» Настройка Cisco оборудования

ну значит не судьба, ибо нужно снять кос и поднять со стороны сервера тоже эзерченел.

skliz
покажите sh run int GigabitEthernet9/23

interface GigabitEthernet9/23
description SERVERS
switchport
switchport access vlan 9
switchport mode access
switchport nonegotiate
bandwidth 1000000
wrr-queue bandwidth 5 20 75
wrr-queue queue-limit 5 65 15
wrr-queue threshold 1 90 100 100 100 100 100 100 100
wrr-queue threshold 2 100 100 100 100 100 100 100 100
wrr-queue random-detect min-threshold 1 50 100 100 100 100 100 100 100
wrr-queue random-detect min-threshold 2 80 100 100 100 100 100 100 100
wrr-queue random-detect min-threshold 3 90 100 100 100 100 100 100 100
wrr-queue random-detect max-threshold 2 90 100 100 100 100 100 100 100
wrr-queue cos-map 1 1 1
wrr-queue cos-map 2 1 0 2 4
wrr-queue cos-map 3 1 3 6 7
rcv-queue threshold 1 90 100 100 100 100 100 100 100
rcv-queue cos-map 1 1 1
rcv-queue cos-map 1 6 0 2 4
rcv-queue cos-map 1 7 3 6 7
rcv-queue cos-map 1 8 5
spanning-tree portfast
service-policy input SERVER-POLICY
end


tankistua. нету на сервере эзерчанела!!!!

Добавлено:
может на порту вот так сделать #no service-policy input SERVER-POLICY

Цитата:

У меня ИОС c2800nm-advipservicesk9-mz.124-22.T5.bin
На cisco.com вижу более свежий ИОС c2800nm-advipservicesk9-mz.124-24.T7.bin - попробую обновиться.
Спасибо за советы.

Свою проблему утечки памяти удалось решить обновлением IOSа (была трабла у старой версии) и установкой тайм-аутов на NAT:

Код: ip nat translation timeout 150
ip nat translation tcp-timeout 150
ip nat translation udp-timeout 150

стоит задача создать реестр вланов на сети провайдера, а также "причесать", т.е изничтожить не используемые вланы. Есть какие нибудь мысль по поводу автоматизации данной задачи или такое уже кто то делал и есть отработанная схема как это проще всего систематизировать.
на данный момент в голову пришла мысль сделать табличку в экселе и последовательно ходить по коммутаторам с командой show ip arp
Оо ужас невероятный на самом деле (неделя минимум)

scart777, а зачем ходить по коммутаторам? Удалённого доступа нет?
И зачем при настройке вэланов sho arp? Вы же вэланы собрались в порядок преводить.
И что за железяки?
VTP в помощь.

имелось ввиду удаленно "ходить"
циски 7200
перед тем как приводить их в порядок нужно определить на какой железке какие вланы присутствуют и с какими свойствами
к сожалению гугла и мозгов не хватило чтобы понять как это реализовать

Цитата:

на данный момент в голову пришла мысль сделать табличку в экселе и последовательно ходить по коммутаторам с командой show ip arp

и как вы определите что вилан не используется, может в данный момент все устройства просто выключено, получается это не разовая процедура а нужно набирать статистику за какой то период
Я точно не уверен но если нужно смотреть именно arp
в настройке интерфейса можно дать команду arp log threshold entries 1
на сислог пойдут сообщения со всех вилан-интерфейсов где таблица arp не пустая и останется выделить те с которых такие сообщения не пришли.

в общем нужно сформировать удобоваримый список откуда можно было бы извлечь:
1. откуда
2. куда
3. description
4. принадлежность портов

смысла от sh run int gi0/1.ххх не много т.к вланов на каждой железке прокинуто ~500

scart777 фильтр include и begin не поможет? В include можно применять регулярные выражения.
Пример:
sh run | incl descr
sh run | incl Vlan
Примеры здесь
http://www.techrepublic.com/article/effectively-filter-cisco-router-command-output/5842782

scart777
ИМХО лучше использовать SNMP запросы, которые потом привести к нужному виду
P.S. поясните, что значит "откуда" и "куда" применительно к VLAN?

видимо решил вопрос, выдрал из show run все вланы с айпишниками и через sh run int gi0/1.ххх руками перебирал descr c vrf
всем спасибо

Подскажите, если кто пробовал: пытаюсь поднять на ASA 8.2(3) VPN и группы к нему из AD (LDAP), все хорошо, но одна неприятная проблема. Если пользователь зарегистрирован на том же самом домене, к которому привязка от ASA, все работает, но если пользователь на каком то сабдомене - уже не может авторизоваться. Есть какой то способ обойти такое? (группа на верхнем домене и в ней пользователь из сабдомена)
По этому документу конфиг: http://www.cisco.com/image/gif/paws/98634/asa_ldap_group_pol.pdf
Единственное, док на 8.0, разница в атрибуте IETF−Radius−Class (на 8.2 этот атрибут не существует, но замена - Group-Policy). Искал тут (версия для печати) но про LDAP ненашлось ничего.

Скажите, на 3750 какой последний софт именно стабильный и рабочий для 12.2?
c3750-ipservicesk9-mz.122-58.SE2.bin - такой вот не очень, счётчики неправильно работают.
c3750-ipservicesk9-mz.122-55.SE1.bin - вроде ничего, но уже есть SE6 - нормально будет?

Хочу поделится удачным опытом,
был в наличии с2811 с 256 мб оперативки и 64 мб флешкой, ни то ни другое 15 софт запустить не позволяет
в инете есть информация что подходит оперативка pc3200 а CF любая но до 2 гиг
увы pc3200 не подошла, зато работают 2 планки pc2700 по 256 мб
но самое интересное случилось с CF: найти смог только 4 гиговую
1. Роутер ее увидел, отформатировал, я залил туда нужные файлы. Короче все прекрасно но после перезагрузки - rommon - IOS не найден.
2. Через консоль отформатировал в FAT16 - таже история плюс если поставить в роутер с запущенным иосом файлы читает но определяет ее все равно как FAT32
3. Нашел утилиту BOOTICE разбил флешку на два раздела, первый отформатировал в FAT16 второй спрятал, залил софт и о чудо роутер загрузился! Даю команду sh flash: - ошибка флешки нет
4. Делаю формат флешки из под IOS в надежде что скрытый раздел не виден - увы мой скрытый раздел идет лесом и флешка опять 4 гига в FAT32 - результат смотри п. 1
5. Опять беру BOOTICE, форматирую флешку целиком в FAT16 и наконец все получается - IOS грузится, flash читается
3938779136 bytes available (66584576 bytes used)

[more] Здравствуйте.
Подскажите, пожалуйста. С Cisco раньше не работал, попала в руки Cisco 3620. При включении и подключенном консольном порту в терминале видно следующее:

System Bootstrap, Version 11.1(19)AA, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)
Copyright (c) 1998 by cisco Systems, Inc.
C3600 processor with 65536 Kbytes of main memory
Main memory is configured to 32 bit mode with parity disabled

program load complete, entry point: 0x80008000, size: 0xe1fe24
Self decompressing the image : ############################################################################################################################################################################################## [OK]

Smart Init is enabled
smart init is sizing iomem
ID MEMORY_REQ TYPE
0000D8 0X00178610 Dual FE Combo Port Module, 2 WAN
0000CC 0X00179614 High Density Voice Port Module
0X000F3BB0 public buffer pools
0X00211000 public particle pools
TOTAL: 0X005F67D4

If any of the above Memory Requirements are
"UNKNOWN", you may be using an unsupported
configuration or there is a software problem and
system operation may be compromised.
Rounded IOMEM up to: 6Mb.
Using 9 percent iomem. [6Mb/64Mb]

Restricted Rights Legend

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

cisco Systems, Inc.
170 West Tasman Drive
San Jose, California 95134-1706

Cisco Internetwork Operating System Software
IOS (tm) 3600 Software (C3620-IS-M), Version 12.2(13)T9, RELEASE SOFTWARE (fc2)
TAC Support: http://www.cisco.com/tac
Copyright (c) 1986-2003 by cisco Systems, Inc.
Compiled Thu 02-Oct-03 10:54 by pwade
Image text-base: 0x6000891C, data-base: 0x61850000

cisco 3620 (R4700) processor (revision 0x81) with 59392K/6144K bytes of memory.
Processor board ID 08286995
R4700 CPU at 80Mhz, Implementation 33, Rev 1.0
Channelized E1, Version 1.0.
Bridging software.
X.25 software, Version 3.0.0.
Primary Rate ISDN software, Version 1.1.
1 FastEthernet/IEEE 802.3 interface(s)
1 Channelized E1/PRI port(s)
DRAM configuration is 32 bits wide with parity disabled.
29K bytes of non-volatile configuration memory.
16384K bytes of processor board System flash (Read/Write)

После этого ни приглашения, ничего, видимо висит. Попытки выйти в rommon, посылая сигнал break из разных терминалов (HyperTerminal, SecureCRT) в процессе начальной загрузки, результата не приносит. Параметры порта настроил, как рекомендовано (9600, 8 data bits,1 stop bit, no parity, no flow control). Ввод с клавиатуры в терминале вообще не воспринимается.

Посоветуйте, в чём может быть проблема, возможно Cisco просто неисправна. Кабель делал сам по следующей ссылке: http://www.cisco.com/en/US/products/hw/routers/ps214/product.... Переходник rj-45 - DB9 был фирменный. Прозвонил после изготовления - всё согласно схеме в ссылке.

Заранее спасибо за ответы.

С уважением, Константин. [/more]

Приветствую друзья.
Неспешно переходим на ipv6.
Наступил на непонятки с 15 серией иосов и лицензиями.

cisco 800 базовый adv sec . Адреса ipv6 интерфейсам давать дает и даже ipv6 RA работает. Клиенты за ним ipv6 адреса получают. Словом автоконфиг работает, но не целиком. Без поддержки RFC 6106. (т.е dns раздать не получится) потому что циско не снизошла до полной поддержки ipv6 stateless. Ну, думаю, и ладно, сделаю раздачу DNS через dhcp ipv6. А команды ipv6 dhcp нету. Смотрим на циско и читаем что для 800 надо adv ip для полного ipv6.

Но в тоже самое время тут http://www.cisco.com/en/US/prod/collateral/iosswrel/ps8802/ps10587/ps10591/ps10621/qa_c67_561940.html накалякано

Cisco will support packaging parity for IPv6 with IPv4, for Cisco Integrated Services Routers Generation 2, starting with Cisco IOS Software Release 15.0(1)M, as well as in future 15 M and 15 T releases. IPv6 feature support for a technology will now be packaged in the same feature set as IPv4.

Если я правильно понимаю для любого иоса для ISR2 начиная с 15 полный аналогичный сапорт ipv6 как и ipv4. Смотрю на 1900 и 2900 в ipbase +sec команда ipv6 dhcp есть, хотя справедливости ради для них нет даже сета adv ip. В свете всего этого мне не совсем понятно с чего это ipv6 попал в adv ip для 88x.

Кто-то бился с сапортом по этому поводу ? Или я чего-то не понимаю и обречён закупить adv ip ?
Сделали как-то не по человечески вроде ipv6 есть, но его как бы нет. Есть конечно вариант прописать всё руками на клиентских ПК, но ipv6 адреса как-то не очень располагают этому.

Добрый день!
Есть точка доступа Cisco Air-AP1042N
На ней настроены два SSID - один парольный, другой фришный (но с ограничением на кол-во подключений).

Подскажите, пожалуйста, какими командами проще всего отключать/включать эту фришную SSID?
Т.е., фришная SSID должна работать только в определенное время.
В http-интерфейсе я не нашел возможности настроить расписание работы SSID.
Поэтому решил использовать скрипт, который будет запускаться по at.
И что-то не могу "врубиться" - как отключать/включать отдельный SSID!?

Если такой возможности нет - как, в этом случае, отключать/подключать заданный SSID к радиоинтерфейсу?

Спасибо!

нужен совет как правильно организовать структуру предприятия,
Есть маршрутизатор Циско, коммутатор Циско, сервер с Isa 2006 в качестве файрвола.

Интернет - маршрутизатор - коммутатор - сервер Isa 2006.

1 вариант) интернет приходит на маршрутизатор, уходит на комутатор, с комутатора на Isa 2006. Из локалки шлюз стоит маршрутизатор, если интернет запрос отправляет на Isa 2006 (отсюда NAT идет опять на маршрутизатор), если локалка то на комутатор.
2 вариант) интернет приходит на маршрутизатор, уходит на Isa 2006, с Isa 2006 на комутатор. Из локалки шлюз стоит Isa 2006, если интернет запрос отправляет на маршрутизатор, если локалка то на комутатор.

Какая из них правильнее или лучше будет? Может есть ссылка хорошая про похожую тему?

Leon1978

Цитата:

сервер с Isa 2006 в качестве файрвола.

А чем в качестве файрвола не устроила сама циска?

Цитата:

Может есть ссылка хорошая про похожую тему?

Ну, конечно вопрос не для этой темы, поскольку циски тут сбоку и уже настроены. А похожая тема - ну вот, например: Пожалуйста, помогите с организацией архитектуры сети
Либо Как организовать защиту внутренней сети с выходом в инет?

romryn
Цитата:

CISCO 871
имеет порты WAN -1шт, LAN-4шт.
Возможно ли заставить сей девайс работать с портами по другому.
Требуется подключить:
WAN1 - провайдер 1
WAN2 - провайдер 2
WAN3 - подсеть (vpn средствами провайдера)
LAN1 - локалка

Ну и соответственно потом настроить:
NAT из LAN1 в WAN1,
пробросить порты из WAN1 WAN2 в LAN1
маршрутизацию в подсеть WAN3.
Ещё нужно исполнять функцию ВПН-сервера TTPT.

Вопрос (пока) не в том как это сделать, а возможно ли это сделать.

можно, но нужно иметь IOS Advanced IP Services - будет поддержка до 4 vlan (правда вроде бы иос c870-advipservicesk9-mz.124-4.T8.bin держит 10)
поскольку порты Fa0-Fa3 это встроенный четырех-портовый свич то виланы будут настраиваться как на коммутаторе
если "TTPT" это PPTP то тоже можно
и последнее - стоит подумать потянет ли 871 роль маршрутизатора между столькими сетями, из опыта известно что он нормально переваривает не больше 12Мбит "идеального" трафика

Цитата:

и последнее - стоит подумать потянет ли 871 роль маршрутизатора между столькими сетями, из опыта известно что он нормально переваривает не больше 12Мбит "идеального" трафика

мне кажется, что должна все же несколько больше переварить. У меня 831 пропускает без проблем порядка 8,5-9,5 Мбит, но у нее WAN-интерфейс всего десятка.

Цитата:

стоит подумать потянет ли 871 роль маршрутизатора между столькими сетями, из опыта известно что он нормально переваривает не больше 12Мбит "идеального" трафика

Объёмы трафика точно не скажу, но предположительно не более 10, т.к. один WAN провайдера = 1Мб/с, на втором обычно сидит 10-12 RDP-клиентов.
Ещё вопрос, можно ли на 871 на одном интерфейсе ограничить ширину канала? насколько это сложно, или проще попросить провайдера это сделать?

И ещё: где/как найти человека который бы всё это настроил. Думаю поискать на сайтах фрилансеров, хотя там 90% веб-разработчики и дизайнеры.

Цитата:

можно ли на 871 на одном интерфейсе ограничить ширину канала?

можно

Цитата:

насколько это сложно

зависит от уровня подготовки, если есть необходимый минимум то найти на сайте cisco.com или просто в инете готовый пример легко.

Valery12, bga83, спасибо за ответы!
Если тут найдется специалист готовый настроить 871 по нужному сценарию - пожалуйста напишите в личку. За вознаграждение.
сорри, если офтопик (

Кто нибудь может подсказать ответ про возможность включения/отключения отдельного SSID на точке доступа Cisco Air-AP1042N с помощью команд через telnet?
Т.е., не отключение/включение самой точки доступа или ее радио-интерфейса, а именно отдельного SSID.
Второй SSID при этом должен оставаться в рабочем состоянии.

Господа, помогите с такой проблемой- кагото черта перестал пинговатся мой динднс адрес, с провайдером воюю пока безрезультатно, так вот как сделать чтобы при обновлении ип адреса с динднс

Код: [no]ip ddns update hostname clientname.dyndns.org[/no]

Подскажите по Аксес листам пожалуйста. Никогда с ними не работал а теперь думаю придется.

Дано:
Сеть с VLAN (Router on stick)


Access Point не cisco

Требуется:
Девайсы из гостевого wifi (wifi-guest) могли ходить только в интеренет через Proxy и получать IP от DHCP Server (нужна полноценная работа в сети интернет т.е. подключился по WiFi получил ip dns и все параметны от DHCP сервера, но без доступа к компьютерам завода).
А пользоватли из wifi-plant имели обычный доступ к сети завода с доступом в инет.

Резюмирую: Пользователи из гостевой WiFi имели только доступ в Интерент через Proxy (10.78.0.2), все остольные спокойно работали в сети.

Купили Cisco SGE2010-G5. Через web интерфейс доступ есть, но надо конфигурить через ssh как положено командами. Захожу через putty по ssh на него и выскакивает Swith main menu. Как отключить эту дрянь?

проще будет еще одну ар-эшку поставить