Comware 7 – Autenticação de TACACS com Tac_plus

Galera, durante a criação de um laboratório para testes de autenticação com TACACS de Roteadores MSR com Comware7, utilizamos o Debian com o tac_plus como Servidor.

Segue abaixo os scripts utilizados:

#
# tacacs configuration file
# Pierre-Yves Maunier – 20060713
# /etc/tac_plus.conf
# set the key
key = labcomutadores
accounting file = /var/log/tac_plus.acct
# users accounts
user = student1 {
	login = cleartext "normal"
	enable = cleartext "enable"
	name = "Usuario Teste"
	service = exec {
	    roles="network-admin"
       }
}
user = student2 {
	login = cleartext "normal"
	enable = cleartext "enable"
	name = "Usuario Teste"
	service = exec {
	    roles="network-operator"	
        }
}

Configuração do Roteador MSR HP

wtacacs scheme tac
primary authentication 192.168.1.10
primary authorization 192.168.1.10
primary accounting 192.168.1.10
! endereço do servidor TACACS
key authentication simple labcomutadores
key authorization simple labcomutadores
key accounting simple labcomutadores
user-name-format without-domain
#
domain tac.com.br
authentication login hwtacacs-scheme tac local
authorization login hwtacacs-scheme tac local
accounting login hwtacacs-scheme tac local
#
domain default enable tac.com.br
#
user-interface vty 0 4
authentication-mode scheme

Até logo

Comware 7: QoS – Marcação, Filas “Local Precedence” e Tabela “Mapping Table”

Os Switches Comware possuem 8 filas (0 a 7) para encaminhamento de pacotes em uma interface, para assim,  serem trabalhadas em diferentes modelos de QoS, permitindo configurar uma preferência a determinadas filas de saída em caso de congestionamento na interface.

O encaminhamento de pacotes para as filas de saída é baseado na marcação de pacotes,quadros e labels, sendo efetuado na entrada dos dados (no Switch) ou já marcados por qualquer Aplicação ou Telefone IP.

Para confiar na macação já efetuada em outro dispositivo ou aplicação digite na interface qos trust [ auto | dot1p | dscp | exp ]

[SW1-Ethernet1/0/1]qos trust ?
  auto   Trust auto
  dot1p  Trust 802.1p Precedence
  dscp   Trust DSCP
  exp    Trust EXP

Caso pretenda marcar os pacotes de entrada de uma interface baseado por protocolo/aplicação (HTTP, FTP, SAP, etc) siga os seguintes passos:

  1. selecione o tráfego com uma ACL (match),
  2. vincule  a ACL no Classifier
  3.  crie o Behavior com a marcação
  4.  vincule o Classifier com o Behavior dentro de uma policy
  5.  Atribua a policy a uma ou mais interfaces de entrada do tráfego ou VLANs.

No exemplo abaixo, mostramos a marcação do trafego HTTP com o valor DSCP 24 e o trafego de Voz com o DSCP 46. Depois, aplicamos a policy na interface de entrada do trafego no Switch.

# Criando as ACL para match no tráfego
!
acl number 3001 name MATCH_WWW
 rule permit tcp destination-port eq www
rule deny ip
! Selecionando o tráfego HTTP porta 80 como destino
!
acl number 3002 name MATCH_VOZ
rule permit ip source 10.248.0.0 0.0.255.255
rule deny ip
! Selecionando  a rede de Telefonia IP
!
# Classificando o tráfego baseado nas ACL’s
!
traffic classifier MATCH_HTTP 
 if-match acl  3001
! Classificação do tráfego da ACL  MATCH_WWW
!
traffic classifier MATCH_VOIP 
if-match acl  3002
! Classificação do tráfego da ACL MATCH_VOZ
!
#  Criando os Behavior’s para futura marcação
!
traffic behavior HTTP_MARK_CS3
remark  dscp  24
! Criando o behavior para a marcação com o dscp 24 (CS3)
!
traffic behavior VOIP_MARK_EF
remark  dscp  46
! Criando o behavior para a marcação com o dscp 46 (EF)
!
# Criando a policy para o vinculo da classificação (classifier)
! com o comportamento (behavior)
!
qos policy QOS_MARK_ONLY
classifier MATCH_HTTP  behavior HTTP_MARK_CS3
classifier MATCH_VOIP  behavior VOIP_MARK_EF
!
# Vinculando a policy para a Interface  de entrada do tráfego
interface Ethernet1/0/1
 port link-mode bridge
 qos apply policy QOS_MARK_ONLY inbound
!

Local Precedence e Mapping Table

Com os dados já marcados (pelo Switch, ou não) é possível tratar o encaminhamento de pacotes com diversas técnicas de enfileiramento como Priority Queue, Weight Round –Robin, Weight Fair Queue, etc. Há também a possíbilidade de configurar o descarte de pacotes por amostra ou prioridade para descarte (drop) para evitar o congestionamento de uma interface.

A tabela “Mapping Table” nos Switches 3Com/H3C/HPN com o Sistema Operacional Comware 5 permite a visualização de qual fila (do total de 8 filas do Switch) o Switch encaminhará o pacote marcado. A tabela também demonstra qual será o mapeamento  em caso de troca de marcação de um valor para outro, por exemplo, Cos para DSCP.

Já a fila local do Switch para onde serão encaminhados os pacotes marcados é chamada de “Local Precedence”.

Para visualizar o mapeamento digite display qos map-table

<4800G>display qos map-table
! Comando digitado em um Switch 3Com 4800G
MAP-TABLE NAME: dot1p-lp   TYPE: pre-define
IMPORT  :  EXPORT
0    :    2
1    :    0
2    :    1
3    :    3
4    :    4
5    :    5
6    :    6
7    :    7
< saída omitida>

Caso seja necessário a troca da fila de saída para um determinado tráfego marcado é possível trocar via comando qos map table. No exemplo abaixo é vizualizamos que a marcação DSCP 24 está na fila  local-precedence 3 do Switch, então faremos na seguida o mapeamento local no Switch para que a marcação citada faça parte da fila 2.

[Switch]display qos map-table | begin dscp-lp

MAP-TABLE NAME: dscp-lp   TYPE: pre-define
IMPORT  :  EXPORT
0    :    0
1    :    0
2    :    0
3    :    0
4    :    0
5    :    0
6    :    0
7    :    0
8    :    1
9    :    1
10    :    1
11    :    1
12    :    1
13    :    1
14    :    1
15    :    1
16    :    2
17    :    2
18    :    2
19    :    2
20    :    2
21    :    2
22    :    2
23    :    2
24    :    3
<saida omitida>

# Configurando a mudança de fila para o valor DSCP 24
#
qos map-table dscp-lp
import 24 export 2
#

Agora você pode me perguntar: “-  Ah, mas após  a marcação e também a alteração da fila local do Switch, como podemos usar isso na prática?”

Simples, podemos usar qualquer algoritimo de enfileiramento  para determinar as prioridades ou garantia de banda. No exemplo abaixo, faremos a garantia de banda de 10Mb para a fila 2 em caso de congestionamento na interface usando o algoritmo WFQ  

interface Ethernet1/0/1
 description INTERFACE_OUTBOUND_INTERNET
 qos wfq 
 qos bandwidth queue 2 min 10240
 qos bandwidth queue 5 min 4096
#

O tráfego marcado com EF (DSCP 46) já está mapeado por padrão pelo Switch na fila 5 e terá a garantia de 4Mb de banda. O tráfego não marcado ( geralmente mapeado para a fila zero) utilizará o restante da banda, mas não terá a garantia de reserva.

Apesar de ser apenas um exemplo ilustrativo, outros modelos de enfileiramento poderão ser usados como SP (LLQ) para tráfego de Voz, etc.

Obs: em diversos cenários a marcação poderá ser feito no Switch e o enfileiramento no Roteador, tudo dependerá dos seus equipamentos e a maneira como você deseja aplicar a qualidade de serviço na sua rede.

Até logo!

Comware 7: Alterando a ACL para o modo L3 em uma Interface VLAN.

A dica abaixo foi encontrada enquanto eu navegava no site http://abouthpnetworking.com/2015/02/09/comware7-routed-port-acl-packet-filter-applies-to-switched-traffic/

A configuração de uma ACL para o filtro de pacotes em uma interface VLAN em Switches com o Comware 7, mesmo que seja para fins de roteamento, poderá ter o comportamento de uma VACL (VLAN ACL), isto é, mesmo que o pacote não seja roteado entre VLANs (e o tráfego seja entre máquinas internas), o Switch validará o tráfego com a ACL e dependendo da construção das regras, o pacote poderá ser descartado indesejadamente.

Este comportamento poderá ser controlado com o comando “packet-filter filter route” dentro da interface VLAN. Isto permitirá que o administrador decida se o tráfego será filtrado somente para o tráfego roteado (L3) ou se deixará no modo default, que é o filtro do tráfego L2 + L3.

[HP] interface vlan 20
[HP-Vlan-interface20] packet-filter 3003 inbound
! Aplicando  a ACL avançada na interface VLAN
[HP-Vlan-interface20] packet-filter filter route
! Configurando a ACL para somente filtrar o tráfego roteado 
# Caso queira retornar para o modo routed+switched digite comando abaixo.
 [HP-Vlan-interface20] packet-filter filter all

Até logo.

Comware: Utilizando sub-interfaces nos Rotadores HP

A utilização de sub-interfaces em Roteadores permite a multiplexação/divisão de um único link físico em múltiplos links lógicos.

Como exemplo nos cenários abaixo, o Roteador poderá atuar tanto como Gateway para roteamento entre as VLANs X e Y no cenário A para casos em que o Roteador possua possua poucas portas disponíveis, por exemplo; como também em casos para rotear pacotes sem que as redes X e Y tenham acesso uma a outra com a utilização de VRFs , chamadas de VPN-Instance nos Roteadores HPN ( para o cenário B).

Para configurar uam sub-interface em um Roteador 8800, utilize o “.”(ponto) + o id da VLAN após o numero indicativo da porta em uma interface no modo routed.

[Roteador]interface Ten-GigabitEthernet 2/1/1.?

#

Segue um exemplo da configuração para o cenário A

interface Ten-GigabitEthernet 2/1/1.30
description VLAN_X
ip adress 192.168.20.1 255.255.255.0
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip adress 192.168.30.1 255.255.255.0
quit
#

Em alguns modelos de Roteadores como a Serie 6600 será necessário configurar o VLAN ID, com a configuração do vlan-type dot1q vid [id da vlan] dentro da sub-interface, isto em razão do SO do Roteador não entender que é explicito o ID da VLAN no número da sub-interface. Roteadores Cisco funcionam da mesma forma.

interface Ten-GigabitEthernet 2/1/1.30
description VLAN_X
ip adress 192.168.20.1 255.255.255.0
vlan-type dot1q vid 30
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip adress 192.168.30.1 255.255.255.0
vlan-type dot1q vid 31
quit
#

… então como as sub-interfaces estão diretamente conectadas, as rotas são adicionadas à tabela de roteamento, o equipamento fará  o roteamento de pacotes.

Já para o segundo cenário, a mesma configuração é válida, bastando apenas configurar a sub-interface com a configuração da vpn-instance antes de configurar o endereço IP.

#Criando a VRF para o cliente X
ip vpn-instance clientex
 route-distinguisher 65000:1
 vpn-target 65000:1 export-extcommunity
 vpn-target 65000:1 import-extcommunity
#
#Criando a VRF para o cliente Y
ip vpn-instance clientey
 route-distinguisher 65000:2
 vpn-target 65000:2 export-extcommunity
 vpn-target 65000:2 import-extcommunity
#
interface Ten-GigabitEthernet 2/1/1.30
description 
ip binding vpn-instance clientex
ip adress 192.168.20.1 255.255.255.0
quit
#
interface Ten-GigabitEthernet 2/1/1.31
description VLAN_Y
ip binding vpn-instance clientey
ip adress 192.168.30.1 255.255.255.0
quit
#
# as configurações do compartimento WAN de cada VRF foram omitidas
#

 obs: Uma rede não será roteada para outra a menos que estejam na mesma VRF.

Já para a configuração do Switch basta apenas configurar a interface como trunk permitindo as vlans correspondente. Se o Roteador for da Serie 6600 a configuração vlan-type dot1q vid … também será necessária (para o segundo cenário).

Um grande abraço

Comware 5: Atualizando o Switch via TFTP com IPv6

Segue abaixo um script para atualização do Comware em um Switch HP 5120 utilizando o protocolo IPv6 como transporte. A atividade é bem simples (como em IPv4) e nos ajuda a desmistificar e nos encorajar a utilizar cada vez mais o “novo” serviço. O procedimento é o mesmo para a maioria dos Switches com o Sistema Operacional Comware (HP/H3C).

<Switch>system

[Switch] ipv6
[Switch] interface vlan 1
[Switch-Vlan-Interface-1]ipv6 address 2001:db8::2/64
[Switch-Vlan-Interface-1]quit
[Switch] quit

<Switch>
<Switch>tftp ipv6 2001:db8:1 put flash:/a5120ei-cmw520-r2208p01-s168.bin
! Fazendo backup da imagem antiga para o Servidor TFTP

<Switch>delete /unreserved a5120ei-cmw520-r2208p01-s168.bin
The contents cannot be restored!!! Delete flash:/a5120ei-cmw520-r2208p01-s168.bin?[Y/N]:y
! Devido a falta de espaçoo para manter a imagem nova e a velha nesse modelo de Switch, 
! iremos deletar a imagem mais antiga.
! O comando /unreserved deleta a imagem sem jogar na lixeira da memória flash

<Switch> tftp ipv6 2001:db8::1 get A5120EI-CMW520-R2220P02.bin
! Copiando a nova imagem para o Switch

<Switch>boot-loader file flash:/a5120ei-cmw520-r2220p02.bin slot all main
This command will set the boot file of the specified board. Continue? [Y/N]:y
! Configurando a nova imagem para "bootar" após o Switch reiniciar

<Switch>disp boot-loader
Slot 1
The current boot app is:  flash:/a5120ei-cmw520-r2208p01-s168.bin
The main boot app is:     flash:/a5120ei-cmw520-r2220p02.bin
The backup boot app is:   flash:/

<Switch>reboot
Start to check configuration with next startup configuration file, please wait.........DONE!
This command will reboot the device. Current configuration will be lost, save current configuration? [Y/N]:y
This command will reboot the device. Continue? [Y/N]:y
Reboot device by command.
! Reiniciando o Switch

<HP>display version
HP Comware Platform Software
Comware Software, Version 5.20.99, Release 2220P02
Copyright (c) 2010-2013 Hewlett-Packard Development Company, L.P.
HP A5120-48G EI Switch uptime is 0 week, 0 day, 0 hour, 2 minutes
! Validando o Upgrade

<HP>display boot-loader
Slot 1
The current boot app is:  flash:/a5120ei-cmw520-r2220p02.bin
The main boot app is:     flash:/a5120ei-cmw520-r2220p02.bin
The backup boot app is:

Pronto, imagem atualizada!

O Software utilizado para copia da imagem foi o TFTPd64 by Ph. Jounin para Windows

Comware: VLANs – Configuração de Porta Access, Hybrid e Trunk

A publicação de conteúdo em vídeo, sempre foi um dos meus desejos para os assuntos já abordados aqui no blog. Nesse primeiro video, abordamos a configuração de portas Access, Hybrid e Trunk para Switches HPN, 3Com e H3C..

Sugestões e Comentários serão bem vindos. Espero que a gravação possa ser útil!

Comware 5:  Configurando o Espelhamento de Porta ( Port Mirroring)

O espelhamento de portas é uma técnica que permite que o Switch efetue a cópia dos pacotes de rede de uma porta para outra em um Switch.

Essa técnica é bastante utilizada quando precisamos analisar o comportamento de algum servidor, como por exemplo, para identificação de vírus, acessos “estranhos”, etc.

No cenário abaixo efetuaremos a cópia do tráfego da porta do Switch que está conectada ao Roteador de Internet (como origem) para o Servidor de Análise ( como destino). A comunicação com a Internet não será afetada pois o Switch direcionará apenas a cópia!

Configuração
#
mirroring-group 1 local 
! Criando o Grupo 1 de portas para o Espelhamento
#
interface Ethernet1/0/3
stp disable
! desabilitando o Spanning-Tree da porta para não interferir na coleta
mirroring-group 1 monitor-port
!Configurando a porta para monitorar o tráfego da porta mirroring (no exemplo a porta Ethernet1/0/1)
#
interface Ethernet1/0/1
mirroring-group 1 mirroring-port both
! Configurando a Porta de origem que terá seu tráfego copiado no sentido inbound (entrada) e outbound (saída); comando both
#

Pronto! Configurações efetuadas… 
No servidor de coleta poderíamos utilizar os Softwares TCPDump, Wireshark, etc para monitorar o tráfego. No exemplo abaixo, “printamos” a tela do software NTOP (freeware) com estatísticas da coleta!

Simples, agora  é só atuar no tráfego e/ou comportamento identificados na rede….
Até logo!

Reset de Senha: Switches 3Com, HPN e H3C

Há diversas situações em que o Eng. de Rede necessita administrar uma rede (ou alguns velhos Switches), em cenários que não possui a senha para acesso console, telnet ou SSH do equipamento.

O procedimento abaixo serve para permitir  o acesso à administração do Switch configurando o equipamento para que antes do processo de boot, pule o arquivo de configuração na inicialização….
 
Obs: Pode haver uma pequena variação no processo, o que pode não atender a todos os modelos, geralmente os modelos com o Ssistema Operacional Comware versão 3 ou 5 suportam o procedimento abaixo.
 

Procedimento

Consiga um acesso via Console ao Switch. Reinicie o equipamento e  digite “Crtl + B” quando o Switch exibir a mensagem na inicialização…

Digite a senha em branco ( se ninguém alterou [pressione Enter no teclado] ) e você cairá na tela abaixo:

BOOT MENU

1. Download application file to flash
2. Select application file to boot
3. Display all files in flash
4. Delete file from flash
5. Modify BootRom password
6. Enter BootRom upgrade menu
7. Skip current system configuration
8. Set BootRom password recovery
9. Set switch startup mode
0. Reboot

…escolha a opção 7, confirme e reinicie o Switch.

No próximo passo, o equipamento inicializará sem a configuração anterior. Digite no <user-view> more nomedoarquivo.cfg, verifique se a senha está cifrada. Se não estiver cifrada… pronto, tudo resolvido! Se estiver cifrada, basta copiar toda a configuração em um TXT e colar no Switch criando um novo usuário. Após salvar, o arquivo anterior será sobrescrito.
 
Obs: Após todo o procedimento ser efetuado, vá novamente a tela do botrom (Crtl + B ) escolha a opção 7 e negue a opção ( para o Switch não pular o arquivo de configuração sempre que reiniciar).
 
Se o seu Switch possuir um procedimento diferente do listado aqui, se possível, escreva o “how to” nos comentários ..

Seja cauteloso e Boa Sorte!

Comware 6: QoS – Aplicando Line Rate na Interface Física (Policy)

Alguns modelos de Switches HPN Serie-A com o Comware 5 possibilitam a configuração de limite de banda em interfaces físicas de uma maneira bem simples. A feature chama QoS Line Rate.

[Switch-GigabitEthernet1/0/1]qos lr ?
  inbound   Limit the rate on inbound
  outbound  Limit the rate on outbound

[Switch-GigabitEthernet1/0/1]qos lr inbound cir ?
  INTEGER  Committed Information Rate(kbps)

Para a configuração de limite de banda para a interface em 256kbps para pacotes de entrada e saída basta digitar.

[Switch-GigabitEthernet1/0/1]qos lr inbound cir 256
[Switch-GigabitEthernet1/0/1]qos lr outbound cir 256

Até logo 

Comandos Secretos para os Switches 3Com Baseline e HP v1910

Essa semana  recebi uma dica bem bacana do Dilson Augusto para a administração de Switches 3Com Baseline.

Pesquisando melhor na Internet sobre o procedimento, vi que há outros modelos como o Switch HP v1910 que também aceitam o “comando secreto” para liberar a configuração de diversas features via CLI.

Ainda não pude testar a dica infomada em equipamentos em produção, então tomem todo o cuidado antes de executar o procedimento abaixo (prestem bastante atenção no warning exibido após a execução do comando) 😉 . De resto, curtam e simulem a dica em laboratório e comentem aqui no blog!!!

Obrigado Dilson. Segue abaixo o texto:

Boa tarde Diego,

Gostaria de compartilhar algo que descobri recentemente depois de muito tempo de pesquisa.
A linha Baseline Switch da HP é conhecida por ter seu gerenciamento console bem “restrito”, para não dizer simplório…

<3Com Baseline Switch>?
User view commands:
initialize  Delete the startup configuration file and reboot system
ipsetup     Specify the IP address of the VLAN interface 1
password    Specify password of local user
ping        Ping function
quit        Exit from current command view
reboot      Reboot system
summary     Display summary information of the device.
upgrade     Upgrade the system boot file or the Boot ROM program

<3Com Baseline Switch>

Então… depois de muita pesquisa, acabei encontrando um comando mais que bacana… Se tiver um switch desses a mão, testa aí:

<3Com Baseline Switch>_cmdline-mode on

Vai apresentar a mensagem:

All commands can be displayed and executed. Continue? [Y/N]Y
Please input password:******
Warning: Now you enter an all-command mode for developer's testing, 
some commands may affect operation by wrong use, please carefully use 
it with our engineer's direction.

A senha é: 512900

<3Com Baseline Switch>?
User view commands:
archive        Specify archive settings
backup         Backup next startup-configuration file to TFTP server
boot-loader    Set boot loader
bootrom        Update/read/backup/restore bootrom
cd             Change current directory
clock          Specify the system clock
cluster        Run cluster command
copy           Copy from one file to another
debugging      Enable system debugging functions
delete         Delete a file
dir            List files on a file system
display        Display current system information
fixdisk        Recover lost chains in storage device
format         Format the device
free           Clear user terminal interface
ftp            Open FTP connection
initialize     Delete the startup configuration file and reboot system
ipsetup        Specify the IP address of the VLAN interface 1
lock           Lock current user terminal interface
logfile        Specify log file configuration
mkdir          Create a new directory
more           Display the contents of a file
move           Move the file
ntdp           Run NTDP commands
password       Specify password of local user
ping           Ping function
pwd            Display current working directory
quit           Exit from current command view
reboot         Reboot system
rename         Rename a file or directory
reset          Reset operation
restore        Restore next startup-configuration file from TFTP server
rmdir          Remove an existing directory
save           Save current configuration
schedule       Schedule system task
screen-length  Specify the lines displayed on one screen
send           Send information to other user terminal interface
sftp           Establish one SFTP connection
ssh2           Establish a secure shell client connection
stack          Switch stack system
startup        Specify system startup parameters
summary        Display summary information of the device.
super          Set the current user priority level
system-view    Enter the System View
telnet         Establish one TELNET connection
terminal       Set the terminal line characteristics
tftp           Open TFTP connection
tracert        Trace route function
undelete       Recover a deleted file
undo           Cancel current setting
upgrade        Upgrade the system boot file or the Boot ROM program

<3Com Baseline Switch>

<3Com Baseline Switch>system-view
System View: return to User View with Ctrl+Z.

[3Com Baseline Switch]display cpu-usage history
100%|
95%|
90%|
85%|
80%|
75%|
70%|
65%|
60%|
55%|
50%|
45%|
40%|
35%|
30%|
25%|
20%|             #
15%|             #
10%|             #
5% |#            #
------------------------------------------------------------
10        20        30        40        50        60  (minutes)
cpu-usage last 60 minutes(SYSTEM)

[3Com Baseline Switch]

Caso queira compartilhar no blog, sinta-se a vontade… pode vir a auxiliar diversos administradores de rede.

Referências

Segue o link como referência o Switch HP v1910
http://glazenbakje.wordpress.com/2012/08/21/hp-v1910-secret-commando-list-how-to-enable-it/

Segue a saída publicada no forum da HP para o Switch 3Com 2952
http://h30499.www3.hp.com/hpeb/attachments/hpeb/itrc-269/30228/1/user_mode_cli.txt