Разворачивание AAA на базе Cisco ACS 5.4

Давно ничего не писал, а интересного было много, в частности разворачивание AAA для доступа на железки.

Задача была следующей:

Есть две группы, одни с полным доступом, вторые с очень ограниченным (доступ не на все железки и не ко всем командам) надо сделать возможность заходить по доменным учеткам. Железки роутеры Cisco 881 и свичи Catalyst 2960, сервер контроля доступа Cisco ACS 5.4, протокол TACACS+ (Radius не поддерживает в полной мере все приятные фишки, хоть и попроще).

Cisco 881G + EDGE от Киевстара

Решили в качестве резервирование каналов взять Cisco 881G (Которые с 3G модулем) и симки от любимого нац оператора.

Долго не доходили руки до этого чуда, сегодня занялся настройкой, удалось все довольно просто...

Altusen SN0108: Serial over the NET (кроссировка кабеля)

Купили нам в конторе сей чудный девайс. Девайс действительно замечательный, получить по сети доступ к консольному порту бывает очень нужно. Но в процессе установки столкнулся с одной сложностью - информации по установке и настройке очень много, но нету кроссировки кабеля для подключения устройств к KVM-свичу. Однажды такой кабель попался в руки и все оказалось очень просто:

1 - 8
2 - 7
3 - 6
4 - 5
5 - 4
6 - 3
7 - 2
8 - 1

После чего переобжать обычные консольники было делом пары минут.

Cisco Policy Routing

Давно ничего не писал, но пришлось повозиться с интересной штукой, которую решил описать подробнее. Речь пойдет о Policy Based Routing (PBR) - Роутинг на основе правил. Данная технология находит применение когда необходимо направить определенный трафик особым путем.
И так, с чем пришлось столкнуться:

автоматическое изменение конфигурации на группе оборудования CISCO

Давно искал инструмент для группового изменения конфигураций, особенно когда надо дописать 1-2 строчки на 20 девайсах. И такое средство было найдено, благо RANCID умеет не только сохранять но и дописывать конфигурации. Для этого написал небольшое скрипт:

Cisco auto config backup

Встал однажды вопрос автоматического хранения конфигураций, долго думал, как его лучше реализовать, основные требования:

• работа по защищенному протоколу
• минимальная настройка со стороны активного оборудования
• версионность
• работа под Linux

Были рассмотрены следующие варианты:

• Cacti plugin - Config Store. Плюсы: легкость в установке, интеграция с Cacti. Минусы: работает только через telnet.
• TFTP-сервер - Плюсы: очевидная простота. Минусы: плохо работает через NAT, версионность очень относительная, полная незащищенность.

Выбор пал на RANCID, тем более, что он может работать с Subversion-репозиторием.

Сравнительная характеристика производительности оборудования Cisco

Нашел таблицу производительности и характеристик роутеров Cisco:1921, 1941, 2901, 2911, 2921, 2951, 3925, 3945, 3925Е, 3945Е.

Скрипты для CISCO

Есть у нас одна железка - CISCO 881, которая время от времени роняет туннель, опытным выявили зависимость, что если изменить один из параметров туннеля и перезагрузить интерфейс, то все продолжает работать. Чтобы как-нибудь автоматизировать процесс пока ищется причина такого поведения был найден и допилен срипт для CISCO

Cisco logging via syslog

Пришел момент настроить свои циски на отправку сообщений, вариантов настройки чуть больше чем на ProCurve, на будущее решил записать:

service timestamps log datetime localtime //добавление timestamps с текущим временем на девайсе
logging on // убедиться что logging включен
logging origin-id hostname // добавлять в сообщение имя девайса
logging facility local7 //задание facility "local7" стоит по умолчанию
logging 11.11.11.11 // собственно адрес сервера
logging trap informational // уровень сообщений для отправки