Windows10のSTP停止方法

Windows10でNICをブリッジ接続するとSTPが有効になりBPDUを投げる。。。

Win7は以下レジストリ変更で回避
HKLM\SYSTEM\CurrentControlSet\Services\BridgeMP\DisableSTA

http://support.tenasys.com/helpdesk/index.php?pg=kb.page&id=59

Win10の場合ナレッジが見つからないが以下で大丈夫か？
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MsBridge
にDisableSTAをDWORDで作成し、値を1とする。
作成後再起動実施。

Catalyst9300 IOS16.6.xのバージョンアップ

IOSがいつの間にか16台になってまして。。。
バージョンアップコマンドも変わっております。

さて、今回は16.6.1から16.6.2へのバージョンアップ手順。
機器はCisco Catalyst9300のStack仕様

ちなみに、16.5は
Switch# request platform software package
だそうで、ご注意を。

基本的にはリリースノートに沿ったやり方のメモ。
https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9300/software/release/16-6/release_notes/ol-16-6-9300.html#pgfId-1450134

C9300#show ver                                                             
Cisco IOS XE Software, Version 16.06.01                                         

～略～

まずはIOSをflashにコピー

今回はUSBメモリから。

copy usbflash0:cat9k_iosxe.16.06.02.SPA.bin flash

Destination filename [cat9k_iosxe.16.06.02.SPA.bin]?                            

Copy in progress...CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC

CCCCCCCCCCCCCCCCCCC                                                             

596369748 bytes copied in 67.596 secs (8822560 bytes/sec)                       

Copyが完了したらInstall実施。

C9300#install add file flash:cat9k_iosxe.16.06.02.SPA.bin activate commit            

install_add_activate_commit: START Wed Dec 13 14:00:38 JST 2017

000162: Dec 13 14:00:39.148 JST: %IOSXE-5-PLATFORM: Switch 1 R0/0: Dec 13 14:00: install one-shot flash:cat9k_iosxe.16.06.02.SPA.bininstall_add_activate_commit:

--- Starting initial file syncing ---

[1]: Copying flash:cat9k_iosxe.16.06.02.SPA.bin from switch 1 to switch 2

[2]: Finished copying to switch 2

Info: Finished copying flash:cat9k_iosxe.16.06.02.SPA.bin to the selected switch

Finished initial file syncing

--- Starting Add ---

Performing Add on all members

000163: Dec 13 14:01:41.395 JST: %IOSD_INFRA-6-IFS_DEVICE_OIR: Device usbflash0

  [1] Finished Add on switch 1

  [2] Add package(s) on switch 2

  [2] Finished Add on switch 2

Checking status of Add on [1 2]

Add: Passed on [1 2]

Finished Add

install_add_activate_commit: Activating PACKAGE

～略～

再起動の確認がでるので、問題なければy

This operation requires a reload of the system. Do you want to proceed? [y/n]y

--- Starting Activate ---

Performing Activate on all members

  [1] Activate package(s) on switch 1

～略～

Activate: Passed on [1 2]

Finished Activate

--- Starting Commit ---

Performing Commit on all members

～略～

Commit: Passed on [1 2]

Finished Commit

Install will reload the system now!

自動で再起動。

activate commit   オプション無しでinstall実施すると、

activateとcommitは手動で実施となります。

再起動後に確認。

C9300#show ver                                                             

Cisco IOS XE Software, Version 16.06.02                                         

～略～

C9300#show install summary

[ Switch 1 2 ] Installed Package(s) Information:

State (St): I - Inactive, U - Activated & Uncommitted,

            C - Activated & Committed, D - Deactivated & Uncommitted

--------------------------------------------------------------------------------

Type  St   Filename/Version

--------------------------------------------------------------------------------

IMG   I    16.6.1.0

IMG   C    16.6.2.0

ここでStがCになっていることを確認。

activate commit   オプションを無しで手動再起動した場合にUとなるが、その場合

7200秒で以前のOSにRollbackするので手動にてCommitが必須となる。

古いOSを消すのであれば

C9300#install remove inactive

install_remove: START Wed Dec 13 13:54:55 JST 2017

Cleaning up unnecessary package files

No path specified, will use booted path flash:packages.conf

～略～

消していいか確認されるので

Do you want to remove the above files? [y/n]y

[switch 1]:

～略～

SUCCESS: Files deleted.

～略～

SUCCESS: install_remove  Wed Dec 13 13:58:26 JST 2017

再度確認

C9300#show install summary

[ Switch 1 2 ] Installed Package(s) Information:

State (St): I - Inactive, U - Activated & Uncommitted,

            C - Activated & Committed, D - Deactivated & Uncommitted

--------------------------------------------------------------------------------

Type  St   Filename/Version

--------------------------------------------------------------------------------

IMG   C    16.6.2.0

Cat3850よりは起動が早いですね。

Catalyst2960LのL3機能

2960Lは15.2(5)E2以降でLayer3の機能が使えるようで。。。
シスコサポートコミュニティ

試したのはWS-C2960L-24TS-LLで15.2(6)E
リリースノートによると

• Routing Information Protocol: (LANLite) - RIP is a commonly used routing protocol in small to medium TCP/IP networks. It is supported in both IPv4 and IPv6 network environments

Open Caveats

Bug ID	Headline
CSCvf24420	Scale: Failed route reprogramming into tcam hold till the routes expires from CEF RIP

BUGもあるけどRIPも使えるみたい。




まずはスイッチでルーティングする時のお約束

Switch(config)#ip routing



あとは各種設定
Switch#show run | section route
router rip
version 2
network 1.0.0.0
network 10.0.0.0
ip route 192.168.0.0 255.255.0.0 1.1.1.1

で、確認

Switch#show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
a - application route
+ - replicated route, % - next hop override, p - overrides from PfR

Gateway of last resort is not set

1.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C 1.1.1.0/24 is directly connected, Vlan1
L 1.1.1.254/32 is directly connected, Vlan1
R 2.0.0.0/8 [120/1] via 10.10.11.2, 00:00:01, Vlan11
～略～
S 192.168.0.0/16 [1/0] via 1.1.1.1

Switch#show ip rip database
1.0.0.0/8 auto-summary
1.1.1.0/24 directly connected, Vlan1
2.0.0.0/8 auto-summary
2.0.0.0/8
[1] via 10.10.11.2, 00:00:20, Vlan11
～略～

Switch#show ip protocols
*** IP Routing is NSF aware ***

Routing Protocol is "rip"
Outgoing update filter list for all interfaces is not set
Incoming update filter list for all interfaces is not set
Sending updates every 30 seconds, next due in 21 seconds
Invalid after 180 seconds, hold down 180, flushed after 240
Redistributing: rip
Default version control: send version 2, receive version 2
Interface Send Recv Triggered RIP Key-chain
Vlan1 2 2 No none

～略～
Automatic network summarization is in effect
Maximum path: 4
Routing for Networks:
1.0.0.0
10.0.0.0
Routing Information Sources:
Gateway Distance Last Update
10.10.11.2 120 00:00:23
Distance: (default is 120)


StaticRouteとRIPv2が使える。
安価なL2スイッチなんだけどね。
ちなみに、

Switch(config)#router ?
bgp Border Gateway Protocol (BGP)
isis ISO IS-IS
iso-igrp IGRP for OSI networks
mobile Mobile routes
odr On Demand stub Routes
ospf Open Shortest Path First (OSPF)
ospfv3 OSPFv3
rip Routing Information Protocol (RIP)

となるので、一瞬期待するのだが、
rip以外はダメな模様。


Switch(config)#router ospf 1
Protocol not in this image
Switch(config)#router bgp 1
Protocol not in this image
Switch(config)#router isis
Protocol not in this image
Switch(config)#

将来実装されたりするのかな？

さすがにしないよね。

ちなみに、StaticRouteは16個まで

コンフィグレーションガイド

だけど、16個超えても投入できる。

とりあえず254ルート（10.1.1.1～254）投入できたが、TCAMが溢れたよってLogが。

%SYS-5-CONFIG_I: Configured from console by consoleHW-L3V4-TCAM: Hardware IPv4 Route TCAM is full, packets might be forwarded in software

Switch#show platform ip route all | inc Prefix

Prefix: 10.1.1.1/32

～略～

Prefix: 10.1.1.235/32

Prefix: 10.10.11.0/24

Prefix: 10.10.11.0/32

Prefix: 10.10.11.1/32

Prefix: 10.10.11.2/32

Prefix: 10.10.11.255/32

Prefix: 127.0.0.0/8

Prefix: 255.0.0.0/4

Prefix: 255.255.255.255/32

235ルート＋Connectとその他ルートしかTCAMに載ってない。

変更できないSDMテンプレート見ると256ルートまでなんとなく行けそうな雰囲気もあるのですが。

Switch#show sdm prefer

The current template is default template

 The selected template optimizes the resources in

 the switch to support this level of features for

 64 SVIs and 64 VLANs.

number of Multicast groups                      :1024

number of Unicast MAC addresses                 :8192

number of MAC/IPv4 Access Control Entries       :384

number of IPv6 Access Control Entries           :256

number of IPv4 Direct Route Entries             :542

number of IPv4 Indirect Route Entries           :256

number of IPv6 Direct Route Entries             :414

number of IPv6 Indirect Route Entries           :128

過度な期待はダメだけど、2960L-8なんてamazonで1万円台で買えるし、ちょっとした誤家庭にはいいかもね。

Cisco機器のコマンド内でクエスチョンマークを使う

パスワードとかでクエスチョンマーク「?」を使いたいときには
Ctrl-V を押してからクエスチョン マークを入力する。

http://www.cisco.com/cisco/web/support/JP/docs/CIAM/ServsModules/ServsModules/MCG/006/8123_01_appendixc.html?bid=0900e4b182528bfe#23040


Cat(config)#line vty 0 4
Cat(config-line)#pas
Cat(config-line)#password test[Ctrl-V]?123!
Cat(config-line)#^Z
Cat#sh run | be line vty 0 4
line vty 0 4
 password test?123!
 login
line vty 5 15
 login
!

RDPでLoginできなくなった時のリカバリ

qwinsta
でセッションを確認し

tsdiscon [ID]
でターミナルのセッション切断し

それでもだめなら
logoff [ID]
で強制LogOffしてみる

やっぱり無理なら再起動
shutdown /r /t 0

WLCのバージョンと対応APのマトリックスについて

以下を参照する

 Cisco Wireless Solutions Software Compatibility Matrix
http://www.cisco.com/c/en/us/td/docs/wireless/compatibility/matrix/compatibility-matrix.html

Cisco機器での検証用PPPoEサーバ構築（端末払い出し）

普通のBフレ等でアドレスが降ってくるパターンのPPPoE検証サーバのConfig
試したのは1812Jの12.4(6)T1

以下コマンドは必要なところのみ抜粋


ip name-server 192.168.101.1
ip name-server 192.168.101.2

username test password 0 test

bba-group pppoe test
 virtual-template 1

interface Loopback0
 ip address 1.1.1.1 255.255.255.255

interface FastEthernet2

 switchport mode access

 spanning-tree portfast

interface Virtual-Template1

 ip unnumbered Loopback0

 peer default ip address pool user1-pool

 ppp authentication chap

interface Vlan1

 no ip address

 pppoe enable group test

ip local pool user1-pool 192.168.100.1

192.168.100.1がユーザに払い出されるアドレス

DNSサーバもip name-serverコマンドで指定すれば払い出されます

ちなみに以前「Cisco機器での検証用PPPoEサーバ構築」で書いたのは固定IPの例

ISG/SSG/netscreenの初期化

初期化して、リブートの手順で実施

FW-> unset all
Erase all system config, are you sure y/[n] ? y
FW-> reset
Configuration modified, save? [y]/n n
System reset, are you sure? y/[n] y
In reset ...

JuniperのEXでちょっと悩むコマンド

●ConfigをSetコマンドで確認かつ、Ciscoでいうter len 0
show configuration |display set |no-more

●逆に階層型Configを流し込む場合
 load override terminal 
Ctrl-Dで終了

●commit前に差分をCheck！　これ何気に重要
show | compare

●ge0/0/0のConfigをge0/0/1にコピーする
copy interfaces ge-0/0/0 to ge-0/0/1

●時間の確認
show system uptime

●再起動
request system reboot

●電源OFF
request system halt

●Log確認
show log messages

●初期化
config
load factory-default
set system root-authentication plain-text-password
commit

もしくは、
request system zeroize 
yes

で実施。
上記は起動状態でConfigのみ初期化
下記は再起動し、Log等もClearされる。

●Commit時に下記表示のエラーではじかれる
{master:0}[edit]
root# commit
warning: Could not connect to fpc-1 : Can't assign requested address
warning: Cannot connect to other RE, ignoring it

そんな時は以下コマンドで確認し、
{master:0}[edit]
root# show system commit
synchronize;

Synchronizeになってたら、削除する

{master:0}[edit]
root# delete system commit synchronize

http://kb.juniper.net/InfoCenter/index?page=content&id=KB20111&actp=search&viewlocale=en_US&searchid=1280155488553

CiscoWLCでFlexconnectのVlanMapping確認方法その2

WLC Config Analyzer
https://supportforums.cisco.com/document/7711/wlc-config-analyzer
※ダウンロードには要CCOアカウント

Ver3.6.0betaにてFlexConnectのVlanが表示されるようになった！！
#もっと前のバージョンから対応してたかもしれないけど。。。

使い方はshow run-configを読み込ませるだけです。

Juniper ISG2000のCFカードを使ったバージョンアップ

まあ、SSGと同じ手順ですが。。。
初期状態の場合ユーザ名はnetscreenパスワードもnetscreen

CFカード挿入
　card power on.
　cfcard ready.

CFカードの中身確認

　nsisg2000-> get file

　Cfcard device :

  　  cfcard:/nsISG2000.6.2.0r18.0       

FlashにCopyする

　nsisg2000-> save software from slot1 nsISG2000.6.2.0r18.0 to flash

　Load image from pccard in slot1: nsISG2000.6.2.0r18.0.

　　+++++++++++++++++++++++++++done

再起動実施

　nsisg2000-> reset

　System reset, are you sure? y/[n] y

　In reset ...

バージョン確認

　nsisg2000-> get system

　Product Name: NetScreen-2000

　Serial Number: 

　Hardware Version: 

　Software Version: 6.2.0r18.0, Type: Firewall+VPN

楽々ですね。

Juniper MX40のUSBメモリを使ったバージョンアップ方法

初期状態だとLoginユーザはrootパスワードは無し


とりあえずマウントポイントを作成
　root@% mkdir /tmp/usb

USBメモリを挿入
　root@% umass2: at uhub0 port 1 (addr 4) disconnected
　(da2:umass-sim2:2:0:0): lost device
　(da2:umass-sim2:2:0:0): removing device entry
　umass2: detached
　umass2: ELECOM MF-HMU2, rev 2.00/1.00, addr 4
　umass2: SCSI over Bulk-Only; quirks = 0x0000
　umass2:2:2:-1: Attached to scbus2
　da2 at umass-sim2 bus 2 target 0 lun 0
　da2: <ELECOM MF-HMU2 PMAP> Removable Direct Access SCSI-4 device
　da2: 40.000MB/s transfers
　da2: 7385MB (15124992 512 byte sectors: 255H 63S/T 941C)


USBメモリのマウント
　root@% mount -t msdosfs /dev/da2s2 /tmp/usb

lsで確認してみる
　root@% ls /tmp/usb
　jinstall-ppc-12.3R6.6-export-signed.tgz

CLIに移動して
　root@% cli

インストール
　root> request system software add /tmp/usb/jinstall-ppc-12.3R6.6-export-signed.tgz no-validate no-copy　　
　Installing package '/tmp/usb/jinstall-ppc-12.3R6.6-export-signed.tgz' ...
　Verified jinstall-ppc-12.3R6.6-export.tgz signed by PackageProduction_12_3_0
　Adding jinstall-ppc...

終わったら再起動実施
　root> request system reboot
　Reboot the system ? [yes,no] (no) yes

　Shutdown NOW!

ドキドキしながら待機して、起動してきたらバージョン確認
 root@% cli
 root> show version 
 Model: mx40-t
 JUNOS Base OS boot [12.3R6.6]
 JUNOS Base OS Software Suite [12.3R6.6]
 JUNOS Kernel Software Suite [12.3R6.6]
 JUNOS Packet Forwarding Engine Support (MX80) [12.3R6.6]
 JUNOS Online Documentation [12.3R6.6]
 JUNOS Routing Software Suite [12.3R6.6]

お疲れ様でした。
なお、今回は初期状態が前提なので、configバックアップ等実施してないため要注意。

Foritgateの初期設定

https://192.168.1.99
ユーザー名：admin
パスワード：なし

・GUIの日本語化

[System] -> [Admin] -> [Settings] -> View Settings　
のLanguageを[Japanese]にする

CiscoRouterでコンソールサーバ

Cisco2800の　15.1(3)T4で設定

TS#show line
   Tty Line Typ     Tx/Rx    A Modem  Roty AccO AccI  Uses  Noise Overruns  Int
*   1/0   66 TTY   9600/9600  -    -      -    -    -     4     89    0/0      -
*   1/1   67 TTY   9600/9600  -    -      -    -    -     1      0    0/0      -
    1/2   68 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/3   69 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/4   70 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/5   71 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/6   72 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/7   73 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -

とりあえず以下ConfigだけでOK

ip host ASA 2066 192.168.100.200

interface FastEthernet0/0
 ip address 192.168.100.200 255.255.255.0

line 1/0 1/7
 no exec
 transport input all

あとはクライアントPCから192.168.100.200:2066にtelnetで接続でOK

ReverceTelnetするなら、
TS#ASA
Trying ASA (192.168.100.200, 2066)... Open

ciscoasa#
↑抜けるときは、Ctrl-Shift-6+x
TS#show session
Conn Host                Address             Byte  Idle Conn Name
*  1 ASA                 192.168.100.200        0     0 ASA

TS#disconnect 1
Closing connection to ASA [confirm]
TS#

Windows7各EditionからEnterpriseへの変更について

Win7EntにはWin7各EditionからのUpgradePathは無い


が、以下レジストリの確認と書き換えで回避可能
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\Current Version
　EditionIDとProductName
　　→Edition名をenterpriseと変更

その後はイメージからのアップグレードインストール実施。

インストール後は通常の認証が必要なので、ライセンス的には問題無い気もするが。。。

CiscoWLCでFlexconnectのVlanMapping確認方法

かなり強引な方法で、もっといい方法があればいいんだけども。。。

確認したVer
7.4.100.60と7.4.121.0
→古いバージョンだとできない可能性アリ。

各APでshow run を見ると以下に紐付いている模様

dot11 vlan-name 001 vlan 101
dot11 vlan-name 002 vlan 102

あと、nativeはf0.1に紐付いてそう。

LAP01#show run int f 0.1
Building configuration...

Current configuration : 169 bytes
!
interface FastEthernet0.1
 encapsulation dot1Q 100 native
 no ip route-cache
 bridge-group 1
 no bridge-group 1 source-learning
 bridge-group 1 spanning-disabled
end







なので以下コマンドをWLCで叩く!!

debug ap enable LAP01
debug ap command "show run | inc vlan-name " LAP01
debug ap command "show run int f 0.1 " LAP01
debug ap disable LAP01


すると以下出力が得られるので、、、
(WLC01) >debug ap command "show run | inc vlan-name" LAP01


(WLC01) >*spamApTask2: Feb 29 03:03:39.798: **:**:**:**:**:** LAP01: dot11 vlan-name 001 vlan 101
*spamApTask2: Feb 29 03:03:39.798: **:**:**:**:**:** LAP01: dot11 vlan-name 002 vlan 102


(WLC01) >debug ap command "show run int g 0.1" LAP01
(WLC01) >*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: Building configuration...
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: Current configuration : 152 bytes
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: !
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: interface GigabitEthernet0.1
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  encapsulation dot1Q 100 native
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  bridge-group 1
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  bridge-group 1 spanning-disabled
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  no bridge-group 1 source-learning
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: end

なんとなく紐付けは確認できそう。

これ以外になんとか確認する方法はないものか。。。

Cat6500のVSS初期設定

●SW1の設定

SW1(config)#switch virtual domain 100
Domain ID 100 config will take effect only
after the exec command 'switch convert mode virtual' is issued

SW1(config-vs-domain)#switch 1
SW1(config-vs-domain)#exit
SW1(config)#int range t 5/4 - 5
SW1(config-if-range)# channel-group 255 mode on
SW1(config-if-range)# no shut
SW1(config-if-range)#int po 255
SW1(config-if)#switch virtual link 1
SW1(config-if)#no shut


●SW2の設定

SW2(config)#switch virtual domain 100
Domain ID 100 config will take effect only
after the exec command 'switch convert mode virtual' is issued

SW2(config-vs-domain)#switch 2
SW2(config-vs-domain)#exit
SW2(config)#int range t 5/4 - 5
SW2(config-if-range)#channel-group 256 mode on
SW2(config-if-range)# no shut
SW2(config-if-range)#int po 256
SW2(config-if)#switch virtual link 2
SW2(config-if)#no shut


●VSLを10Gケーブルで接続して、

●Mode変換＠SW1とSW2

SW1#switch convert mode virtual

This command will convert all interface names
to naming convention "interface-type switch-number/slot/port",
save the running config to startup-config and
reload the switch.

NOTE: Make sure to configure one or more dual-active detection methods
once the conversion is complete and the switches have come up in VSS mode.

Do you want to proceed? [yes/no]: yew
% Please answer 'yes' or 'no'.

This command will convert all interface names
to naming convention "interface-type switch-number/slot/port",
save the running config to startup-config and
reload the switch.

NOTE: Make sure to configure one or more dual-active detection methods
once the conversion is complete and the switches have come up in VSS mode.

Do you want to proceed? [yes/no]: yes
Converting interface names
Building configuration...
[OK]
Saving converted configuration to bootdisk: ...
Destination filename [startup-config.converted_vs-20100000-021801]?


●再起動して、ちゃんと認識したら

SW1(config)#switch virtual domain 100
SW1(config-vs-domain)#switch 1 priority 110
*Jan 00 00:00:00 jst: %VSLP-SW1-5-RRP_RT_CFG_CHG: Configured priority value is different from operational value.
Change will take effect after config is saved and switch 1 is reloaded.

*Jan 00 00:00:00 jst: %VSLP-SW2_STBY-5-RRP_RT_CFG_CHG: Configured priority value is different from operational value.
Change will take effect after config is saved and switch 1 is reloaded.
SW1(config-vs-domain)#mac-address use-virtual
Configured Router mac address (****.****.****) is different from operational value (****.****.****). Change will take effect after the configuration is saved and the entire Virtual Switching System (Active and Standby) is reloaded.

※↑これは最初に設定してもいいかも。要再起動！
　　あと、必須の設定ではナイ

●FastHelloの設定
SW1(config-if)#int g 1/1/1
SW1(config-if)#dual-active fast-hello
SW1(config-if)#no shut
SW1(config-if)#int g 2/1/1
SW1(config-if)#dual-active fast-hello
SW1(config-if)#no shut


以上で最低限の設定おしまい

WLCにJoinしたAPの初期設定をCLIで設定

●Hostname変更（シリアルもしくは、EtherMACで指定できる）
config ap name LAP01 FGL********

●Primary/SecondaryのWLC指定
config ap primary-base WLC01 LAP01 192.168.1.1
config ap secondary-base WLC02 LAP01 192.168.1.2

●APをFlexConnectに設定変更する
config ap mode flexconnect submode none LAP01
y
※Rebootしてもいいか聞かれるのでyを流す

●FlexConnectのVlanアサインについて
→設定前にAPをDisableにする必要あり！
config ap disable LAP01
config ap flexconnect vlan native 100 LAP01
config ap flexconnect vlan wlan 1 101 LAP01
config ap flexconnect vlan wlan 2 102 LAP01
config ap enable LAP01

新規追加の設定もおそらくこれぐらい？

Ciscoの名前付きじゃないACLで途中に行を挿入する

まず、既存

R3#show run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3#show access-lists
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    40 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    50 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255

以下で途中にACLを挿入する


R3#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R3(config)#ip access-list extended 100
R3(config-ext-nacl)#35 permit ip host 192.168.99.99 host 192.168.1.1
R3(config-ext-nacl)#do sh run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.99.99 host 192.168.1.1
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config-ext-nacl)#do sh access-list
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    35 permit ip host 192.168.99.99 host 192.168.1.1
    40 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    50 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config-ext-nacl)#exit

さらににACLを10始まりで、10ずつにシーケンスNoを再構成する

R3(config)#ip access-list resequence 100 10 10
R3(config)#do sh run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.99.99 host 192.168.1.1
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config)#do sh access-list
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    40 permit ip host 192.168.99.99 host 192.168.1.1
    50 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    60 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config)#

FortigateでSSLVPNするときのスプリットトンネル

スプリットトンネルを使うと
ForitClientで接続してくる端末に特定のルートが渡る
　→特定のルート：ACLに記載してあるDistのルート
それ以外の通信は端末から直接インターネットに出る

スプリットトンネルを無効にすると
FortiClientの端末のデフォルトルートがFortigate経由になる
　→インターネット通信もFGから出て行くようになる