Pour la sauvegarde ou la récupération des configurations de nos équipements cisco ou autre, il est très appréciable d’avoir un serveur TFTP.

Dans cet article, je vais vous expliquer l’une des façon d’installer un serveur tftp (atftpd) sur votre machine Ubuntu.

Pour commencer, il faut l’installer grâce à la commande magique apt-get :

sudo apt-get install atftpd

Installer c’est bien, le configurer, c’est mieux. Pour cela, il faut éditer le fichier /etc/default/atftpd et effectuer les modifications en rouge :

USE_INETD=false
OPTIONS="–daemon –tftpd-timeout 300 –retry-timeout 5 –mcast-port 1758 –mcast-addr 239.239.239.0-255 –mcast-ttl 1 –maxthread 100 –verbose=5 /srv/tftp"

Atftpd ne sera plus configuré pour utiliser Inetd et sera lancé en daemon.

Il faut maintenant créer le dossier où seront stockés les fichiers de configuration de vos équipements. Dans le fichier de configuration de atftpd, nous avons spécifié le répertoire de base : /srv/tftp. Voci comment le créer :

mkdir –p /srv/tftp

chmod 777 /srv/tftp

Maintenant nous allons démarrer atftpd comme ceci :

sudo invoke-rc.d atftpd start

C’est fini. Pour rappel : la sauvegarde d’une configuration sur un equipement Cisco se fait de cette manière :

copy running-config tftp

Address or name of remote host []? 192.168.0.1

Destination filename [monrouter-config]?
!!!!
12414 bytes copied in 2.516 secs (4934 bytes/sec)

Jusqu’à présent, je n’avais jamais remarqué que lorsqu’on configure un switch Cisco en mode vtp client, la configuration VTP disparait au redémarrage de l’équipement. Je l’ai constaté à ce jour, seulement sur les 2960.

J’ai toujours eu l’habitude de configurer d’abord le mode client avant de définir le domaine vtp pour des raisons de sureté.

Et puis je suis tombé la dessus :

If you configure the switch for VTP client mode, the switch does not create the VLAN database file (vlan.dat). If the switch is then powered off, it resets the VTP configuration to the default. To keep the VTP configuration with VTP client mode after the switch restarts, you must first configure the VTP domain name before the VTP mode.

En gros, il faut d’abord mettre le switch dans le domaine VTP puis mettre le mode client. De cette manière, la configuration sera conservé après le redémarrage de l’équipement.

Introduction

J’utilise depuis quelques temps GNS3 pour effectuer quelques maquettes et réviser mes cours Cisco. Afin de maquetter un peu la sécurité ( ACL, ASA), j’ai décidé de prendre un peu de temps pour réaliser une maquette comportant des postes de travail virtuels et ainsi tester en réel l’accès aux ports voulus.

Dans ce document, je montrerais seulement la manière de faire communiquer deux machines virtuelles avec un projet GNS3/Dynamips à partir d’interfaces TAP.

Schéma Cible

Voici ma maquette cible: Deux machines virtuelles (PC1 et PC2) appartenant à deux réseaux différents qui pourront communiquer ensemble via le routeur R0. Ce schéma sera souvent utilisé par la suite.

Schéma 1

Pré-requis :

• GNS3 : Simulateur Cisco ( apt-get install gns3 )
• VirtualBOX : Virtualisation de postes de travail –> http://www.virtualbox.org/wiki/Linux_Downloads

Mise en place des interfaces TAP :

Définition d’une interface TAP :

Une interface TAP permet, dans notre cas, d’établir une communication entre le programme GNS3/Dynamips et les machines virtuelles de VirtualBox. Pour pouvoir créer ces interfaces, nous allons devoir installer les packages bridge-utils et uml-utilities.

Pour plus d’informations, vous pouvez aller consulter ce site : http://www.linux-france.org/prj/inetdoc/articles/vm/vm.network.tun-tap.html

Installation des paquets bridge-utils et uml-utilities :

sudo apt-get install bridge-utils uml-utilities

Maintenant, nous allons pouvoir créer nos interfaces TAP. Pour mon projet, j’ai besoin de deux interfaces TAP pour différentier les communication PC1 ↔ Fa0/0 et PC2 ↔ Fa0/1 comme indiqué sur le schéma 1.

Création d’une interface TAP :

Voici les commandes à taper pour créer les interfaces tap0 et tap1.

Création de l’interface tap0 :

sudo tunctl -t tap0

sudo ifconfig tap0 0.0.0.0 promisc up

Création de l’interface tap1 :

sudo tunctl -t tap1

sudo ifconfig tap1 0.0.0.0 promisc up

Cette configuration est éphémère. Elle disparaît au reboot. Je l’utilise seulement lorsque je fais des maquettes donc ça m’arrange.

Voici ce que j’ai lorsque je tape la commande ifconfig :

tap0 Link encap:Ethernet HWaddr 82:9b:7e:df:7d:9b

adr inet6: fe80::809b:7eff:fedf:7d9b/64 Scope:Lien

UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1

Packets reçus:2216 erreurs:0 :0 overruns:0 frame:0

TX packets:225 errors:0 dropped:174 overruns:0 carrier:0

collisions:0 lg file transmission:500

Octets reçus:175316 (175.3 KB) Octets transmis:126614 (126.6 KB)

tap1 Link encap:Ethernet HWaddr 02:b4:43:5f:e2:34

adr inet6: fe80::b4:43ff:fe5f:e234/64 Scope:Lien

UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1

Packets reçus:2237 erreurs:0 :0 overruns:0 frame:0

TX packets:222 errors:0 dropped:6 overruns:0 carrier:0

collisions:0 lg file transmission:500

Octets reçus:175971 (175.9 KB) Octets transmis:127908 (127.9 KB)

Ainsi, les interfaces tap0 et tap1 sont bien reconnu comme interface par ubuntu. Nous allons maintenant pouvoir créer nos machines virtuelles.

Création des machines virtuelles PC1 et PC2 avec VirtualBox :

OS utilisé:

Pour mes maquettes, j’utilise la distribution très légère Microcore Linux. La version que je vous propose de télécharger a été modifiée par les utilisateurs de GNS3 afin d’avoir quelques outils réseaux intéressant comme :

- netcat

- tcpdump

- iperf

Téléchargement :

Voici ou vous pouvez la télécharger : Microcore-linux v2.10 à cette adresse :http://www.gns3.net/download

Conversion img vers vdi:

Le fichier téléchargé est un fichier img. Il n’est pas exploitable directement par VirtualBox. Pour remédier à ce problème, nous allons devoir le convertir en suivant ces étapes :

Installer qemu :

sudo apt-get install qemu-kvm

Convertir IMG vers RAW

qemu-img convert -f qcow2 /home/olivier/Bureau/linux-microcore-2.10.img -O raw /home/olivier/Bureau/linux-microcore-2.10.raw

Convertir RAW en VDI

VBoxManage convertfromraw -format VDI /home/olivier/Bureau/linux-microcore-2.10.raw /home/olivier/Bureau/linux-microcore-2.10.vdi

Voilà, vous avez un beau disque dure compatible avec VirtualBOX.

Création du disque de PC2 :

Pour PC2, il faudra copier le fichier VDI et changer son UUID afin que VirtualBox puisse l’utiliser. Voici la commande permettant de changer l’UUID d’un fichier VDI :

VBoxManage internalcommands setvdiuuid ‘/home/olivier/Bureau/PC2.vdi’

Création sous VirtualBox:

• Nom de la machine : PC1
• Mémoire 128M ( 20 M devrait suffir)
• Disque existant pointant vers le fichier VDI généré précédemment.

Configuration sous VirtualBox :

Une fois la machine Virtuelle Créé, allez dans la configuration et éditez la partie réseau comme ceci :

Pour le PC1, il faudra utiliser un mode d’accès réseau par pont avec l’interface tap0

Pour le PC2, il faudra utiliser un mode d’accès réseau par pont avec l’interface tap1

Une fois que vous avez démarré vos Vms, il vous faut configurer la partie réseau de chaque VM.

Configuration réseau de l’OS

Configuration PC1 :

sudo ifconfig eth0 192.168.0.1

sudo route add default gw 192.168.0.254

sudo hostname PC1

Configuration PC2 :

sudo ifconfig eth0 10.0.0.1

sudo route add default gw 10.0.0.254

sudo hostname PC2

pour arrêter la machine proprement, taper :

sudo halt

Création de la maquette sous GNS3 :

Attention : Pour avoir accès aux interfaces TAP, il est nécessaire de lancer GNS3 en tant que root :

sudo gns3

Ajoutez un routeur et deux nuages comme indiqué sur le schéma 1.

Configurer le premier nuage avec l’interface NIO TAP : tap0

Après l’avoir ajoutée, elle devrait apparaître sous cette forme : nio_tap:tap0

Ceci permet à GNS3 d’utiliser l’interface tap0 pour émettre et recevoir du trafic réseau.

Effectuez la même manipulation pour le second nuage mais cette fois avec tap1 ( C01 → tap1 ).

Configuration du routeur R0 :

Pour cette maquette, j’utilise cette image c3640-a3jk9s-mz.124-3i.bin et j’ai configuré en tant que slot0, le module NM-16ESW afin de transformer mon routeur en switch de niveau3.

Afin de tester la communication, vous pouvez attribuer des ip directement aux interfaces fa0/0 et fa0/1 comme ceci :

en

conf t

ip routing

int fa0/0

no switchport

ip address 192.168.0.254 255.255.255.0

no shut

int fa0/1

no switchport

ip address 10.0.0.254 255.255.255.0

no shut

end

Conclusion :

Avec tout ça si vous essayez de faire des pings entre les pc, ça devrait fonctionner. Je l’ai déjà fais quelques fois et je n’ai jamais de problèmes sauf à l’utilisation de GNS3. Pensez à démarrer Dynamips avant l’ouverture de votre projet. Si vos routeurs consomment trop de cpu, utilisez idle-pc. Pensez à sauvegarder vos conf via tftp. Ça vous sera très utile.

Bon maquettage

Infos supplementaires :

Ecouter un port :

tcp : nc -l -p 80

udp : ns -l -p 53 -u

Sources :

Tutorial Qemu GNS3 : http://docs.google.com/View?id=dfzhd6z4_397g3jjf4db

Conversion IMG vers VDI : http://bber.biz/index.php?m=02&y=09&entry=entry090212-210202

Autre tuto GNS3 – VirtualBox : http://www.firstdigest.com/2010/02/how-to-integrate-gns3-with-virtualbox/

Si vous avez ce type de message d’erreur “error: Previous upgrade was unsuccessful or aborted. Cleane-up is not done” après une mise à jour d’IOS (en HTTP)  qui n’a pas fonctionnée, il faut supprimer le répertoire update de la flash pour recommencer :

delete /force /recursive flash:update

Si vous ne s’avez pas pourquoi la mise à jour a échouée, c’est surement un problème d’espace disque.

Suite à des problèmes que j’ai rencontré, j’ai décidé de superviser les interfaces de mes équipements réseau. Je n’ai pas trouvé de plugin de ce type donc j’en ai créé un.

Mon plugin n’est pas du tout optimisé car je ne suis pas un grand développeur (même plutôt un débutant). je viens juste de le mettre en prod donc il est peut-être bugger.

Ce plugin ne gère pas les différentes version d’SNMP. A vous de l’adapter.

Information sur le plugin :

Celui-ci va récupérer via SNMP des compteurs. Le problème des équipements Cisco est qu’on ne peut pas réinitialiser les compteurs SNMP. Donc j’ai dû faire un système de mémorisation puis de comparaison pour ne pas avoir des alertes constamment dans mon interface Nagios. De cette manière, une erreur critique apparaît seulement lorsque l’un des compteurs est superieur au check précédent.

Erreurs supervisées par le plugin :

· Input Errors : Erreur sur l’interface en entrée

· Output Errors : Erreur sur l’interface en sortie

· Input Discards : Problème de buffer en entrée

· Output Discards : Problème de buffer en sortie

Emplacement du script :

/usr/local/nagios/libexec/check_io_error.pl

Ce script doit avoir les droits 755.

Mémorisation :

Pour mémoriser, au premier check avec des erreurs, je créé un fichier de ce type pour l’interface:

Fa0/1:0:155:0:0

Ce fichier sera créé dans /tmp (modifiable dans le script)

Utilisation :

./check_io_error.pl -C public -HOSTADDRESS IP_Equipement

Commande Nagios :

$USER1$/check_io_error.pl -HOSTADDRESS $HOSTADDRESS$ -C $ARG1$ -cr $ARG2$

Code de sortie:

Les erreurs critiques :

**CRITICAL** :Fa6/0/1 :ifInDiscards=0, Fa6/0/1 :ifInErrors=58365499, Fa6/0/1 :ifOutDiscards=0, Fa6/0/1 :ifoutErrors=0,

Cette erreur montre que depuis le dernier check, il y’a eu des erreurs en entrée sur l’interface Fa6/0/1

Les sorties sans erreur :

OK : PAS DE PROBLEME : Cela veut dire qu’il n’y a jamais eu d’erreur sur les interfaces de cet équipement.

OK : PAS DE NOUVELLES ERREURS : Cela veut dire qu’il y a déjà eu des erreurs dans le passé mais il n’y a pas d’erreur depuis

Réinitialiser les compteurs après résolution du problème

Pour réinitialiser les compteurs, il suffi de supprimer le fichier correspondant à l’interface en erreur dans le répetoire /tmp

Se répertoire peut être redéfini au début du plugin.

Téléchargement :

Vous pouvez le télécharger ici.

Troubleshooting :

http://www.cisco.com/en/US/products/hw/switches/ps700/products_tech_note09186a008015bfd6.shtml#l3_l2

Voici les commandes à mettre en place pour synchroniser l’heure sur les équipements CISCO :

clock timezone CET 1                       # Correspond à GMT +1
clock summer-time CEST recurring     # Permet de Passer à l’heure d’été automatiquement

ntp server 192.168.0.1 prefer             # Permet de spécifier le serveur NTP à utiliser pour synchroniser l’heure
ntp server 192.168.0.2                        # prefer signifie que le serveur indiqué est à utiliser en premier.

Si vous avez ce problème pour accéder à un équipement cisco :

ssh_rsa_verify: RSA modulus too small: 512 < minimum 768 bits
key_verify failed for server_host_key

Il faut ajouter cette commande sur celui-ci :

crypto key generate rsa modulus 1024

Lorsque l’on veut accéder à un switch à distance, on active une interface d’administration à laquelle on attribue une adresse ip.

Pour cela, on crée une interface vlan spécialement pour cette fonction :

int vlan 1

no switchport

ip address 192.168.0.1 255.255.255.0

exit

Une interface vlan ne monte pas tant qu’il n’y a pas d’interface up appartenant à ce vlan.

Pour vérifier qu’une interface appartient bien au vlan 1 :

SWITCH# show vlan

VLAN Name                             Status    Ports
—- ——————————– ——— ——————————
1    default                          active    Gi0/1, Gi0/2, Gi0/3, Gi0/4
                                                Gi0/5, Gi0/6, Gi0/7, Gi0/8
                                                Gi0/9, Gi0/10, Gi0/11, Gi0/12
                                                Gi0/13, Gi0/14, Gi0/15, Gi0/16
                                                Gi0/17, Gi0/18, Gi0/19, Gi0/20
                                                Gi0/25, Gi0/26, Gi0/27, Gi0/28
1002 fddi-default                     act/unsup
1003 token-ring-default               act/unsup
1004 fddinet-default                  act/unsup
1005 trnet-default                    act/unsup

VLAN Type  SAID       MTU   Parent RingNo BridgeNo Stp  BrdgMode Trans1 Trans2
—- —– ———- —– —— —— ——– —- ——– —— ——
1    enet  100001     1500  -      -      -        -    -        0      0

VLAN Type  SAID       MTU   Parent RingNo BridgeNo Stp  BrdgMode Trans1 Trans2
—- —– ———- —– —— —— ——– —- ——– —— ——
1002 fddi  101002     1500  -      -      -        -    -        0      0
1003 tr    101003     1500  -      -      -        -    -        0      0
1004 fdnet 101004     1500  -      -      -        ieee -        0      0
1005 trnet 101005     1500  -      -      -        ibm  -        0      0

Remote SPAN VLANs
——————————————————————————

Primary Secondary Type              Ports
——- ——— —————– ——————————————

Vérifier qu’au moins une interface est connecté de la liste des interfaces appartenant au vlan 1 :

SWITCH#sh ip int brief
Interface              IP-Address      OK? Method Status                Protocol
Vlan1                  192.168.0.1 YES manual up                    up
GigabitEthernet0/1     unassigned      YES unset  down                  down
GigabitEthernet0/2     unassigned      YES unset  down                  down
GigabitEthernet0/3     unassigned      YES unset  down                  down
GigabitEthernet0/4     unassigned      YES unset  down                  down
GigabitEthernet0/5     unassigned      YES unset  down                  down
GigabitEthernet0/6     unassigned      YES unset  down                  down
GigabitEthernet0/7     unassigned      YES unset  down                  down
GigabitEthernet0/8     unassigned      YES unset  down                  down
GigabitEthernet0/9     unassigned      YES unset  down

60;                 down
GigabitEthernet0/10    unassigned      YES unset  down                  down
GigabitEthernet0/11    unassigned      YES unset  down                  down
GigabitEthernet0/12    unassigned      YES unset  down                  down
GigabitEthernet0/13    unassigned      YES unset  down                  down
GigabitEthernet0/14    unassigned      YES unset  down                  down
GigabitEthernet0/15    unassigned      YES unset  down                  down
GigabitEthernet0/16    unassigned      YES unset  down                  down
GigabitEthernet0/17    unassigned      YES unset  down                  down
GigabitEthernet0/18    unassigned      YES unset  down                  down
GigabitEthernet0/19    unassigned      YES unset  up                    up
GigabitEthernet0/20    unassigned      YES unset  up                    up
GigabitEthernet0/21    unassigned      YES unset  down                  down
GigabitEthernet0/22    unassigned      YES unset  down                  down
GigabitEthernet0/23    unassigned      YES unset  down                  down
GigabitEthernet0/24   unassigned      YES unset  down                  down
GigabitEthernet0/25    unassigned      YES unset  down                  down
GigabitEthernet0/26    unassigned      YES unset  down                  down
GigabitEthernet0/27    unassigned      YES unset  down                  down
GigabitEthernet0/28    unassigned      YES unset  down                  down

Ici les interfaces Gi0/19 et Gi0/20 appartiennent au vlan 1. Donc l’interface Vlan1 monte.

Si  l’interface n’est pas up/up et que vous avez des ports actifs dans le vlan1, vérifié que l’interface est bien active :

SWITCH#sh int vlan1
Vlan1 is administratively down, line protocol is down
  Hardware is EtherSVI, address is 001c.0e10.8f40 (bia 001c.0e10.8f40)
  Description: Vlan Administration
  Internet address is 192.168.0.1/24
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:00, output 00:00:02, output hang never
  Last clearing of "show interface" counters never
  Input queue: 1/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 6000 bits/sec, 3 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
     293737 packets input, 54600214 bytes, 0 no buffer
     Received 0 broadcasts (26495 IP multicast)
     0 runts, 0 giants, 0 throttles
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     13933 packets output, 1076363 bytes, 0 underruns
     0 output errors, 2 interface resets
     0 output buffer failures, 0 output buffers swapped out

Si vous êtes dans ce cas, vous n’avez pas activé l’interface vlan :

SWITCH#sh run int vlan1
Building configuration…

Current configuration : 160 bytes
!
interface Vlan1
description Vlan Administration
ip address 192.168.0.1 255.255.255.0
no ip route-cache
 shutdown
end

 

Pour remédier à ce probleme, aller dans la configuration de l’interface :

SWITCH#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
SWITCH(config)#int vlan1
SWITCH(config-if)#no shut

SWITCH(config-if)#exit

Vérifiez que l’interface vlan 1 n’est plus en administratively down (sh int vlan1)

Faire CTRL+SHIFT+9 relâcher puis faire x

Attention : lorsque vous êtes sur un équipement par rebond, cette commande vous remet sur le premier équipement.

http://www.cisco.com/public/sw-center/netmgmt/cmtk/mibs.shtml