначены для выполнения функций пограничного шлюза и обеспечения безопасности сети пользователя при подключении ее к публичным сетям передачи данных.

...

Подключите сетевой кабель передачи данных (патч-корд) к любому порту, входящему в зону «Trusted», и к компьютеру, предназначенному для управления.

В заводской конфигурации маршрутизатора активирован пограничного контроллера сессий активирован DHCP-сервер с пулом IP-адресов в подсети 192.168.1.0/24.

...

При помощи кабеля RJ-45/DBF9, который входит в комплект поставки устройства, соедините порт «Console» маршрутизатора с пограничного контроллера сессий с портом RS-232 компьютера.

...

Применение изменения

...

конфигурации 

Любые изменения, внесенные в конфигурацию, вступят в действие только после применения команды:

esr#esbc# commit
Configuration has been successfully committed

После применения данной команды запускается таймер "отката" конфигурации. Для остановки таймера и механизма "отката" используется команда:

esr#esbc# confirm
Configuration has been successfully confirmed

Значение таймера "отката" по умолчанию – 600 секунд. Для изменения данного таймера используется команда:

esresbc(config)# system config-confirm timeout <TIME>

• <TIME> – интервал времени ожидания подтверждения конфигурации, принимает значение в секундах [120..86400].

Базовая настройка

...

устройства 

Процедура настройки маршрутизатора устройств при первом включении состоит из следующих этапов:

• Изменение пароля пользователя «admin».
• Создание новых пользователей.
• Назначение имени устройства (Hostname).
• Установка параметров подключения к публичной сети в соответствии с требованиями провайдера.
• Настройка удаленного доступа к маршрутизаторупограничному контроллеру сессий.
• Применение базовых настроек.

...

Для изменения пароля пользователя «admin» используются следующие команды:

esr#esbc# configure
esresbc(config)# username admin
esresbc(config-user)# password <new-password>
esresbc(config-user)# exit

Создание новых пользователей

Для создания нового пользователя системы или настройки любого из параметров : (имени пользователя, пароля, уровня привилегий, – ) используются команды:

esresbc(config)# username <name>
esresbc(config-user)# password <password>
esresbc(config-user)# privilege <privilege>
esresbc(config-user)# exit

Пример команд для создания пользователя «fedor» c паролем «12345678» и уровнем привилегий 15 и создания пользователя «ivan» с паролем «password» и уровнем привилегий 1:

esr#esbc# configure
esresbc(config)# username fedor
esresbc(config-user)# password 12345678
esresbc(config-user)# privilege 15
esresbc(config-user)# exit
esresbc(config)# username ivan
esresbc(config-user)# password password
esresbc(config-user)# privilege 1
esresbc(config-user)# exit

...

Для назначения имени устройства используются следующие команды:

esr#esbc# configure
esresbc(config)# hostname <new-name>

...

Для настройки сетевого интерфейса маршрутизатора в пограничного контроллера сессий в публичной сети необходимо назначить устройству параметры, определённые провайдером сети – IP-адрес, маска подсети и адрес шлюза по умолчанию.

Пример команд настройки статического IP-адреса для саб-интерфейса Gigabit Ethernet 1/0/2.150 для доступа к маршрутизатору через устройству через VLAN 150.

Параметры интерфейса:

• IP-адрес – 192.168.16.144;
• Маска подсети – 255.255.255.0;
• IP-адрес шлюза по умолчанию – 192.168.16.1.

esr#esbc# configure
esresbc(config)# interface gigabitethernet 1/0/2.150
esresbc(config-if-sub)# ip address 192.168.16.144/24
esresbc(config-if-sub)# exit
esresbc(config)# ip route 0.0.0.0/0 192.168.16.1

Для того чтобы убедиться, что адрес был назначен интерфейсу, после применения конфигурации введите следующую команду:

esr#esbc# show ip interfaces
IP address                                            Interface              Admin   Link    Type      Precedence    
---------------------------------------------------   --------------------   -----   -----   -------   -----------   
192.168.16.144/24                                     gi1/0/2.150            Up      Up      static    primary 

Провайдер может использовать динамически назначаемые адреса в своей сети. Для получения IP-адреса может использоваться протокол DHCP, если в сети присутствует сервер DHCP.

Пример настройки, предназначенной для получения динамического IP-адреса от DHCP-сервера на интерфейсе Gigabit Ethernet 1/0/10:

esr#esbc# configure
esresbc(config)# interface gigabitethernet 1/0/10
esresbc(config-if)# ip address dhcp
esresbc(config-if)# exit

Для того чтобы убедиться, что адрес был назначен интерфейсу, введите следующую команду после применения конфигурации:

esr#esbc# show ip interfaces
IP address                                            Interface              Admin   Link    Type      Precedence    
---------------------------------------------------   --------------------   -----   -----   -------   -----------       
192.168.11.5/25                                       gi1/0/10               Up      Up      DHCP      -- 

Настройка удаленного доступа к

...

устройству

В заводской конфигурации разрешен удаленный доступ к маршрутизатору устройству по протоколам Telnet или SSH из зоны зоны «trusted». Для того чтобы разрешить удаленный доступ к маршрутизатору устройству из других зон, например, из публичной сети, необходимо создать соответствующие правила в firewall.

При конфигурировании доступа к маршрутизатору устройству правила создаются для пары зон:

• source-zone – зона, из которой будет осуществляться удаленный доступ;
• self – зона, в которой находится интерфейс управления маршрутизаторомустройством.

Для создания разрешающего правила используются следующие команды:

esr#esbc# configure
esresbc(config)# security zone-pair <source-zone> self
esresbc(config-zone-pair)# rule <number>
esresbc(config-zone-rule)# action permit
esresbc(config-zone-rule)# match protocol tcp
esresbc(config-zone-rule)# match source-address <network object-group>
esresbc(config-zone-rule)# match destination-address <network object-group>
esresbc(config-zone-rule)# match destination-port <service object-group>
esresbc(config-zone-rule)# enable
esresbc(config-zone-rule)# exit
esresbc(config-zone-pair)# exit

Пример команд для разрешения пользователям из зоны «untrusted» с IP-адресами 132.16.0.5-132.16.0.10 подключаться к маршрутизатору с устройству с IP-адресом 40.13.1.22 по протоколу SSH: 

esr#esbc# configure
esresbc(config)# object-group network clients
esresbc(config-addr-set)# ip address-range 132.16.0.5-132.16.0.10
esresbc(config-addr-set)# exit
esresbc(config)# object-group network gateway
esresbc(config-addr-set)# ip address-range 40.13.1.22
esresbc(config-addr-set)# exit
esresbc(config)# object-group service ssh
esresbc(config-port-set)# port-range 22
esresbc(config-port-set)# exit
esresbc(config)# security zone-pair untrusted self
esresbc(config-zone-pair)# rule 10
esresbc(config-zone-rule)# action permit
esresbc(config-zone-rule)# match protocol tcp
esresbc(config-zone-rule)# match source-address clients
esresbc(config-zone-rule)# match destination-address gateway
esresbc(config-zone-rule)# match destination-port ssh
esresbc(config-zone-rule)# enable
esresbc(config-zone-rule)# exit
esresbc(config-zone-pair)# exit