|
Bog BOS: IOS - операционная система маршрутизаторов CISCO |
|
Последние изменения: |
Последнее изменение текста: 20000412
Скопировано с www.bog.pp.ru: 2024.11.23
Заказывать надо продукт с номером, заканчивающимся на знак равенства.
IOS можно заказать в трех формах:
Номер продукта определяется так:
Поставка осуществляется в виде пакетов возможностей (feature packs) - CD-ROM с одним или несколькими образами IOS и инсталляционной программой для MS Windows 95, инструкция по установке (в т.ч. использование TFTP вместо инсталляционной программы), лицензия, CD-ROM с документацией.
═ ═ ═На наших маршрутизаторах стоит IOS версии 12.0 (3) на внутренних и 12.0(3) на внешней, хотя уже выпущены 12.0(5) 30-sep-99.
═ ═ ═Вынимаем железку, подключаем терминал (или PC с TELEMATE) к консольному порту (или вспомогательный порт ранее сконфигурированной киски и заходим обратным телнетом), все нужные нам кабели (синхронный, Ethernet, модемы), включаем питание и начинаем конфигурирование. При первом включении IOS пытается скачать конфигурацию из глобальной сети - можно подождать несколько минут, чтобы дать ей понять, что на том конце ничего нет, или временно отсоединить синхронный кабель. Потерпев неудачу, IOS предлагает выполнить команду setup - соглашайтесь! В этом случае IOS задает вам несколько вопросов и самостоятельно конфигурируется.
Конфигурирование осуществляется следующими способами:
═ ═Общие сведения о командном языке:
═ ═Уровни привилегий:
предусмотрено 16 уровней
привилегий - от 0 до 15. Если не
производить
дополнительной настройки, то уровень 1- это
уровень
пользователя: доступны только
"безопасные" команды. Уровень 15 - это
уровень
супервизора: доступны все команды.
Переходим с уровня на уровень по
команде:
═ ═enable [номер уровня]
Любую команду можно
перевести на уровень, отличный от
стандартного; любому
пользователю можно
назначить
определенный уровень,
устанавливаемый при входе на киску этого
пользователя; таким образом права
пользователей можно тонко
настраивать (только help-ом при этом тяжело
пользоваться :(
Подробности здесь.
Режимы командного языка:
Комментарии начинаются с восклицательного знака, но в NVRAM не сохраняются.
Задать размер истории команд в текущей сессии: terminal history size строк (по умолчанию - 10)
Задать размер истории команд для определенной линии: history size строк
Предыдущая/следующая команда: Ctrl-P/Ctrl-N или sстрелка вверх/вниз для ANSI-совместимых терминалов
Ппказать буфер команд: show history
Выключить/включить
редактирование:
[no] terminal editing # для
текущей сессии
[no] editing # для
определенной линии
символ вперед/назад: Ctrl-F/Ctrl-B или стрелка вперед/назад для ANSI-совместимых терминалов
в начало/конец строки: Ctrl-A/Ctrl-E
на слово вперед/назад: Esc F/Esc B
развертывание команды: Tab или Ctrl-I
вспомнить из буфера/вспомнить следующий: Ctrl-Y/Esc Y
удалить символ слева от курсора/под курсором: Delete/Ctrl-D
удалить все символы до начала строки/конца строки: Ctrl-U/Ctrl-K
удалить слово слева от курсора/справа от курсора: Ctrl-W/Esc D
перерисовать строку: Ctrl-L/Ctrl-R
поменять символы местами: Ctrl-T
экранирование символа: Ctrl-V или Esc Q
На ANSI-совместимых терминалах действует автоматический скролинг чрезмерно длинных строк.
Изменение параметров на время текущей сессии
производится с помощью команды terminal
опция. Для того, чтобы
сделать изменения
постоянными, надо войти в режим
конфигурирования линии
line {aux | console | tty | vtty }
номер-линии [
конечный-номер-диапазона-линий ]
и
использовать ту же опцию.
На киске работает ТРИ программы: ROM монитор (это загрузчик и отладчик - тупой до безобразия - попадаем в него если соответствующим образом установлен регистр конфигурации или нажал BREAK во время загрузки и это не запрещено); boot ROM - система в ROM (урезанная и очень старая система IOS - 9.1 - если не удалось найти более подходящую во флэш или по сети или ручная загрузка из ROM монитора) и система во флэш - версия, которую сам поставил. Конфигурация хранится в NVRAM. Еще есть оперативная память, используемая для хранения данных (IOS выполняется прямо из flash). Внимание: пароль администратора в IOS 9.1 задается командой "enable password", а не "enable secret"!
В руководстве делается предупреждение, что на Sun'е сервер TFTP должен быть настроен так, чтобы генерировать и проверять контрольные суммы UDP (я ничего не делал). Везде вместо TFTP можно использовать rcp (rsh), но мне лениво следить за безопасностью в этом случае.
Посмотреть, что там лежит: show flash all
System flash directory:
File Length Name/status
addr fcksum ccksum
1 3243752 igs-i-l.110-1
0x40 0xB5C4 0xB5C4
[3243816 bytes used, 950488 available, 4194304 total]
4096K bytes of processor board System flash (Read ONLY)
Chip Bank Code Size Name
1 1 89A2 1024KB INTEL 28F008SA
2 1 89A2 1024KB INTEL 28F008SA
3 1 89A2 1024KB INTEL 28F008SA
4 1 89A2 1024KB INTEL 28F008SA
Executing current image from System flash
Иметь два файла во флэш можно только, если имеется два банка памяти (у меня нет) и выполнить специальную процедуру (IOS надо настроить адреса - выполняется-то она из флэша!). Буква l в имени файла как раз и означает, что адреса можно настроить.
Посмотреть, сколько раз туда чего записывали: show flash err (по-моему, ерунду показывает).
Копировать из флэш на tftp: copy flash tftp, после чего спросят имя сервера, исходное имя файла и результатирующее имя файла (файл должен существовать с правами 666).
Копировать конфигурацию на tftp: copy startup-config/running-config tftp
Загрузить конфигурацию с tftp: copy tftp startup-config/running-config (по-моему, если грузить текущую конфигурацию, то происходит не копирование, а слияние).
Копировать из tftp во флэш (если достаточно памяти!!!): copy tftp flash
Понятное дело, что если IOS выполняется из флэш, то грузить новое содержимое флэша во время работы IOS не стоит, надо загрузиться из ROM (либо нажав Break при загрузке, либо выдав no boot system flash).
Черта-с два! На самом деле все не так как в книжке. Надо выдать copy tftp flash прямо из IOS (ибо в bootstrap такой команды нет вовсе), будет запущен flash load helper, который задает все необходимые вопросы, затем перезапускает киску из ROMа, стирает флэш, копирует файл с tftp (заходить только с консоли - иначе ничего не увидишь, и об ошибках не узнаешь ;). После этого надо сохранить конфигурацию (copy run start). А все-таки интересно, как выбираться из ситуации, если что-то получилось не так. Кстати, рекомендуется сохранить конфигурацию куда-нибудь на tftp перед изменением флэша. p.s. все-таки можно было бы сделать и загрузившись из ROM (только не ROM монитор, а ROM IOS), если задать в регистре конфигурации младшие 4 бита равными 0-0-0-1.
Установка 8МБ флэш вместо 4МБ (старый boot ROM не
умеет работать с 8МБ флэшом).
Сохраняем
конфигурацию. Меняем значение
регистров загрузки
router# conf t
router(config)# config-reg 0x2100
Выключаем питание,
вытаскиваем старый флэш и ставим новый.
Подсоединяем
консольный терминал, грузимся,
попадаем в ROM. Грузим в
оперативную память
достаточно новую версию IOS, чтобы она уже умела
работать с новым типом флэша, но еще
влезала в 3.5МБ памяти (я брал 11.0(1)):
router> b igs-i-l.110-1
ip-адрес-tftp-сервера
она загружается (злобно ругаясь на
незнакомые команды
конфигурации и портя их! так что
конфигурацию надо
предварительно сохранить).
Копируем по TFTP новую IOS во флэш со
стиранием:
router# copy tftp flash
Возвращаем обратно значение
регистра загрузки:
router# conf t
router(config)# config-reg 0x2102
и
перезагружаемся. ROM злобно
ругается на
незнакомый тип флеша и
незнакомые команды
конфигурации, но загружает нужный IOS.
Восстанавливаем
конфигурацию.
Установка 8МБ образа на cisco, ROM IOS которой не умеет работать с 8МБ флеш:
Копирование текущей конфигурации в загрузочную: copy run start
Копирование загрузочной конфигурации в текущую: copy start run
Посмотреть состояние: show version
Проверить контрольную сумму: verify flash
Сжатие конфигурационного файла работает только на Cisco 3xxx и Cisco 7xxx.
Повторно выполнить конфигурационный файл: configure memory
Очистить конфигурацию: erase startup
Посмотреть текущую/загрузочную конфигурацию: show run/start
В NVRAM записываются только параметры, отличные от параметров по умолчанию. Параметры по умолчанию различны для различных версий, так что при смене версии бывает очень интересно ;)
Регистр конфигурации: 16 бит. Меняется командой: config-register. Младшие 4 бита (3,2,1, и 0) образуют поле загрузки:
Файл конфигурации сети (по умолчанию имя файла: network-config):
boot network [tftp]
имя-файла
[ip-адрес]
service config
Файл конфигурации хоста (по умолчанию имя файла: network-config):
boot host [tftp]
имя-файла
[ip-адрес]
service config
Перезагрузка:
Часы (сбрасываются даже при перезагрузке на 1 марта 1993 года) хранятся в формате UTC. Используются протоколы NTP (прием и передача - включен по умолчанию - при перезагрузке и при выключении на пару минут время сохраняется), SNTP на кисках серии 1000 (только прием - выключен по умолчанию).
Запустить TFTP сервер на киске:
Запустить RARP сервер на киске (чтобы это реально
использовать необходимо выполнить кучу дополнительных условий -
обеспечить broadcast UDP - ip forward-protocol udp 111,
заполнить таблицу ARP MAC-адресами клиентов, ip helper-adress
адрес-настоящего-сервера -
говорят, что проблемы возникли из-за
недоделанности rpc.bootparamd в SunOS - судя по
нашему принтеру так оно и есть):
cat(config-if)>ip rarp-server ip-адрес-настоящего-сервера
HTTP-сервер (при входе в
качестве имени надо говорить имя киски, а пароля - пароль
супервизора) - пользы от этого никакой (с точки зрения безопасности - один вред):
ip http server
ip http port 80
prompt строка -
изменение
стандартного
приглашения
hostname имя - имя
маршрутизатора
alias уровень-EXEC
имя-синоним
текст-команды -
создание
сокращений-синонимов команд
show aliases
[уровень-EXEC] -
посмотреть список
синонимов
load-interval секунд - длина
интервала вычисления средней
загрузки
description
строка-текста
hold-queue длина in/out -
задание размера буфера
bandwidth kilobits -
используется, например, для
настройки параметров TCP
delay
десятые-милисекунды -
информация для некоторых
протоколов
маршрутизации (или десятки
микросекунд)
keepalive секунд - как часто
посылать пкаеты для проверки
живучести линии (интерфейс
считается упавшим если в течении 3
интервалов не пришло ответа)
mtu байт
async: 8 штук на Cisco 2509, 16 штук на Cisco 2511, еще можно использовать AUX порт, но ОЧЕНЬ не советую (дефективная аппаратная реализация: скорость 38400, все на программном уровне - в том числе и синхронизация).
Саму физическую линию надо конфигурировать отдельно с помощью команды line.
Вход в режим
конфигурации
интерфейса:
interface async
номер-порта
Инкапсуляция: поддерживаются два метода инкапсуляции - SLIP и PPP. О SLIP мы забудем сразу же.
Режим:
интерактивный или жестко
настроенный (dedicated): ═в
последнем случае не
запускается EXEC, так что нельзя
поменять адрес и другие
параметры:
async mode interactive/dedicated
Разрешить протоколы
динамической
маршрутизации:
async dynamic routing
Групповая конфигурация (столько предупреждений об ошибках, что лучше и не трогать - в версии 11.1(22) все прерасно работает)
Конфигурация cisco в качестве принимающей стороны для multilink PPP на две линии, с той стороны Zyxel Prestige 153, я пытаюсь сохранить старые адреса в локальной сетке:
username имя password
пароль
interface Ethernet 0
═ ip address
адрес-соответствующий-той-стороне
маска
═ ip address
адрес-в-локальной-сетке маска secondary
interface Group-Async 1
═ mtu 1104
═ no ip address
═ encapsulation ppp
═ no ip route-cache
═ no ip mroute-cache
═ bandwidth 112
═ keepalive 10
═ async mode dedicated
═ dialer in-band
═ dialer rotary-group 0
═ no fair-queue
═ no cdp enable
═ group range 7 8
interface Dialer 0
═ mtu 1104 # 552*
количество линий
═ ip unnumbered Ethernet0 # у меня нет
адресного
пространства под связующую сетку
═ no ip tcp header-compression #
ругается, что
несовместим с multilink
═ encapsulation ppp
═ no ip route-cache
═ no ip mroute-cache
═ no peer default ip address
═ dialer in-band
═ dialer idle-timeout 2147000
═ dialer-group 1
═ no fair-queue
═ no cdp enable
═ ppp negotiation-timeout 90
═ ppp authentication pap
═ ppp multilink
ip route 0.0.0.0 0.0.0.0 адрес-P153 # если
единственный выход в свет через этот линк
ip route
адрес-сетки-соединенной-через-MPPP
маска
адрес-ethernet-интерфейса-P153
ip route
адрес-ethernet-интерфейса-P153 255.255.255.255 Dialer0 permanent
dialer-list 1 protocol ip permit
line 7 8
═ exec-timeout 0 0
═ modem InOut
═ transport preferred none
═ escape-character NONE
═ telnet break-on-ip
═ telnet transparent
═ stopbits 1
═ rxspeed 115200
═ txspeed 115200
═ flowcontrol hardware
hub ethernet number port
no shutdown
auto-polarity
link-test
source-address [MAC-address] -
пропускать только пакеты от этого MAC-адреса
interface loopback number
interface null 0
interface serial номер
encapsulation
atm-dxi/hdlc/frame-relay/ppp/sdlc-primary/sdlc-secondary/smds/stun/x25
- по умолчанию HDLC (есть
обнаружение ошибок, но нет повтора
неверно переданных данных)
compress stac - если
загрузка CPU превышает 65%, то
выключить
pulse-time секунд - какую паузу
сделать при
пропадании несущей
Для чего это надо:
Компоненты:
Предупреждения:
interface tunnel номер
тут должно быть описано каким
протоколам позволено
туннелироваться
tunnel source
ip-address-или-интерфейс
tunnel destination
ip-address-или-интерфейс
tunnel mode aurp/cayman/dvmrp/eon/gre ip/nos -
определяет протокол
инкапсуляции
tunnel checksum - все плохие пакеты будут
выкидываться (некоторые
протоколы требуют этого)
tunnel key номер - должны быть
одинаковы на обоих концах (слабая
защита)
tunnel sequence-datagramms -
отбрасывать пакеты,
пришедшие не в том порядке
(некоторые протоколы требуют этого)
show async status
show interface async
номер
show compress
show controller
имя-контроллера
show interface accounting
show interface тип
номер
clear counters тип
номер
show protocols
show version
clear interface тип
номер
clear line номер
shutdown
no shutdown
down-when-looped - считать
интерфейс упавшим, если на нем включен loopback
(необходимо для backup)
ip address-pool local
ip local pool default
начальный-ip-адрес
конечный-ip-адрес
interface Group-Async1
ip unnumbered Ethernet0
ip tcp header-compression passive
encapsulation ppp
bandwidth 112
delay 20000
keepalive 10
async mode interactive
no cdp enable
peer default ip address pool
group-range 1 16
если чей-то адрес надо задать явно, то скажи:
member номер peer default ip address
IP-адрес
в версии 11.0(1) не работала, в версии 11.1(22) вроде работает, но со временем отъедает память, в версии 12.0(3) с памятью все хорошо..
Постановка задачи. Имеется NAS, который должен в зависимости от имени пользователя организовывать ему PPP или telnet сеанс. В то же время хочется, чтобы клиенты PPP имели возможность передавать имя/пароль с помощью PAP, а не вводить их в диалоговом окне либо с помощью скрипта. Те, кто привык пользоваться скриптом или диалоговым окном, должны иметь возможность пользоваться ими и дальше. Для определения типа пользователя используется tacacs+. CHAP не используется, потому что пароли пришлось бы хранить в незашифрованном виде (а умеет ли MS W9x выдавать CHAP?). MS-CHAP не используется потому что: а) нужна прошивка Enterprise (flash 16MB); б) нужно красть DES в обход законов США; в) выпрашивать public key у Microsoft. И после этих мучений выяснится, что tac_plus опять-таки требует хранить пароли в открытом виде.
Конфигурация NAS:
aaa new-model
aaa authentication login default tacacs+ enable
aaa authentication ppp default if-needed tacacs+ none
aaa authorization exec default tacacs+ if-authenticated
aaa authorization command 1 default tacacs+ if-authenticated
aaa authorization command 10 default tacacs+ if-authenticated
aaa authorization command 15 default tacacs+ if-authenticated
aaa authorization network default tacacs+ if-authenticated
aaa authorization reverse-access default tacacs+
aaa accounting exec default wait-start tacacs+
aaa accounting network default wait-start tacacs+
aaa accounting connection default wait-start tacacs+
aaa accounting system default wait-start tacacs+
aaa processes число
ip local pool default
начало-интервала
конец-интервала
tacacs-server host
IP-адрес
tacacs-server attempts
число-попыток
tacacs-server key ключ
...
interface Group-Async 1
═ ═encapsulation ppp
═ ═async mode interactive
═ ═peer default ip address pool default
═ ═ppp authentication pap
═ ═...
line от до
═ ═autoselect during-login
═ ═autoselect ppp
═ ═autoselect timeout
секунд
═ ═...
Конфигурация tac_plus:
key = ключ
accounting file =
имя-файла
user =
telnet-пользователь {
═ ═login = des
шифрованный-пароль
═ ═after authorization
имя-процедуры-для-дополнительной-проверки
═ ═service = exec { autocmd = "telnet
IP-адрес порт" }
═ ═cmd = telnet { permit "^IP-адрес
порт .*" }
═ ═...
}
user =
ppp-пользователь {
═ ═login = des
шифрованный-пароль
═ ═pap = des
шифрованный-пароль
═ ═service = ppp protocol = lcp { timeout =
макс-время-сеанса-в-сек }
═ ═maxsess =
число-одновременных-сессий
═ ═after authorization
имя-процедуры-для-дополнительной-проверки
═ ═service = exec { autocmd = "ppp default" }
═ ═cmd = ppp { permit .* }
═ ═...
═ ═service = ppp protocol = ip {
═ ═ ═ default attribute = permit
═ ═ ═ addr-pool = "default"
═ ═ ═ dns-servers = "сервер-1
сервер-2"
═ ═ ═ inacl =
ACL-для-ограничения-доступа
═ ═ ═ ...
═ ═}
}
═ ═ ═Пример конфигурации с коментариями.
═ ═service tcp-small-servers #
позволяет киске отвечать на всякие мелкие
запросы типа echo, chargen и т.д.
═ ═hostname cat2511-wb # имя киски,
выдается в
приглашении и ,наверное, где-то еще
═ ═clock timezone MSK 3 #
временная зона
═ ═clock summer-time MSD recurring last Sun Mar 2:00 last Sun Oct 2:00 #
летнее время
═ ═enable secret <шифрованный пароль> #
зашифрованный пароль
суперпользователя
═ ═enable password <нешифрованный пароль> # не
используется, если есть
шифрованный
═ ═ip subnet-zero # не
разбирался
═ ═ip tcp synwait-time 120 #
зачем это
═ ═ip tcp path-mtu-discovery #
автоматическая настройка на размер MTU
═ ═ip accounting-threshold 256 # не
разбирался
═ ═ip accounting-list 194.84.39.0 0.0.0.255 #
не
разбирался
═ ═interface Ethernet0 # начинаем
конфигурировать порт Ethernet
═ ═ip address 194.84.39.24 255.255.255.224 # IP
адрес и маска ethernet-порта
(основной адрес киски)
═ ═ip address 194.87.163.24 255.255.255.224 secondary #
если у нас два блока IP-адресов (что у нас было в
момент перехода от одного ISP к
другому
═ ═exit # выход из
конфигурирования Ethernet
═ ═interface Serial0 # начинаем
конфигурировать
синхронный
последовательный порт
═ ═no ip address # нет у нас его
═ ═shutdown # -//-
═ ═exit # выход из
конфигурирования порта
═ ═interface Serial1 # начинаем
конфигурировать
синхронный
последовательный порт
═ ═no ip address # нет у нас его
═ ═shutdown # -//-
═ ═exit # выход из
конфигурирования порта
═ ═ip domain-name deol.ru. # имя нашего
домена
═ ═ip name-server 194.84.39.28 # адрес
DNS-сервера (может быть до 6 штук)
═ ═ip route 0.0.0.0 0.0.0.0 194.84.39.26 #
маршрут по умолчанию (все, что не на наших
портах, передаем на более "умную" киску
═ ═snmp-server community public RO #
разрешаем SNMP
управление (только чтение)
═ ═line con 0 # начинаем
конфигурирование
консольного порта
═ ═exec-timeout 0 0 #
отключаем тайм-аут
═ ═exit # выход из
конфигурирования порта
═ ═line 1 16 # начинаем
конфигурацию
асинхронных
последовательных портов
═ ═exec-timeout 0 0 #
отключаем тайм-аут
═ ═modem InOut #
отрабатывать модемные сигналы
═ ═autocommand telnet 194.84.39.28 # при входе на
линию, киска насильно выдает команду telnet..., что не
позволяет
пользователю делать что-либо еще (если,
конечно, не знаешь как из этого выйти)
═ ═transport input none # не
позволяет звонить с наших модемов (зайдя на линию
обратным телнетом)
═ ═transport preferred none # ═на всякий
случай
═ ═escape-character NONE # не
позволяет выйти из telnet'а
═ ═stopbits 1
═ ═rxspeed 115200 # скорость между
модемом и киской
═ ═txspeed 115200 # скорость между киской и
модемом
═ ═flowcontrol hardware
═ ═exit # выход из
конфигурирования порта
═ ═line aux 0 #
конфигурирование
вспомогательного
асинхронного
последовательного порта
═ ═transport input all # может быть сюда будет
подключена консоль другой киски
═ ═exit # выход из
конфигурирования порта
═ ═line vty 0 4 #
конфигирирование
виртуальных
терминалов (на них мы попадаем, когда
заходим телнетом на киску)
═ ═exec-timeout 0 0 #
отключаем тайм-аут
═ ═password <пароль> # пароль линии; к
сожалению, не
шифрованный
═ ═login # киска будет
спрашивать пароль при заходе на эту линию (в
данном случае телнетом)
═ ═exit # выход из
конфигурирования порта
Устанавливая пароль для привилегированного доступа, необходимо использовать команду enable secret, а не enable password (последняя не шифрует пароль).
Для консольного порта тоже необходим пароль (либо через AAA, либо через login и password). Тем более, что на них приходится заходить telnet-ом. Наличие возможности BREAK дает доступ к маршрутизатору даже если установлен пароль на консоль.
Необходимо устанавливать списки доступа и пароли на виртуальные терминальные порты, ограничивая места откуда на них можно будет заходить по telnet.
Не надо запускать локальные сервисы, которые не нужны. CDP и NTP запускаются по умолчанию. Если они не нужны их надо отключить (no cdp run и ntp disable). Если NTP нужен, то запускать его только на требуемом интерфейсе и настраивать так, чтобы он слушал только заранее назначенных соседей.
Необходима защита от подделки адресов в обоих направлениях (через ACL). Закрыть source routing (no ip source-route).
Запретить directed broadcast на всех интерфейсах (в редких случаях - каких? -он все же нужен): no ip directed-broadcast (в 12.0 устанавливается по умолчанию).
Закрыть proxy arp на каждом интерфейсе (для защиты от обнаружения внутренних адресов): no ip proxy-arp (все равно ARP пакеты проходят - cisco анонсирует на ethernet всех, кто подключается по async).
То, естественно, хочется нагрузить их оба. Но делать настоящую маршрутизацию (AS, LIR) лениво и дорого. Простейший метод состоит в том, чтобы поделить все свои компьютеры на две группы. Одной группе дать адреса от одного провайдера (194.1.1.0), другой - от второго (195.2.2.0). И обеспечить разделение потоков через policy routing.
ip access-list extended provider1-source permit ip 194.1.1.0 0.0.0.255 any deny ip any any route-map provider1-out permit 10 match ip address provider1-source set default interface Serial0 interface Ethernet0 ip policy route-map provider1-out ip route 0.0.0.0 0.0.0.0 Serial1
------
Смысл: маршрутизатор, стоящий на выходе в Интернет, перенаправляет все пакеты, идущие из локальной сети наружу с портом назначения 80 (HTTP), на хост, осуществляющий кеширование запросов. Естественно, пакеты, идущие с этого хоста (хостов) не перенаправляются.
interface Ethernet0
═ ip policy route-map proxy-redirect
ip access-list extended legal-to-proxy
═ deny ip host отсюда-не-перенаправлять any
═ permit tcp any any eq www
═ deny ip any any
route-map proxy-redirect permit 10
═ match ip address legal-to-proxy
═ set ip next-hop адрес-proxy-сервера
Проблема 1. Если связь между
маршрутизатором и
прокси-сервером на время
пропадет, то пакеты пойдут наружу.
Получается коллизия, если они
возвращаются к моменту когда связь уже
восстановилась.
Рекомендуется просто кидать их, пока связь не
восстановится:
ip route
адрес-proxy-сервера 255.255.255.255 Null0 250
Нет уж, я бы предпочел, чтобы было
наоборот. Если
прокси-сервер упал или связь с ним
потеряна, то пакеты начали бы ходить как будто
никакого route-map вообще нет.
Проблема 2. Фрагменты всегда удовлетворяют ACL и, соответственно, попадают на proxy-сервер, которому они не нужны. Он их иногда пересылает по назначению, а иногда кидает в зависимости от настройки.
|
Bog BOS: IOS - операционная система маршрутизаторов CISCO |
|
Последние изменения: |