Spanning-Tree Protocol Toolkit

Ao contrário do que algumas pessoas pensam o STP toolkit não é nenhuma ferramenta disponível para nos ajudar com o protocolo STP.

São sim, um conjunto de extensões que a CISCO fez à sua implementação do protocolo para o tornar mais eficiente.

Spanning-Tree protocol permite que as redes da camada 2 do modelo de OSI (Layer 2) com redundancia funcionem em condições preveningo loops indesejaveis. Este algoritmo automaticamente calcula a topologia e decide quais as portas que devem ficar em standby para impedir loops na rede, garantindo assim uma maior eficiencia.

Por defenição o comportamento do protocolo é determinista ou seja nós sabemos exactamente como se deve comportar numa rede. Por vezes não o é, seja por alterações feitas na rede ou por aparelhos na camada de acesso que são controlados pelos utilizadores finais ou falhas de ligações.

Para optimizar a performance do protocolo a CISCO fornece o STP toolkit. Este conjunto de ferramentas permite optimizar e tornar mais seguras as redes L2 (Layer 2).

As ferramentas que fazem parte deste kit são:

PortFast - Faz com que as portas do equipamento entrem em estado forwarding imediatamente, passando assim os estados normais de aprendizagem. A porta configurada ainda faz parte da topologia STP e pode imediatamente transitar de estados diminuindo assim o tempo de convergencia. Podendo passar ao estado blocked se necessario. Pode ser activada em portas trunk Pode ter valores operacionais diferentes dos configurados.

notas:

1. Deve ser utilizada apenas em portas de acesso.
2. Deve ser utilizada apenas nas portas em que se ligam equipamentos terminais para evitar a criação de um loop.
3. Activar a funcionalidade numa porta ligada a um switch pode criar um "bridging loop" temporário. 

BPDUGuard - Quando activa desliga a porta que recebe um BPDU (Bridge Protocol Data Unity). Permite uma maior segurança contra más configurações porque o administrador pode colocar a porta de novo a funcionar. Quando configurado ao nivel de uma porta coloca a porta imediatamente em estado desligado independentemente da configuração PortFast.

notas:

1. Numa configuração válida as portas configuradas como PortFast não recebem BPDU caso recebam há um erro de configuração ou algo que necessita ser investigado.
2. Quando configurado globalmente aplica-se a todas as portas que estão operacionais e com o PortFast activo.

BPDUFilter - Impede uma porta de receber ou enviar BPDU

notas:

1. Pode ser configurado por porta.
2. Pode ser configurado globalmente
3. Quando configurado em portas que não estejam ligadas a equipamentos terminais pode causar loops.
4. Se uma porta não estiver no seu estado por defeito a configuração PortFast não afecta o filtro de BPDU PortFast.

UplinkFast - Fornece Convergência depois de uma falha na ligação, permite balanceamento de carga com a utilização de grupos de Uplink.
notas:

1. Pode ser util no desenho de redes-
2. Quando activa afecta todas as VLAN's no equipamento.
3. Não pode ser configurada em VLAN's individuais.
4. As melhorias ao "rapid" STP incluem estas funcionalidades.

RootGuard - Previne uma porta de se tornar uma root port ou blocked port.
Quando configurada numa porta e esta recebe um valor de BPDU superior ela passa imediatamente ao valor de de Root-Inconsistent (Blocked) state.

BackboneFast - Iniciado quando uma root port ou uma porta bloqueada recebe um BPDU de valor inferior de um designated Bridge.
Permite uma maior rapidez em caso de falha.

LoopGuard - Ajuda a prevenir "bridging loops" que pode ocorrer devido a falhas de ligações unidirecionais. Quando activado globalemte aplica-se a todas as ligações ponto a ponto. Detecta as portas em estado blocked e as root ports garantindo que continuam a receber informação das portas designadas do systema. Pode ser activado por porta. É autmaticamente aplicado a todas as intancias de VLAN's activas no systema. Quando activado numa ligação Etherchanel pode afectar todas as conecções até que a conecção com problemas seja removida do link agregado.

Configurar SNMP Básico

Para activarmos o SNMP no nosso equipamento Cisco é necessário escrever os seguintes comandos:

enable
configure terminal
snmp-server contact xpto at "numero telefone" (numero de contacto)
snmp-server location rua x (morada)
snmp-server chassis-id 123456 (numero de serie do dispositivo)

Configurar visualizações de SNMP.

snmp-server view ciscoview mib-2 included  (criar e incluir uma visualização de SNMP (sub-tree))


Configurar uma comunidade SNMP

snmp-server comunity xpto ro (criação de uma view com permissões de leitura ao conteúdo total da MIB)
snmp-server comunity xpto2 view ciscoview (criação de uma view com permissões apenas para a "sub-tree" da MIB-2 definida anteriormente.)

Portas trunk

As portas trunk são portas que permitem a passagem de várias redes virtuais (VLAN) ao mesmo tempo. Desde que devidamente autorizadas. É necessário ter uma maior sensibilidade em relação á sua segurança em atenção a segurança, caso elas sejam comprometidas o atacante terá acesso a todas as redes virtuais que passam nessa porta.

Para activar uma porta em modo trunk é necessário escrever os seguintes comandos:

Enable
Configure terminal
Interface fast Ethernet 0/0
Switchport mode trunk

- SeeKeR

Portas de Acesso

Nos switchs é importante que todas as portas que não são trunk devam ser forçadas como portas de acesso. Devemos por razões de segurança evitar ter portas dinâmicas ou em modo negociável.

Para colocar uma porta em modo acesso devemos escrever os seguintes comandos:

enable

configure terminal

Interface fa0/0

switchport mode access

 

Pode ser também aplicado a um conjunto de portas em vez de uma só como no exemplo em cima.

Definir tamanho mínimo de password num CISCO

O comando para indicar que temos de escolher uma palavra-chave com um tamanho mínimo de 10 caracteres é:

>enable

>config terminal

>security passwords min-length 10

Como configurar um NAT dinamico num Router CISCO

Aqui fica uma lição de como configurar um NAT dinamico num router cisco.
1 endereço publico corresponde a 1 endereço privado. Com uma pool de endereços publicos e outra de endereços privados.

http://aprender.hjfr-info.com/mod/resource/view.php?id=162

Comandos Simples de um Switch

banner motd	Configura a mensagem do dia (message of the day)
configure terminal	entra no modo de configuração de terminal
copy running-config to startup-config	Copia a configuração actual para a configuração de arranque do router.
enable	entra no modo priveligiado
enable secret password	define password cifrada para o modo enable
erase startup-configuration	apaga a configuração de arranque
interface interface	coloca-nos no interface indicado
ip address address mask	define qual o endereço de ip do interface
ip default-gateway address	Define qual o gateway
line console 0	Coloca-nos dentro da consola 0
line vty 0 4	coloca-nos dentro das consolas virtuais 0 a 4
login	activa o pedido de identificação dos utilizadores que acedem ao equipamento via vty ou consola.
password password	define a password dos utilizadores da consola. Quando feito dentro da consola.
ping ip address	pinga um determinado ip
reload	recarrega o IOS
show cdp neighbors	mostra os vizinhos que o CDP aprendeu
show interfaces	Mostra todos os interfaces do equipamento
show port-security interface interface-if {address}	Mostra o modo em que um determinado interface está.
show running-configuration	mostra a configuração que está a correr
shutdown / no shutdown	desliga e activa por exemplo um interface
switchport mode access	coloca em modo de acesso um interface
switchport port-security	activa o modo de segurança de um interface
switchport port-security mac-address mac-address	activa o modo de segurança de um interface pelo mac-address
switchport port-security maximum value	define qual o numero máximo de mac-address que podem ser ligado no interface

Configurar passwords em consolas e terminais virtuais

Aqui fica mais um pequeno ensinamento que vem do aprender.hjfr-info.com

Este explica como configurar o pedido de password para acessos a routers cisco por consola e por terminais virtuais.

Configurar Passwords em Consolas e VTY da Cisco

Como configurar um endereço de Default Gateway num switch Cisco

Aqui fica uma dica. Como configurar um Default Gateway num switch da cisco. Podem encontrar mais informação no site: http://aprender.hjfr-info.com/

Default Gateway

VLSM - Variable-length subnet masking

Este método de subnetar redes é o mais eficiente e realístico. Pois usa todos os bits disponíveis na subnet.

Lembram-se dos endereços com subnets do tipo 255.255.255.0?
Este tipo de subnets torna-se muito dispendioso em termos de desperdício de ip's.

Por exemplo uma ligação de um router por um cabo serial apenas necessita de 2 ip's, a utilização de uma subnet deste tipo leva-nos a desperdiçar cerca de 253 ip's.

Mesmo que tenhamos a possibilidade de usar o NAT e que os endereços nunca se acabem devemos sempre ter em consideração que a nossa rede deve sempre ser desenhada da forma mais eficiente possível. É aqui que o conceito de VLSM vem á tona.

Exemplo de uma utilização do conceito de VLSM.

É nos dada uma rede classe C. 192.168.100.0/24
Temos de construir um plano de endereçamentos para esta rede utilizando o conceito de VLSM.
Para isso vamos ter de pensar da seguinte forma:

1 - Quantos bits vão ter de roubar aos Hosts para servirmos as nossas necessidades?

2 - Escolher uma subnet para o segmento de rede que tem mais hosts.

3 - Escolher o segundo segmento que tem mais hosts.

4 - Escolher o terceiro maior segmento.

5 - Determinar os endereçamentos para os links serial.

As maiores redes que temos no nosso esquema têm 50 hosts.
Logo se 2^H-2 = numero válido de hosts por subnet
temos:
2^H-2>=50
H = 6 ( 6 é o numero mais baixo válido para os 50 hosts.)

Temos de ir buscar 6 bits aos hosts ( na subnet) para poder formar a nossa rede com 50 hosts.

Então os bits da subnet vão ficar (NNHHHHHH). Vamos ter que começar a subnetar a partir daqui para podermos responder às necessidades da nossa maior rede.

Agora vamos escolher a rede para o nosso maior segmento.

Para a nossa rede temos dois (NN) para usar. Logo 2^N= Numero de redes disponíveis, como temos 2 bits para a rede então 2^2=4. Podemos ter 4 redes com 50 hosts cada. Mas só necessitamos de 1.
A primeira seria a 01HHHHHH
A segunda seria a 10HHHHHH
A terceira seria a 11HHHHHH

Se pensarmos bem então podemos ver que as redes são as seguintes:

00000000 = .0
01000000 = .64
10000000 = .128
11000000 = .192

Todas estas redes tem a mesma mascara de subnet que é 255.255.255.192 ou /26 bits.

A rede de 50 hosts vai ficar com uma destas redes. As restantes redes vão ficar com o que sobrar.

Por exemplo vamos escolher a rede.64 para a rede A.

Rede B. Necessitamos de ter uma rede que permita 27 hosts.
Escolhemos a .128 para esta tarefa.

2^H-2>=27
H=5

Necessitamos de 5 bits para poder responder às necessidades desta rede.
Então a nossa subnet vai ser 10NHHHHH.
10 Representa o padrão original da subnet que não pode ser alterado e N o bit extra para o nosso trabalho.

Então vamos ficar com as seguintes redes.

10000000 = .128
01100000 = .160

Ok encontramos a subnet para a nossa rede de 27 hots.

A nossa subnet é:

11111111.11111111.11111111.11100000 ou 255.255.255.224 ou /27

Então a nossa rede vai transformar-se

Rede A - .64/26
Rede .128/26 não vai ser usada porque foi subnetada.
Rede B - .128/27

Ok agora seguimos o mesmo procedimento para a rede seguinte.
Necessitamos de 12 hosts.

Para isto podemos usar a outra rede não usada 160/27.
Vamos subnetar esta.

Quantos bits necessitam para 12 hosts?

H=4

Então vão ter as redes

10100000 = .160
10110000 = .176

Em binário temos:

1111111.11111111.11111111.11110000 = 255.255.255.240 ou /28

Aqui podem usar estas 2 novas redes para a Rede C e para a Rede D.

Agora temos o seguinte quadro.

Rede A - .64/26
Rede 128/26 - Não usada subnetada
Rede B - .128/27
Rede 160/27 Não usada subnetada
Rede .160/28 Rede C
Rede .160/28 Rede D

Falta-nos apenas as redes dos links serial.

Para cada serial apenas necessitamos de 2 ip's ou 2 hosts.

Então para isto vamos usar a primeira rede a .0/26 que saltamos quando atribuímos o endereçamento.

2 hosts.

00NNNNHH

Podemos ter 16 redes com 2 hosts cada.

da 00000000 = .0/30 á 00111100 = .60/30

Podemos combinar este endereços da seguinte forma.

.0/26 Não pode ser usada porque foi subnetada.

.0/30 Rede E
.4/30 Rede F
.8/30 Rede G
.12/30 Rede H
.16/28 Rede disponível para futuro crescimento.
.64/26 Rede A
.128/26 Subnetada não pode ser usada
.128/27 Rede B
.160/27 Subnetada não pode ser usada
.160/28 Rede C
.176/28 Rede D
.192/26 Rede disponível para futuro crescimento.

Podemos ver que não desperdiçamos nenhum ip, que não existem ip's iguais e que ainda temos endereços reservados para crescimento futuro.

Comandos Básicos de um Router / Switch da Cisco

Existem comandos iguais para qualquer router / switch da cisco que nos servem para aceder e ver as várias configurações efectuadas no nosso equipamento.

Router>Show - Quando associado a outro comando / função serve para ver o estado dessa função / commando.

Router>? - Lista todos os comandos disponiveis
Router>c? - Lista todos os comandos disponiveis começados por "c"

Router>enable - Entra no chamado modo enable ou priviligiado
Router#Config Terminal - Entra no modo de configuração do equipamento
Router#Exit - Andamos 1 nivel para trás, se tivermos em modo configuração passamos para o modo priviligiado.
Router#Logout - Mesmo que exit.
Router#Setup - Entramos em modo startup para a linha de comandos

Estes são alguns dos comandos básicos para configurar equipamentos cisco.

CISCO + Activação de SSH

Uma coisa que nunca pensei que me iria esquecer... Pelo sim pelo não aqui fica para o caso de ter outra branca mais tarde.

Para activaros as ligações ao router por SSH temos de primeiro gerar a chave RSA Keypair.
Para isso seguimos os seguintes passos.

->Enable
-->Config Terminal
--->Crypto Key Generate RSA

Depois devemos escolher qual o o numero de bits a usar na cifragem
Eu aconselho pelo menos 1024 mas há quem aconselhe no minimo 768. Eu gosto de jogar pelo seguro.

Depois só temos de activar o ssh com o simples comando:

--->ip ssh version 2

Para ver o estado podemos usar o comando:

show ip ssh.

E podemos usar o cliente de ssh para nos ligarmos a outros equipamentos com o comando

ssh

Em caso de duvidas sobre as suas opções podem fazer

ssh ?