Cisco Catalyst — C1000, 2960 en 9200

Configuratievoorbeeld om een Cisco Catalyst-switch met fabrieksinstellingen gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met type Cisco-IOS.

Deze gids behandelt de drie families waarvoor de Cisco-driver van PrivateLAN is gebouwd en getest:

Voer eerst show version uit en stel vast welke van de drie u hebt: een aantal commando's hieronder verschilt per familie, en dat wordt telkens vermeld waar het uitmaakt.

Alles in deze gids voert u eenmalig in, op een switch met fabrieksinstellingen, vóórdat u hem aan PrivateLAN toevoegt. De configuratie van individuele switchpoorten hoort er niet bij: PrivateLAN programmeert accesspoorten zelf vanuit de apparaatgroep-templates, en alles wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw geprogrammeerd wordt.

Waarden in deze gids

Vervang deze door uw eigen waarden voordat u iets plakt. Dezelfde waarden worden in alle blokken hieronder consequent gebruikt, zodat u één scenario van begin tot eind kunt volgen.

De appliance accepteert syslog- en RADIUS-verkeer alleen op eth0, en alleen vanaf RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres bereikt die diensten niet, wat u op de switch zelf ook instelt.

1. Console-toegang en hostname

Sluit aan op de consolepoort met 9600 8N1, zonder flow control. Antwoord op een switch met fabrieksinstellingen no op de initiële configuratiedialoog, zodat u een gewone CLI krijgt.

enable
configure terminal
!
hostname SW-FLOOR1-01
ip domain-name example.local
no ip domain-lookup
!
line con 0
 exec-timeout 15 0
 logging synchronous
 login local
exit

no ip domain-lookup voorkomt dat de switch een verkeerd getypt commando via DNS probeert op te zoeken, wat de console anders seconden achtereen blokkeert. logging synchronous zorgt dat logmeldingen de regel die u aan het typen bent niet door elkaar gooien.

Laat de consolesnelheid op de standaard 9600 staan. PrivateLAN gebruikt de console nooit, en een afwijkende snelheid maakt herstel alleen maar lastiger.

2. Lokaal account, enable secret en privilegeniveau

Dit is de stap die het vaakst misgaat, dus lees de waarschuwing voordat u hem instelt.

username privatelan privilege 1 secret ExampleSwitchPassword
enable secret ExampleEnablePassword

Geef het PrivateLAN-account privilegeniveau 1, niet 15. De Cisco-driver van PrivateLAN voert direct na het inloggen altijd enable uit en wacht vervolgens op de prompt Password:. Een account dat al op privilege 15 zit, komt meteen weer op de #-prompt uit, de wachtwoordprompt verschijnt nooit, en de verbinding loopt af op een timeout — de switch lijkt onbereikbaar terwijl SSH zelf prima werkt. Privilege 1 plus een enable secret is bovendien de betere praktijk: met het inlogaccount alleen kan niemand iets.

Vul het accountwachtwoord in als wachtwoord van de switch in PrivateLAN, en het enable secret in het veld Enable password op dezelfde pagina.

Op images die dat ondersteunen, slaat u beide op als SHA-256 in plaats van de oudere MD5-hash:

username privatelan privilege 1 algorithm-type sha256 secret ExampleSwitchPassword
enable algorithm-type sha256 secret ExampleEnablePassword

Weigert de switch algorithm-type, dan is uw image daar te oud voor. Gebruik dan de gewone secret-vorm hierboven: dat is nog steeds een hash en nog steeds veilig om in de configuratie te laten staan.

Verwijder tot slot elk account dat de leverancier of een vorige eigenaar heeft achtergelaten:

no username admin
no username cisco

3. SSH

PrivateLAN maakt uitsluitend verbinding via SSH. Telnet wordt nooit gebruikt en hoort uit te blijven.

crypto key generate rsa modulus 2048
!
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3
!
line vty 0 15
 login local
 transport input ssh
 transport output none
 exec-timeout 10 0
exit

crypto key generate rsa vereist dat de hostname en de domeinnaam uit stap 1 al zijn ingesteld. Gebruik modulus 2048 als minimum; 4096 kan prima op de 9200, maar genereren duurt merkbaar lang op een C1000 of 2960.

U hoeft terminal length of length 0 niet op de vty-lijnen te zetten. De driver stuurt zelf terminal length 0 en terminal width 0 bij elke sessie, en herstelt bovendien als er toch een --More---prompt doorheen glipt.

4. SSH met een sleutel in plaats van een wachtwoord

Optioneel. PrivateLAN kan zich bij een switch authenticeren met een SSH private key in plaats van een wachtwoord: u plakt de private key op de pagina van de switch, en PrivateLAN toont u de bijbehorende publieke sleutel om hier te installeren.

Gebruik een RSA-sleutel voor Cisco. ip ssh pubkey-chain accepteert RSA-sleutels; ECDSA- en Ed25519-sleutels worden wel door PrivateLAN ondersteund, maar op de meeste images niet door dit onderdeel van de IOS SSH-server.

Neem de publieke sleutel die PrivateLAN na het opslaan toont, verwijder de voorloop ssh-rsa en het commentaar aan het eind, en plak wat overblijft — het Base64-blok — in regels van maximaal 254 tekens:

ip ssh pubkey-chain
 username privatelan
  key-string
   AAAAB3NzaC1yc2EAAAADAQABAAABgQC7vbqajDhA8mBOEDgHkC0PfP1a1QeR2xF9YbZ
   3n1sGQKz0Xp9Yc2MZgTn4rC1qJ8dLPzR6oVaHt5uW0eKxMbN7iAj2FyDsE3vXlUpQr
   ...
   exit
 exit
exit

Laat het lokale wachtwoord ook staan. Dat blijft op de console beschikbaar en is de enige weg terug als de sleutel ooit verdwijnt of het account buitengesloten raakt.

5. Management-VLAN en IP-adres

PrivateLAN bereikt de switch op dit adres, en dit is ook het adres dat u als RADIUS-client registreert.

vlan 10
 name MGMT
exit
!
interface Vlan10
 description Management
 ip address 192.168.10.21 255.255.255.0
 no shutdown
exit
!
ip default-gateway 192.168.10.1

ip default-gateway werkt alleen zolang ip routing uit staat. Zodra u routering inschakelt (zie paragraaf 13) negeert de switch dit en hebt u een echte default route nodig: ip route 0.0.0.0 0.0.0.0 192.168.10.1. Een switch die onbereikbaar wordt direct nadat routering is aangezet, is vrijwel altijd dit.

De uplink die het management-VLAN draagt, moet het VLAN toestaan:

interface GigabitEthernet1/0/48
 description UPLINK
 switchport mode trunk
 switchport trunk allowed vlan 10,20
exit

Houd het management-VLAN buiten elke VLAN-set die PrivateLAN op deze switch programmeert, tenzij u het daar bewust wilt beheren. Wanneer PrivateLAN een VLAN uit een switchgroep verwijdert, voert het no vlan <id> uit op elke switch in die groep — inclusief, als u het zo hebt ingericht, het VLAN waarover de beheersessie zelf loopt.

Meer dan 1005 VLAN's: de extended range

Cisco verdeelt VLAN-id's in twee reeksen, en de tweede is pas bruikbaar nadat u hem hebt vrijgegeven:

Een switch met fabrieksinstellingen staat in VTP server mode, versie 1, en in VTP versie 1 en 2 weigert een server of client een extended-range VLAN überhaupt aan te maken. Op een switch waar u niets aan hebt gewijzigd, mislukt vlan 2000 dus. Zet VTP op transparent mode voordat u PrivateLAN iets boven 1005 laat programmeren:

vtp mode transparent

Dit faalt stilzwijgend via PrivateLAN. De appliance programmeert een VLAN met vlan <id>, en de driver kan een weigering niet van een normale prompt onderscheiden. Op een switch die nog in VTP server mode staat, wordt elk VLAN boven 1005 geweigerd terwijl de programmeeractie succes meldt — het VLAN bestaat in PrivateLAN en niet op de switch. Reports > Configuration compliance is waar dat zichtbaar wordt.

Transparent mode is hier hoe dan ook de juiste keuze, ongeacht hoeveel VLAN's u hebt. PrivateLAN programmeert elke switch in een switchgroep afzonderlijk via SSH, dus VTP-propagatie is op zijn best overbodig; in het slechtste geval overschrijft een VTP-server elders in het netwerk de VLAN-database die PrivateLAN net heeft weggeschreven. VTP versie 3 staat extended-range VLAN's ook in server mode toe, maar lost een probleem op dat PrivateLAN niet heeft.

Sla na het inschakelen van transparent mode op. Extended-range VLAN's staan in de running config en niet in vlan.dat, dus zonder write memory zijn ze na een herstart verdwenen:

end
write memory

Het vrijgeven van de reeks verhoogt de platformlimiet niet. Dat is een apart getal, en vaak lager dan 4094:

De C9200L is de goedkopere en veel vaker bestelde helft van de 9200-reeks, en die zit vast op 1024 VLAN-id's — geen enkele VTP-instelling verandert daar iets aan. Hebt u meer dan duizend VLAN's nodig, dan is het model bepalender dan de configuratie.

De universele controle, op elk model in deze gids, is show vtp status. Dat toont zowel de VTP-modus als de regel "Maximum VLANs supported locally", en dat is het werkelijke plafond voor deze switch en dit image.

6. Wachtwoorden afschermen in de running config

Drie afzonderlijke mechanismen, waarvan alleen het laatste echt iets beschermt:

service password-encryption

Dit zet wachtwoorden in platte tekst om naar type 7-strings. Type 7 is obfuscatie, geen versleuteling: het is triviaal omkeerbaar en mag nooit als geheim worden beschouwd. Zet het toch aan, zodat er niets leesbaar in staat, maar vertrouw er niet op.

enable secret en username ... secret (paragraaf 2) slaan een eenrichtingshash op en zijn wel echt veilig. Gebruik secret, nooit password, voor alles wat een persoon of systeem authenticeert.

Het gedeelde RADIUS-geheim is het interessante geval, omdat de switch het leesbaar moet houden en het anders type 7 zou zijn. Op images die AES-wachtwoordversleuteling ondersteunen, slaat u het op als type 6:

key config-key password-encrypt ExampleMasterKey
password encryption aes

De master key wordt niet in de configuratie opgeslagen en is niet terug te halen. Raakt u hem kwijt, dan moet elk type 6-geheim op de switch opnieuw worden ingevoerd. Leg hem vast waar u de rest van uw infrastructuurgegevens bewaart voordat u verdergaat.

Type 6 is beschikbaar op IOS-XE en op latere 15.x-images. Wordt password encryption aes geweigerd, laat dan service password-encryption aan staan en accepteer dat de RADIUS-sleutel type 7 is. Het gedeelde geheim is niet meer waard dan het beheernetwerk waarvandaan het te lezen is, en dat is precies het argument om paragraaf 15 goed dicht te zetten.

Wanneer een switchconfiguratie de appliance verlaat — bijvoorbeeld via een QR Support-rapport — verwijdert PrivateLAN de regels radius-server key, snmp-server community en key 7 voordat het rapport wordt gecodeerd. Die gaan dus nooit mee, ongeacht hoe ze hier zijn opgeslagen.

7. Tijd en tijdzone

Logtijdstempels sluiten alleen aan op die van de appliance als beide het over de tijd eens zijn.

clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
!
ntp server nl.pool.ntp.org
!
service timestamps log datetime msec localtime show-timezone
service timestamps debug datetime msec localtime show-timezone

Wijs de switch naar dezelfde tijdserver die de appliance gebruikt, niet naar de appliance zelf. De PrivateLAN-appliance is een NTP-client; hij draait geen NTP-server. Welke server hij gebruikt, ziet u onder System > Networking. Een switch die naar de appliance wijst, synchroniseert stilzwijgend nooit.

De pagina Reports > Configuration compliance van PrivateLAN controleert deze regel en accepteert zowel de adressen van de appliance zelf als de tijdserver waarmee de appliance is ingesteld — een correct geconfigureerde switch komt dus als match naar voren.

Gebruikt u hier een hostname in plaats van een IP-adres, dan heeft de switch een naamserver nodig:

ip name-server 192.168.10.1
ip domain-lookup

Daarmee zet u de DNS-lookups uit paragraaf 1 weer aan, dus doe dat alleen als u namen echt nodig hebt.

8. Syslog naar de appliance sturen

logging host 192.168.10.5
logging trap informational
logging source-interface Vlan10
logging buffered 32768 informational
no logging console

logging source-interface is belangrijk: zonder die regel verstuurt de switch mogelijk vanaf de interface die de route toevallig kiest, en toont de syslogweergave van de appliance een adres dat u niet herkent. no logging console voorkomt dat logmeldingen een consolesessie overspoelen; ze blijven gewoon in de buffer staan en gaan nog steeds naar de appliance.

De appliance beperkt de syslogsnelheid per verzendend apparaat: meer dan ongeveer 200 UDP-berichten per seconde vanaf één bron worden verworpen, zodat een switch in een logloop de rest van het park niet kan overstemmen. Verschijnt een switch op de tegel voor syslog-floodbescherming op het dashboard, verlaag dan logging trap naar warnings in plaats van iets te verhogen.

Reports > Configuration compliance rapporteert deze regel als Logging host, en telt hem alleen als match wanneer hij naar deze appliance wijst.

9. RADIUS en 802.1x

Dit is wat MAB-, PEAP- en EAP-TLS-apparaten laat werken. De switch moet ook in PrivateLAN als RADIUS-client geregistreerd worden, onder 802.1x / RADIUS, met hetzelfde beheer-IP-adres en hetzelfde gedeelde geheim.

Voer aaa new-model en de bijbehorende loginregels in één keer in. aaa new-model verandert direct hoe de vty- en consolelijnen authenticeren. Voert u het los in, zonder de twee aaa authentication-regels hieronder, dan sluit u zichzelf buiten bij de volgende login. Plak het hele blok.

aaa new-model
aaa authentication login default local
aaa authentication enable default enable
!
radius server PRIVATELAN
 address ipv4 192.168.10.5 auth-port 1812 acct-port 1813
 timeout 5
 retransmit 3
 key ExampleSharedSecret
exit
!
aaa group server radius PRIVATELAN-GROUP
 server name PRIVATELAN
exit
!
aaa authentication dot1x default group PRIVATELAN-GROUP
aaa authorization network default group PRIVATELAN-GROUP
aaa accounting dot1x default start-stop group PRIVATELAN-GROUP
!
radius-server attribute 6 on-for-login-auth
radius-server attribute 8 include-in-access-req
radius-server attribute 25 access-request include
radius-server vsa send authentication
radius-server vsa send accounting
!
ip radius source-interface Vlan10
!
dot1x system-auth-control

aaa authorization network default group PRIVATELAN-GROUP is niet optioneel. PrivateLAN geeft het VLAN van het apparaat terug in het RADIUS-antwoord (Tunnel-Private-Group-ID), en zonder network authorization verwerpt de switch dat — het apparaat authenticeert dan wel, maar komt in het verkeerde VLAN terecht.

Op oudere 2960-images die het radius server-blok niet kennen, gebruikt u de vorm op één regel:

radius-server host 192.168.10.5 auth-port 1812 acct-port 1813 key ExampleSharedSecret
radius-server timeout 5
radius-server retransmit 3

MAC-adresnotatie voor MAB

PrivateLAN slaat de RADIUS-gebruikersnaam en het wachtwoord van een MAB-apparaat op als het MAC-adres in twaalf hexadecimale tekens in kleine letters, zonder scheidingstekens — 00155d5a6500. De RADIUS-server vergelijkt die string letterlijk, dus een switch die 0015.5D5A.6500 of 00-15-5D-5A-65-00 verstuurt, wordt geweigerd, ook al is het apparaat correct geregistreerd.

Cisco's standaard is twaalf tekens zonder scheidingstekens, maar het hoofdlettergebruik verschilt per image. Controleer wat er werkelijk binnenkomt onder 802.1x / RADIUS op de appliance: bij de recente authenticatiegebeurtenissen staat de gebruikersnaam die de switch heeft verstuurd. Komt die in hoofdletters binnen, forceer dan kleine letters:

mab request format attribute 1 groupsize 12 separator - lowercase

Welke keywords mab request format attribute 1 precies accepteert, verschilt per image — gebruik ? op uw switch om te zien welke er worden aangeboden.

Poortconfiguratie wordt door PrivateLAN gezet

U configureert dot1x, mab of switchport port-security niet zelf op afzonderlijke poorten. PrivateLAN schrijft die weg wanneer het een apparaat op een poort programmeert, vanuit de templates onder Devices > Device groups. Een MAB-poort ziet er uiteindelijk zo uit:

interface GigabitEthernet1/0/12
 description PRINTER-01
 switchport access vlan 20
 switchport mode access
 switchport nonegotiate
 authentication port-control auto
 dot1x pae authenticator
 authentication event fail action next-method
 authentication event no-response action authorize vlan 20
 authentication host-mode single-host
 mab
 no cdp enable
 no keepalive
 no lldp transmit
 spanning-tree bpdufilter enable
 spanning-tree portfast

Alleen Catalyst 9200. Die templates gebruiken de klassieke authentication ...-syntax. IOS-XE kent daarnaast de nieuwere IBNS 2.0-syntax met access-session, en een switch die definitief is omgezet met authentication convert-to new-style weigert elk van bovenstaande regels. Die weigering is tijdens het programmeren niet zichtbaar, dus de poort authenticeert simpelweg nooit iets. Is uw switch omgezet, bouw de templates dan opnieuw op in de nieuwe syntax of begin met een switch die niet is omgezet. authentication display legacy herstelt de weergavemodus op een switch die nog niet definitief is omgezet.

Nadat een apparaat is geprogrammeerd, toont Reports > Configuration compliance wat PrivateLAN bedoelde tegenover wat er werkelijk op de switch staat. Dat rapport is de betrouwbare manier om een geweigerd commando te ontdekken, omdat de switch zo'n weigering via SSH niet terugmeldt in een vorm die de driver van een normale prompt kan onderscheiden.

10. De NOIPV6 access list

De meegeleverde EAP-TLS- en PEAP-templates van PrivateLAN passen een IPv6 access list met de naam NOIPV6 toe op de poort. Die lijst wordt niet door PrivateLAN aangemaakt — hij moet op de switch bestaan, anders wordt de regel geweigerd en blijft de poort zonder de bescherming die bedoeld was.

ipv6 access-list NOIPV6
 deny ipv6 any any
exit

De expliciete deny ipv6 any any overschrijft ook de impliciete neighbor-discovery-permits van IOS, en dat is de bedoeling: de lijst bestaat om IPv6 volledig van een poort te weren.

Op Catalyst 2960-platformen vereist een IPv6 access list eerst een templatewijziging en een herstart voordat hij überhaupt toegepast kan worden: sdm prefer dual-ipv4-and-ipv6 default, dan reload. Op LAN Lite-images zijn IPv6 access lists helemaal niet beschikbaar. Kan uw switch dit niet, verwijder dan de regel ipv6 traffic-filter NOIPV6 in uit de EAP-TLS- en PEAP-templates onder Devices > Device groups, in plaats van een regel in de template te laten staan die op elke poort stilzwijgend faalt.

11. Spanning tree

spanning-tree mode rapid-pvst
spanning-tree extend system-id
spanning-tree loopguard default
!
errdisable recovery cause bpduguard
errdisable recovery cause link-flap
errdisable recovery interval 300

Bepaal de root bridge bewust, op de switch die root hoort te zijn — niet op allemaal:

spanning-tree vlan 1-4094 priority 24576

spanning-tree portfast bpduguard default is de gebruikelijke aanbeveling voor accessswitches, en staat bewust niet in het blok hierboven. De poorttemplates van PrivateLAN zetten per poort spanning-tree bpdufilter enable, en BPDU-filtering op interfaceniveau zorgt dat de poort geen BPDU's meer verstuurt én binnenkomende BPDU's negeert — waardoor BPDU guard op die poort nooit kan afgaan. Kies er één: houd de templates zoals geleverd en vertrouw op filtering, of verwijder spanning-tree bpdufilter enable uit de templates onder Devices > Device groups en zet hier globaal spanning-tree portfast bpduguard default aan. Doet u allebei, dan hebt u de bescherming die u als tweede hebt ingesteld en de indruk dat u de andere ook hebt.

12. LLDP en CDP

lldp run
lldp timer 30
lldp holdtime 120

lldp run is vereist. PrivateLAN leest per interface show lldp neighbors uit om de LLDP-buurkolom op het interfaceoverzicht te vullen, en zonder globale activering blijft die kolom op elke poort leeg.

De poorttemplates zetten no lldp transmit op apparaatpoorten, zodat de switch nog steeds leert wat er is aangesloten maar zichzelf niet aankondigt bij eindapparaten. Uplinks en trunks blijven gewoon verzenden.

CDP kan aan blijven staan voor uplinks tussen Cisco-apparatuur; de templates schakelen het per apparaatpoort uit met no cdp enable. Hebt u helemaal geen Cisco-buren, dan is no cdp run één ding minder dat de identiteit van de switch uitzendt.

13. Layer 3 — routering, SVI's, VRRP en HSRP

De VLAN-routingmodus van PrivateLAN is een instelling voor de hele appliance, onder VLANs, met drie opties:

PrivateLAN schrijft dat allemaal zelf weg wanneer u een VLAN programmeert — inclusief ip routing, no ip redirects, no ip unreachables en no proxy-arp op elke routed SVI. Waar u hier alleen voor moet zorgen, is dat het platform het kan:

Catalyst 9000-serie: Network Essentials of Network Advantage

Elke Catalyst 9000-switch wordt geleverd met een van twee eeuwigdurende licentietiers, en die scheidslijn loopt dwars door wat PrivateLAN aanbiedt. Dit is niet specifiek voor de 9200: hetzelfde tweetrapsmodel geldt voor de hele familie (9200, 9300, 9400, 9500, 9600), waarbij de -E-artikelnummers Network Essentials zijn en de -A-artikelnummers Network Advantage. Op de 9200 worden zowel de modulaire C9200 als de vaste C9200L in beide tiers verkocht.

Kies op Network Essentials voor VRRP — HSRP is niet beschikbaar. De routingmodus van PrivateLAN is één instelling voor de hele appliance, niet per switch, dus één Network Essentials-switch ergens in het park bepaalt de keuze voor alles. Kiest u in die situatie toch HSRP, dan volgt er geen duidelijke foutmelding: de switch weigert de standby-commando's, en de driver kan een weigering niet van een normale prompt onderscheiden, waardoor het VLAN met een SVI en zonder gateway wordt geprogrammeerd. VRRP is op beide tiers beschikbaar, is leveranciersonafhankelijk, en is waar PrivateLAN standaard op staat.

De regels voor VRRP en HSRP hierboven gelden voor de hele Catalyst 9000-familie, en dat is het deel dat uw PrivateLAN-routingmodus bepaalt. Wat Network Advantage daarbovenop biedt, groeit naarmate u hoger in de familie komt: een 9300 krijgt er bijvoorbeeld ook BGP, PIM-BIDIR, MPLS en stateful switchover bij, die de 9200 in geen van beide tiers ondersteunt — de 9200 draait helemaal geen BGP, wat de licentie ook zegt.

Controleer welke tier een switch heeft met show license summary op IOS-XE 17.x, of met show version op 16.x. Bovenstaande tabel volgt Table 10, "Network Essentials and Advantage Package Features", uit Cisco's eigen datasheet van de Catalyst 9200-serie, gecontroleerd tegen de overeenkomstige tabel in de datasheet van de 9300. Er circuleren veel samenvattingen daarvan uit de tweede hand en een aantal daarvan klopt niet, dus raadpleeg de datasheet van uw eigen model in plaats van een blog als u zekerheid nodig hebt voor een aanschaf.

Configureer fhrp version vrrp v3 niet op een 9200 die u met PrivateLAN beheert. VRRPv3 staat standaard uit, en PrivateLAN programmeert de klassieke VRRPv2-interfacesyntax (vrrp <group> ip <address>). De twee sluiten elkaar uit: zodra VRRPv3 aan staat, is VRRPv2 niet meer beschikbaar en wordt elke VRRP-regel die PrivateLAN schrijft geweigerd — stilzwijgend, om dezelfde reden als hierboven. Laat de standaardinstelling staan en VRRP werkt meteen.

Op een 2960-X die moet routeren:

sdm prefer lanbase-routing
end
write memory
reload

Na de herstart:

configure terminal
 ip routing
 ip route 0.0.0.0 0.0.0.0 192.168.10.1
end

Laat op een switch met alleen layer 2 ip routing uit staan, houd ip default-gateway aan, zet de routingmodus van de appliance op SVI, en laat uw coreswitch of router de routering tussen VLAN's doen. De management-SVI uit paragraaf 5 werkt op elke familie — een beheer-IP-adres is geen routering.

14. Transceivers van derden

Cisco-switches schakelen een SFP uit die ze niet herkennen. Gebruikt u optiek van derden of gekleurde optiek:

service unsupported-transceiver
no errdisable detect cause gbic-invalid

service unsupported-transceiver is een verborgen commando: het verschijnt niet bij ? en de switch antwoordt met een garantiewaarschuwing wanneer u het invoert. Het wordt wel geaccepteerd. Sla de configuratie daarna op; op sommige platformen komt de transceiver pas op nadat de poort is uit- en aangezet of de switch is herstart.

end
write memory

15. De webinterface en ongebruikte diensten uitzetten

PrivateLAN beheert de switch volledig via SSH. Verder hoeft er niets bereikbaar te zijn.

no ip http server
no ip http secure-server
!
no ip bootp server
no service pad
no service config
no ip source-route

Schakel op Catalyst 1000 en 2960 ook Smart Install uit. Die luistert standaard op TCP 4786, vereist geen authenticatie, en is de meest misbruikte dienst op deze hardware:

no vstack

Controleer met show vstack config — de client hoort uitgeschakeld te zijn. Het commando bestaat niet op de Catalyst 9200, die geen Smart Install-client heeft.

Gebruikt u SNMP voor iets anders in uw netwerk, geef het dan een v3-gebruiker in plaats van een community string. PrivateLAN zelf gebruikt geen SNMP en vereist hier niets.

16. Opslaan en registreren in PrivateLAN

end
write memory

Vervolgens, in de appliance:

• Switches > Add — hostname, beheer-IP-adres 192.168.10.21, SSH-poort 22, type Cisco-IOS, gebruikersnaam privatelan, het switchwachtwoord en het enable-wachtwoord. Kies de switchgroep en vul de interfacereeksen in.
• 802.1x / RADIUS > Clients — voeg dezelfde switch toe met IP-adres 192.168.10.21, het bijbehorende netmasker en het gedeelde geheim ExampleSharedSecret.
• Reports > Configuration compliance — draai dit zodra de eerste polling is afgerond, en controleer of de regels voor de logging host en de tijdserver beide als match terugkomen.

DHCP snooping (optioneel)

PrivateLAN leest de DHCP snooping-tabel van de switch uit om het adres te achterhalen van elk apparaat dat u met een Dynamic adres in plaats van een vast adres hebt geregistreerd, en om het adres te vinden van draadloze clients achter een accesspoint. Zonder snooping melden die apparaten simpelweg dat er geen adres bekend is — er stopt verder niets met werken, dus zet het alleen aan als u daar gebruik van maakt.

ip dhcp snooping
ip dhcp snooping vlan 10,20,30
no ip dhcp snooping information option
!
interface GigabitEthernet1/0/48
 description Uplink
 ip dhcp snooping trust

no ip dhcp snooping information option staat er bewust bij: option 82 wordt standaard toegevoegd, en veel DHCP-servers gooien een verzoek weg dat dit bevat terwijl het niet van een relay komt.

Twee dingen bepalen of dit überhaupt werkt:

• Elke poort richting uw DHCP-server moet trusted zijn. Dat is de uplink, en elke poort richting een andere switch onderweg naar de server. Een poort die untrusted blijft, gooit de antwoorden van de server weg en de apparaten erachter krijgen geen adres meer — stel de trusted poorten dus in dezelfde wijziging in als waarin u snooping aanzet, niet erna.
• Snooping moet aan staan op de VLAN's waar de apparaten in zitten. Een VLAN waarop het niet aan staat levert geen bindings op, dus die apparaten blijven melden dat er geen adres bekend is.

Controleer het resultaat op de switch zelf:

show ip dhcp snooping
show ip dhcp snooping binding

De binding-tabel overleeft een herstart van de switch niet, tenzij u de switch opdraagt hem op te slaan. Doet u dat niet, dan meldt PrivateLAN voor een dynamisch apparaat dat er geen adres bekend is totdat elke lease is vernieuwd:

ip dhcp snooping database flash:dhcp-snooping.db
ip dhcp snooping database write-delay 60

Volledig configuratievoorbeeld

Alles hierboven in één blok, voor een Catalyst 9200 als layer 2-accessswitch. Pas de in de gids gemarkeerde onderdelen aan voor een C1000 of 2960, en vervang elke waarde uit de tabel bovenaan.

configure terminal
!
hostname SW-FLOOR1-01
ip domain-name example.local
no ip domain-lookup
!
username privatelan privilege 1 secret ExampleSwitchPassword
enable secret ExampleEnablePassword
service password-encryption
!
crypto key generate rsa modulus 2048
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3
!
line con 0
 exec-timeout 15 0
 logging synchronous
 login local
exit
line vty 0 15
 login local
 transport input ssh
 transport output none
 exec-timeout 10 0
exit
!
vtp mode transparent
!
vlan 10
 name MGMT
exit
vlan 20
 name DATA
exit
!
interface Vlan10
 description Management
 ip address 192.168.10.21 255.255.255.0
 no shutdown
exit
ip default-gateway 192.168.10.1
!
interface GigabitEthernet1/0/48
 description UPLINK
 switchport mode trunk
 switchport trunk allowed vlan 10,20
exit
!
clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
ntp server nl.pool.ntp.org
service timestamps log datetime msec localtime show-timezone
service timestamps debug datetime msec localtime show-timezone
!
logging host 192.168.10.5
logging trap informational
logging source-interface Vlan10
logging buffered 32768 informational
no logging console
!
aaa new-model
aaa authentication login default local
aaa authentication enable default enable
!
radius server PRIVATELAN
 address ipv4 192.168.10.5 auth-port 1812 acct-port 1813
 timeout 5
 retransmit 3
 key ExampleSharedSecret
exit
aaa group server radius PRIVATELAN-GROUP
 server name PRIVATELAN
exit
aaa authentication dot1x default group PRIVATELAN-GROUP
aaa authorization network default group PRIVATELAN-GROUP
aaa accounting dot1x default start-stop group PRIVATELAN-GROUP
radius-server attribute 6 on-for-login-auth
radius-server attribute 8 include-in-access-req
radius-server attribute 25 access-request include
radius-server vsa send authentication
radius-server vsa send accounting
ip radius source-interface Vlan10
dot1x system-auth-control
!
ipv6 access-list NOIPV6
 deny ipv6 any any
exit
!
spanning-tree mode rapid-pvst
spanning-tree extend system-id
spanning-tree loopguard default
errdisable recovery cause bpduguard
errdisable recovery cause link-flap
errdisable recovery interval 300
!
lldp run
lldp timer 30
lldp holdtime 120
!
service unsupported-transceiver
no errdisable detect cause gbic-invalid
!
no ip http server
no ip http secure-server
no ip bootp server
no service pad
no service config
no ip source-route
!
end
write memory

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacelabels en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routingmodus kiezen
• Apparaten uitrollen — hoe poorten vanuit apparaatgroep-templates worden geprogrammeerd