Scribd
Importer
10 vues12 pages

Config de Base SW

Transféré par

lahoucine11web
Copyright
© All Rights Reserved
Nous prenons très au sérieux les droits relatifs au contenu. Si vous pensez qu’il s’agit de votre contenu, signalez une atteinte au droit d’auteur ici.
Formats disponibles
Téléchargez aux formats PDF ou lisez en ligne sur Scribd
10 vues12 pages

Config de Base SW

Transféré par

lahoucine11web
Copyright
© All Rights Reserved
Nous prenons très au sérieux les droits relatifs au contenu. Si vous pensez qu’il s’agit de votre contenu, signalez une atteinte au droit d’auteur ici.
Formats disponibles
Téléchargez aux formats PDF ou lisez en ligne sur Scribd
tapes 4 suivre dans la préparation d’un commutateur Une fois allumé, Connecter l'ordinateur via le port console (nécessite un adaptateur USB — série) Pour accéder au switch il faut utiliser un programme de type Putty ou Teraterm Pro : la connexion se fait en serial par défaut COM 1 ~ speed 9600). ‘Vous obtiendrez (sur un switch neuf ou aprés reset) une ligne de ce type : Crest le mode par défaut lorsqu’on accéde au switch. La majorité des commandes d’administration se font en mode SYSTEM VIEW. Pour activer ce mode il faut taper la commande suivante : system-view On obtient la ligne suivante : [HP] = le nom (provisoire) du switch est désormais écrit entre crochets. Pour paramétrer le switch nous allons suivre les étapes suivantes : + Changement de nom du switch — Création des VLANs — Affectation de l'adresse IP pour le VLAN 150 et de la passerelle = Création des comptes utilisateurs = Désactivation de telnet et activation de SSH — Activation du protocole SNMP = Désactivation du service web + Déclaration des accés aux (port console) et vty (ssh) -+ Déclaration des serveurs ntp et syslog — Création de la clé SSH = Activation du spanning-tree et du LLDP -+ Vérifier la version du firmware et mettre & jour via IMC + Mise & jour du périphérique — Activation du mode IRF (si besoin de créer une pile de switch) — Configuration des interfaces — Configuration sur le serveur Radius (futur) = Mise en place de sécurités (futur) — Commandes utiles & connaitre + Changement de nom du switch : (HP sysname nom du switch Ja ligne renvoyée intégre le nouveau nom du switch ox: [HPIsysname test [test] * Création VLAN : (test]vlan n? du vlan Ja ligne renvoyée nous permet de paramétrer le VLAN crée. Les VLAN a créer dépendent du site et des services pour lesquels le switch est paramétré, ex: Mtest}vlan 150 Itest-vian150] + Nommer un vian : Pour retrouver & quoi correspond le VLAN il est indispensable de lui donner un nom (le nom est purement indicatif et n’a pas d’influence sur le fonctionnement du VLAN) {test-vian150]name nom du vlan [test-vlan150jname admin + Affectation @IP vlan 150 + passerelle : Pour pouvoir se connecter au switch via le VLAN d’administration il faut attribuer une adresse IP & Vinterface qui sera autorisée a se connecter au VLAN 150. C’est & cette adresse IP que répondra le switch lorsqu’on essaiera de s’y connecter depuis un poste d’administration. [test]interface Vlan-interface n° vlan [test-Vian-interface n° vlan) ip address ip masque aye [testJinterface Vian-interface 150 [test-Vian-interface 150Jip address 10.57,72.99 [Link] > pour vérifier : [test/display interface Vlan-interface 150 Infos : V'adresse IP [Link] est une adresse « provisoire » utilisée pour le paramétrage du switch (et la connexion @ IMC ) + Affectation route (passerelle) : La passerelle sert a indiquer au switch pour oi passer pour atteindre un autre point du réseau (ou un autre réseau). Cette passerelle doit obligatoirement appartenir au méme réseau que le switch. {testlip route-static [Link] [Link] IP passerelle ex: [testlip route-static [Link] [Link] [Link] > pour vérifier : [test/display ip routing-table ATTENTION : tant que le switch n’est pas connecté au réseau la commande précédente ne retourne pas informations utiles. Afin de sécuriser le périphérique on crée 3 comptes utilisateurs : + Création des comptes : ~ Adi : Le compte admin dispose de tous les priviléges. Il est utilisé lorsqu’un technicien doit intervenir sur tun switch (en console ou ssh) {test]local-user admin [test-user-admin]password simple mot de passe (mdp ETZ@dijon21) [test-user-admin]service-type ssh terminal [test-uset-admin Jauthorization-attribute user-role network-admin [test-user-admin]authorization-attribute user-role network-operator = le compte administrateur peut se connecter en ssh et console. Le compte admin-ime sert a ce qu’IMC puisse récupérer les infos du switchs et les modifier si on se connecte en ssh via le serveur. {test]local-user admin-ime {test-user-admin-imc}password simple mot de passe (mdp = imcHP2016) {test-user-admin-imc}service-type ssh terminal {test-user-admin-imc]authorization-attribute user-role network-admin [test-user-admin-imc]authorization-attibute user-role network-operator = le compte admin-ime peut se connecter en ssh et console Aa nm + Consult : Size Le compte consult peut étre utilisé par un référent informatique non technicien. Les droits sont limités & de la consultation. [test}local-user consult [test-user-admin}password cipher mot de passe (imdp = consult) {test-user-admin-ime}service-type ssh terminal [test-user-admin-imc]authorization-attribute user-role network-operator = le compte consult peut se connecter en ssh et console Infos : Les mots de passe sont chiffrés (commande password simple) et ne seront pas affichés en clair lorsqu’on consultera les fichiers de configuration. + Afficher les comptes utilis display local-user pour afficher les paramétres d’un compte utilisateur particulier : display local-user user-name NOM DU COMPTE (par ex admin) + Désactivation du serveur telnet : ‘On désactive le serveur telnet puisque non sécurisé. [test]undo telnet server enable A la place nous allons activer le serveur SSH qui lui permet des connexions sécurisées. * Activation du serveur SSH : [test]ssh server enable Le serveur SSH est désormais actif. + Activation du protocole SNMP : Pour la supervision (via IMC) il convient d’activer le protocole SNMP (Simple Network Management Protocol). {testJsnmp-agent community read public {testJsnmp-agent community write private Tl faut activer toutes les versions de SNMP [test]snmp-agent sys-info version all + Désactivation du service WEB : On désactive le service WEB car non sécurisé (http au lieu de https) {testlundo ip http enable En réponse on obtient le message suivant : Info : HTTP server has been stopped ! + Activation de Paccés avec mdp Ensuite, on rend la connexion avec mot de passe obligatoire. Pour le port console (attention ici le 0 de l’interface aux correspond au port console du switch 1 sur une pile de commutateurs ... pour une pile de 5 switchs on saisira 0 4 mais seulement une fois que la pile a été créée). [testJuser-interface aux 0 [test-ui-aux0Jauthentification-mode scheme > on active l’accés avec mot de passe pour le port console Pour la connexion a distance (comprendre SSH) on autorise un certains nombres de connexions simultanées. {testJuser-interface vty 0 15 {test-ui-vty0-15 Jauthentification-mode scheme = onactive Paccés avec mot de passe pour les connexions & distance (via le réseau) + Déclaration des serveurs NTP et SysLog : Serveur NIP: Le serveur NTP est un serveur de référence permettant au switch de synchroniser son horloge. Il faut tout d’abord déclarer le serveur [Link] : [test]ntp-service unicast-server [Link] Ensuite pour le passage & I’heure d’été et d’hiver on indique les paramétres suivants : {test] clock summer-time paris 00:00:00 03/28 00:00:00 10/31 01:00:00 [test] clock timezone paris add 01: Reperting Micoies gy /tY2ere ereviee 40/3Aftos? eter On peut vérifier que les paramétres ont bien été ajoutts via la commande : [test}display clock Serveur de log : Le serveur de log permet de conserver les traces de l’activité du périphérique. Ici il s'agit du serveur IMC. [test]info-center loghost [Link] EDIT : pour le moment notre switch n'est pas connecté au réseau donc le serveur ntp ne met pas a Jour notre switch et IMC ne dispose pas d’informations sur le switch, * Configurer un port dinterconnexio Pour relier le switch au réseau on configure les ports 25 et 26 (interfaces 1/0/25 et 1/0/26). {test]interface range TenGigabitEthernet 1/0/25 to TenGigabitEthemet 1/0/26 > on définit la plage des interface a configurer (évite de le faire port par port) {test-if-range]duplex full > full duplex = on peut émetire et recevoir en simultané Itest-if-range}speed 1000 = 1000 Mb = 1Gb = 1 gigabits. On « force » la vitesse de transfert Itest-if-range}port link-type trunk > le lien issu de cette interface est de type trunk ce qui signifie qu’ll est « marqué » [test-if-range}port trunk permit vlan 2 to 899 = on autorise 'accés aux VLANs allant de 2 4 899 (le VLAN 150 est dans cet intervalle) [test-if-range}undo port trunk permit vlan 1 = on désactive Vaccés au VLAN qui est le VLAN par défaut du switch * Création de la clé SSH : Pour générer une clé SSH (en fait un ensemble de clé publique / privée) ... [test]public-key local create rsa + Activation du spanning-tree et du LLDP : ‘On active le spanning tree (protocole visant & supprimer les boucles réseau + assurer la redondance) [test]stp global enable On active également le protocole LLDP (reconnaissance rapide des périphériques sur le réseau) {testJlldp global enable + Vérifier la version du firmware et mettre a jour via IMC : On vérifie que la version du firmware correspond aux exigences du CER. Pour un switch HP 5130 EI POE le firmware a utiliser est V7.1.045_Release 3109P09 . Pour vérifier la commande est: [test}display version Si la version correspond on peut poursuivre, sinon il faut connecter le port 1/0/25 au réseau VLAN (interface 1/0/26 du switch ie mon bureau) + Mise d jour du périphérique Une fois connecté au réseau on peut faire une recherche sur l’adresse IP du switch (VLAN 150) sur IMG. Une fois sélectionner le périphérique il est possible de procéder & la mise & jour du firmware directement depuis IMC. Pour ce faire : Se connecter 4 IMC ([Link] via Firefox) depuis le serveur de rebond. identifier avec son login et son mot de passe (voir éventuellement pour se faire créer un compte = lien vers la fiche de Clovis). Ace stade on peut vérifier (via un ping) que le switch est bien vu par le réseau. Si ce n’est pas le cas il faut revérifier les branchements. Le switch ayant été configuré avec l’adresse IP de « maintenance », le serveur IMC reconnait Padresse IP [Link] quand on saisit cette adresse dans la barre de recherche (en haut a droite de la fenétre). Les informations affichées, si elles ne sont pas a jour, peuvent nécessiter une synchronisation avec le serveur. Ensuite il faut sélectionner le périphérique que I’on souhaite mettre & jour, cliquer sur onglet More, Configuration Management et Deploy Software. La page suivante nous permet de sélectionner le logiciel & télécharger et installer sur le switch. On trouve tout d’abord un bloc concernant le périphérique. Comme nous sommes passés par l’outil de recherche le périphérique affiché sous Select Device est le switch que l’on souhaite mettre & jour. Dans le bloc Select Deployed Software on indique que I’on veut mettre a jour le logiciel en cliquant sur Select de la ligne Software : on peut alors choisir le logiciel & installer et cliquer sur OK. Valider ensuite les options en cliquant sur Next. Ensuite le serveur va vérifier si le flash du switch dispose d’assez de place pour installer le programme. Il suffit ensuite de valider en « forcant » la mise a jour immédiate (sinon il faut programmer une date et heure de mise & jour). Une fois tous ces paramatres renseignés le serveur envoie la mise a jour au switch qui va ensuite redémarrer. Infos : dans le cas d’une pile de switch il suffit de mettre & jour Ie switch maitre (n° 1 priorité 32) lors de la construction de la pile (plus tard dans cette fiche) le maitre diffusera la mise a jour aux autres membres de la pile ! * Activation du mode IRF (si besoin de créer une pile de switch) : La technologie IRF permet d’associer plusieurs switchs pour qu’ils ne soient vu que comme une seule entité logique. Pour assurer le bon fonctionnement nous allons configurer un switch maitre (n° Priorité 32) un secours (n° X = nombre le plus élevé de la pile priorité 31) et des esclaves (n° compris entre 1 et X). Pour les switchs HP 5130 l"empilage est réalisé sur les ports Ten-gigabits 27 et 28 (cordons spécifiques). La mise en pile est faite comme ceci : ~ le port 27 du maitre est relié au port 28 du n°2, ~ le port 27 du n° est relié au port 28 du n°3 (switch de secours pour ’exemple), — Je port 27 du n°3 (secours donc dernier de la pile) est relié au port 28 du switch mattre : on assure ainsi la redondance en cas de panne ! ATTENTION : sur des commutateurs 3Com pour créer une pile les switchs doivent avoir le méme nom (sysname) et la méme version de I’OS. Ce n’est pas le cas pour les HP. = paramétrage du commutateur maitre ~ Commandes IRF : {test]ixf domain 1 = on crée le domaine de la pile. Chaque switch doit étre dans le méme domaine. {test]itf mac-address persistant always {testlirf auto-update enable {testJundo irf link-delay [test]iré member 1 priority 32 = on fixe a 32 la priorité du commutateur : c’est le maitre. ~ Désactivation des ports IRF ; on désactive les ports gigabits pour les paramétrer en IRF {test]interface TenGigabitEthernet 1/0/27 [test-TenGigabitEthernet 1/0/27}shutdown [test-TenGigabitEthernet 1/0/27]quit {test]interface TenGigabitEthemet 1/0/28 [test-TenGigabitEthernet 1/0/28]shutdown {test-TenGigabitEthernet 1/0/28]quit ~ Affectation des ports physiques sur les ports logiques IRF : le port 1 sur le 27 et le 2 sur le 28 ! {test}irf-port 1/1 {test-irf-port 1/1}port group interface TenGigabitEthemet 1/0/27 {test-irf-port 1/1}quit {testlirf-port 1/2 [test-irf-port 1/2]port group interface TenGigabitEthernet 1/0/28 [test-irf-port 1/2}quit ~ (ré)Activation des ports IRF : on annule la précédente commande qui a désactivé les ports. {testJinterface TenGigabitEthernet 1/0/27 [test-TenGigabitEthernet 1/0/27}undo shutdown, [test-TenGigabitEthernet 1/0/27 ]quit [test]interface TenGigabitEthemet 1/0/28 [test-TenGigabitEthernet 1/0/28]undo shutdown, [test-TenGigabitEthenet 1/0/28]quit — Activation de la fonction IRF : on active la fonction IRF {test]irf-port-configuration active — Sauvegarde de la configuration {test}save main (main = fichier de config lancé au démarrage) + Réinitialiser : on redémarre le commutateur. reboot ATTENTION : la commande reboot ne peut s’effectuer en mode SYSTEM VIEW. Pour quittet ce mode 2 méthodes : + Ctl+z + [test]quit = Sur le commutateur secours ou esclave Seul le switch maitre a fait V’objet d’un paramétrage. On peut considérer que les autres switchs de la pile (stack) sont configurés usine. Pour les intégrer ala pile il faut les préparer individuellement (ans interconnexion) : + Activation du spanning-tree : SYSTEM VIEW {HPE]stp global enable A noter que le nom du switch est celui par défaut + Commandes IRF : [HPE}irf member 1 renumber % = numéro de Iunité de la pile (HPEJirf domain 1 = on crée le domaine de la pile. Chaque switch doit étre dans le méme domaine. [HPE ir mac-address persistant always (HPE]irf auto-update enable (HPE]Jundo irf link-delay (HPE]irf member 1 priority 1 ou 31 = priorité 1 pour les esclaves, priori 31 pour le secours —~ Désactivation des ports IRF : on désactive les ports gigabits pour les paramétrer en IRF (HPEJinterface TenGigabitEthemet 1/0/27 (HPE-TenGigabitEthernet 1/0/27}shutdown [HPE-TenGigabitEthernet 1/0/27}quit (HPEJinterface TenGigabitEthemet 1/0/28 (HPE-TenGigabitEthernet 1/0/28 shutdown (HPE-TenGigabitEthenet 1/0/28]quit — Affectation des ports physiques sur les ports logiques IRF : le port 1 sur le 27 et le 2 sur le 28 ! (HPE]icf-port 1/1 (HPE-irf-port 1/1]port group interface TenGigabitEthernet 1/0/27 (HPE-irf-port 1/1]quit [HPE)icf-port 1/2 (HPE-irf-port 1/2)port group interface TenGigabitEthernet 1/0/28 [HPE-irf-port 1/2]quit ~ (ré)Activation des ports IRF : on annule la précédente commande qui a désactivé les ports, {HPEJinterface TenGigabitEthernet 1/0/27 [HPE-TenGigabitEthemet 1/0/27]undo shutdown [HPE-TenGigabitEthernet 1/0/27}quit (HPEJinterface TenGigabitEthernet 1/0/28 (HPE-TenGigabitEthernet 1/0/28]undo shutdown (HPE-TenGigabitEthemet 1/0/28]quit ~ Activation de la fonction IRF : on active la fonction IRF [APE Jirf-port-configuration active ~ Sauvegarde de la configuration (HPE]save main (main = fichier de config lancé au démarrage) — Réinitialiser : on redémarre le commutateur. reboot Une fois tous les commutateurs de la pile paramétrés, il faut relier les switchs entre eux comme défini plus haut : Rappel: = Ie port 27 du maitre est relié au port 28 du n°2, ~ le port 27 du n° est relié au port 28 du n°3 (switch de secours pour I’exemple), — Je port 27 du n°3 (Secours donc dernier de la pile) est relié au port 28 du switch maftre : on assure ainsi la redondance en cas de panne ! Infos : si les versions d’OS différent la mise a jour s’effectue automatiquement et installe la version 0S du commutateur maitre. NB : Voici plusieurs commandes utiles pour vérifier la configuration IRF. [test}display irf {test]display irf configuration {test}display irf topology {test}display switchover state La pile de switchs est désormais considérée comme un seul switch, les interfaces des switchs sont de la forme n° du switch dans la pile /0 /n® du port Par exemple le port 13 du 28me switch sera 2/0/13 ! ee nay vavifieg L pue-Fem ' TFT ¢ (© Serveun act ces Dw Jipe Wool toader if eles: / bra fie slot A men's Sv Cem - SSH Wor adn autherben horType patwael wie gay Sei (0 ype pemvird M1 ethos THE Cog 10 * Configuration des interfaces : ACCESS ou TRUNK ??? Une interface (un port du switch) peut étre déclarée en mode ACCESS ou en mode TRUNK. En mode ACCESS le port n’est associé qu’a un seul VLAN : on considére donc que le matériel connecté a ce port fait partie de ce VLAN. En mode TRUNK il est possible d’associer plusieurs VLAN : c'est ce qui servira pour connecter les postes IP et les ordinateurs puisque nous utilisons un VLAN pour les datas et un VLAN pour la ToIP. Le switch va « marqué » la trame ethernet avec le n° du VLAN (norme 802.1q). Exemple d’interface TRUNK basique : port link-type trunk = on définit le port en TRUNK donc plusieurs VLANs undo port trunk permit vian 1 = en premier lieu on bloque le trafic provenant du VLAN 1 qui est le VLAN par défaut port trunk permit vlan 100 400 = on autorise le trafic des VLANs 100 (exemple data ddsp) et 400 (ToIP), ATTENTION : seuls les VLANs ayant été déclaré peuvent étre autorisés ort trunk pvid vian 100 = on définit le VLAN data c’est-d-dire celui qui ne sera pas « marqué » undo voice-vlan mode auto = on désactive la définition automatique du VLAN voix voice-vian 400 enable = on active le VLAN 400 en tant que VLAN voix broadcast-suppression pps 3000 = on limite le broadcast & 3000 paquets par seconde undo jumboframe enable = on bloque les trames trop volumineuses oe enable = on active le PoE (Power over Ethernet) : les périphériques compatibles (téléphones IP, borne DECT ...) seront alimentés électriquement via Ie cAble réseau. stp edged-port = le port utilise la fonction spanning-tree pour permetire la redondance et éviter les boucles, i

Vous aimerez peut-être aussi