Cisco

Allgemeines
  • com2usb linux driver pl2303.ko
  • running config mit passwörtern anzeigen
more system:running-config
  • man kann nur von grösseren security level auf kleinere routen
  • mit enable (oder en) kommt man in den enable modus
  • mit conf t in den configurations modus
  • befehle kann man mit tab vervollständigen
  • mögliche optionen erfährt man mit ?
  • mit “no” vor einem befehl löscht man eine config zeile
  • config speichern mit “copy running-config startup-config”
  • system auslastung anzeigen
 show cpu usage
 show processes
 show mem


Grundconfiguration
  • hostname lalala
  • domain-name schwubs.tld
  • Zeitzone und NTP einstellen
clock timezone CET 1
ntp server 192.168.100.1
sh clock
  • user anlegen
username <user> password <password> privilege 15
  • enable passwort setzen
aaa authentication enable console LOCAL
  • SSH und Consolen User lokal authentifiziert
aaa authentication ssh console LOCAL
  • sh run interface
  • interface resetten
interface Management0/0
no nameif
no security-level 100
no ip address
no management-only
  • interface config anschauen
sh run interface Management0/0
interface Management0/0
no nameif
no security-level
no ip address

interface Ethernet0/0
description WAN interface
ip address 192.168.103.91 255.255.255.0 standby 192.168.103.92
security-level 0
nameif external
no shut
  • SSH Config
ssh 192.168.103.0 255.255.255.0 external
crypto key generate rsa general-keys modulus 2048
write mem

Routing

  • Default Gateway setzen (device ip mask gateway)
route external 0.0.0.0 0.0.0.0 192.168.103.254
  • Routing Tabelle anzeigen
sh route
  • source validation anschalten
 ip verify reverse-path interface <iface>


VLAN
  • trunk port = port der in mehreren vlans hängt
interface Management0/0.1
description LAN Failover Interface
vlan 8
interface Management0/0.2
description STATE Failover Interface
vlan 9
  • wenn man kein vlan angibt, dann sind bei einem trunk port per default alle erlaubt
  • VLAN config anschauen
 sh vlan


ARP
  • ARP Cache anzeigen lassen
 sh arp



NAT
  • nat-control (alle connections müssen eine nat rule haben)
  • alles was aus external raus geht nimm per default die adresse vom external device
global (external) 1 interface
  • alles was aus interface patronas raus kommt natte mit id 1 also auf das externe interface
nat (patronas) 1 192.168.109.176 255.255.255.240
  • Alles was nat id 0 hat wird nicht genattet
access-list NO_NAT deny ip any any
nat (patronas) 0 access-list NO_NAT
  • Statisches NAT (dev intern, dev extern) (192.168.109.215 wird genattet auf 192.168.103.93)
 static (axxion,external) 192.168.103.93 192.168.109.215 netmask 255.255.255.255


Logging und Debugging

logging enable
logging console ?
logging console 6
  • wenn man via ssh connected is nimmt man monitor und nicht console
 logging monitor 7
 term monitor


Packet Filtering / Access lists
  • Access list anlegen
access-list EXTERNAL_IN permit icmp any any source-quench
access-list EXTERNAL_IN permit icmp any any unreachable
access-list EXTERNAL_IN permit tcp any host 192.168.109.215 eq 22
  • Access liste an ein interface binden
access-group EXTERNAL_IN in interface external
  • bei genatteten verbindung brauch man nur die nat ip erlauben das weiterleiten wird dann automatisch erlaubt
Packet Capturing
  • Alles was durch die Access-List gelassen wird, wird aufgezeichnet
access-list CAP permit ip any any
capture CAP interface patronas access-list CAP
  • Aufgezeichnete Pakete anzeigen
sh capture CAP
  • Aufzeichnen stoppen
no capture CAP
  • Allen Traffic auf einem Interface capturen
 access-list CAP interface external


Failover
  • Die Failover IP für LAN muss in einem anderen Netz sein als das für State
failover
failover lan unit primary
failover lan interface lan-fo Management0/0.1
failover key Fmjhd3
failover replication http
failover link state-fo Management0/0.2
failover interface ip lan-fo 192.168.109.193 255.255.255.252 standby 192.168.109.194
failover interface ip state-fo 192.168.109.197 255.255.255.252 standby 192.168.109.198
  • sh run failover (config anzeigen)
  • sh failover (status anzeigen)
  • monitoring bei logischem device anschalten
monitor interface patronas
  • Die Slave Firewall von der Master aus rebooten
 failover reload-standby


Firewall Desaster Recovery
  • Es muss sichergestellt sein, dass Ethernet 0/2 auf beiden ASA das aktive Interface ist
 interface Redundant1
 redundant-interface Redundant 1 active-member Ethernet 0/2


IPSec / VPN
  • crypto isakmp enable <interface>
  • crypto isakmp identity address
  • Phase 1 (control connection definieren) * sh crypto isakmp sa detail
crypto isakmp policy 1
authentication pre-share
encryption 3des
hash md5
group 5
lifetime 3600
  • Phase 2 (data connection definieren) * sh crypto ipsec sa peer <$VPN_PEER> * Transform Set definieren (Name für Verschlüsselung / Hashing Optionen für die wirklichen Datentunnel)
crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac

* Optional maximale Timeouts für das Rekeying definieren

crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000

* Name für VPN Peer anlegen

name 213.23.72.194 VPN_PEER_TEST

* Welcher Traffic getunnelt werden soll, wird über eine Accesslist (CMAP_$VPN_MAP) definiert
* Die Src muss immer dem Netz der Firewall entsprechen

access-list CMAP_TEST_MATCH extended permit ip 192.168.109.176 255.255.255.240 192.168.103.0 255.255.255.0
access-list CMAP_TEST_MATCH extended permit ip 192.168.109.176 255.255.255.240 192.168.100.0 255.255.255.0
access-list CMAP_TEST_MATCH extended permit ip 192.168.109.208 255.255.255.240 192.168.103.0 255.255.255.0
access-list CMAP_TEST_MATCH extended permit ip 192.168.109.208 255.255.255.240 192.168.100.0 255.255.255.0
access-list CMAP_TEST_MATCH extended permit ip host 123.123.122.66 host 192.168.100.3
access-list CMAP_TEST_MATCH extended permit ip host 123.123.122.66 host 192.168.100.1
access-list CMAP_TEST_MATCH extended permit ip 192.168.109.224 255.255.255.240 192.168.100.0 255.255.255.0
access-list CMAP_TEST_MATCH extended permit ip 192.168.109.224 255.255.255.240 192.168.103.0 255.255.255.0

* WICHTIG! Genau die selben Regeln müssen auch in die NO_NAT Access-List eingetragen werden

* Eine Cryptomap ist eine Sammlung von Phase2 gebunden an ein Interface
* Identifiziert wird über die Zahl z.B. 20

crypto map CMAP_STATIC 20 match address CMAP_TEST_MATCH
crypto map CMAP_STATIC 20 set peer VPN_PEER_TEST
crypto map CMAP_STATIC 20 set transform-set ESP-AES-256-MD5

* Optional Perfect Forwarding Secrecy (PFS) einschalten
  * Erzwingt das ein neuer Schlüssel beim Rekeying generiert wird

crypto map CMAP_STATIC 20 set pfs

  * Macht immens Probleme zwischen unterschiedlichen Peers
  • PreShared Key vergeben
  • Hier muss immer die IP verwendet werden
  • l2l heisst LAN-to-LAN
tunnel-group 123.123.11.22 type ipsec-l2l
tunnel-group 123.123.11.22 general-attributes
tunnel-group 123.123.11.22 ipsec-attributes
pre-shared-key <password>
  • Beispiel für einen neuen Tunnel
name 123.124.222.5 VPN_PEER_BLA

access-list CMAP_BLA_MATCH extended permit ip host 192.168.109.213 host 123.222.147.10
access-list NO_NAT extended permit ip host 192.168.109.213 host 123.222.147.10

crypto map CMAP_STATIC 40 match address CMAP_BLA_MATCH
crypto map CMAP_STATIC 40 set pfs
crypto map CMAP_STATIC 40 set peer VPN_PEER_BLA
crypto map CMAP_STATIC 40 set transform-set ESP-3DES-MD5
crypto map CMAP_STATIC 40 set security-association lifetime seconds 28800
crypto map CMAP_STATIC 40 set security-association lifetime kilobytes 4608000

tunnel-group 193.228.147.5 type ipsec-l2l
tunnel-group 193.228.147.5 general-attributes
default-group-policy VPN
tunnel-group 193.228.147.5 ipsec-attributes
pre-shared-key <password>
  • PPPOE configuration
 interface Vlan2
 nameif outside
 security-level 0
 pppoe client vpdn group QSC
 ip address pppoe setroute

 vpdn group ISP request dialout pppoe
 vpdn group ISP localname [your username here]
 vpdn group ISP ppp authentication chap
 vpdn username [your username here] password [your password here ]



Switch Config
  • ip domain-name patronas.int
  • user spass
aaa new-model
username <user> password 0 <pass>
  • ssh server für 15 terminals freischalten
line vty 0 15
transport input ssh
  • switch ports sind standardmaessig in vlan1
  • trunk port configurieren
switchport mode trunk
switchport trunk allowed vlan 8,9
  • einen port in ein vlan hängen
switchport access vlan 10
  • eine andere art vlan zu confen (im enable mode)
vlan database
vlan <nr> name <name>
int vlan <nr>
ip add x.x.x.x
  • default gateway einstellen
ip default-gateway 192.168.1.1
  • lacp config
 switchport mode access
 channel-protocol lacp
 channel-group 1 mode active


Firmware update on a Cisco device
  • Setup a TFTP server in the same IP range as the Cisco device to backup

the configs, IOS image and also for later to upload the new IOS image.

testrouter# copy startup-config tftp
Address or name of remote host []? 10.10.10.2
Destination filename [startup-config]?
!!
1278 bytes c opied in 0.100 secs
  • Backup Current IOS Image
testrouter# copy flash: tftp:
Source filename []? xxxxx-xx-xx.121-x.XB
Address or name of remote host []? 10.10.10.2
Destination filename [xxxxx-xx-xx.121-x.XB]?
  • Now, Load the new IOS image from the TFTP onto the flash
 ciscorouter#copy tftp: flash:
 Address or name of remote host []? 10.10.10.2
 Source filename []? c3560-ipbasek9-mz.122-40.SE.bin
 Destination filename [c3560-ipbasek9-mz.122-40.SE.bin]?
 Accessing tftp://10.10.10.2/c3560-ipbasek9-mz.122-40.SE.bin
 Loading c3560-ipbasek9-mz.122-40.SE.bin



How to repair a Cisco with erased flash
  • copy xmodem: flash:flash_filename
  • now from the “transfer” dropdown menu on the hyperterminal,

select “send file” and choose “xmodem” in the subsequent dialog box and browse for the flash_filename (the downloaded IOS bn file) and send.

  • boot flash:flash_filename