Configuration de la qos pour la voip

Configuration automatique de la qos dédiée à la voip.
Les commandes suivantes ont été testées sur des switchs série 2950, 2960 et 3750.

Des commandes permettent de configurer la qualité de service automatiquement pour les ports d'accès (sur lesquels sont reliés les téléphones) et pour les ports d'uplink (liaison entre les switches).

Activation de la qos pour les switchs séries 3750 et 2960

Port d'accès:

3750(config)#int fastEthernet 0/1
3750(config-if)#auto qos voip cisco-phone
3750(config-if)#end


Affichage de la configuration du port (les commandes de qualité de service ont été ajoutées):

3750#sh run int fastEthernet 1/0/1
Building configuration...

Current configuration : 295 bytes
!
interface FastEthernet1/0/1
switchport access vlan 4
switchport mode access
switchport voice vlan 10
srr-queue bandwidth share 10 10 60 20
srr-queue bandwidth shape 10 0 0 0
mls qos trust device cisco-phone
mls qos trust cos
auto qos voip cisco-phone
spanning-tree portfast
end


Port de liaison, trunk ou uplink, switch série 2960 et 3750

3750(config)#int gi 0/1
3750(config-if)#auto qos voip trust
3750(config-if)#end


Activation de la qualité de service pour un port uplink série 6500

Activation générale

6500(config)#mls qos


Activation pour un port uplink (concerne la qos appliquée sur le niveau 2)
6500(config)#int gi 0/1
6500(config-if)#mls qos trust cos

Read More

Configuration du protocole ssh

Quel protocole choisir pour l'administration du switch, configuration du protocole ssh.
Les commandes suivantes ont été testées sur des switchs série 3750 et 2960.

Quel protocole d'administration à distance choisir?

En général, il y a le choix entre l'administration web sécurisée ou pas (protocole http ou https) et/ou l'administration en ligne de commande sécurisée ou pas (telnet ou ssh).
L'administration du switch en utilisant une interface web peut être pratique. Mais nous choisirons en priorité l'administration du switch en utilisant la ligne de commande pour les raisons suivantes:

• En cas de coupure réseau, il nous faudra intervenir directement sur le switch, donc autant être habitué à travailler en ligne de commande,
• L'interface web peut être moins stable que l'interface en ligne de commande (CLI),
• Les configurations avancées sont souvent disponibles uniquement au travers de la ligne de commande,
• Je vous laisse trouver d'autres arguments...

Pour avoir un compte rendu graphique des objets du switch, nous nous tournerons vers une solution de supervision du réseau qui allie les avantages de la ligne de commande à une présentation graphique des objets du réseau. En général, ces logiciels fonctionnent grace au protole SNMP.

Ainsi (revenons au sujet) les interfaces web seront désactivées.
Il nous reste à choisir entre telnet et ssh. Le second étant nettement plus sécurisé que le premier, il est préférable (quand cela est possible) d'activer uniquement ssh sur le switch.

Activation / désactivation des interfaces d'administration web

Les commandes suivantes active puis désactive l'administration web non sécurisée et sécurisée.

2960-RG(config)#ip http server
2960-RG(config)#ip http secure-server
2960-RG(config)#no ip http server
2960-RG(config)#no ip http secure-server


Configuration du protocole ssh pour le switch

• Vérification de la prise en compte du protocole ssh par l'IOS
Tout d'abord, il faut vérifier que l'IOS du switch supporte ssh. La mention k9 (crypto) doit figurer dans le nom de l'IOS.
La commande pour vérifier la version de l'IOS est:
2960-RG#show version
Cisco IOS Software, C2960 Software (C2960-LANBASEK9-M), Version 12.2(55)SE, RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2010 by Cisco Systems, Inc.
Compiled Sat 07-Aug-10 23:04 by prod_rel_team

• Configuration du nom d'hote et du nom de domaine.
Le nom du switch ainsi que le nom de domaine doivent avoir été configurés.

• Création de la clé
2960-RG(config)#crypto key generate rsa general-keys modulus 1024
The name for the keys will be: 2960-RG.mondomaine.fr
% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]

2960-RG(config)#
*Mar 1 00:42:43.625: %SSH-5-ENABLED: SSH 1.99 has been enabled

• Activation de ssh

2960-RG(config)#ip ssh version 2

• Options ajoutées au service ssh
- les évènements associés aux connexions ssh sont enregistrés.
- Un timeout de 60 secondes est ajouté pour les sessions ssh en cas d'inactivité .
- Nous laissons trois essais pour la connexion au switch.


clem(config)#ip ssh logging events
clem(config)#ip ssh time-out 60
clem(config)#ip ssh authentication-retries 3

• Configuration de l'authentification et ajout d'un compte administrateur
clem(config)#aaa new-model
clem(config)#aaa authentication login default local
clem(config)#username admin secret P@55w0rd

• Désactivation de telnet pour l'accès au switch
clem(config)#line vty 0 15
clem(config-line)#login local
clem(config-line)#transport input ssh

• Vérification de la configuration
2960-RG#show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 60 secs; Authentication retries: 3


SSH est maintenant activé. nous pouvons accéder au switch avec un client ssh (par exemple putty pour windows).

Suppression de ssh

La suppression de la clé entraine la désactivation de ssh.

2960-RG(config)#crypto key zeroize rsa
% All RSA keys will be removed.
% All router certs issued using these keys will also be removed.
Do you really want to remove these keys? [yes/no]: yes
2960-RG(config)#


Vérification:

2960-RG#sh ip ssh
SSH Disabled - version 2.0
%Please create RSA keys to enable SSH (of atleast 768 bits size) to enable SSH v2.
Authentication timeout: 60 secs; Authentication retries: 3


Filtrer les connexions ssh avec une liste de contrôle d'accès

La liste de contrôle d'accès va nous permettre de filtrer l'accès ssh en utilisant l'adresse IP source.
Dans la commande suivante, la liste de controle d’accès a le numéro 10 et le réseau autorisé à se connecter en ssh est 192.168.100.0/24.

Switch(config)#access-list 10 permit 192.168.100.0 0.0.0.255


Ensuite, on autorise la connection exclusive de ce réseau sur les terminaux virtuel avec la commande access-class:

Switch(config)#line vty 0 15
Switch(config-line)#access-class 10 in
Switch(config-line)#

Read More

Commande de diagnostique sur des routeurs Cisco

Ces commandes permettent d'afficher les voisins, d'afficher différentes statistiques, de faire un ping vers une interface ou encore de vérifier l'état des processus.

Activer/désactiver les notifications (par défaut en mode console)

R2#terminal monitor
R2#
R2#terminal no monitor
R2#


Comment afficher les voisins?

Il peut être utile d'afficher les voisins (en général d'autre routeur relié). Cisco utilise le protocole CDP (cisco discovery protocol) pour afficher les informations sur les voisins. Il faut donc pour que la commande fonctionne que le protocole cdp soit activé sur les routeurs.
La commande suivante active le protocole cdp puis affiche les voisins.

R2(config)#cdp run
R2(config)#exit
R2#show cdp neighbors
Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
S - Switch, H - Host, I - IGMP, r - Repeater

Device ID Local Intrfce Holdtme Capability Platform Port ID
R1 Eth 1/0 125 R 7206VXR Eth 1/0
R2#


Il est aussi possible d'afficher les détails sur le voisin, notamment l'adresse IP et le modèle de ce dernier en filtrant sur un port ou sur le nom d'un voisin.

R2#show cdp neighbors ethernet 1/0 detail
-------------------------
Device ID: R1
Entry address(es):
IP address: 192.168.100.1
Platform: Cisco 7206VXR, Capabilities: Router
Interface: Ethernet1/0, Port ID (outgoing port): Ethernet1/0
Holdtime : 124 sec

Version :
Cisco IOS Software, 7200 Software (C7200-IPBASEK9-M), Version 12.4(22)T, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2008 by Cisco Systems, Inc.
Compiled Fri 10-Oct-08 10:10 by prod_rel_team

advertisement version: 2
Duplex: half

R2#
R2#
R2#
R2#show cdp entry R1
-------------------------
Device ID: R1
Entry address(es):
IP address: 192.168.100.1
Platform: Cisco 7206VXR, Capabilities: Router
Interface: Ethernet1/0, Port ID (outgoing port): Ethernet1/0
Holdtime : 173 sec


Pour des raisons de sécurité, certain préfère désactiver le protocole.

R1(config)#no cdp run
R1(config)#end
R1#
R1#sh cdp neighbors
% CDP is not enabled
R1#


Sans commentaire

R2#ping
Protocol [ip]:
Target IP address: 192.168.1.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.100.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
R2#


Affichage de l'inventaire du matériel

R1#show inventory
NAME: "Chassis", DESCR: "Cisco 7206VXR, 6-slot chassis"
PID: CISCO7206VXR , VID: , SN: 4279256517

NAME: "NPE400 0", DESCR: "Cisco 7200VXR Network Processing Engine NPE-400"
PID: NPE-400 , VID: , SN: 11111111

NAME: "module 0", DESCR: "I/O FastEthernet (TX-ISL)"
PID: C7200-IO-FE-MII/RJ45=, VID: , SN: 4294967295


Affichage de l'utilisation de la mémoire et du processeur

R1#show processes memory
Processor Pool Total: 150516196 Used: 23573320 Free: 126942876
I/O Pool Total: 16777216 Used: 2737120 Free: 14040096
Transient Pool Total: 16777216 Used: 21636 Free: 16755580

PID TTY Allocated Freed Holding Getbufs Retbufs Process
0 0 39544288 16210268 20763096 0 0 *Init*
0 0 12052 73028 12052 0 0 *Sched*
0 0 22660 317548 412 183104 183104 *Dead*
R1#
R1#
R1#show processes cpu
CPU utilization for five seconds: 1%/100%; one minute: 1%; five minutes: 1%
PID Runtime(ms) Invoked uSecs 5Sec 1Min 5Min TTY Process
1 12 64 187 0.00% 0.00% 0.00% 0 Chunk Manager
2 0 240 0 0.00% 0.00% 0.00% 0 Load Meter
3 5280 445 11865 0.23% 0.25% 0.22% 0 Exec
4 0 1 0 0.00% 0.00% 0.00% 0 EDDRI_MAIN
5 800 145 5517 0.00% 0.06% 0.05% 0 Check heaps
6 0 1 0 0.00% 0.00% 0.00% 0 Pool Manager
7 0 2 0 0.00% 0.00% 0.00% 0 Timers


Affichage de l'état des interfaces

R1#show interfaces
FastEthernet0/0 is down, line protocol is down
Hardware is DEC21140, address is ca03.0bc0.0000 (bia ca03.0bc0.0000)
MTU 1500 bytes, BW 100000 Kbit/sec, DLY 100 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation ARPA, loopback not set
Keepalive set (10 sec)
Half-duplex, 100Mb/s, 100BaseTX/FX


Il est possible d'afficher l'état d'une interface en particulier en faisant suivre la commande du numéro de l'interface (R1#show interfaces ethernet 1/0).

Affichage des statistiques pour les interfaces

R1#show interfaces stats
FastEthernet0/0
Switching path Pkts In Chars In Pkts Out Chars Out
Processor 0 0 0 0
Route cache 0 0 0 0
Total 0 0 0 0
Ethernet1/0
Switching path Pkts In Chars In Pkts Out Chars Out
Processor 39 9346 165 17188
Route cache 0 0 0 0
Total 39 9346 165 17188


Mise à zéro des compteurs pour les interfaces

R1#clear counters
Clear "show interface" counters on all interfaces [confirm]
R1#


Affichage de la température et de l'état des alimentations électriques

R1#show environment all
Power Supplies:
Power Supply 1 is AC Power Supply. Unit is on.
Power Supply 2 is AC Power Supply. Unit is on.

Temperature readings:
I/O Cont Inlet measured at 22C/71F
I/O Cont Outlet measured at 22C/71F
NPE Inlet measured at 22C/71F
NPE Outlet measured at 22C/71F


Fourniture d'un rapport complet sur le routeur (ça peut être long ...)

R1#show tech-support

Affichage des statistiques IP

R1#sh ip traffic
IP statistics:
Rcvd: 14 total, 14 local destination
0 format errors, 0 checksum errors, 0 bad hop count
0 unknown protocol, 0 not a gateway
0 security failures, 0 bad options, 0 with options
Opts: 0 end, 0 nop, 0 basic security, 0 loose source route


Afficher les protocoles configurés

R1#show protocols
Global values:
Internet Protocol routing is enabled
FastEthernet0/0 is up, line protocol is up
Internet address is 192.168.0.1/24
Serial0/0 is administratively down, line protocol is down
FastEthernet0/1 is up, line protocol is up
Internet address is 192.168.100.1/24
Serial0/1 is administratively down, line protocol is down


Afficher l'état des protocoles de routage actif

R1#sh ip protocols
Routing Protocol is "ospf 100"
Outgoing update filter list for all interfaces is not set
Incoming update filter list for all interfaces is not set
Router ID 172.16.0.1
Number of areas in this router is 1. 1 normal 0 stub 0 nssa
Maximum path: 4
Routing for Networks:
10.0.0.0 0.0.0.255 area 0
10.0.3.0 0.0.0.255 area 0
Reference bandwidth unit is 100 mbps
Routing Information Sources:
Gateway Distance Last Update
172.16.0.2 110 00:04:42
172.16.0.3 110 00:04:42
Distance: (default is 110)



Read More

Configuration de l'accès aux services syslog, NTP et SNMP

Configuration de l'accès aux services syslog, NTP et SNMP.

Commande pour afficher les logs

routeur-cisco#show logging
Syslog logging: enabled (0 messages dropped, 0 messages rate-limited,
0 flushes, 0 overruns, xml disabled, filtering disabled)

No Active Message Discriminator.


Configuration du service syslog

Le pré-requis est d'avoir installé un serveur type syslog (adresse 192.168.0.123 dans l'exemple).

Configuration du niveau d'information demandé: dans l'exemple, on demande le maximum d'information.

routeur-cisco(config)#logging trap ?
<0-7> Logging severity level
alerts Immediate action needed (severity=1)
critical Critical conditions (severity=2)
debugging Debugging messages (severity=7)
emergencies System is unusable (severity=0)
errors Error conditions (severity=3)
informational Informational messages (severity=6)
notifications Normal but significant conditions (severity=5)
warnings Warning conditions (severity=4)


routeur-cisco(config)#logging trap debugging
routeur-cisco(config)#


Puis on configure l'étiquette associée à chaque message (ici local4),l'adresse IP du serveur syslog et on active.

routeur-cisco(config)#logging facility local4
routeur-cisco(config)#logging 192.168.0.123
routeur-cisco(config)#logging on
routeur-cisco(config)#


Configuration du service NTP

Synchronisons maintenant les informations horaires du switch à un serveur NTP (network time protocol).
Nous indiquons dans un premier temps l'adresse IP du serveur NTP, puis on configure le fuseau horaire ainsi que le moment de passer à l'heure d'été (dans l'exemple: pour la France).

routeur-cisco(config)#ntp server 192.168.0.124
routeur-cisco(config)#clock timezone cet 1
routeur-cisco(config)#clock summer-time cest recurring last Sun Mar 3:00 last Sun Oct 3:00


Quelques commandes de vérification: les associations avec le serveur ntp et l'affichage de la date et de l'heure courante:

routeur-cisco#show ntp associations

address ref clock st when poll reach delay offset disp
~192.168.0.124 .INIT. 16 - 64 0 0.000 0.000 15937.
* sys.peer, # selected, + candidate, - outlyer, x falseticker, ~ configured
routeur-cisco#
routeur-cisco#show clock
*22:39:31.771 cest Fri Jul 29 2011
routeur-cisco#show ntp status


Configuration du service SNMP

Voyons maintenant comment configurer l'accès du routeur à un serveur de supervision basé sur le protocole SNMP.

Nous configurons tout d'abord une liste d'accès pour autoriser uniquement la connexion du serveur de management SNMP, puis nous indiquons le nom de la communauté SNMP ainsi que les droits associés (lecture (ro) ou lecture/écriture (rw)).

routeur-cisco(config)#access-list 10 permit 192.168.1.2
routeur-cisco(config)#snmp-server community macomm ro 10
routeur-cisco(config)#exit
routeur-cisco#show snmp community




Read More