Професійна конфігурація Cisco IOS: від VLAN до OSPF під ключ

Професійна конфігурація Cisco IOS: від VLAN до OSPF під ключ

Ми налаштовуємо Cisco IOS для корпоративних мереж під ключ: від простих VLAN до повноцінного OSPF з резервуванням шлюзу. За 10+ років роботи ми стикалися з десятками ситуацій, коли неправильна конфігурація STP або VTP валила цілі офіси. Нижче — типові проблеми та наша методика їх вирішення.

Нещодавно зіткнулися з інцидентом: broadcast storm через відсутність BPDU Guard на access-комутаторах паралізував офіс на 3 години. Хтось підключив неавторизований світч до порту, створивши петлю. Після цього ми впровадили Rapid PVST+ з PortFast та BPDU Guard на всіх портах доступу. Проблема вирішилася, мережа стала стабільною. Зв'яжіться з нами для аудиту — перевіримо вразливості за два дні. Гарантія на роботи — 6 місяців, знижуємо витрати на простій до 90%.

Запобігання broadcast storm за допомогою STP

Spanning Tree Protocol — джерело половини інцидентів у комутованих мережах. Неправильно налаштований STP або його відсутність призводить до broadcast storm, який кладе мережу за секунди. Ми використовуємо Rapid PVST+ як стандарт, який в 15 разів швидше за класичний STP (802.1D).

Базові best practices для комутаторів рівня доступу:

! Вмикаємо Rapid PVST+ (швидше STP, краще 802.1w)
spanning-tree mode rapid-pvst
! Root bridge має бути distribution/core комутатором
spanning-tree vlan 1-4094 priority 4096 ! на core switch
spanning-tree vlan 1-4094 priority 8192 ! на distribution (резерв)
! PortFast на портах кінцевих пристроїв (не trunk!)
interface range GigabitEthernet1/0/1-24
 spanning-tree portfast
 spanning-tree bpduguard enable
! bpduguard переводить порт у err-disabled якщо отримано BPDU
! — захист від підключення неавторизованого комутатора

bpduguard + portfast — обов'язкова пара. PortFast без bpduguard створює можливість для loop, якщо хтось підключить світч до порту.

Для trunk-портів та uplink-портів — spanning-tree guard root захищає від атак зі зміною root bridge:

interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,100
 spanning-tree guard root

Чому VTP краще вимкнути в production?

VTP — зручність, яка в production перетворюється на ризик. VTP revision number: якщо в мережу підключити бувший у використанні комутатор з високим revision number, він перезапише VLAN-базу на всіх VTP-клієнтах. Це стирає VLAN-конфігурацію всієї мережі. Реальні інциденти з таким сценарієм задокументовані.

! Відключаємо VTP на всіх комутаторах
vtp mode transparent
! або vtp mode off
! IOS-XE 15.2+
! VLAN створюємо вручну на кожному комутаторі
vlan 10
 name Users
vlan 20
 name Servers
vlan 30
 name Management
vlan 100
 name Native-Trunk

Native VLAN на trunk-портах має бути невикористовуваним VLAN (не VLAN 1). VLAN 1 — дефолт для STP BPDU та CDP/LLDP, і якщо native VLAN збігається з VLAN користувачів, можливий VLAN hopping.

Вибір між Router-on-a-Stick та L3 Switch

Два підходи до маршрутизації між VLAN. Router-on-a-Stick — subinterfaces на роутері, логічний при окремому маршрутизаторі. L3 Switch з SVI — в 10 разів продуктивніший, оскільки комутація відбувається в апаратному забезпеченні.

! L3 Switch: SVI конфігурація
ip routing
! вмикаємо маршрутизацію
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 ip helper-address 192.168.30.5
 ! DHCP relay
 no shutdown
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
 no shutdown
! ACL між VLAN
ip access-list extended VLAN20-to-VLAN10
 permit tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 5432
 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
 permit ip any any
interface Vlan20
 ip access-group VLAN20-to-VLAN10 in

Для gateway redundancy налаштовуємо HSRP або VRRP — без цього при падінні основного L3 комутатора весь сегмент втрачає маршрутизацію.

interface Vlan10 standby 1 ip 192.168.10.1 standby 1 priority 110 standby 1 preempt no shutdown 

Як налаштувати OSPF для багатоплощадкової мережі?

Для динамічної маршрутизації між кількома офісами використовуємо OSPF area 0 для backbone, дочірні areas для віддалених площадок. Покрокова інструкція:

1. Призначте router-id на кожному маршрутизаторі вручну.
2. Визначте passive-interface за замовчуванням, щоб не анонсувати OSPF на клієнтські порти.
3. Налаштуйте не backbone areas як stub або NSSA для зменшення таблиць маршрутизації.
4. Увімкніть аутентифікацію message-digest з HMAC-SHA256 на всіх OSPF-інтерфейсах.

Приклад конфігурації:

router ospf 1
 router-id 10.0.0.1
 passive-interface default
 no passive-interface GigabitEthernet0/1
 network 192.168.10.0 0.0.0.255 area 0
 network 10.0.0.0 0.0.0.255 area 0
 area 10 stub
 interface GigabitEthernet0/1
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 <password>

Моніторинг через SNMP та NetFlow

snmp-server group MONITORING v3 priv
snmp-server user prometheus MONITORING v3 auth sha AuthPass priv aes 128 PrivPass
ip flow-export version 9
ip flow-export destination 192.168.30.10 9995
interface GigabitEthernet0/0
 ip flow ingress
 ip flow egress

Дані NetFlow направляємо в ntopng, pmacct або Elastic Stack для побудови baseline трафіку та детектування аномалій.

Що входить в роботу

• Аудит поточної конфігурації та топології
• Проєктування (VLAN, STP, routing, ACL, QoS)
• Конфігурація обладнання (комутатори, маршрутизатори)
• Тестування відмовостійкості (failover HSRP, port-security)
• Документація (схема мережі, опис ACL, параметри моніторингу)
• Навчання персоналу основам експлуатації
• Підтримка 30 днів після здачі

Отримайте консультацію експерта з конфігурації Cisco IOS — наші сертифіковані інженери CCNP з 5+ років досвіду готові взятися за проєкт будь-якої складності. Ми пропонуємо гарантію на всі роботи — 6 місяців.

Типові помилки при конфігурації

Збереження конфігурації — класична втрата. copy running-config startup-config або write memory — обов'язково після кожної зміни. Без збереження після перезавантаження втрачаємо все.

Дублювання IP на інтерфейсах двох пристроїв в одному сегменті викликає періодичні втрати пакетів, які вкрай важко діагностувати без packet capture. show ip arp + debug arp виявляє конфлікт.

Економія від запобігання простою — до 90% витрат на технічну підтримку.