MES3508 Eltex | Промышленный коммутатор 8 портов 1G

2324B(config)#default interface gig0/10
Configuration for these interfaces will be set to default.
It may take a few minutes. Are sure you want to proceed? (Y/N)[N] Y
2324B(config)#

Протокол позволяет распространить по сети идентификаторы VLAN. Основной функцией протокола GVRP является обнаружение информации об отсутствующих в базе данных коммутатора VLAN-сетях при получении сообщений GVRP. Получив информацию об отсутствующих VLAN, коммутатор добавляет ее в свою базу данных, как Type  - dynamicGvrp .

Пример настройки switch1

Распространить vlan 300 по сети.

console(config)# gvrp enable
console(config)# interface gigabitethernet1/0/1
console(config-if)# gvrp enable
console(config-if)# swichport mode trunk
console(config-if)# swichport trunk allowed add 100,300

Пример настройки на switch2

console(config)# gvrp enable
console(config)# interface gigabitethernet1/0/1
console(config-if)# gvrp enable
console(config-if)# swichport mode trunk
console(config-if)# swichport trunk allowed add 100

27-Jul-2016 11:53:25 %VLAN-I-GVRPAddVlan: Dynamic VLAN Vlan 300 was added by GVRP
27-Jul-2016 11:53:25 %VLAN-I-GVRPAddPort: Dynamic port gi1/0/1 was added to VLAN Vlan 300 by GVRP

switch2#sh vlan 
Vlan mode: Basic

По умолчанию VLAN c  Type  - dynamicGvrp нельзя  назначить на порт.  Для этого  vlan  нужно добавить  в vlan database.

Начиная с версии 4.0.9 и 1.1.48/2.5.48 доступен функционал отключения анонса по gvrp определенного vlan. Используется команда gvrp advertisement-forbid в контесте конфигурирования interface vlan.

console(config)#interface vlan 1

console(config-if)#gvrp advertisement-forbid 

В версии 4.0.11 появился функционал автоматического сохранения в динамического vlan, полученного по gvrp,  в vlan database.  Для настройки используется команда  gvrp static-vlan в режиме глобального конфигурирования.

radius-сервер может использоваться для 802.1x аутентификации и для аутентификации учётных записей на других коммутаторах.

Включение radius-сервера:

radius server enable

Настройка адреса коммутатора доступа (клиента) и ключа:

encrypted radius server secret key secret ipv4-address 192.168.1.10

Конфигурация групп и привязка к ним уровней привилегий:

radius server group admin
vlan name test
privilege-level 15
exit
!
radius server group priv1
privilege-level 1
exit

Настройка логина и пароля для учётных записей, привязка их к группам:
radius server user username priv1 group priv1 password priv1
radius server user username tester group admin password tester

Для включения протокола PVST необходимо использовать команду:

spanning-tree mode pvst

Для создания VLAN- участников PVST:

vlan database

vlan 2-64

Данные VLAN требуется добавить на интерфейсы:

interface gigabitethernet1/0/14

switchport mode trunk

switchport trunk allowed vlan add 2-64

Максимальное количество VLAN участников PVST - 64.

Отключить DHCP client в vlan 1

• interface vlan 1
• no ip address dhcp

Включить DHCPсервер и настроить пул выдаваемых адресов:

• ip dhcp server 
• ip dhcp pool network Test 
• address low 192.168.101.10 high 192.168.101.254 255.255.255.0 
• default-router 192.168.101.2 
• dns-server 10.10.10.10 
• exit

Задать для интерфейса VLAN101 IPадрес и сетевую маску (это будет адрес DHCPсервера) :

• interface vlan 101 
• ip address 192.168.101.1 255.255.255.0 
• exit 

Назначить VLAN101 на Ethernet порт, к которому подключен пользователь (например, gi1/0/1):

• interface gigabitethernet 1/0/1 
• switchport access vlan 101 
• exit 

Время восстановления не превышает 1 секунды, что существенно меньше времени перестройки сети при использовании протоколов семейства spanning tree.

Пример конфигурирования

Настроим ревертивное кольцо с подкольцом, использующим кольцо в качестве виртуального канала. Для прохождения служебного ERPS трафика в кольце используется VLAN 10 (R-APS VLAN), защищает VLAN 20, 30, 40, 200, 300, 400. Для прохождения служебного ERPS  трафика в подкольце используется VLAN 100, защищает VLAN 200, 300, 400. Так как кольцо будет использоваться в качестве виртуального канала для подкольца, в настройках коммутаторов, которые не знают о существовании подкольца (коммутаторы 1 и 2), необходимо указать все VLAN подкольца.

В качестве RPL линка в основном кольце возьмем линк между коммутаторами 1 и 2. В качестве RPL линка в подкольце возьмем линк между коммутаторами 5 и 6. RPL линк — это линк, который будет заблокирован при нормальном состоянии кольца, и разблокируется только в случае аварии на одном из линков кольца.

Линк между коммутаторами 3 и 4 для подкольца vlan 100 будет определяться как virtual link.

Примечания:

• Подкольцо не умеет определять разрыв виртуального линка. Поэтому при разрыве этого линка в подкольце не разблокируется rpl-link.
• По дефолту через интерфейс в режим trunk проходит дефолтный 1 VLAN. Поэтому данный VLAN необходимо или добавить в protected, или запретить его прохождение через интерфейс, чтобы избежать возникновение шторма.
• RPL link блокирует прохождение трафика в protected VLAN. Но на семейство протоколов xSTP данная блокировка не растространяется. Поэтому необходимо запрещать прохождение STP bpdu через кольцевые порты.

Конфигурация коммутатора 1

• console(config)#erps
• console(config)#erps vlan 10
• console(config-erps)#ring enable
• console(config-erps)#port west te1/0/1
• console(config-erps)#port east te1/0/2
• console(config-erps)#protected vlan add 20,30,40,100,200,300,400
• console(config-erps)#rpl west owner
• console(config-erps)#exit
• console(config)#
• console(config)#interface range TengigabitEthernet1/0/1-2
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 10,20,30,40
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#spanning-tree bpdu filtering 
•  

Конфигурация коммутатора 2

• console(config)#erps
• console(config)#erps vlan 10
• console(config-erps)#ring enable
• console(config-erps)#port west te1/0/1
• console(config-erps)#port east te1/0/2
• console(config-erps)#protected vlan add 20,30,40
• console(config-erps)#rpl west neighbor
• console(config-erps)#exit
• console(config)#
• console(config)#interface range TengigabitEthernet1/0/1-2
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 10,20,30,40
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#spanning-tree bpdu filtering 

Конфигурация коммутатора 3, 4

• console(config)#erps
• console(config)#erps vlan 10
• console(config-erps)#ring enable
• console(config-erps)#port west tengigabitethernet1/0/1
• console(config-erps)#port east tengigabitethernet1/0/2
• console(config-erps)#protected vlan add 20,30,40
• console(config-erps)#sub-ring vlan 100
• console(config-erps)#exit
• console(config)#erps vlan 100
• console(config-erps)#ring enable
• console(config-erps)#port west tengigabitethernet1/0/3
• console(config-erps)#protected vlan add 200,300,400
• console(config-erps)#exit
• console(config)#
• console(config)#interfaceTengigabitEthernet1/0/1
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 10,20,30,40
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#interfaceTengigabitEthernet1/0/2
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 10,20,30,40,100,200,300,400
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#interfaceTengigabitEthernet1/0/3
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 100,200,300,400
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#spanning-tree bpdu filtering 

Конфигурация коммутатора 5

• console(config)#erps
• console(config)#erps vlan 100
• console(config-erps)#ring enable
• console(config-erps)#port west te1/0/1
• console(config-erps)#port east te1/0/2
• console(config-erps)#protected vlan add 200,300,400
• console(config-erps)#rpl west owner
• console(config-erps)#exit
• console(config)#
• console(config)#interface range TengigabitEthernet1/0/1-2
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 100,200,300,400
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#spanning-tree bpdu filtering 

Конфигурация коммутатора 6

• console(config)#erps
• console(config)#erps vlan 100
• console(config-erps)#ring enable
• console(config-erps)#port west te1/0/1
• console(config-erps)#port east te1/0/2
• console(config-erps)#protected vlan add 200,300,400
• console(config-erps)#rpl west neighbor
• console(config-erps)#exit
• console(config)#interface range TengigabitEthernet1/0/1-2
• console(config-if)#switchport mode trunk
• console(config-if)#switchport trunk allowed vlan add 100,200,300,400
• console(config-if)#switchport forbidden default-vlan
• console(config-if)#exit
• console(config)#spanning-tree bpdu filtering 

Статус колец можно посмотреть командами

• console#show erps
• console#show erps vlan 10
• console#show erps vlan 100

Данный функционал предназначен для распределения нагрузки и оптимизации пропускной способности сети. ЕСМР может работать как со статическими маршрутами, так и с протоколами динамической маршрутизации RIP, OSPF, BGP. Максимально можно настроить 8 путей.

По умолчанию метод балансировки src-dst-mac-ip, изменить можно командой Port-Channel load-balance

Пример настройки ECMP:

MES2324(config)#ip maximum-paths 3

P.S.Настройка вступит в силу только после сохранения конфигурации и перезагрузки устройства.

Просмотр текущих настроек:

MES2324#show ip route 
Maximum Parallel Paths: 1 (1 after reset)
Load balancing: src-dst-mac-ip

1) Stateless auto-configuration

Является режимом по-умолчанию. Включается следующим образом:

(config)#interface vlan x

(config)#ipv6 enable

После ввода команды устройство получает link-local адрес и может взаимодействовать с другими устройствами в данном сегменте сети.

Проверить наличие адреса командой:

console(config-if)#do sh ipv6 int

Interface IP addresses Type

----------- ------------------------------------------------ ------------

VLAN X fe80::e2d9:e3ff:fef1:dc80 linklayer

VLAN X ff02::1 linklayer

VLAN X ff02::1:fff1:dc80 linklayer

Адрес ff02::1, т.н. ‘all-nodes’ мультикаст-адрес, который прослушивается всеми узлами сети.

Адрес ff02::1:fff1:dc80 - ‘solicited-node’ мультикаст-адрес, имеет значение в локальном сегменте сети и служит для получения адреса 2-го уровня в рамках протокола NDP (аналог ARP в сетях IPv4).

Формирование link-layer адреса.

Link-local адреса всегда начинаются с префикса FE80::/10, к которому присоединяется идентификатор устройства, включающий мак-адрес. Данный идентификатор формируется по алгоритму EUI-64.

Пример:

Пусть коммутатор имеет мак-адрес e0:d9:e3:f1:dc:80. Согласно EUI-64 мак-адрес разбивается на 2 части по 24 бита - e0:d9:e3 и f1:dc:80, которые разделяются вставкой из 16 бит – FFFE. В первой 24-битной части инвертируется бит U/L. Таким образом, из имеющегося мак-адреса получаем link-local адрес fe80::/10 + e2d9e3 +fffe+f1dc80 -> fe80::e2d9:e3ff:fef1:dc80.

2) Настройка адреса вручную

Настройка вручную осуществляется следующим образом:

(config)#interface vlan x

(config)#ipv6 enable # включение ipv6 является обязательным требованием

Далее можно задать желаемый global-scope адрес вручную:

(config)#ipv6 address 2001::a/64,

задать желаемый link-local адрес вручную:

(config)#ipv6 address fe80::a/64 link-local,

или использовать формирование адреса по алгоритму EUI-64:

(config)#ipv6 address 2001::/64 eui-64.

Если при назначении адреса вручную не указывать область действия(scope) адреса как link-local, то адреса будут доступны вне локального сегмента сети и будут маршрутизироваться в сетях.

Примечание: на коммутаторах MES не предусмотрено получение адреса с помощью DHCPv6.

Пример настройки:

Глобально включить security-suite:

2324B(config)#security-suite enable

Настроить на порту порог:

2324B(config)#interface gig0/1
2324B(config-if)#security-suite dos syn-attack 127 192.168.11.0 /24

127 - максимальное число подключений в секунду

Посмотреть security-suite можно командой show security-suite configuration.

2324B#show security-suite configuration

Security suite is enabled (Per interface rules are enabled). 

Denial Of Service Protect: 

Denial Of Service SYN-FIN Attack is enabled
Denial Of Service SYN Attack

Interface IP Address SYN Rate (pps) 
-------------- -------------------- ----------------------- 
gi1/0/1 192.168.11.0/24 127

Martian addresses filtering
Reserved addresses: disabled
Configured addresses:

SYN filtering

Interface IP Address TCP port 
-------------- ---------------------- --------------------

ICMP filtering

Interface IP Address 
-------------- ----------------------

Fragmented packets filtering

Interface IP Address 
-------------- ----------------------

2324B#

Настройка для версии 2.5.х

1) Создаем interface vlan для создания соседства

console(config)#interface vlan 10

console(config-if)#ip address 10.10.10.6 255.255.255.252

console(config-if)#exit

2) Настройки в режиме глобальной конфигурации

console(config)#router ospf enable

console(config)#router ospf area 4.4.4.4

console(config)#router ospf redistribute connected

console(config)#router ospf router-id 1.1.1.1

3) Настройка интерфейса ip

console(config)#interface ip 10.10.10.6

console(config-ip)#ospf

console(config-ip)#ospf area 4.4.4.4

console(config-ip)#exit

Настройка для версии  4.0.x 

1) Создаем interface vlan для создания соседства

console(config)#interface vlan 10

console(config-if)#ip address 10.10.10.5 255.255.255.252

console(config-if)#exit

2) Настройки в режиме глобальной конфигурации

console(config)#router ospf 1

console(router_ospf_process)#network 10.10.10.5 area 4.4.4.4

console(router_ospf_process)#router-id 5.5.5.5

console(router_ospf_process)#exit

 Контроль работы протокола

Просмотр  ospf соседей  - sh ip ospf neighbor

Просмотр таблицы LSDB - show ip ospf database

Просмотр состяния ospf -  sh ip ospf

Настройка параметров ospf аутентификации

1) Настраиваем ключ для аутентификации

console(config)#key chain TEST_KEYCHAIN

(config-keychain)#key 1

(config-keychain-key)#key-string test

(config-keychain-key)#exit

(config-keychain)#exit

2) Добавляем ключ к аутентификации md5 по ospf

console(config)#interface ip 10.10.10.6

console(config-ip)ip ospf authentication message-digest

console(config-ip)#ip ospf authentication message-digest

console(config-ip)#ip ospf authentication key-chain TEST_KEYCHAIN

console(config-ip)#ip ospf authentication-key 1

console(config-ip)#ip ospf cost 1

console(config-ip)#exit

римечание: Всего можно сконфигурировать 64 экземпляра MSTP.

Пример настройки MSTP:

spanning-tree mode mst
!
spanning-tree mst configuration
instance 1 vlan 201,301
instance 2 vlan 99
instance 3 vlan 203,303
name test
exit

Примечание: По умолчанию все vlan'ы находятся в 0 instance.

Конфигурацию будем выполнять на базе коммутатора MES2324.

1.    Для начала необходимо указать ip-адрес tacacs-сервера и указать key:

MES2324B(config)#tacacs-server host 192.168.10.5 key secret

2.    Далее установить способ аутентификации для входа в систему по протоколу tacacs+:

MES2324B(config)#aaa authentication login authorization default tacacs local

Примечение: На коммутаторах серии 23xx, 33xx, 53xx используется алгоритм опроса метода аутентификации break (после неудачной аутентификации по первому методу процесс аутентификации останавливается). Начиная с версии 4.0.6 доступна настройка метода опроса аутентификации break/chain. Алгоритм работы метода chain - после неудачной попытки аутентификации по первому методу в списке следует попытка аутентификации по следующему методу в цепочке. На коммутаторах серии 1000, 2000, 3000 уже имеется этот функционал.

3.    Установить способ аутентификации при повышении уровня привилегий:

MES2324B(config)#aaa authentication enable authorization default tacacs enable

Чтобы не потерять доступ до коммутатора (в случае  недоступности radius-сервера), рекомендуется создать учетную запись в локальной базе данных, и задать пароль на привилегированный режим.

4.    Создать учетную запись:

MES2324B(config)#username tester password eltex privilege 15

5.    Задать пароль на доступ в привилегированный режим:

MES2324B(config)#enable password eltex

6.  Разрешить ведение учета (аккаунта) для сессий управления.

MES2324B(config)#aaa accounting login start-stop group tacacs+

7.  Включить ведение учета введенных в CLI команд по протоколу tacacs+.

MES2324B(config)#aaa accounting commands stop-only group tacacs+

Примечание: По умолчанию используется проверка по локальной базе данных (aaa authentication login default local).