Что такое привилегированный режим сетевого коммутатора

Обновлено: 24.01.2025

Сетевые устройства могут работать в режимах, которые подразделяются на три большие категории.

Первая и основная категория- это передача данных (плоскость данных, data plane). Это режим работы коммутатора по передаче кадров, генерируемых устройствами, подключенными к коммутатору. Другими словами, передача данных является основным режимом работы коммутатора.

Во-вторых, управление передачей данных относится к настройкам и процессам, которые управляют и изменяют выбор, сделанный передающим уровнем коммутатора. Системный администратор может контролировать, какие интерфейсы включены и отключены, какие порты работают с какой скоростью, как связующее дерево блокирует некоторые порты, чтобы предотвратить циклы, и так далее. Так же важной частью этой статьи является управление устройством, осуществляемое через плоскость наблюдения (management plane). Плоскость наблюдения - это управление самим устройством, а не управление тем, что делает устройство. В частности, в этой статье рассматриваются самые основные функции управления, которые могут быть настроены в коммутаторе Cisco. В первом разделе статьи рассматривается настройки различных видов безопасности входа в систему. Во втором разделе показано, как настроить параметры IPv4 на коммутаторе, чтобы им можно было управлять удаленно. В последнем разделе рассматриваются практические вопросов, которые могут немного облегчить жизнь системного администратора.

ЗАЩИТА КОММУТАТОРА ЧЕРЕЗ CLI

По умолчанию коммутатор Cisco Catalyst позволяет любому пользователю подключиться к консольному порту, получить доступ к пользовательскому режиму, а затем перейти в привилегированный режим без какой-либо защиты. Эти настройки заданы в сетевых устройствах Cisco по умолчанию и, если у вас есть физический доступ к устройству, то вы спокойно можете подключиться к устройству через консольный порт или USB, используя соответствующий кабель и соответственно производить различные настройки.

Однако не всегда имеется физический доступ к коммутатору и тогда необходимо иметь доступ к устройствам для удаленного управления, и первым шагом в этом процессе является обеспечение безопасности коммутатора так, чтобы только соответствующие пользователи могли получить доступ к интерфейсу командной строки коммутатора (CLI).

НАСТРОЙКА ПАРОЛЬНОГО ДОСТУПА К КОММУТАТОРУ CISCO

В данной части рассматривается настройка безопасности входа для коммутатора Cisco Catalyst.

Защита CLI включает защиту доступа в привилегированный режим, поскольку из этого режима злоумышленник может перезагрузить коммутатор или изменить конфигурацию.

Защита пользовательского режима также важна, поскольку злоумышленники могут видеть настройки коммутатора, получить настройки сети и находить новые способы атаки на сеть.

Особенно важно, что бы все протоколы удаленного доступа и управления, чтобы IP-настройки коммутатора были настроены и работали.

Для того чтобы получить удаленный доступ по протоколам Telnet и Secure Shell (SSH) к коммутатору, необходимо на коммутаторе настроить IP-адресацию.

Чуть позже будет показано, как настроить IPv4-адресацию на коммутаторе.

В первой части статьи будут рассмотрены следующие вопросы защиты входа:

Защита пользовательского режима и привилегированного режима с помощью простых паролей;
Защита доступа в пользовательский режим с использованием локальной базы данных;
Защита доступа в пользовательский режим с помощью внешних серверов аутентификации;
Защита удаленного доступа с помощью Secure Shell (SSH);

ЗАЩИТА ПОЛЬЗОВАТЕЛЬСКОГО И ПРИВИЛЕГИРОВАННОГО РЕЖИМА С ПОМОЩЬЮ ПРОСТЫХ ПАРОЛЕЙ.

Получить полный доступ к коммутатору Cisco можно только через консольный порт.

В этом случае, настройки по умолчанию, позволяют получить доступ сначала к режиму пользователя, а затем можно перейти в привилегированный режим без использования паролей.

А вот по протоколам удаленного доступа Telnet или SSH получить доступ даже к режиму пользователя невозможно.

Настройки по умолчанию идут у совершенно нового коммутатора, но в производственной среде необходимо обеспечить безопасный доступ через консоль, а также включить удаленный вход через Telnet и/или SSH, чтобы была возможность подключаться ко всем коммутаторам в локальной сети.

Можно организовать доступ к сетевому оборудованию с использованием одного общего пароля.

Этот метод позволяет подключиться к оборудованию, используя только пароль - без ввода имени пользователя - с одним паролем для входа через консольный порт и другим паролем для входа по протоколу Telnet. Пользователи, подключающиеся через консольный порт, должны ввести пароль консоли, который был предварительно настроен в режиме конфигурации. Пользователи, подключающиеся через протокол Telnet, должны ввести пароль от Telnet, также называемый паролем vty, так называемый, потому что это режим конфигурации терминальных линий (vty). На рисунке 1 представлены варианты использования паролей с точки зрения пользователя, подключающегося к коммутатору.

Пример защиты доступа одним паролем, без ввода имени пользователя Пример защиты доступа одним паролем, без ввода имени пользователя

Как видно из рисунка 1, на коммутаторах Cisco стоит защита привилегированного режима (enable) с помощью еще одного общего пароля, задаваемый командой enable password. Системный администратор, подключающийся к CLI коммутатора попадает в режим пользователя и далее, вводит команду enable.

Эта команда запрашивает у пользователя пароль входа в привилегированный режим; если пользователь вводит правильный пароль, IOS перемещает пользователя в привилегированный режим.

Пример 1. Пример входа в коммутатор из консоли, когда пароль консоли и пароль привилегированного режима были заранее установлены. Предварительно пользователь запустил эмулятор терминала, физически подключил ноутбук к консольному кабелю, а затем нажал клавишу Enter, чтобы войти в коммутатор.

В примере показаны пароли в открытом виде, как если бы они были набраны в обычном текстовом редакторе (cisco), а также команда enable, которая перемещает пользователя из пользовательского режима в привилегированный режим (enable). В реальности же IOS скрывает пароли при вводе, чтобы никто не смог увидеть их.

Чтобы настроить общие пароли для консоли, Telnet и привилегированного режима (enable), необходимо ввести несколько команд. На рис. 2 показан порядок задания всех трех паролей.

Команды настройки парольного доступа к коммутатору Команды настройки парольного доступа к коммутатору

На рисунке 2 показаны два ПК, пытающиеся получить доступ к режиму управления устройством. Один из ПК подключен посредством консольного кабеля, соединяющейся через линию console 0, а другой посредством Telnet, соединяющейся через терминальную линию vty 0 15. Оба компьютера не имеют Логинов, пароль для консоли и Telnet -cisco. Пользовательский режим получает доступ к привилегированному режиму (enable) с помощью ввода команды "enable secret cisco". Для настройки этих паролей не надо прилагать много усилий. Все делается легко. Во-первых, конфигурация консоли и пароля vty устанавливает пароль на основе контекста: для консоли (строка con 0) и для линий vty для пароля Telnet (строка vty 0 15). Затем в режиме консоли и режиме vty, соответственно вводим команды:

Настроенный пароль привилегированного режима, показанный в правой части рисунка, применяется ко всем пользователям, независимо от того, подключаются ли они к пользовательскому режиму через консоль, Telnet или иным образом. Команда для настройки enable password является командой глобальной конфигурации: enable secret <пароль пользователя>.

В старых версиях, для задания пароля на привилегированный режим, использовалась команда password . В современных IOS применяется два режима задания пароля: password и secret .

Рекомендуется использовать команду secret , так как она наиболее безопасна по сравнению с password .

Для правильной настройки защиты коммутатора Cisco паролями необходимо следовать по шагам, указанным ниже:

Шаг 1. Задайте пароль на привилегированный режим командой enable secret password-value

Шаг 2. Задайте пароль на доступ по консоли

Используйте команду line con 0 для входа режим конфигурирования консоли;
Используйте команду liassword liassword-value для задания пароля на консольный режим;
Используйте команду login для запроса пароля при входе по консоли;

Шаг 3. Задайте пароль на терминальные подключения vty (Telnet)

Используйте команду line vty 0 15 для входа режим конфигурирования терминальных линий. В данном примере настройки будут применены ко всем 16 терминальным линиям;
Используйте команду liassword liassword-value для задания пароля на режим vty;
Используйте команду login для запроса пароля при входе по Telnet

В Примере 2 показан процесс настройки, согласно вышеописанным шагам, а также установка пароля enable secret . Строки, которые начинаются с ! - это строки комментариев. Они предназначены для комментирования назначения команд.

Пример 3 показывает результирующую конфигурацию в коммутаторе, выводимой командой show running-config . Выделенный текст показывает новую конфигурацию. Часть листинга было удалено, что бы сконцентрировать ваше внимание на настройке пароля.

В следующей статье рассмотрим тему защиты доступа в пользовательском режиме с помощью локальных имен пользователей и паролей.

В отличие от концентраторов , коммутаторы делят сеть на домены коллизий и могут работать как в полудуплексном, так и в полнодуплексном режиме, т. е. могут посылать и получать данные одновременно, поэтому исключают коллизии в локальных сетях.

Новые коммутаторы имеют заданную при изготовлении конфигурацию по умолчанию. Эта конфигурация редко удовлетворяет потребности администраторов сети. Коммутаторы могут конфигурироваться и управляться из командной строки интерфейса ( command - line interface – CLI ). Устройства сети могут также конфигурироваться и управляться через базовый веб- интерфейс и браузер .

При включении начинается процесс начальной загрузки (bootup), после того, как коммутатор загрузился, он может конфигурироваться, для чего следует ввести режим глобальный конфигурации и затем установить пароли.

После включения на экране появляется следующая информация :

Чтобы войти в CLI ( Command Line Interface ), нужно выбрать К.

Конфигурирование коммутатора похоже на конфигурирование маршрутизатора. Пользовательский режим User EXEC mode характеризуется приглашением в виде символа >. Команды, доступные в пользовательском режиме, ограничены, они выполняют основные тесты и отображают основные установки и параметры коммутатора . В таблице 15.1 приведено описание команд show , которые являются доступными в User EXEC mode .

Набор команд Привилегированного режима включает команду configure . Команда configure позволяет войти в другие режимы конфигурирования. Поскольку эти режимы используются, чтобы конфигурировать коммутатор , доступ в Привилегированный режим должен быть защищен паролем, чтобы предотвратить неправомочный доступ .

Первое, что необходимо сконфигурировать в коммутаторе , – это пароли (рекомендуется следовать трём правилам: 1) дать имя, 2) сменить/установить пароль , 3) настроить синхронизацию времени). Пароли можно устанавливать так же, как в маршрутизаторе, для чего нужно войти в привилегированный режим, используя команду enable:

Второе: следует просмотреть текущую конфигурацию, используя команду show running-configuration

Третье: для входа в режим глобального конфигурирования используется команда configuration terminal

Четвертое: необходимо ввести имя коммутатора , используя команду hostname , например:

Имена коммутатора , так же как маршрутизатора, имеют значение только на локальном уровне.

Пятое: конфигурируется пароль на консоль :

Шестое: конфигурируются пароли виртуальных линий 0-15:

Седьмое: устанавливаются пароли enable password или enable secret password на вход в привилегированный режим:

Enable secret password – более строгий пароль , который криптографируется по умолчанию и при установке заменяет пароль enable password. Если установлен enable secret, то нет необходимости устанавливать пароль привилегированного режима enable password.

Для просмотра текущей конфигурации на коммутаторе можно использовать команду show running-config :

Коммутатор может работать по умолчанию без изменения базовой IP-конфигурации. Достаточно включить устройство, и оно должно начать работать точно так же, как это было при использовании концентратора . Однако при создании различных виртуальных локальных сетей ( VLAN ) коммутатором необходимо управлять, для чего задаются IP-адреса.

По умолчанию на коммутаторе не установлены ни IP-адрес, ни шлюз по умолчанию. Перед их установкой необходимо просмотреть заданную по умолчанию конфигурацию коммутатора , используя команду show ip :

Из распечатки следует, что в коммутаторе не сконфигурированы ни IP- адрес , ни шлюз по умолчанию.

Адресация коммутаторов, конфигурирование интерфейсов

Для управления коммутатором Catalist 2950 и более поздними образцами введен виртуальный интерфейс VLAN 1, на который устанавливаются IP-конфигурации. Поэтому на указанный интерфейс задается IP-адрес, маска сети или подсети, адрес шлюза по умолчанию (default- gateway ):

Чтобы изменить IP-адрес и заданный по умолчанию шлюз на коммутаторе , можно либо ввести новый адрес, либо удалить информацию командами глобальной конфигурации no ip address или no ip default- gateway .

Для верификации конфигурации используется команда show interface vlan1 в привилегированном режиме:

Конфигурация коммутатора хранится в NVRAM , так же как состояние маршрутизатора. Текущую конфигурацию можно посмотреть по команде show running-config .

Для сохранения текущей конфигурации в NVRAM администратор может воспользоваться командой copy running-config startup-config :

На коммутаторах Catalist 2950 дуплексный режим и скорость передачи установлены по умолчанию. Однако они могут быть установлены и вручную администратором, если до того дуплексный режим по каким-либо причинам был отменен:

Использование интерфейса командной строки Cisco IOS

Интерфейс командной строки (CLI) Cisco IOS — основной интерфейс, используемый для конфигурирования, мониторинга и обслуживания устройств Cisco. Этот пользовательский интерфейс позволяет непосредственно выполнять команды Cisco IOS с помощью консоли маршрутизатора, терминала или с использованием удаленного доступа.

В этой главе описаны основные функции CLI Cisco IOS и порядок их применения. Рассматриваемые темы включают введение в режимы команд Cisco IOS, функции навигации и редактирования, функции справки и истории команд.

Дополнительные интерфейсы пользователя — это режим установки (используется при первоначальном запуске), веб-обозреватель Cisco и пользовательские меню, настраиваемые системным администратором. Информация о режиме установки изложена в части этого руководства " Конфигурирование с помощью процедур настройки и автоматической установки ". Информация о выполнении команд в среде веб-обозревателя Cisco приведена в главе этого руководства "Использование интерфейса пользователя веб-обозревателя Cisco" . Информация о пользовательских меню приведена в главе этого руководства " Управление подключениями, меню и системными баннерами ".

Полное описание команд интерфейса пользователя, рассматриваемых в этой главе, приведено в документе Основы конфигурации Cisco IOS. Справочник по командам . Для поиска документации о других командах, упоминаемых в этом руководстве, используйте Алфавитный указатель справочника по командам Cisco IOS, версия 12.4 .

Данная глава включает следующие разделы:

• Обзор командных режимов CLI Cisco IOS

• Список задач CLI Cisco IOS

• Использование CLI Cisco IOS: примеры

Обзор командных режимов CLI Cisco IOS

Чтобы облегчить конфигурирование устройств Cisco, интерфейс командной строки Cisco IOS разделен на отдельные командные режимы. В каждом командном режиме предусмотрен собственный набор команд для конфигурирования, обслуживания и мониторинга работы маршрутизатора и сети. Совокупность доступных в конкретный момент команд зависит от текущего командного режима. Ввод вопросительного знака (?) после системного приглашения позволяет вывести список доступных команд для каждого командного режима.

Применение определенных команд обеспечивает переход от одного командного режима к другому. Стандартный порядок, в котором пользователю следует осуществлять доступ к режимам, таков: пользовательский режим EXEC, привилегированный режим EXEC; режим глобальной конфигурации; режимы специальной конфигурации, подрежимы конфигурации и подрежимы конфигурации 2-го уровня.

Сеанс на маршрутизаторе обычно начинается в пользовательском режиме EXEC, который представляет собой один из двух уровней доступа режима EXEC. В целях безопасности в пользовательском режиме EXEC доступно лишь ограниченное подмножество команд EXEC. Этот уровень доступа предназначен для задач, не изменяющих конфигурацию маршрутизатора, например, определение статуса маршрутизатора.

Для получения доступа ко всем командам необходимо перейти в привилегированный режим EXEC, который обеспечивает второй уровень доступа режима EXEC. Обычно для входа в привилегированный режим EXEC требуется ввести пароль. В привилегированном режиме EXEC можно вводить любую команду EXEC, так как он предусматривает набор команд, расширенный по отношению к пользовательскому режиму EXEC.

Большинство команд режима EXEC являются "единовременными" командами, например, команды show или more, которые показывают статус текущей конфигурации, и команды clear, сбрасывающие счетчики или интерфейсы. Команды режима EXEC не сохраняются после перезагрузки маршрутизатора.

Из привилегированного режима EXEC можно перейти в режим глобальной конфигурации. В этом режиме возможен ввод команд, позволяющих конфигурировать общие характеристики системы. Режим глобальной конфигурации может использоваться также для перехода в специфические режимы конфигурирования. Режимы конфигурирования, включая режим глобальной конфигурации, позволяют вносить изменения в текущую конфигурацию. Если конфигурация позднее сохраняется, то эти команды сохраняются после перезагрузки маршрутизатора.

Из режима глобальной конфигурации можно перейти во множество режимов конфигурации, специфических для конкретного протокола или функции. Иерархия CLI предполагает, что вход в эти специфические режимы конфигурирования производится только из режима глобальной конфигурации. В качестве примера в этой главе описан один из обычно используемых режимов конфигурирования — режим конфигурирования интерфейса.

Из режимов конфигурирования можно перейти в подрежимы конфигурирования. Подрежимы конфигурирования используются для настройки определенных функций в пределах данного режима конфигурирования. В качестве примера в этой главе описан режим конфигурирования субинтерфейса, который является подчиненным по отношению к режиму конфигурирования интерфейса.

Режим монитора ROM — это отдельный режим, используемый в том случае, когда маршрутизатор не загружается должным образом. Если система (маршрутизатор, коммутатор или сервер доступа) не находит правильный образ системы, загружаемый в процессе запуска, то система переходит в режим монитора ROM. В режим монитора ROM (ROMMON) можно войти также путем прерывания последовательности загрузки в ходе запуска.

В последующих разделах приведены подробные сведения об этих командных режимах:

• Пользовательский режим EXEC

• Привилегированный режим EXEC

• Режим глобальной конфигурации

• Режим конфигурирования интерфейса

• Режим конфигурирования субинтерфейса

• Режим монитора ROM

Таблица 1 в порядке следования этих разделов отражает сводную информацию об основных командных режимах Cisco IOS.

Пользовательский режим EXEC

После регистрации в маршрутизаторе пользователь входит в пользовательский режим команд EXEC (за исключением тех случаев, когда система настроена на немедленный вход в привилегированный режим EXEC). Обычно при регистрации в системе требуется ввести имя пользователя и пароль. Допускается ввести пароль три раза, после чего в попытках подключения будет отказано.

Примечание Для получения информации об установке пароля см. главу "Конфигурирование паролей и привилегий" документа Руководство по конфигурации безопасности Cisco IOS и часть этого руководства "Конфигурирование с помощью процедур настройки и автоматической установки".

Команды EXEC , доступные на пользовательском уровне, являются подмножеством команд, доступных на привилегированном уровне. Обычно пользовательские команды EXEC позволяют подключиться к удаленным устройствам, временно изменить параметры абонентской линии, выполнить основные тесты и получить сведения о системе.

Для вывода списка доступных пользовательских команд EXEC используется следующая команда:

Приглашение пользовательского режима EXEC состоит из имени устройства как узла сети, за которым следует угловая скобка (>), как показано в следующем примере:

Имя узла сети по умолчанию — обычно Router, за исключением тех случаев, когда оно было изменено в ходе начальной настройки с помощью команды EXEC setup. Изменение имени узла сети возможно также с помощью команды глобальной конфигурации hostname.

Примечание В примерах, приводимых в документации Cisco IOS, предполагается использование имени по умолчанию "Router". Другие устройства (например, серверы доступа) могут иметь другие имена по умолчанию. Если маршрутизирующему устройству (маршрутизатор, сервер доступа или коммутатор) с помощью команды hostname присвоено имя, то оно будет представлено в приглашении вместо имени по умолчанию.

Для вывода списка доступных команд пользовательского режима EXEC введите вопросительный знак (?), как показано в приведенном ниже примере:

Топология

Таблица адресации

Устройство	Интерфейс	IP-адрес	Маска подсети	Шлюз по умолчанию
S1	VLAN 99	192.168.1.2	255.255.255.0	192.168.1.1
PC-A	Сетевой адаптер	192.168.1.10	255.255.255.0	192.168.1.1

Задачи

Часть 1. Создание сети и проверка настроек коммутатора по умолчанию Часть 2. Настройка базовых параметров сетевых устройств

Настройте базовые параметры коммутатора.
Настройте IP-адрес для ПК.

Часть 3. Проверка и тестирование сетевого соединения

Отобразите конфигурацию устройства.
Протестируйте сквозное соединение, отправив эхо-запрос.
Протестируйте возможности удалённого управления с помощью Telnet.
Сохраните файл текущей конфигурации коммутатора.

Часть 4. Управление таблицей MAC-адресов

Запишите MAC-адрес узла.
Определите МАС-адреса, полученные коммутатором.
Перечислите параметры команды show mac address-table.
Назначьте статический MAC-адрес.

Исходные данные/сценарий

На коммутаторах Cisco можно настроить особый IP-адрес, который называют виртуальным интерфейсом коммутатора (SVI). SVI или адрес управления можно использовать для удалённого доступа к коммутатору в целях отображения или настройки параметров. Если для SVI сети VLAN 1 назначен IP-адрес, то по умолчанию все порты в сети VLAN 1 имеют доступ к IP-адресу управления SVI.

Примечание. В лабораторной работе используется коммутатор Cisco Catalyst 2960 под управлением ОС Cisco IOS 15.0(2) (образ lanbasek9). Допускается использование других моделей коммутаторов и других версий ОС Cisco IOS. В зависимости от модели устройства и версии Cisco IOS доступные команды и выходные данные могут отличаться от данных, полученных при выполнении лабораторных работ.

Примечание. Убедитесь, что информация из коммутатора удалена, и он не содержит файла загрузочной конфигурации. Процедуры, необходимые для инициализации и перезагрузки устройств, приводятся в приложении А.

Необходимые ресурсы:

1 коммутатор (Cisco 2960 под управлением ОС Cisco IOS 15.0(2), образ lanbasek9 или аналогичная модель);
1 ПК (под управлением ОС Windows 7, Vista или XP с программой эмулятора терминала, например Tera Term, и поддержкой Telnet);
консольный кабель для настройки устройства Cisco IOS через порт консоли;
кабель Ethernet, как показано в топологии.

Часть 1. Создание сети и проверка настроек коммутатора по умолчанию

В первой части лабораторной работы вам предстоит настроить топологию сети и проверить настройку коммутатора по умолчанию.

Шаг 1: Подключите кабели в сети в соответствии с топологией.

Примечание. При использовании Netlab можно отключить интерфейс F0/6 на коммутаторе S1, что имеет такой же эффект как отсутствие подключения между компьютером PC-A и коммутатором S1.

Шаг 2: Проверьте настройки коммутатора по умолчанию.

На данном этапе вам нужно проверить такие параметры коммутатора по умолчанию, как текущие настройки коммутатора, данные IOS, свойства интерфейса, сведения о VLAN и флеш-память.

Все команды IOS коммутатора можно выполнять из привилегированного режима. Доступ к привилегированному режиму нужно ограничить с помощью пароля, чтобы предотвратить неавторизованное использование устройства — через этот режим можно получить прямой доступ к режиму глобальной конфигурации и командам, используемым для настройки рабочих параметров. Пароли можно будет настроить чуть позже.

К привилегированному набору команд относятся команды пользовательского режима, а также команда configure, при помощи которой выполняется доступ к остальным командным режимам. Введите команду enable, чтобы войти в привилегированный режим EXEC.

Обратите внимание, что изменённая в конфигурации строка будет отражать привилегированный режим EXEC.

Проверьте, что конфигурационный файл пустой с помощью команды show running-config привилегированного режима. Если конфигурационный файл был предварительно сохранён, его нужно удалить. В зависимости от модели коммутатора и версии IOS, ваша конфигурация может выглядеть немного иначе. Тем не менее, настроенных паролей или IP-адресов в конфигурации быть не должно. Выполните очистку настроек и перезагрузите коммутатор, если ваш коммутатор имеет настройки, отличные от настроек по умолчанию.

Примечание. В приложении А подробно изложен процесс инициализации и перезагрузки устройств.

f. Подключите Ethernet-кабель компьютера PC-A к порту 6 на коммутаторе и изучите IP-свойства интерфейса SVI сети VLAN 1. Дождитесь согласования параметров скорости и дуплекса между коммутатором и ПК.

В конце имени файла указано расширение, например .bin. Каталоги не имеют расширения файла.

Часть 2. Настройка базовых параметров сетевых устройств

Во второй части лабораторной работы вам предстоит настроить базовые параметры коммутатора и ПК.

На данном этапе вам нужно настроить ПК и базовые параметры коммутатора, в том числе имя узла и IP-адрес для административного SVI на коммутаторе. Назначение IP-адреса коммутатору — это лишь первый шаг. Как сетевой администратор, вы должны определить, как будет осуществляться управление коммутатором. Telnet и SSH представляют собой два наиболее распространённых метода управления. Однако Telnet не является безопасным протоколом. Вся информация, проходящая между двумя устройствами, отправляется в незашифрованном виде. Используя захват с помощью анализатора пакетов, злоумышленники могут легко прочитать пароли и другие значимые данные.

Строка снова изменилась для отображения режима глобальной конфигурации.

Press RETURN to get started.

Unauthorized access is strictly prohibited.
S1>

j. Войдите в режим глобальной конфигурации, чтобы назначить коммутатору IP-адрес SVI. Благодаря этому вы получите возможность удалённого управления коммутатором.

Прежде чем вы сможете управлять коммутатором S1 удалённо с компьютера PC-A, коммутатору нужно назначить IP-адрес. Согласно конфигурации коммутатора по умолчанию управление коммутатором должно осуществляться через VLAN 1. Однако в базовой конфигурации коммутатора не рекомендуется назначать VLAN 1 в качестве административной VLAN.

Для административных целей используйте VLAN 99. Выбор VLAN 99 является случайным, поэтому вы не обязаны использовать VLAN 99 всегда.

Итак, для начала создайте на коммутаторе новую VLAN 99. Затем настройте IP-адрес коммутатора на 192.168.1.2 с маской подсети 255.255.255.0 на внутреннем виртуальном интерфейсе (SVI) VLAN
99.

Чтобы установить подключение между узлом и коммутатором, порты, используемые узлом , должны находиться в той же VLAN, что и коммутатор. Обратите внимание, что в выходных данных выше интерфейс VLAN 1 выключен, поскольку ни один из портов не назначен сети VLAN 1. Через несколько секунд VLAN 99 включится, потому что как минимум один активный порт (F0/6, к которому подключён компьютер PC-A) назначен сети VLAN 99.

m. Настройте IP-шлюз по умолчанию для коммутатора S1. Если не настроен ни один шлюз по умолчанию, коммутатором нельзя управлять из удалённой сети, на пути к которой имеется более одного маршрутизатора. Он не отвечает на эхо -запросы из удалённой сети. Хотя в этом упражнении не учитывается внешний IP-шлюз, представьте, что впоследствии вы подключите LAN к маршрутизатору для обеспечения внешнего доступа. При условии, что интерфейс LAN маршрутизатора равен 192.168.1.1, настройте шлюз по умолчанию для коммутатора.

Шаг 2: Настройте IP-адрес на PC-A.
Назначьте компьютеру IP-адрес и маску подсети в соответствии с таблицей адресации. Здесь описана сокращённая версия данной операции. Для рассматриваемой топологии не требуется шлюз по умолчанию. Однако вы можете ввести адрес 192.168.1.1, чтобы смоделировать маршрутизатор, подключённый к коммутатору S1.

Часть 3. Проверка и тестирование сетевого соединения
В третьей части лабораторной работы вам предстоит проверить и задокументировать конфигурацию коммутатора, протестировать сквозное соединение между компьютером PC-A и коммутатором S1, а также протестировать возможность удалённого управления коммутатором.

Шаг 1: Отобразите конфигурацию коммутатора.
Из консольного подключения к компьютеру PC-A отобразите и проверьте конфигурацию коммутатора. Команда show run позволяет постранично отобразить всю текущую конфигурацию. Для пролистывания используйте клавишу ПРОБЕЛ.

Шаг 2: Протестируйте сквозное соединение, отправив эхо-запрос.

a. Из командной строки компьютера PC-A отправьте эхо-запрос на адрес вашего собственного компьютера PC-A.
C:\Users\User1> ping 192.168.1.10

b. Из командной строки компьютера PC-A отправьте эхо-запрос на административный адрес интерфейса SVI коммутатора S1.
C:\Users\User1> ping 192.168.1.2

Поскольку компьютеру PC- A нужно преобразовать МАС-адрес коммутатора S1 с помощью ARP, время ожидания передачи первого пакета может истечь. Если эхо-запрос не удаётся, найдите и устраните неполадки базовых настроек устройства. При необходимости следует проверить как физические кабели, так и логическую адресацию.

Шаг 3: Проверьте удалённое управление коммутатором S1.

После этого используйте удалённый доступ к устройству с помощью Telnet. В этой лабораторной работе компьютер PC-A и коммутатор S1 находятся рядом. В производственной сети коммутатор может находиться в коммутационном шкафу на последнем этаже, в то время как административный компьютер находится на первом этаже. На данном этапе вам предстоит использовать Telnet для удалённого доступа к коммутатору S1 через его административный адрес SVI. Telnet — это не безопасный протокол, но вы можете использовать его для проверки удалённого доступа. В случае с Telnet вся информация, включая пароли и команды, отправляется через сеанс в незашифрованном виде. В последующих лабораторных работах для удалённого доступа к сетевым устройствам вы будете использовать SSH.

Примечание. При использовании Windows 7 может потребоваться включение протокола Telnet от имени администратора. Чтобы установить клиент Telnet, откройте окно cmd и введите pkgmgr /iu:«TelnetClient». Ниже приведён пример.

C:\Users\User1> pkgmgr /iu:”TelnetClient”

a. В том же окне cmd на компьютере PC-A выполните команду Telnet для подключения к коммутатору S1 через административный адрес SVI. Пароль — cisco.
C:\Users\User1> telnet 192.168.1.2

b. После ввода пароля cisco вы окажетесь в командной строке пользовательского режима. Войдите в привилегированный режим.

c. Чтобы завершить сеанс Telnet, введите exit.

Шаг 4: Сохраните файл текущей конфигурации коммутатора.
Сохраните конфигурацию.

Часть 4. Управление таблицей MAC-адресов

В четвёртой части лабораторной работы вам предстоит определить MAC-адрес, полученный коммутатором, настроить статический MAC-адрес для одного из интерфейсов коммутатора, а затем удалить статический MAC-адрес из конфигурации интерфейса.

Шаг 1: Запишите MAC-адрес узла.

В командной строке компьютера PC-A выполните команду ipconfig /all, чтобы определить и записать адреса 2-го уровня (физические) сетевого адаптера ПК.

Шаг 2: Определите МАС-адреса, полученные коммутатором.

Шаг 3: Перечислите параметры команды show mac address-table.

Шаг 4: Назначьте статический MAC-адрес.

Если коммутатор S1 еще не получил повторно MAC-адрес для PC-A, отправьте эхо -запрос на IP-адрес VLAN 99 коммутатора от PC-A, а затем снова выполните команду show mac address-table.

d. Назначьте статический MAC-адрес.
Чтобы определить, к каким портам может подключиться узел, можно создать статическое сопоставление узлового МАС-адреса с портом.

f. Удалите запись статического МАС. Войдите в режим глобальной конфигурации и удалите команду, поставив no напротив строки с командой.

Примечание. MAC-адрес 0050.56BE.6C89 используется только в рассматриваемом примере.

Примечание. Возможно, появится запрос о сохранении текущей конфигурации перед перезагрузкой маршрутизатора. Чтобы ответить, введите no и нажмите клавишу Enter.
System configuration has been modified. Save? [yes/no]: no

d. После перезагрузки маршрутизатора появится запрос о входе в диалоговое окно начальной конфигурации. Введите no и нажмите клавишу Enter.
Would you like to enter the initial configuration dialog? [yes/no]: no

e. Может появиться другой запрос о прекращении автоматической установки (autoinstall). Ответьте yes и нажмите клавишу Enter.
Would you like to terminate autoinstall? [yes]: yes

d. Появится запрос о проверке имени файла. Если вы ввели имя правильно, нажмите клавишу Enter.
В противном случае вы можете изменить имя файла.

Примечание. Возможно, появится запрос о сохранении текущей конфигурации перед перезагрузкой коммутатора. Чтобы ответить, введите no и нажмите клавишу Enter.
System configuration has been modified. Save? [yes/no]: no

h. После перезагрузки коммутатора появится запрос о входе в диалоговое окно начальной конфигурации. Чтобы ответить, введите no и нажмите клавишу Enter.
Would you like to enter the initial configuration dialog? [yes/no]: no
Switch>

Читайте также: