Switches ArubaOS: Configurando DHCP Server no Switch

Diego DiasLeave a comment

O post de hoje foi escrito em colaboração com o Rafael Eduardo, para a criação de servidor DHCP em Switches ArubaOS. A funcionalidade é bastante útil em localidades de pequeno e médio porte, que assim, utilizando o Switch como Servidor DHCP, acabam economizando recursos em infraestrutura, energia elétrica, ativos de rede etc.

Configuração

 vlan 4
   tagged 1-3,8
   ip address 192.168.4.1 255.255.255.0
   dhcp-server
! Habilitando o dhcp-server na VLAN   
   exit

Script para criar o pool de dhcp para aquela Vlan

dhcp-server pool "VLAN4"
    default-router "192.168.4.1"
 ! Endereço IP do Gateway   
    dns-server "8.8.8.8,8.8.4.4"
 ! Endereços IP do servidor DNS   
    network 192.168.4.0 255.255.255.0
 ! Endereço da Rede   
    range 192.168.4.2 192.168.4.254
 ! Endereços que serão fornecidos para as requisições DHCP na rede.  
    exit

dhcp-server enable
! Habilitando o servidor DHCP globalmente no Switch

Trocando informações no escopo DHCP

Caso haja a necessidade de trocar alguma informação no escopo DCHP de uma VLAN, siga os passos abaixo:

1º Desabilite o dhcp server

dhcp-server disable

2º Escolha o pool a ser editado

dhcp-server pool "VLAN4"

3º Remova o item a ser editado no caso abaixo o range

no range 192.168.4.2 192.168.4.254

4º Configure o novo escopo a ser entregue pelo Switch via DHCP

range 192.168.4.5 192.168.4.250

5º Habilite o serviço DHCP novamente

dhcp-server enable

Dicas de comandos show

Para verificar o Pool de IPs e quantos estão livres para atribuição, digite:

show dhcp-server pool

Para verificar os IPs atribuídos

show dhcp-server binding

Switches 3Com 5500 – Guia rápido de Configuração!!! Parte 2

Diego DiasLeave a comment

Aprenda a configurar switches 3Com 5500 de forma rápida e eficiente com esta segunda parte do guia rápido!

Syslog
[Switch]info-center loghost 10.1.1.1
Encaminhando mensagens os Logs para o Servidor de Syslog 10.1.1.1

NTP
[Switch]ntp-service unicast-server 10.1.1.2
Configurando o sincronismo do relógio com o servidor 10.1.1.2

BANNER
header motd %
=================================================================

“This system resource are restricted to Corporate official business and subject to being monitored at any time. Anyone using this network device or system resource expressly consents to such monitoring and to any evidence of unauthorized access, use or modification being used for criminal prosecution.”

=================================================================
%
Mensagem exibida para os usuários que farão acesso ao Switch. O inicio e fim da mensagem é delimitado por um caractere especial, no nosso exemplo, utilizamos o %

Atualizando o Switch via Servidor TFTP
<Switch> tftp 10.1.1.10 get s4e04_02.btm
<Switch> tftp 10.1.1.10 get s4m03_03_02s168ep05.app
Copiando os arquivos .btm e .app do Servidor de TFTP para o SWitch
<Switch>boot bootrom s4e04_02.btm
Forçando o Bootrom com o arquivo s4e04_02.btm 
<Switch> boot boot-loader s4m03_03_02s168ep05.app
Forçando o .app (Sistema Operacional) com o arquivo s4m03_03_02s168ep05.app
<Reboot>

Atribuindo as portas como Edged(portfast)
[Switch]interface Ethernet 1/0/1
[Switch-Ethernet1/0/1] stp edged-port enable
A porta configurada como edged-port entrará automaticamente em estado encaminhamento (pulando os estados iniciais do STP ou RSTP) e não gerará mensagens de notificação à topologia em caso de UP ou DOWN

STP Root Protection
[Switch]interface Ethernet1/0/3
[Switch-Ethernet1/0/3]stp root-protection
Se a porta configurada com Root-protection receber um BPDU Superior ao Root (querendo tornar-se Root no STP), a mesma não trafegará dados até cessar o recebimento dos BPDUs superiores naquela porta

Configurando SSH
[Switch] rsa local-key-pair create
Gerando as chaves RSA
[Switch] user-interface vty 0 4
[Switch-ui-vty0-4] authentication-mode scheme
[Switch-ui-vty0-4] protocol inbound ssh
Configurando modo de autenticação SOMENTE para SSH
[Switch-ui-vty0-4] quit
[Switch] local-user clientex
[Switch-luser-clientex] password simple 3com
[Switch-luser-clientex] service-type ssh level 3
Permitindo o usuário clientex conectar via SSH com permissão de administrador (3)
[Switch-luser-client2] quit
[Switch] ssh authentication-type default all

Configurando autenticação no Switch via RADIUS
radius scheme empresax
Criando o Scheme para o RADIUS chamado empresax
primary authentication 10.110.91.164 1645
Configurando o servidor de autenticação com o IP 10.110.91.164 com a porta 1645
primary accounting 10.110.91.164 1646
Configurando o servidor de contabiilidade com o IP 10.110.91.164 com a porta 1646
key authentication Swsec2011
Configurando a chave Swsec2011 compartilhada entre o RADIUS e o Switch
key accounting Swsec2011
Configurando a chave para contabilidade Swsec2011 compartilhada entre o RADIUS e o Switch
user-name-format without-domain
Configurando a autenticação para encaminhamento do usuário sem o formato nome@dominio (nome@empresax)
#
domain empresax
Criando o domínio empresax
authentication radius-scheme empresax
Efetuando o vinculo do radius empresax com o domínio empresax
#
domain default enable empresax
Na utilização de mais de um domínio, o domínio default será o domínio empresax
#
user-interface vty 0 4
authentication-mode scheme
Habilitando a utilização na interface vty 0 4 de Telnet ou SSH para utilização do RADIUS para
autenticação ao Switch

Configurando uma porta conectada a um Telefone IP e um Host (na mesma porta).
[Switch] interface ethernet 1/0/6
[Switch-Ethernet1/0/6] port link-type trunk
[Switch-Ethernet1/0/6] port trunk permit vlan 2 4
Configurando a porta para permitir a VLAN 2 ( telefonia) e VLAN 4 (Host)
[Switch-Ethernet1/0/6] port trunk pvid vlan 4
Configurando a porta para enviar e receber frames não-tagueados na VLAN 4

Port Security
[Switch] port-security enable
[Switch] interface Ethernet 1/0/1
[Switch-Ethernet1/0/1] port-security max-mac-count 1
Configurando o Port Security para permitir o aprendizado de somente um endereço MAC
[Switch-Ethernet1/0/1] port-security port-mode autolearn
Configurando o Port Security para aprender dinamicamente o endereço MAC “amarrado a porta”. Se outro endereço MAC for aprendido após o primeiro aprendizado a porta entra´ra em estado de violação e não trafegará dados! 

DHCP-Relay 
[Switch] dhcp enable
Ativando o serviço DHCP
[Switch] dhcp –server 1 ip 10.1.1.1
Adicionando o servidor DHCP 10.1.1.1 dentro do grupo 1.
[Switch] interface vlan-interface 2
[Switch-Vlan-interface2] ip address 192.168.1.1 255.255.255.0
[Switch-Vlan-interface2] dhcp-server 1
Correlacionando a VLAN-interface 2 para o grupo DHCP 1

Saúde e Sucesso a todos!!!!

Perguntas e Respostas: VRF x VPN-instance

Diego DiasLeave a comment

Pessoal, segue abaixo um pequeno resumo sobre a nomenclatura utilizada nas documentações Cisco x HP sobre o assunto VRF. Acredito que possa ajudar de forma rápida a entender alguns conceitos:

VRF: Virtual Routing and Forwarding
A utilização de VRFs (Virtual Routing and Forwarding) em Roteadores permite a criação de tabelas de roteamentos virtuais que trabalham de forma independente da tabela de roteamento “normal”, protegendo os processos de roteamento de cada cliente de forma individual. Utilizado em cenários MPLS L3VPN com MP-BGP.

VRF Lite
A mesma funcionalidade que a VRF para criação de tabelas de roteamento independentes, mas nomeado para cenários sem MPLS L3VPN. Chamado também de Multi-VRF.

VPN-Instance
Termo utilizado nas documentações HP para VRF no Comware.

MCE (Multi CE)
Termo utilizado nas documentações HP para VRF-Lite.

Dúvidas e colocações, deixe um comentário.

Vídeo: Comware 7 – QoS – CAR

Diego DiasLeave a comment

A configuração de Politicas de QoS visam oferecer qualidade de serviço para o tráfego da Rede. Nesse vídeo falamos da configuração de CAR (Commited Access Rate) para limitar a banda trafegada em uma porta VLAN e etc.

QoS CAR, sigla para Committed Access Rate (Taxa de Acesso Comprometida), é um recurso utilizado em redes de computadores para realizar policiamento de tráfego como parte do Quality of Service (QoS). Ele funciona na camada de enlace de dados (camada 2) do modelo OSI, garantindo que o tráfego na rede respeite limites predefinidos de taxa de bits.

Como funciona o QoS CAR?

O QoS CAR utiliza um algoritmo baseado no modelo do balde com token para controlar o tráfego. Imagine um balde com um tamanho fixo (taxa de acesso comprometida) e tokens sendo adicionados a ele a uma taxa fixa (taxa de token). Cada pacote de dados que chega na interface requer um token para passar.

  • Pacotes conformes: Se o balde possui tokens suficientes, o pacote é considerado conforme e é liberado para seguir adiante.
  • Pacotes excedentes: Se o balde estiver vazio e o pacote chegar em um pico de tráfego, o pacote é considerado excedente. Ações predefinidas, como marcar o pacote com baixa prioridade ou descartá-lo, são então aplicadas.

Benefícios do QoS CAR:

  • Controle de largura de banda: O QoS CAR permite limitar a taxa de tráfego de um fluxo específico, garantindo banda mínima para aplicações críticas, como VoIP ou videoconferência.
  • Prevenção de congestionamento: Ao limitar o tráfego excedente, o QoS CAR evita o congestionamento da rede, assegurando o bom desempenho para todos os usuários.
  • Melhora da prioridade de tráfego: O QoS CAR possibilita a marcação de pacotes com diferentes níveis de prioridade, permitindo que aplicações sensíveis à latência recebam tratamento diferenciado.

Considerações importantes:

  • Configuração: O QoS CAR requer a definição de parâmetros como taxa de acesso comprometida, taxa de token e ações para pacotes excedentes. A configuração adequada é crucial para o bom funcionamento do QoS CAR.
  • Não é modelagem de tráfego: O QoS CAR não garante a entrega de pacotes em intervalos regulares, apenas limita a taxa de tráfego. Para garantir a entrega em tempo real, técnicas de modelagem de tráfego podem ser utilizadas em conjunto com o QoS CAR.

Aplicações do QoS CAR:

O QoS CAR é amplamente utilizado em redes com tráfego heterogêneo, onde é necessário garantir a performance de aplicações críticas e evitar congestionamento. Alguns exemplos de cenários onde o QoS CAR é útil incluem:

  • Redes corporativas: Para priorizar o tráfego de VoIP e videoconferência sobre downloads ou uploads de arquivos grandes.
  • Redes de provedores de serviços de internet (ISP): Para garantir a qualidade de serviços como streaming de vídeo e jogos online.

Em resumo, o QoS CAR é uma ferramenta valiosa para o gerenciamento de tráfego em redes de computadores. Ao controlar a taxa de acesso e priorizar fluxos específicos, o QoS CAR contribui para uma rede mais estável e performática.

ArubaOS-CX: Validando o tipo de transceiver e cabo DAC conectado ao Switch

Diego DiasLeave a comment

Os switches ArubaOS-CX permitem a verificação dos transceivers e cabos DAC conectados ao equipamento, incluindo também as informações do Part Number, Serial Number, suporte a DOM, transceivers não suportados etc., através do comando show interface transceiver e show interface transceiver detail

Switch(config)# show interface transceiver
------------------------------------------------------------------
Port      Type           Product      Serial          Part
                         Number       Number          Number
------------------------------------------------------------------
1/1/25    SFP56DAC0.65   R0M46A       CN91KKAAAB      8121-1715
1/1/26    SFP56DAC0.65   R0M46A       CN91KKAAAC      8121-1715
1/1/27    SFP+DAC1       J9281B       CN2275AAAD      8121-1151
1/1/28    SFP+DAC1       J9281B       CN2295AAAE      8121-1151

switch(config)# show interface transceiver detail
Transceiver in 1/1/8
 Interface Name      : 1/1/8 
 Type                : SFP+SR                                        
 Connector Type      : LC                                            
 Wavelength          : 850nm                                         
 Transfer Distance   : 0.00km (SMF), 20m (OM1), 80m (OM2), 300m (OM3)
 Diagnostic Support  : DOM                                           
 Product Number      : J9150D                                        
 Serial Number       : CN92KJAAA2                                    
 Part Number         : 1990-4634                                     
                                                                     
 Status                                                              
  Temperature : 30.38C                                               
  Voltage     : 3.26V                                                
  Tx Bias     : 5.54mA                                               
  Rx Power    : 0.56mW, -2.52dBm                                     
  Tx Power    : 0.62mW, -2.08dBm                                     
                                                                     
 Recent Alarms:                                                      
                                                                     
 Recent Errors:

Obs: geralmente as informações dos números seriais são utilizadas para registrar os equipamentos com o fabricante, solicitar garantia de suporte, inventário etc.

Switches ArubaOS – Espelhamento de porta / port-mirroring / SPAN

Diego DiasLeave a comment

O espelhamento de porta (SPAN – Switch Port Analyzer) é uma técnica que permite que o Switch efetue a cópia dos pacotes de uma porta para uma outra porta do Switch.

Essa técnica é bastante utilizada quando precisamos analisar o comportamento da rede como por exemplo, identificação da comunicação de uma aplicação, troubleshooting, direcionar o tráfego inúmeras atividades de segurança como IDS etc.

Configurando o espelhamento de porta

Crie um “mirror” e adicione a interface a ser usada como porta para captura de pacotes. Neste caso a porta 9 será usada para receber os pacotes duplicados.

mirror 1 port 9
! Criando o Grupo 1 para o Espelhamento, vinculando a porta 9 para recebimento do tráfego capturado

Selecione a interface  que terá o tráfego duplicado e vincule ao processo do mirror. O tráfego dessas portas será copiado para a porta mirror para captura. Neste exemplo, a interface ou porta Ethernet 1 duplicará seu tráfego para o “mirror 1”.


interface 2
monitor all both mirror 1
! Configurando a Porta de origem (2) que terá seu tráfego copiado no sentido inbound (entrada) e outbound (saída); comando both para o mirror 1

Conecte um notebook à interface 9 no switch e use o wireshark, TCPDUMP ou o cliente PCAP de sua escolha para analisar o tráfego.

Vídeo: Comware 7 – Configurando Link-Aggregation

Diego DiasLeave a comment

A agregação de links, também conhecida como Link Aggregation (IEEE 802.3ad), é um protocolo padronizado que permite combinar múltiplas conexões Ethernet em um único canal virtual, aumentando significativamente a largura de banda disponível e aprimorando a redundância da rede. Essa tecnologia é comumente utilizada em ambientes de alta performance e missão crítica,

Nesse vídeo, utilizando o Simulador HCL, demonstramos a configuração do Link-Aggregation.

Switches ArubaOS : Armazenando as credenciais no arquivo de configuração (include-credentials)

Diego DiasLeave a comment

Por padrão, nos Switches ArubaOS, as credenciais não são adicionadas ao arquivo de configurações, com o objetivo de proteger a sua visualização.

Caso haja o desejo de visualizá-las no arquivo de configuração, será necessário habilitar o comando include-credentials, permitindo assim visualizar no arquivo de configuração, como também apagá-las na startup-config.

Habilitando o include-credentials será possível visualizar o usuário em texto plano e a senha em hash, como por exemplo em SHA1 (sendo possível descobrir a senha utilizada utilizando ferramentas online).

Para proteger as credenciais após o include-credentials, digite encrypt-credentials para cifrar o password em aes-256-cbc, no arquivo de configuração.

Vídeo: HARDENING GUIDE – EQUIPAMENTOS HP E ARUBA (Oficial)

Diego DiasLeave a comment

No vídeo compartilhamos como encontrar os documentos oficiais dos fabricantes HP e Aruba para configurações de hardening para as soluções de Switches baseados no Comware, ArubaOS, ArubaOS-CX, solução de controladora (Mobility Controller e Mobility Conductor), IAPs, SD-Branch, ClearPass, etc.