(3) Comentários

Por Rafael Leão, 15/06/2010 07:00

Fala galera!!! Neste post em flash, estarei mostrando como autenticar os usuários que acessam o console, SSh, telnet, e HTTP do PIX, através do IAS (Internet Authentication Service) do Windows, integrado com o AD (Active Directory).

(2) Comentários

Por Rafael Leão, 01/06/2010 07:00

Nesta semana publiquei um post sobre limitação de banda nos switches 3750, e agora vou mostrar um exemplo da mesma configuração em um Cisco PIX firewall 515E, versão 8.0(4).

Através de políticas de QoS, conseguimos implementar limitação de banda no PIX/ASA, para tráfego outbound, em determinada interface. Os passos para esta configuração são os mesmo do IOS em switches, apenas alguns comandos mudam.

Como podemos ver, há uma rede outside e uma inside somente, com um host cada um. Usei para realizar os testes, o software NetMeter.

Configuração do PIX

O PIX está pré-configurado para este lab da seguinte forma:

interface Ethernet0
nameif inside
security-level 100
ip address 172.16.1.10 255.255.255.0
!
interface Ethernet1
nameif outside
security-level 0
ip address 192.168.10.10 255.255.255.0
!
access-list acl_inside extended permit ip any any
access-list acl_inside extended permit icmp any any
access-list acl_outside extended permit ip any any
access-list acl_outside extended permit icmp any any
!
access-group acl_outside in interface outside
access-group acl_inside in interface inside

Como podemos observar, qualquer tráfego está permitido, nas duas interfaces, mas apenas para efeito de teste.

Agora vamos definir a configuração a ser aplicada.

1. Classificando o tráfego

Uma ACL define o tráfego selecionado…

access-list 700k_outside extended permit ip any any

… e um class-map, irá referenciá-la, para definir qual tráfego receberá determinada política.

class-map map_700k_outside
description 700k outbound interface outside
match access-list 700k_outside

2. Criar o Policy-Map

O policy-map aplica ao tráfego definido por class-maps, as suas respectivas ações. Neste caso, ao class-map map_700k_outside será aplicado uma política de taxa de output de 700Kbps.

policy-map pmap_700k_outside
class map_700k_outside
police output 700000 10500

O parâmetro 700000 significa a taxa de output em bits, e 10500 é o burst, em bytes.

3. Aplicando as políticas

Agora o último passo é aplicar a política à interface, em sentido outbound, com o comando ‘service-policy’. Neste caso, na interface outside.

service-policy pmap_700k_outside interface outside

Vamos aos testes…

Antes de mostrar os testes, uma coisa é importante dizer: estas configurações não serão aplicadas a conexões já existentes, como você poderá perceber a seguir…

Observe o gráfico abaixo:

À esquerda, podemos ver o tráfego normal entre os dois hosts, e do lado direito, o tráfego após aplicadas as configurações. O host 192.168.10.2 está copiando um arquivo de aproximadamente 4,7GB do host 172.16.1.2.

Conforme dito anteriormente, as políticas somente são aplicadas a novas conexões… por isso, após aplicar as configurações, usei o comando ‘clear conn’ para fechar todas elas… então comecei novamente a cópia do arquivo.

A nova conexão mostrada no output do PIX já está no ar com a nova política de tráfego aplicada.

É isso então! Espero ter ajudado…

Dúvidas?! Sugestões?! Críticas?! Todas serão bem vindas!! É só mandar nos comentários… valeu!

(7) Comentários

Por Rafael Leão, 27/05/2010 14:09

Este post traz uma configuração fácil de ser realizada em switches Cisco, para limitação de banda, em tráfego um switch Cisco Catalyst 3750, através de Policy-Maps.

Através de parâmetros configurados na Modular QoS CLI, selecionamos um determinado tráfego, e lhe aplicamos ações, baseadas nas políticas configuradas para ele. A limitação de banda pode ocorrer de duas formas: shaping ou policing.

Shaping vs. Policing

Antes de qualquer coisa, é importante sabermos a diferença entre estes dois métodos.

- Traffic Shapping retém pacotes que excedem a banda configurada para um buffer (queueing) e gradativamente vai os transmitindo, sem que o mesmo não sejam dropados; porém este buffer demanda de memória, e é sempre aplicada em sentido outbound.

- Traffic Policing propaga bursts (limites) quando o fluxo de pacotes atinge a banda máxima, no qual ações como dropar ou remarcar os pacotes é efetuada. Não há buffer, e a aplicação da política é em sentido inbound.

Mais informações aqui*. Agora, mão na massa!!!

* É necessário CCO para visualizar este documento.

Configurando Traffic Policing

Apenas 4 etapas são necessárias para alcançarmos nosso objetivo:

1. Habilitar QoS

Como esta configuração trata-se de parâmetros QoS, é necessário habilitar este recurso globalmente no switch:

mls qos

2. Classificar o tráfego

Definimos qual tráfego passará pelas políticas de banda. Primeiro criamos uma ACL:

access-list 111 permit ip any any

Depois definimos um class-map, ao qual a ACL será vinculada.

class-map match-all 8MB
match access-group 111

3. Criar o policy-map

O policy-map irá aplicar as políticas ao tráfego classificado anteriormente no class-map. O policy-map será nomeado Policy8MB.

policy-map Policy8MB

Agora entrando no modo de configuração de policy-map, iremos selecionar um class-map, e aplicaremos as respectivas ações. Neste caso, estaremos limitando a banda a 8Mbps o tráfego definido pelo class-map 8MB.

class 8MB
police 8000000 8192 exceed-action drop

Para entendermos melhor, os comandos acima, o parâmetro 8000000 significa a largura de banda medido em bits, e o ‘exceeded-action drop’, significa que os pacotes que ultrapassarem a banda de 8Mbps, serão simplesmente dropados.

4. Ativar a política

Por final, ativamos a política na interface, lembrando que é sempre ao tráfego inbound.

interface FastEthernet1/0/23
service-policy input Policy8MB

Está feito. Agora vou apresentar alguns testes que fiz, com as ferramentas Iperf – gerador de tráfego, NetMeter – medidor de banda de adaptador de rede, e o próprio MS-DOS.

Neste lab, temos duas máquinas windows conectadas a um switch 3750, em portas FastEthernet, somente com as configurações acima aplicadas. O host 10.1.0.11 está conectado à interface Fa1/0/23, e o 10.1.0.12, à Fa1/0/24.

Observe na primeira imagem, o output feito no Iperf do lado client.

Talvez para aqueles que não estão familiarizados com essa ferramenta, fique um pouco confusa a interpretação dos logs acima… mas eu vou tentar deixar o mais claro possível!

No primeiro comando, o Iperf client (10.1.0.11) está configurado para gerar 200Mbps de tráfego para o servidor 10.1.0.12. Como pode-se ver no output acima, a ferramenta consegue gerar 68,1 Mbps, sendo a taxa de transmissão REAL entre os dois foi de 64,4 Mbps.

Após isto, foram aplicados os comandos no switch, e o mesmo teste foi feito entre os dois. O client conseguiu novamente produzir 68,1Mbps, porém, a taxa real entre os dois foi de 6,7Mbps, segundo o reporte do servidor.

Com tráfego normal, o servidor reportou banda de 64Mbps, e após a regra, 6,7Mpbs, conforme o log acima.

Agora, vejamos o gráfico da placa de rede do client, gerado pelo NetMeter.

Bom é isso… espero ter ajudado. Qualquer dúvida mandem comentários!! Abraços e até mais…

Seja o primeiro a comentar

Por Rafael Leão, 04/05/2010 11:41

Caríssimo leitor… faz um tempinho que não posto nada… mas eu não abandonei o blog!! Bom, vamos ao que interessa…

Certo dia estava fazendo um upgrade de OS em um PIX 525, e quando tinha acabado de apagar a memória flash dele… acabou a energia!!! Mas eu não me abalei e resolvi ver o lado bom disso: pesquisei como fazê-lo via monitor e aproveitei pra fazer este post.

Ao ligar o PIX, o prompt irá dar ao usuário 10 segundos para escolher a opção de boot.

Use BREAK or ESC to interrupt flash boot.
Use SPACE to begin flash boot immediately.
Flash boot interrupted.

Se for pressionado espaço ou esperar expirar o tempo, o PIX irá procurar uma imagem .bin na memória flash para carregar, e se não encontrar, ele reinicia e repete este processo. No meu caso, como não havia OS na flash, pressionei ESC e entrei em modo monitor, que exibia o prompt da seguinte forma:

Use ? for help.
monitor>

A seguir está um passo-a-passo de todos os processos para fazer o upgrade.

1º) Inicializar uma interface

Conecte um cabo UTP na interface Ethernet 0 ou 1, entre com o comando “interface x”, onde “x” é o número da interface Ethernet conectada ao switch, ou diretamente ao PC por cabo crossover. É necessário que fisicamente o link esteja “up”. Usei a interface Eth1.

monitor> interface 1
0: i8255X @ PCI(bus:0 dev:14 irq:10)
1: i8255X @ PCI(bus:0 dev:13 irq:11)
Using 1: i82557 @ PCI(bus:0 dev:13 irq:11), MAC: 000d.bc0b.a899

2º) Configurar o IP do PIX

Com o comando “address” configura-se o IP que o PIX irá usar para acessar o servidor TFTP.

monitor> address 192.168.10.1
address 192.168.10.1

3º) OPCIONAL – Com o comando “gateway” configura-se o IP do default-gateway. Ex.:

monitor> gateway 192.168.10.100
gateway 192.168.100.1

4º) Especificar o servidor

Com o comando “server”, especificamos o servidor TFTP.

monitor> server 192.168.10.20
server 192.168.10.20

5º) Especificar o nome do arquivo

Com o comando “file”, especificamos o nome do arquivo de imagem.

monitor> file pix804.bin
file pix804.bin

6º) OPCIONAL – Um ping para testar a conectividade…

monitor> ping 192.168.10.20
Sending 5, 100-byte 0×4018 ICMP Echoes to 192.168.10.20, timeout is 4 seconds:
!!!!
Success rate is 80 percent (4/5)

7º) Download da imagem

Para finalizar, entramos com o comando “tftp”, para o PIX baixar a imagem do servidor, e dar boot com ela.

monitor> tftp
tftp pix804.bin@192.168.10.20…………………………………………………………

Pronto? Não… o PIX somente carrega este OS na RAM, para dar boot uma única vez. Após o boot, é necessário copiar a imagem para a flash.

pixfirewall# copy tftp: flash:

Address or name of remote host []? 192.168.10.20

Source filename []? pix804.bin

Destination filename [pix804.bin]?

Accessing tftp://192.168.10.20/pix804.bin…!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Writing file flash:/pix804.bin…

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
7538688 bytes copied in 101.590 secs (74640 bytes/sec)
pixfirewall# boot system flash:/pix804.bin
pixfirewall# wr

Agora sim está terminado. Mas aconteceu uma outra coisa comigo… no próximo post você irá saber!!!

Mais informações aqui!

Até mais… qualquer dúvida mande comentários!

Seja o primeiro a comentar

Por Rafael Leão, 23/12/2009 09:57

Anteriormente publicamos um post sobre PVLAN, que descrevia os conceitos deste recurso. Agora será mostrada uma configuração básica, usando 5 estações de trabalho, 1 router Cisco 2801 e um switch Cisco Catalyst 3750. Abaixo está a topologia proposta para esta configuração.

Nesta configuração, a subrede 192.168.200.0/24 será segmentada em 3 subdomínios, identificados pelas PVLANs 200, 300 e 400, e a PVLAN 100 como primária:

VLAN 100: PVLAN primária das PVLANs 200, 300 e 400.

VLAN 200: PVLAN secundária do tipo isolada. A esta estará conectado o host 192.168.200.1 (Fa1/0/1).

VLAN 300: PVLAN secundária do tipo comunidade. A esta estarão conectados os hosts 192.168.200.30 (Fa1/0/3) e 192.168.200.40 (Fa1/0/2).

VLAN 400: PVLAN secundária do tipo comunidade. A esta estarão conectados os hosts 192.168.200.10 Fa1/0/5) e 192.168.200.20 (Fa1/0/4).

O Cisco router 2801 (192.168.200.254), estará conectado a porta promíscua Fa1/0/24, pois será o gateway da rede.

Configuração do switch 3750:

!- O VTP não suporta PVLANs, portando o switch deve
!- operar em modo transparente
vtp mode transparent
!
!- Criando a PVLAN 200
vlan 200
name Isolated_VLAN
!- Definindo a PVLAN como tipo isolated
private-vlan isolated
!- Para que alterações ou criações de VLANs entrem
!- em vigor, é necessário sair do modo de configuração
!- de VLANs com o comando ‘exit’
exit
!
!- Criando a PVLAN 300
vlan 300
name Community_VLAN1
!- Definindo a PVLAN como tipo community
private-vlan community
exit
!
!- Criando a PVLAN 400
vlan 400
!- Os nomes das VLANs não podem se repetir
name Community_VLAN2
!- Definindo a PVLAN como tipo community
private-vlan community
exit
!
!- Criando a PVAN 100
vlan 100
name Primary_VLAN
!- Definindo como PVLAN primária
private-vlan primary
!- Associando as PVLANs secundárias; obs.: as secundárias
!- foram criadas primeiro, pois a associação a primária só
!- ocorre se as VLANs estiverem criadas
private-vlan association add 200,300,400
exit
!
!- Os comandos seguintes associarão as interfaces ás suas
!- respectivas VLANs. No modo de configuração de interface,
!- definimos a PVLAN primária e a secundária
!
interface FastEthernet1/0/1
!- Associando a PVLAN 100 como primária e 200 como secundária
switchport private-vlan host-association 100 200
!- Definindo a interface como conexão a um host (ex.: notebook)
switchport mode private-vlan host
!- Por ser porta de acesso, a podemos configurar o portfast
spanning-tree portfast
!
interface range FastEthernet1/0/2 – 3
!- Associando a PVLAN 100 como primária e 300 como secundária
switchport private-vlan host-association 100 300
switchport mode private-vlan host
spanning-tree portfast
!
interface range FastEthernet1/0/4 – 5
!- Associando a PVLAN 100 como primária e 400 como secundária
switchport private-vlan host-association 100 400
switchport mode private-vlan host
spanning-tree portfast
!
!- Agora a configuração da interface Fa1/0/24, a qual se
!- conectará o gateway 192.168.200.254
!
interface FastEthernet1/0/24
!- Mapeando a porta promíscua a PVLAN primária 100 e
!- as respectivas secundárias
switchport private-vlan mapping 100 200,300,400
switchport mode private-vlan promiscuous

Para verificar a configuração, podem ser usados os comandos ‘show vlan private-vlan’ e ‘show vlan private-vlan type’. Mais informações sobre PVLANs podem ser encontrados no site da Cisco e no post anterior. Para saber se o IOS que você usa ou se a plataforma que você usa suporta PVLANs, consulte o Feature Navigator da Cisco.

Obs.: o IOS usado neste laboratório foi ‘c3750-advipservicesk9-mz.122-44.SE.bin’.

Qualquer dúvida, mande comentários.

Espero ter ajudado. Até breve!