ip dhcp snooping
ip dhcp snooping vlan 100
!
interface range gigabitethernet1/0/1-24
 ip dhcp snooping limit clients {количество клиентов}
exit                                                 
!
interface Port-Channel1
 ip dhcp snooping trust
exit
!

Включение функционала DHCP Snooping глобально
Указание VLAN, в которой будет работать DHCP Snooping (клиентская VLAN)
 
Переход в режим конфигурирования диапазона интерфейсов gi1/0/1-24
Ограничение количества клиентов за портом, от которых могут быть переданы DHCP-запросы (защита от атаки DHCP starvation)
 
 
Переход в режим конфигурирования Port-Channel 1
Указание, что интерфейс Port-Channel 1 является доверенным, т. е. пришедшие на него "сверху" ответы от DHCP-сервера могут пересылаться "вниз"

ip dhcp snooping
ip dhcp snooping vlan 100
ip arp inspection
ip arp inspection vlan 100
!
interface Port-Channel1
 ip arp inspection trust
 ip dhcp snooping trust
exit
!

Включение функционала DHCP Snooping глобально
Указание VLAN, в которой будет работать DHCP Snooping (клиентская VLAN)
Включение DAI глобально
Указание VLAN, в которой будет работать DAI
 
Переход в режим конфигурирования Port-Channel 1
Указание, что интерфейс Port-Channel 1 является доверенным для DAI
Указание, что интерфейс Port-Channel 1 является доверенным для DHCP Snooping

ip dhcp snooping
ip dhcp snooping vlan 100
ip source guard
!
interface range Gigabitethenet1/0/1-24
  ip source-guard
!
interface Port-Channel1
 ip dhcp snooping trust
exit
!

Включение функционала DHCP Snooping глобально
Указание VLAN, в которой будет работать DHCP Snooping (клиентская VLAN)
Включение функционала IP Source Guard глобально

Переход в режим конфигурирования диапазона интерфейсов gi1/0/1-24
Включение функционала IP Source Guard 

Переход в режим конфигурирования Port-Channel 1
Указание, что интерфейс Port-Channel 1 является доверенным для DHCP Snooping

dot1x system-auth-control
!
radius-server host 100.250.0.100 key {секретный ключ}
!
interface range Gigabitethenet1/0/1-24
 dot1x host-mode multi-sessions
 dot1x guest-vlan enable
 dot1x authentication 802.1x mac
 dot1x radius-attributes vlan static
 dot1x port-control auto
!
interface vlan 150
 dot1x guest-vlan
exit
!

Включение функционала dot1x на коммутаторе глобально

Указание IP-адреса RADIUS-сервера и секретного ключа

Переход в режим конфигурирования диапазона интерфейсов gi1/0/1-24
Включение режима авторизации каждой сессии за указанным портом
Включение поддержки VLAN на интерфейсе, в которую попадает трафик от неавторизованных клиентов
Указание используемых методов авторизации: 802.1x (логин пароль-TLS-для клиента) и mac-авторизация (для телефона)
Включение обработки опции Tunnel-Private-Group-ID (81) в сообщениях RADIUS-сервера
Использование функционала dot1x для изменения клиента состояния между авторизованным и неавторизованным

Переход в режим конфигурирования интерфейса VLAN 150
Включение функции гостевой VLAN на текущем интерфейсе VLAN

errdisable recovery cause storm-control
!
interface range Gigabitethernet1/0/1-24 
 storm-control broadcast kbps 2048 trap
 storm-control unicast kbps 2048 trap
 storm-control multicast kbps 2048 trap
exit
!

Включение автоматического восстановления интерфейса по причине storm-control

Переход в режим конфигурирования диапазона интерфейсов gi1/0/1-24
Отправка SNMP-trap и лога на внешний Syslog сервер и в консоль при превышении заданного порога для broadcast
Отправка SNMP-trap и лога на внешний Syslog сервер и в консоль при превышении заданного порога для unicast
Отправка SNMP-trap и лога на внешний Syslog сервер и в консоль при превышении заданного порога для multicast

errdisable recovery cause loopback-detection
loopback-detection enable
loopback-detection interval 5
!
interface range Gigabitethernet1/0/1-24  
 loopback-detection enable
exit
!

Включение автоматического восстановления интерфейса по причине loopback detection
Включение функционала loopback-detection глобально
Установление интервала отправки LBD кадров равный 5 секундам

Переход в режим конфигурирования диапазона интерфейсов gi1/0/1-24
Включение функционала lopback-detection на физическом интерфейсе

ip ssh server
!
no ip telnet server
!
exit
!

Разрешение удаленного конфигурирования устройства через SSH.

Выключение работы Telnet, по умолчанию на все коммутаторах MES он включен

management access-list Access
 permit ip-source 10.10.10.10 mask 255.255.255.0 service telnet GigabitEthernet1/0/1
 permit ip-source 10.10.11.0 mask 255.255.255.0 service http GigabitEthernet1/0/1
 permit ip-source 10.10.12.0 mask 255.255.255.0 service https GigabitEthernet1/0/1
 permit ip-source 10.10.13.0 mask 255.255.255.0 service ssh GigabitEthernet1/0/1
 permit ip-source 10.20.10.0 mask 255.255.255.0 service telnet vlan100
 permit ip-source 10.20.11.0 mask 255.255.255.0 service http vlan100
 permit ip-source 10.20.12.0 mask 255.255.255.0 service https vlan100
 permit ip-source 10.20.13.0 mask 255.255.255.0 service ssh vlan100
exit
!                                                     
management access-class Access
!
exit
!

Создание Manangement ACL
Правило, разрешающее подключение к устройству по Telnet из сети 10.10.10.0 /24 через интерфейс gigabitethernet1/0/1
Правило, разрешающее подключение к устройству по http из сети 10.10.11.0 /24 через интерфейс gigabitethernet1/0/1
Правило, разрешающее подключение к устройству по https из сети 10.10.12.0 /24 через интерфейс gigabitethernet1/0/1
Правило, разрешающее подключение к устройству по ssh из сети 10.10.13.0 /24 через интерфейс gigabitethernet1/0/1
Правило, разрешающее подключение к устройству по Telnet из сети 10.20.10.0 /24 через интерфейсы, на которые добавлен VLAN 100
Правило, разрешающее подключение к устройству по http из сети 10.20.11.0 /24 через интерфейсы, на которые добавлен VLAN 100
Правило, разрешающее подключение к устройству по https из сети 10.20.12.0 /24 через интерфейсы, на которые добавлен VLAN 100
Правило, разрешающее подключение к устройству по ssh из сети 10.20.13.0 /24 через интерфейсы, на которые добавлен VLAN 100


Ограничивает управление устройством по созданному списку доступа и активирует указанный список доступа

interface Gigabitethernet1/0/1
 switchport protected-port 
!
interface Gigabitethernet1/0/2
 switchport protected-port  
exit
!

Переход в режим конфигурирования интерфейса gi1/0/1 
Включение интерфейса в число режима изоляции внутри группы портов

Переход в режим конфигурирования интерфейса gi1/0/2
Включение интерфейса в число режима изоляции внутри группы портов

voice vlan id 101
voice vlan state oui-enabled
voice vlan oui-table add 6813e2
!
no lldp med network-policy voice auto
lldp med network-policy 1 voice vlan 101 vlan-type tagged up 4
!
interface GigabitEthernet1/0/11
 switchport mode general
 switchport general allowed vlan add 101 tagged
 switchport general pvid 100
 lldp med network-policy add 1
 voice vlan enable 
exit
!

Обозначение VLAN для функционала Voice VLAN
Активация Voice VLAN согласно статической OUI таблице
Добавление записи в таблицу  OUI для используемого телефона

Удаление автоматического правила для параметра network-policy
Добавление lldp-med политики с указанием номера voice vlan и приоритета

Переход в режим конфигурирования интерфейса gi1/0/11
Перевод режима работы порта в genera (hybrid)
Разрешение прохождения трафика VLAN 101 в тегированном виде
Настройка, позволяющая поместить весь нетегированный трафик во VLAN 100
Привязка ранее созданной lldp-med политики к интерфейсу
Включение функционала Voice VLAN на интерфейсе

logging host 10.250.0.100
logging cli-commands

Указание IP-адреса внешнего сервера Syslog для передачи аварийных и отладочных сообщений
Включение логирования введенных в CLI команд 

backup server tftp://10.250.0.100
backup auto
backup path backup.conf
backup history enable
backup time-period 500
backup write-memory
no backup reachability-check tftp

Указание IP-адреса сервера, на который будет производиться резервирование конфигурации
Включение автоматического резервирования конфигурации на сервере
Указание расположения файла на сервере
Включение сохранения истории резервных копий
Указание промежутка времени, по истечении которого будет осуществляться автоматическое резервирование конфигурации
Включение резервирования по сохранению конфигурации пользователем
Отключение отправки пустого пакета для проверки наличия TFTP-сервера

clock source ntp
ntp server 10.250.0.55

Включение синхронизации времени по протоколу NTP
Указание IP-адреса NTP сервера, с которого будет происходить синхронизация

Master switch
stack configuration links te 3 , te 4  
stack unit-id 1 
 
Backup switch
stack configuration links te 3 , te 4
stack unit-id 2
 
write startup-config
reload

Настройка коммутатора с ролью Master
Назначить стековыми портами te1/0/3 и te1/0/4
Назначить unit id коммутатора в стеке

Настройка коммутатора с ролью Backup
Назначить стековыми портами te1/0/3 и te1/0/4
Назначить unit id коммутатора в стеке

Далее необходимо сохранить startup конфигурацию и перезагрузить все устройства в стеке.

interface Port-Channel1
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel2
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface TenGigabitEthernet1/0/1
 channel-group 1 mode auto
exit
!
interface TenGigabitEthernet1/0/2
 channel-group 2 mode auto
exit
!
interface GigabitEthernet2/0/1
 channel-group 1 mode auto
!
interface GigabitEthernet2/0/2
 channel-group 2 mode auto
!

Переход в режим конфигурирования Port-Channel 1
Включение режима работы интерфейса general
Разрешение прохождения трафика VLAN 100-101,250 в тегированном виде, без снятия метки VLAN
Запрет прохождения трафика в дефолтном VLAN (1)


Переход в режим конфигурирования Port-Channel 2
Включение режима работы интерфейса general
Разрешение прохождения трафика VLAN 100-101,250 в тегированном виде, без снятия метки VLAN
Запрет прохождения трафика в дефолтном VLAN (1)


Переход в режим конфигурирования интерфейса te1/0/1 
Добавление интерфейса в члены Port-Channel1, LACP в режиме «active»


Переход в режим конфигурирования интерфейса te1/0/2 
Добавление интерфейса в члены Port-Channel2, LACP в режиме «active»


Переход в режим конфигурирования интерфейса te2/0/1 
Добавление интерфейса в члены Port-Channel1, LACP в режиме «active»

Переход в режим конфигурирования интерфейса te2/0/2
Добавление интерфейса в члены Port-Channel2, LACP в режиме «active»

Настройка Primary switch
 
vpc
vpc domain 1 
 peer detection
 peer detection ipaddr 1.1.1.2 1.1.1.1
 peer keepalive
 peer keepalive timeout 2
 role priority 1
 peer link port-channel 1
exit
!
vpc group 2
 domain 1
 vpc-port port-channel 2
exit
!
!
!
interface TwentyFiveGigaEthernet1/0/1
 ip address 1.1.1.1 255.255.255.252
exit
!
interface TwentyFiveGigaEthernet1/0/2                       
 channel-group 1 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/3
 channel-group 1 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/10
 channel-group 2 mode auto
exit
!
!
end
 
 
Secondary switch
 
vpc
vpc domain 1
 peer detection
 peer detection ipaddr 1.1.1.1 1.1.1.2
 peer keepalive
 peer keepalive timeout 2
 role priority 2
 peer link port-channel 1
exit
!
vpc group 2
 domain 1
 vpc-port port-channel 2
exit
!
!
!
interface TwentyFiveGigaEthernet1/0/1
 ip address 1.1.1.2 255.255.255.252
exit
!
interface TwentyFiveGigaEthernet1/0/2                       
 channel-group 1 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/3
 channel-group 1 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/10
 channel-group 2 mode auto
exit
!
!
end

Настройка Primary switch

Включение VPC на коммутаторе. Выполняется после конфигурации VPC 
Создание VPC-домена и переход в режим его конфигурирования
Включение peer-detection
Указание destination, source IP-адреса для peer-detection protocol
Включение службы keepalive
Указание времени ожидания ответа на запрос целостности peer-link
Установка приоритета устройства. Устройство с меньшим значением будет назначено Primary
Назначение Port-Channel в качестве peer-link


Создание VPC-группы и переход в режим ее конфигурирования
Указание VPC-домена
Указание Port-Channel, в котором будет работать VPC-группа




Переход в режим конфигурирования интерфейса twe1/0
Назначение IP-адреса для функционала Peer Detection


Переход в режим конфигурирования интерфейса twe1/0/2
Включение физического интерфейса в состав Port Channel 1 в режиме LACP


Переход в режим конфигурирования интерфейса twe1/0/3
Включение физического интерфейса в состав Port Channel 1 в режиме LACP


Переход в режим конфигурирования интерфейса twe1/0/10
Включение физического интерфейса в состав Port Channel 2 в режиме LACP






Настройка Secondary switch

Включение VPC на коммутаторе. Выполняется после конфигурации VPC 
Создание VPC-домена и переход в режим его конфигурирования
Включение peer-detection
Указание destination, source IP-адреса для peer-detection protocol
Включение службы keepalive
Указание времени ожидания ответа на запрос целостности peer-link
Установка приоритета устройства. Устройство с большим значением будет назначено Secondary
Назначение Port-Channel в качестве peer-link


Создание VPC-группы и  переход в режим ее конфигурирования
Указание VPC-домена
Указание Port-Channel, в котором будет работать VPC-группа




Переход в режим конфигурации интерфейса twe1/0/1
Назначение IP-адреса для функционала Peer Detection


Переход в режим конфигурирования интерфейса twe1/0/2
Включение интерфейса в состав Port Channel 1 в режиме LACP


Переход в режим конфигурирования интерфейса twe1/0/3
Включение интерфейса в состав Port Channel 1 в режиме LACP


Переход в режим конфигурирования интерфейса twe1/0/10
Включение интерфейса в состав Port Channel 2 в режиме LACP

ip dhcp relay enable
ip dhcp relay address 192.168.1.30
ip dhcp information option
!
interface Port-Channel5
 description to_NAICE-DHCP
 ip dhcp snooping trust
 switchport mode general
 switchport general allowed vlan add 250,300 tagged
!
interface vlan 1
 no ip address dhcp
exit
!
interface vlan 100
name PC
ip address 10.100.0.45 255.255.255.0
ip dhcp relay enable
exit
!
interface vlan 101
name VoIP
ip address 10.101.0.45 255.255.255.0
ip dhcp relay enable 
exit
!
interface vlan 110
name AP
ip address 10.110.0.45 255.255.255.0
ip dhcp relay enable
exit
!
interface vlan 115
name AP_users
ip address 10.115.0.45 255.255.255.0
ip dhcp relay enable
exit

Включение работы функционала DHCP-Relay глобально
Указание IP-адреса доступного DHCP-сервер
Включение передачи опции dhcp

Переход в режим конфигурации PO, в рамках которого физические интерфейсы подключены к DHCP-серверу
Назначение описания для физического интерфейса
Добавление интерфейса в список «доверенных» при использовании контроля протокола DHCP
Перевод интерфейса в режим работы general
Разрешение прохождения трафика в тегированном виде для VLAN 250 (NAICE) и 300 (DHCP)

Переход в режим конфигурирования интерфейса VLAN 1
Выключение возможности получения IP адреса по DHCP


Переход в режим конфигурирования интерфейса VLAN 100
Назначение описания для VLAN
Назначение IP-адреса VLAN
Включение работы функционала DHCP-Relay в рамках interface VLAN


Переход в режим конфигурирования интерфейса VLAN 101
Назначение описания для VLAN
Назначение IP-адреса VLAN
Включение работы функционала DHCP-Relay в рамках interface VLAN


Переход в режим конфигурирования интерфейса VLAN 110
Назначение описания для VLAN
Назначение IP-адреса VLAN
Включение работы функционала DHCP-Relay в рамках interface VLAN


Переход в режим конфигурирования интерфейса VLAN 115
Назначение описания для VLAN
Назначение IP-адреса VLAN
Включение работы функционала DHCP-Relay в рамках interface VLAN

#----------------giaddr for DHCP relay--------------------
class "10.100.0.0" {
    match if (binary-to-ascii(10,8, ".", packet(24,4))) = "10.100.0.45";
}

class "10.101.0.0" {
    match if (binary-to-ascii(10,8, ".", packet(24,4))) = "10.101.0.45";
}

class "10.110.0.0" {
    match if (binary-to-ascii(10,8, ".", packet(24,4))) = "10.110.0.45";
}

class "10.115.0.0" {
    match if (binary-to-ascii(10,8, ".", packet(24,4))) = "10.115.0.45"";
}


#----------Сеть для 100-----------------
subnet 10.100.0.0 netmask 255.255.255.0 {
 pool {
  allow members of "10.100.0.0";
  range 10.100.0.100 10.100.0.150;
  option subnet-mask 255.255.255.0;
  option routers 10.100.0.45;
  }
 }

#----------Сеть для 101-----------------
subnet 10.101.0.0 netmask 255.255.255.0 {
 pool {
  allow members of "10.101.0.0";
  range 10.101.0.101 10.101.0.150;
  option subnet-mask 255.255.255.0;
  option routers 10.101.0.45;
  }
 }

#----------Сеть для 110-----------------
subnet 10.110.0.0 netmask 255.255.255.0 {
 pool {
  allow members of "10.110.0.0";
  range 10.110.0.100 10.110.0.150;
  option subnet-mask 255.255.255.0;
  option routers 10.110.0.45;
  }
host wep-30L_1  {hardware ethernet e4:5a:d4:e8:da:80;
                    fixed-address 10.110.0.111;
                    option domain-name-servers 8.8.8.8;
                    option vendor-encapsulated-options 0c:0a:31:30:2e:31:31:30:2e:30:2e:31:0f:17:68:74:74:70:73:3a:2f:2f:31:30:2e:31:31:30:2e:30:2e:31:3a:38:30:34:33;  #12 and 15 option
                    }

host wep-30L_2  {hardware ethernet 68:13:e2:c2:83:20;
                    fixed-address 10.110.0.112;
                    option domain-name-servers 8.8.8.8;
                    option vendor-encapsulated-options 0c:0a:31:30:2e:31:31:30:2e:30:2e:31:0f:17:68:74:74:70:73:3a:2f:2f:31:30:2e:31:31:30:2e:30:2e:31:3a:38:30:34:33;  #12 and 15 option
                    }
 }

#----------Сеть для 115-----------------
subnet 10.115.0.0 netmask 255.255.255.0 {
 pool {
  allow members of "10.115.0.0";
  range 10.115.0.100 10.115.0.150;
  option subnet-mask 255.255.255.0;
  option routers 10.115.0.45;
  }
 }

syslog max-files 3
syslog file-size 512
syslog sequence-numbers
syslog file flash:syslog/default
  severity info
exit

syslog host ECCM
  remote-address 10.250.0.100
  severity info
exit

Настройка ротации syslog-файлов
Настройка ограничения размера syslog-файла
Включение нумерации syslog-сообщений
Настройка сохранения syslog-сообщений в файл flash:syslog/default
Определение типа событий, которые будут сохранены в Syslog файле


Создание удаленного хоста для логирования
Указание удаленного IP-адреса для отправки Syslog
Определение типа событий, которые будут отправлена на внешний Syslog

archive
  type local
  by-commit
  count-backup 10
exit

Переход в режим конфигурирования archive
Настройка режима локальной архивации конфигурации
Включение режима архивации конфигурации при успешном изменении конфигурации (commit/confirm)
Настройка максимального количества резервных копий

ip ssh server

security zone-pair MGMT self
  rule 10
    action permit
    match protocol tcp
    match destination-port port-range 22
    enable
  exit

Включение работы SSH-сервера на маршрутизаторе

Создание пары зон безопасности, для разрешения SSH в зоне безопасности MGMT
Настройка правила для пары зон безопасности
Задание действия permit для правила 
Задание соответствия протокола
Задание соответствия destination TCP port
Включение работы правила

interface TwentyFiveGigabitethernet 1/0/1
  lldp transmit
  lldp receive
exit

Переход в режим конфигурирования интерфейса twe1/0/1
Включение передачи LLDP кадров
Включение приема LLDP кадров

object-group network ISP_NTP
  ip prefix 10.250.0.0/24
exit
 
security zone-pair MGMT self
  rule 20
    action permit
    match protocol udp
    match destination-port port-range 123
    enable
  exit
exit

clock timezone gmt +7  

ntp enable
ntp object-group serve-only Mgmt_POOL
ntp server 203.0.113.2
  prefer                                                                                                
  minpoll 4 
exit
ntp server 203.0.113.30
exit

Создание профиля адресов MGMT-сети



Создание правила zone-pair для разрешение прохождения NTP-трафика в зоне безопасности MGMT
Создание правила для зоны безопасности
Задение действия permit для правила 
Задание соответствия протокола
Задание соответствия destination UDP port
Включение работы правила



Задание часового пояса


Включение работы протокола NTP на маршрутизаторе
Разрешение устройствам из MGMT сети синхронизировать время с маршрутизатора
Задание адреса NTP-сервера, с которым маршрутизатор будет синхронизировать время

Задание еще одного NTP-сервера, с которым маршрутизатор будет синхронизировать время

security zone ISP_NTP
exit
  
interface TwentyFiveGigabitethernet 1/0/1
  description "ISP1"
  security-zone ISP_NTP
  ip address 203.0.113.2/25
exit

Создание зоны безопасности


Переход в режим конфигурирования интерфейса twe1/0/1
Задание описания для физического интерфейса
Назначение на интерфейс ранее созданной зоны безопасности
Присвоение IP-адреса физическому интерфейсу

snmp-server
snmp-server community public v2c ro
snmp-server community private v2c rw

security zone-pair Management self
 rule 1
  description "SNMP traffic from ECCM"
  action permit
  match protocol udp
  match destination-port port-range 161
  match source-address address-range 10.250.0.100
  enable
  exit
rule 2
  description "SSH traffic from ECCM"
  action permit
  match protocol tcp
  match destination-port port-range 22
  match source-address address-range 10.250.0.100
  enable
  exit
rule 3
 action permit
 match protocol udp 
 match destination-port port-range 67
 enable
 exit
rule 4
 action permit
 match protocol udp 
 match destination-port port-range 68
 enable
 exit 

Включение SNMP-сервера на маршрутизаторе
Создание коммьюнити public с правами read only
Создание коммьюнити provate с правами read write

Переход в режим конфигурирования группы правил для пары зон безопасности
Создание правила 1 и переход в режим его конфигурации
Создание описания для правила 1
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Конфигурация профиля IP-адресов отправителя, для которых должно срабатывать правило
Активация работы правила

Создание правила 2 и переход в режим его конфигурации
Создание описания для правила 2
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Конфигурация профиля IP-адресов отправителя, для которых должно срабатывать правило
Активация работы правила

Создание правила 3 и переход в режим его конфигурации
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Активация работы правила

Создание правила 4 и переход в режим его конфигурации
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Активация работы правила

interface port-channel 1
exit

interface TwentyFiveGigabitethernet 1/0/3
  mode switchport
  channel-group 1 mode auto
exit

interface port-channel 1.250
  description "MGMT | Management link"
  security-zone MGMT
  ip address 10.250.0.1/24
exit

Создание логического интерфейса Port-Channel 1


Переход в режим конфигурирования интерфейса twe1/0/3
Переведение интерфейса в режим switchport
Включение интерфейса в состав Port-Channel 1


Терминация интерфейса для управления маршрутизатором Port-Channel1.250
Задание описания для sub-интерфейса
Определение sub-интерфейса в зону безопапсности
Привязка IP-адреса к sub-интерфейсу

ROUTER1 (ESR-3300_1)
interface port-channel 1.100
  vrrp 1
    ip address 10.100.0.1/24
    priority 101
    group 1
    enable
  exit

ROUTER2 (ESR-3300_2) 
interface port-channel 1.100
  vrrp 1
    ip address 10.100.0.1/24
    priority 100
    group 1
    enable
  exit

Конфигурация ROUTER1, VRRP Master
Создание sub-интерфейса Port-Channel 1.100
Создание VRRP процесса 1 и переход в режим его конфигурирования
Привязка виртуального IP-адреса VRRP-маршрутизатора
Задание приоритета VRRP маршрутизатора
Привязка принадлежности VRRP-процесса к группе 1
Включение фукнционала VRRP


Конфигурация ROUTER1, VRRP Backup
Создание sub-интерфейса Port-Channel 1.100
Создание VRRP процесса 1 и переход в режим его конфигурирования
Привязка виртуального IP-адреса VRRP-маршрутизатора
Задание приоритета VRRP маршрутизатора
Привязка принадлежности VRRP-процесса к группе 1
Включение фукнционала VRRP

security zone-pair Untrusted self
  rule 10
    action permit
    match protocol tcp
    match destination-port port-range 179
    enable
  exit
  rule 20
    action permit
    match protocol udp
    match destination-port port-range 3784
    enable
  exit
exit
  
route-map BGP_IN
  rule 10
    match ip address 0.0.0.0/0
  exit
  rule 20
    action deny
  exit
exit
  
router bgp 64515
  neighbor 203.0.113.1
    remote-as 65500
    update-source gigabitethernet 1/0/1
    fall-over bfd
    address-family ipv4 unicast
      route-map BGP_IN in
      enable
    exit
    enable
  exit
  enable
exit

Настройка пары зон безопасности Untrusted-self, для разрешения прохождения трафика TCP port 179 и UDP port 3784














Настройка маршрутной карты
Создание правила 10 для route-map
Обозначение критерия для совпадения

Создание правила 20 для route-map
Обозначение действия, которое будет выполнено после совпадения по правилу 10



Добавление BGP-процесса в систему
Настройка соседа BGP-процесса
Определение номера автономной системы BGP-соседа
Определение источника в отправляемых обновлениях маршрутной инофрмации BGP
Активация протокола BFD на конфигурируемом BGP-соседе 
Настройка IPv4 адресации BGP процесса
Терминация маршрутной карты, которая будет входить в BGP процесс
Включение address-family ipv4

Включение процесса

Включение функционала BGP

ip sla
ip sla logging status
ip sla test 1
  icmp-echo 8.8.4.4 source-ip 203.0.113.2 num-packets 5
  enable
exit
  
ip sla schedule all life forever start-time now

track 1
  description "Check Internet"
  track sla test 1 mode state fail
  enable
exit
  
interface port-channel 1.100
  vrrp priority track 1 decrement 10
exit

Активация работы функционала
Активация логирования групп событий SLA о смене статуса SLA-агента
Создание SLA-теста 1
Содание icmp-режима тестирования канала связи с заданными параметрами
Включение SLA теста


Создание планировщика расписания работы SLA-тестов, после создания и активации SLA-теста

Создание объекта отслеживания
Задание описания для track 1
Установление слежения за состоянием test 1
Включение SLA track


Переход в режим конфигурирования port-channel 1.100
Добавление условия изменения приоритета VRRP-процесса при активном состоянии track 1, с уменьшением значения равным 10 (decrement)

object-group network Customers_POOL
  ip prefix 10.100.0.0/24
exit

object-group network PROXY
  ip address-range 203.0.113.3
exit
 
interface TwentyFiveGigabitethernet 1/0/1
   ip nat proxy-arp PROXY
exit

security zone-pair Customer Untrusted
  rule 10
    action permit
    match source-address object-group Customers_POOL
    enable
  exit
exit

nat source
  pool Customer_Public_IP
    ip address-range 203.0.113.3
  exit
 
  ruleset SNAT
    to zone Untrusted
    rule 10
      match source-address object-group Customers_POOL
      action source-nat pool Customer_Public_IP
      enable
    exit
  exit
exit

Создание профиля адресов локальной сети, для которых будет выполняться SNAT



Добавление профиля публичных адресов для функционала Proxy-ARP


Переход в режим конфигурирования интерфейса twe1/0/1
Активация работы протокола Proxy-ARP в рамках физического интерфейса


Настройка прохождения клиентского трафика между соответствующими зоноами безопасности







Конфигурация функционала SNAT
Создание пула Customer_Public_IP с определением диапазона IP-адресов



Создание правила SNAT
Определение зоны, в которую необходимо проксировать трафик
Создание правила для SNAT
Настройка соответствия для выполнения правила
Настройка действия для выполнения правила
Включение функционала

config
 switch
  interface port-channel 1
   mode lacp
   speed 1000M 
  exit

  interface front-port 1/3 
   channel-group 1 force 
  exit

  interface front-port 1/4
   channel-group 1 force 
  exit

  apply
  confirm
  exit
 
 copy running_to_startup 

Переход в режим конфигурирования
Переход в режим конфигурирования switch
Переход в режим конфигурирования port-channel
Включение протокола LACP
Выбор параметров скорости


Переход в режим конфигурирования интерфейса 1/3
Включение интерфейса в port-channel 1, force - параметр порта для совместимости с группой


Переход в режим конфигурирования интерфейса 1/4
Включение интерфейса в port-channel 1, force - параметр порта для совместимости с группой


Применение конфигурации
Подтверждение конфигурации


Сохранение конфигурации в энергонезависимую память

vlan 110,115,250
exit

bridge 10
  vlan 110
  ip firewall disable
  ip address 10.110.0.1/24
  no spanning-tree
  enable
exit

bridge 15
  vlan 115
  ip firewall disable
  ip address 10.115.0.1/24
  no spanning-tree
  enable
exit

bridge 25
  vlan 250
  ip firewall disable
  ip address 10.250.0.1/24
  no spanning-tree
  enable
exit

interface port-channel 1
  mode switchport
  switchport mode trunk
  switchport trunk allowed vlan add 110,250
exit

interface gigabitethernet 1/0/3
  mode switchport
  channel-group 1 mode auto
exit

interface gigabitethernet 1/0/4
  mode switchport
  channel-group 1 mode auto
exit

Создание VLAN


Создание bridge и переход в режим его конфигурирования
Привязка VLAN к bridge 10
Отключение работы firewall
Указание IP-адреса для подсети управления точками доступа
Отключение работы STP
Активация работы bridge


Создание bridge и переход в режим его конфигурирования
Привязка VLAN к bridge 15
Отключение работы firewall
Указание IP-адреса для подсети с трафиком точек доступа
Отключение работы STP
Активация работы bridge


Создание bridge и переход в режим его конфигурирования
Привязка VLAN к bridge 25
Отключение работы firewall
Указание IP-адреса для подсети с трафиком точек доступа
Отключение работы STP
Активация работы bridge


Переход в режим конфигурирования port-channel 1
Перевод интерфейса в режим switchport
Выбор режима работы интерфейса
Разрешение прохождения трафика в тегированном формате для выбранных VID


Переход в режим конфигурации физического интерфейса
Перевод интерфейса в режим switchport
Включение интерфейса в состав port channel 1 (LACP)


Переход в режим конфигурации физического интерфейса
Перевод интерфейса в режим switchport
Включение интерфейса в состав port channel 1 (LACP)

vlan 115
 force-up
 mtu 1458
exit

Создание VLAN для трафика пользователей
Включение режима активности VLAN вне зависимости от состояния интерфейсов, на которых прописан данный VLAN
Установление размера MTU 1458 для компенсации туннелирования трафика

softgre-controller 
 nas-ip-address 10.110.0.1 
 data-tunnel configuration wlc 
 aaa radius-profile default_radius 
 keepalive-disable 
 service-vlan add 115 
 enable 
exit

Переход в режим настройки SoftGRE-контроллера
Задание IP-адреса, на который будет заменен NAS IP при проксировании пакетов RADIUS
Установка режима конфигурации wLC
Выбор ААА профиля, созданного в разделе "RADIUS"
Отлючение проверки доступности удаленного шлюза туннеля
Разрешение прохождения пользовательского трафика с VID 115
Активация работы SoftGRE-контроллера

tunnel softgre 1
 mode data
 local address 10.110.0.1
 default-profile
 enable
exit

Переход в режим настройки SoftGRE-контроллера
Выбор режима работы data = режим данных
Задание IP-адреса локального шлюза туннеля
Активация использования конфигурации этого туннеля для автоматического поднятия туннелей
Активация работы туннеля

radius-server local
 nas ap
 key ascii-text password
 network 10.250.0.0/24
exit 

Переход в режим конфигурирования локального RADIUS на WLC
Уточнение конфигурации NAS, в данном случае это точки доступа
Задание пароля для проверки подлинности между точками доступа (NAS) и WLC (RADIUS)
Указание подсети, из которой все точки доступа будут использовать указанные настройки

nas local
 key ascii-text password
 network 10.110.0.0/24
exit 

Указание конфигурации NAS, где local - это определение того, что NAS это сам WLC
Задание пароля для проверки подлинности между WLC (NAS) и WLC (RADIUS)
RADIUS-сервер локальный, поэтому казание nas-ip-address 10.110.0.0/24

radius-server local
 domain default
exit

Переход в режим конфигурирования локального RADIUS на WLC
Создание домена с именем default

radius-server local
 domain default
  user name1
   password ascii-text password1
   exit
 exit
exit

Переход в режим конфигурирования локального RADIUS на WLC
Переход в режим конфигурирования домена с именем default
Создание пользователя
Конфигурация пароля для пользователя

wlc
 radius-server host 10.250.0.200
 key ascii-text secretap
exit 

Переход в режим конфигурирования контроллера WLC
Конфигурация IP-адреса хоста
Конфигурация пароля

wlc
 aaa radius-profile default_radius
  radius-server host 10.250.0.200
exit

wlc
 aaa radius-profile default_radius
  radius-server host 10.250.0.200
exit

wlc
 aaa radius-profile defaul_radius
  virtual-server default
   enable
exit

Переход в режим конфигурирования контроллера
Переход в режим конфигурирования AAA-профиля
Переход в режим конфигурирования виртуального сервера
Активация работы виртуального сервера

wlc
 radius-server local
  nas ap
   key ascii-text password
   network 10.110.0.0/24
exit

Переход в режим конфигурирования контроллера
Переход в режим конфигурирования локального RADIUS на WLC
Уточнение конфигурации NAS, в данном случае это точки доступа
Задание пароля для проверки подлинности между точками доступа (NAS) и WLC (RADIUS)
Указание подсети, из которой все точки доступа будут использовать указанные настройки

virtual-server default
 nas-ip-address 10.110.0.1
 mode proxy 
 upstream-pool default 
 enable
 exit
upstream-server eltex
 host 10.250.0.200
 server-type all
 key ascii-text password
 exit
upstream-server default
 upstream-server eltex
 server-type all 
exit

Переход в режим конфигурации виртуального сервера
Задание nas-ip (адрес контроллера WLC)
Включение proxy-mode для проксирования RADIUS-запросов на внешний сервер
Включение привязки к upstream-pool
Активация работы 

Переход в режим конфигурирования внешнего сервера, задание ему имени
Указание IP-адреса внешнего RADIUS-сервера
Указание типа запросов для проксирования, в данном примере - all
Задание пароля для аутентификации между WLC (контроллером) и внешнийм RADIUS-сервером

Переход в режим конфигурирования upstream-pool
Указание необходимого вышестоящего сервера для проксирования RADIUS-запросов
Указание типа запросов для проксирования, в данном примере - all

wlc
 radius-profile SSID-radius
  auth-address 10.250.0.200
  auth-password ascii-text password
  acct-address 10.250.0.200
  acct-password ascii-text password
exit

wlc
 radius-profile SSID-radius
  auth-address 10.110.0.1  
  auth-password ascii-text secretap
  acct-address 10.110.0.1  
  acct-password ascii-text secretap
exit

wlc
 radius-profile SSID-radius 
  acct-enable
  auth-acct-id-send
  acct-interval 600
exit

Переход в режим конфигурации контроллера
Создание RADIUS-профиля и переход в режим его конфигурации
Активация отравки аккаутинга на RADIUS-сервер
Активация отправки индентификатора аутентификации и учета на RADIUS-сервер
Установка интервала отправки идентификатора (в секундах)

radius-profile external-radius
 auth-address 10.110.0.1 
 auth-password ascii-text secretap
 acct-enable
 acct-address 10.110.0.1 
 acct-password ascii-text secretap
exit

Переход в режим конфигурации профиля внешнего RADIUS-сервера
Указание IP-адреса внешнего RADIUS-сервера, используемого для аутентификации
Указание пароля для RADIUS-сервера, используемого для аутентификации
Включение аккаутинга
Указание IP-адреса внешнего RADIUS-сервера, используемого для аккаутинга
Указание пароля для RADIUS-сервера, используемого для аккаутинга 

wlc
 ssid-profile default-ssid                   
  description default-ssid      
  ssid TEST_PSK                 
  vlan-id 115                   
  security-mode WPA2            
  key-wpa ascii-text password1! 
  band 2g                       
  band 5g
  enable                        
exit

Переход в режим конфигурации контроллера
Создание профиля для конфигурации SSID, переход в режим его конфигурации
Присвоение описания для профиля SSID
Указание названия беспроводной сети
Указание VLAN ID для передачи пользовательского трафика
Указание режима безопасности для подключения к беспроводной сети
Указание пароля к сети Wi-Fi
Указание дипазона, в котором будет работать SSID: 2.4 ГГц
Указание дипазона, в котором будет работать SSID: 5 ГГц
Активация профиля SSID

wlc
 ssid-profile default-ssid                      
  description default-ssid          
  ssid default-ssid                 
  vlan-id 115                       
  security-mode WPA2_1X             
  radius-profile default-radius     
  band 2g                           
  band 5g
  enable                            
exit

Переход в режим конфигурации контроллера
Создание профиля для конфигурации SSID, переход в режим его конфигурации
Присвоение описания для профиля SSID
Указание названия беспроводной сети
Указание VLAN ID для передачи пользовательского трафика
Указание режима безопасности доступа к беспроводной сети
Указание профиля настроек RADIUS-сервера, который будет использоваться для аторизации пользователей
Указание дипазона, в котором будет работать SSID: 2.4 ГГц
Указание дипазона, в котором будет работать SSID: 5 ГГц
Активация профиля SSID

wlc
 object-group url white-url
  url eltex-co.ru
  regexp '(.+\.)eltex-co\.com'
exit

Переход в режим конфигурации контроллера
Создание object-group по URL, переход в режим ее конфигурирования
Указание URL страницы, который будет разрешен
Указание regexp

wlc
 object-group network white_ip
  ip prefix 192.168.0.0/24
exit

Переход в режим конфигурации контроллера
Создание object-group по URL, переход в режим ее конфигурирования
Указание пула разрешенных IP

wlc   
 radius-profile portal_radius                                           
  auth-address 10.110.0.1                              
  auth-password ascii-text secretap  
  auth-acct-id-send                                        
  acct-enable                                              
  acct-address 10.110.0.1                               
  acct-password ascii-text secretap   
  acct-periodic                                            
  acct-interval 300                                        
exit

Переход в режим конфигурации контроллера
Создание radius-profile, переход в режим его конфигурирования
Указание IP=адреса RADIUS-сервера, который будет указываться для аутентификации пользователей
Конфигурация пароля для связи с RADIUS-сервером в зашифрованном виде
Включение отправки идентификатора аутентификации и учета на RADIUS-сервер
Включение аккаутинга пользователей
Указание IP-адреса RADIUS-сервер для ведения аккаутинга
Конфигурация пароля для RADIUS-сервера для ведения аккаутинга
Активация переодической отправки информации о сессиях подключенных клиентов
Указание интервала отправки информации

wlc
 ssid-profile portal_test                                
  ssid portal_test                           
  radius-profile portal_radius               
  portal-enable                              
  portal-profile portal-pr                  
  vlan-id 115                                
  band 5g                                    
  enable                                     
exit

Переход в режим конфигурации контроллера
Создание профиля для конфигурации SSID, переход в режим его конфигурации
Указание названия SSID
Указание профиля RADIUS-сервера, указанного выше
Включение Captive Portal
Привязка профиля
Указание VLAN ID для предачи пользовательского трафика
Указание дипазона, в котором будет работать SSID: 5 ГГц
Активация профиля SSID

wlc                                                        
 ap-location default-location                           
  ssid-profile portal_test                    
  mode tunnel                             
exit

Переход в режим конфигурации контроллера
Переход в режим конфигурации локации
Указание, что SSOD в профиле portal_test относятся к данной локации
Настройка режима туннелирования, если в этом есть необходимость

wlc
 airtune-profile default_airtune
exit
  
wlc
 ap-location default-location
  airtune-profile default_airtune
exit

wlc
 airtune
  enable
exit

Переход в режим конфигурации контроллера
Создание профиля AirTune, по умолчанию в нем уже указаны оптимальные настройки сервиса


Переход в режим конфигурации контроллера
Переход в режим конфигурации локации
Добавление профиля в локацию


Переход в режим конфигурации контроллера
Переход в режим конфигурации AirTune
Активация функционала AirTune в контроллере

wlc
 airtune-profile big_office           
  eltex-rrm-scan disable   
  optimization time 02:00  
  optimization mode time   
  hd-mode            
  load-balance disable     
  802.11v disable          
exit                     
 
wlc
 ap-location default-location            
  airtune-profile big_office  
exit                         
  
wlc
 airtune
  enable
exit

Переход в режим конфигурации контроллера
Создание профиля AirTune, переход в режим его конфигурирования
Выключение ускоренного сканирования
Задание времени включения оптимизации модуля RRM
Выбор типа проведения оптимизации, в данному случае по выше заданному времени
Включение режима управления мощностью точки доступа
Отключение механизма балансировки
Отключение использования протокола 802.11v при бесшовном роуминге


Переход в режим конфигурации контроллера
Переход в режим конфигурирования локации
Применение настроенного профиля


Переход в режим конфигурации контроллера
Переход в режим конфигурации Airtune
Активация функционала AirTune  в контроллере

snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100

Включение функционала SNMP-сервера на коммутаторе
Создание community public с правами только для чтения и указание IP-адреса сервера ECCM
Создание community private с правами на чтение и запись и указание IP-адреса сервера ECCM

snmp-server
snmp-server community public v2c ro
snmp-server community private v2c rw

security zone-pair Management self
 rule 1
  description "SNMP traffic from ECCM"
  action permit
  match protocol udp
  match destination-port port-range 161
  match source-address address-range 10.250.0.100
  enable
  exit
rule 2
  description "SSH traffic from ECCM"
  action permit
  match protocol tcp
  match destination-port port-range 22
  match source-address address-range 10.250.0.100
  enable
  exit
rule 3
 action permit
 match protocol udp 
 match destination-port port-range 67
 enable
 exit
rule 4
 action permit
 match protocol udp 
 match destination-port port-range 68
 enable
 exit 

Включение SNMP-сервера на маршрутизаторе
Создание коммьюнити public с правами read only
Создание коммьюнити provate с правами read write

Переход в режим конфигурирования группы правил для пары зон безопасности
Создание правила 1 и переход в режим его конфигурации
Создание описания для правила 1
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Конфигурация профиля IP-адресов отправителя, для которых должно срабатывать правило
Активация работы правила

Создание правила 2 и переход в режим его конфигурации
Создание описания для правила 2
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Конфигурация профиля IP-адресов отправителя, для которых должно срабатывать правило
Активация работы правила

Создание правила 3 и переход в режим его конфигурации
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Активация работы правила

Создание правила 4 и переход в режим его конфигурации
Указание действия, которое будет выполено исходя из условий правила
Указание имени или номера IP-протокола, для которого должно срабатывать правило
Конфигурация профиля TCP/UDP-портов получателя, для которых должно срабатывать правило
Активация работы правила

snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100

Включение функционала SNMP-сервера на коммутаторе
Создание community public с правами только для чтения и указание IP-адреса сервера ECCM
Создание community private с правами на чтение и запись и указание IP-адреса сервера ECCM

radius-server host 10.250.0.100 key {eltex_key}
tacacs-server host 10.250.0.200 key {eltex_key}

Указание IP-адреса RADIUS-сервера и секретного ключа
Указание IP-адреса TACACS+-сервера и секретного ключа

interface gigabitethernet 1/0/4
  ip firewall disable
  ip address 192.168.1.30/24
exit

aaa authentication login TACACS tacacs
aaa authentication enable TACACS tacacs

tacacs-server host 192.168.1.6 
  key ascii-text encrypted 9DB00E64BE
  source-address 192.168.1.30
exit

line console
  login authentication TACACS
  enable authentication TACACS
exit

Назначение IP-адреса.




Конфигурируется список способов учета сессий пользователей. Ведение учета активируется и прекращается, когда пользователь входит и отключается от системы, что соответствует значениям «start» и «stop» в сообщениях протоколов RADIUS и TACACS.


Добавляем TACACS-сервер в список используемых серверов и перехода в командный режим TACACS SERVER. Использование отрицательной формы команды (no) удаляет заданный TACACS-сервер.

Переход в режим конфигурирования соответствующего терминала: локальная консоль, удаленная консоль (Telnet), удаленная защищенная консоль (SSH).

hostname ESR-3300_1
                                                                                                                      
object-group service NTP                                                                                              
  port-range 123                                                                                                      
exit     

object-group network Customers_POOL
  ip prefix 10.100.0.0/24
exit                                                                                                             

object-group network ISP_NTP  
  ip prefix 203.0.113.0/25                                                                                        
exit                                                                                                                  
    
object-group network PROXY
  ip address-range 203.0.113.3
exit

syslog max-files 3                                                                                                    
syslog file-size 512                                                                                                  
syslog sequence-numbers                                                                                               
syslog file flash:syslog/default                                                                                      
  severity info                                                                                                       
exit                                                                                                                  
                                                                                                                      
syslog host ECCM                                                                                                      
  remote-address 10.250.0.100                                                                                        
  severity info                                                                                                       
exit                                                                                                                                                                                                                                 
                                                                                                                      
no spanning-tree                                                                                                      
                                                                                                                      
security zone test                                                                                                    
exit                                                                                                                  
security zone Untrusted                                                                                               
exit                                                                                                                  
security zone Management                                                                                              
exit                                                                                                                  
security zone Customer                                                                                                
exit                                      
security zone ISP_NTP                                                                                                 
exit                                                                                                                  
                                                                                                                      
route-map BGP_IN
  rule 10
    match ip address 0.0.0.0/0
  exit
  rule 20
    action deny
  exit
exit
  
router bgp 64515
  neighbor 203.0.113.1
    remote-as 65500
    update-source twentyfivegigabitethernet 1/0/1
    fall-over bfd
    address-family ipv4 unicast
      route-map BGP_IN in
      enable
    exit
    enable
  exit
  enable
exit                                                                                                                 
                                                                                                                                                                                                                                       
interface port-channel 1                                                                                              
  description to_MES5410-48_VPC_                                                                                                    
  speed 100G                                                                                                          
exit                                                                                                                  
interface port-channel 1.250                                                                                          
  security-zone Management                                                                                            
  ip address 10.250.0.253/24                                                                                          
  vrrp 1                                                                                                             
    ip address 10.250.0.55/24                                                                                         
    priority 101                                                                                                      
    group 1                        
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
interface port-channel 1.100                                                                                          
  security-zone Customer                                                                                              
  ip address 10.100.0.253/24                                                                                          
  vrrp 2                                                                                                             
    ip address 10.100.0.1/24                                                                                          
    priority 101                                                                                                      
    group 1                       
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
interface port-channel 1.115                                                                                          
  description "AP_users"                                                                                              
  ip address 10.115.0.253/24                                                                                          
  vrrp 3                                                                                                              
    ip address 10.115.0.1/24                                                                                          
    priority 101                                                                                                      
    group 1                                                                                                  
    enable                                                                                                            
  exit                                                                                                                
exit                                     
interface twentyfivegigabitethernet 1/0/1                                                                             
  description "to_NTP_ISP1"
  speed 1000M
  ip address 203.0.113.3/21
  ip nat proxy-arp PROXY                                                                                        
exit                                                                                                                  
interface hundredgigabitethernet 1/0/1     
  description to_MES5410-48_VPC_1                                                                              
  mode switchport                                                                                                     
  channel-group 1 mode auto                                                                                           
  lldp transmit                                                                                                       
  lldp receive                                                                                                        
exit                                                                                                                  
interface hundredgigabitethernet 1/0/2  
  description to_MES5410-48_VPC_2                                                                                     
  mode switchport                                                                                                     
  channel-group 1 mode auto                                                                                           
  lldp transmit                                                                                                       
  lldp receive                                                                                                        
exit                                                                                                                  
interface oob 1/0/1                                                                                                   
  security-zone test                                                                                                  
  ip address 192.168.1.1/24                                                                                           
exit                                                                                                                  
                                                                                                                      
snmp-server                                                                                                           
snmp-server community public v2c ro                                                                                   
snmp-server community private v2c rw                                                                                  
                                                                                                                      
security zone-pair test self                                                                                          
  rule 10                                                                                                              
    action permit                                                                                                     
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
security zone-pair Management self                                                                                    
  rule 10                                                                                                              
    description "SNMP traffic from ECCM"                                                                              
    action permit                                                                                                     
    match protocol udp                                                                                                
    match source-address address-range 10.250.0.100                                                                  
    match destination-port port-range 161                                                                             
    enable                                                                                                            
  exit                                                                                                                
  rule 20                                                                                                             
    description "SSH traffic from ECCM"                                                                               
    action permit                                                                                                     
    match protocol tcp                                                                                                
    match source-address address-range 10.250.0.100                                                                   
    match destination-port port-range 22                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 30                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port object-group NTP                                                                           
    enable                                                                                                            
  exit                                                                                                                
  rule 40                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 161                                                                             
    enable                                                                                                            
  exit                                                                                                                
  rule 50                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit                                                                                                                
  rule 60                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 67                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 70                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 68                                                                              
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
security zone-pair Customer self                                                                                      
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match source-port port-range 68                                                                                   
    match destination-port port-range 67                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 20                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit                                                                                                                
  rule 30                                                                                                             
    action permit                                                                                                     
    match protocol vrrp                                                                                               
  exit                                                                                                                
exit      
security zone-pair Customer ISP_NTP
  rule 10
    action permit
    match source-address object-group Customers_POOL
    enable
  exit
exit                    
security zone-pair ISP_NTP self                                                                                       
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 123                                                                             
    enable                                                                                                            
  exit  
  rule 20
    action permit
    match protocol tcp
    match destination-port port-range 179
    enable
  exit
  rule 30
    action permit
    match protocol udp
    match destination-port port-range 3784
    enable
  exit
exit                                                                                                              
exit                                                                                                                  
security zone-pair Customer ISP_NTP                                                                                   
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit
   rule 20
    action permit
    match source-address object-group Customers_POOL
    enable
  exit                                                                                                               
exit   
 
nat source
  pool Customer_Public_IP
    ip address-range 203.0.113.3
  exit
 
  ruleset SNAT
    to zone ISP_NTP
    rule 10
      match source-address object-group Customers_POOL
      action source-nat pool Customer_Public_IP
      enable
    exit
  exit
exit

ip sla
ip sla logging status
ip sla test 1
  icmp-echo 8.8.4.4 source-ip 203.0.113.2 num-packets 5
  enable
exit
  
ip sla test 2
  icmp-echo 77.88.44.242 source-ip 203.0.113.2 num-packets 5
  enable
exit
  
ip sla schedule all life forever start-time now

ip ssh server                                                                                                         
ip ssh key-exchange time 8                                                                                            
                                                                                                                      
archive                                                                                                               
  type local                                                                                                          
  by-commit                                                                                                           
  count-backup 10                                                                                                     
exit                                                                                                                  
                                                                                                                      
lldp enable                                                                                                           
lldp system-name "ESR-3300_1"                                                                                          
                                                                                                                      
clock timezone gmt +7                                                                                                 
                                                                                                                      
ntp enable                                                                                                            
ntp object-group serve-only ISP_NTP                                                                                   
ntp server 203.0.113.2                                                                                                
  prefer                                                                                                              
  minpoll 4      
exit
ntp server 203.0.113.130                                                                                                     
exit      

track 1
  description "Check Internet"
  track sla test 1 mode state fail
  track sla test 2 mode state fail
  enable
exit

hostname ESR-3300_2                                                                                                    

object-group service NTP                                                                                              
  port-range 123                                                                                                      
exit     

object-group network Customers_POOL
  ip prefix 10.100.0.0/24
exit                                                                                                             
    
object-group network ISP_NTP  
  ip prefix 203.0.113.128/25                                                                                        
exit                                                                                                                  
    
object-group network PROXY
  ip address-range 203.0.113.131
exit                                                                                                                  
                                                                                                                      
syslog max-files 3                                                                                                    
syslog file-size 512                                                                                                  
syslog sequence-numbers                                                                                               
syslog file flash:syslog/default                                                                                      
  severity info                                                                                                       
exit                                                                                                                  
                                                                                                                      
syslog host ECCM                                                                                                      
  remote-address 10.250.0.100                                                                                        
  severity info                                                                                                       
exit                                                                                                                  

no spanning-tree                                                                                                      
     
security zone test                                                                                                
exit                                                                                                                  
security zone Management                                                                                              
exit                                                                                                                  
security zone Customer                                                                                                
exit                                                                                                                  
security zone VoIP                                                                                                    
exit                                                                                                                  
security zone ISP_NTP                                                                                                 
exit                                                                                                                  
        
route-map BGP_IN
  rule 10
    match ip address 0.0.0.0/0
  exit
  rule 20
    action deny
  exit
exit
  
router bgp 64515
  neighbor 203.0.113.129
    remote-as 65400
    update-source gigabitethernet 1/0/1
    fall-over bfd
    address-family ipv4 unicast
      route-map BGP_IN in
      enable
    exit
    enable
  exit
  enable
exit                                                                                                                 
                                                                                                                      
interface port-channel 1  
  description to_MES5410-48_VPC                                                                                                    
  speed 100G                                                                                                          
exit                                                                                                                  
interface port-channel 1.250                                                                                          
  description "Mangement"                                                                                             
  security-zone Management                                                                                            
  ip address 10.250.0.254/24                                                                                          
  vrrp 1                                                                                                             
    ip address 10.250.0.55/24                                                                                         
    priority 101                                                                                                      
    group 1                                                                                                  
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
interface port-channel 1.100                                                                                          
  security-zone Customer                                                                                              
  ip address 10.100.0.254/24                                                                                          
  vrrp 2                                                                                                              
    ip address 10.100.0.1/24                                                                                          
    group 1                                                                                                 
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
interface port-channel 1.115                                                                                          
  ip address 10.115.0.254/24                                                                                          
  vrrp 3                                                                                                              
    ip address 10.115.0.1/24                                                                                          
    group 1                                                                                                   
    enable                                                                                                            
  exit                                                                                                                
exit                                          
interface twentyfivegigabitethernet 1/0/1                                                                             
  description "to_NTP_ISP2"                                                                                                                                   
  speed 1000M                                                                                                                                                 
  ip address 203.0.113.133/21 
  ip nat proxy-arp PROXY                                                                                         
exit                                                                                                                  
interface hundredgigabitethernet 1/0/1   
  description to_MES5410-48_VPC_1                                                                                     
  mode switchport                                                                                                     
  channel-group 1 mode auto                                                                                           
  lldp transmit                                                                                                       
  lldp receive                                                                                                        
exit                                                                                                                  
interface hundredgigabitethernet 1/0/2   
  description to_MES5410-48_VPC_2                                                                                    
  mode switchport                                                                                                     
  channel-group 1 mode auto                                                                                           
  lldp transmit                                                                                                       
  lldp receive                                                                                                        
exit                                                                                                                  
                                                                                                                      
snmp-server                                                                                                           
snmp-server community public v2c ro                                                                                   
snmp-server community private v2c rw                                                                                  
                                                                                                                      
security zone-pair Management self                                                                                    
  rule 10                                                                                                              
    description "SNMP traffic from ECCM"                                                                              
    action permit                                                                                                     
    match protocol udp                                                                                                
    match source-address address-range 10.250.0.100                                                                  
    match destination-port port-range 161                                                                             
    enable                                                                                                            
  exit                                                                                                                
  rule 20                                                                                                              
    description "SSH traffic from ECCM"                                                                               
    action permit                                                                                                     
    match protocol tcp                                                                                                
    match source-address address-range 10.250.0.100                                                                 
    match destination-port port-range 22                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 30                                                                                                             
    action permit                                                                                                     
    match protocol tcp                                                                                                
    match destination-port port-range 22                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 40                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 161                                                                             
    enable                                                                                                            
  exit                                                                                                                
  rule 50                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit                                                                                                                
  rule 60                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 67                                                                              
    enable                                                                                                            
  exit                                                                                                                
  rule 70                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 68                                                                              
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
security zone-pair Customer self                                                                                      
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol vrrp                                                                                               
    enable                                                                                                            
  exit                                                                                                                
  rule 20                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit                                                                                                                
exit                                                                                                                  
security zone-pair ISP_NTP self                                                                                       
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol udp                                                                                                
    match destination-port port-range 123                                                                             
    enable                                                                                                            
  exit    
  rule 20
    action permit
    match protocol tcp
    match destination-port port-range 179
    enable
  exit
  rule 30
    action permit
    match protocol udp
    match destination-port port-range 3784
    enable
  exit
exit                                                                                                            
exit                                                                                                                  
security zone-pair Customer ISP_NTP                                                                                   
  rule 10                                                                                                             
    action permit                                                                                                     
    match protocol icmp                                                                                               
    enable                                                                                                            
  exit 
   rule 20
    action permit
    match source-address object-group Customers_POOL
    enable
  exit                                                                                                              
exit                                                                                                                  
                                                                                                                      
nat source
  pool Customer_Public_IP
    ip address-range 203.0.113.131
  exit
  
  ruleset SNAT
    to zone ISP_NTP
    rule 10
      match source-address object-group Customers_POOL
      action source-nat pool Customer_Public_IP
      enable
    exit
  exit
exit                                                                             
                                                                                                                      
ip ssh server                                                                                                         
ip ssh key-exchange time 8                                                                                            
                                                                                                                      
archive                                                                                                               
  type local                                                                                                          
  by-commit                                                                                                           
  count-backup 10                                                                                                     
exit                                                                                                                  
                                                                                                                      
lldp enable                                                                                                           
lldp system-name "ESR-3300_2"                                                                                          
                                                                                                                      
clock timezone gmt +7                                                                                                 
                                                                                                                      
ntp enable                                                                                                            
ntp object-group serve-only ISP_NTP                                                                                   
ntp server 203.0.113.130                                                                                              
  prefer                                                                                                              
  minpoll 4                                                                                                           
exit    
ntp server 203.0.113.2
exit 

no spanning-tree
!
vlan database
 vlan 100-101,110,250
exit
!
vpc
vpc domain 1
 peer detection
 peer detection ipaddr 1.1.1.2 1.1.1.1
 peer keepalive
 role priority 1
 peer link port-channel 1
exit
!
vpc group 2
 domain 1
 vpc-port port-channel 2
exit
!
vpc group 3
 domain 1
 vpc-port port-channel 3                              
exit
!
vpc group 4
 domain 1
 vpc-port port-channel 4
exit
!
vpc group 5
 domain 1
 vpc-port port-channel 5
exit
!
!
hostname MES5410-48_VPC_1
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
!
ip ssh server
!
snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!
clock timezone UTC +7
clock source ntp
!
ntp server 10.250.0.55
!
no ip telnet server
!
interface TwentyFiveGigaEthernet1/0/1
 description to_MES5410-48_VPC_2
 ip address 1.1.1.1 255.255.255.252
exit
!
interface TwentyFiveGigaEthernet1/0/2
 description to_MES2300-24_stack
 channel-group 4 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/3
 description to_MES2300-24_stack
 channel-group 4 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/4
 description to_MES5332A_stack
 channel-group 5 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/5
 description to_MES5332A_stack
 channel-group 5 mode auto
exit
!
interface HundredGigabitEthernet1/0/1
 description to_MES5410-48_VPC_2
 channel-group 1 mode auto
exit
!
interface HundredGigabitEthernet1/0/2
 description to_MES5410-48_VPC_2
 channel-group 1 mode auto
exit
!
interface HundredGigabitEthernet1/0/3
 description to_ESR-3300_1
 channel-group 2 mode auto
exit
!
interface HundredGigabitEthernet1/0/4
 description to_ESR-3300_2
 channel-group 3 mode auto
exit
!
interface Port-Channel1
 description to_MES5410-48_VPC_2
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel2
 description to_ESR-3300_1
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel3
 description to_ESR-3300_2
 speed 100000
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel4
 description to_MES2300-24_stack
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel5
 description to_MES5332A_stack
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.10 255.255.255.0
exit
!
!
end

no spanning-tree
!
vlan database
 vlan 100-101,110,115,250
exit
!
vpc
vpc domain 1
 peer detection
 peer detection ipaddr 1.1.1.1 1.1.1.2
 peer keepalive
 role priority 2
 peer link port-channel 1
exit
!
vpc group 2
 domain 1
 vpc-port port-channel 2
exit
!
vpc group 3
 domain 1
 vpc-port port-channel 3                              
exit
!
vpc group 4
 domain 1
 vpc-port port-channel 4
exit
!
vpc group 5
 domain 1
 vpc-port port-channel 5
exit
!
!
hostname MES5410-48_VPC_2
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
ip ssh server
!
snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!
clock timezone UTC +7
clock source ntp
!
ntp server 10.250.0.55
!
no ip telnet server
!
interface TwentyFiveGigaEthernet1/0/1
 description to_MES5410-48_VPC_1
 ip address 1.1.1.2 255.255.255.252
exit
!
interface TwentyFiveGigaEthernet1/0/2
 description to_MES2300-24_Stack
 channel-group 4 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/3
 description to_MES2300-24_Stack
 channel-group 4 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/4
 description to_MES5332A_Stack
 channel-group 5 mode auto
exit
!
interface TwentyFiveGigaEthernet1/0/5
 description to_MES5332A_Stack
 channel-group 5 mode auto
exit
!
interface HundredGigabitEthernet1/0/1
 description to_MES5410-48_VPC_1
 channel-group 1 mode auto
exit
!
interface HundredGigabitEthernet1/0/2
 description to_MES5410-48_VPC_1
 channel-group 1 mode auto
exit
!
interface HundredGigabitEthernet1/0/3
 description to_ESR-3300_1
 channel-group 2 mode auto
exit
!
interface HundredGigabitEthernet1/0/4
 description to_ESR-3300_2
 channel-group 3 mode auto
exit
!
interface Port-Channel1
 description to_MES5410-48_VPC_1
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
exit
!
interface Port-Channel2
 description to_ESR-3300_1
 speed 100000
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel3
  description to_ESR-3300_2
 speed 100000
 switchport mode general
 switchport general allowed vlan add 100-101,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel4
 description to_MES2300-24_Stack
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel5
 description to_MES5332A_Stack
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.11 255.255.255.0
exit
!
!
end

vlan database
 vlan 100-101,110,115,250
exit
!
hostname MES5332A_Stack
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
ip ssh server
!
snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!         
clock timezone UTC +7                                            
clock source ntp
!
ntp server 10.250.0.55
!
no ip telnet server
!
interface TenGigabitEthernet1/0/1
 description to_MES2300D-24P_1
 channel-group 1 mode auto
exit
!
interface TenGigabitEthernet1/0/2
 description to_MES2300D-24P_2
 channel-group 2 mode auto
exit
!
interface TenGigabitEthernet1/0/3
 description to_MES5410-48_VPC_1
 channel-group 3 mode auto
exit
!
interface TenGigabitEthernet1/0/4
 description to_MES5410-48_VPC_2
 channel-group 3 mode auto
exit
!
interface TenGigabitEthernet2/0/1
 description to_MES2300D-24P_1
 channel-group 1 mode auto
exit
!
interface TenGigabitEthernet2/0/2
 description to_MES2300D-24P_2
 channel-group 2 mode auto
exit
!
interface TenGigabitEthernet2/0/3
 description to_MES5410-48_VPC_1
 channel-group 3 mode auto
exit
!
interface TenGigabitEthernet2/0/4
 description to_MES5410-48_VPC_2
 channel-group 3 mode auto
exit
!
interface Port-Channel1
 description to_MES2300D-24P_1
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel2
 description to_MES2300D-24P_2
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel3
 description to_MES5410-48_VPC
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.20 255.255.255.0
exit
!
!
end

vlan database
 vlan 100-101,110,115,250,300
exit
!
ip dhcp relay address 192.168.1.30
ip dhcp relay enable
ip dhcp information option
!
hostname MES2300-24_Stack
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
ip ssh server
!
snmp-server server                                    
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!
clock timezone UTC +7
clock source ntp
!
ntp server 10.250.0.55
!
interface GigabitEthernet1/0/10
 description to_WLC-15_1
 channel-group 1 mode auto
exit
!
interface GigabitEthernet1/0/11
 description to_WLC-15_2
 channel-group 1 mode auto
exit
!
interface GigabitEthernet1/0/14
 description to_SMG-3016_1
 channel-group 2 mode auto
exit
!
interface GigabitEthernet1/0/15
 description to_SMG-3016_2
 channel-group 3 mode auto
exit
!
interface TenGigabitEthernet1/0/1
 description to_MES5410-48_VPC_1
 channel-group 4 mode auto
exit
!
interface TenGigabitEthernet1/0/2
 description to_MES5410-48_VPC_2
 channel-group 4 mode auto
exit
!
interface TenGigabitEthernet1/0/3
 description to_NAICE-DHCP
 channel-group 5 mode auto
!
interface TenGigabitEthernet1/0/4
 description to_ECCM
 channel-group 6 mode auto
exit
!
interface GigabitEthernet2/0/10
 description to_WLC-15_1
 channel-group 1 mode auto
exit
!
interface GigabitEthernet2/0/11
 description to_WLC-15_2
 channel-group 1 mode auto
!
interface GigabitEthernet2/0/14
 description to_SMG-3016_1
 channel-group 2 mode auto
exit
!
interface GigabitEthernet2/0/15
 description to_SMG-3016_2
 channel-group 3 mode auto
exit
!
interface TenGigabitEthernet2/0/1
 description to_MES5410-48_VPC_1
 channel-group 4 mode auto
exit
!
interface TenGigabitEthernet2/0/2
 description to_MES5410-48_VPC_2
 channel-group 4 mode auto
exit
!
interface TenGigabitEthernet2/0/3
 description to_NAICE-DHCP
 channel-group 5 mode auto
!
interface TenGigabitEthernet2/0/4
 description to_ECCM
 channel-group 6 mode auto
exit
!
interface Port-Channel1
 description to_WLC-15
 switchport mode general
 switchport general allowed vlan add 110,250 tagged
exit
!
interface Port-Channel2
 description to_SMG-3016_1
 switchport mode general
 switchport general allowed vlan add 101,250 tagged
exit
!
interface Port-Channel3
 description to_SMG-3016_2
 switchport mode general
 switchport general allowed vlan add 101,250 tagged
exit
!
interface Port-Channel4
 description to_MES5410-48_VPC
 speed 10000
 switchport mode general
 switchport general allowed vlan add 100-101,110,250 tagged
 switchport forbidden default-vlan
exit
!
interface Port-Channel5
 description to_NAICE-DHCP
 ip dhcp snooping trust
 switchport mode general
 switchport general allowed vlan add 250,300 tagged
exit
interface Port-Channel6
 description to_ECCM
 switchport mode general
 switchport general allowed vlan add 250 tagged
exit
!
interface vlan 1
 no ip address dhcp
exit
!
interface vlan 100
 name PC
 ip address 10.100.0.45 255.255.255.0
 ip dhcp relay enable
exit
!
interface vlan 101
 name VoIP
 ip address 10.101.0.45 255.255.255.0
 ip dhcp relay enable
exit
!
interface vlan 110
 name WiFi_AP_man
 ip address 10.110.0.45 255.255.255.0
 ip dhcp relay enable
exit
!
interface vlan 115
 name WiFi_AP_Users
 ip address 10.115.0.45 255.255.255.0
 ip dhcp relay enable
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.45 255.255.255.0
exit
!
interface vlan 300
 name DHCP_server
 ip address 192.168.1.45 255.255.255.0
exit
!
!
end

vlan database
 vlan 11,100-101,110,115,150,250
exit
!
voice vlan id 101
voice vlan state oui-enabled
voice vlan oui-table add 6813e2
!
dot1x system-auth-control
!
no lldp med network-policy voice auto
lldp med network-policy 1 voice vlan 101 vlan-type tagged up 4
!
loopback-detection enable
loopback-detection interval 5
!
errdisable recovery cause loopback-detection
!
ip dhcp snooping
ip dhcp snooping vlan 100
!
ip arp inspection
ip arp inspection vlan 100                            
!
hostname MES2300D-24P_1
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
ip ssh server
!
snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!
clock timezone utc +7
clock source ntp
!
ntp server 10.250.0.55
!
interface GigabitEthernet1/0/4
 dot1x host-mode single-host
 loopback-detection enable
 dot1x guest-vlan enable
 dot1x radius-attributes vlan static
 dot1x port-control auto
 description to_AP
 ip dhcp snooping limit clients 5
 storm-control broadcast kbps 2048 trap
 storm-control unicast kbps 2048 trap
 storm-control multicast kbps 2048 trap
 spanning-tree disable
 spanning-tree bpdu filtering
 switchport mode general
 switchport general allowed vlan add 110 untagged
 switchport general pvid 110
exit
!
interface GigabitEthernet1/0/14
 dot1x host-mode multi-sessions
 loopback-detection enable
 dot1x guest-vlan enable
 dot1x reauthentication
 dot1x timeout reauth-period 300
 dot1x authentication 802.1x mac
 dot1x radius-attributes vlan static
 dot1x port-control auto
 description to_VP-17P+PC
 ip dhcp snooping limit clients 5
 storm-control broadcast kbps 2048 trap
 storm-control unicast kbps 2048 trap
 storm-control multicast kbps 2048 trap
 spanning-tree disable
 spanning-tree bpdu filtering
 switchport mode general
 switchport general allowed vlan add 100 untagged
 switchport general pvid 100
 switchport protected-port
 lldp med network-policy add 1
 voice vlan enable
exit
!
interface TenGigabitEthernet1/0/1
 description to_MES5332A_Stack
 channel-group 1 mode auto
exit
!
interface TenGigabitEthernet1/0/2
 description to_MES5332A_Stack
 channel-group 1 mode auto
exit
!
interface Port-Channel1
 description to_MES5332A_Stack
 ip arp inspection trust
 ip dhcp snooping trust
 switchport mode general
 switchport general allowed vlan add 100-101,110,115,250 tagged
 switchport forbidden default-vlan
exit
!
interface vlan 100
 name PC
 ip address 10.100.0.30 255.255.255.0
exit
!
interface vlan 101
 name VoIP
 ip address 10.101.0.30 255.255.255.0
exit
!
interface vlan 110
 name WiFi_AP_man
 ip address 10.110.0.30 255.255.255.0
exit
!
interface vlan 115
 name Wifi_AP_users
 ip address 10.115.0.30 255.255.255.0
exit
!
interface vlan 150
 name Guest
 dot1x guest-vlan
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.30 255.255.255.0
exit
!
!
end

vlan database
 vlan 100-101,110,115,150,250
exit
!
voice vlan id 101
voice vlan state oui-enabled
voice vlan oui-table add ecb1e0
!
dot1x system-auth-control
!
no lldp med network-policy voice auto
lldp med network-policy 1 voice vlan 101 vlan-type tagged up 4
!
loopback-detection enable
loopback-detection interval 5
!
errdisable recovery cause loopback-detection
!
ip dhcp snooping
ip dhcp snooping vlan 100
!
ip arp inspection
ip arp inspection vlan 100                            
!
hostname MES2300D-24P_2
!
radius-server host 10.250.0.200 key secret
!
tacacs-server host 10.250.0.200 key secret
!
logging host 10.250.0.100
logging cli-commands
!
ip ssh server
!
snmp-server server
snmp-server community eltex_public ro 10.250.0.100
snmp-server community eltex_private rw 10.250.0.100
!
clock timezone UTC +7
clock source ntp
!
ntp server 10.250.0.55
!
no ip telnet server
!
interface GigabitEthernet1/0/4
 dot1x host-mode single-host
 loopback-detection enable
 dot1x guest-vlan enable
 dot1x radius-attributes vlan static
 dot1x port-control auto
 description to_AP
 ip dhcp snooping limit clients 5
 storm-control broadcast kbps 2048 trap
 storm-control unicast kbps 2048 trap
 storm-control multicast kbps 2048 trap
 spanning-tree disable
 spanning-tree bpdu filtering
 switchport mode general
 switchport general allowed vlan add 110 untagged
 switchport general pvid 110
exit
!
interface GigabitEthernet1/0/14
 dot1x host-mode multi-sessions
 loopback-detection enable
 dot1x guest-vlan enable
 dot1x reauthentication
 dot1x timeout reauth-period 300
 dot1x authentication 802.1x mac
 dot1x radius-attributes vlan static
 dot1x port-control auto
 description to_VP30P+PC
 ip dhcp snooping limit clients 5
 storm-control broadcast kbps 2048 trap
 storm-control unicast kbps 2048 trap
 storm-control multicast kbps 2048 trap
 spanning-tree disable
 spanning-tree bpdu filtering
 switchport mode general
 switchport general allowed vlan add 100 untagged
 switchport general pvid 100
 switchport protected-port
 lldp med network-policy add 1
 voice vlan enable
exit
!
interface TenGigabitEthernet1/0/1
 description to_MES5332A_Stack
 channel-group 1 mode auto
exit
!
interface TenGigabitEthernet1/0/2
 description to_MES5332A_Stack
 channel-group 1 mode auto
exit
!
interface Port-Channel1
 description to_MES5332A_Stack
 ip arp inspection trust
 ip dhcp snooping trust
 switchport mode general
 switchport general allowed vlan add 100-101,110,115,250 tagged
 switchport forbidden default-vlan
exit
!
interface vlan 100
 name PC
 ip address 10.100.0.31 255.255.255.0
exit
!
interface vlan 101
 name VoIP
 ip address 10.101.0.31 255.255.255.0
exit
!
interface vlan 110
 name WiFi_AP_man
 ip address 10.110.0.31 255.255.255.0
exit
!
interface vlan 115
 name WiFi_AP_users
 ip address 10.115.0.31 255.255.255.0
exit
!
interface vlan 150
 name Guest
 dot1x guest-vlan
exit
!
interface vlan 250
 name ECCM+Naice
 ip address 10.250.0.31 255.255.255.0
exit
!
!
end

cluster
cluster-interface bridge 1
unit 1
mac-address 90:54:b7:3a:39:d0
exit
unit 2
mac-address 68:13:e2:e1:f6:fe
exit
enable
exit 

hostname wlc-1 unit 1 
hostname wlc-2 unit 2 

object-group service ssh 
port-range 22 
exit 
object-group service dhcp_server 
port-range 67 
exit 
object-group service dhcp_client 
port-range 68 
exit 
object-group service ntp 
port-range 123 
exit 
object-group service netconf 
port-range 830 
exit 
object-group service radius_auth 
port-range 1812 
exit 
object-group service sa 
port-range 8043-8044 
exit 
object-group service dns 
port-range 53 
exit 
object-group service airtune 
port-range 8099 
exit 
object-group service web 
port-range 443 
exit 

syslog max-files 3 
syslog file-size 512 
syslog file tmpsys:syslog/default 
severity info 
exit 

logging wlc-events 
logging wlc-journal 

syslog host eccm 
remote-address 192.168.71.8 
severity debug 
exit 

radius-server local 
nas ap 
key ascii-text secretap 
network 10.110.0.0/24 
exit 
nas local 
key ascii-text secretap 
network 127.0.0.1/32 
exit 
domain default 
user name1 
password ascii-text secretap 
exit 
exit 
virtual-server default 
mode proxy 
upstream-pool default 
enable 
exit 
upstream-server eltex 
host 10.250.0.200 
server-type all 
key ascii-text secretap 
exit 
upstream-pool default 
server-type all 
upstream-server eltex 
exit 
enable 
exit 
radius-server host 127.0.0.1 
key ascii-text secretap 
exit 
aaa radius-profile default_radius 
radius-server host 127.0.0.1 
exit 

vlan 110 
name "AP_man" 
exit 
vlan 115 
name "AP_users" 
force-up 
exit 
vlan 250 
name "Management" 
exit 

security zone sync 
exit 
security zone trusted 
exit 
security zone untrusted 
exit 
security zone users 
exit 

bridge 1 
vlan 1 
security-zone sync 
ip address 192.51.100.254/24 unit 1 
ip address 192.51.100.253/24 unit 2 
vrrp id 1 
vrrp ip 192.51.100.1/24 
vrrp group 1 
vrrp 
enable 
exit 
bridge 10 
vlan 110 
ip firewall disable 
ip address 10.110.0.1/24 
no spanning-tree 
enable 
exit 
bridge 15 
vlan 115 
mtu 1458 
security-zone users 
ip firewall disable 
ip address 10.115.0.1/24 
no spanning-tree 
enable 
exit 
bridge 25 
vlan 250 
security-zone trusted 
ip firewall disable 
ip address 10.250.0.200/24 unit 1 
ip address 10.250.0.201/24 unit 2 
no spanning-tree 
enable 
exit 

interface port-channel 1 
mode switchport 
switchport mode trunk 
switchport trunk allowed vlan add 110,250 
exit 
interface gigabitethernet 1/0/1 
description vrrp 
mode switchport 
exit 
interface gigabitethernet 1/0/3 
description to_MES2300-24_stack 
mode switchport 
channel-group 1 mode auto 
exit 
interface gigabitethernet 1/0/4 
description to_MES2300-24_stack 
mode switchport 
channel-group 1 mode auto 
exit 
interface gigabitethernet 2/0/1 
description vrrp 
mode switchport 
exit 
interface gigabitethernet 2/0/3 
description to_MES2300-24_stack 
mode switchport 
channel-group 1 mode auto 
exit 
interface gigabitethernet 2/0/4 
description to_MES2300-24_stack 
mode switchport 
channel-group 1 mode auto 
exit 

tunnel softgre 1 
mode data 
local address 10.110.0.1 
default-profile 
enable 
exit 

snmp-server 
snmp-server community public v2c ro 
snmp-server community private v2c rw 

snmp-server host 10.250.0.100 
exit 

snmp-server enable traps snmp 
snmp-server enable traps snmp authentication 
snmp-server enable traps snmp coldstart 
snmp-server enable traps snmp linkdown 
snmp-server enable traps snmp linkup 

security zone-pair sync self 
rule 1 
action permit 
match protocol vrrp 
enable 
exit 
exit 
security zone-pair trusted untrusted 
rule 10 
action permit 
enable 
exit 
rule 20 
action permit 
match protocol tcp 
match destination-port object-group airtune 
enable 
exit 
rule 30 
action permit 
match protocol tcp 
match destination-port object-group web 
enable 
exit 
exit 
security zone-pair trusted trusted 
rule 10 
action permit 
enable 
exit 
exit 
security zone-pair trusted self 
rule 10 
action permit 
match protocol tcp 
match destination-port object-group ssh 
enable 
exit 
rule 20 
action permit 
match protocol icmp 
exit 
rule 30 
action permit 
match protocol udp 
match destination-port object-group ntp 
enable 
exit 
rule 40 
action permit 
match protocol tcp 
match destination-port object-group dns 
enable 
exit 
rule 50 
action permit 
match protocol udp 
match destination-port object-group dns 
enable 
exit 
rule 60 
action permit 
match protocol udp 
match destination-port object-group radius_auth 
enable 
exit 
rule 70 
action permit 
match protocol gre 
enable 
exit 
rule 80 
action permit 
match protocol udp 
match source-address address-range 192.168.71.8 
match destination-port port-range 161 
enable 
exit 
rule 90 
description "SSH traffic from ECCM" 
action permit 
match protocol tcp 
match source-address address-range 192.168.71.8 
match destination-port port-range 22 
enable 
exit 
exit 
security zone-pair users self 
rule 10 
action permit 
match protocol icmp 
enable 
exit 
rule 20 
action permit 
match protocol tcp 
match destination-port object-group dns 
enable 
exit 
rule 30 
action permit 
match protocol udp 
match destination-port object-group dns 
enable 
exit 
exit 
security zone-pair untrusted self 
rule 10 
action permit 
match protocol udp 
match source-port object-group dhcp_server 
match destination-port object-group dhcp_client 
enable 
exit 
exit 
security zone-pair users untrusted 
rule 10 
action permit 
enable 
exit 
exit 

softgre-controller 
nas-ip-address 127.0.0.1 
data-tunnel configuration wlc 
aaa radius-profile default_radius 
keepalive-disable 
service-vlan add 115 
enable 
exit 

wlc 
outside-address 10.110.0.1 
service-activator 
aps join auto 
exit 
airtune 
enable 
exit 
ap-location default-location 
mode tunnel 
ap-profile default_airtune 
airtune-profile big_office
ssid-profile default-ssid 
exit 
airtune-profile default_airtune 
load-balance 
exit 
airtune-profile big_ofice 
eltex-rrm-scan disable 
optimization time 02:00 
optimization mode time 
hd-mode 
802.11v disable 
exit 
airtune-profile big_office 
load-balance 
exit 
ssid-profile default-ssid 
description "default-ssid" 
ssid "default-ssid" 
radius-profile default-radius 
vlan-id 115 
security-mode WPA2_1X 
band 2g 
band 5g 
enable 
exit 
ap-profile default_airtune 
password ascii-text secretap 
exit 
radius-profile SSID-radius 
auth-address 10.110.0.1 
auth-password ascii-text secretap 
auth-acct-id-send 
acct-enable 
acct-address 10.110.0.1 
acct-password ascii-text secretap 
exit 
radius-profile default-radius 
auth-address secretap 
auth-password ascii-text secretap 
exit 
radius-profile external-radius 
auth-address 10.110.0.1 
auth-password ascii-text secretap 
acct-enable 
acct-address 10.110.0.1 
acct-password ascii-text secretap 
exit 
ip-pool default-ip-pool 
ap-location default-location 
exit 
enable 
exit 

ip ssh server 

clock timezone gmt +7 

ntp enable 
ntp server 10.250.0.55 
prefer 
minpoll 4 
exit 

ip https server