CiscoRouterでコンソールサーバ

Cisco2800の　15.1(3)T4で設定

TS#show line
   Tty Line Typ     Tx/Rx    A Modem  Roty AccO AccI  Uses  Noise Overruns  Int
*   1/0   66 TTY   9600/9600  -    -      -    -    -     4     89    0/0      -
*   1/1   67 TTY   9600/9600  -    -      -    -    -     1      0    0/0      -
    1/2   68 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/3   69 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/4   70 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/5   71 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/6   72 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -
    1/7   73 TTY   9600/9600  -    -      -    -    -     0      0    0/0      -

とりあえず以下ConfigだけでOK

ip host ASA 2066 192.168.100.200

interface FastEthernet0/0
 ip address 192.168.100.200 255.255.255.0

line 1/0 1/7
 no exec
 transport input all

あとはクライアントPCから192.168.100.200:2066にtelnetで接続でOK

ReverceTelnetするなら、
TS#ASA
Trying ASA (192.168.100.200, 2066)... Open

ciscoasa#
↑抜けるときは、Ctrl-Shift-6+x
TS#show session
Conn Host                Address             Byte  Idle Conn Name
*  1 ASA                 192.168.100.200        0     0 ASA

TS#disconnect 1
Closing connection to ASA [confirm]
TS#

Windows7各EditionからEnterpriseへの変更について

Win7EntにはWin7各EditionからのUpgradePathは無い


が、以下レジストリの確認と書き換えで回避可能
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\Current Version
　EditionIDとProductName
　　→Edition名をenterpriseと変更

その後はイメージからのアップグレードインストール実施。

インストール後は通常の認証が必要なので、ライセンス的には問題無い気もするが。。。

CiscoWLCでFlexconnectのVlanMapping確認方法

かなり強引な方法で、もっといい方法があればいいんだけども。。。

確認したVer
7.4.100.60と7.4.121.0
→古いバージョンだとできない可能性アリ。

各APでshow run を見ると以下に紐付いている模様

dot11 vlan-name 001 vlan 101
dot11 vlan-name 002 vlan 102

あと、nativeはf0.1に紐付いてそう。

LAP01#show run int f 0.1
Building configuration...

Current configuration : 169 bytes
!
interface FastEthernet0.1
 encapsulation dot1Q 100 native
 no ip route-cache
 bridge-group 1
 no bridge-group 1 source-learning
 bridge-group 1 spanning-disabled
end







なので以下コマンドをWLCで叩く!!

debug ap enable LAP01
debug ap command "show run | inc vlan-name " LAP01
debug ap command "show run int f 0.1 " LAP01
debug ap disable LAP01


すると以下出力が得られるので、、、
(WLC01) >debug ap command "show run | inc vlan-name" LAP01


(WLC01) >*spamApTask2: Feb 29 03:03:39.798: **:**:**:**:**:** LAP01: dot11 vlan-name 001 vlan 101
*spamApTask2: Feb 29 03:03:39.798: **:**:**:**:**:** LAP01: dot11 vlan-name 002 vlan 102


(WLC01) >debug ap command "show run int g 0.1" LAP01
(WLC01) >*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: Building configuration...
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: Current configuration : 152 bytes
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: !
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: interface GigabitEthernet0.1
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  encapsulation dot1Q 100 native
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  bridge-group 1
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  bridge-group 1 spanning-disabled
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01:  no bridge-group 1 source-learning
*spamApTask2: Feb 29 03:13:21.066: **:**:**:**:**:** LAP01: end

なんとなく紐付けは確認できそう。

これ以外になんとか確認する方法はないものか。。。

Cat6500のVSS初期設定

●SW1の設定

SW1(config)#switch virtual domain 100
Domain ID 100 config will take effect only
after the exec command 'switch convert mode virtual' is issued

SW1(config-vs-domain)#switch 1
SW1(config-vs-domain)#exit
SW1(config)#int range t 5/4 - 5
SW1(config-if-range)# channel-group 255 mode on
SW1(config-if-range)# no shut
SW1(config-if-range)#int po 255
SW1(config-if)#switch virtual link 1
SW1(config-if)#no shut


●SW2の設定

SW2(config)#switch virtual domain 100
Domain ID 100 config will take effect only
after the exec command 'switch convert mode virtual' is issued

SW2(config-vs-domain)#switch 2
SW2(config-vs-domain)#exit
SW2(config)#int range t 5/4 - 5
SW2(config-if-range)#channel-group 256 mode on
SW2(config-if-range)# no shut
SW2(config-if-range)#int po 256
SW2(config-if)#switch virtual link 2
SW2(config-if)#no shut


●VSLを10Gケーブルで接続して、

●Mode変換＠SW1とSW2

SW1#switch convert mode virtual

This command will convert all interface names
to naming convention "interface-type switch-number/slot/port",
save the running config to startup-config and
reload the switch.

NOTE: Make sure to configure one or more dual-active detection methods
once the conversion is complete and the switches have come up in VSS mode.

Do you want to proceed? [yes/no]: yew
% Please answer 'yes' or 'no'.

This command will convert all interface names
to naming convention "interface-type switch-number/slot/port",
save the running config to startup-config and
reload the switch.

NOTE: Make sure to configure one or more dual-active detection methods
once the conversion is complete and the switches have come up in VSS mode.

Do you want to proceed? [yes/no]: yes
Converting interface names
Building configuration...
[OK]
Saving converted configuration to bootdisk: ...
Destination filename [startup-config.converted_vs-20100000-021801]?


●再起動して、ちゃんと認識したら

SW1(config)#switch virtual domain 100
SW1(config-vs-domain)#switch 1 priority 110
*Jan 00 00:00:00 jst: %VSLP-SW1-5-RRP_RT_CFG_CHG: Configured priority value is different from operational value.
Change will take effect after config is saved and switch 1 is reloaded.

*Jan 00 00:00:00 jst: %VSLP-SW2_STBY-5-RRP_RT_CFG_CHG: Configured priority value is different from operational value.
Change will take effect after config is saved and switch 1 is reloaded.
SW1(config-vs-domain)#mac-address use-virtual
Configured Router mac address (****.****.****) is different from operational value (****.****.****). Change will take effect after the configuration is saved and the entire Virtual Switching System (Active and Standby) is reloaded.

※↑これは最初に設定してもいいかも。要再起動！
　　あと、必須の設定ではナイ

●FastHelloの設定
SW1(config-if)#int g 1/1/1
SW1(config-if)#dual-active fast-hello
SW1(config-if)#no shut
SW1(config-if)#int g 2/1/1
SW1(config-if)#dual-active fast-hello
SW1(config-if)#no shut


以上で最低限の設定おしまい

WLCにJoinしたAPの初期設定をCLIで設定

●Hostname変更（シリアルもしくは、EtherMACで指定できる）
config ap name LAP01 FGL********

●Primary/SecondaryのWLC指定
config ap primary-base WLC01 LAP01 192.168.1.1
config ap secondary-base WLC02 LAP01 192.168.1.2

●APをFlexConnectに設定変更する
config ap mode flexconnect submode none LAP01
y
※Rebootしてもいいか聞かれるのでyを流す

●FlexConnectのVlanアサインについて
→設定前にAPをDisableにする必要あり！
config ap disable LAP01
config ap flexconnect vlan native 100 LAP01
config ap flexconnect vlan wlan 1 101 LAP01
config ap flexconnect vlan wlan 2 102 LAP01
config ap enable LAP01

新規追加の設定もおそらくこれぐらい？

Ciscoの名前付きじゃないACLで途中に行を挿入する

まず、既存

R3#show run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3#show access-lists
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    40 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    50 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255

以下で途中にACLを挿入する


R3#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R3(config)#ip access-list extended 100
R3(config-ext-nacl)#35 permit ip host 192.168.99.99 host 192.168.1.1
R3(config-ext-nacl)#do sh run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.99.99 host 192.168.1.1
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config-ext-nacl)#do sh access-list
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    35 permit ip host 192.168.99.99 host 192.168.1.1
    40 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    50 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config-ext-nacl)#exit

さらににACLを10始まりで、10ずつにシーケンスNoを再構成する

R3(config)#ip access-list resequence 100 10 10
R3(config)#do sh run | inc access-list
access-list 100 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
access-list 100 permit ip host 192.168.99.99 host 192.168.1.1
access-list 100 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
access-list 100 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config)#do sh access-list
Extended IP access list 100
    10 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255
    20 permit ip host 192.168.1.1 192.168.3.0 0.0.0.255
    30 permit ip host 192.168.1.1 192.168.4.0 0.0.0.255
    40 permit ip host 192.168.99.99 host 192.168.1.1
    50 permit ip host 192.168.1.1 192.168.5.0 0.0.0.255
    60 permit ip host 192.168.1.1 192.168.6.0 0.0.0.255
R3(config)#

FortigateでSSLVPNするときのスプリットトンネル

スプリットトンネルを使うと
ForitClientで接続してくる端末に特定のルートが渡る
　→特定のルート：ACLに記載してあるDistのルート
それ以外の通信は端末から直接インターネットに出る

スプリットトンネルを無効にすると
FortiClientの端末のデフォルトルートがFortigate経由になる
　→インターネット通信もFGから出て行くようになる