Visar inlägg med etikett cisco. Visa alla inlägg
Visar inlägg med etikett cisco. Visa alla inlägg

10 mars, 2010

Nätverk: ARP - Address Resolution Protocol i datanätverk

Hej!

För er som undrar över hur kommunikation fungerar i ett nätverk mellan två enheter (t.ex två datorer) genom en switch och router kan ni läsa mitt svar här nedanför som jag gav till en utländsk student vid Halmstad högskola som jag hade i kursen IP-telefoni och trådlösa nätverk när jag var kursansvarig. Texten är på engelska. Om jag får in några kommentarer som vill ha en svensk översättning så fixar jag det.

Studenten frågade efter hur en PC känner till sin destinations IP-adress och hur datapaketen tar sig dit, utan att man specificerar subnätmasken i ICMP (ping) meddelandet. Allt har att göra med protokollet ARP - Address Resolution Protocol.

Till min hjälp har jag använt programmet Packet Tracer 5.2 för att felsöka kommunikationen. Jag har även bifogat en simpel topologi över nätverket.

--------------------------


(Klicka på bilden för att förstora)
--------------------------

Question: How does a PC know about the destination IP-address and how to get to it without sending the subnetmask in the ICMP (ping) message?

Answer:
Hi,
I tried a scenario in Packet Tracer just now and here it how it works.
  1. I choose to ping from 192.168.1.10 to 192.168.1.11
  2. ARP constructs a request for target IP-address 192.168.1.11, and sets the broadcast MAC-address to FF:FF:FF:FF:FF:FF
  3. ARP encapsulates PDU into Ethernet frame
  4. Frame goes to switch on the wire
  5. Switch receives frame on port fa0/2
  6. Switch processes frame up to OSi layer 2 "Data link"
  7. It is a broadcast (FF:FF:FF:FF:FF:FF), send out on all switch ports except the receiving port, so this is sending packets to router (192.168.1.1) and PC (192.168.1.11)
  8. Packets are sent out fa0/1 and fa0/3
  9. Router receives ARP request on port fa0/0
  10. The ARP request's target IP address does not match the receiving port's IP address, (192.168.1.11 is not matching routers IP of 192.168.1.1)
  11. The ARP process on the router checks the routing table whether the requested IP address is reachable, and the IP-address is reachable on source port fa0/0

    Router# show ip route
    C 192.168.1.0/24 is directly connected, FastEthernet0/0
    C 192.168.2.0/24 is directly connected, FastEthernet0/1

  12. ARP table on router is updated with souce IP-address (192.168.1.10) and MAC-address
  13. Router discards ARP-request
  14. Now the destination PC receives the ARP request on its ethernet port from the switch as a broadcast (FF:FF:FF:FF:FF:FF)
  15. The ARP request's target IP address matches the receiving port's IP address. (192.168.1.11 is matching 192.168.1.11)
  16. ARP-process on destination PC updates the ARP-table.
  17. ARP-process on destination PC replies to source PC with source port MAC-address, and encapsulates PDU into ethernet frame.
  18. Switch port fa0/3 receives request and looks in its ARP-table.
  19. The frame source MAC-address was found in its ARP-table.
  20. This is a uniucast frame (from PC 192.168.1.11 to PC 192.168.1.10) so switch looks in ARP-table for destination MAC-address
  21. Switch is sending unicast reply out fa0/2 port
  22. PC 192.168.1.10 receives ARP-reply on ethernet port and does now know about the PC 192.168.1.11 MAC-address on OSI layer 2
  23. It saves the information (mapping) MAC-address to IP-address.
  24. PC 0 can now send an ICMP (ping) message to PC 1 using only IP-addresses on OSI layer 3 "Network".

Now, if the ping is going to IP-address 192.168.2.10, then the ICMP-message will reach the router (which MAC-address is also in PC A's ARP-table). The router will check the routing table for destination IP-address network, if it's reachable. It is reachable through port router's fa0/1 to network 192.168.2.0/24

Then the ARP-process will start all over again on the other side, so the router will ask the switch, which in turn will broadcast the ARP out all switchports except receiving port (fa0/1). The request is going out fa0/2 to PC 2 with IP 192.168.2.10 and the IP is correct. An ARP-reply is then sent back to the router. ICMP (ping) can now continue.

I really recommend you to test Packet Tracer to look at TCP/IP and ARP messages going. You can also debug DHCP and some other protocols.

-----------------------------

Innan jag svarade studenten på hans fråga, trodde jag att jag kunde ARP, men efter en djupdykning i protokollet fick jag mer kunskap. Nu vet jag mycket bättre själv hur kommunikationen i ett datanätverk går till. Visst kunde jag detta utantill när jag studerande CCNA vid högskolan och gymnasiet men det är alltid bra att fräscha upp minnet lite.

Lycka till alla

27 april, 2009

Cisco: Feature navigator

Jag vill tipsa er om en superbra webbsida som Cisco har skapat där man kan kolla upp vilka funktioner och plattformar man kan få tillgång till när man söker efter ett IOS för en Cisco enhet (t.ex router, switch). Webbsidan heter Feature Navigator [1] och används för att se vilka IOS som passar till vald modell.

Exempel
Hemma använder jag en c2610 router för labb och övningar. När jag ville kontrollera om den hade stöd för IPSec, brandvägg och IDS så sökte jag efter ett passande IOS via Feature Navigator [1].

Den är mycket användbar när man söker efter passande IOS för laborationer i Dynamips/GNS3.

Referenser
[1] Cisco Feature Navigator (http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp)

21 mars, 2009

Cisco: Rekryteringsdag i Stockholm

Den 19 mars 2009 var jag i Stockholm med några av mina klasskamrater från Halmstad högskola och besökte Cisco under deras rekryteringsdag. Några av våra Cisco-instruktörer följde också med på resan och det var skönt att se dem när vi kom fram för då visste vi att vi hade kommit rätt.

Rekryteringsdagen gick ut på att vi studenter skulle få prata med och bli intervjuade av våra (kanske) kommande arbetsgivare. De var guld- och silverpartners med Cisco och innan de började beskriva deras företag och verksamhet så hade de en cirka 20 minuter lång föreläsning. Jag hoppades verkligen på att det skulle ske på svenska men eftersom det kom några utländska studenter också till eventet så fick företagen improvisera och köra på engelska istället. Det tyckte jag var lite synd eftersom jag hade hoppats på svenska men det gick bra ändå.

Vi fick höra VD:n för Cisco och företagen som vi fick prata med och lära känna var följande:
  • Atea
  • TDC
  • Verizon
  • Cygate
  • Logica
  • Network Services
Cisco bjöd på mat (wraps), fika och drycker (Coca Cola och Kaffe) vilket jag tyckte var välbehövligt så man kunde hålla sig levande, pigg och glad hela dagen. Man blev dock lite seg när man stod och väntade i köerna till intvjuerna med företagen för det tog så lång tid innan man väl kom fram.

Innan jag kom in på min första intervju var jag självklart lite nervös och jag kände att det var lite pirrigt i luften. Så kändes det nog för de flesta, men så fort jag kom in och fick hälsa på respektive företag så kändes det jättebra och jätteskönt. Det var väldigt avslappnat och man kunde föra en trevlig konversation utan att få nervösa svettningar.

En mycket positiv sak jag vill berätta är att när rekryteringsdagen var över så visste jag mycket mer om Cisco än innan. Jag fick även reda på typiska arbetsuppgifter och problem som en Ciscotekniker kan ställas inför på en arbetsplats.

På Halmstad högskola har vi endast några laborationssalar där vi tränar på Ciscoutrustning och design av nätverk med olika protokoll och tekniker. Vi har heller inte fått så mycket kontakt med näringslivet som jag hade velat och behövt för att kunna utvecklas ännu mer som person. Därför var det jätteskönt att vi fick möjligheten att ställa frågor till CCIE-tekniker, Chef och VD samt andra rekryterare under besöket hos Cisco.

Certifieringar är bra men inte ett krav om man söker jobb som Ciscotekniker. Visst är det bra att visa upp certifikat för sin egen skull och att man då kan visa upp sina kunskaper på papper. Men många har svårt för prov och teoritester så om du har bra egenskaper och mycket kunskap inom ett ämne som du sedan kan applicera praktiskt så har du fortfarande mycket goda chanser till jobb. Men certifikat bör vara ett mål om man söker sig till tjänsten. Det är också ett krav för några av kunderna till företagen att de får en tekniker som kan visa upp på papper att han eller hon verkligen är certifierad inom området.

Jag ser nu verkligen fram emot att få börja arbeta och jag väntar ivrigt på att den sista delen av terminen på högskolan skall nå sitt slut. Nu är det bara examensarbetet och en programmeringskurs kvar och sedan är det dags för det riktiga arbetslivet. Men vi får ju inte glömma sommaren som jag längtar efter så mycket nu. Det hoppas jag att ni också gör för enligt mig är sommaren den bästa årstiden på året tätt följd av våren.

Om du är student och läser inom Cisco så tycker jag verkligen att du ska ta chansen och besöka Cisco under nästa års rekryteringsdag. Jag rekommenderar det verkligen.

Hoppas ni får en trevlig helg.

17 december, 2008

Nätverk: GNS3 v0.6 Test

Jag har precis laddat ner den senaste versionen av GNS3 vilken är v0.6. Det märks att GUI gränssnittet har förbättrats lite om man ser på verktygsraden. Textstorleken har även förstorats lite i några fönster för konfiguration.

När jag satte mig ner igår för att göra färdigt laboration 5.1 i Cisco ONT-kursen som handlar om QoS tänkte jag göra den i GNS3. Jag har ju en pagent-IOS så det är inga problem. Jag har även en router med en switchmodul för att simulera en switch med VLAN (den inbyggda switchen i GNS3 gillar jag inte).

Topologin har snyggats till litegrann och nu känns det mera proffsigt att arbeta i GNS3 gränssnittet. Jag bifogar även en bild för att visa ett exempel på hur det kan se ut.


(Klicka på bilden för att förstora)

* Notera även att länken mellan router TrafGen och router ALS1 har två nätverkskablar anslutna och att båda kablarna inte överlappar varandra, vilket de gjorde i tidigare versioner (t.o.m v0.5).

På bilden visas även alla värdnamnen på routrarna och deras gränssnitt (portar). Utvecklarna bakom GNS3 har lagt till en knapp som visar namnen på gränssnitten (till vänster om knappen för visning av värdnamn).

Referens
www.gns3.net

16 december, 2008

Nätverk: GNS3 i ny version v0.6

Wow! Äntligen har GNS3 släppts i ny version. Programmet börjar mer och mer likna Packet Tracer för de som vet vad det är.

I den senaste versionen av GNS3 finns möjlighet att:
  • Visa namnen på gränssnitten.
  • Visa multi-link kopplingar utan att kablarna överlappar varandra.
  • Måla ovaler och rektanglar vilket är jättebra om man vill designa områden med specifika routing protokoll (t.ex EIGRP, OSPF, RIP etc).
  • Enklare att identifiera gränssnitten i Windows för Ethernet NIO-valen.
  • + buggfixar
  • + övrigt
Gå till webbsidan www.gns3.net nu direkt och ladda ner den nya versionen.

Om ni vill kan ni även ta en titt på "Cisco Image Unpacker" på fliken "Downloads" på GNS3's webbsida.

05 december, 2008

Skolan: Strul i Cisco labbsalen

-- Detta blogginlägg har raderats --

Ni får ursäkta mig men jag har valt att radera detta blogginlägg eftersom jag tycker att det inte passar in på bloggen. För er som undrar vad jag hade skrivit kan jag berätta lite. Vi arbetade med Cisco i skolan under en laboration och helt plötsligt slutar allt att fungera. En student råkade dra ur kabeln för all utrustning i hela salen. Vi blev jättesura men vi lyckades återskapa vårt arbete efter några minuter igen.

- Waschman

25 november, 2008

Cisco: Om Pagent (Paket Generator) i Dynamips

Förord
Den här artikeln kommer gå igenom lite om verktyget Pagent som används i Cisco routrar i labbmiljö för att simulera olika typer av nätverkstrafik genom nätverket. Du kommer inte kunna läsa om funktionerna som Pagent erbjuder, utan kommer istället att få reda på alternativ som går att använda istället. Det kan hända att jag skriver en senare artikel om hur man använder Pagent men jag är inte helt säker.

QoS - Quality of Service
De som läser Cisco CCNP och har kommit till delen om "Optimizing Converged Cisco Networks" (ONT) använder utrustning som ska klara av Quality of Service "Qos". Jag tänker inte gå igenom vad QoS är för något på djupet men jag kan beskriva det lite som att man prioriterar olika typer av trafik.

T.ex så kan man prioritera Voice-over IP "VoIP", alltså röstmeddelanden/röstsamtal/iptelefoni, högre än trafik som bara innehåller chattkonversationer, torrentnedladdningar m.fl. Detta gör man för att inte ett iptelefoni-samtal skall bli brusigt, att paketen ska komma i rätt följd, och att det inte ska bli några fördröjningar.

QoS har många användsningsområden men enkelt beskrivet kan man säga att QoS ger mer bandbredd åt högprioriterad nätverkstrafik för att man skall få en så bra tjänst (eng. service) som möjligt.

Lite om laborationer med QoS och Pagent
När man då skall laborera med QoS så skriver man kommandon som skickas till routrarna för konfiguration, men hur skall man testa att trafik verkligen prioriteras på rätt sätt? Man vill ju inte direkt laborera i en verklig produktionsmiljö så vad kan man göra istället?

Pagent är ett egetutvecklat verktyg, tillverkat av Cisco för internt bruk, för paket generering och test av nätverk och implementerade QoS lösningar. Pagent är en specialdesignad version av ett Cisco IOS och kan bara aktiveras med hjälp av ett "machine id" och en "license key", alltså ett id och en unik nyckel. Man kan alltså inte ta en Pagent IOS från sin skola/arbete och licensnyckel med sig hem och sedan testa i Dynamips. För då krävs en annan licensnyckel.

Låst till hårdvara
En Pagent licens är låst till den specifika hårdvaran och man måste fråga Cisco efter en giltig licensnyckel för att kunna gå vidare. Det är endast anställda inom Cisco, CCIE, samt vissa skolor/universitet som undervisar CCNP som har fått tillåtelse att använda Cisco Pagent IOS utanför Ciscoföretaget.

Andra lösningar istället för Pagent
En lösning för de som inte får Pagent att fungera kan istället skaffa en mjukvara som installeras lokalt på er dator och som genererar paket genom ett Microsoft Loopback gränssnitt via Dynamips.

Ett program som är Shareware är "Network Traffic Generator and Monitor" [1] som kan generera IP/TCP/UDP/ICMP från klienter till servrar för att testa bandbredd, policys, brandväggar mm i sitt nätverk. Man kan allstå stresstesta nätverket.

En annan lösning är att använda Cisco SLA som endast stöds av nyare versioner av IOS (v12.4+). Mer om det kan ni läsa om på Ciscos webbsida i pdf-format "sla_cr_book.pdf" [2]. Det jag kan berätta lite kort om SLA är att man konfigurerar responder och transmitter på Cisco routrar. En transmitter konfigureras till att skicka en viss typ av trafik till en responder (sv. svarare) som sedan skickar tillbaks trafiken. Sedan kan man gruppera flera transmitters (sv. sändare) och ställa in tid samt hur ofta man vill att paket skall skickas. Med hjälp av detta kan man då skicka flera typer av trafik mellan två Cisco routrar.

Sedan i Dynamips kan man då implementera de flesta QoS reglerna och identifiera om det lyckas eller inte. En viktig sak man ska tänka på i Dynamips är att hastigheten går inte att styra med clockrate på seriella gränssnitt. Dynamips kan inte emulera lager 1 i OSI-modellen (det fysiska lagret). Så därför kan det uppstå problem när man ska testa köer (eng. queue).

Pagent i Dynamips fungerar
Jag vill tillägga att om man får tag i en Pagent IOS samt en giltig licensnyckel så kommer det att fungera i Dynamips. Jag har nämligen fått tag i en giltig licens för modell c2611 som kan köras utan problem i Dynamips. Själv använder jag det grafiska verktyget GNS3 för hanteringen av Dynamips relaterade funktioner och det fungerar hur fint som helst.

Jag tänker aboslut inte dela med mig av "machine id" och "license key". Det får ni försöka få tag på själva. Så snälla kontakta inte mig via kommentarer eller epost angående detta.

Referenser
[1] http://www.topshareware.com/Network-Traffic-Generator-and-Monitor-download-51163.htm
[2] http://www.cisco.com/en/US/docs/ios/ipsla/command/reference/sla_cr_book.pdf (10MB)

31 oktober, 2008

Cisco: ISCW Utvärdering

Förord
Jag har precis gått färdigt kursen Cisco CCNP2 ISCW - Implementing Secure Converged Wide-area cisco networks och här kommer en liten utvärdering. Det kan vara kul att läsa för er som tänker läsa Cisco CCNP och vill veta lite i förväg vad kursen kommer gå igenom.

Introduktion
Igår hade jag tentamen i den praktiska Cisco delen samt ett teoretiskt prov som instruktören själv hade gjort. Det gick jättebra men jag var lite osäker på nån fråga i den teoretiska delen. Instruktörerna är verkligen jätteduktiga och de visar verkligen vad de kan. Även om det kan vara lite svårt ibland att hänga med på några av föreläsningarna p.g.a. jobbigt engelskt uttal.

Kursen har pågått nu i några veckor sedan skolan började efter sommarens slut i början av höstterminen. Det har varit hektiskt och så otroligt mycket material att läsa. Det känns som långt över tusen sidor med text och bilder och det går även åt mycket tid att anteckna ner viktiga delar, punkter och moment.

Vad vi har gått igenom
Teleworker
I kursen har vi gått igenom hur man kan expandera företaget bortom kontorsväggarna och hem till personalen, eller om man är på resande fot. Vi har läst om teknologier som uppringdaanslutnignar (modem, isdn) när personalen är ute och reser (t.ex sitter på tåget), ADSL, VDSL, IDSL med flera om man vill ha en fast bredbandsanslutning där man ständigt är uppkopplad till Internet.

Secure VPN
Den viktigaste delen vi har läst om är hur man upprättar säkra anslutningar över ett publikt oskyddat nätverk (t.ex komma åt företagets nätverk hemifrån via din ISP exv. Telia, Bredbandsbolaget, Comhem m.fl.) Detta kallas även för ett Virtuellt Privat Nätverk "VPN" och är en teknik som använder krypterade tunnlar med Internet Protocol Security "IPSec". Vi har testat sätta upp s.k. "Site-to-Site VPN", "Easy VPN" och "Secure GRE Tunnels". Detta är helt fantastiska teknologier och funktioner som underlättar åtkomst, ökad produktivitet samt säkerhet för företagen.

MPLS
Multi Protocol Label Switching "MPLS" är en hyfsat ny teknik som Internetleverantörerna har börjat implementera och detta är en teknik som ökar hastigheten avsevärt när man utför paket-växling med routrarnas cache och etiketter. Men det är även en teknik som har anpassats för företag som vill ha en snabbare kärna (eng. Core) i sitt nätverk. Tekniken är som sagt hyfsat ny och den kommer mycket troligtvis vara åtråvärd hos dagens företag inom en snar framtid.

Device hardening + Cisco IOS Threat Defence features
Och nu till den roligaste biten... kombinera allt man lärt sig och applicera brandväggar (Cisco IOS, PIX, ASA), DeMilitarized Zone "DMZ" zoner, paketfiltrering, nya typer av Access Control Lists "ACL", Intrusion Detection System "IDS", Intrusion Prevention System "IPS" och användarkonto kontroller m.h.a. Authentication Authorization and Accounting "AAA". I detta ingår även att skydda sin router och inte bara sitt nätverk mot attacker och intrång.

I materialet har vi fått läsa om diverse verktyg man kan använda för att bryta sig in i ett nätverk, och för att skydda sitt nätverk mot just dessa attacker. En genomgång av virus, trojanska maskar och bakdörrar har också gåtts igenom och det var även det mycket intressant läsning.

Kursen i stort
Jag har lärt mig mycket nytt och inget har varit tråkigt. Vi har kombinerat teori med praktik och arbetet samt laborationerna har flytit på bra. Jag har speciellt satsat på att bli klar så fort som möjligt med alla uppgifter genom att anlända tidigare till skolan och försöka hinna bli klar innan resten av klasskompisarna anländer. På så vis kan jag hjälpa till mer om någon i klassen undrar över något och då lär jag mig så mycket mer.

Cisco är inte bara att sitta ner och lösa problem på egen hand eller fråga instruktören vid minsta lilla problem. Jag vill gärna försöka lösa problemen tillsammans med någon och då kommer jag ihåg allt mycket lättare. Kunskapen fastnar på ett annat sätt och det tycker jag är en bra blandning av teori, praktik och samarbete vid problemlösning.

Instruktörerna är väldigt duktiga och man känner att om man ställer en fråga som brukar man få ett bra svar tillbaka.

Tentamen
Den första tentan jag hade var Cisco Final Exam som man gör på Internet via Cisco Academys hemsida med sin inloggning. Provet var bra i sig men jag har några viktiga synpunkter:
  • Snälla ta bort frågorna om SDM för det är helt onödigt att veta vilka steg som kommer efter vilka. SDM är "point-n-click" och det ska inte komma på provet. Helt onödigt!
  • För mycket frågor om ADSL teknik. Visst att det kanske är bra men inte så många. Tycker att de borde satsa mer på den lite nyare tekniken.
  • Det är jobbigt när de nästan luras i frågorna och man måste lägga ner tid på att försöka tolka frågan. Man ska inte behöva gissa vad frågan är. Satsa mer istället på kluriga påståenden.
Den andra tentan jag hade var den igår som var praktiskt och lite skriftlig teori. Där blev jag lite besviken eftersom den efterliknande Case Study 1 på nästan alla punkter utom sista som kom från Case Study 2. Visst att instruktörerna sade att man skulle klara av provet bra om man hade lagt ner tid på Case Study-uppgifterna men hallå... provet borde vara lite tuffare för det var ju för enkelt. Jag kände att jag kunde provet nästan utantill eftersom det är de uppgifter jag har övat på mest av allt och som jag kan bäst.

Till sist hade vi den skriftliga delen och där fanns det några få kluriga frågor men det kändes utmärkt för jag har ganska gott självförtroende.

Slutord
Det är jättehärligt att vara färdig med CCNP 2 ISCW kursen och på tisdag väntar nästa föreläsning i nästa och sista delen i Cisco CCNP. Studierna gick bra, tentamen gick bra, det känns bra. Det var allt!

Om du planerar att läsa Cisco CCNP och har läst den här utvärderingen så kanske du fått lite mer klart för dig vad den kommer gå igenom.

27 oktober, 2008

Tentamen i full gång

Hej! Det var ett tag sedan jag skrev men det är bara för att vi har kommit till den del i terminen då vi har tentamen på högskolan. Jag läser Programmering (Java) och Cisco CCNP2 (ISCW) och har precis haft två tentor av tre. Jag har haft fullt upp kan man väl säga och idag har mest varit en vilodag efter tentan jag hade tidigare på morgonen i kursen Programmering.

Nästa och sista tenta är andra delen i Cisco som är ett praktiskt prov plus en teoridel som innehåller frågor som instruktören själv har skrivit. Vi kommer ha prov på hur man sätter upp ett VPN nätverk för företag (vi ska bygga ett eget Hamachi nätverk om man ska beskriva det enkelt) med starka krypteringar, logiska GRE tunnlar, MPLS, Cisco IOS Firewall med mera.

Tips! För er som inte känner till Hamachi kan jag berätta att det är nästan det samma som att ha ett lokalt nätverk "LAN" i hemmet eller på företaget fast man kopplar upp sig till varandra via Internet. Det använder en stark kryptering och med långa lösenord är man säkrad mot objudna gäster. Väldigt smidigt och enkelt!

Aja, det var lite utanför ämnet men i alla fall. Jag har fortfarande en tenta kvar så jag måste lägga ner lite mer tid på att studera innan jag kan ta mig tiden att skriva om något nytt och intressant här på bloggen.

Det har gått bra hittills och hoppas verkligen att det kommer gå bra på torsdag med Cisco. Jag känner mig väldigt säker men man kan aldrig veta vad man får för provuppgifter.

Jag önskar mig själv ett gott lycka till och till er säger jag att jag snart är tillbaks. Ha de gött - haj!

09 oktober, 2008

Cisco: Konfigurera c2950 Switch Wizard

Fann en bra webbsida om hur man sätter upp en c2950 switch på ett mycket smidigt och enkelt sätt. Det är en wizard/guide som låter en välja inställningar på en webbsida med Javascript som sedan skapar en konfiguration redo att använda.

Guiden passar bra för de som vill implementera en simpel Cisco-switch med viss säkerhet applicerad. Guiden fungerar med dot1.x, port-security, STP, säkrare lösenord och lite annat. Den kanske inte passar just dig men det är en bra början om man lär sig switchar.

Adressen är www.ifm.net.nz/cookbooks/2950wizard.html

Ni kan även testa säkerheten för era typ7 lösenord på följande adress www.ifm.net.nz/cookbooks/passwordcracker.html.

Lite extra för de vetgiriga
Ett typ7-lösenord är ett krypterat lösenord som man fått om man kört kommandot service password-encryption i global configuration mode. Som de flesta vet så är det en mycket svag kryptering som går att knäcka extremt fort utan krångel. Används endast typ7 lösenord för så kallat "över-axeln" skydd. Det betyder att om någon smygtittar på administratörens skärm över axeln när man visar en körande konfiguration på en aktiv router så ska man inte kunna se lösenorden i klartext. Några av dessa konfigurationer kan bytas ut mot hashade "secret" lösenord som omvandlar lösenordet till en slags kontrollsumma som inte går att dekryptera.

Så tänk på er säkerhet.

Cisco: Aktivera Cisco PIX v8.02 i GNS3 som Unrestricted

Förord
En Cisco PIX är en hårdvarubrandvägg som fungerar ungefär som en router bara det att den är specialanpassad för just säkerhet och kontroll av datatrafik. PIX står för Private Internet eXchange. En nyare variant är ASA som står för Adaptive Security Applience. GNS3 emulatorn stödjer för tillfället inte ASA-varianten. Så istället får ni köra med PIX så länge i era laborationer.

Introduktion
Som jag sade är PIX en hårdvarubaserad brandvägg. Den går att simulera i GNS3 men det är inte helt problemfritt. För att en PIX IOS ska fungera korrekt krävs det att man använder ett giltigt serienummer (eng. Serial Number) och Aktiveringsnyckel (eng. Activation Key). För att få tag på dessa måste man ha ett giltigt Cisco Support kontrakt, eller så kan man Googla, men det första är nog att föredra. Fråga inte mig om ni kan få dessa nycklar av mig.

PIX IOS
Nu ska jag gå igenom lite snabbt hur man aktiverar en Cisco PIX brandvägg i GNS3. För det första måste ni få tag på en Cisco PIX IOS och exempel på versioner visas här nedanför.
pix635.bin
pix722.bin
pix802.bin (*)
pix803.bin
Det IOS jag använder vid laborationer är pix802.bin men det ska troligen inte skilja så värst mycket.

Konfigurera GNS3
1. Gå till menyn Edit, Preferences och klicka på Pemu i listan till vänster.
Nu i rutan till höger kontrollerar ni att sökvägen till Pemuwrapper.exe är korrekt.

2. Längre ner under Defaults PIX Settings ställer ni in vilken PIX IOS ni vill använda i både PIX Image och Base flash. Sedan måste ni fylla i korrekt Serial för att få det att fungera.

3. Klicka sedan på Apply och OK.

Sätta upp en PIX

(Klicka på bilden för att förstora)

Dra ut en brandvägg-ikon (PIX firewall) och starta den. Telneta sedan in till den och vänta på att ni ska komma fram till inloggningen. Efter att den har gjort det trycker ni ENTER och skriver enable. Lösenordet är tomt så tryck ENTER igen.

Nu borde ni vara i Privileged EXEC Mode så skriv show version för att visa information om den aktuella PIX-brandväggen. Längst ner står det att det är en "Restricted (R) License".

Om ni har korrekt serienummer och aktiveringsnyckel så behöver ni bara gå till Global Configuration Mode och köra kommandot activation-key följt av fyra grupper med en hexadecimal representation av aktiveringsnyckeln med ett blanksteg mellan varje grupp (t.ex 0x00000000 0x00000000 0x00000000 0x00000000).

Efter att ni har skrivit in aktiveringsnyckeln och den har blivit kontrollerad kommer ni få en förfrågning om ni verkligen vill göra detta. Svara OK och då får ni ett nytt meddelande som lyder att de nya egenskaperna endast aktiveras efter en omstart. Problemet är bara att om man startar om något i GNS3 så förloras alla inställningar. Så därför måste vi skapa ett projekt först.

Spara aktiveringsnyckel och aktivera nya egenskaper för PIX
Nu ska vi omvandla den till "Unrestricted (UR) License" och för att göra detta måste vi första spara konfigurationen med kommandot write.

I GNS3 går ni till menyn File, New project och låter båda kryssrutorna vara ifyllda. Se bilden.

(Klicka på bilden för att förstora)

Välj var ni vill spara ert projekt och ni är färdiga. Stäng ner brandväggen och starta upp den en gång till. Om nu allt har gått väl och om ni har använt korrekta nycklar så borde PIXen ha laddat om sig och laddat in de nya egenskaperna för en "Unrestricted (UR) License".

Notera även att den running-config ni hade förut är kvar. Här nedanför ser ni en bild som visar ett exempel på hur det kan se ut för en PIX v8.02 med nya egenskaper aktiverade. Notera att PIXen nu även har stöd för "VPN-3DES-AES". Det passar utmärkt för VPN-laborationer.


(Klicka på bilden för att förstora)

Som ni kanske förstår har jag inte tillåtelse att lämna ut serienumret eller aktiveringsnyckeln. De få ni leta upp själva.

Sänka belastningen på din dators CPU
I GNS3/Dynamips kan man inte sätta ett IDLE-PC värde på en PIX brandvägg så därför måste man ta till ett annat smart knep. Man får helt enkelt använda ett program som kan styra hur mycket processorkraft en process i datorn får lov att ta upp.

Det finns ett sådant program som heter BES - Battle Encoder Shirase och i nuläget är den i version 1.3.7 beta. Programmet används mycket av användare i ett community/forum på adressen 7200emu.hacki.at. Ingen installation krävs och det har blivit testat av mig för virus med programvaran Nod32.

När ni har fått igång programmet (i Windows XP) så letar ni upp processen pemu.exe. Ni kan begränsa processorkraften till under 10%. Själv har jag under 4% och min PIX fungerar perfekt.

Kommandon
Här följer en lista på de kommandon som användes i artikeln.
pixfirewall> enable
Password: ENTER
pixfirewall# ! Verifiera PIX version och egenskaper (innan)
pixfirewall# show version
pixfirewall# conf t
pixfirewall(config)# activation-key 0x00000000 0x00000000 0x00000000 0x00000000
pixfirewall(config)# exit
pixfirewall# write

! Spara projektet, stäng ner PIX, starta om PIX, logga in igen

pixfirewall> enable
Password: ENTER
pixfirewall# show version
Cisco PIX Security Appliance Software Version 8.0(2)

Compiled on Fri 15-Jun-07 18:25 by builders
System image file is "Unknown, monitor mode tftp booted image"
Config file at boot was "startup-config"

pixfirewall up 9 secs

Hardware: PIX-525, 128 MB RAM, CPU Pentium II 1 MHz
Flash E28F128J3 @ 0xfff00000, 16MB
BIOS Flash AM29F400B @ 0xfffd8000, 32KB

0: Ext: Ethernet0 : address is 0000.abcd.ef00, irq 9
1: Ext: Ethernet1 : address is 0000.abcd.ef01, irq 11
2: Ext: Ethernet2 : address is 0000.abcd.ef02, irq 11
3: Ext: Ethernet3 : address is 0000.abcd.ef03, irq 11
4: Ext: Ethernet4 : address is 0000.abcd.ef04, irq 11

Licensed features for this platform:
Maximum Physical Interfaces : 10
Maximum VLANs : 100
Inside Hosts : Unlimited
Failover : Active/Active
VPN-DES : Enabled
VPN-3DES-AES : Enabled
Cut-through Proxy : Enabled
Guards : Enabled
URL Filtering : Enabled
Security Contexts : 2
GTP/GPRS : Disabled
VPN Peers : Unlimited

This platform has an Unrestricted (UR) license.

Serial Number: 000000000
Running Activation Key: 0x00000000 0x00000000 0x00000000 0x00000000
Configuration has not been modified since last system restart.

pixfirewall#

! Färdiga

Referenser
Spara projekt och konfiguration i GNS3
Blindhog save router configs
CCIE: Using GNS3 to master Cisco PIX
CCIE: Transparent Firewall GNS3 lab (väldigt grundläggande)
Community forum om Dynamips, GNS3 och övrigt inom Cisco
http://mion.faireal.net/BES/ -- Ladda ner BES för att minska CPU belastningen

01 oktober, 2008

Cisco: Aktivera Cisco IOS Intrusion Prevention System i GNS3

Introduktion
Nu kommer jag förklara hur man får igång en Cisco router med Intrusion Prevention System (IPS) aktiverat. Det är ett system som används i brandväggar, cisco routrar med flera för att känna igen hot och stoppa dem innan de förstör data och tjänster eller tar sig in i företagets nätverk.

Att tänka på
Guiden fungerar givetvis på riktiga Cisco routrar och alltså inte bara GNS3 som kör en virtuell emulering av Cisco IOS.

Exempel
Ett exempel är Ping of Death som går ut på att man skickar extremt många ping-anrop (ICMP paket) till exempelvis en Cisco router. När IPSen känner av attacken med specifika signaturer så blockeras trafiken. Givetvis är en IPS mer avancerad än så här men detta är bara ett smakprov så att ni ska få en bättre uppfattning av vad det är vi ska göra.

Tips! GNS3 har jag skrivit om förut som om ni inte vet vad det är föreslår jag att ni söker igenom bloggen med sökfunktionen.

Då kör vi igång
För att sätta upp en IPS i GNS3 behöver vi en speciell typ av Cisco IOS. Det IOS jag använder mig av är följande:
Cisco IPS IOS: c7200-advipservicesk9-mz.124-2.T.bin
Idle-PC: 0x610eae7c
0x610eaedc
0x602558f4 (*)
Ni kan testa om Idle-PC värdet fungerar för er men om finner ett bättre värde som sänker CPU belastningen i datorn under körning får ni gärna tipsa mig. Skriv bara en kommentar till artikeln så lägger jag in det i artikeln. Tänk på att ett Idle-PC värde är kopplat till ett specifikt IOS och alltså inte en speciell dator som GNS3/Dynamips körs på.

Vilken typ av IOS
Det är ett IOS (v12.4-2) som kör Advanced IP Services med krypteringsmodulen (K9) inlagd, vilket låter oss köra VPN. Jag använder mig av modell c7200 men det finns även andra modeller som fungerar.

Hur får man tag på IOS?
Det finns olika sätt men det officiella sättet är att man har ett giltigt Cisco Support kontrakt. Då kan man ladda ner nya IOS direkt från Ciscos webbsida www.cisco.com. Det är olagligt att distribuera IOS på annat sätt så fråga inte mig om ni kan få ett specifikt IOS.

Aktivera IPS
Ladda först in IOSet i vald routermodell i GNS3, starta routern och logga in. För att aktivera IPS måste man först skapa en "IPS Regel" (eng. IPS Rule). Det görs i global configuration mode. Sedan måste man även välja ett gränssnitt som är riktat mot oförlitliga (eng. Untrusted) destinationer, samt välja ingående eller utgående trafikkontroll (eng. Inbound/Outbound). Jag visar ett exempel här nedanför.

Först måste ni skapa en topologi i GNS3.

(Klicka på bilden för att förstora)

Router> enable
Router# configure terminal
Router(config)# hostname IPSFirewall

IPSFirewall(config)# ! Definiera IPS regeln som innehåller alla signaturer
IPSFirewall(config)# ip ips name myipsrule

IPSFirewall(config)# interface fastethernet 0/0
IPSFirewall(config-if)# ip address 192.168.1.1 255.255.255.0

IPSFirewall(config-if)# ! Välj vilken trafik som ska kontrolleras
IPSFirewall(config-if)# ip ips myipsrule in

IPSFirewall(config-if)# description Check inbound traffic for threats and attacks from Untrusted destination
IPSFirewall(config-if)# no shutdown
IPSFirewall(config-if)# ^Z

IPSFirewall# ! Verifiera
IPSFirewall# show ip ips all

Här visar jag en bild på när jag konfigurerar en c7200 router i GNS3 med terminalen Tera Term. (OffTopic) Jag ska byta terminal till Putty SSH snart för Tera Term äter CPU ibland.

(Klicka på bilden för att förstora)

På bilden ser ni några kommandon jag skickat till routern och sedan får man svar från IPS modulen som meddelar att signaturerna är inladdade. Ni ser även hur jag aktiverar IPS ingående trafik på fastethernet gränssnittet.

Nu har vi installerat en IPS på vår router och är på så vis skyddade mot många externa hot. Det var allt för den här gången.

Källor
Labbmanualen för Cisco instruktörer en_CCNP2_ILM_v501 (PDF dokument hh.se), kapitel 6, Configuring IPS with CLI

11 september, 2008

Nätverk: GNS3 är fantastiskt

Jag har tidigare skrivit om ett program som heter GNS3 och nu när skolan har börjat för oss på högskolan i Halmstad så har jag börjat använda programmet igen när jag sitter hemma och studerar. I skolan läser vi just "Cisco Implementing Secure Converged Wide-area networks" (ISCW) som mestadels handlar om IP Security (IPSec) och Virtual Private Network (VPN).

Utrustningen vi använder har mycket avancerade versioner av Cisco IOS och om man söker labbutrustning som har stöd för likadan teknologi så blir det inte billigt. Därför kan man istället använda GNS3 som är ett grafiskt verktyg för skapande av egna nätverkstopologier med Cisco routrar som simuleras av den virtuella mjukvaran Dynamips.

För att klara av kraven på teknologierna vi installerar och konfigurerar (t.ex IPSec och VPN) så måste man ha en binär bild-fil som innehåller Cisco IOS. Det finns jättemånga olika typer att välja mellan men jag har hittat en som passar för routermodellen 7200 och som klarar av digitala certifikat (RSA) och AES 256 bitars kryptering.
IOS: c7200-jk9o3s-mz.124-7a.bin
Den passar utmärkt men kräver däremot minst 256MB ram-minne i simuleringen och 64MB flash-minne.

Jag har precis suttit och gjort en laboration där man satte upp en Site-to-Site IPSec VPN och det fungerade problemfritt.

Tips: Om ni får problem med GNS3 så finns det en helt ny guide i dagens läge som går att ladda ner från deras webbsida [1].


Referenser
[1] Ny GNS3 manual (engelska)

08 juli, 2008

Nätverk: Sätta upp ett lokalt nätverk (LAN) - Del 1

Förord
Hej och välkomna ska ni vara till del 1 av 2 i "Sätta upp ett lokalt nätverk (LAN)". I den här guiden kommer vi gå igenom vilken utrustning som krävs för att bygga ett grundläggande och enkelt lokalt nätverk.

För den som är erfaren med datorer och som läser detta får ni en repetition. Om ni tycker att detta är för enkelt så tycker jag att ni ska läsa mer om Cisco nätverk. Har nämnt det lite överallt här på bloggen men ett bra ställe att börja på är Ciscos hemsida [1].

Introduktion
Nu ska vi snart gå igenom hur man bygger ett enkelt nätverk och till detta behöver vi lite utrustning. Vi behöver också en guide och det är den ni har framför er just nu. Jag har fotograferat den utrustning och kablarna jag använde under labbtillfället så det ska nog inte vara några problem att följa med.
"En bild säger mer en tusen ord"
Vilket operativsystem datorerna har är bara viktigt i del 2 eftersom det är då vi går igenom konfigurationen.


Utrustning
  • Två datorer med nätverkskort (jag använder en bärbar/laptop och en Barebone Shuttle)
  • 2st rak nätverkskabel
  • 1st korsad nätverkskabel
  • 1st nätverkswitch (sv. "växel" men ordet "switch/nätverkswitch" används oftare)
  • Elkablar
Först ska vi gå igenom utrustningen och vad den används till.

1_network.jpg
Här ser vi nästan allt. Det enda som fattas är en korsad nätverkskabel som jag inte fann vid tillfället när jag tog bilden.
  • Längst till höger ser vi en dator (Barebone Shuttle) som jag kommer kalla för Media-Server.
  • Längst ner till vänster (underst) ser vi en laptop.
  • Ovanpå den ligger en nätverkswitch som används som en växlingsstation för raka nätverkskablar.
    Kablarna används för att koppla ihop en dator med en nätverkswitch eller en dator med en annan dator. För en dator-till-dator anslutning krävs en korsad nätverkskabel som jag snart kommer visa och förklara.
  • De grå kablarna som syns i bild på nätverkswitchen är raka nätverkskablar.

4_network_card.jpg
Om ni undrar hur ett nätverkskort ser ut har ni ett här i PCI version. Med det betyder att kretskortet passar i en vanlig stationär dator med ledig kortplats. Den passar alltså inte i en bärbar dator.

Nu för tiden får man nästan alltid ett inbyggt nätverkskort i alla datorer. Det sitter fast på moderkortet som är datorns huvudkretskort där man fäster alla komponenter i en dator. Så chansen att ni har ett nätverkskort i er dator är mycket stor.

I bilden syns ett stort hål och fyra mindre. De små hålen används för att ge nätverkskortets status med hjälp av färgade lysdioder. Förklaras senare. I det stora hålet ska man koppla in en nätverkskabel av typen RJ-45. Jämför man med en vanlig telefonkabel (RJ-11) så är RJ-45:an större.

2_rj45.jpg
Här ser ni det inbyggda nätverkskortets uttag på min laptop. Det har markerats i bilden med en röd markering.

3_rj45.jpg
Och här ser vi nätverkskkortets uttag på min Media-Server. Det är alltså här vi kopplar in våra nätverkskablar. Även här har det markerats med en röd markering.


Nätverkskablar
Nu ska vi gå igenom olika typer av nätverkskablar. Kabelstandarden är Ethernet. Vi kommer bara gå igenom Cat5 som klarar upp till 100Mbit/s och som även är den allra vanligaste kabeln i nätverk. Det finns kablar som klarar av högre hastigheter men det hör inte till guiden. Kan nämna att Cat6 ger hastigheter upp till 1000Mbit/s (eller 1 Gigabit) och har striktare regler för hur kabeln skall tillverkas för att få så lite störningar som möjligt.

Mer om kabeltyper, hastigheter och duplex finner ni i en annan artikel här på bloggen - Nätverk: Lathund för koppling av nätverk. Den innehåller inte all information om nätverk men istället saker som kan vara bra att kunna och veta om.

Korsad eller rak nätverkskabel? Det beror på. Vill ni bara skicka och ta emot filer från en dator till en annan så ska en korsad nätverkskabel användas. Korsade kablar använder full-duplex vilket betyder att data kan skickas i båda riktningar samtidigt.

5_straigt_through.jpg
Här har vi ett exemplar av en rak (eng. straight-through) nätverkskabel Cat5 (Rj-45). Det finns många varianter och färger men den vanligaste färgen är grå. Sedan kommer gul. Den används oftast till dator-till-switch nätverk.

6_crossover.jpg
Här har vi en korsad (eng. crossover) nätverkskabel (RJ-45). Den används oftast till dator-till-dator nätverk men även vi koppling till servrar och från dator till router i vissa fall. Alla nätverkskablar existerar i många olika färger men ser man en röd kabel eller en grå kabel med röda ändar så är det troligtvis en korsad kabel. Andra vanliga färger är blå och grå.


Se skillnad på kablarna
Men hur ser man egentligen skillnaden mellan raka och korsade kablar? Jo, det är så att en nätverkskabel har 8 mindre kablar inuti sig: 4 kabelpar och varje kabelpar har 2 kablar som är snurrade runt varandra.

7_pins.jpg
I ena änden på en nätverkskabel ser man 8 koppar "pin's" och jag har markerat en av dem med en röd markering. Här kan man även svagt urskilja de olika färgerna som används på kablarna i kabelparen.

Från vänster:
  • 1: Orange-vit
  • 2: Orange
  • 3: Grön-vit
  • 4: Blå
  • 5: Blå-vit
  • 6: Grön
  • 7: Brun-vit
  • 8: Brun
(Tips! Bättre bilder kan ni se på Wikipedia om korsade nätverkskablar [2])

8_straigt_pins.jpg
Här ser ni båda ändarna på en rak nätverkskabel. Om ni tittar noga ser ni att kabelparet längst till vänster (vid den blå markeringen) är samma vid båda ändarna - orange-vit och orange. Alltså är kabeln av typen rak (eng. straight-through).

Här ser vi en illustration om hur kabelparen är kopplade från ände till ände:
Ände (V)   Ände (H)
1 --------------- 1
2 --------------- 2
3 --------------- 3
4 --------------- 4
5 --------------- 5
6 --------------- 6
7 --------------- 7
8 --------------- 8

9_crossover_pins.jpg
Nu ska vi ta en titt på hur en korsad kabel ser ut inuti. Precis som förut har jag markerat det orange kabelparet men notera att det nu är placerat längre åt höger vid den ena änden av kabeln. Vid ena änden har grön-vit och grön bytt plats med orange-vit och orange. Detta betyder att pin 1 går till 3, 2 till 6, 3 till 1 och 6 till 2.

En illustration till för att klargöra kablarnas position:
Ände (V)   Ände (H)
1 --------------- 3 -- orange-vit till grön-vit
2 --------------- 6 -- orange till grön
3 --------------- 1 -- grön-vit till Orange-vit
4 --------------- 4
5 --------------- 5
6 --------------- 2 -- grön till orange
7 --------------- 7
8 --------------- 8

10_mismatch.jpg
Här syns det lite tydligare att de tre nedersta ändarna har orange-vit och orange längst ner förutom den översta änden där man kan se att orange har hoppat högre upp.


Koppla ett nätverk (korsad dator-till-dator)
Då har vi kommit till koppling av nätverket. Vi börjar med dator-till-dator varianten som använder en korsad nätverkskabel. I mitt fall används en röd kabel med färgerna kan variera.

För att vara på den säkra sidan så försöker man alltid att kolla på kabelparen inuti nätverkskabeln. Bara för att färgen är rätt behöver det inte vara rätt kabel. Det har jag och mina Cisco instruktörer lärt oss av erfarenhet den hårda vägen.

11_insert_rj45.jpg
  1. Vi börjar med att slå på datorerna som ska användas i laborationen/testet och leta fram kabeln som ska användas.
  2. Leta upp rätt uttag på datorn. Tänk på att RJ-45 som används för nätverkskabeln i röd markering är större än telefonkabeluttaget RJ-11 som har blå markering.

12_crossover_connection.jpg
Här ser vi hur jag har kopplat min korsade nätverkskabel mellan mina två datorer. Ni märker om nätverkskorten och nätverkskabeln fungerar om statuslamporna börjar blinka orange och sedan lysa med ett grönt sken. Hur detta kan se ut visas på två bilder här nedanför.

13_network_red.jpg
Först görs olika kontroller med nätverkskorten och det media (kabeln) som används för att se efter om det fungerar. Windows försöker också nu att upptäcka nätverkskabeln så därför skickas några signaler genom kabeln till den andra datorn. Därför kan det blinka en orange lampa nära nätverksuttaget - eller porten som är enklare att säga.

14_network_green.jpg
Här ser vi när det har slutat att blinka och det lyser nu med ett stadigt grönt sken för att symbolisera att nätverkskortets status är OK.

Det var allt för den korsade nätverkskopplingen. Hur man konfigurerar nätverket kan ni läsa om i del 2 av guiden och det är precis samma konfiguration för ett korsat dator-till-dator nätverk som det är med raka kablar i ett dator-till-switch nätverk.


Koppla ett nätverk (rak dator-till-switch)
Nu ska vi gå igenom hur man kopplar ihop två datorer med en nätverkswitch (även kallad växel på svenska). Denna koppling används väldigt ofta i hemmet när flera datorer används eller t.ex när man har ett LAN-party där ungarna spelar spel mot varandra.

Istället för en nätverksswitch kan man använda en komponent som är något äldre men som fungerar fint med små nätverk med låga prestandakrav. Denna komponent kallas hubb men jag tror inte att sådana säljs längre. Även om de säljs så rekommenderar jag att ni skaffar en nätverksswitch istället.

Tips! Om ni har en router i hemmet för att dela på ert Internet (bredbandskoppling) så brukar det även finnas minst 4st nätverksportar tillgängliga för övriga datorer i hemmet. Dessa extra portar är en inbyggd switch i routern. Det finns även bredbandsmodem som har en inbyggd switch men dessa brukar inte tillåta trafik till datorerna på det egna nätverket - utan bara från en dator ut på Internet.

15_hp_switch_empty.jpg
Här överst i bild ser ni en stor grå nätverksswitch från HP som har 24st lediga nätverksportar. 24 portar är väl att ta i men det är det enda jag har tillgängligt just nu för guiden. Om ni ska försöka bygga ett nätverk hemma, på företaget eller för ett mindre LAN-party med kompisarna kan jag rekommendera en 8-portars nätverksswitch med stöd för 10/100Mbit/s eller en 5-portars Gigabitswitch med stöd för 10/100/1000Mbi/s.

Just nu är nätverkswitchen tom och inga nätverkskablar har kopplats till den ännu. Det sker i nästa bild.

16_straight_conn1.jpg
Här börjar vi med att först koppla in den ena datorn till nätverkswitchen med en rak nätverkskabel. Det är den grå kabeln så visas i bild.

17_straight_conn2.jpg
Här ser vi när den raka kabeln till den andra datorn har kopplats in i nätverkswitchen.


18_straight_trough_wired_network.jpg
Här har vi en överblick över hur det lilla nätverket är kopplat. Det är alltså nätverkswitchen som kopplar ihop datorernas signaler så att de kan "prata" eller kommunicera med varandra.

19_hp_switch_status.jpg

20_connection_big.jpg
På den nätverkswitch jag använde så fanns det en skärm där statusen för varje nätverksport visades. I detta fallet lyser 1 och 4 grönt för att kablarna fungerar.

Att notera!
Gröna lampor brukar indikera att datatrafik skickas när lamporna blinkar. Om det lyser rött eller med en icke-blinkade orange färg så brukar det visa att ett fel har uppstått.

Färdigt!


Sammanfattning
Nu har vi gått igenom del 1 av 2 i hur man sätter upp ett eget lokalt nätverk (LAN). Vi har visat samt beskrivit vilken utrustning som har använts. Nätverkskablarna som används har visats och blivit jämförda. Vi har också gått igenom hur man ska koppla kablarna och vad en växel/nätverkswitch är för något samt vilket syfte den har.

Efter den här guiden ska ni nu kunna koppla enkla nätverk både med raka och korsade nätverkskablar. Ni bör även veta vad en nätverkswitch är för något samt dess funktion.

Vi har gått igenom grunderna för ett nätverk och dess byggstenar. Med hjälp av detta kan ni nu söka vidare efter mer avancerade tekniska nätverksguider och artiklar. Ni kanske t.o.m. har fått ett större intresse för nätverk och tänker er en utbildning inom Cisco. Det är något som jag starkt kan rekommendera för er som är intresserade.

En sista notis är att nätverket inte fungerar än - inte förrän ni har gått igenom del 2 i guiden som går igenom hur man konfigurerar nätverket.


Slutord
Det har varit intressant att skriva guiden eftersom jag vet att väldigt många vill veta hur man gör sånt här. Har fått gå igenom allt många gånger och verkligen sett till att det blir skrivet på ett så bra sätt som möjligt. Men det är svårt att skriva utan fel så om ni upptäckter något eller har synpunkter på guiden så skriv gärna en kommentar.

Jag tar gärna emot alla synpunkter - ris eller ros.

Texten kan ändras och skrivas om vid de ställen där något är oklart. Så det är inga som helst problem för mig att göra ändringar. Det uppskattas väl!

Då ses vi i del 2...
Sätta upp ett lokalt nätverk (LAN) - del 2

Källor och referenser
[1] http://www.cisco.com
[2] http://en.wikipedia.org/wiki/Ethernet_crossover_cable

29 maj, 2008

Nätverk: GNS3 i ny version v0.5

Det grymma programmet GNS3 för simulering av Cisco nätverk med riktiga IOS filer släpptes för en månad sedan i ny version. Det är många nya förbättringar och buggfixar så ladda ner den nya versionen nu. Jag kan knappt vänta till en senare version då programmet även kommer att simulera "lätta" PC-klienter.

Om ni vill ha de senaste nyheterna för hur utveckligen går kan ni besöka deras webbsida [1].

Referenser
[1] www.gns3.net/news

22 maj, 2008

Cisco: BCMSN Utvärdering

Här kommer en utvärdering av mig för Cisco-kursen BCMSN. Jag hade det praktiska provet igår på morgonen mellan 0900-1130 och blev mycket förvånad. Det var inte alls vad jag hade förväntat mig - alldeles för enkelt och för lite konfiguration. Egentligen ska jag inte säga att det är så enkelt för jag vet att många av er där ute har svårt för sådant här och det tar en stund att vänja sig. För mig i början var det liksom "Wow! En vanlig switch kan agera som router också - häftigt" och sedan fylldes det bara på med mer och mer information för oss studenter att lära.

BCMSN handlar om hur man bygger ett switchat nätverk med lager 2 samt lager 3 switchar. Man lär sig även konfigurera och sätta upp redundans i nätverket. T.ex om en standard gateway går ner så vill man att det finns en backup som använder samma IP för att enheter och datorer inte ska upptäcka någon förändring när fel uppstår. Man får även lära sig hur man kopplar ihop flera nätverkskablar till en logisk s.k. port-channel. Detta ökar hastigheten dubbelt upp för varje extra kabel som ingår i kanalen. För att inte få loopar i nätverket används Spanning Tree Protocol (STP) och MSTP med flera. Säkerhet implementeras också med DHCP Snooping och Port-security.

Men hur har det då gått under kursens gång?
Jo, det har gått bra. Jag har närvarat vid varje laboration och efteråt har jag läst igenom teorimaterialet. Då förstår jag bättre vad det är jag läser om jag redan har prövat på det i praktiken innan. Laborationerna har verkligen hjälpt mig att nå målet för det praktiska provet men själva provet var en besvikelse. Jag tänker inte säga vad det innehåller för det ser jag som fusk men jag kan tala om att just den versionen av provet jag fick vid provtillfället var alldeles för enkelt. Det var inget STP, MSTP, DHCP Snooping. Jag hade förväntat mig mer komplexitet och hade övat mycket inför det. Det visade sig att det var en liknande topologi som vi haft under laborationerna och det krävdes bara grundläggande kunskaper och lite extra.

Efter provet kunde vi inte verifiera att man hade gjort rätt eller fel. Det fanns liksom inget man kunde pinga eller koppla för att testa att konfigurationen man suttit med en timma för att se om allt fungerade. Det gick mest ut på att bevisa att man visste hur man ställde in vissa funktioner och t.ex hur man omvandlade en lager 2 switch till en lager 3 som kan dirigera ("routa") paket. Och mer än så vad det inte. Men jag ska vara glad att jag klarade det - eller det är i alla fall vad jag tror att jag gjorde. Resultatet har ännu inte vidarebefordrats till mig eftersom provet ännu inte har rättats. Svaret på det få jag väl inom en vecka eller så.

Allt kunde ha varit så mycket svårare och då hade man kanske gått miste om viktiga poäng för att höja sitt betyg. Men det gick bra.

Men kursen i övrigt då?
Lektionerna ha varit grymma för utan dem hade jag inte haft tillfälle att diskutera fram de rätta lösningarna till laborationerna. Det är bra att man arbetar i grupp för det hjälper så otroligt mycket. Man inspireras till att prestera bra och att hjälpa sina klasskompisar om de får problem. Detta ser jag som en utmärkt utveckling inför det kommande arbetslivet.

Som vanligt har alla laborationer varit väldigt hjälpsamma men jag stör mig så otroligt mycket på att Cisco har så extremt många fel i instruktionerna för laborationerna - fel IP adresser - fel konfiguration som inte stämmer överens med uppgiften - många slarvfel i texten - kritiska fel i vissa exempel som är mycket att det stämmer för att man ska klara av uppgiften på ett korrekt sätt och få ett korrekt resultat. Dåligt Cisco!

Teorimaterialet har bestått av mycket men bra information av hög kvalitet och Quizzen till varje modul är underbar. Det jag saknar är en referens för alla kommandon som ingår i kursen som är samlade på en enda plats och inte utspritt utöver hela kursmaterialet.

Teorimaterialet är på Internet på Cisco's webbsida och finns även att köpa som bok. Visst att boken kan vara bra att ha om man inte orkar sitta framför en datorskärm hela tiden eller om man kanske är ute och reser (möjligtvis till och från skolan) men jag rekommenderar nog helst att man läser materialet på Internet.

Slutord
Det har varit en kul kurs med många nya intressanta funktioner och lösningar på problem, samt att vi har haft mycket bra instruktörer. Utan dem hade jag aldrig klarat detta. Snart är det dags för sommarlov och till hösten igen börjar nya Cisco studier.

20 maj, 2008

Cisco: BCMSN Prov

Gud vad nervös jag är idag. I morgon ska jag göra den praktiska delen i Cisco CCNP ("Cisco Certified Network Professional") BCMSN ("Building Converged Cisco Multilayer Switched Networks") som alltså är en så kallad "Skills Based Assessment".

Jag har övat och övat och känner mig mycket säker inför morgondagen men vet att jag möjligtvis kommer missa några få detaljer. Självklart hoppas jag på maxpoäng men vet att det är svårt att uppnå. Givetvis kommer jag bli glad om jag klarar godkänt men kommer satsa hårt för att nå en högre nivå.

Jag känner mig säker på att montera kablarna, sätta upp en grundläggande konfiguration för både lager 2 och lager 3 switchar, skapa VLAN, hur man skapar trunkar och etherchannels mellan switchar, router-on-a-stick, redundans med HSRP och routing mellan VLAN med SVI. Det jag är mindre bra på är QoS, STP och felsökning. Jag gissar att det även kommer dyka upp uppgifter där man ska använda port-security och liknande och det är väl inte alltför svårt.

Att tänka på när man ska göra det praktiska provet
  • Ta med en vattenflaska.
  • Pennor för att anteckna.
  • Kommandolista skriven för hand.
  • Ett gott självförtroende.
  • Vara lugn och inte stressa om man upptäcker att de andra kommer igång fort eller lämnar provsalen tidigt.
  • Kom tidigt till provsalen och invänta lärare och elever för att inte komma för sent.
  • Sitt inte och läs på en massa kommandon direkt innan. Förmodligen har du redan övat hårt i en vecka och kan istället ta det lugnt och slappna av fram till provtillfället.
  • Om du inte förstår provet så fråga instruktören om hjälp.
  • Håll tyst när du gör provet. Det är så extremt jobbigt när de utländska studenterna pratar med varandra hela tiden under provet på sitt egna språk så låt instruktören sköta diskussionen.
Nu är jag snart helt förberedd inför provet i morgon. Jag har även skrivit några tips som kan vara bra att ta del av om du som läser detta är en blivande Ciscotekniker som studerar. Nu ska jag bara skriva min kommandolista som jag kan ha med på provet i morgon. Om ni tycker att det är orättvist att vi får ha med en kommandolista på provet så kan jag säga att det är ungefär så man har det senare i arbetslivet. En annan sak är att om man konfigurerar switcharna och routrarna med kommandon inte krävs får man minuspoäng.

Jag önskar mig själv mycket lycka till och även till dig som läser detta om du också närmar dig ett Cisco prov. Till och med om du läser CCNA eller kanske CCIE - Lycka till!

09 maj, 2008

Övrigt: Kom ihåg allt inför cisco tentamen

Seriöst! Det finns nog inget sätt som låter dig komma ihåg allt inför en Cisco tentamen så vida du inte är riktigt extremt påläst eller har en begåvning. Här är två sajter som publicerat information om en apa [1] och en kvinna [2] som har riktigt bra minne. Bara en kul grej som får en att tänka till.

Referenser
[1] Chimpans spöar studenter
[2] Kvinnan som kommer ihåg allt

Cisco: Bli en CCIE

Jag tänker inte skriva så mycket om detta men tänker nämnanågra referenser som är superbra att läsa om man tänker utbilda sig till en Cisco Certified Internetwork Expert (CCIE). Att tänka på är att man måste först ha minst fem års arbetslivserfarenhet inom Cisco, tagit alla certifikat (CCNA, CCNP, ...) upp till CCIE nivån samt ha mycket pengar över (ett CCIE certifikat kostar runt 1,000$ och upp) och samtidigt vara beredd att lämna det sociala livet för riktigt hårda studier. Det är väldigt få som har CCIE status i hela världen och det är en mycket svår nätverkskurs. Men när du väl har nått toppen kommer du bli respekterad av många - och ha en saftig lön.

Svårt val? Det tycker i alla fall inte jag. Jag tänker satsa på CCIE direkt när jag får chansen. Tills dess måste jag bara klara av alla certifikat för att nå just den nivån. Hur långt tänker du gå?

Referenser
Cisco PEC - CCIE Laboratory | Registrera för PEC
CCIE Certificateand CCIE Prep
How to Become a CCIE
So, You Want to Be a CCIE - Part 1
So, You Want to Be a CCIE - Part 2

04 maj, 2008

Nätverk: Subnetta enkelt med VLSM modellen

Lär er att subnetta
Variable Length Subnet Mask (VLSM)

Hej och välkomna till en ännu en av mina nyskrivna artiklar. Denna gången ska jag skriva om subnetting med Variable Length Subnet Mask (VLSM). Jag kommer inte lära er den matematiska biten hur man räknar binärt utan kommer istället använda en slags modell som inte är så komplex och svår att förstå. Visst är det bra att kunna den matematiska biten för att förstå lite bättre och mer ingående men det kan ni Googla efter.

Observera dock att jag ännu inte har prövat att subnetta en klass A eller klass B adress utan än så länge bara klass C adresser.

För att hänga med bör ni redan kunna vanlig subnetting eftersom VLSM är en fortsättning. Det kan vara lite svårt att hänga med om man är ovan med termer etc men jag ska försöka så gott jag kan. Om jag får synpunkter på artikeln om hur jag kan förenkla vissa delar så kommer jag försöka revidera innehållet.

Introduktion
Vanlig subnetting använder vanligen fixerade prefix med /8, /16 eller /24 vilket bestämmer hur många bitar som ska användas till subnätmasken. Med VLSM kan vi använda variabla prefix för att utnyttja IP-adresserna mer effektivt.

T.ex om vi har två stycken routrar kopplade till varandra via en seriell länk. Då krävs endast två IP-adresser men om man inte använder VLSM så slösas det bort en massa IP-adresser i det nätverket som den seriella länken använder. Målet är att få en subnätmask med prefixet /30 för adresserna vilket lämnar 2 användbara bitar (binärt: 00, 01, 10, 11).

Om man har flera seriella länkar i nätverket och flera mindre avdelningar så är det enklare att summera alla nätverken till en enda IP-adress i routing tabellen om de använder samma "major" nätverk. Detta kräver mindre resurser och mindre processorkraft (CPU) i routrarna.

Scenario
Ditt företag har tre avdelningar och varje avdelning behöver ett eget subnät för att minska broadcast trafik och för att förenkla administration. Projektledaren har valt att ni ska använda en klass C IP-adress 192.168.1.0/24 till den byggnaden där avdelningarna befinner sig. Det är nu upp till er att dela in adresserna så optimalt som möjligt.

Avdelningarna
- Ekonomi behöver 60 IP-adresser. (accounting)
- Marknadsföring behöver 28 IP-adresser. (marketing)
- Utveckling behöver 6 IP-adresser. (developers)

Tips!
Innan vi börjar är det bra om ni tar fram papper och penna och försöker följa med i artikeln genom att följa instruktionerna och figurerna.

Uträkning med VLSM modellen
Vi kommer använda en box-modell för att räkna ut subnätens längd på subnätmasken baserat på kraven för avdelningarna (60, 28, 6). Den största boxen (eller rutan - ni bestämmer själva) har en IP-adress-span från 0 till 255 med 0 längst upp till vänster och 255 längst ner till höger. Se figur 1.1.


Figur 1.1


Nätverksadressen är alltid den siffra längst upp till vänster i varje box.
Broadcastadressen är alltid den siffra längst ner till höger i varje box.

Notis: Den senaste delningen av boxarna markeras med röda linjer. De gamla linjerna förblir svarta.

Om vi nu delar boxen i två delar med en diagonal linje från topp-mitten till botten-mitten får ni två nya boxar med två nya IP-adress-omfång och det gamla prefixet (/24) uppdateras nu med /24+1=/25. Prefixet uppdateras med +1 varje gång vi delar alla boxar på mitten.

Okej! Det nya IP-adress-omfånget är nu 0-127 och 128-255, vilket alltså är två subnät. Varje subnät har nu plats för 128 adresser vilka av dem är 128-2=126 användbara adresser. Se figur 1.2. Vårt mål är att få en så liten box som möjligt där en avdelning kan få plats. Ekonomiavdelningen behöver minst 60 adresser och 126 är lite för mycket så vi testar att dela alla boxarna en gång till. Se figur 1.3.


Figur 1.2



Figur 1.3

Vi har nu fyra mindre boxar och varje box har plats för maximalt 64-2=62 användbara adresser. De två adresser vi plockar bort för varje box är nätverks- och broadcast adressen. Kom ihåg att vi nu har delat alla boxarna på mitten så därför måste vi öka prefixet med 1 (/25+1=/26). Våra nya IP-adress-omfång är nu 0-63, 64-127, 128-191 och 192-255, vilket ger oss fyra subnät.

Den första oanvända boxen (0-63) vi har nu har plats för ekonomiavdelningen krav på 60 adresser +2 som kan användas för en mindre expandering av nyanställda. Vi markerar denna box med en fin blå färg. Se figur 1.4.


Figur 1.4


Viktigt!
Inga blå boxar får användas för framtida allokering av IP-adresser.

Nästa steg för oss nu är att skapa ett subnät för marknadsföringsavdelningen som har ett krav på minst 28 adresser. En box med plats för 62 användbara adresser är för mycket så vi måste dela alla användbara boxar på mitten en gång till, vilket ökar prefixet för subnätmasken med +1 (/26+1=/27).

Våra nya IP-adress-omfång är nu 64-95, 96-127, 128-159, 160-191, 192-223 och 224-255, vilket är sex användbara nya och fräscha subnät. Se figur 1.5. Varje box/subnät har nu plats för 32-2=30 användbara adresser vilket passar utmärkt för marknadsföringsavdelnignens krav på minst 28.


Figur 1.5


Vi använder box 64-95 till marknadsföring. Se figur 1.6.


Figur 1.6


Så där. Nu har vi bara en avdelning kvar och dess krav är 6 adresser. För att åstadkomma detta måste vi dela alla boxarna vi har kvar på mitten två gånger. Den första delningen visas i figur 1.7 och den andra delningen i figur 1.8. Efter dessa två delningar är prefixet uppe i /27+2=/29.


Figur 1.7



Figur 1.8


Nu är vi snart klara. Vi kan nu se i figur 1.9 att nästa tillgängliga box/subnät är den med IP-adress-omfånget 96-103. Den passar utmärkt för utvecklingsavdelningen. Och det var allt.


Figur 1.9

När man gör detta för hand i verkligeheten tar det cirka 1-3 minuter att allokera adresser för 7 avdelningar i olika storlekar med VLSM. Det är ungefär så lång tid det tar för mig.

Summering av VLSM subnetting
Här har jag omvandlat prefixen för varje subnät till dess respektive subnätmask och visar även vilka IP-adresser vi har fått.

Egentligen ska man ju tänka på företagets expansion med en beräkning på en 100% ökning av anställda inom de kommande fem åren men här har vi räknat med en maximal ökning med två anställda för att göra det lite enklare att beskriva.

- Tilldelat nätverk: 192.168.1.0/24
- Ekonomi (60 adresser): 192.168.1.0/26: 1-62: 255.255.255.192
- Marknadsföring (28 adresser): 192.168.1.64/27: 65-94: 255.255.255.224
- Utveckling (6 adresser): 192.168.1.96/29: 97-102: 255.255.255.248

De boxarna som är kvar är subnät som kan användas till vad ni nu så önskar. Exempelvis subnät för seriella länkar mellan routrar om ni skapar flera subnät med en extra delning. Då får ni ett max-prefix på /30 som är optimalt för seriella länkar.

Sammanfattning
VLSM är svårt att förstå i början men om man börjar med denna modellen är det så mycket enkare. När jag gick CCNA kursen på gymnasiet så förstod jag aldrig den binära uträkningsmetoden lärarna försökte lära oss men på högskolan lärde oss både hur man kör med VLSM binärt och hur man gör med denna modellen. Den är helt enkelt underbar och har underlättat för mig vid varje prov i Cisco kursen jag läser just nu.

Jag hoppas ni förstår det mesta av vad jag har beskrivit och förklarat och hoppas att ni inte tycker det är för avancerat. När man väl använder modellen på papper så är det så enkelt. Nu är ni en VLSM subnät guru.


Länkar
http://www.vlsm-calc.net/ Använd en kalkylator på Internet för uträkning av vlsm-nät.
Exempel på uträkning med PHP för att räkna ut CIDR-adresser

Välkomna till bloggen

Välkomna ska ni vara kära besökare. Jag skriver om IT för att det är kul och för att jag vill dela med mig av information och kunskap. Jag försöker hålla bloggen så kategoriserad som möjligt för att ni enklare ska hitta intressanta länkar och artiklar.