etherchannel loadbalance dst –mac
以太网隧道负载方式基于目标MAC
MST
(config)# spanning -tree mode mst
(config)# spanning -tree mst configuration
(config-mst )# name CCIE
(config-mst )# instance 1 vlan 20,40,60
spanning -tree mst 3 root primary
spanning -tree mst 1,2 root secondary
VLAN ACL
(config)# vlan access-map Deny_VIP 10
(config)# match mac address VIP
(config)# action drop
(config)# vlan access-map Deny_VIP 20
(config)# vlan filter Deny_VIP vlan -list 50
frame-relay
interface serial 0/0
frame -relay broadcast -queue 120 260000 240 // FR broadcast queue to 120 , 260Kbytesrate per seconds, 240 packet per second
damping
interface serial 0/0
dampening // Turn on dampening to avoid
excessive routing updates
广播转单播
ip forward -protocol udp snmptrap
interface G0/0/1.70
iphelper-address 150.2.Y.254
利用PBR做标记
route -map PBR
match ip address 100
setip precedence 3
setip next-hop YY.YY.11.4
interface G0/0/1 (12.0/24)
ippolicy route -map PBR
RPF校验
ip cef
interface serial 0/0
ipverify unicast source reachable-via any 10
access-list 10 deny any log //记录日志
tcp intercept
ip tcp intercept mode watch //模式watch,路由器监控客户和服务器的TCP回话建立过程
ip tcp intercept watch -timeout 15 //若客户15秒还没和服务器建立TCP三次握手则路由器向服务器发送RST(复位)消息,防止拒绝服务攻击
ip tcp intercept list 100
access-list 100 permit tcp any 150.1.YY.00.0.0.255
access-list 100 permit tcp any host150.1.Y.254
ip tcp intercept mode intercept //路由器代替服务器和客户建立三次握手
ip tcp intercept conncect -timeout 150 //在非主动模式下tcp会话在idle150s后,超时断开(默认TCP连接是永远不超时的)
ip access-list extended DOS
permit tcp any host 1.1.1.1
ip tcp intercept list DOS //服务器为1.1.1.1,那么监控所有访问这台服务器的TCP流量
ip tcp intercept max-incomplete high 1000
ip tcp intercept max-incomplete low 800
//所有半开连接数达到1000后,进入主动模式,主动模式会将所有的超时时间
减半,比如上面配置的connection-timeout会由1800s变成900s。当连接数低
于800时,再恢复正常。
ip tcp intercept one-minute high 500
ip tcp intercept one-minute high 400
//一分钟内新增的半开连接数达到500时,进入主动模式。低于400时,再恢复
正常。
ip tcp intercept drop-mode random/oldest (修改丢弃连接的方式)
默认为oldest
storm -contro
(config)# interface f0/10
(config-if)# storm -control unicast level55 //把入站单播的流量限制到接口带宽*55%
block unknown traffic
(config)# interface f0/5
(config-if)# switchport block multicast //阻止未知组播(即MAC地址表没有的)
Exception Handling
(config)# ip ftp source -interface G0/0/0
(config)# ip ftp username ccie
(config)# ip ftp password cisco
(config)# exception core-file RA-CORE //给core-file起名,core-file用于设备异常故障检测
(config)# exception dump 150.1.12.254 //把core-file传输到150.1.12.254
(config)# exception protocol ftp //传输协议用FTP
(config)# exception region-size 65535
DHCP
(config)# service dhcp //开启DHCP服务
(config)# no ipdhcp conflit logging //不记录冲突地址(如果记录则冲突过的地址一直分配不出去)
(config)# no ip dhcp excluded-address YY.YY.55.57
(config)# ip dhcp pool DHCP
(dhcp-config)# network YY.YY.55.0 /24
(dhcp-config)# dns -server YY.YY.55.60YY.YY.55.57
(dhcp-config)# domain-name cisco.com
(dhcp-config)# default-router YY.YY.55.254
(dhcp-config)# lease 10
(dhcp-config)# update arp //联动接口ARP表的更新
(config)# interface G0/0/0
(config-if)# arp authorized // DHCP服务器没有记录的MAC不放入ARP表
跟踪攻击源
(config)# ip source-track 150.1.YY.254 //指定被攻击的设备
(config)# ip source-track address -limit 1 //跟踪设别限制为1
(config)# ip source-track syslog-interval 1440 //每1440分钟(一天)发送一次报告系统日志
防止碎片攻击
access-list extended Defragment
deny ip any host 10.1.Y.5 fragments //拒绝碎片报文
permit ip any any
interface G0/0
ipaccess-group Defragment in
802.1x
802.1xhost mode:
1. Single-Host Mode:交换机接口下只能有一台主机,否则违规
2. Multiple-Hosts Mode:交换机接口下可以有多台主机,但只要有一台认证即可
3.Multidomain Authentication Mode:可接一个IP电话和连在IP电话后的一台主机,所以每个端口允许两个MAC地址
4.Multiauthentication Mode:交换机接口下可以有多台主机,每台主机都要认证
Switch(config)# dot1x system-auth-control //在交换机上开启802.1x
Switch(config)# aaa new-model //开启AAA
Switch(config)# aaaauthentication dot1x default group radius //dot1x认证方法default的认证方式为radius
Switch(config)# aaa authorization network {default} groupradius //用radius服务器进行网络相关的请求,如依据认证通过与否等进行vlan的划分
Switch(config)# radius-server host 172.l20.39.46 auth-port1645 acct-port 1646 test username
randomuser idle-time 1 key mykey //radius服务器地址
Switch(config)# ip radius source-interface g3/2
Switch(config)# radius-server vsa send authentication //在multi-domain模式时用,接入设备根据AAAserver发出的VSAs判别语音和数据
Switch(config)# dot1x guest-vlan supplicant //全局开启客户vlan(隐藏命令)
Switch(config)# radius dead-criteria time 5 tries 2 //radius服务器不响应两次,每次5s就判定radius死亡(可选)
Switch(config)# radius deadtime 10 //每个10分钟检测一次down的radius服务器起来了没有(可选)
Switch(config)# authenticationcritical recovery delay msec //radius服务器重新可用后初始化认证端口(到服务器进行认证)的速度,如果为100ms则每秒初始化10个端口(可选)
Switch(config)# interface fastethernet2/1
Switch(config-if)# switchportmode access //认证接口要是接入接口
Switch(config-if)# switchportaccess vlan 12
Switch(config-if)# switchportvoice vlan 10
Switch(config-if)# authenticationhost-mode single-host | multi-host | multi-domain | multi-auth
//认证的host mode
Switch(config-if)# dot1x paeauthenticator //用默认参数在端口下启用802.1x
Switch(config-if)# authenticationport-control auto //开启端口认证,模式为自动,早期命令:dot1x port-control auto
Switch(config-if)# mab [eap] // 开启MAB(mac authentication bypass),允许不支持802.1x的设备(如语音设备、打印机)接入用MAC地址认证,早期为dot1x mac-auth-bypass [eap]
Switch(config-if)# authenticationviolation [restrict | shutdown ] //认证违规(如single-host模式发现两个MAC)处理方式,默认shutdown,restrict模式则不会关闭接口
Switch(config-if)# authenticationevent no-response action authorize vlan 50 //客户机不支持802.1x(不响应认证请求)把端口划入vlan 50(即guest vlan),早版本的命令为dot1x guest-vlan 50
Switch(config-if)# authenticationevent server dead action authorize vlan 17 //开启InaccessibleAuthentication Bypass特性,即如果没有可用的radius服务器则把端口入vlan 17,如果此时有可用的radius则可让端口初始化,默认不初始化
Switch(config-if)#authenticationevent server alive action reinitialize //如果radius服务器再次可用则端口初始化,默认不初始化
Switch(config-if)# authenticationevent fail retry 5 action authorize vlan 40 //尝试5次认证失败则划入vlan 40,早期命令为:dot1xauth-fail vlan 40和dot1x auth-failmax-attempts 3
Switch(config-if)# authentication periodic //开启定期的重认证,默认关闭,早期命令:dot1x reauthenticator
Switch(config-if)# authenticationtimer reauthenticate 4000 //设置重认证时间间隔,默认3600s,早期命令:Switch(config-if)# dot1x timeout reauth-period 4000
Switch(config-if)# dot1x timeoutquiet-period 30 //不能认证客户(如认证失败则等待30秒再认证),缩短可以加快对用户的响应
Switch(config-if)# switchportmode private-vlan host // PVLAN hostport
用宏创建vlan
macro name VLAN
vlan 30
name VLAN_30
vlan 31
name VLAN_31
@
macro global apply VLAN
RSPAN
vlan 500
remote-span
monitor session 1 source interface f0/10rx //只监控接收流量
monitor session 1 destination remote vlan500 reflect -port f0/18 //3550要反射端口
monitor session 1 source remote vlan500
monitor session 1 destination interfacef0/18
端口映射
ip nat inside source static tcp Y.Y.3.3 23Y.Y.6.254 23
interface G0/0
ipnat outside
interface S0/0
ipnat inside
accounting
interface G0/0
Router(config-if)#ip accountingaccess-violations
启动针对访问控制列表的IP统计
ip accounting -list Y.Y.6.254 0.0.0.0
NTP
——ntp access-group: 该全局命令用于路由器N T P服务的访问控制。
——ntp authenticate: 是一个全局命令,它启用N T P身份验证。
——ntp authentication-key: 该全局命令用于定义N T P身份验证的键值。
——ntp broadcast: 是一个接口命令,用于指定一特定接口来发送N T P广播包。
——ntp broadcast client: 是一个接口命令,使路由器通过特定接口来接收N T P广播包。
——ntp broadcast delay: 是一个全局命令,它用于设定数据包在路由器和N T P服务器之间一个回程所需时间的估计值。
——ntp clock-period: 这条全局命令不必输入,当使用N T P进行系统时钟同步时,路由器将自动产生这条命令。
——ntp disable: 这条接口命令使特定接口不接收N T P包。
——ntp master: 这条全局命令用来配置路由器为N T P主时钟,只有当没有可用的外部N T P源或者为测试用途才使用该命令。
——ntp peer: 该全局命令使路由器的系统时钟与其对等体的时钟同步(或对对等体的时钟进行同步)。
——ntp server: 该全局命令使路由器的系统时钟由时间服务器进行同步。
——ntp source: 该全局命令强制路由器在其N T P包中使用特定的源地址。
——ntp trusted-key: 该全局命令用于确认路由器的特定身份验证键值。
——ntp update-calendar: 该全局命令使N T P周期性地更新Cisco7XXX 系列路由器的日历。
——show ntp status: 是一执行模式命令,用于显示路由器的N T P信息,它可以表明该路由器是通过N T P对等体进行时钟同步还是通过N T P服务器进行同步。
——show ntp association[detail]: 这条执行模式命令显示与N T P有关的信息,如*询周期等。
Router(config)#ntp max-associations 30 //限制路由器可以接受的NTP Peers的数目
Router(config)#ntp access-group peer 88
Router(config)#ntp access-group serve-only 99
//只允许内部时钟从ACL88定义的服务器中获得同步,同时只有ACL99定义的两个网段的客户端可以从本设备请求时间信息
query-only:允许从列出的IP地址发出NTP控制查询。控制查询用在监视NTP进程的SNMP网络管理工作站。
serve-only:允许访问控制列表上的IP地址请求事件,路由器不向远程系统同步时间。
serve:允许时间请求和控制查询,路由器同样不向远程系统同步时间。
peer:允许时请求和控制查询,并且允许路由器从远程系统同步时间。
Router2(config)#ntp logging //记录重要的NTP事件
Router2#show logging | include NTP
clock timezone PST -8
clock summer-time PST recuring 2 Sun Mar 2:00 1 Sun Nov 2:00 //夏令时的时间是从3月第二个周日的2:00AM到11月第一个周日的2:00AM( 使用太平洋时区)
R3*
ntp authentication -key 1 md5 cisco
ntp authenticate
ntp master 2 //指明自己是服务器
ntp soure-interface loopback 0
R4*
ntp authentication-key 1 md5 cisco
ntp authenticate
ntp trust-key 1 //只有客户端要信任
ntp server Y.Y.3.3 key 1 source loopback 0 //请求NTP服务器在更新中携带密码
端口安全
interface range f0/11 -15
switchport mode access
switchport access vlan 44
switchportport -security mac-address sticky
switchport port -security maximum 2
switchport port -security violation restrict
switchport port –security
SSH
username rackYY privilege 15 passwordcisco
access-list 10 permit host Y.Y.2.2
line vty 0 x
transport input ssh
login local
access-class 10 in
ip domain name ccie.cisco.com
crypto key generate rsa
STP
spanning -tree vlan 56 forward -time 6 //配置VLAN 56的ports from upto forward 的时间为6秒
spanning -tree uplinkfast
spanning -tree vlan 11,13,15,201,203,801root primary
spanning -tree portfast bpduguard default
banner
banner motd @
Enter TEXT message. End with thecharacter “@”
SWITCH IS UNDER CONFIGURATION
PLEASE CONTACT HELP-DESK FOR ANY ASSISTANCT.
@
DRP(DirectorResponse Protocol)
用户在请求服务器数据的时候,可能无法定位与自己最近的服务器,那么这个时候可能需要在网络里放置导向器,导向器的功能就是将用户的请求信息重新定位(重定向)到与之最近的服务器。所以导向器要能够查讯网络里路由器上的BGP和IGP路由信息,这就需要路由器提供支持,如果路由器能够完全提供这种路由信息的支持,就必须配置成DRP Server Agent(DRP服务器代理)。
路由器要成为服务器代理,必须满足以下要求:
1.必须在拓朴上和导向器是邻近的且路由上是可达的。
2.应该具有全网的路由信息,IGP和BGP都不能少,须保证自己全网可达。
3.保证能够访问所有导向器。
1.打DRP agent.
r1(config)#ip drp server
2.写ACL允许哪些能访问
(1)定义ACL
r1(config)#access-list 10 permit10.1.1.1
(2)加上ACL:
r1(config)#ip drp access-group 10 //只允许10.1.1.1使用DRP 代理
3.使用认证以提供安全:
(1)定义Key Chain
r1(config)#key chain ccie
r1(config-keychain)#key 1
r1(config-keychain-key)#key-stringcisco
r1(config-keychain-key)#exit
r1(config-keychain)#exit
(2)使用认证
r1(config)#ip drp authenticationkey-chain ccie
4.查看结果:
r1#sh ip drp
WCCP
WCCP的工作原理为每当用户访问一个页面时,WCCP就将这些页面进行缓存保留,当用户下次请求网页数据时,路由器将用户的请求发到引擎,如果缓存中有相同网页的备份,则直接从缓存中发给用户,提高速度;但是如果没有,就自己重新请求远程网页,然后再发给用户。
1.开启WCCP:
(1)启用WCCP:
Router(config)# ip wccp web-cache
ip wccp web-cache group-address 224.1.1.100 passwordalaska1
(2)开启WCCP ver2
(共两个版本,默认为ver2)
router(config)#ip wccp version 2
(3)在接口上启用:
Router(config)# interface f0/0
Router(config-if)# ip wccpweb-cache redirect out
注:在f0/0接口的out方向启用,表明用户接在f0/0上,路由器只将从网站服务器发回的数
据从f0/0发给用户时,才会缓存。
(4)限制WCCP缓存哪些WEB服务器过来的数据包(可选配置):
例:比如只接收服务器10.1.1.1(即ACL10过来的数据)发来的数据:
router(config)# access-list 10permit host 10.1.1.1
router(config)# ip wccp web-cachegroup-list 10
//notify the router which IP addresses are validaddresses for a cache engine attempting to regi ster with the current router
(5)限制到哪些主机或哪些服务器的不被缓存(可选配置):
例:从服务器发回到目标主机192.168.196.51的不缓存,其它全部缓存
Router(config)# access-list 100deny ip any host 192.168.196.51
Router(config)# access-list 100permit ip any any
Router(config)# ip wccp web-cache redirect-list100
SNMP
(config) # snmp-server community cisco
(config) # snmp-server host 150.1.YY.252cisco tty
(config) # snmp-server enable traps tty // trap TCP
Router(config)# snmp-server system-shutdown // Enables system shutdown using the SNMPmessage reload feature
Time Ranged ACL
(config) # time-range WorkTime
(config-time-range)# periodic weekdays 8:00to 18:00
(config) # ip access-list extended HTTP
(config-ex) # deny tcp Y.Y.56.0 0.0.0.255any eq www time -range WorkTime
(config-ex) # permit ip any any
(config)# interface G0/0/1
(config-p-map)# ip access-group HTTP in
CAR
(config)# ip cef * With CAR, CEF should be enabled
(config)# access-list 100 permit icmp anyany echo
(config)# access-list 100 permit icmp anyany echo-reply
(config)# interface s0/0/0
(config-if) # rate-limit input access-group 100 256000 8000 8000
conform-action transmit exceed-action drop
IP SLA
ip sla monitor 1 //新版命令没有monitor
type tcpconnect dest -addr Y.Y.1.1 dest-port 23 source-ipaddrY.Y.254.4
frequency 3600
ip sla monitor schedule 1 start-time nowlife forever
R1*
ip sla monitor responder
acl匹配IP优先级
access-list 100 permit ip any anyprecedence routine //ip优先级0
Access Levels
enable secret level 5 cisco5
privilege exec level 5 undebug all
privilege exec level 5 ping
privilege exec level 5 write memory
privilege exec level 5 configure terminal
privilege configure level 5 interface
privilege interface levle 5 ip address
privilege exec level 1 show run
privilege exec level 1 write terminal
SYSLOG
logging on
logging trap critical
logging host 150.2.Y.254
logging facility local6 // The SYSLOG daemon is expecting you to usethe LOCAL6 facility
Dynamic Access
username ccie pass cisco
username ccie autocommand access-enable host time2 //如果2分钟没有动作,就会中断会话,autocommand,就是执行完,立刻中断telnet
username joe autocommand show ip bgp summary //telnet上去看到show ip bgp summary后断开
line vty 0 x
login local
access-list 100 permit tcp Y.Y.13.00.0.0.255 host Y.Y.13.4 eq telnet
access-list 100 dynamic T timeout 10 permit tcp Y.Y.13.0 0.0.0.255 Y.Y.0.0
0.0.255.255 eq telnet //如果telnet到这台设备成功自动生成此条ACL,绝对有效时间10分钟 ,但如果2分钟没有流量则条目消失
access-list 100 deny tcp Y.Y.13.0 0.0.0.255Y.Y.0.0 0.0.255.255 eq telnet
icmp
(config)# ip icmp rate-limit unreachable1000 //限制发送ICMP不可达消息的时间间隔
traffic-shape
(config)# access-list 100 permit tcp eq wwwany Y.Y.20.0 0.0.0.255
(config)# interface F0/1 (22.2 /24)
(config-if)# traffic-shapegroup 100 10000000 //限制最大流量10M
Control Plane Policy
对来自源Y.Y.2.2, Y.Y.5.5的telnet数据包没有控制, 要求其他telnet数据包police 60Kbps以内, 超过的就丢弃:
(config)# access-list 110 deny tcp hostY.Y.2.2 any eq telnet
(config)# access-list 110 deny tcp hostY.Y.5.5 any eq telnet
(config)# access-list 110 permit tcp anyany eq telnet
(config)# class -map match-all Telnet
(config-cmap)# match access-group 110
(config)# policy-map PT
(config-pmap)# class Telnet
(config-cmap-class )# police 60000 confirm-action transmit exceed-action
drop
(config)# control-plance
(config-cp)# service-policy input PT
IRDP(ICMP Router DiscoveryProtocol)
R5*
interface G0/0
ipirdp
ipirdp precedence -2147483648
R6*
interface G0/0
ipirdp
ipirdp precedence 2147483647
SLB(Server Load Balancing)
可以看作HSRP(热备份路由器协议)的扩展,实现多个服务器之间的负载均衡。
客户端向虚拟服务器发起连接时,通过某种负载均衡算法,转发到某真实服务器。
负载均衡算法有两种:
Weightedround robin(WRR)和Weighted least connections(WLC),
WRR使用加权轮询算法分配连接,WLC通过一定的权值,将下一个连接分配给活动连接数少的服务器
配置分为两部分,
第一部分是使用slbserverfarm serverfarm_name命令定义SLB选项,包括指定真实服务器地址;
第二部分是使用ipslb vserver virtual_server-name来指定虚拟服务器地址。
router#configt
router(config)#ipslb serverfarm http(名称)
router(config-slb-sfarm)#real192.168.1.1
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#real192.168.1.2
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#exit
router(config)#ipslb vserver vserver1
router(config-slb-vserver)#vitual10.1.1.1 TCP(协议) 80 (端口)
router(config-slb-vserver)#serverfarmhttp(名称)
router(config-slb-vserver)#inservice
IOS防火墙(基于状态)
规则:
默认情况不同安全区域的不能互相访问,在安全区域中的主机也不能访问不在任何安全区域的主机,都不在任何安全区域中的主机之间可以互相访问
配置:
1. 分类:
class-map typeinspect telnet //定义流量类别,注意比QOS多了type inspect
match protocol telnet
match access-group 100
match class-map a
parameter-maptype inspect tcp-parameter //定义参数类别
tcp idle-time 30 //超时30s断开
2. 定义策略:
policy-may typeinspect in_to_out_policy
class type inspect telnet
inspect tcp-parameter //对class-map telnet类别的行为是inspect,除此之外还有pass和drop,同时应用parameter-maptcp-parameter,即TCP超时时间为30s
3. 定义区域:zonesecurity in
zone security out
4. 把接口划入区域:
int f1/0
zone-membersecurity in
int f1/1
zone-membersecurity out
5. 定义区域对并应用策略:
zone-pairsecurity in_to_out source in destinationout
service-policy type inspect in_to_out_policy
6. 验证:
showpolicy-map/class-map type inspect
debug policy-maptype inspect
IP Traffic Export (Router上类似于SW上SPAN的技术)
限制:
1.接收数据的设备必须和router的导出流量的outbound口处于同一vlan或直连网段
2.导出流量的outbound接口必须是以太网口
优点:
1.能够使用ACL拷贝数据包
2.可以取样拷贝数据包(比如10个包取1个)
3.可以配置双向数据都导出(默认入数据导出)
简单配置:
(config)#ip traffic-export profile test
(config-rite)#bidirectional //抓取入方向和出方向的包(没有这条命令默认入方向)
(config-rite)#incoming access-list income_acl //抓取入方向感兴趣的流量
(config-rite)#outgoing access-list outgoing _acl //抓取出方向感兴趣的流量
(config-rite)# incoming sample one-in-every 2 //取样,进入的流量每两个取一个
(config-rite)# incoming sample one-in-every 2 //取样,出方向的流量每两个取一个
(config-rite)#interface FastEthernet1/0 //配置流量导出的接口(不用IP,no shut即可)
(config-rite)#mac-address 0200.4c4f.4f50 //配置要导出到的接收设备的MAC地址
int f0/0 //要抓取流量的地址
ip traffic-export apply test //应用traffic-export,默认入方向
查看:
show ip traffice-export
FTPserver
配置:
ftp-server enable //开启ftp服务器
ftp-server topdir 路径 //允许客户读取什么文件
TFTP server
tftp-server路径
HTTPS
hostname cisco
ip domain-name cisco.com
crypto key generate rsa
ip http secure-server //开启https
ip http secure-port //修改https端口号