EIGRP authentication md5

Зададим текущее время:
R3#clock set 00:00:00 1 Jan 2000
 
Заходим  на интерфейс, где необходимо сделать шифрование обновлений:

R3(config)#int fa0/1

Включаем аутентификацию:
R3(config-if)#ip authentication mode eigrp 7 md5 
*Mar  1 00:22:13.767: %DUAL-5-NBRCHANGE: IP-EIGRP(0) 7: Neighbor 10.10.10.25 (FastEthernet0/1) is down: authentication mode changed
 
Приписываем какую ключницу использовать:
R3(config-if)#ip authentication key-chain eigrp 7 firstkey

----------------------------------------------------------------------------------

Создаём ключницу, ключ, и прописываем время использования:
R3(config)#key chain firstkey
R3(config-keychain)#key 1
R3(config-keychain-key)#key-string keynumberone

R3(config-keychain-key)#accept-lifetime 00:00:20 1 jan 2000 infinite
R3(config-keychain-key)#send-lifetime 00:00:20 1 jan 2000 infinite

EIGRP show and debug

R1#show ip eigrp interfaces
R1#show ip eigrp neighbors
R1#show ip eigrp topology
R1#show ip eigrp traffic
R1#show ip route eigrp
R1#show ip protocols
R1#show ip route 

R1#debug eigrp packets

     

EIGRP Вычисление метрики

Начнём с основ: 
Если значения коэффициентов K1, K2, K3 
(K1=1, K2=0, K3=1, K4=0, K5=0) 
равны значениям по умолчанию, то формула вычисления метрики будет такой:
Metric = Bandwidth + Delay

----------------------------------------------------------------
Формула для вычисления значения bandwidth :

bandwidth = (10000000/bandwidth(i)) * 256

Где bandwidth(i) является наименьшей пропускной способностью (bandwidth) из всех исходящих интерфейсов по пути в сеть назначения представленная в килобитах.

-----------------------------------------------------------

Формула для вычисления значения delay:

delay = delay(i) * 256

Где delay(i) является суммой всех задержек (delays) сконфигурированных на исходящих интерфейсах по пути в сеть назначения в десятках микросекунд (microseconds). Задержка (delay) показываемая командой ip eigrp topology или show interface указана в микросекундах, соответственно это значение нужно поделить на 10 перед использованием в этой формуле.
Чтобы не долбать себе мозг десятками микросекунд, просто модифицируем формулу по моему вкусу

delay = delay(i) * 25,6

------------------------------------------------------------
Откуда брать данные для формулы?

R1#show interface e1/0
Ethernet1/0 is up, line protocol is up
  Hardware is AmdP2, address is cc02.15b0.0010 (bia cc02.15b0.0010)
  Internet address is 10.10.10.29/30
  MTU 1500 bytes, BW 10000 Kbit, DLY 1000 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
 R1#show interface fa0/0
FastEthernet0/0 is up, line protocol is up
  Hardware is AmdFE, address is cc02.15b0.0000 (bia cc02.15b0.0000)
  Internet address is 10.10.10.1/30
  MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
--------------------------------------------------------------
Теперь вычислим метрику для разных ситуаций

Для 10.10.10.4/30 ( R1-R4 )
bandwidth = ( 10 000 000 / 100 000 ) * 256 = 25 600
delay = ( 100 + 100 ) * 25,6 = 5 120
metric = 25 600 + 5 120 = 30 720

Для 10.10.10.8/30 ( R1-R4-R9 )
bandwidth = ( 10 000 000 / 100 000 ) * 256 = 25 600
delay = ( 100 + 100 + 100 ) * 25,6  7 680
metric = 25 600 + 7 680 = 33 280

------------------------------------------------------  
Теперь рассмотрим вычисление метрики до одной и той же подсети разными путями:
Для 10.10.10.24/30 (R1-R4-R9-R3)
bandwidth = ( 10 000 000 / 100 000 ) * 256 = 25 600
delay = ( 100 + 100 + 100 + 100) * 25,6 = 10 240
metric = 25 600 + 10 240 = 35 840

Для 10.10.10.24/30 (R1-R2-R3)
bandwidth = ( 10 000 000 / 10 000 ) * 256 = 256 000
delay = ( 1000 + 100 + 100 ) * 25,6 = 30 720
metric = 256 000 + 30 720 = 286 720

----------------------------------------------------------
Для 10.10.10.32 (R1-R2)
bandwidth = ( 10 000 000 / 10 000 ) * 256 = 256 000
delay = ( 1000 + 100 ) * 25,6 = 28 160
metric = 256 000 + 28 160 = 284 160

----------------------------------------------------------
А теперь просмотрим таблицу топологии роутера R1

R1#show ip eigrp topology
IP-EIGRP Topology Table for AS(7)/ID(10.10.10.29)

Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,
       r - reply Status, s - sia Status

P 10.10.10.8/30, 1 successors, FD is 33280
        via 10.10.10.2 (33280/30720), FastEthernet0/0
        via 10.10.10.30 (286720/30720), Ethernet1/0
P 10.10.10.0/30, 1 successors, FD is 28160
        via Connected, FastEthernet0/0
P 10.10.10.4/30, 1 successors, FD is 30720
        via 10.10.10.2 (30720/28160), FastEthernet0/0
P 10.10.10.24/30, 1 successors, FD is 35840
        via 10.10.10.2 (35840/33280), FastEthernet0/0
        via 10.10.10.30 (286720/30720), Ethernet1/0
P 10.10.10.28/30, 1 successors, FD is 281600
        via Connected, Ethernet1/0
P 10.10.10.16/30, 1 successors, FD is 40960
        via 10.10.10.2 (40960/38400), FastEthernet0/0
        via 10.10.10.30 (291840/35840), Ethernet1/0
P 10.10.10.20/30, 1 successors, FD is 38400
        via 10.10.10.2 (38400/35840), FastEthernet0/0
        via 10.10.10.30 (289280/33280), Ethernet1/0
P 10.10.10.32/30, 1 successors, FD is 284160
        via 10.10.10.30 (284160/28160), Ethernet1/0

EIGRP, AD, FD, Successor, Feasible Successor

Cisco ASA, Часть третья, SSH access outside

Настройка доступа SSH на outside интерфейсе
ASA Version 8.4(2)

 
1)  Задаём hostname
ciscoasa(config)# hostname ASA
 
2) Задаём домен
ASA(config)# domain test.local
 
3)  Создаём ключи
ASA(config)# show crypto key mypubkey

нет ключей? тогда создаём

ASA(config)# crypto key generate rsa
INFO: The name for the keys will be: <Default-RSA-Key>
Keypair generation process begin. Please wait...

проверяем


ASA(config)# sh crypto key mypubkey rsa
Key pair was generated at: 13:04:47 UTC Mar 23 2013
Key name: <Default-RSA-Key>
 Usage: General Purpose Key
 Modulus Size (bits): 1024
 Key Data:

  30819f30 0d06092a 864886f7 0d010101 05000381 8d003081 89028181 009c1f35
  bffb3a15 34b5f55c 0345031a adc09531 d705d905 78938f3d 92acc008 ae6303d8
  8f0b2ba4 84608ea7 b75aa564 5d1c8b01 73f3ef63 0378c391 54f9068c 5a533545
  0f368426 9efa3f8d 2b66774d b8e871e6 7ba58249 904c6ced e14fb790 04565ec0
  9ac943c0 c1ee7f01 52a592a7 c00ee8a3 5cd2fc16 8e826672 ba1ad813 63020301 0001


примечание
crypto key generate rsa label {имя пары} создание пары ключей
crypto key zeroize rsa label {имя пары} удаление пары ключей


4) Настраиваем интерфейс
ASA(config)# int g0
ASA(config-if)# ip address 209.88.95.104 255.255.254.0
ASA(config-if)# no shutdown
ASA(config-if)# nameif outside
INFO: Security level for "outside" set to 0 by default.
ASA(config-if)# exit
 
5) Разрешаем вход ssh
ASA(config)# ssh 209.88.94.81 255.255.255.255 outside
 
6) Задаём пароль локального админа
ASA(config)# username stim password stimpass privilege 15

7) Настраиваем авторизацию aaa

ASA(config)# aaa authentication ssh console LOCAL

Cisco ASA, часть вторая, NAT

Настройка стандартного NAT для стандартного офиса
(хотя это PAT чистой воды)
Cisco ASA IOS 8.4.2 

Config:
ASA(config)# object network my-inside-net
ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0
ASA(config-network-object)# nat (inside,outside) dynamic interface

Monitoring & Logs:
ASA# show nat
ASA# show nat pool
ASA# show running-config nat
ASA# show xlate

последняя команда пожалуй самая вкусная

Cisco ASA, Часть первая, ACL

Часть первая

Задача: 
пользователи  должны иметь доступ к серверу xp_http_ftp_cisco 
по порту 80 (web-сайт), 
21,20 (для ftp) 
и 10000 (для администрирования сервера ftp по web-интерфейсу);

Итак приступим:

1) Поднять интерфейсы, настроить ip-адреса и security-level
ciscoasa> en
Password:
ciscoasa# conf t
ciscoasa(config)# hostname asa1
 
asa1(config)# interface g2
asa1(config-if)# nameif inside
INFO: Security level for "inside" set to 100 by default.
asa1(config-if)# ip address 192.168.1.1 255.255.255.0
asa1(config-if)# no shutdown
asa1(config-if)# exit

asa1(config)# interface g1
asa1(config-if)# nameif DMZ
INFO: Security level for "DMZ" set to 0 by default.
asa1(config-if)# security-level 50
asa1(config-if)# ip address 10.10.10.1 255.255.255.0
asa1(config-if)# no shutdown
asa1(config-if)# exit

asa1(config)# interface g0
asa1(config-if)# nameif outside
INFO: Security level for "outside" set to 0 by default.
asa1(config-if)# ip address 3.3.3.1 255.255.255.0
asa1(config-if)# no shutdown
asa1(config-if)# exit
asa1(config)# wr
Building configuration...
Cryptochecksum: 4063acb7 c6982e66 0e0b787d a5a2c78f

2246 bytes copied in 1.290 secs (2246 bytes/sec)
[OK]

2) Добавим доступ с ASDM (опционально)
asa1(config)# username admin password cisco privilege 15
asa1(config)# http server enable
asa1(config)# http 192.168.1.0 255.255.255.0 inside
 ------------------------------------
Ставим TFTP сервер типа TFTPDWin и загружаем на флеш память ASA файл с asdm
---------------------------------------
asa1# copy tftp: flash:
Address or name of remote host []? 192.168.1.2
Source filename []? asdm-647.bin
Destination filename [asdm-647.bin]?
Accessing tftp://192.168.1.2/asdm-647.bin....!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!etc
Writing current ASDM file disk0:/asdm-647.bin!!!!!!!!!!!!!!etc
17902288 bytes copied in 129.60 secs (138777 bytes/sec)
-------------------------------------
asa1# sh flash:
--#--  --length--  -----date/time------  path
    5  4096        Mar 17 2013 14:03:36  log
   10  4096        Mar 17 2013 14:03:42  coredumpinfo
   11  59          Mar 17 2013 14:03:42  coredumpinfo/coredump.cfg
   90  196         Mar 17 2013 14:03:42  upgrade_startup_errors_201303171403.log
   15  4096        Mar 17 2013 18:36:04  boot
   16  6           Mar 18 2013 18:35:00  boot/grub.conf
   80  0           Mar 17 2013 18:47:18  nat_ident_migrate
   91  28672       Jan 01 1980 00:00:00  FSCK0000.REC
   92  4096        Jan 01 1980 00:00:00  FSCK0001.REC
   93  28672       Jan 01 1980 00:00:00  FSCK0002.REC
   94  4096        Jan 01 1980 00:00:00  FSCK0003.REC
   95  28672       Jan 01 1980 00:00:00  FSCK0004.REC
   96  4096        Jan 01 1980 00:00:00  FSCK0005.REC
   97  17902288    Mar 20 2013 09:29:34  asdm-647.bin

268136448 bytes total (249769984 bytes free)
asa1# wr
Building configuration...
Cryptochecksum: e7e2b9ec 35d191e6 92560981 c5bfc984

3247 bytes copied in 1.370 secs (3247 bytes/sec)
[OK]


3) Формируем access-list согласно нашей задаче
asa1(config)# access-list HTTP_FTP_10000_inside extended permit tcp 192.168.1.0 255.255.255.0 host 10.10.10.201 eq www
asa1(config)# access-list HTTP_FTP_10000_inside extended permit tcp 192.168.1.0 255.255.255.0 host 10.10.10.201 eq ftp
asa1(config)# access-list HTTP_FTP_10000_inside extended permit tcp 192.168.1.0 255.255.255.0 host 10.10.10.201 eq 10000 
asa1(config)# access-list HTTP_FTP_10000_inside extended permit tcp 192.168.1.0 255.255.255.0 host 10.10.10.201 eq www 
asa1(config)# access-list HTTP_FTP_10000_inside extended permit icmp 192.168.1.0 255.255.255.0 any

4) Применяем созданный access-list  на inside интерфейс
asa1(config)# access-group HTTP_FTP_10000_inside in interface inside

5) Настраиваем service-policy аля ip inspect

 
asa1(config)# policy-map global_policy
определяем название map
asa1(config-pmap)# class-map inspection_default
определяем дефолтные настройки совпадения по трафику
asa1(config-cmap)# match default-inspection-traffic
asa1(config-cmap)# exit
------------------------------
теперь создаём класс inspection_default 
и доверяем ему инспектировать трафик
далее прописываем какой вид трафика он будет инспектировать
------------------------------
asa1(config)# policy-map global_policy
asa1(config-pmap)# class inspection_default
asa1(config-pmap-c)# inspect ftp
asa1(config-pmap-c)# inspect icmp
asa1(config-pmap-c)# exit
asa1(config-pmap)# exit
------------------------------
Дальше возможны варианты развития событий:

Либо вы применяете его на все интерфейсы
Что не есть хорошо, ибо схема на этом не заканчивается 
asa1(config)# service-policy global_policy global

Либо на один из интерфейсов, правильнее на inside
asa1(config)# service-policy global_policy interface inside

Результат смотреть так:
asa1(config)# show service-policy inspect ftp

P.S.
Однако тот же эффект будет и на DMZ
asa1(config)# service-policy global_policy interface DMZ



P.P.S. Написано с идеи этой статьи, однако она полностью устарела.


Справочные статьи: 
http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a0080b88904.shtml
http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00807ee585.shtml