https://lkaplan.cz/wiki/ 2026-04-08T22:45:34+00:00 https://lkaplan.cz/wiki/ https://lkaplan.cz/wiki/lib/tpl/dokuwiki/images/favicon.ico text/html 2018-01-23T09:58:59+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:8021x&rev=1516697939&do=diff Port-Based Authentication * Kombinace AAA Authentikace a port-security * Založeno na IEEE 802.1x * PC i switch musí podporovat EAPOL * EAPOL = Extensible Authentication Protocol Over LANs, Layer 2 protokol * Pro 802.1x je podporován pouze RADIUS (Remote Acces Dial-In User Service) text/html 2018-01-24T21:27:18+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:asa&rev=1516825638&do=diff Cisco ASA5505 * Lze konfigurovat aplikací ASDM nebo přes CLI * CLI není tak intuitivní, zato je v něm pak čitelnější konfigurace WAN / LAN: interface GigabitEthernet1/1 # Popis description WAN nameif outside security-level 0 ip address 213.168.x.x 255.255.255.192 ! interface GigabitEthernet1/2 description LAN nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 text/html 2023-08-21T15:31:44+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:cme&rev=1692624704&do=diff CallManager Express User roles * System administrator — Able to configure all system-level and phone-based features. This person is familiar with Cisco IOS software and VoIP network configuration. * Customer administrator — Able to perform routine phone additions and changes without having access to system-level features. This person does not have to be familiar with Cisco IOS software. text/html 2018-01-23T10:03:01+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:dhcp-snooping&rev=1516698181&do=diff DHCP Snooping Má zabránit připojení falešného DHCP serveru, který by mohl způsobit útok man in the middle, podstrčením IP adresy útočníka jako výchozí brány nebo DNS serveru. Porty switche jsou rozděleny na trusted a untrusted. Pravý DHCP server je připojen k trusted portu, uživatelé k untrusted portům. Switch zachtává všechny DHCP requesty z untrusted portů. Jakmile je na untrusted portu zachcena zpr. text/html 2018-01-23T10:03:22+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:dynamic-arp-inspection&rev=1516698202&do=diff Dynamic ARP Inspection Útočník může pomocí zprávy “ARP reply” ve které uvede např. IP adresu brány a svou MAC adresu, přesměrovat provoz na sebe a stát se man in the middle. Tomuto útoku se říká “ARP poisoning” nebo “ARP spoofing text/html 2018-01-17T14:19:41+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:glbp&rev=1516195181&do=diff GLBP Gateway Load Balancing Protocol (Cisco) * Podpora na MLS Cat6500 Supervizor 2 * vychází z principu HSRP/VRRP + vylepšuje Load Balancing * Ve skupině je více aktivních routerů pro jednu virt.IP * Klienti dostávají v odpovědích na ARP dotazy (dotazující se na virt.IP) MAC adresy vybraných routerů ve skupině text/html 2018-01-17T14:15:39+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:hsrp&rev=1516194939&do=diff HSRP Hot Standby Router Protocol (Cisco) RFC2281 * Zajišťuje zálohování IP adresy výchozí brány * Routery se seskupují do HSRP skupin * Jeden router je vždy active * Druhý router je standby a ostatní jsou ve stavu listen * Routery si vyměňují HSRP Hello zprávy v daných intervalech, tím o sobě vzájemně vědí text/html 2018-01-23T10:10:45+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:ip-source-guard&rev=1516698645&do=diff IP Source Guard Slouží k ochraně před IP spoofing útoky, tzn. útočník uvádí falešnou zdrojovou IP adresu. Může použít IP nějakého uživatele nebo nepoužitou IP daného subnetu. Většinou se tohoto využívá v případě DoS útoků, k zamaskování zdroje tohoto útoku. text/html 2018-01-23T09:30:25+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:mls2&rev=1516696225&do=diff Multilayer switching Multilayer switching - CEF * myšlenka “routovat jednou, switchovat mnohokrát” * RP = Route Procesor * SE = Switching Engine NetFlow switching (route cache switching) * první paket nového toku je klasicky routován v RP text/html 2018-01-23T09:40:28+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:monitoring&rev=1516696828&do=diff Network Monitoring Lze provádět pomocí: * Syslog zpráv * SNMP * IP SLA Syslog Formát zprávy (logu): * Timestamp - datum a čas dle interních hodin stroje, defaultně se však jedná o uptime! * Facility code - systémová identifikace funkce nebo modulu text/html 2018-01-23T09:44:57+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:private-vlan&rev=1516697097&do=diff Private VLANs * PVLAN = Private VLAN * Umožňuje v běžné (primary)VLAN vytvářet secondary VLANy: * Isolated - porty nemohou komunikovat mezi sebou ani s žádnou jinou secondary vlan, můžou komunikovat s primary vlan * Comunity - porty nemohou komunikovat s žádnou jinou secondary vlan, můžou komunikovat v rámci své komunity a s primary vlan text/html 2018-01-26T21:53:57+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:start&rev=1517000037&do=diff Cisco Obecné * CDP (Cisco) * DHCP - DHCP Server, Relay * HSRP - Hot Standby Router Protocol (Cisco) * VRRP - Virtual Router Redundancy Protocol (RFC2338) * GLBP - Gateway Load Balancing Protocol (Cisco) * Monitoring - Syslog, SNMP, IP SLA FIXME dopsat do command ref. Switching * Switchport configuration * VLAN * VLAN access Lists * Trunk - ISL, dot1Q, DTP (Cisco, 802.1Q, Cisco) * SVI - Switch virtual interface / InterVLAN Routing * STP - Spanning-tree protocol (80… text/html 2018-01-17T14:27:32+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:stp&rev=1516195652&do=diff STP - Spanning Tree Protocol Bridging loop Komunikace PC-1 to PC-4 * Uvažujme, že PC-1 zná MAC adresu PC-4 a switche mají prázdné CAM tabulky. * PC-1 pošle rámec s cílovou MAC (PC-4), oba sw ho přijmou na portu 1/1, a uloží si zdrojovou adresu PC-1 do CAM tabulky text/html 2018-01-23T09:33:05+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:supervizor-a-rp-ha&rev=1516696385&do=diff Supervizor and Route Processor Redundancy * modulární switche (4500, 6500) podporují až dva supervizory * jeden je vždy plně funkční (aktivní) a druhý je v nějakém standby stavu RPR - Route Procesor Redundancy * záložní supervizor je částečně nabootován a inicializován text/html 2018-01-23T08:28:00+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:svi&rev=1516692480&do=diff InterVLAN Routing * zajistí “propojení” VLAN na L3 * router musí mít fyzické/logické spojení s VLAN, které chceme “propojit” * Lze realizovat pomocí externího routeru (router on a stick) nebo pomocí Multilayer switche * L3 switch může mít IP adresy na portech nebo log.interfejsech (SVI) text/html 2018-01-23T10:16:08+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:switch-command-ref&rev=1516698968&do=diff (Příkazy označené tečkou fungují v GNS3 na routeru s NM-16ESW modulem) Switch CAM Table POZOR! příkazy lze psát dvěma způsoby: * Po staru: mac-adress-table * Po novu: mac address-table "Switch(config)# mac address-table aging-time text/html 2018-01-23T10:13:29+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:switch-security&rev=1516698809&do=diff Best Practices zabezpečení switchů Konfigurace bezpečných(šifrovaných) hesel * Kde to je možné používat enable secret, používá silnější šifrování než obyč. enable password. * Pro centrální správu použít AAA server * text/html 2018-01-23T09:48:14+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:trunk-security&rev=1516697294&do=diff Securing VLAN Trunks Switch Spoofing * Jsou-li porty v defaultním nastavení (DTP auto), útočník může se switchem vyjednat trunk a tím má přístup do všech VLAN. Doporučuje se všechny end-user porty nastavit natvrdo jako access: * text/html 2018-01-23T09:43:26+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:vlan-acl&rev=1516697006&do=diff VLAN Access Lists VACL = Vlan Access Control List, Catalyst sw. dokáží pomocí VACL filtrovat provoz v rámci VLANy Na rozdíl od klasického ACL se neaplikuje na interface, ale na VLANu jako celek * Switch(config)# vlan access-map map-name [sequence-number] text/html 2018-01-24T21:48:41+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:voice_bootable-iso&rev=1516826921&do=diff Vytvoření bootovacího ISO * Z Cisca lze stáhnout ISO soubory callmanageru, unity a presence * Tyto ISA jsou však vydávana jako upgrade a nejsou bootovatelná Zde je návod jak ISO upravit aby bylo bootovatelné: Vytvoříme adresář pro připojení ISO image: text/html 2018-01-17T14:03:30+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:voice_qos&rev=1516194210&do=diff Voice QoS * Delay - zpoždění paketu při průchodu sítí * Jitter - proměnlivé zpoždění paketů, pakety přicházejí s různým zpožděním (fázové chvění) * Loss - ztráta paketů v síti Typy QoS: * Best-effort * Integrated Services model text/html 2018-01-17T14:01:28+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:voice_vlan&rev=1516194088&do=diff Voice VLAN * konfiguruje se na portech s telefony * trunk se vyjedná s telefonem díky DTP a CDP "Switch(config-if)# switchport voice vlan {vlan-id | dot1p | untagged | none}" "Switch# show interfaces type mod/num switchport Switch# show running-config interface text/html 2018-01-17T14:18:51+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:vrrp&rev=1516195131&do=diff VRRP Virtual Router Redundancy Protocol (RFC2338) * velmi podobný HSRP * aktivní router = “master router” (nejvyšší priorita) * ostatní routery jsou ve stavu “backup state” * VRRP skupiny 0-255 * VRRP priorita 1-254, defaultně 100 text/html 2018-01-17T14:09:23+00:00 Anonymous (anonymous@undisclosed.example.com) https://lkaplan.cz/wiki/doku.php?id=wiki:site:cisco:wlan_zaklady&rev=1516194563&do=diff Wireless LAN základy IEEE 802.11 - spojení je vždy half duplex CSMA/CA = Carrier Sense Multiple Access / Collision Avoidance * Potvrzování - příjemce potvrzuje přijaté rámce, tím se ověří zda během vysílání nedošlo ke kolizi a zda rámec dorazil v pořádku