Почему в консоли квадратики вместо русских букв? Как же правильно лечить больного?

Встроенная в MikroTik RouterOS функция обеспечения отказоустойчивости доступа в Интернет(имеется ввиду check-gateway=ping), имеет огромный недостаток: она проверяет доступность шлюза провайдера, а не доступность сети Интернет через этого провайдера.

Имеем 3 канала в Интернет и один в локальную сеть(тут называется DMZ):

Основные маршруты, которые мы и будем переключать:

Клиенты должны маскарадиться:

Сам скрипт, называется CheckINET:

выполняем его раз в 30 секунд:

Казалось-бы всё, но есть один подводный камень: сейчас выполняя пинг /ping www.ya.ru src-address=212.152.X.55, RouterOS не будет обращать внимания на параметр 212.152.X.55 если этот шлюз недоступен.
Т.е. если он доступен то пакеты будут идти чрез него, но если нет, то через текущий default gw.
Чтобы избежать этого, необходимо помечать соединения на входе интерфейса соответствующей routing mark.
Параллельно это решит проблему «отвечать на тот интерфейс, на который пришел запрос»: сейчас пингуя интерфейс №2 ответы пойдут через интерфейс которому принадлежит default gw, и ответа мы не получим.

Добавляем маршруты в именованные таблицы маршрутизации:

Правила маршрутазиции:

эти правила нужны, чтобы из внутренней сети были всегда (в не зависимости от текущего рабочего канала) доступны сети провайдеров, я использую для мониторинга:

Обращаю внимание: routing-mark которые видны через WinBOX в MANGLE, это таблицы маршрутизации из /ip route (routing-table) и routing-mark'и, а routing-table там напрямую использовать нельзя!
Т.е. там по непонятным причинам отображаються как routing-mark, так и routing-table.
(UPD: А вот на другом роутере работает и так и так... Хм...)

Нужно их сопоставить:

Помечаем белый краской спинки пакетиков:

Всё!

В нашем первом уроке мы произвели первоначальную настройку нашего маршрутизатора, в данной части мы попытаемся разобраться с безопасностью при подключении к нему.
Итак, telnet совершенно никак и ни от чего не защищен, и появился когда подключения ходили по телефонным проводам — отсюда и название, пароль при подключении к устройству передается в открытом виде и может быть перехвачен любым снифером. ssh — защищённый протокол, появившийся как безопасная альтернатива телнету. Именно поэтому в данном уроке мы отключим telnet и настроим подключение к нашему маршрутизатору через SSH

Подключимся к маршрутизатору, (Консоль это будет или telnet не важно) с учетными данными которые задали в 1 уроке
 ! Переходим в превелегированный режим
Gw0>enable
 ! Устанавливаем точное время для генерации ключа
Gw0#clock set 20:10:00 23 May 2012
 ! Переходим в конфигурационный режим
Gw0#configure terminal
 ! Указываем имя домена (необходимо для генерации ключа)
Gw0# ip domain name iamroot.ru
 ! Генерируем RSA ключ
Gw0(config)# crypto key generate rsa
 ! Заводим пользователя user
Gw0(config)# username user privilege 15 secret пароль
 ! Активируем протокол ААА ( про данный протокол я расскажу позже более подробно )
Gw0(config)# aaa new-model
 ! Входим в режим конфигурирования терминальных сессий ( про число 1441 я рассказал в первой части )
Gw0(config)#line vty 0 1441
 ! средой доступа через сеть по умолчанию у нас будет SSH
Gw0(config-line)# transport input ssh
 ! Наверное вы обратили внимание что некоторые события пишутся в консоль что не очень удобно при наборе команды именно поэтому включаем автоматическое поднятие строки
Gw0(config-line)# logging synchronous
 ! время таймаута до автоматического закрытия SSH сессии в 30 минут
Gw0(config-line)#exec-timeout 30 0
! Выходим из режима конфигурирования нажатием Ctrl+Z
! сохраняемся.
Gw0# wr

Собственно сабжект говорит о том что я постараюсь описать в данной статье…

Имеем Cisco 2911… поехали

начну с того, что на 18XX 28XX и почих маршрутизаторах 8 серии подключение и первоначальная настройка оборудования осуществляется через консольный порт с разъемом RJ-45, обычно, кабель для настройки идет в комплекте, представляет из себя RJ-45 на RS-232 голубого цвета. Оборудование 19XX 29XX серий помимо консольного порта RJ 45 имеет консольный порт MiniUSB (Что значительно удобнее при настройке оборудования имея под рукой ноутбук с отсутствующим COM портом). Для настройки оборудования через MiniUSB нам понадобится драйвер эмуляции
Далее в Device Manager появится Cisco Serial где можно настроить номер порта.


Установка соединения осуществляется со стандартными значениями – 9600 бод/8 бит данных/1 стоп бит/без проверки четности и контроля прохождения. В Windows – системах вы можете использовать putty, в Linux cu или minicom. В дальнейшем, когда маршрутизатору будет присвоен IP-адрес для настроек будем использовать ssh, но первый раз без консольного подключения не обойтись.

Открываем Putty, выбираем тип подключения Serial порт COM7 ( У меня он COM7) нажимаем 2 раза [Enter] и видим меред собой командную строку с приглашением роутера

Router>
Переходим в превелегированный режим командой enable
Router>enable
Router#
удаляем имеющуюся конфигурацию, находящуюся во флэш-памяти, и перезагружаем маршрутизатор:
Router#erase startup-config
Router#reload
Ждем пока роутер перезагрузится, наблюдая за процессом загрузки в окне консоли, после чего снова переходим в превилигированный режим
Router>enable

Переходим в конфигурационный режим и даем команду hostname:
Router#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#hostname Gw0
Gw0(config)#
Включим режим хранения паролей в файле конфигурации устройства в зашифрованном виде:
Gw0(config)#service password-encryption
Отключим управление маршрутизатором через http и https и CDP
Gw0(config)#no ip http server
Gw0(config)#no ip http secure-server
Gw0(config)#no cdp run
Зададим пароли на подключения через консольный порт
Gw0(config)#line con 0
Gw0(config-line)#password пароль
Gw0(config-line)#login
Gw0(config-line)#exit
И Telnet
Gw0(config)#line vty ? О, сколько он там сказал доступно? 0-1441 значит line vty 0 1441 ))
Gw0(config-line)#password пароль
Gw0(config-line)#login
Gw0(config-line)#exit
Зададим пароль на Enable режим
Gw0(config) enable secret пароль_enable_режима

Перейдем к настройке интерфейса внутренней сети. Если маршрутизатор имеет гигабитные порты то названия портов можно сократить как Gi 0/0 (Gigabit ethernet) , если 100 Мбитные то скорее всего это будут Fa (fast ethernet)
В принципе, если вы сомневаетесь в команде, нажмите TAB — в командной строке команда дописалась? значит норма, не помните что вводить? введите знак вопроса… IOS выдаст вам все доступные команды в данном контексте.
Gw0(config) #interface Gi 0/0
Gw0(config-if)#ip address 192.168.0.1 255.255.255.0
Gw0(config-if)#description LAN
Gw0(config-if)#no shutdown
Gw0(config-if)#exit
Задаем dns-сервера

Gw0(config)# ip name-server 192.168.0.2

Все, маршрутизатор доступен телнетом по 192.168.0.1
Записываем конфигурацию в память командой
Gw0# copy running-config startup config или командой wr

Для того чтобы сбросить забытый пароль в маршрутизаторе Cisco, необходимо:

1. При включении питания маршрутизатора в терминальной программе например Putty выполнить комбинацию Ctrl+Break
2. Войти в режим Rommon (Режим восстановления)
3. Набрать команду confreg 0x2142
4. Набрать команду reload
5. После перезагрузки (Маршрутизатор будет загружен со сброшеными параметрами) пропустить инициализационный диалог ответив [NO]
6. Выполнить команду enable
7. Выполнить команду copy runnig-config startup-config
8. Выполнить команду configure terminal
9. Выполнить команду config-register 0x2102
10. Выполнить команду exit
11. Выполнить команду reload

После этих манипуляций маршрутизатор будет восстановлен к заводским установкам.

Задача:

Настроить NAT для локальной сети 192.168.0.0/24 на новом маршрутизаторе и обрезать скорость на даунлоад 10 Мегабит на аплоад 1 Мегабит.

Дано:

Внутренний интерфейс (FastEthernet 0/0) - 192.168.0.1/24
Внешний интерфейс (FastEthernet 0/1) - 10.10.10.2/32

Решение:

1. router#configure terminal
2. router(config)#interface FastEthernet 0/0
3. router(config)#no shutdown
4. router(config-if)#description --==Internal==--
5. router(config-if)#ip address 192.168.0.1 255.255.255.0
6. router(config-if)#ip nat inside
7. router(config-if)#rate-limit input 1024000 192000 384000 conform-action transmit exceed-action drop
8. router(config-if)#rate-limit output 10240000 1920000 3840000 conform-action transmit exceed-action drop
9. router(config-if)#exit
10. router(config)#interface FastEthernet 0/1
11. router(config)#no shutdown
12. router(config-if)#description --==External==--
13. router(config-if)#ip address 10.10.10.2 255.255.255.252
14. router(config-if)#ip nat outside
15. router(config-if)#exit
16. router(config)#ip routing
17. router(config)#ip cef
18. router(config)#ip route 0.0.0.0 0.0.0.0 FastEthernet 0/1
19. router(config)#access-list 10 permit 192.168.0.0 0.0.0.255
20. router(config)#ip nat inside source list 10 interface FastEthernet0/0 overload
21. router(config)#exit
22. router#copy running-config startup-config

Пояснение:

1. Входим в режим конфигурирования маршрутизатора
2. Входим режим конфигурирования внутреннего интерфейса
3. Включаем интерфейс
4. Назначаем описание интерфейса
5. Назначаем IP адрес и маску подсети
6. Указываем, что это внутренний интерфейс для NAT
7. Задаем ограничение скорости на вход интерфейса (Аплоад для клиентов)
8. Задаем ограничение скорости на выход интерфейса (Даунлоад для клиентов)
9. Выходим из режима конфигурирования внешнего интерфейса
10. Входим режим конфигурирования внутреннего интерфейса
11. Включаем интерфейс
12. Назначаем описание интерфейса
13. Назначаем IP адрес и маску подсети
14. Указываем, что это внешний интерфейс для NAT
15. Выходим из режима конфигурирования внешнего интерфейса
16. Включаем маршрутизацию между интерфейсами
17. Включаем режим Cisco Express Forwarding (При включенном режиме уменьшается нагрузка на процессор маршрутизатора)
18. Устанавливаем маршрут по умолчанию. (Без него не будет работать)
19. Создаем список доступа с номер 10, в котором разрешаем подсеть 192.168.0.0 с обратной маской 0.0.0.255
20. Включаем NAT и разрешаем доступ из списка номер 10 через интерфейс FastEthernet 0/0 в режиме трансляции всех внутренних адресов в один внешний
21. Выходим из режима конфигурирования маршрутизатора
22. Сохраняем конфигурацию в энергонезависимую память

Примечания:

1. Для расчета данных по рекомендациям Cisco для ограничения скорости используются 3 числа, которые расчитываются по следующей формуле:

Число 1 = Количество бит в секунду задается пользователем
Число 2 = Число 1 / 8 * 1,5
Число 3 = Число 2 * 2


2. Информацию о работе NAT можно просмотреть командами:

router#show ip nat statistics (Общее состояние)
router#show ip nat translations (Активные NAT трансляции)

Задача:
Настроить динамическое обновление маршрутов между двумя маршрутизаторами при помощи OSPF на базе маршрутизаторов Cisco. Маршрутизатор №1 при OSPF анонсирует маршрутизатору №2 маршрут по умолчанию (0.0.0.0/0) и принимает по OSPF от маршрутизатора №2 все маршруты из сети 192.168.0.0/24. Маршрутизатор №2 соответственно наоборот.

Дано:

Маршрутизатор №1
Интерфейс в внешнюю сеть (FastEthernet0/0) - 10.10.10.2/32
Интерфейс к маршрутизатору №2 (FastEthernet0/1) - 192.168.0.1/32

Маршрутизатор №2
Интерфейсы к внутренним ресурсам (FastEthernet0/0) - 192.168.0.4/29
Интерфейс к маршрутизатору №1 (FastEthernet0/1) - 192.168.0.2/32

Решение:

1. На маршрутизаторе №1 проводим следующие настройки:

1. router#configure terminal
2. router(config)#interface FastEthernet0/0
3. router(config-if)#no shutdown
4. router(config-if)#description --==EXTERNAL==--
5. router(config-if)#ip address 10.10.10.2 255.255.255.252
6. router(config-if)#exit
7. router(config)#interface FastEthernet0/1
8. router(config-if)#no shutdown
9. router(config-if)#description --==TO ROUTER 2==--
10. router(config-if)#ip address 192.168.0.1 255.255.255.252
11. router(config-if)#ip ospf message-digest-key 1 md5 Pa$$w0rd
12. router(config-if)#ip ospf network point-to-point
13. router(config-if)#exit
14. router(config)#ip routing
15. router(config)#ip cef
16. router(config)#ip route 0.0.0.0 0.0.0.0 FastEthernet 0/0
17. router(config)#router ospf 1
18. router(config-router)#router-id 192.168.0.1
19. router(config-router)#log-adjacency-changes detail
20. router(config-router)#passive-interface default
21. router(config-router)#no passive-interface FastEthernet0/1
22. router(config-router)#network 192.168.0.0 0.0.0.3 area 0.0.0.0
23. router(config-router)#default-information originate always
24. router(config-router)#exit
25. router(config)#exit
26. router#copy running-config startup-config

где:

1. Входим в режим конфигурирования маршрутизатора
2. Входим режим конфигурирования интерфейса в внешнюю сеть
3. Включаем интерфейс
4. Назначаем описание интерфейса
5. Назначаем IP адрес и маску подсети
6. Выходим из режима конфигурирования интерфейса в внешнюю сеть
7. Входим режим конфигурирования интерфейса к маршрутизатору №2
8. Включаем интерфейс
9. Назначаем описание интерфейса
10. Назначаем IP адрес и маску подсети
11. Назначаем ключ аутентификации OSPF на данном интерфейсе (Ключи на обоих сторонах должны быть одинаковы)
12. Так как планируется построение OSPF только между 2 маршрутизаторами, явно указываем среду передачи
13. Выходим из режима конфигурирования внешнего интерфейса
14. Включаем маршрутизацию между интерфейсами
15. Включаем режим Cisco Express Forwarding (При включенном режиме уменьшается нагрузка на процессор маршрутизатора)
16. Устанавливаем маршрут по умолчанию. (Без него не будет работать)
17. Входим в режим конфигурирования протокола OSPF с номером 1
18. Назначаем идентификатор маршрутизатора
19. Включаем журналирование протокола и выставляем его уровень
20. Включаем принудительное подавление OSPF обновлений на всех интерфейсах
21. Разрешаем обмен OSPF обновлениями через интерфейс FastEthernet0/1
22. Анонсируем по OSPF сеть 192.168.0.0/32 в области 0 (BACKBONE) (Будут проаносированы все подсети попадающие под маску /32)
23. Включаем постоянную генерацию маршрута по умолчанию
24. Выходим из режима конфигурирования протокола OSPF
25. Выходим из режима конфигурирования маршрутизатора
26. Сохраняем конфигурацию в энергонезависимую память

2. На маршрутизаторе №2 проводим следующие настройки:

1. router#configure terminal
2. router(config)#interface FastEthernet0/0
3. router(config-if)#no shutdown
4. router(config-if)#description --==CLIENTS==--
5. router(config-if)#ip address 192.168.0.4 255.255.255.252
6. router(config-if)#exit
7. router(config)#interface FastEthernet0/1
8. router(config-if)#no shutdown
9. router(config-if)#description --==TO ROUTER 1==--
10. router(config-if)#ip address 192.168.0.2 255.255.255.252
11. router(config-if)#ip ospf message-digest-key 1 md5 Pa$$w0rd
12. router(config-if)#ip ospf network point-to-point
13. router(config-if)#exit
14. router(config)#ip routing
15. router(config)#ip cef
16. router(config)#router ospf 1
17. router(config-router)#router-id 192.168.0.2
18. router(config-router)#log-adjacency-changes detail
19. router(config-router)#passive-interface default
20. router(config-router)#no passive-interface FastEthernet0/1
21. router(config-router)#network 192.168.0.0 0.0.0.255 area 0.0.0.0
22. router(config-router)#exit
23. router(config)#exit
24. router#copy running-config startup-config

где:

1. Входим в режим конфигурирования маршрутизатора
2. Входим режим конфигурирования интерфейса к внутренним ресурсам
3. Включаем интерфейс
4. Назначаем описание интерфейса
5. Назначаем IP адрес и маску подсети
6. Выходим из режима конфигурирования интерфейса к внутренним ресурсам
7. Входим режим конфигурирования интерфейса к маршрутизатору №1
8. Включаем интерфейс
9. Назначаем описание интерфейса
10. Назначаем IP адрес и маску подсети
11. Назначаем ключ аутентификации OSPF на данном интерфейсе (Ключи на обоих сторонах должны быть одинаковы)
12. Так как планируется построение OSPF только между 2 маршрутизаторами, явно указываем среду передачи
13. Выходим из режима конфигурирования внешнего интерфейса
14. Включаем маршрутизацию между интерфейсами
15. Включаем режим Cisco Express Forwarding (При включенном режиме уменьшается нагрузка на процессор маршрутизатора)
16. Входим в режим конфигурирования протокола OSPF с номером 1
17. Назначаем идентификатор маршрутизатора
18. Включаем журналирование протокола и выставляем его уровень
19. Включаем принудительное подавление OSPF обновлений на всех интерфейсах
20. Разрешаем обмен OSPF обновлениями через интерфейс FastEthernet0/1
21. Анонсируем по OSPF сеть 192.168.0.0/24 в области 0 (BACKBONE) (Будут проаносированы все подсети попадающие под маску /24)
22. Выходим из режима конфигурирования протокола OSPF
23. Выходим из режима конфигурирования маршрутизатора
24. Сохраняем конфигурацию в энергонезависимую память

Примечание:

Управление процессом OSPF происходит при помощи следующих команд:

1. router#clear ip ospf process
2. router#show ip ospf
3. router#show ip ospf neighbor
4. router#show ip route ospf

Где:

1. Перезапуск OSPF процесса
2. Просмотр информации о состоянии OSPF процесса
3. Просмотр информации о OSPF соседях
4. Просмотр маршрутов полученных по OSPF

Для того чтобы заставить маршрутизатор Cisco автоматически переходить на зимнее и летнее время, необходимо, в режиме глобального конфигурирования, выполнить следующую команду:

router(config)# clock summer-time UA recurring last Sun Mar 1:00 last Sun Oct 1:00

Этой командой мы говорим маршрутизатору, что для временной зоны UA, переход на летнее время происходит в час ночи последнего воскресенья марта, а на зимнее - в час ночи последнего воскресенья октября

Задача:
Настроить NTP сервер под управлением маршрутизатора Cisco с возможностью обновляться из нескольких источников и защитой для отдачи обновлений только доверенной сети. 

Дано:

1. Имя основного NTP сервера — ntp.colocall.net 
2. Имя дополнительного NTP сервера — ua.pool.ntp.org
3. Внутренняя подсеть — 192.168.0.0/24

Решение:

1. cisco>en
2. cisco#clock set 17:00:00 06 Jan 2009
3. cisco#clock update-calendar
4. cisco#configuration terminal
5. cisco(config)#clock timezone UA 2
6. cisco(config)#clock summer-time UA recurring last Sun Mar 1:00 last Sun Oct 1:00
7. cisco(config)#clock calendar-valid
8. cisco(config)#ntp server 62.149.2.1 prefer
9. cisco(config)#ntp server 91.198.10.20
10. cisco(config)#ntp update-calendar
11. cisco(config)#access-list 1 remark --==NTP Servers==--
12. cisco(config)#access-list 1 permit 91.198.10.20
13. cisco(config)#access-list 1 permit 62.149.2.1
14. cisco(config)#access-list 1 deny any
15. cisco(config)#access-list 2 remark --==NTP Clients==--
16. cisco(config)#access-list 2 permit 192.168.0.0 0.0.0.255
17. cisco(config)#access-list 2 deny any
18. cisco(config)#ntp master 3
19. cisco(config)#ntp access-group peer 1
20. cisco(config)#ntp access-group serve 2
21. cisco(config)#exit
22. cisco#copy running-config startup-config

Где:

1. Входим в привилегированный режим.
2. Устанавливаем точное время.
3. Обновляем аппаратный календарь. При перезагрузке маршрутизатора будет использоваться время из аппаратного календаря.
4. Входим в режим конфигурирования.
5. Устанавливаем временную зону. В данном случае временная зона имеет название UA и отклонение в 2 часа от UTC.
6. Устанавливаем параметры перехода на летнее время. В данном случае переход на летнее время производится в час ночи последнего воскресения марта, а обратно в час ночи последнего воскресения октября.
7. Включаем периодическую синхронизацию аппаратного календаря с текущим временем.
8. Указываем основной NTP сервер для получения времени. В данном случае ntp.colocall.net
9. Указываем дополнительный NTP сервер для получения времени. В данном случае ua.pool.ntp.org
10. Включаем периодическую синхронизацию аппаратного календаря при помощи NTP
11. Создаем простой разрешающий список доступа под номером 1, c названием –==NTP Servers==–
12. Создаем простой разрешающий список доступа под номером 1, в котором указываем IP адресс основного NTP серверов.
13. Создаем простой разрешающий список доступа под номером 1, в котором указываем IP адресс дополнительного NTP серверов.
14. Создаем простой разрешающий список доступа под номером 1, в котором указываем запрет для всех.
15. Создаем простой разрешающий список доступа под номером 2, c названием –==NTP Clients==–
16. Создаем простой разрешающий список доступа под номером 2, в котором указываем подсеть для, которой будет разрешено использовать данный маршрутизатор в качестве NTP сервера.
17. Создаем простой разрешающий список доступа под номером 1, в котором указываем запрет для всех.
18. Включаем опцию локального NTP сервера.
19. Включаем ограничение для получения обновлений локального NTP сервера.
20. Включаем ограничение для раздачи NTP обновлений.
21. Выходим из режима конфигурирования.
22. Сохраняем конфигурацию.

Дополнительно:

cisco#show clock

Показывает текущее время.
cisco#show ntp status

Показывает состояние синхронизации времени маршрутизатора по NTP.
cisco#show ntp associations

Показывает текущие NTP сервера для синхронизации и их статус.

Задача: 
Поделить исходящий мировой трафик между клиентами, находящимся за BGP маршрутизатором.

Дано:
100 мегабит/с "Украины", 10 мегабит/с "мира" и маршрутизатор Cisco 2811, на котором поднято BGP соединение с провайдером. Принимаем по BGP от провайдера только дефолтный маршрут 0.0.0.0

Предисловие:
Если, конечно, все делать правильно, изначально, то описанное ниже в корне неверно, так как шейпить на бордере считается высшей степенью хамства... Однако не всегда и не у всех есть лишний маршрутизатор в загашнике или же потребляемые ресурсы не настолько велики, чтобы для них заводить отдельную железку. У меня, например, второй вариант.

Решение:
1. Просим провайдера анонсировать UA-IX отдельным пирингом по отдельному VLAN, тем самым мы разделим потоки трафика, Украина побежит в свой интерфейс, все что не найдется в таблице UA-IX побежит в мировой интерфейс.

2. Определяемся с политикой нарезки трафика и создаем отдельные списки доступа (access-list) для каждого клиента, скорость аплоада на мир которого подлежит обрезанию...

Например: Имеем клиента с IP 192.168.18.21/30
Создаем access-list, находясь в режиме глобального конфигурирования:

router(config)#access-list 101 remark --==World Upload Traffic Shape==--
router(config)#access-list 101 permit ip host 192.168.18.21 any

3. На мировом интерфейсе включаем ограничение скорости с нужными значениями для созданных в п.2 списков доступа

Например: Мировой интерфейс имеет название: FastEthernet 0/1.100

Режем исход на 1 мегабит/с

router(config)#interface FastEthernet 0/1.100
router(config-subif)#rate-limit output access-group 101 1000000 62500 62500 conform-action transmit exceed-action drop

Теперь наш клиент, находящийся в списке доступа под номером 101 будет ограничен 1мегабитом/с исходящего мирового трафика.

П.С. С шейпингом входящего трафика, все аналогично, только задом наперед:

Список доступа:
router(config)#access-list 101 permit ip any host 192.168.18.21

Настройки на интерфейсе:
router(config-subif)#rate-limit input access-group 101 1000000 62500 62500 conform-action transmit exceed-action drop