STP BPDU Guard, Root Guard, Storm Control Security

Switch(config)#spanning-tree portfast default
включает portfast на всех access портах ( действует далеко не всегда так как прописано, применять осторожно, а лучше ручками везде прописывать на каждый интерфейс )

Switch(config)#spanning-tree portfast bpduguard default
включает BPDUguard где включен portfast (аналогично предыдущему лучше ручками каждый)


Switch# show spanning-tree summary
Switch# show spanning-tree summary totals
----------------------------------------------------------------------------

Switch(config-if)# spanning-tree guard root
разница между BPDU Guard и Guard root в том, что BPDU Guard  намертво прекращает обмен BPDU'шками  на порту, а Root Guard разрешает обмен BPDU пакетами до тех пор, пока устройство на том конце не пытается стать root bridge

Switch# show spanning-tree inconsistentports
-----------------------------------------------------------

Switch(config-if)#storm-control broadcast level 75.6
Switch(config-if)#storm-control multicast pps level 2k 1k
Switch(config-if)#storm-control action shutdown (or trap)

Switch# show storm-control
------------------------------------------------------------------------------

Debug ACL

R1#show access-lists TESTLIST
 
Extended IP access list TESTLIST
    10 permit tcp any any


R1#debug ip packet
применять осторожно

Time-based ACLs

Config:

R1(config)# time-range bill-access-time
R1(config-time-range)# periodic weekdays 11:00 to 12:00
R1(config-time-range)# periodic weekdays 15:00 to 16:00
R1(config-time-range)# exit

R1(config)# access-list 107 permit ip 192.168.1.0 0.0.0.255 any time-range
bill-access-time

R1(config)# access-list 107 deny ip any any
R1(config)# interface fa 0/1
R1(config-if)# ip access-group 107 in
R1(config-if)# exit

Reflexive ACLs

Configuration reflexive:

1)
R1(config)# ip access-list extended inout_ACL
R1(config-ext-nacl)# permit tcp any any eq 80 reflect webreflexACL
R1(config-ext-nacl)# permit udp any any eq 53 reflect dnsreflexACL timeout 10

2)
R1(config)# ip access-list extended outin_ACL
R1(config-ext-nacl)# evaluate webreflexACL
R1(config-ext-nacl)# evaluate dnsreflexACL
R1(config-ext-nacl)# deny ip any any

3)
R1(config)# interface fa0/0
R1(config-if)# ip access-group inout_ACL out
R1(config-if)# ip access-group outin_ACL in
 
В чём соль:
1) разрешаем доступ по 80(http) и 53(dns) портам доступ изнутри наружу и присваиваем имена для пункта 2
2) подсказываем, что нужно пропускать внутрь соединения, иницированных нашими acl's
3) накладываем правила на интерфейс

AAA configuration servers (конфигурация серверов) tacacs+ и radius

R1(config)#aaa new-model
 
R1(config)#tacacs-server host 192.168.0.101 single-connection
R1(config)#tacacs-server key tacacspasswordacceess
 
R1(config)#radius-server host 192.168.0.100
R1(config)#radius-server key radiuspasswordaccess
 
R1(config)#aaa authentication login default group tacacs+ group radius local-case


Commentary:
Авторизация будет происходить последовательно вначале по tacacs+, если он недоступен, то по radius, если radius недоступен, то локально.

   

AAA в концептах

Итак попробуем разложить ааа по полочкам в эпизодах:

Episode 1a
R1(config)#enable secret cisco
R1(config)#username admin secret admin
R1(config)#aaa new-model
R1(config)#aaa authentication login default local
R1(config)#aaa authentication login test1group enable
 
R1(config)#line vty 0 4
R1(config-line)#login authentication default

PC>telnet 192.168.0.1
Trying 192.168.0.1 ...Open


User Access Verification

Username: admin
Password:
R1>


Commentary:
R1(config)#aaa authentication login default local
Команда присваивает листу "default" -- вид авторизации "local"
в нашем случае:
R1(config)#username admin secret admin 
Что мы и видим при попытке законнектиться с PC -- он просит логин и пароль.


Episode 1b
R1(config)#enable secret cisco
R1(config)#username admin secret admin
R1(config)#aaa new-model
R1(config)#aaa authentication login default local
R1(config)#aaa authentication login test1group enable
 
R1(config)#line vty 0 4
R1(config-line)#login authentication test1group

PC>telnet 192.168.0.1
Trying 192.168.0.1 ...Open


User Access Verification

Password: 
R1>

Commentary:
R1(config)#aaa authentication login test1group enable
Команда присваивает листу "test1group" -- вид авторизации "enable"
в нашем случае:
R1(config)#enable secret cisco
Что мы и видим при попытке законнектиться с PC -- он просит уже не логин и пароль юзера, а только пароль аналогичный режиму enable.

AAA

Настройка AAA на CISCO 

Статья для информации. Честно стырено отсюда
http://www.wellit.ru/reference/20.html