Лечим The requested resource (/ccmadmin/showHome.do) is not available в CUCM

First thing I check is if my Services are running through the Unix CLI:
utils service list page
The added page command will allow you to scroll through by page or by line.
Then start what services I see are not running. It usually comes down to Cisco Tomcat so I restart it:
utils service start Cisco Tomcat
This command will also start the AXL Web Service, CAR Web Service and other various services that rely on a the Web GUI.

Источник: https://supportforums.cisco.com/discussion/10403966/cups-upgrade-601-603-http-404-error

Коротко об IS-IS

ISIS (Intermediate System to Intermediate System) – протокол динамической маршрутизации. Относится наряду с OSPF  к так называемым link-state протоколам, то есть хранит топологию сети полностью.

Одно из главных отличий ISIS от других протоколов маршрутизации состоит в том, что он работает на втором (data link) уровне модели OSI, следовательно не требует действительного адреса интерфейса для передачи сообщений.

Использует инкапсуляцию 802.3.

Для уменьшения нагрузки на маршрутизаторы, в ISIS реализовано деление автономной системы на области (area), однако роутеры на границах областей принадлежат только одной области, а не обеим, как в OSPF. Для того, чтобы маршрутизаторы, принадлежащие к разным областям могли устанавливать соседство (adjacency) в ISIS  реализована концепция уровней (Levels):

Касательно ip default-network

The ip default-network command is used mostly with routing protocols. The ip route command is used with static routing. Both are achieving the same goals but can be used in different scenarios. If you have a routing protocol for a domain, and you would like to advertise to the rest of the routers that a default route, you would implement the ip default-network command. This would cause the routing protocol to carry the candidate for default network in its routing updates to all routers in the domain.

The ip route 0.0.0.0 0.0.0.0 xx is a command that is statically assigned. This is called a default network because the all-zeros syntax means to catch all routes. The ip route command is not automatically carried in routing updates like the ip default-network command is in some routing protocols. You must redistribute the static command into a routing protocol for it to be carried.

In a network where, there are multiple default gateways, you must understand that certain parts of the network will be routed out one direction, and other parts might be routed out another direction. Understand that each router makes it's own forwarding decision even when the network is converged with consistent routing information. This can cause an un-even balance of routing out of default routes.


learningnetwork.cisco.com/thread/23249

Средства для траблшутинга

Software Tools

Network Management Systems:

www.ipswitch.com/products/whatsup/index.asp?t=d...

www.solarwinds.com/products/network_tools.aspx

Baselining Tools:

www.networkuptime.com/tools/enterprise/

Knowledge Bases:

www.cisco.com

Protocol Analyzers:

www.flukenetworks.com/fnet/en-us/products/OptiV...

Hardware Tools

Cisco Network Analyzer Module (NAM):

www.cisco.com/en/US/docs/net_mgmt/network_analy...

Cable Testers:

www.flukenetworks.com/fnet/en-us/products/Cable...

Cable Analyzers:

www.flukenetworks.com/fnet/en-us/products/DTX+C...

Network Analyzers:

www.flukenetworks.com/fnet/en-us/products/OptiV...

RIP supernet

Провести суммаризацию мо меньшей маске реализация RIP в циско не даст:

R1(config)# interface serial 0/0/0
R1(config-if)# ip summary-address rip 192.168.48.0 255.255.252.0
Summary mask must be greater or equal to major net

Чтобы обойти эту проблему делаем статический маршрут:
R1(config)# ip route 192.168.48.0 255.255.252.0 null0

И редистрибутим его в RIP:
R1(config)# router rip
R1(config-router)# redistribute static

В итоге получим:
R1# show ip route

172.16.0.0/24 is subnetted, 4 subnets
C 192.168.51.0/24 is directly connected, Loopback51
C 192.168.50.0/24 is directly connected, Loopback50
C 192.168.49.0/24 is directly connected, Loopback49
C 192.168.70.0/24 is directly connected, Loopback70
C 192.168.48.0/24 is directly connected, Loopback48
S 192.168.48.0/22 is directly connected, Null0

R2# show ip route


Gateway of last resort is not set

172.16.0.0/24 is subnetted, 4 subnets
C 172.16.23.0 is directly connected, Serial0/0/1
C 172.16.12.0 is directly connected, Serial0/0/0
R 172.16.1.0 [120/1] via 172.16.12.1, 00:00:05, Serial0/0/0
C 172.16.2.0 is directly connected, Loopback0
R 192.168.51.0/24 [120/1] via 172.16.12.1, 00:00:05, Serial0/0/0
R 192.168.50.0/24 [120/1] via 172.16.12.1, 00:00:05, Serial0/0/0
R 192.168.49.0/24 [120/1] via 172.16.12.1, 00:00:05, Serial0/0/0
R 192.168.70.0/24 [120/1] via 172.16.12.1, 00:00:07, Serial0/0/0
R 192.168.48.0/24 [120/1] via 172.16.12.1, 00:00:07, Serial0/0/0
R 192.168.48.0/22 [120/1] via 172.16.12.1, 00:00:07, Serial0/0/0

Т.е. R1 будет показыать другим маршрутизаторам более общий маршрут, а на нем самом пакеты будут падать в битовую корзину, если один из суммаризованых маршрутов отвалится.

основы межсетевого экранирования в Cisco IOS

Не претендуя на полноту изложения, попробую описать технологии, которыми можно воспользоваться для защиты периметра.

Рассматривать будем IOS с firewall feature set. Этот набор возможностей, как правило, есть во всех IOSах (в которых есть шифрование), кроме самого базового.

Итак, пусть на границе нашей сети стоит машрутизатор cisco, который и призван обеспечивать безопасность наших внутренних ресурсов.

Защищаем трафик.

Первым делом имеет смысл порезать ненужный трафик самым простым и грубым способом — списками доступа.

Списки доступа (ACL, Access Control List) для протокола IP — на маршрутизаторах cisco бывают стандартные (проверяют только ip адрес источника и разрешают или запрещают прохождение трафика по этому параметру) и расширенные (проверяют адреса источника и назначения, протокол передачи, порты источника и назначения, а также другие поля заголовков IP, TCP, UDP и других протоколов).

Порядок строк в списке доступа очень важен, т.к. проверяются эти строки по порядку и как только будет найдено совпадение, пакет или будет пропущен или будет уничтожен

В конце любого ACL непременно стоит невидимое «запретить все», поэтому мимо ACL пакет не проскользнёт.

Списки доступа бывают нумерованные и поименованные. Рекомендую использовать поименованные со смысловыми названиями.

Примеры:
access-list 1 permit 192.168.1.0 0.0.0.255

access-list 101 permit ip any 192.168.1.0 0.0.0.255

ip access-list standard TEST
permit host 1.2.3.4

ip access-list extended TEST2
permit tcp any 10.1.1.0 0.0.0.255 eq http
permit tcp any 10.1.1.0 0.0.0.255 eq https
permit udp any 10.1.1.0 0.0.0.255 eq 53
permit ip any 10.1.1.0 0.0.0.255 dscp cs5

Списки доступа — это шаблоны, которые можно использовать как для фильтрации трафика, так и как критерий отбора для других технологий. Например, списками доступа определяется «интересный» трафик для шифрования, для NAT, для QoS и т.д.

Сам по себе список доступа ничего не делает, пока не будет применен для какой либо технологии. Например, для фильтрации трафика на интерфейсе на вход или на выход ACL применяется командой

ip access-group <название ACL> {in|out}

Традиционно рекомендуется на внешний интерфейс вешать так называемый антиспуфинговый ACL, т.е. предотвращающий атаки с подделанных адресов.

Пример:
ip access-list ex ANTISPOOFING
deny ip host 0.0.0.0 any
deny ip 10.0.0.0 0.255.255.255 any
deny ip 172.16.0.0 0.15.255.255 any
deny ip 192.168.0.0 0.0.255.255 any
deny ip host 255.255.255.255 any
deny ip 224.0.0.0 15.255.255.255 any
permit ip any any

Важно: с таким ACL надо быть очень осторожным в случае, если вы работаете с шифрованными туннелями IPSec. Дело в том, что ACL, висящий на вход интерфейса, проверяет сначала заголовок зашифрованного пакета, а потом — заголовок расшифрованного.

Поэтому запрет трафика от частных сетей (10, 172, 192) может нарушить работу туннеля.

Итак, порезали ненужный трафик. Пришло время заняться межсетевым экранированием. Надо обеспечить внутренних пользователей Интернетом, но при этом не пропустить снаружи внутрь несанкционированные подключения. Маршруизаторы cisco умеют быть межсетевыми экранами с сохранением сессий (stateful firewall).

Если у вас задачи простые, нет выделенных зон безопасности, нет анонса сервисов наружу, то проще всего воспользоваться базовым межсетевым экраном.

Для этого надо создать правило ip inspect, описать те протоколы, которые вы хотите обрабатывать и запоминать сессии, привесить это правило на интерфейс и… всё Маршрутизатор будет запоминать те сессии, которые были инициированы изнутри, и пропускать снаружи только те пакеты, которые «заказаны». Если же пришедший пакет не соответствует никакой сессии, то дальше маршрутизатор проверяет ACL, висящий на интерфейсе, на предмет наличия разрешающего правила для этого пакета.

Пример конфига:

Ro(config)# ip inspect name FW tcp
Ro(config)# ip inspect name FW udp
Ro(config)# ip inspect name FW icmp
Ro(config)# ip inspect name FW ftp
Ro(config)# ip inspect name FW sip

TCP — слушает ТСР сессии.
UDP — слушает UDР сессии.
остальные строки включают прослушку и обработку соответствующего протокола, т.к. его работа сложнее, чем просто пропуск

ответного пакета TCP/UDP сессии. Например, протокол FTP имеет один служебный канал, по которому идёт согласование и аутентификация, а данные передаются совсем по другому каналу, причём сессия пытается инициироваться снаружи и маршрутизатор её не пропустит. А если включить инспектирование, маршрутизатор подслушает служебную сессию, узнает, на каких портах сервер и клиент договорились слать данные и эту сессию тоже поместит в список разрешенных.

Пусть f0/0 — внешний, а f0/1 — внутренний интерфейс

Ro(config)# int f0/1
Ro(config-if)# ip inspect FW in


Правило вешается на вход внутреннего или выход внешнего интерфейса, т.е. в направлении на ВЫХОД трафика наружу.

На внешнем интерфейсе висит строгий ACL, который почти ничего не пропускает снаружи, например

Ro(config)# ip access-l ex STRICT
Ro(config-ex-nacl)# deny ip any any

Ro(config)# int f0/0
Ro(config-if)# ip access-g STRICT in

В приведенном варианта снаружи пройдут только те пакеты, которые были запрошены изнутри.

Есть тонкость: ACL STRICT попутно запретит весь трафик на сам роутер, т.к. по умолчанию трафик роутера не попадает в инспектируемый. Чтобы инспектировать трафик маршрутизатора надо добавить

Ro(config)# ip inspect name FW router

Если же задачи сложные, надо создавать различные зоны безопасности (демилитаризованные зоны, DMZ), гибко настраивать работу протоколов между этих зон, то лучше воспользоваться так называемым, зональным межсетевым экраном (zone-based firewall). Описывать его здесь не буду, ибо это уже не для молодого бойца

Чем ещё можно защитить трафик, проходящий через маршрутизатор?

системой предотвращения вторжений (IPS), промежуточной аутентификацией (cut-through proxy), оценкой протоколов (технология ip nbar), созданием очередей (QoS).

Расскажу о них подробнее. Позже

Сергей Фёдоров


Отсюда: habrahabr.ru/post/60492/

Настройка VPN-сервера для Cico IOS (easy vpn)

aaa new-model

aaa authentication login VPN local
aaa authorization network VPN local

// здесь слово VPN задает имя шаблона, который используется для авторизации/аутентификации, за ним должен идти список методов, которые для этого используются. Можно, например, подцепить Radius-сервер и проинтегрировать сервис с AD. В данном случае я выбираю local - проверка будет происходить с использованием базы логинов/паролей на самом успройстве.


username vpnuser@VPN-USERS privilege 15 password 7 070C285F4D06
//эта команда создает пользователя vpnuser, члена группы VPN-USERS и задает ему пароль. При задании настроек впн-соединения следует указывать имя пользователя в виде vpnuser@VPN-USERS.


crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
!
crypto isakmp client configuration group VPN-USERS
key cisco
pool VPN_POOL
acl ACL_SPLIT_VPN
//здесь создается группа VPN-USERS, ей назначается пароль cisco, определяется пул адресов, который будет выдаваться подключившимся пользователям. Команда acl определяет какой трафик будет заворачиваться в туннель. Когда я тестил впн на убунте, оригинальный маршрут по умолчанию сохранялся, и добавлялся маршрут в сети, на которые указыает ACL_SPLIT_VPN. Без этой команды весь трафик идет по дефолту через туннель.


crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
!
crypto dynamic-map CRMAPDYN_EZVPN 10
set transform-set ESP-3DES-MD5
reverse-route
!
!
crypto map CRMAP_VPN client authentication list VPN
crypto map CRMAP_VPN isakmp authorization list VPN
crypto map CRMAP_VPN client configuration address respond
crypto map CRMAP_VPN 10 ipsec-isakmp dynamic CRMAPDYN_EZVPN
!
!

!
interface FastEthernet0/1
ip address 88.85.195.156 255.255.255.0
crypto map CRMAP_VPN
!
ip local pool VPN_POOL 192.168.0.13 192.168.0.15
ip forward-protocol nd
!
!
ip nat inside source route-map NAT interface FastEthernet0/1 overload
//настраиваем нат для хостов, работающих за нашим маршрутизатором. В качестве сорса использует роут-мап, который матчит аксесс-лист. Адреса которые попадают в deny не транслируются. В нашем случае это адреса, которые выдаются впн-пользователям, чтобы трафик корректно уходил обратно в туннель.


ip access-list extended ACL_SPLIT_VPN
permit ip 192.168.0.0 0.0.0.255 192.168.0.12 0.0.0.3

ip access-list extended FIREWALL
permit esp any any
permit ahp any any
permit udp any any eq isakmp
permit udp any any eq non500-isakmp

//аксесс-лист, который навешивается на интерфейс, смотрящий в интернет. Здесь я оставил только правила, необходимые для установки впн-соединения.

access-list 100 deny ip any 192.168.0.12 0.0.0.3
access-list 100 permit ip any any
!
route-map NAT permit 10
match ip address 100
!


Чтобы пользователя можно было добавить только в одну группу, можно использовать команду group-lock.

По материалам статьи: www.anticisco.ru/blogs/?p=1500

Unnumbered interfaces

Очень годный ликбез по unnumbered интерфейсам

Пример конфига

www.apricot.net/ - еще очень много материалов по сетям.

dot1x authentication

packetlife.net/blog/2008/aug/6/simple-wired-802... - Очень полезная статья по 802.1X (dot1x authentication). Технология позволяет аутентифицировать через радиус-сервер клиентскую машину, цепляющуюся к порту свича. Так же с ее помощью можно назначать виланы.

Cisco и STP

RSTP он же Rapid Spanning Tree Protocol он же IEEE 802.1W-2001
- стандрат разработанный и опубликованный IEEE. Для всех виланов используется одно дерево.

PVST+ это проприетарный протокол, разработанный Cisco, по сути представляет собой вышеупоянуты RSTP но позволяющий строить отдельное дерево для каждого вилана.

Циско утвеждает что PVST+ совместим с RSTP и всеми расширениями оригинального STP (802.1D).

и вот тут начинаются вопросы.

Режимы в которых может работать STP на цисковском свиче:



DLS1(config)#spanning-tree mode ?
mst Multiple spanning tree mode
pvst Per-Vlan spanning tree mode
rapid-pvst Per-Vlan rapid spanning tree mode

При чем при вводе команды:


DLS1(config)#do sh spanning-tree

VLAN0001
Spanning tree enabled protocol ieee
Root ID Priority 24577
Address 001f.6ded.f200
This bridge is the root
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 24577 (priority 24576 sys-id-ext 1)
Address 001f.6ded.f200
Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec
Aging Time 300 sec


т.е. циска нам утверждает, что работает в режими ieee, однако это не значит что если мы соединим ее с устройством которое использует RSTP (открытый стандарт) все будет хорошо и гладно, потому что


Spanning tree enabled protocol ieee

означает что на нашей циске запущен PVST+ и все будет хорошо только до тех пор, пока мы используем только вилан 1.

Если использовать виланы кроме первого, то циска шлет BPDU на мультикаст адрес 0100.0cCC.CCCD, и если подключенное устройство не прослушивает этот адрес (а подавляющее большинство не-цисок его не прослушивают), возможности RSTP реализованы не будут и быстрой сходимости мы не увидим.

Вывод: циска может использовать одну стандартную версию STP: MSTP (#spanning-tree mode mst)

PVST+ и RapidPVST+ - проприетарные цисковские расширения.

Следовательно, если соединяем циску и устройство другого вендора, то либо ограничиваемся первым виланом, либо настраиваем оба на использование MSTP.


статья по сабжу от DELL

выдержка из базы данных Juniper по сабжу:

STP и MAC-адреса

My question is, when a Cisco switch participates in STP for the root switch election, and makes a BPDU with a MAC address in it, where do they get that MAC address? Do they just pick one of the MAC addresses from a random port inside themselves? Is it an unused port they pick? Otherwise, what if that port needs to use it's address for its own BPDU? Thanks for any info...

DavidH
Correct Answer by farroar on Jun 12, 2010 8:40 PM
farroar

If you were to look at the frames being sent in an STP election process you would see that the source MAC address would be of the port that the frame was exiting and the destination would be a multicast addresses used for STP.



Inside the frame the BPDU packet would list the switch's priority as well as it's base MAC address for the election. The base MAC address represents the switch where as the switchport MAC addresses represent the ports only. Each switch will use it's base MAC address for the election process. You can find out a switch's base MAC address by using the show version command.



Hope that clears it up for you!

Отсюда

Queu starvation (packet starvation)

If you have too many packet types being placed into the High queue, and even the Medium queue, traffic in the lower-priority Normal and Low queues ends up just sitting there. That's called queue starvation or packet starvation

VTP & DTP

Dynamic Trunking Protocol (DTP) sends the VTP domain name in a DTP packet. Therefore, if you have two ends of a link that belong to different VTP domains, the trunk does not come up if you use DTP. In this special case, you must configure the trunk mode as on or nonegotiate, on both sides, in order to allow the trunk to come up without DTP negotiation agreement.

www.cisco.com/en/US/tech/tk389/tk689/technologi...

Назначение адреса порту HWIC-4ESW

Если нужно навесить ip адрес на интерфейс свичевой платы:

The HWIC-4ESW is the equivalent of a layer 2 switch only so you can't assign IP addresses to the physical ports. What you can do is create a L3 SVI and assign the port into that vlan ie.


create the vlan
2811# vlan database
2811(vlan)# vlan 10
2811(vlan)# exit

int vlan 10
ip address 192.168.5.1 255.255.255.0


and then assign the interface into that vlan
int fa0/0/0
switchport access vlan 10

supportforums.cisco.com/thread/207471

Cisco+GUI

Если вдруг очень понадобилось сконфигурить циску через графический интерфейс:
http://www.cisco.com/en/US/docs/net_mgmt/cisco_configuration_professional/guides/CiscoCPqsg.html

Cisco и два провайдера (dual isp)

Еhe IP SLA command is available in the "Advanced IP Services feature license". Активируем технологическую лицензию:
Router(config)#license boot module c1900 technology-package datak9

Подробнее о лицензии:
www.anticisco.ru/blogs/?p=765
www.ciscolab.ru/forum/index.php/topic/209-tcl-s...

Статьи по настройке dual ISP
admindoc.ru/68/ip-sla-cisco-asa/
habrahabr.ru/post/80555/
www.anticisco.ru/blogs/?p=1153#more-1153

Официальный гайд по SLA:
www.cisco.com/en/US/docs/ios/12_4/ip_sla/config...

Полезное дополнение из комментов:
Тут есть проблема в чем. При переключении на запасного провайдера надо почистить таблицу трансляций. Иначе пользовательские сессии подвиснут.
Делается примерно так
event manager applet ISP_SWITCHED_20
event track 30 state any
action 1.0 cli command «enable»
action 2.0 cli command «clear ip nat trans forced»

Еще. Я при icmp-echo обязательно пишу source
Вот так
p sla 30
icmp-echo x.x.x.33 source-interface GigabitEthernet0/1


А почему «в случае с одновременным использованием двух провайдеров возникают проблемы». Я сейчас на sla делаю почти аналогичную задачу: есть 2 серых сети и 2 шлюза. Одна сеть должна идти через первый, вторая через второй. В случае падения одного из них — обе через один. Настраиваем sla, tracking, а в route-map-ах пишет 2 set ip next-hop verify-availability с треком и разными AD. Для каждой сети свой роут мап и зеркальные AD и next-hop.
п.с.: оба сервера в одном vlan, на удаленном коммутаторе.

п.с.: set ip next-hop verify-availability with optional arguments to support object tracking using Internet Control Message Protocol (ICMP) ping or an HTTP GET request to verify if a remote device is reachable.