Настройка cisco 2811 с нуля

Обучение Cisco, ТОП-15 видео уроков по настройке Cisco

Представляем вам подборку и из самых популярных уроков, посвященных настройке оборудования CISCO. Уроки идут в порядке убывания популярности!

СОДЕРЖАНИЕ:

1. Создание и настройка сети с роутерами в Cisco Packet Tracer
2. Типовая базовая настройка маршрутизатора Cisco
3. Основы GNS Базовая настройка. Добавляем образы Cisco
4. Знакомство с Cisco Packet Tracer. Настройка маршрутизатора
5. Подключение к маршрутизатору Cisco, настройка IP адреса
6. Статическая маршрутизация через промежуточный маршрутизатор Cisco
7. Настройка VLAN на оборудовании Cisco
8. Настройка Vlan 802.

   1Q и команды просмотра

9. Настройка Cisco Cisco Easy VPN сервера и Remote Access IPsec VPN клиента
10. Базовая настройка Cisco: интерфейсы, пользователи, telnet
11. Настройка протоколов маршрутизации на CISCO
12. Настройка DNS сервера в программе Cisco Packet Tracer
13. Настройка пароля на портах Console и для доступа по telnet
14. Создание, подключение и настройка VPN на оборудовании Cisco
15. Динамическая маршрутизация, настройка протокола BGP

Создание и настройка сети с роутерами в Cisco Packet Tracer

Создание сети с тремя роутерами. Настройка сети. Настройка маршрутизаторов. Настройка компьютеров. Настройка статической маршрутизации. Настройка сервера.

Типовая базовая настройка маршрутизатора Cisco

В видео уроке разбирается:

• Физическое подключение
• Настройка интерфейсов, присвоение IP адресов
• Статическая маршрутизация
• Настройка DHCP сервера для локальной сети
• Включение трансляции адресов NAT/PAT
• Настройка безопасности с помощью списков доступа ACL
• Тестирование и отладка

Знакомство с Cisco Packet Tracer. Настройка маршрутизатора

В этом уроке рассказано о программе Packet Tracer, с помощью которой можно моделировать различные сетевые топологии так, как будто вы работаете с настоящим оборудованием Cisco.

Подключение к маршрутизатору Cisco, настройка IP адреса

Рассматривается процесс подключения к маршрутизатору Cisco, настройка сетевого интерфейса компьютера.

Используемое оборудование:

• Маршрутизатор Cisco 1841
• Коммутатор Cisco Catalist 2950
• Персональный компьютер
• Прямые кабели UTP

Используемые команды:

• Enable — переход в привилегированный режим маршрутизатора, в данном режиме возможен мониторинг маршрутизатора, просмотр его настроек, сохранение настроек во flash память маршрутизатора, переход в режим глобальной конфигурации
• Configurate terminal — Переход в режим глобальной конфигурации, в данном режиме производится настройка маршрутизатора (или коммутатора), настройка интерфейсов, протоколов, списков доступа  (ACL листов)
• no ip domain-lookup – маршрутизатор начинает игнорировать неправильно веденные команды
• interface — используется для перехода к настройкам интерфейса из режима глобальной конфигурации.
• no shutdown — включение интерфейса
• Write — сохранение текущих настроек во flash память маршрутизатора, команда привилегированного режима, для сохранения в другом режиме перед командой необходимо указать команду do, например: do write

Статическая маршрутизация через промежуточный маршрутизатор Cisco

В обучающем видео рассматривается настройка статической маршрутизации на маршрутизаторе Cisco через промежуточный маршрутизатор.

Настройка VLAN на оборудовании Cisco

Обучение настройке VLAN на Cisco.

Настройка Vlan 802.1Q и команды просмотра

Урок рассказывает, как настроить Vlan 802.1Q на коммутаторах Cisco для организации 2-х сегментов сети. Это первый урок из серии роликов о настройки Vlan. Вы познакомитесь с командами настройки (как поднять влан), как настроить транк (switchport mode trunk) и просмотра, которые очень полезны для общего понимания, поиска и устранения неисправностей. Также узнаете, что такое нативный влан (native vlan) и для чего он нужен.

Настройка Cisco Cisco Easy VPN сервера и Remote Access IPsec VPN клиента

Обучение основам настройки Cisco Cisco Easy VPN сервера и подключение к нему с помощью классического Cisco IPSec VPN клиента.

Базовая настройка Cisco: интерфейсы, пользователи, telnet

Это видео рассказывается о первоначальной базовой настройке Cisco, а именно о настройке пользователей, интерфейсов, доступа по telnet.

Как настроить NAT на CISCO

Настройка протоколов маршрутизации на CISCO

Урок по настройке протоколов маршрутизации с использованием программы Cisco Packet Tracer.

Настройка DNS сервера в программе Cisco Packet Tracer

Описана настройка DNS сервера и WEB сервера в программе Cisco Packet Tracer. Показаны типичные ошибки при настройке службы DNS в локальных (LAN) сетях.

Настройка пароля на портах Console и для доступа по telnet

В уроке рассматривается процесс защиты паролем маршрутизатора  Cisco. Настраиваются пароли для доступа через порт Console и по протоколу telnet.

Используемое оборудование:

• Маршрутизатор Cisco 1841
• Коммутатор Cisco Catalist 2950
• Персональный компьютер
• Прямые кабели UTP,

Используемые команды для настройки маршрутизатора:

Router(config)#no ip domain-lookup

Router(config)#username admin password 123

Router(config)#service password-encryption

Router(config)#enable secret 123456

Router(config)#line console 0

Router(config-line)#login local

Router(config-line)#exec-timeout 5

Router(config-line)#logging synchronous

Router(config-line)#exit

Router(config)#line vty 0 15

Router(config-line)#login local

Router(config-line)#transport input telnet

Router(config-line)#exec-timeout 5

Router(config-line)#logging synchronous

Router(config-line)#exit

Router(config)#do wr

Создание, подключение и настройка VPN на оборудовании Cisco

Урок адресован системным администраторам, создающим безопасные, надежные и масштабируемые VPN-соединения с помощью маршрутизаторов и файерволов Cisco. Однако он будет интересен всем, желающим узнать, как настроить VPN (виртуальную частную сеть).

В ходе обучения будут показаны способы построения VPN-соединений на оборудовании Cisco, а также приведены примеры настройки VPN на различных устройствах с различным ПО.

Динамическая маршрутизация, настройка протокола BGP

Рассматривается настройка протокола динамической маршрутизации BGP на оборудовании компании Cisco.

Для выполнения базовой настройки протокола маршрутизации BGP на маршрутизаторе необходимо указать следующие команды (с учетом особенностей задания показанных на схеме):

R1(config)#router bgp 1

R1(config-router)#neighbor 10.1.0.2 remote-as 3

R1(config-router)#%BGP-5-ADJCHANGE: neighbor 10.1.0.2 Up

R1(config-router)#neighbor 10.3.0.2 remote-as 2

R1(config-router)#%BGP-5-ADJCHANGE: neighbor 10.3.0.2 Up

R1(config-router)#network 10.1.0.0 mask 255.255.255.252

R1(config-router)#network 10.3.0.0 mask 255.255.255.252

R1(config-router)#network 192.168.10.0 mask 255.255.255.0

R1(config-router)#do wr

Building configuration…

[OK]

R1(config-router)#do sh ip route

После полной настройки сети согласно задания, таблица маршрутизации примет вид:

     10.0.0.0/30 is subnetted, 3 subnets

C       10.1.0.0 is directly connected, FastEthernet0/0

B       10.2.0.0 [20/0] via 10.1.0.2, 00:02:06

C       10.3.0.0 is directly connected, Ethernet0/0/0

C    192.168.10.0/24 is directly connected, FastEthernet0/1

B    192.168.20.0/24 [20/0] via 10.3.0.2, 00:02:06

B    192.168.30.0/24 [20/0] via 10.1.0.2, 00:02:06

B    192.168.40.0/24 [20/0] via 10.1.0.2, 00:02:06

B    192.168.50.0/24 [20/0] via 10.3.0.2, 00:02:06

R1(config-router)#

Цены на сайте указаны с НДС.

При безналичном расчете цена не меняется.

Доставка по России, в Казахстан, в Беларусь. По Москве БЕСПЛАТНО!

Оперативный подбор оборудования и аналогов.

Гарантия 1 год (если не оговорено иное).

Источник: https://network.msk.ru/blog/video-uroki-obuchenie-nastroyka-cisco

Как настроить маршрутизатор cisco / Организация сети для небольшого офиса



Как настроить маршрутизатор cisco

Всем привет сегодня хочу рассказать вам, как настроить маршрутизатор ciscoили организовать сеть для небольшого офиса. Поговорим об отличиях коммутатора 3 уровня и маршрутизатора, и разберем схему организации малого офиса и среднего, с использованием роутера Cisco. Думаю это интересная тема и весьма часто встречающаяся.

Отличия роутера Cisco от коммутатора 3 уровня

Напомню в предыдущей статье мы настроили коммутатор cisco в качестве ядра, работающего на 3 уровне модели OSI, и разобрали, что он производительнее и дешевле, чем router cisco. Так, что же тогда заставляет покупать маршрутизаторы Cisco, все дело в мозгах, которые дают функционал, такой как:

• ip маршрутизация
• NAT
• VPN
• Межсетевой экран

Без которого сложно представить как связывать удаленные офисы с центральным. Такая вот хитрая политика партии у Cisco.

Схема для малого офиса

Схема филиала такая: 1 роутер Router0 модели Cisco 1841 для примера, один коммутатор Cisco 2960 и три компьютера. Как видите у нас есть 3 сегмента, для которых мы настроим vlan. Предполагается, что у вас уже произведена базовая настройка коммутатора Cisco.

Создаем VLAN2, VLAN3, VLAN4. Логинимся на ваш cisco 2960 и переходим в режим конфигурирования/

enable conf t valn 2 name VLAN2 exit vlan 3 name VLAN3 exit vlan 4 name VLAN4

exit

теперь определим каждый компьютер в нужный vlan. PC0 в vlan 2, PC1 в vlan 3, PC2 в vlan 4. У меня это порты fa0/1, fa0/2 и fa0/3.

do wr mem

Следующим шагом будет настроить trunk порт до нашего роутера Cisco 1841. Вводим следующие команды

Выбираем нужный интерфейс

Выставляем режим trunk

разрешаем определенные vlan
switchport trunk allowed vlan 2,3,4 end

wr mem

Все работы на коммутаторе Cisco 2960 закончены, переходим к нашему роутеру.

Настройка маршрутизатор cisco 1841

Начнем настраивать маршрутизатор cisco 1841, для того чтобы он маршрутизировал трафик между vlan и был в качестве интернет шлюза. По умолчанию все порты на маршрутизаторе находятся в выключенном состоянии, включим порт куда воткнут патчкорд от коммутатора cisco 2960, у меня это fa 0/0.

enable conf t int fa 0/0

no shutdown

exit

У вас появится нечто подобное, сообщая вам что порт стал быть активным.

%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up

Порт стал зеленым

Следующим шагом нужно создать сабъинтерфейсы по количеству vlan. У роутеров просто нет vlan и их роль выполняют сабъинтерфейсы, где определенному vlan соответствует subinerface.

Создаем subinterface для vlan 2

указываем что он относится и случает пакеты vlan 2

настраиваем ip адрес

ip address 192.168.1.251 255.255.255.0

включаем порт

и сохраняем настройки командой

Настроим подобный образом subinterface для vlan 3,4

int fa 0/0.3 encapsulation dot1Q 3 ip address 192.168.2.251 255.255.255.0 no shutdown exit int fa 0/0.4 encapsulation dot1Q 4 ip address 192.168.3.251 255.255.255.0 no shutdown

exit

ip routing
do wr mem

Пробуем пропинговать с компьютера PC0 компьютер PC3 и PC2. Как видим на скриншоте все ок.

ping 192.168.1.251

ping 192.168.2.1

ping 192.168.3.1

Вот так вот просто организовать локальную сеть в очень небольшом филиале и где быстро производится настройка маршрутизатора cisco. настройку NAT мы произведем в другой статье.

Схема для среднего офиса

Вот как выглядит схема локальной сети среднего офиса. Есть маршрутизатор cisco 2911, выступающий в роли интернет шлюза. Есть ядро сети коммутатор 3 уровня Cisco 3560. Он будет маршрутизировать локальный трафик между vlan сети. В Cisco 3560 воткнуты 3 коммутатора второго уровня Cisco 2960, которые уже подключают в себя конечные устройства. В сети есть 3 vlan 2,3,4.

Настройка Switch1

Начнем с настройки Switch1, сегмента серверов. Логинимся в режим глобальной конфигурации.

Создаем vlan 4

Закинем порты fa 0/1-2 в VLAN4

int range fa 0/1-2 switchport mode access switchport access vlan 4 exit

do wr mem

Настроим trunk порт fa 0/3, разрешать будем только трафик vlan4

int fa 0/3 switchport mode trunk switchport trunk allowed vlan 4 exit

do wr mem

Настройка Switch2

Все с сегментом серверов мы закончили. Переходим к такой же настройке на Switch2 и 3. И так Switch2 Cisco 2960.

Первым делом создаем vlan 2 и vlan3.

enable conf t vlan 2 name VLAN2 exit vlan 3 name VLAN3

exit

Теперь определим наши порты в которые подключены компьютеры в нужные vlan

int fa 0/1 switchport mode access switchport access vlan 2 exit int fa 0/2 switchport access vlan 3

exit

Настроим trunk порт на интерфейсе fa 0/3

int fa 0/3 switchport mode trunk switchport trunk allowed vlan 2,3,4 exit

do wr mem

Настройка Switch3

Тот же фокус проводим с настройкой Switch3 Cisco 2960

Первым делом создаем vlan 2 и vlan3.

enable conf t vlan 2 name VLAN2 exit vlan 3 name VLAN3

exit

Теперь определим наши порты в которые подключены компьютеры в нужные vlan

int fa 0/1 switchport mode access switchport access vlan 2 exit int fa 0/2 switchport access vlan 3

exit

Настроим trunk порт на интерфейсе fa 0/3

int fa 0/3 switchport mode trunk switchport trunk allowed vlan 2,3,4 exit

do wr mem

Настройка ядра сети

Приступаем к настройке маршрутизации, на ядре Cisco 3560, все три его порта нужно настроить как trunk, создать vlan и назначить им ip.

создаем vlan 2,3,4 vlan 2 name VLAN2 exit vlan 3 name VLAN3 exit vlan 4 name VLAN4

exit

Задаем статический ip адрес vlan2,3,4

int vlan 2 ip address 192.168.1.251 255.255.255.0 no shutdown exit int vlan 3 ip address 192.168.2.251 255.255.255.0 no shutdown exit int vlan 4 ip address 192.168.3.251 255.255.255.0 no shutdown

exit

Настраиваем trunk порты

int fa 0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 2,3 exit int fa 0/2 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 2,3 exit int fa 0/3 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 2,3

exit

Включаем маршрутизацию и сохраняем конфигурацию ip routing

do wr mem

О настройке интернета и NAT поговорим в следующих статьях на данную тему. Как видите конфигурирование маршрутизаторов cisco, не такое уж и сложное дело.

Источник: http://pyatilistnik.org/kak-nastroit-marshrutizator-cisco-organizatsiya-seti-dlya-nebolshogo-ofisa/

Начальная настройка маршрутизатора Cisco. Доступ в Интернет

Январь 12, 2015

Read the article BASIC CONFIGURATION OF THE CISCO ROUTER. ACCESS TO THE INTERNET in English

Рассмотрим схему подключения офиса к сети Интернет с помощью маршрутизатора Cisco. Для примера возьмем модель Cisco 881. Команды для настройки других маршрутизаторов (1841, 2800, 3825…) будут аналогичными  Различия могут быть в настройке интерфейсов, вернее в их названиях и нумерации.

В схеме присутствуют:

• канал в Интернет со статическим адресом
• несколько компьютеров в локальной сети офиса
• маршрутизатор
• коммутатор, который используется для организации локальной сети офиса

Задача: обеспечить доступ компьютеров локальной сети в Интернет.

Шаг 0. Очистка конфигурации

Первое, с чего стоит начать настройку нового маршрутизатора – полностью очистить стартовую конфигурацию устройства. (Выполнять только на новом или тестовом оборудовании!) Для этого нужно подключиться с помощью специального кабеля к консольному порту  маршрутизатора, зайти в командную строку и выполнить следующее:

Войти в привилегированный режим(#), возможно потребуется ввести логин/пароль.
router> enableУдалить стартовую конфигурацию

router# write erase
/подтверждение/

Перезагрузить маршрутизатор

router# reload
/подтверждение/

После выполнения маршрутизатор должен перезагрузиться в течение 3ех минут, а при старте вывести запрос о начале базовой настройки. Следует отказаться.

Would you to enter the basic configuration dialog (yes/no): no

В текущей конфигурации маршрутизатора будут только технологические строки по умолчанию, и можно приступать к основной настройке.

Шаг 1. Имя устройства

Задание имени маршрутизатора для удобства последующего администрирования выполняется командой hostname «название устройства»
router#conf t
router (config)#hostname R-DELTACONFIG
R-DELTACONFIG(config)#

Шаг 2. Настройка интерфейсов

Необходимо настроить 2 интерфейса: внешний и внутренний.
Через внешний интерфейс будет осуществляться связь с Интернет. На нем будут те ip адрес и маска сети, которые предоставил Интернет провайдер.
Внутренний интерфейс будет настроен для локальной сети  192.168.0.0 /24

Предположим, что оператор связи предоставил нам следующие адреса:

• Сеть 200.150.100.0
• Маска подсети 255.255.255.252 или /30
• Шлюз по умолчанию 200.150.100.1

Настроим внешний интерфейс: зададим ip адрес и сетевую маску,  и включим его командой no shut
R-DELTACONFIG#conf tR-DELTACONFIG (config)#

interface Fa 4

ip address 200.150.100.2 255.255.255.252
no shutdown
После этого соединяем этот интерфейс маршрутизатора с портом оборудования провайдера при помощи прямого патч корда и далее проверяем его доступность командой ping.

Сначала собственный интерфейс
R-DELTACONFIG#ping 200.150.100.2Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 200.150.100.2, timeout is 2 seconds:!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms

Затем соседний адрес — шлюз провайдера
R-DELTACONFIG#ping 200.150.100.1Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 200.150.100.1, timeout is 2 seconds:!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 2/4/10 ms

Убедившись в доступности шлюза Провайдера, переходим к настройке внутреннего интерфейса.

В локальной сети будет использоваться следующая адресация

• Сеть 192.168.0.0
• Маска подсети 255.255.255.0
• Внутренний адрес маршрутизатора, который выполняет роль шлюза в Интернет для всех хостов в сети, 192.168.0.1
• Диапазон внутренних  адресов сети (пользователи, принтеры, серверы и.т.д.) советую начинать с адреса 192.168.0.5
• Максимально возможный доступный для использования адрес в этой сети будет 192.168.0.254
• Адреса с 192.168.0.2 до 192.168.0.4 оставим про запас для непредвиденных технологических нужд

Для настройки внутреннего интерфейса локальной сети следует зайти в режим конфигурирования виртуального интерфейса Vlan 1, задать на нем ip адрес и соотнести ему один из физических интерфейсов маршрутизатора (Fa 0).
R-DELTACONFIG#conf t
interface Vlan 1
Ip address 192.168.0.1 255.255.255.0
no shutdown
Выбираем физический интерфейс маршрутизатора и соотносим его с виртуальным Vlan
interface Fa 0
switchport access vlan 1
no shutdown
Для наглядности:

ip address => interface Vlan X => interface Fastethernet Y
Ip адрес присваивается виртуальному интерфейсу Vlan X, а он привязывается к физическому интерфейсу Fastethernet Y.

Интерфейс маршрутизатора Fa 0 нужно соединить с коммутатором, где располагаются рабочие станции локальной  сети или напрямую с рабочей станцией администратора. После этого проверить доступность этого интерфейса маршрутизатора с помощью ping из командной строки.

Шаг 3 Настройка удаленного доступа к маршрутизатору

Получить доступ к консоли маршрутизатора можно не только с помощью консольного кабеля, но и удаленно с помощью протоколов Telnet(данные передаются в открытом виде) или SSH(защищенное соединение).Рассмотрим настройку безопасного подключения.

Включаем протокол SSH 2 версии и задаем произвольное имя домена

R-DELTACONFIG (config)#
ip ssh ver 2
ip domain-name xxx.ru
Генерируем ключи rsa, необходимые для подключения. При запросе указываем 1024.
crypto key generate rsa
How many bits in the modulus [512]: 1024Задаем имя пользователя с правами администратора и его пароль (*****)

username admin privilege 15 secret 0 *****

Включаем авторизацию через локальную базу устройства (тот пользователь, которого создали строчкой выше)

line vty 0 4
login local

Задаем пароль на привилегированный режим

enable secret 0 *****

После этого при помощи специальной программы, поддерживающей протокол SSH можно зайти в командную строку маршрутизатора удаленно с любой из рабочих станций локальной сети. При авторизации следует ввести логин и пароль, которые были задан. Подробнее про доступ на устройство по протоколу SSH написано в этой статье.

Шаг 4. Шлюз по умолчанию

Для маршрутизации пакетов в сеть Интернет на устройстве необходимо указать шлюз по умолчанию(default gateway).
R-DELTACONFIG (config)#
ip route 0.0.0.0 0.0.0.0 200.150.100.1
После этого можно проверить не только доступность оборудования провайдера, но и полностью канала в Интернет.

Для этого необходимо запустить ping до любого адреса во внешней сети в цифровой форме(DNS для локальной сети лучше настраивать после настройки маршрутизатора). Для примера возьмем адрес лидера на рынке ping – www.yandex.ru (93.158.134.3)
R-DELTACONFIG#ping 93.158.134.3Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 93.158.134.

3, timeout is 2 seconds:!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/10 ms

Важно!
Обратите внимание, что на данный момент ping внешних адресов работает только(!) будучи запущенным из консоли управления маршрутизатором. Рабочие станции локальной сети все еще не имеют доступа в Интернет.

Шаг 5 Настройка трансляции адресов (NAT)

Для доступа в Интернет из локальной сети необходимо динамически транслировать все  внутренние адреса в определенный внешний ip адрес. В нашем случае, так как провайдер предоставляет только один внешний адрес 200.150.100.2 (определяется маской подсети /30 в условиях примера), то все адреса локальной сети должны транслироваться в него.Указываем список внутренних адресов, которые будем транслировать во внешний адрес.

R-DELTACONFIG (config)#
ip access-list standard ACL_NAT
permit 192.168.0.0 0.0.0.255

Указываем внутренний интерфейс для процедуры трансляции

Interface Vlan 1
ip nat inside

Указываем внешний интерфейс для процедуры трансляции

Interface Fa 4
ip nat outside

Создаем правило трансляции (NAT)
ip nat inside source list ACL_NAT interface fa4
В результате должен появиться доступ с любой рабочей станции локальной сети в Интернет при условии, что шлюзом по умолчанию указан внутренний ip адрес маршрутизатора (192.168.0.1). Проверить можно с помощью команды ping до адреса в Интернет из командной строки. Желательно, чтобы проверяемый адрес был в цифровом виде, чтобы исключить потенциальные проблемы с DNS именами.

Важно!
В указанном примере меняется собственный адрес источника. Если в процессе работы необходимо транслировать адрес назначения — пускать траффик на вымышленный адрес, чтобы попасть на некий настоящий, то прочитайте статью ip nat outside.

Важно!
Не стоит оставлять полный доступ в Интернет со всех адресов локальной сети. Советую после проверки работоспособности соединения для безопасности ограничить доступ в Интернет  и разрешить его только с конкретных адресов — например с прокси сервера и рабочих станций администратора и/или директора. О том как это сделать можно прочитать в статье «немного об access lists«.

Важно!

Не забудьте сохранить конфигурацию на всех устройствах командой write или copy run start. Иначе после перезагрузки все изменения будут потеряны.
R-DELTACONFIG#writeBuilding configuration…

[OK]

Перейти к оглавлению

Источник: https://deltaconfig.ru/cisco-router-internet-access/

Шаблон базовой настройки маршрутизатора Cisco

В последнее время приходится часто настраивать с нуля маршрутизаторы Cisco (в основном 800-1800 серии) для филиалов моей компании и дабы не набирать одни и теже команды третий десяток раз составил для себя небольшой шаблон настроек на разные случаи жизни. Сразу скажу что сертификаты от Cisco не получал, книжек по данным роутерам особо не читал, весь свой опыт приобрел методом научного тыка, курением мануалов на cisco.com и кое каким вдумчивым заимствованием кусков чужих конфигов…
Итак распаковываем роутер, заливаем последнюю прошивку (для SSH необходим минимум Advanced Security), делаем

#erase startup-config

дабы избавится от преднастроеного мусора и перегружаемся.

Настройка авторизации и доступа по SSH

! включаем шифрование паролей

service password-encryption

! используем новую модель ААА и локальную базу пользователей

aaa new-model

aaa authentication login default local ! заводим пользователя с максимальными правами

username admin privilege 15 secret PASSWORD

! даем имя роутеру

hostname

ip domain-name router.domain ! генерируем ключик для SSH

crypto key generate rsa modulus 1024

! тюнингуем SSH

ip ssh time-out 60

ip ssh authentication-retries 2
ip ssh version 2 ! и разрешаем его на удаленной консоли

line vty 0 4  transport input telnet ssh

 privilege level 15

Настройка роутинга

! включаем ускоренную коммутацию пакетов

ip cef

Настройка времени

! временная зона GMT+2

clock timezone Ukraine 2

clock summer-time Ukraine recurring last Sun Mar 2:00 last Sun Oct 2:00 ! обновление системных часов по NTP

ntp update-calendar

! ntp сервера лучше задавать по айпи, ибо если при перегрузке DNS-сервера не доступны то настройки по именам слетают…

ntp server NTP.SERVER.1.IP

ntp server NTP.SERVER.2.IP

Архивирование конфигов

! включаем архивирование всех изменений конфига, скрывая пароли в логах

archive  log config   logging enable

  hidekeys

! историю изменения конфига можно посмотреть командой

show archive log config all

Настройка DNS

! включить разрешение имен

ip domain-lookup

! включаем внутренний DNS сервер

ip dns server

! прописываем DNS провайдера

ip name-server XXX.XXX.XXX.XXX

! на всякий случай добавляем несколько публичных DNS серверов

ip name-server 4.2.2.2 ip name-server 208.67.222.222

ip name-server 208.67.220.220

Настройка локальной сети

! обычно порты внутреннего свитча на роутере объединены в Vlan1

interface Vlan1  description === LAN ===

 ip address 192.168.???.1

! включаем на интерфейсе подсчет пакетов передаваемых клиентам — удобно просматривать кто съедает трафик

 ip accounting output-packets

! посмотреть статистику можно командой

show ip accounting

! очистить

clear ip accounting

Настройка DHCP сервера

! исключаем некоторые адреса из пула

ip dhcp excluded-address 192.168.???.1 192.168.???.99

! и настраиваем пул адресов

ip dhcp pool LAN    network 192.168.???.0 255.255.255.0    default-router 192.168.???.1

   dns-server 192.168.???.1

Настройка Internet и Firewall

! настраиваем фильтр входящего трафика (по умолчанию все запрещено)

ip access-list extended FIREWALL
 permit tcp any any eq 22

! включаем инспектирование трафика между локальной сетью и Интернетом

ip inspect name INSPECT_OUT dns ip inspect name INSPECT_OUT icmp ip inspect name INSPECT_OUT ntp ip inspect name INSPECT_OUT tcp router-traffic ip inspect name INSPECT_OUT udp router-traffic

ip inspect name INSPECT_OUT icmp router-traffic

! настраиваем порт в Интернет и вешаем на него некоторую защиту

interface FastEthernet0/0  description === Internet ===  ip address ???.???.???.??? 255.255.255.???  ip virtual-reassembly  ip verify unicast reverse-path  no ip redirects  no ip directed-broadcast  no ip proxy-arp  no cdp enable  ip inspect INSPECT_OUT out

 ip access-group FIREWALL in

! ну и напоследок шлюз по умолчанию

ip route 0.0.0.0 0.0.0.0 ???.???.???.???

Настройка NAT

! на Интернет интерфейсе

interface FastEthernet0/0
 ip nat outside

! на локальном интерфейсе

interface Vlan1
 ip nat inside

! создаем список IP имеющих доступ к NAT

ip access-list extended NAT
 permit ip host 192.168.???.??? any

! включаем NAT на внешнем интерфейсе

ip nat inside source list NAT interface FastEthernet0/0 overload

! добавляем инспекцию популярных протоколов

ip inspect name INSPECT_OUT http

ip inspect name INSPECT_OUT https
ip inspect name INSPECT_OUT ftp

Отключение ненужных сервисов

no service tcp-small-servers

no service udp-small-servers
no service finger
no service config
no service pad
no ip finger
no ip source-route
no ip http server
no ip http secure-server
no ip bootp server UPD. Убрал лишнее по советам хаброюзеров UPD2. Добавил отключение ненужных сервисов

UPD3. Изменил настройка файрвола (спасибо Fedia)

Источник: https://habr.com/ru/post/87680/