Настройка времени на коммутаторах и маршрутизатора Cisco

 

Посмотреть текущее состояние:
#show clock detail

Просмотр состояния процесса синхронизации времени:
#show ntp status

Чтобы настроить внешний источник времени, введите следующее:
(config)#ntp source <источник>

Настройка сервера
(config)#ntp server <ip-address>

Настройка времени на Cisco вручную.

Чтобы установить время на коммутаторе или маршрутизаторе введите команду:
(config)#clock set <hh:mm:ss> <day month year>
Пример:
(config)# clock set 12:00:00 Aug 23 2022

Установка часового пояса: clock timezone название_пояса часы минуты.
Пример:
(config)# clock timezone KRAT 7 0
В данном примере используется Красноярский часовой пояс +7 UTC.

Cинхронизация времени с аппаратной частью устройства:
(config)# clock update-calendar

 

 Практическая настройка маршрутизатора Cisco

 

Настройка пароля enable:
R1(config)#enable password cisco

Если пароль не зашифрован его можно посмотреть командой:
#sh run | sec enable

Изменеие имени хоста:
(config)#hostname <name>

Задание домена:
(config)#ip domain-name <name>

Конфигурирование консоли выполняется в режиме глобальной конфигурации:
line con 0
no exec-timeout
logging synchronous

Конфигурирование терминальных линий:
line vty 0 4
no exec-timeout
logging synchronous

Конфигурирование времени.

При конфигурирование времени важно соблюдать последовательность:
сначала конфигурируется временная зона, потом время.
Посмотреть текущее время:
sh clock

Установка временной зоны:
(config)#clock timezone KST +7

Установка времени даты месяца и года, осуществляется в режиме enable:
# clock set 18:00:00 16 Nov 2023

Простые способы аутентификации, удалённый доступ по telnet.

Простой пароль на telnet (line password):
(config)# line vty 0 4
(config-line)# password cisco
(config-line)# login

Аутентификация через локальную базу пользователей (local authetication):
(config)# username cisco privilege 15 password cisco
(config)# line vty 0 4
(config-local)# login local

Или:
(config)# aaa new-model
(config)# aaa authentication login default local

Кто подключился к устройству:
who

Удалённый доступ по ssh, защита удалённого доступа.

Сгенерировать RSA ключи (если длина ключа меньше 768 bit то будет влючён SSH версии 1.5, если
768 bit и выше то, SSH v1.99 и выше)
Перед генерацией ключей необходимо чтобы у маршрутизатора было задано имя хоста и домена.

(config)# crypto key generate rsa modulus 1024

Посмотреть ключи:
# show crypto key mypubkey rsa

Удалённый доступ по ssh, защита удалённого доступа.

Разрешить только требуемые протоколы Telnet/SSH:
(config)# line vny 0 4
(config-line)# transport input telnet ssh

При необходимости, запретить Telnet/SSH и др. протоколы для выхода с нашего устройства:
(config)# line vty 0 4
(config-line)# transport output none

Ограничить терминальный доступ к устройству определёнными сетями
и конкретными хостами с помощью ACL, например:
(config)# access-list 10 permit 192.168.1.0 0.0.0.255
(config)# access-list 10 permit host 172.16.1.1
(config)# line vty 0 4
(config-if)# access-class 10 in

Дополнительные настройки и возможности
Прописать дополнительные IP адреса на интерфейсах:
(config)# interface fastEthernet 0/0
(config-if)# ip address 172.16.1.1 255.255.255.0 secondary
(config-if)# no shutdown

Посмотреть ip адреса на интерфейсах и их состояние:
#show ip interface brief

Задать маршруты, а также маршрут по-умолчанию (default gateway),
данная команда используется если отключен ip routing:
(config)# ip route <network_ip> <network_mask> <gateway>
(config)# ip route 0.0.0.0 0.0.0.0 <gateway>

Посмотреть таблицу маршрутов:
# show ip route

Посмотреть секцию конфигурации статических маршрутов:
# show run | sec ip route

Скрыть пароли в тексте конфигурации:
(config)# service password-encryption

Включить возможность архивации файлов конфигурации:
(config)# archive
(config-archive)# path flash:/my-configs
(config-archive)# maximum 10

Архивация текущей конфигурации (running-config):
# archive config

Замена текущей конфигурации (runnung-config) из архивной копии:
# configure replace flash:/my-configs-1

Внимание!
Команда copy flash:/my-configs-1 running-config объединяет оба конфигурационных файла,
в отличие от configure replace flash:/my-configs-1 которая заменят файл

Просмотр директорий flash-памяти:
# dir

Просмотр созданного конфигурационного файла:
# more <name_config>

Создать теневые копии образа IOS и кофигурации на случай внезапного удаления:
(config)# secure boot-image
(config)# secure boot-config

Посмотреть теневые копии:
# show secure bootset

Восстановление из теневой копии конфигурации:
(config)# secure boot-config restore

Создать банер, например:
# banner #
Enter text message. End with the character '#'.
Authorized Access Only
#

Типы паролей в IOS
- текстовый (clear text, тип 0);
- шифрованный алгоритм Cisco (тип 7);
- хэш md5 (тип 5).

Пароли типа 7 (например, line password, user password) можно легко взломать,
даже без специальных утилит, а лишь с помощью самого устройства, например:
(config)# key chain PASS
(config-keychain)# key 1
(config-keychain-key)# key-string 7 045802150C2E
# show key chain PASS
Key-chain PASS:
key 1 -- txt"cisco"

Для надёжной защиты пароля надо включить сервис
шифрации паролей и использовать тип 5(ключевое слово secret)
там где это возможно, например:
(config)# service password-encryption
(config)# enable secret cisco
(config)# username ciso privilage 15 secret cisco

Для отключения возможности восстановления пароля и просмотра
конфигурации, имея консольный доступ, можно отключитьсервис:
(config)# no service password-recovery

Посмотреть другие скрытые пароли и ключи (например ключи isakmp)
в тексте конфигурации
# more system:running-config

Для лабораторных работ и тестирования можно вообще отключить
проверку пароля и сразу входить в привелигированный режим
(privilege level 15) при Telnet-e на устройство:
(config)# line vty 0 4
(config-line)# no login
(config-line)# privilege level 15  

 

Ошибки при работе с tftp.

Error opening tftp (Timed out).

Причиной этого является то что для tftp назначен другой интерфейс:

(config)#ip tftp source-interface <interface> 

 

Cбросить настройки на конкретном интерфейсе:
(config)# default interface <interface>

Сбросить конкретный arp на Cisco ASR:

# clear arp-cache bvi<number_vlan> <ip-address> location all

 

Сбросить конкретный arp на Cisco ME 3600:

# clear arp-cache vrf <name_vrf> <ip-address> 

 

Очистка счётчиков ошибок:

# clear counters <interface_name>

 

Как посмотреть уровень сигнала SFP модуля на маршрутизаторах Cisco ASR: 

# show controllers <interface> phy