Настройка Cisco IOS для коммутаторов и маршрутизаторов под ключ

Настройка Cisco IOS для коммутаторов и маршрутизаторов под ключ

Мы настраиваем Cisco IOS для корпоративных сетей под ключ: от простых VLAN до полноценного OSPF с резервированием шлюза. За 10+ лет работы мы сталкивались с десятками ситуаций, когда неправильная конфигурация STP или VTP валила целые офисы. Ниже — типичные проблемы и наша методика их решения.

Недавно столкнулись с инцидентом: broadcast storm из-за отсутствия BPDU Guard на access-коммутаторах парализовал офис на 3 часа. Кто-то подключил неавторизованный свитч к порту, создав петлю. После этого мы внедрили Rapid PVST+ с PortFast и BPDU Guard на всех портах доступа. Проблема решилась, сеть стала стабильной. Свяжитесь с нами для аудита — проверим уязвимости за два дня.

Как настроить STP без риска broadcast storm?

Spanning Tree Protocol — источник половины инцидентов в коммутируемых сетях. Неправильно настроенный STP или его отсутствие приводит к broadcast storm, который кладёт сеть за секунды. Мы используем Rapid PVST+ как стандарт.

Базовые best practices для коммутаторов уровня доступа:

! Включаем Rapid PVST+ (быстрее STP, лучше 802.1w)
spanning-tree mode rapid-pvst

! Root bridge должен быть distribution/core коммутатором
spanning-tree vlan 1-4094 priority 4096 ! на core switch
spanning-tree vlan 1-4094 priority 8192 ! на distribution (резерв)

! PortFast на портах конечных устройств (не trunk!)
interface range GigabitEthernet1/0/1-24
 spanning-tree portfast
 spanning-tree bpduguard enable
! bpduguard переводит порт в err-disabled если получен BPDU
! — защита от подключения неавторизованного коммутатора

bpduguard + portfast — обязательная пара. PortFast без bpduguard создаёт возможность для loop если кто-то подключит свитч к порту.

Для trunk-портов и uplink-портов — spanning-tree guard root защищает от атак с изменением root bridge:

interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,100
 spanning-tree guard root

Почему VTP лучше отключить в production?

VTP — удобство, которое в production превращается в риск. VTP revision number: если в сеть подключить бывший в употреблении коммутатор с высоким revision number, он перезапишет VLAN-базу на всех VTP-клиентах. Это стирает VLAN-конфигурацию всей сети. Реальные инциденты с таким сценарием задокументированы.

! Отключаем VTP на всех коммутаторах
vtp mode transparent
! или vtp mode off
! IOS-XE 15.2+
! VLAN создаём вручную на каждом коммутаторе
vlan 10
 name Users
vlan 20
 name Servers
vlan 30
 name Management
vlan 100
 name Native-Trunk

Native VLAN на trunk-портах должна быть неиспользуемым VLAN (не VLAN 1). VLAN 1 — дефолт для STP BPDU и CDP/LLDP, и если native VLAN совпадает с VLAN пользователей, возможен VLAN hopping.

Выбор между Router-on-a-Stick и L3 Switch

Два подхода к маршрутизации между VLAN. Router-on-a-Stick — subinterfaces на роутере, логичен при отдельном маршрутизаторе. L3 Switch с SVI — производительнее, так как коммутация происходит в hardware.

! L3 Switch: SVI конфигурация
ip routing
! включаем маршрутизацию
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 ip helper-address 192.168.30.5
! DHCP relay
 no shutdown
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
 no shutdown
! ACL между VLAN
ip access-list extended VLAN20-to-VLAN10
 permit tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 5432
 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
 permit ip any any
interface Vlan20
 ip access-group VLAN20-to-VLAN10 in

Для gateway redundancy настраиваем HSRP или VRRP — без этого при падении основного L3 коммутатора весь сегмент теряет маршрутизацию.

interface Vlan10 standby 1 ip 192.168.10.1 standby 1 priority 110 standby 1 preempt no shutdown 

Как настроить OSPF для многоплощадочной сети?

Для динамической маршрутизации между несколькими офисами используем OSPF area 0 для backbone, дочерние areas для удалённых площадок. Пошаговая инструкция:

1. Назначьте router-id на каждом маршрутизаторе вручную.
2. Определите passive-interface по умолчанию, чтобы не анонсировать OSPF на клиентские порты.
3. Настройте не backbone areas как stub или NSSA для уменьшения таблиц маршрутизации.
4. Включите аутентификацию message-digest на всех OSPF-интерфейсах.

Пример конфигурации:

router ospf 1
 router-id 10.0.0.1
 passive-interface default
 no passive-interface GigabitEthernet0/1
 network 192.168.10.0 0.0.0.255 area 0
 network 10.0.0.0 0.0.0.255 area 0
 area 10 stub
interface GigabitEthernet0/1
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 <password>

Мониторинг через SNMP и NetFlow

snmp-server group MONITORING v3 priv
snmp-server user prometheus MONITORING v3 auth sha AuthPass priv aes 128 PrivPass
ip flow-export version 9
ip flow-export destination 192.168.30.10 9995
interface GigabitEthernet0/0
 ip flow ingress
 ip flow egress

Данные NetFlow направляем в ntopng, pmacct или Elastic Stack для построения baseline трафика и детектирования аномалий.

Что входит в работу

• Аудит текущей конфигурации и топологии
• Проектирование (VLAN, STP, routing, ACL, QoS)
• Конфигурация оборудования (коммутаторы, маршрутизаторы)
• Тестирование отказоустойчивости (failover HSRP, port-security)
• Документация (схема сети, описание ACL, параметры мониторинга)
• Обучение персонала основам эксплуатации
• Поддержка 30 дней после сдачи

Получите консультацию эксперта по настройке Cisco IOS — наши инженеры с сертификацией CCNP и 5+ лет опыта готовы взяться за проект любой сложности.

Типичные ошибки при настройке

Сохранение конфигурации — классическая потеря. copy running-config startup-config или write memory — обязательно после каждого изменения. После перезагрузки без сохранения теряем всё.

Дублирование IP на интерфейсах двух устройств в одном сегменте вызывает периодические потери пакетов, которые крайне тяжело диагностировать без packet capture. show ip arp + debug arp выявляет конфликт.