Monthly Archives: julho 2013

Protocolo ARP em redes Ethernet

O Video Blog http://kretcheu.com.br possui algumas video aulas bem interessantes. Separei um video para aqueles que gostariam de saber um pouco mais sobre o protocolo ARP em redes Ethernet.

A video-aula tem 25 minutinhos  e ajuda a compreender melhor esse protocolo tão importante para redes IPv4 e citado inúmeras vezes em artigos do blog.

Compartilhem o conteúdo!

Dicas para usar o “display current-configuration”

Dicas para usar o “display current-configuration”

Navegando pela internet descobri em alguns blogs dicas interessantes para visualizar a configuração em equipamentos com o Comware (Switches e Roteadores 3Com, H3C e HPN). Como no site: http://configureterminal.com/hp-comware/

Fiz uma pequena adaptação em português para alguns comandos que podem ser bastante úteis.

 display this

O comando display this exibe a configuração baseado na “view” de acesso. Por exemplo, se estivermos aplicando a configuração em uma interface GigabitEthernet, o comando display this exibirá as configurações aplicadas na interface.

[HP]
[HP]interface  GigabitEthernet 1/0/1
[HP-Ethernet1/0/1]display this
#
interface GigabitEthernet1/0/1
 port link-mode route
 ip address 159.63.229.149 255.255.255.252
#

display current-configuration

O comando display current-configuration exibe  a configuração aplicada corrente na “memória RAM” do equipamento. É possível extrair algumas “dicas” do comando visualizando as opções:

[HP]disp current-configuration ?
  by-linenum     Display configuration with line number
  configuration  The pre-positive and post-positive configuration information
  exclude        Display current configuration without specified module
  interface      The interface configuration information
  |              Matching output

by-linenum

O “sufixo” by-lineum permite exibir a configuração numerada, como por exemplo, facilitando o troubleshooting remoto para identificar a linha que deseja demonstrar ao outro técnico.

[HP]display current-configuration by-linenum
    1:  #
    2:   version 5.20, Release 9101
    3:  #
    4:   sysname SW1
    5:  #
    6:   undo voice vlan mac-address 00e0-bb00-0000
    7:  #
    8:   domain default enable system
    9:  #
   10:   ip unreachables enable
   11:  #
   12:   lldp enable
   13:  #
   14:   rpr mac-address timer aging 100
   15:  #
   16:  vlan 1
   17:  #
   18:  domain system
   19:   access-limit disable
  ---- More ----

configuration

O “sufixo” configuration permite exibir a configuração de determinado processo…

[HP]disp current-configuration configuration ?
  attack-defense-policy  Display Attack-defense-policy configuration
  bgp                    Display Bgp configuration
  by-linenum             Display configuration with line number
  isp                    Display Isp configuration
  post-system            Display Post-system configuration
  route-policy           Display Route-policy configuration
  system                 Display System configuration
  ugroup                 Display Ugroup configuration
  user-interface         Display User-interface configuration
  wlan-rrm               Display Wlan-rrm configuration
  |                      Matching output

[SW1]display  current-configuration configuration bgp
#
bgp 65012
 import-route direct
 undo synchronization
 peer 172.16.0.2 as-number 65000
 peer 172.16.0.2 advertise-community
 peer 172.16.0.2 substitute-as
#
return

Pipe |

A utilização do “|” permite selecionarmos apenas parte da configuração para ser exibida , incluindo a utilização de algumas expressões regulares. O “include” exibe apenas parte da configuração que contêm a palavra selecionada, o “begin” exibe a configuração a partir da primeira palavra encontrada e o “exclude” exibe a configuração sem a palavra selecionada.

[HP]display current-configuration | ?
  begin    Begin with the line that matches
  exclude  Match the character strings excluding the regular expression
  include  Match the character strings including with the regular expression

No exemplo abaixo, utilizaremos o include para visualizar a parte da configuração que inclua a palavra “face”

[HP]display current-configuration | include face
interface NULL0
interface GigabitEthernet1/0/1
interface GigabitEthernet1/0/2
interface GigabitEthernet1/0/3
interface GigabitEthernet1/0/4
interface GigabitEthernet1/0/5
interface GigabitEthernet1/0/6
interface GigabitEthernet1/0/7
interface GigabitEthernet1/0/8
interface GigabitEthernet1/0/9
interface GigabitEthernet1/0/10
interface GigabitEthernet1/0/11
interface GigabitEthernet1/0/12
interface GigabitEthernet1/0/13
interface GigabitEthernet1/0/14
interface GigabitEthernet1/0/15
interface GigabitEthernet1/0/16
interface GigabitEthernet1/0/17
interface GigabitEthernet1/0/18
interface GigabitEthernet1/0/19
interface GigabitEthernet1/0/20
interface GigabitEthernet1/0/21
interface GigabitEthernet1/0/22
  ---- More ----

[HP]display  current-configuration | include ^v
vlan 1
vlan 2 to 4
vlan 10
vlan 20
vlan 30
vlan 40

Outros inumeros exemplos podem ser utilizados com expressões regulares para filtro de exibição da configuração.

A utilização do “begin” exibe a configuração a partir da primeira palavra encontrada (parte da palavra).

[HP]display current-configuration | begin Ten
interface Ten-GigabitEthernet1/0/25
 port link-type trunk
 port trunk permit vlan 1 20
#
interface Ten-GigabitEthernet1/0/26
#
interface Ten-GigabitEthernet1/0/27
#
interface Ten-GigabitEthernet1/0/28
#
user-interface aux 0
user-interface vty 0 15
#
return
[HP]

outros comandos interessantes para visualizar a configuração são os caracteres “/” or “+” or “-“:

/ o mesmo que “begin”
+ o mesmo que “include”
- o mesmo que “exclude”

O primeiro primeiro passo é digitar o ” display current”

[HP]display current-configuration
#
 version 5.20, Release 1110P05
#
 sysname HP
#
 irf mac-address persistent timer
 irf auto-update enable
 undo irf link-delay
#
 domain default enable system
#
 telnet server enable
#
vlan 1
#
radius scheme system
 server-type extended
 primary authentication 127.0.0.1 1645
 primary accounting 127.0.0.1 1646
 user-name-format without-domain
#
domain system
 access-limit disable
  ---- More ----

Quando o “—More—” aparecer para a paginação da configuração, digite a tecla “/” mais a palavra para filtro da configuração. Em nosso exemplo usaremos “/Ten”:

/Ten
filtering...
interface Ten-GigabitEthernet1/0/25
 port link-type trunk
 port trunk permit vlan 1 10
#
interface Ten-GigabitEthernet1/0/26
#
interface Ten-GigabitEthernet1/0/27
#
interface Ten-GigabitEthernet1/0/28
#
ospf 1
 area 0.0.0.0
  network 10.1.1.1 0.0.0.0
  network 10.1.2.1 0.0.0.0
#
 load xml-configuration
#
user-interface aux 0
user-interface vty 0 15
#
return
[HP]

Utilize o “-” para não exibir parte da da configuração. Em nosso exemplo, “net”:

-net

filtering...
#
interface NULL0
#
 port link-mode bridge
#
 port link-mode bridge
#
 port link-mode bridge
#
 port link-mode bridge
#
 port link-mode bridge
#
 port link-mode bridge
#
 port link-mode bridge
  ---- More ----

Até logo! ;)

Troubleshooting: o Switch perde as configurações ao reiniciar…

As vezes recebo alguns emails sobre problemas de Switches 3Com/H3C/HPN que “sempre” perdem a configuração ao reiniciar.Alguns procedimentos podem ser verificados para resolver o problema:

Veja se o arquivo de configuração “*.cfg” está na memoria flash. Após salvar a configuração com o comando “save” digite no modo system-view “dir“:

<Switch>  dir

Veja se o arquivo está com as configurações na memória flash do Switch, com o comando:

<Switch> more nomedoarquivo.cfg

Se tudo estiver ok, veja se na “startup” do Switch está direcionado para o arquivo de configuração:

<Switch>  display startup

Se tudo isso estiver correto, uma última opção a ser verificada é o boot do Switch (que talvez esteja habilitado para “pular” a configuração)… para corrigir, reinicie o Switch e pare o boot com Crtl + B, a Senha deverá ser em branco, escolha a opção Skip current config… e desabilite a opção. Reinicie o Switch e veja se o procedimento deu certo.

Até a próxima!

iMC: Filtrando os Traps das Interfaces

Segue um vídeo do canal do iMC no youtube ensinando como filtrar os traps de Interfaces na ferramenta. Apesar da narração do vídeo ser em inglês é bem prático e intuitivo.

See you soon! ;)

iMC: Coleta de Túneis VPN no ASA

Galera, dando uma fuçada na Internet achei um post bem interessante para a coleta de Túneis VPN IPSec no ASA pelo iMC no site http://www.myteneo.net/home/-/blogs/24929/maximized?p_p_auth=sUEDa2Tr&_33_returnToFullPageURL=%2Fhome . O Post é bem simples e então fiz uma peque adaptação em português (espero não confundir ninguém). ;)

O OID usado é o número dos túneis ativos da Fase1 IKE: .1.3.6.1.4.1.9.9.171.1.2.1.1.0

Segue o print do Performance Index da coleta:


HP-IMC-ASA-VPNStats
Depois disso, clique no botão “TEST” na parte inferior da tela. Digite o endereço IP do ASA que pretende coletar e clique em “Resolve”.

Uma vez resolvido o OID, você deve ver a instância adicionada a partir da entrada de dados que você inseriu última tela.

Selecione “Start” para ter certeza que está recebendo os dados.

HP-IMC-ASACollect-Test

Espere alguns segundos para os valores serem coletados. Aparentando estar ok, clique em “Stop”. Então clique “Back” para voltar as definições de configuração e clique “Apply”.

Resumo sobre Border Gateway Protocol (BGP) – MASE Network Infrastructure – parte 1 de 2

Galera, esses dias participei de um treinamento para a certficação MASE Network Infrastructure voltado para a prova HP0-Y36.Fiz algumas anotações e conforme for organizando os “.txts” dos rascunhos, compartilharei aqui no blog para quem precisar da revisão para a prova. Espero que seja útil.

O Protocolo BGP é considerado o mais robusto Protocolo de  Roteamento para redes IP. Sua complexidade permite a conexão de múltiplos Sistemas Autônomos, chamados de AS (Autonomous systems), permitindo o roteamento dinâmico na Internet.

Um Sistema Autônomo é uma coleção de prefixos (rotas) sobre uma mesma política de roteamento e sobre o controle administrativo de uma mesma entidade (empresas, provedores de Internet [ISP’s]).

A Internet consiste em redes Comerciais conectadas por Provedores (ISP’s) como Telefônica,Embratel, Oi, CTBC e etc. Cada rede comercial ou Provedor deve ser identificado pelo Número do seu Sistema Autônomo (ASN) sobre controle do IANA .

O range disponível para o BGP é de 1 até 65635. Os ASN públicos disponíveis vão de 1 até 64511, já a utilização dentro de uma empresa do BGP, sem a comunicação com a Internet, poderá utilizar os valores de 64512 até 65535, chamados de uso privado.

A função primária de um sistema BGP é trocar informação de acesso à rede, inclusive informações sobre a lista das trajetórias dos ASes, com outros sistemas BGP. Esta informação pode ser usada para construir uma rede de conectividade dos ASes livre de loops de roteamento.

O BGP é considerado um Protocolo de Vetor de Distância avançado utilizando-se de vetores para contagem de saltos para cada destino. A contagem de saltos para o BGP é baseada em ASes.

  • O BGP é considerado um protocolo de roteamento externo usado para transmitir informações de roteamento entre ASes e como ponto de troca entre organizações.
  • Desenhado para grandes redes com necessidade complexas para políticas de roteamento.
  • O BGP roda sobre  TCP (porta 179) e requer a configuração manual  para conexão com o vizinho (peering).
  • BGP versão 4
  • Providencia uma série de atributos (métricas) para os prefixos anunciados, além de suportar CIDR. Também suporta diversas estratégias de filtro para o roteamento
  • Não gera informações periódicas de roteamento e sim atualizações engatilhadas (* triggered updates para os peers) além de mandar as atualizações em lote para os seus vizinhos  (* “batch” route updates).

Protocolos de roteamento interior (IGP) vs exterior (EGP)

  • Interior (RIP, OSPF, EIGRP, ISIS,etc)
    • descobrimento automático de vizinhos
    • os roteadores internos possuem informação completa da tabela de rotas
  • Exterior (BGP)
    •  os vizinhos são configurados estaticamente (não há um sub-processo como o Hello do OSPF para descoberta de vizinhos)
    • conexão com redes externas
    • demarcação clara de limites administrativos

Operação Geral

Roteadores BGP aprendem multiplos caminhos via BGP internos e externos.  Eles escolhem SOMENTE o melhor caminho e instala na tabela de roteamento IP. O Roteador BGP anuncia apenas as rotas que este utiliza (apesar da possibilidade de aprender sobre multiplos caminhos).

BGP peer

- A comunicação BGP entre roteadores é sobre uma conexão TCP.

- Roteadores são pares (peer) são classificados em:

  • … eBGP peer (external BGP)  se os roteadores estão em um Sistema Autonomo diferente
  • … iBGP peer (internal BGP)  se os roteadores estão em um  mesmo Sistema Autonomo.

- eBGP peer devem ter um link direto entre eles.

- iBGP peer não necessitam ter um link direto.

Obs: dentro de um AS os roteadores trocam roteamento interno via IGP, já os roteadores eBGP geralmente não trocam roteamento via IGP.

Configuração eBGP

Resumo BGP

As mensagens eBGP são encapsuladas no pacote IP com o TTL=1 por padrão. Caso seja necessário a conexão entre vizinhos eBGP por uma interface Loopback, o TTL deve ser alterado para 2: adicione o comando peer ebgpmax-hop 2

bgp 10
  peer <endereço da loopback do vizinho> as-number 20
  peer <endereço da loopback do vizinho> ebgp-max-hop 2
  peer <endereço da loopback do vizinho> connect-interface loopback0

Obs: Geralmente utilizado em cenários com redundância de Link. Certifique-se que o roteamento da interface Loopback do vizinho seja acessível pelos links redundantes.

Configuração iBGP

Devido ao fato de uma interface looopback estar sempre UP, ela é utilizada para configurar uma conexão TCP estável entre 2 vizinhos iBGP (geralmente a conexão é estabelecida via IGP).

Resumo iBGP

Observações

- Uma rota aprendida via iBGP não é ensinada para outros vizinhos iBGP como forma de prevenção de loop de roteamento

- Os roteadores iBGP de um AS devem formar uma conexão “full mesh” entre si ou utilizar outros mecanismos como Route Reflector e Confederation.

- Roteadores conectados via iBGP não necessitam estar diretamente conectado e sim acessivel via IGP (static, RIP, OSPF, etc.)

- Um Roteador iBGP não altera o next-hop de um prefixo aprendido via eBGP e que é ensinado na atualização para um vizinho iBGP. Certifique-se que o next-hop (endereço IP do próximo salto) seja acessível via IGP em todos roteadores do AS ou altere o next-hop para o vizinho das rotas aprendidas por eBGP com o comando “peer <endereço IP do peer iBGP> next-hop-local

Quando configurar um peer iBGP, lembre-se:

* Utilize o endereço da interface loopback do vizinho

* Utilize a sua interface loopback para conexão com o comando “connect interface
* Se o numero de vizinhos é grande, utilize a configuração de “groups

# Peer group Configuration
 bgp 10
 group as20 internal
 peer as20 as-number 20
 peer as20 connect-interface loopback0
 peer 192.1.254.2 group as20
 peer 192.1.254.3 group as20
 peer 192.1.254.4 group as20
 peer 192.1.254.5 group as20

Dica: O status correto para o “peering” entre 2 Roteadores iBGP e eBGP é Established

 Rotas BGP

Para uma rota ser anunciada no BGP, ela deve existir no Roteador (como estática, IGP, BGP)

1. redistribuição dinamica do IGP

- nem sempre a melhor opção
- requer configuração cuidadosas de filtragem de rotas
- caso um prefixo não esteja na tabela do IGP este deixa de ser anunciado
- mais utilizados em cenarios PE-CE

2. Redistribuição de rotas estáticas apontando para Null0 – mesmo que os prefixos estejam fora do IGP as redes são anunciadas

bgp 30
import-route static
quit
!
ip route 198.10.0.0 255.255.0.0 null 0

3. Comando network

- redes origininadas pelo roteador local
- rota deve existir no IGP

router bgp 30
network 192.168.0.0 255.255.0.0

Até logo! :)

No próximo post o resumo abordará algumas questões a manipulação e a escolha do melhor caminho para o BGP.