Что делает команда no shutdown
The documentation set for this product strives to use bias-free language. For the purposes of this documentation set, bias-free is defined as language that does not imply discrimination based on age, disability, gender, racial identity, ethnic identity, sexual orientation, socioeconomic status, and intersectionality. Exceptions may be present in the documentation due to language that is hardcoded in the user interfaces of the product software, language used based on RFP documentation, or language that is used by a referenced third-party product. Learn more about how Cisco is using Inclusive Language.
Results
Chapter: S Commands
S Commands
This chapter describes the Cisco NX-OS interface commands that begin with S.
shutdown
To shut down the local traffic on an interface, use the shutdown command. To return the interface to its default operational state, use the no form of this command.
no shutdown
Syntax Description
This command has no arguments or keywords.
Command Default
Command Modes
Interface configuration mode
Subinterface configuration mode
Virtual Ethernet interface configuration mode
Command History
This command was introduced.
Support for Layer 3 interfaces and subinterfaces was added.
Support for virtual Ethernet interface was added.
Usage Guidelines
You can use this command on the following interfaces:
- Layer 2 interface (Ethernet interface, EtherChannel interface, subinterface)
- Layer 3 interface
Note Use the no switchport command to configure an interface as a Layer 3 interface.
- Layer 3 subinterface
- Management interface
- Virtual Ethernet interface
Examples
This example shows how to shut down, or disable, a Layer 2 interface:
switch(config)# interface ethernet 1/10 switch( config-if )# shutdown switch( config-if )#
This example shows how to shut down a Layer 3 Ethernet subinterface:
switch(config)# interface ethernet 1/5.1 switch( config-subif )# shutdown switch( config-subif )#
This example shows how to shut down a virtual Ethernet interface:
switch(config)# interface vethernet 10 switch( config-if )# shutdown switch( config-if )#
Related Commands
no switchport
Converts an interface to a Layer 3 routed interface.
show interface ethernet
Displays the Ethernet interface configuration information.
show interface port-channel
Displays information on traffic about the specified EtherChannel interface.
show interface vethernet
Displays the virtual Ethernet interface configuration information.
speed (interface)
To configure the transmit and receive speed for an interface, use the speed command. To reset to the default speed, use the no form of this command.
Syntax Description
Sets the interface speed to 10 Mbps.
This speed is not supported on Cisco Nexus 5500 Series switches.
Sets the interface speed to 100 Mbps.
This speed is not supported on a management interface, Cisco Nexus 5500 Series switches, or the CU-96 CEM card.
Sets the interface speed to 1 Gbps.
For the Cisco Nexus 5596T switch, the base board ports support 1 Gbps.
Sets the interface speed to 10 Gbps. This is the default speed.
This speed is not supported on a management interface.
For the Cisco Nexus 5596T switch, the base board ports support 10 Gbps.
Specifies that the speed of the interface is auto negotiated.
For the Cisco Nexus 5596T switch, you can choose auto negotiation on the 10GBase-T ports.
Command Default
The default speed is 10000 (10-Gigabit).
Command Modes
Interface configuration mode
Command History
This command was introduced.
Interface speed of 100 Mbps and the auto keyword was introduced.
Usage Guidelines
The first 8 ports of a Cisco Nexus 5010 switch and the first 16 ports of a Cisco Nexus 5020 switch are switchable 1-Gigabit and 10-Gigabit ports. The default interface speed is 10-Gigabit. To configure these ports for 1-Gigabit Ethernet, insert a 1-Gigabit Ethernet SFP transceiver into the applicable port and then set its speed with the speed command.
The first 32 ports of a Cisco Nexus 5596T switch are switchable 1-Gigabit and 10-Gigabit ports. You can also configure them to auto-negotiate to either 1-Gigabit or 10-Gigabit. The last ports 33-48 are SFP+ ports and do not support auto negotiation.
Examples
This example shows how to set the speed for a 1-Gigabit Ethernet port:
switch# configure terminal switch(config)# interface ethernet 2/1 switch(config-if)# speed 1000
This example shows how to set the an interface port to automatically negotiate the speed:
switch# configure terminal switch(config)# interface ethernet 1/5 switch(config-if)# speed auto switch(config-if)#
Related Commands
show interface
Displays the interface configuration information.
system default switchport shutdown
To configure all Layer 2 switchports to be Layer 3 routed ports, use the system default switchport shutdown command. To reset to the default of all Layer 2 swithports, use the no form of this command.
system default switchport shutdown
no system default switchport shutdown
Syntax Description
This command has no arguments or keywords.
Command Default
The default is all ports configured as Layer 2 switchports.
Command Modes
Global configuration mode
Command History
This command was introduced.
Usage Guidelines
When the system default switchport shutdown command is issued, any switchports (including FEX HIFs) that are not configured with no shutdown command are shut down. To avoid the shutdown, configure the switchports with no shutdown command.
Examples
This example shows how to set all ports as Layer 3 routed ports:
switch# configure terminal switch(config)# system default switchport shutdown switch(config)#
This example shows how to reset all ports back to Layer 2 switchports:
switch# configure terminal switch(config)# system default switchport shutdown switch(config)#
CISCO: [No] Shutdown Command – Enable/Disable Interface
Below you will find the examples of how to bring up and down an interface on a CISCO switch or router.
On the CISCO command-line interface, there is the shutdown interface configuration command to disable an interface and the no shutdown command to enable it.
I will show the examples of these commands, as well as how to check an interface status using the show interfaces status command.
Cool Tip: There is nothing worse then trying to debug a network problem when the problematic interface is unlabeled! Always set the interface description! Read more →
“No Shutdown” Command – Enable Interface
To enable an interface FastEthernet 0/1 on a CISCO switch or router, run:
To display a status of the interface FastEthernet 0/1 , use the show interfaces FastEthernet 0/1 status command:
Cool Tip: Don’t let your CISCO device burn in torment! Check its temperature and the fan tray status! Read more →
“Shutdown” Command – Disable Interface
To disable an interface FastEthernet 0/1 on a CISCO switch or router, run:
To display a status of the interface FastEthernet 0/1 , use the show interfaces FastEthernet 0/1 status command:
Что делает команда no shutdown
Часто используемые команды для администрирования сетевого оборудования Cisco.
show version
Показывает наименование модели циски, версию IOS, название и местоположение двоичного образа загрузки IOS (обычно во flash: сжатый файл с названием cMMMM-D-EE.NNN-O.F.bin, где MNO цифры, DEF буквы), распределение и размер ОЗУ, размер NVRAM, размер flash, содержимое конфигурационного регистра.
show startup-config
Показывает содержимое конфигурации, которая применяется при загрузке. Можно скопировать эти данные в буфер обмена и сохранить в файл в качестве бэкапа конфигурации. Этот файл потом можно просто вставить (с небольшими оговорками) из буфера обмена в экран консоли, дать команду wr mem, и этим восстановить конфигурацию (многие программы, автоматически сохраняющие и обновляющие конфигурацию, применяют как раз такой метод).
copy startup-config running-config
Отменяет все сделанные (если были) изменения в конфигурации. То же самое произойдет, если выключить/включить питание (перезагрузить устройство).
copy running-config startup-config
Сохраняет в энергонезависимой памяти все изменения, сделанные в конфигурации. Полный аналог команды write или write memory.
write
Сохраняет в энергонезависимой памяти все изменения, сделанные в конфигурации. Полный аналог команды write memory или copy running-config startup-config.
show flash
Показывает размер, свободное место и содержимое (в виде списка) энергонезависимой памяти, которая работает с точно так же, как диск. На этом диске хранятся файлы, с которых записана IOS и конфигурация циски (startup-config и другие). Файлами можно манипулировать командами IOS.
terminal monitor
Переключает вывод debug-информации с консольного порта (RS232) на консоль, подключенную через сетевой интерфейс.
(no) service password-encryption
Команда, которая показывает пароли enable в конфиге в (открытом)закрытом виде
(no) logging console
Команда, которая (выключает)включает вывод сообщений системного журнала на консоль (RS232)
logging console <0-7>
Команда, включает вывод сообщений системного журнала на консоль (RS232) определённого уровня (0 меньше всего сообщ. — emergencies System is unusable, 7 — больше всего сообщений — Debugging messages)
logging buffered
Указание сохранять сообщения в ОЗУ для последующего ознакомления
show logging
Вывод сообщений из ОЗУ
show flash: all
Показывает статус flash — сколько занято, свободно, контрольные суммы, сколько банков и их параметры, тип микросхем памяти.
show interfaces
Одна из наиболее часто используемых команд, показывает количество, параметры, состояние интерфейсов и ещё много разной информации. См. “ Расшифровка вывода команды show interfaces ”.
show vlan
Показать существующие vlan и привязку к ним физических интерфейсов.
erase nvram
Очистка конфигурации (startup-config и другая информация), полный сброс энергонезависимой памяти.
configure <memory|network|overwrite-network|terminal>
Вход в один из разновидностей режима configure — изменение конфигурации. Наиболее часто используемый режим configure terminal (подключение как через консольный порт RS232, так и по сети через telnet или ssh).
end
Полный выход из режима configure. Тот же эффект дает Ctrl-Z.
exit
Шаг назад по дереву конфигурирования (например, выход из реж. конфигурирования одного из интерфейсов).
no vlan n
Удалить vlan n.
(no) shutdown
Административно (включить) выключить сетевой интерфейс.
show vtp status
Показать конфигурацию режима VTP.
vtp mode <server|client>
Включить требуемый режим работы VTP.
show debugging
Показать накопленную (в памяти) статистику отладки.
undebug all
Полностью выключить отладку.
traceroute aaa.bbb.ccc.ddd
Аналог tracert aaa.bbb.ccc.ddd — показать маршрут до указанного IP.
show process cpu
Показать статистику загрузки процессора (в том числе и каждой задачей).
show process cpu history
Показать статистику загрузки процессора с временнЫми графиками.
who
Показать сеансы администраторов, залогинившихся в терминал циски. Выводит примерно следующее:
Line User Host(s) Idle Location
* 98 vty 0 ciadmin idle 00:00:00 10.50.9.152
Interface User Mode Idle Peer Address
ssh -v 2 -l root a.b.c.d
Подсоединиться к Knopix по SSH версии 2.
no banner login
Удаляет из конфига все строки banner login (приветствие при логине).
show interfaces port-channel n
Показывает состояние канала портов под номером n, какие порты туда входят.
show ip eigrp neighbors
Показывает EIGRP-соседей, какими интерфейсами с ними контакт, номер EIGRP-процесса.
show ip eigrp interfaces
Показывает список интерфейсов, вовлеченных в EIGRP, номер EIGRP-процесса.
show ip eigrp traffic
show ip eigrp topology
Показывает статистику работы EIGRP, номер EIGRP-процесса.
snmp-server community <строка_пароль> [номер access-листа]
Команда вводится в режиме глобального конфигурирования. Настраивает доступ к внутреннему snmp-серверу для специального ПО (например, чтобы CiscoWorks Device Fault Manager мог собирать статистику о состоянии оборудования). Параметр <строка_пароль> представляет собой community-string, который используется для аутентификации при подключении. Если указать RW, то будет разрешен полный доступ (чтение и запись) в SNMP базу данных устройства (можно не только считывать состояние, но и менять параметры устройства), если RO, то доступ будет только на чтение. Номер access-листа позволяет отфильтровать нежелательные подключения.
setup
Команда setup привилегированного режима запускает мастера первоначальной настройки.
terminal history size n
Команда, меняющая количество запоминаемых ранее введенных команд (n max 256).
telnet IP-адрес
Команда позволяет подключиться к другой циске. <Ctrl+Shift+6> позволяет приостановить сеанс Telnet (не разрывая его) и вернуться к собственной командной строке устройства. Команда disconnect без параметров позволяет разорвать последнее приостановленное соединение, а resume без параметров возобновляет последнее приостановленное соединение.
show diag [номер слота]
Команда показывает подробную информацию о материнской плате устройства Cisco и/или об установленных в слоты адаптерах.
show environment
Команда на некоторых устройствах (чаще дорогих и продвинутых) показывает состояние вентиляторов и температуру устройства, иногда значение питающих напряжений.
show ip interface
Команда показывает подробную информацию об интерфейсах в контексте протокола IP.
show ip sockets
Команда показывает открытые порты и активные соединения устройства Cisco.
show ip traffic
Команда показывает подробную инфо по трафику протоколов IP (много всего, в том числе количество пакетов broadcast и multicast), ICMP, TCP, BGP, IP-EIGRP, PIMv2, IGMP, UDP, OSPF, ARP и об ошибках.
show line
Команда показывает инфо о линиях — интерфейсах специального типа, предназначенных для администрирования. Обычно это последовательная консоль (CTY, console 0 или линия 0), AUX (обычно линия 1) и консоли Telnet (например, VTY 0-181 или линии 18-199).
show line summary
Команда показывает быструю сводку о статистике использования всех линий.
show sessions
Команда показывает информацию приостановленных сессиях Telnet.
show snmp
Команда показывает статистику протокола SNMP (полезно при настройке и проверке работы протокола).
show tcp
Команда показывает подробную статистику о всех открытых соединениях с устройством Cisco
send *
Команда позволяет отсылать сообщение в консоль всех залогиненных пользователей на устройстве.
verify flash:имя_файла_IOS
Команда позволяет проверить целостность файла (проверяются контрольные суммы). Полезно выполнить после копирования IOS во флеш (например, при обновлении IOS-а).
clear ip nat translation *
Очистка таблицы NAT, обычно применяемая при смене правил NAT.
(config)# do команда
Очень полезная команда режима конфигурирования, которая позволяет вводить команды обычного режима (например, do show running-config). Правда, в команде do уже не работает автозавершение команды клавишей Tab и подсказка по вводу ?.
Network notes
Командную строку (CLI) можно поделить на 4 основных режима управления:
1) User executive (User EXEC) mode — Непривилегированный (пользовательский) режим
2) Privileged executive (Privileged EXEC) mode — Привилегированный режим
3) Global configuration mode — Режим глобальной конфигурации
4) Specific configuration mode (interface, router, line,…) — Специализированные режимы конфигурации
Уровни привилегий по умолчанию (Default privilege levels):
Для User EXEC — level 1 (user mode)
Для Privileged EXEC — level 15 (enable mode)
Непривилегированный (пользовательский) режим — User EXEC mode:
Переход в специализированные режимы конфигурации осуществляется из режима глобальной конфигурации, например:
1) Режим конфигурации интерфейса F0/0
2. Имя маршрутизатора
Имя маршрутизатора настраивается через команду «hostname», например:
3. Перезагрузка маршрутизатора
Стандартная перезагрузка маршрутизатора выполняется командой «reload»
Перезагрузка маршрутизатора через заданное время (в примере 1 минута):
R1#reload in ?
Delay before reload (mmm or hhh:mm)
Данная конфигурация начнет работать только после выполнения обычной перезагрузки маршрутизатора. Позволяет сэкономить время на перезагрузке маршрутизатора, т.к. загружает уже распакованный образ из RAM (без участия ROMMON).
Для выполнения warm reboot необходимо выполнить команду:
Пароль на привилегированный режим (пароль на enable mode):
1) Enable password (Пароль «class» хранится в открытом виде)
Если сконфигурированы оба типа паролей, enable secret всегда имеет преимущество!
3) Enable secret с опциями шифрования (начиная с IOS 15.3(3)M)
Внимание. Type 7 password служит только для защиты вашего пароля от чтения «на лету», он легко может быть расшифрован как с помощью специальных ресурсов в сети, так и средствами Cisco IOS через key-chain.
Пароль password 7 в текущей конфигурации:
«login» — Требовать проверку пароля при входе на маршрутизатор через консоль или удаленно по протоколу Telnet (VTY).
Для работы через SSH обязательно требуется имя пользователя и пароль, для этого необходимо завести локального пользователя на маршрутизаторе и в настройках VTY указать login local, после чего маршрутизатор начнет просматривать локальную базу данных и запрашивать имя пользователя при входе через SSH или Telnet (см. п.8)
Задать минимальную длину паролей при их конфигурации (в примере минимальная длина паролей будет составлять 8 символов):
Самый общий тип баннера, отображается при любом типе соединения к маршрутизатору, для всех пользователей
# — разделительный символ. Любой символ, который не должен встречаться в тексте сообщения
Проверка работы баннера при подключении к маршрутизатору через Console:
6. Конфигурация интерфейсов
Пример конфигурации IP-адреса на интерфейсе и описания(description):
«no shutdown» — активация интерфейса (по-умолчанию интерфейс на маршрутизаторе имеет статус shutdown — выключен)
Сбросить настройки на интерфейсе (вернуть конфигурацию по умолчанию):
Проверка конфигурации на интерфейсе:
«show ip interface brief»
«show interface description»
7. Конфигурация маршрутизатора
1) Сохранение текущей конфигурации в NVRAM (энергонезависимую память):
R1#copy running-config tftp://10.0.0.2
Address or name of remote host [10.0.0.2]?
Destination filename [r1-confg]?
!!
1356 bytes copied in 1.268 secs (1069 bytes/sec)
R1#copy tftp://10.0.0.2/r1-confg running-config
Destination filename [running-config]?
Accessing tftp://10.0.0.2/r1-confg…
Loading r1-confg from 10.0.0.2 (via FastEthernet0/0): !
[OK — 1500 bytes]
1500 bytes copied in 1.360 secs (1103 bytes/sec)
4) Копирование на FTP сервер:
Создание пользователя и пароля для FTP клиента IOS:
R1#copy running-config ftp://10.0.0.2
Address or name of remote host [10.0.0.2]?
Destination filename [r1-confg]?
Writing r1-confg !
1421 bytes copied in 2.464 secs (577 bytes/sec)
5) Использование Archive функционала
Функционал появился в IOS 12.3(4)T и позволяет управлять конфигурациями маршрутизатора, а также производить логирование (user accounting).
«path» — путь сохранения конфигурации (поддерживается tftp:/ftp:/http:/https:/scp:/flash:/)
«write-memory» — сохранять конфигурацию на при каждом выполнении команды write-memory
«time-period» — период автоматического сохранения конфигурации (каждые 1440 мин = 24 часа)
«maximum» — количество файлов конфигурации
«show archive» — просмотр сохраненных конфигураций
На самом деле IOS сравнивает конфигурацию с текущей и меняет только то, что отличается, чтобы избежать потенциальной неработоспособности при полной замене конфигурации (в отличие от «copy path: running-config»)
Сравнение сохраненной конфигурации и текущей можно выполнить самому:
«+» обозначает, что конфигурация присутствует в startup-config, но отсутствует в running-config
«—» обозначает, что конфигурация присутствует в running-config, но отсутствует в startup-config
(аналог show | compare на Juniper)
Так же с помощью этой команды можно сравнивать разные файлы конфигурации, указав путь к ним путь (например конфигурацию на TFTP сервере и на Flash).
Существуют дополнительные полезные опции для команды configure replace:
«force» — заменить конфигурацию без подтверждения
«time — время в минутах (от 1 до 120) в течение которого будет произведен откат к последней текущей конфигурации (после ввода команды происходит сохранение running-config в archive) если не введена команда configure confirm, подтверждающая замену текущей конфигурации на указанную администратором. Очень полезно использовать при удаленной настройке, чтобы обезопасить себя (вместо команды #reload in).
!Замена конфигурации на выбранную администратором происходит сразу!
«list» — вывести список команд, которые маршрутизатор применяет при замене конфигурации на выбранную
«configure revert
«configure confirm» — подтвердить замененную конфигурацию (отката не произойдет)
Имеется удаленный доступ к маршрутизатору по SSH, который находится очень далеко. Мы не уверены в настройках, которые хотим на нем изменить, можно использовать archive для «безопасной настройки»:
1) Заходим на маршрутизатор и сохраняем конфигурацию. Конфигурация пишется в archive (если есть опция «write-memory»).
3) У нас есть 10 мин., чтобы безопасно что-либо настраивать удаленно, если все настроили, то необходимо прописать «configure confirm» для подтверждения настроек, если отвалились после неправильной настройки, то через 10 мин маршрутизатор возвратит последнюю рабочую конфигурацию и можно пробовать заново 🙂
Маршрутизатор предупредит за минуту до автоматического отката конфигурации:
R1#Rollback Confirmed Change: Rollback will begin in one minute. Enter «configure confirm» if you wish to keep what you’ve configured
%ARCHIVE_DIFF-5-ROLLBK_CNFMD_CHG_WARNING_ABSTIMER: System will rollback to config flash:-Feb—3-20-19-54.395-2 in one minute. Enter «configure confirm» if you wish to keep what you’ve configured
8. Защита IOS и конфигурации (IOS Resilient Configuration)
«secure boot-config» — сохраняет конфигурацию в flash, даже после «wr e», конфигурацию можно вытащить: «secure boot-config restore flash:restored_config».
Потом эту конфигурацию залить в running-config через команду «configure replace»
«secure boot-image» — IOS становится невидим на flash, IOS останется на флешке даже после форматирования (Осторожно! erase flash: полностью затрет флешку со всеми бекапами)
Отключить secure-image можно только из консоли маршрутизатора, не по SSH/Telnet!
9. Настройка Console/VTY; Local database маршрутизатора
1) Консоль (Console)
Синхронизация вывода debug и других служебных сообщений при выводе в консоль в консоль маршрутизатора (аналогично для VTY сессий):
Если по истечении 2 мин 30 сек в консоли не будет никакой активности, маршрутизатор сбросит соединение, необходимо будет вводить пароль на console заново, как при первом подключении.
«exec-timeout 0 0» — консольное/VTY соединение будет всегда активно.
2) VTY соединения (Telnet/SSH)
VTY — Virtual Terminal Line.
Для подключения к маршрутизатору по Telnet протоколу достаточно настроить пароль на enable (enable password или enable secret) и пароль на самой VTY (line vty).
По умолчанию при подключении к маршрутизатору через Telnet/SSH служебная информация и debug сообщения в консоль не выводятся.
Для вывода информации в удаленную консоль используется команда «terminal monitor»
Вывод в терминал работает только пока сессия активна, при повторном подключении необходимо включать «terminal monitor» заново.
По умолчанию все входящие соединения на маршрутизатор разрешены (transport input all)
Можно разрешить только SSH протокол в качестве входящего соединения на маршрутизатор (это рекомендуемая опция):
Можно разрешить входящие соединения только по Telnet (transport input telnet), либо комбинацию SSH+Telnet (transport input ssh telnet)
Команда «transport output» определяет по каким протоколам можно осуществлять исходящие соединения с данного маршрутизатора, в отличие от «transport input» данная команда доступна как для VTY, так и для Console.
Защита VTY от Brute-Force (необходима аутентификация с использованием имени пользователя), пример:
Инициатор соединения будет заблокирован на 60 сек, если в течение 30 сек будут 3 неудачные попытки входа. Работает как с Telnet, так и с SSH.
Отслеживание Telnet сессий (для предотвращения зависших соединений):
Выбор транспортного протокола, который Cisco IOS будет использовать по умолчанию в Console/VTY (по умолчанию используется Telnet — «default transport preferred»). Рекомендуемый вариант — «transport preferred none».
При ошибочном вводе команды в консоль, маршрутизатор попытается разрешить имя (т.к. ip domain lookup тоже включен по умолчанию), чтобы зайти на этот хост по Telnet. Естественно у него ничего не получится, но попытка разрешения имени занимает определенное время, что сильно мешает каждый раз, когда что-либо введено в консоль неправильно, что маршрутизатор не признает как свою команду.
R1#conft
Translating «conft»…domain server (255.255.255.255)
!
R1(config)#line console 0
R1(config)#transport preferred none
R1(config)#
R1#
R1#conft
^
% Invalid input detected at ‘^’ marker.
«transport preferred none» отключает поведение маршрутизатора по умолчанию, при котором он пытается разрешить все неправильно введенные команды (т.к. включен ip domain-lookup) и зайти на удаленный узел по Telnet (transport preferred telnet):
Настройка SSH:
Для настройки SSH на маршрутизаторе требуется:
— Уникальный hostname (отличный от Router)
— Доменное имя (требуется для генерации ключей)
— Пользователь в локальной базе данных (либо на сервере аутентификации/авторизации RADIUS, TACACS+)
— Сгенерированная пара RSA ключей
— Конфигурация VTY для использования локальной базы данных
— Принудительное задание версии SSH 2.0 (опционально)
— Конфигурация hostname рассматривается в разделе 2.
— Конфигурация доменного имени (в примере cisco.local):
«login local» — использовать local database маршрутизатора для аутентификации пользователей (данная команда применима и для Telnet).
Команда «login local» заменяет собой команду «login» и наоборот.
Конфигурация SSH версии 2.0 (Отключение совместимости с ранними версиями SSH):
По умолчанию работает SSH версии 1.99 — это значит используется SSHv2 и имеется обратная совместимость с SSHv1.5 (небезопасная версия протокола).
«show ip ssh» — посмотреть текущую версию и настройки SSH
Проверка работы SSH на локальном маршрутизаторе:
Максимальное время для входа на маршрутизатор по SSH (по умолчанию 120 сек). Если в течение 20 сек. не будет передачи данных к маршрутизатору, соединение будет сброшено.
Ограничение количества попыток (считаются неудачные попытки) входа по SSH:
При 3-ей неудачной попытке входа соединение будет сброшено.
9. Логирование
Типы лог сообщений и наиболее частые события, вызывающие эти сообщения:
0 Emergencies — System shutting down due to missing fan tray
1 Alerts — Temperature limit exceeded
2 Critical — Memory allocation failures
3 Errors — Interface Up/Down messages
4 Warnings — Configuration file written to server, via SNMP request
5 Notifications — Line protocol Up/Down
6 Information — Access-list violation logging
7 Debugging — Debug messages
Типы лог сообщений:
1) Console logging — отправлять лог сообщения в консоль
По умолчанию маршрутизатор отправляет все типы сообщений в консоль (level 7)
Отключить вывод сообщений в консоль:
524288 bytes — 512K. По умолчанию используется буфер размером 8192 bytes (зависит от платформы)
Так же по типу записываемых в буфер сообщений (в примере уровень 5 и ниже):
«show logging» — посмотреть логи на маршрутизаторе
Отправка сообщений на Syslog сервер (10.0.0.2 — IP адрес сервера):
Настройка формата лог сообщений:
1) Добавление порядковых номеров в лог сообщения
«localtime» — указывать время относительно настроенной временной зоны (по умолчанию относительно UTC)
«msec» — включать в лог миллисекунды
«show-timezone» — показывать временную зону в лог сообщениях
«year» — показывать год в лог сообщениях
datetime и uptime взаимоисключающие опции!
«hidekeys» — шифровать пароли в логах
«logging enable» — включить логирование конфига
«logging size 200» — длина очереди лог-сообщений (по умолчанию 100)
«notify syslog» — при внесении конфигурации отправлять syslog сообщения
Посмотреть лог сообщения (аккаунтинг): «show archive log config all»
Очистить логи: «clear archive log config»
Пример:
На маршрутизаторе R1 настроено логирование:
Смотрим логи на R1:
10. Настройка времени на маршрутизаторе и NTP
Посмотреть время на маршрутизаторе:
* — время не является точным (Time is not authoritative)
Конфигурация времени на маршрутизаторе (необходимо выставлять в UTC+0):
MSK — имя временной зоны
3 — положительное смещение относительно UTC в часах
Конфигурация NTP cервера (рекомендуется использовать):
«0.ru.pool.ntp.org» — адрес NTP сервера.
Можно конфигурировать несколько NTP серверов, которые будут выступать в качестве резервных, если основной станет недоступен.
Синхронизация времени в «календаре» с NTP (NTP по умолчанию синхронизирует только программные часы):
Просмотр конфигурации NTP:
«show ntp status»
«show ntp associations»
Настроить маршрутизатор в качестве NTP сервера:
Опционально можно указать stratum в конце команды (от 1 до 15).
11. Настройка имён(DNS)
Отключить разрешение имен в IP адреса (по умолчанию включено, если есть необходимость использовать маршрутизатор в качестве DNS, то эту опцию нужно оставить включенной):
Если в на маршрутизаторе необходимо использовать DNS, то лучше пользоваться настройкой «transport preferred none».
Добавить DNS сервер (в примере использован Google DNS):
Это позволяет маршрутизатору перенаправлять DNS запросы, если его указали в качестве DNS сервера (кеширующий DNS).
Задать соответствие Имя хоста — IP адрес (локальные DNS записи маршрутизатора):
R1#ping gw.local
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.1, timeout is 2 seconds:
.
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
R1#ping google.com
Translating «google.com»…domain server (8.8.8.8) [OK]
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 77.37.252.24, timeout is 2 seconds:
.
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/12 ms
Проверка работы DNS на ПК (маршрутизатор выступает в качестве DNS сервера):
12. Уровни привилегий пользователей
На маршрутизаторе возможно разграничить доступ к доступным командам (настройкам и просмотру информации) различным пользователям, т.е. создать уровень привилегий для каждого из них.
По умолчанию используются level 1 — User EXEC mode и level 15 — Privileged EXEC mode (enable mode).
При создании уровня с 2 по 14 пользователь сможет выполнять только команды по умолчанию, которые разрешены для 1-ого уровня, пока ему не будут назначены определенные права на исполнение команд.
Посмотреть текущий уровень привилегий:
Все уровни выше 10-ого автоматически смогут выполнять эти команды.
Необходимо создать пользователя с уровнем 10 и его пароль на enable (в данном примере пароль: «QwE123»):
Т.к. при создании пользователя указывается его уровень привилегий явно, то при входе этого пользователя на маршрутизатор он будет сразу попадать в свой уровень без ввода пароля на enable. Если при этом пользователь совершит выход из привилегированного режима в User EXEC mode, выполнив команду «disable», то при повторной попытке зайти в привилегированный режим необходимо будет выполнить команду «enable 10» и ввести соответствующий пользователю пароль на enable.
(При создании учетной записи администратора с максимальным уровнем привилегий — username admin privilege 15 secret cisco123, так же не нужно будет вводить пароль на enable каждый раз при входе, т.к. будем всегда попадать в Privileged EXEC mode).
Такой подход по назначению уровней привилегий является устаревшим и неудобным. Следующим этапом, позволяющим более точно и удобно настраивать права пользователей на маршрутизаторе, является Role Based Access Control (или просто Parser View).
13. Role-based CLI access (Parser view)
Для работы Parser View на маршрутизаторе необходимо, чтобы был включен AAA, для более старых версий IOS еще и enable secret для перехода в Root View
Основная идея в том, что сначала настраивается шаблон с правами — View, а потом этот шаблон присваивается пользователю. Т.е. можно сказать, что пользователю назначается определенная роль на маршрутизаторе (например для Helpdesk).
В относительно старых версиях IOS (до 15.2) все настройки Parser View необходимо было делать из так называемого Root View
R1#enable view
Password: (пароль от enable)
R1#
*Mar 1 00:13:34.447: %PARSER-6-VIEW_SWITCH: successfully set to view ‘root’.
Root View может выполнять все команды Privilege level 15, а также создавать View.
Пример создания и настройки Parser View:
View1:
Можно выполнять все show команды кроме show ip route, производить конфигурацию любых интерфейсов (кроме команды shutdown/no shutdown на интерфейсе), производить настройку протоколов маршрутизации (кроме EIGRP, для него почему-то надо добавлять команду отдельно) только используя правило network.
Можно выполнять все show команды, производить конфигурацию любых интерфейсов, только в этом view можно использовать команду shutdown/no shutdown на интерфейсе, можно использовать все команды протоколов маршрутизации.