По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Универсальная платформа маршрутизации (Versatile Routing Platform VRP) - это сетевая операционная система, применяемая в сетевых устройствах Huawei, таких как маршрутизаторы и коммутаторы. Он предоставляет пользователям этих сетевых устройств согласованную и мощную платформу конфигурации за счет стандартизации сетевых, пользовательских и управляющих интерфейсов.
Основанная на модели TCP/IP, архитектура иерархической системы VRP объединяет возможности управления устройствами и сетями, технологии сетевых приложений и технологии передачи данных, такие как маршрутизация, многопротокольная коммутация по меткам (MPLS), виртуальная частная сеть (VPN) и технологии безопасности, с операционной системой в реальном времени.
Чтобы гарантировать, что платформа конфигурации остается актуальной и актуальной для современных технологий, VRP эволюционировала от VRP1.0, впервые выпущенного в 1998 году, до VRP8.X, его последняя версия.
Многие из сетевых устройств низкого и среднего уровня, которые в настоящее время используются в корпоративных сетях, используют VRP5.X. Далее мы будем рассматривать версию VRP5.12.
VRP- Командная строка
Командная строка VRP предназначена для настройки и управления сетевыми устройствами Huawei.
Командная строка
Командные строки VRP - это символьные строки, используемые для настройки функций и развертывания служб на сетевых устройствах Huawei. Командная строка состоит из ключевых слов и параметров. Ключевые слова - это одно или несколько слов, которые однозначно идентифицируют, соответствуют и обычно описывают инструкцию, выполняемую командной строкой, а параметры определяют данные, используемые в качестве входных данных для ключевых слов. Например, в командной строке ping ip-адрес (который проверяет подключение устройства), ping является ключевым словом, а ip-адрес представляет собой заданный пользователем параметр, такой как 192.168.1.1. Сетевые устройства Huawei обычно поставляются неконфигурированными по умолчанию, поэтому пользователь должен ввести командные строки в интерфейс командной строки устройства (CLI), чтобы настроить функциональность устройства.
CLI
CLI предоставляет средства взаимодействия с устройством. Через CLI вы можете вводить командные строки для настройки устройств. Командные строки VRP (их насчитывается тысячи), классифицируются по функциям и регистрируются в различных представлениях команд.
Команда View
CLI предоставляет несколько команд view, из которых наиболее часто используются команды view из режима пользователя, системы и интерфейса. Чтобы ввести и использовать командные строки в CLI, необходимо сначала получить доступ к пользовательскому режиму (как показано на рис. 1). Этот режим позволяет запрашивать основную информацию и состояние устройства и получать доступ к другим режимам, но не позволяет настраивать сервисные функции. Вы можете настроить сервисные функции и выполнить основные команды конфигурации в системном режиме (как показано на рис. 2), доступ к которому можно получить из пользовательского режима, выполнив команду system-view.
Системный режим также позволяет получить доступ к другим режимам, таким как режим интерфейса (как показано на рисунке 3). В режиме интерфейса вы можете настроить параметры и службы для указанного интерфейса.
Командная строка в каждом режиме содержит имя хоста устройства ("Huawei" на предыдущих рисунках), которое в режиме пользователя заключено в угловые скобки (. , .) и во всех других видах заключены в квадратные скобки ([]). В некоторых режимах командная строка может содержать дополнительную информацию (например, идентификатор интерфейса GigabitEthernet4/0/1 в предыдущем примере режиме интерфейса).
Командный и пользовательский уровни
Команды VRP классифицируются в зависимости от выполняемой ими функции: команды уровня 0 (уровень посещения) проверяют сетевое подключение, команды уровня 1 (уровень мониторинга) отображают состояние сети и базовую информацию об устройстве, команды уровня 2 (уровень конфигурации) настраивают службы для устройства, и команды уровня 3 (уровень управления) управляют определенными функциями устройства, такими как загрузка или выгрузка файлов конфигурации.
Чтобы ограничить, какие команды может запускать пользователь, пользователям назначаются разные уровни пользователя. Всего доступно 16 пользовательских уровней, от уровня 0 до уровня 15. Уровень 0 является наиболее ограничительным, причем разрешающая способность увеличивается для каждого последующего уровня. По умолчанию уровни с 4 по 15 совпадают с уровнями 3, поэтому пользователи, которым назначены эти уровни, имеют одинаковые разрешения и могут выполнять все команды VRP. Однако пользовательские уровни могут быть настроены, если требуется более тонкая детализация управления. Например, вы можете повысить до уровня 15 уровень пользователя определенных команд, чтобы эти команды могли выполнять только пользователи, назначенные этому уровню. Однако изменение назначений по умолчанию может усложнить задачи по эксплуатации и обслуживанию и ослабить безопасность устройства. В таблице 1 приведено сопоставление по умолчанию между уровнями пользователя и команды.
Таблица 1. Сопоставление уровней
Пользовательский
уровень
Командный
уровень
Описание
0
0
Команды для диагностики сети (такие как ping и tracert) и
удаленный вход (например, telnet)
1
0,1
Команды для обслуживания системы, такие как display. Конкретные команды display, такие display current-configuration и display saved-configuration, являются командами уровня управления (требуются пользователи уровня 3).
2
0,1,2
Команды для настройки сервиса, такие как команды маршрутизации
3-15
0,1,2,3
Команды для управления основными операциями системы, такими как файловые системы, загрузка по FTP, управление пользователями, настройка уровня команд и диагностика неисправностей
Использование командных строк
В этой части рассмотрим, как использовать командные строки VRP.
Доступ к командному режиму
Как уже упоминалось в первой части, пользовательский вид - это первый вид, отображаемый после загрузки VRP. Если отображается Huawei (а курсор справа от мигает), вы находитесь в режиме пользователя. В этом режиме вы можете запускать команды для запроса базовой информации и статуса устройства. Например, для настройки интерфейса необходимо получить доступ к системному режиму, а затем получить доступ к режиму интерфейса. Команды для этого - system-view и interface interface-type interface- number. Ниже показано, как получить доступ к режиму интерфейса GigabitEthernet 1/0/0
system-view
[Huawei]
[Huawei] interface gigabitethernet 1/0/0
[Huawei-GigabitEthernet1/0/0]
Выход из командной строки
Команда quit позволяет вам выйти из текущего режима и вернуться к режиму верхнего уровня. В предыдущем примере текущим режимом является режим интерфейса, а системным режимом является режимом верхнего уровня режим интерфейса. Выполнение команды quit в режиме интерфейса покажет следующее.
[Huawei-GigabitEthernet1/0/0] quit
[Huawei]
Чтобы вернуться к режиму пользователя, снова введите команду quit.
[Huawei] quit
<Huawei>
Иногда необходимо вернуться в пользовательский режим, не выполняя команду quit несколько раз. Команда return позволяет вам напрямую вернуться к режиму пользователя.
[Huawei-GigabitEthernet1/0/0] return
<Huawei>
Вы также можете использовать сочетания клавиш Ctrl + Z в любом режиме, чтобы вернуться к режиму пользователя.
Редактирование командной строки
Вы можете ввести до 510 символов в командной строке. Однако, если вы заметите ошибку в длинной командной строке, перепечатывание 510 символов станет трудоемким. В таблице 2 перечислены общие функциональные клавиши, которые не чувствительны к регистру, для редактирования командных строк VRP. Обратите внимание, что курсор не может переместиться в подсказку (например, [Huawei-GigabitEthernet1 /0/0]), и подсказка также не может быть отредактирована.
Таблица 2. Функциональные клавиши
Клавиша
Назначение
Backspace
Удаляет символ слева от курсора
← или Ctrl+B
Перемещает курсор на один символ влево
→ или Ctrl+F
Перемещает курсор на один символ вправо (только вправо до конца команды)
Delete
Удаляет символ, выделенный курсором (все символы, следующие за удаленным символом, сдвигаются на один пробел влево)
↑ или Ctrl+P
Отображает последнюю введенную команду, которая была выполнена. Система хранит историю выполненных команд, позволяя отображать их по одной (нажимайте повторно для просмотра предыдущих команд)
↓ или Ctrl+N
Отображает следующую самую последнюю команду в сохраненном списке истории
Ввод сокращенных ключевых слов
Окончание командной строки автоматически заполняет частично введенные ключевые слова, если система может найти уникальное совпадение. Например, вы можете ввести такие комбинации, как d cu, di cu или dis cu, и нажать Tab, и система автоматически отобразит команду display current-configuration. однако d c и dis c не возвращают совпадения, поскольку другие команды, такие как display cpu-defend, display clock и display current-configuration, также соответствуют этим частичным ключевым словам.
Получение помощи
Запоминание тысяч командных строк VRP может показаться сложной задачей. Знак вопроса (?) облегчает задачу. Вы можете ввести? в любой момент, чтобы получить онлайн помощь. Помощь классифицируется как полная или частичная.
Полная справка, например, отображает список команд, доступных в текущем режиме. Ввод знака ? в пользовательском режиме отобразит следующее.
Из списка вы можете выбрать, какая команда вам нужна. Например, ключевое слово display описывается как Display information. Это ключевое слово содержится в более чем одной команде, поэтому введите любую букву, чтобы выйти из справки, введите display и пробел, а затем введите знак?. В результате отобразится следующая информация.
Из этого списка вы можете определить, какое ключевое слово связать с display. Например, при запуске команды display current-configuration отображаются текущие конфигурации устройства.
Частичная помощь идеально подходит для тех случаев, когда вы уже знаете часть командной строки. Например, если вы знаете dis для display и для с current- configuration, но не можете запомнить полную командную строку, используйте частичную справку. Ввод dis и ? показывает следующее.
Единственное ключевое слово, которое соответствует dis - это display. Чтобы определить вторую часть командной строки, введите dis, пробел, c и ?.
Несколько ключевых слов начинаются с c; однако легко определить, что необходимая командная строка display current-configuration.
Использование сочетаний клавиш
Сочетания клавиш облегчают ввод команд. Предварительно определенные сочетания клавиш называются системными сочетаниями клавиш. Некоторые из часто используемых системных сочетаний клавиш перечислены в таблице 3.
Таблица 3. Обычно используемые системные сочетания клавиш
Клавиши
Назначение
Ctrl+A
Перемещает курсор в начало текущей строки
Ctrl+E
Перемещает курсор в конец текущей строки
Esc+N
Перемещает курсор вниз на одну строку
Esc+P
Перемещает курсор вверх на одну строку
Ctrl+C
Останавливает работающую функцию
Ctrl+Z
Возвращает к виду пользователя
Tab
Обеспечивает завершение командной строки. Нажатие Tab после ввода частичного ключевого слова автоматически завершает ключевое слово, если система находит уникальное соответствие
Системные сочетания клавиш нельзя изменить; тем не менее, вы можете определить свои собственные (известные как пользовательские сочетания клавиш). Определенные пользователем сочетания клавиш могут обеспечить дополнительное удобство, но могут конфликтовать с некоторыми командами - поэтому определение таких клавиш не рекомендуется.
На самом деле поиск DNS это не то, что требует частого внимания. Но иногда приходится заботиться об этом. Например, если у вашего провайдера слабые сервера или же в вашей сети часто происходят DNS обращения, то нужно настроить локальный кэширующий DNS сервер.
Как кэширующий DNS-сервер может пригодиться?
Кэширующий DNS-сервер занимается обработкой DNS запросов, которые выполняет ваша система, затем сохраняет результаты в памяти или кэширует их. В следующий раз, когда система посылает DNS запрос для того же адреса, то локальный сервер почти мгновенно выдает результат.
Эта идея может показаться бесполезной. Подумаешь, какие-то там секунды. Но если DNS сервера провайдера тратят много времени на разрешение имени, то в результате падает скорость Интернет серфинга. Например, домашняя страница новостного канала MSNBC для корректной работы обращается более чем к 100 уникальным доменам. Даже если на запрос тратится одна десятая секунды, в итоге получается 10 секунд ожидания, что по нынешним меркам слишком много.
Локальный кэширующий DNS увеличивает скорость не только дома или в офисе, он также помогает работе серверов. Например, у вас есть почтовый сервер с анти-спам фильтром, который выполняет очень много DNS запросов. Локальный кэш намного увеличить скорость его работы.
И наконец, system-resolved поддерживает новейшие стандарты вроде DNSSEC и DNSoverTLS или DoT. Эти технологии увеличивают безопасность при работе в Интренет.
Какой локальный кэширующий сервер выбрать?
В этом руководстве будет использован сервер systemd-resolved. Эта утилита является частью набора управления системой systemd. Если в вашей системе используется systemd, а большинство дистрибутивов Linux используют это, то в системе уже установлен systemd-resolved, но не запущен. Большинство систем не используют эту утилиту.
systemd-resolved запускает небольшой локальный кэширующий DNS-сервер, который мы настроим на запуск при загрузке системы. Затем мы изменим конфигурацию всей системы так, чтобы DNS запросы шли на локальный сервер.
Как проверить используется ли systemd-resolved?
В некоторых дистрибутивах, например Ubuntu 19.04, по умолчанию используется systemd-resolved.
Если у вас уже запущен systemd-resolved, тогда не нужно что-то настраивать в системе. Но нужно проверить на корректность утилит управления сетевыми настройками, такие как NetworkManager, так как они могут игнорировать системные настройки сети.
Перед тем как перейти к следующему разделу проверьте запущен ли в вашей системе systemd-resolved:
$ resolvectl status
Если в ответ получите сообщение ниже, значит в системе не настроен systemd-resolved:
$ resolvectl status
Failed to get global data: Unit dbus-org.freedesktop.resolve1.service not found.
И наоборот, если на выходе видите что-то подобное, то systemd-resolved уже работает:
Global
LLMNR setting: yes
MulticastDNS setting: yes
DNSOverTLS setting: opportunistic
DNSSEC setting: allow-downgrade
DNSSEC supported: no
Current DNS Server: 1.1.1.1
DNS Servers: 1.1.1.1
1.0.0.1
Включение и настройка systemd-resolved
Отдельно устанавливать systemd-resolved не нужно, так как этот сервис является частью systemd. Всё что нужно сделать это запустить его и добавить в автозагрузку. Для включения данной службы введите команду ниже:
$ sudo systemctl start systemd-resolved.service
Далее нужно ввести следующую команду, чтобы добавить службу в автозапуск.
$ sudo systemctl enable systemd-resolved.service
И наконец нужно прописать DNS сервера, куда будет обращаться локальный сервер для разрешения имен. Есть много разных сервисов, но приведённые ниже самые быстрые, бесплатные и оба поддерживают DNSSEC и DoT:
Google Public DNS
8.8.8.8
8.8.4.4
Cloudflare Public DNS
1.1.1.1
1.0.0.1
Для этого откройте конфигурационный файл systemd-resolved любым текстовым редактором:
$ sudo nano /etc/systemd/resolved.conf
Отредактируйте строку, которая начинается на:
#DNS=
И пропишите одну из вышеуказанных пар. Мы используем Cloudflare Public DNS:
DNS=1.1.1.1 1.0.0.1
Сохраните изменения и перезапустите службу systemd-resolved:
$ sudo systemctl restart systemd-resolved.service
Итак, systemd-resolved уже запущен и готов для выполнения быстрых и безопасных DNS запросов, как только мы настроим систему соответствующим образом.
Настройка системы для использования systemd-resolved
Есть несколько путей настройки системы на использование локального DNS сервера. Мы рассмотрим два наиболее используемых метода. Первый – рекомендуемый метод, второй конфигурация в режиме совместимости. Разница в том, как будет обрабатываться файл /etc/resolv.conf.
В файле /etc/resolv.conf содержатся IP адреса серверов разрешения имен, которые используются программами. Программы при необходимости разрешения доменного имени обращаются к этому файлу в поисках адресов серверов разрешения имен.
Итак, первый метод конфигурации заключается в создании символьной ссылки на /run/systemd/resolve/stub-resolv.conf. В этом случае файл /etc/resolv.conf управляется службой systemd-resolved.
Это может вызвать проблемы в том случае, если другие программы пытаются управлять файлом /etc/resolv.conf. Режим совместимости оставляет /etc/resolv.conf не тронутым, позволяя программам управлять им. В этом режиме, в настройках программ, управляющих файлом /etc/resolv.conf в качестве системного сервера разрешения имен должен быть указан IP 127.0.0.53.
Конфигурация в рекомендуемом режиме
При этом режиме конфигурация проводится вручную. Сначала нужно удалить или переименоваться оригинальный файл /etc/resolv.conf. Лучше переименовать, чтобы при необходимости можно было использовать информацию в нем.
$ sudo mv /etc/resolv.conf /etc/resolv.conf.original
Затем создаем символьную ссылку:
$ sudo ln -s /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
И наконец перезапускаем службу systemd-resolved:
$ sudo systemctl restart systemd-resolved.service
Настройка в режиме совместимости
В режиме совместимости, нужно убедиться, что локальный сервер разрешения имен system-resolved запущен и используется системными службами. Откройте файл /etc/resolv.conf любым редактором:
$ sudo nano /etc/resolv.conf
Удалите все строки, которые содержать ключевое слово nameserver и добавьте одну единственную строку:
nameserver 127.0.0.53
Этот файл мажет быть изменён любой программой. Чтобы предотвратить это нужно настроить программы так, чтобы в качестве DNS они использовали адрес 127.0.0.53.
Отладка systemd-resolved
Посмотреть, как система выполняет DNS запросы после внесённых изменений сложно. Самый эффективный метод – это включить режим отладки для службы systemd-resolved, а затем просмотреть файл логов.
systemd-resolved можно перевести в режим отладки созданием специального служебного файла, в котором содержатся настройки отладки. Делается это следующей командой:
$ sudo systemctl edit systemd-resolved.service
Вставьте в файл следующие строки:
[Service]
Environment=SYSTEMD_LOG_LEVEL=debug
После этого служба systemd-resolved автоматический перезапуститься. Откройте второй терминал и просмотрите логи в journald:
$ sudo journalctl -f -u systemd-resolved
Строка, которая содержит слова “Using DNS server” показывает, какой DNS сервер используется для разрешения имён. В нашем случае это DNS сервера Cloudflare
Using DNS server 1.1.1.1 for transaction 19995.
Слова “Cache miss” в начале строки означает, что для данного домена нет закэшированной информации:
Cache miss for example.com IN SOA
И наконец слова “Positive cache” в начале строки означает, что systemd-resolved уже запрашивал информацию об этом домене и теперь ответы возвращает из кэша:
Positive cache hit for example.com IN A
Не забудьте отключить режим отладки, так как в это время создается большой файл логов. Сделать это можно командой:
$ sudo systemctl edit systemd-resolved.service
а затем удалить добавленные выше две строки.
Использование защищенных DNS запросов
systemd-resolved один из немногих DNS серверов, которые поддерживает DNSSEC и DNSoverTLS. Эта два механизма позволяют убедиться, что полученная DNS информация подлинная (DNSSEC) и он не был изменён по пути (DoT).
Эти функции легко включаются редактированием основного конфигурационного файла system-resolved:
$ sudo nano /etc/systemd/resolved.conf
Измените файл следующим образом:
DNSSEC=allow-downgrade
DNSOverTLS=opportunistic
Сохраните изменения и перезапустите службу systemd-resolved.
$ sudo systemctl restart systemd-resolved.service
Пока прописанные DNS сервера поддерживают эти две функции все DNS запросы будут защищены. DNS сервера Google и CloudFlare поддерживают эти механизмы защиты.
Заключение
Теперь ваша система будет выполнять DNS запросы быстро и эффективно даже если провайдер не работает достаточно быстро. Кроме этого, ваша цифровая жизнь лучше защищена новейшими механизмами защиты DNS запросов.
Ищете возможность анализировать сетевой трафик/отправлять его на систему записи телефонных разговоров? Изи. Коммутаторы Cisco (да и многие другие) дают возможность копировать пакеты с определенного порта или VLAN и отправлять эти данные на другой порт для последующего анализа (Wireshark, например).
Кстати, этот функционал полезен при использовании IDS (Intrusion Detection System) систем в целях безопасности. Мы уже рассказывали теоретические основы SPAN/RSPAN, поэтому, сегодняшняя статья будет посвящена практике настройке.
Про настройку SPAN
В рамках обычной SPAN сессии захват (копирование) сетевого трафика происходит с порта источника (source port) и отправляется на порт назначения (destination port). Обратите внимание на пример ниже: мы сделаем SPAN – сессию с порта fa 0/1 и отправим данные на порт fa 0/5:
Важно! SPAN – сессия может работать только в рамках одного коммутатора (одного устройства).
Конфигурация:
switch# configure terminal
switch(config)# monitor session 1 source interface fa0/1
switch(config)# monitor session 1 destination interface fa0/5
Просто, не правда ли? В рамках данной конфигурации весь трафик с порта fa 0/1 будет скопирован на порт fa 0/5.
Интереснее: пример RSPAN
Идем вперед. Более продвинутая реализация зеркалирования трафика это RSPAN (Remote SPAN). Эта фича позволяет вам зеркалировать трафик между различными устройствами (коммутаторами) по L2 через транковые порты. Копия трафика будет отправляться в удаленный VLAN между коммутаторами, пока не будет принята на коммутаторе назначения.
На самом деле, это легко. Давайте разберемся на примере: как показано на рисунке, мы хотим копировать трафик с коммутатора №1 (порт fa 0/1) и отправлять трафик на коммутатор №2 (порт fa 0/5). В примере показано прямое транковое подключение между коммутаторами по L2. Если в вашей сети имеется множество коммутаторов между устройствами источника и назначения – не проблема.
Конфигурация:
//Настройки на коммутаторе источнике
switch_source# config term
switch_source(config)# vlan 100 //Создаем Remote VLAN на первом коммутаторе (в который будем передавать данные с source порта)
switch_source(config-vlan)# remote span
switch_source(config-vlan)# exit
switch_source(config)# monitor session 10 source interface fa0/1
switch_source(config)# monitor session 10 destination remote vlan 100
//Настройки на коммутаторе получателе
switch_remote# config term
switch_remote(config)# vlan 100 //Создаем Remote VLAN на втором (удаленном) коммутаторе (в который будем передавать данные с source влана уже на порт назначения)
switch_remote(config-vlan)# remote span
switch_remote(config-vlan)# exit
switch_remote(config)# monitor session 11 source remote vlan 100
switch_remote(config)# monitor session 11 destination interface fa0/5
Таким образом, весь трафик с интерфейса fa 0/1 на локальном коммутаторе (источнике) будет отправлен в vlan 100, и, когда коммутатор получатель (remote) получит данные на 100 VLAN он отправит их на порт назначения fa 0/5. Такие дела.
Party Hard: разбираемся с ERSPAN
ERSPAN (Encapsulated Remote Switched Port Analyzer) - фича, которая используется для копирование трафика в L3 сетях. В основе работы механизма лежит GRE инкапсуляция.
Как показано ниже, между коммутатором источником и коммутатором получателем устанавливается GRE – туннель (между IP – адресами машин). Опять же, мы хотим отправить трафик с порт fa 0/1 на порт fa 0/5.
Конфигурация:
//Настройки на коммутаторе источнике
switch_source(config)# monitor session 1 type erspan-source
switch_source(config-mon-erspan-src)# source interface fa0/1
switch_source(config-mon-erspan-src)# destination
switch_source(config-mon-erspan-src-dst)# erspan-id 111 //Это значение должно быть одинаковым на всех устройствах
switch_source(config-mon-erspan-src-dst)# ip address 192.168.1.5 //IP - адрес коммутатора получателя
switch_source(config-mon-erspan-src-dst)# origin ip address 192.168.2.5 //IP - адрес коммутатора отправителя (источника)
//Настройки на коммутаторе получателе
switch_remote(config)# monitor session 1 type erspan-destination
switch_remote(config-mon-erspan-dst)# destination interface fa0/5
switch_remote(config-mon-erspan-dst)# source
switch_remote(config-mon-erspan-dst-src)# erspan-id 111
switch_remote(config-mon-erspan-dst-src)# ip address 192.168.1.5 //IP - адрес коммутатора получателя (назначения)
Траблшутинг
Мониторинг трафика в указанном VLAN:
monitor session 1 source vlan 13
Мониторинг входящего или только исходящего трафика:
monitor session 1 source vlan 13 rx/tx
Посмотреть конфигурацию сессии зеркалирования:
show monitor session 1