Используем GNS3 для связи с реальными и виртуальными машинами VirtualBox. Виртуальный межсетевой экран Cisco ASAv: возможности, развертывание и настройка Развертывание ASAv с помощью веб-клиента VMware vSphere

Друзья, мы рады сообщить о том, что мы начинаем публиковать статьи наших читателей.
Сегодня материал от гостя нашего подкаста Александра aka Sinister .

============================
Специально для проекта linkmeup

Существует достаточно большое количество симуляторов и эмуляторов для оборудования Cisco Systems.
В этом небольшом обзоре я постараюсь показать все существующие инструменты, которые решают эту задачу.
Информация будет полезна тем, кто изучает сетевые технологии, готовится сдавать экзамены Cisco, собирает рэки для траблшутинга или исследует вопросы безопасности.

Вначале немного терминологии.
Симуляторы - имитируют некий набор команд, он вшит и стоит только выйти за рамки, сразу получим сообщение об ошибке. Классический пример - Cisco Packet Tracer.
Эмуляторы же напротив - позволяют проигрывать (выполняя байт трансляцию) образы (прошивки) реальных устройств, зачастую без видимых ограничений. В качестве примера - GNS3/Dynamips.


Первым рассмотрим Cisco Packet Tracer.

Cisco Packet Tracer


Этот симулятор доступен как под Windows, так и для Linux, бесплатно для учащихся Сетевой Академии Cisco.
В 6й версии появились такие вещи как:

  • IOS 15
  • Модули HWIC-2T и HWIC-8A
  • 3 новых устройства (Cisco 1941, Cisco 2901, Cisco 2911)
  • Поддержка HSRP
  • IPv6 в настройках конечных устройств (десктопы)
Ощущение такое, что новый выпуск был как раз приурочен к обновлению экзамена CCNA до версии 2.0.

Его плюсы - дружественность и логичность интерфейса. Кроме этого в нем удобно проверять работу разных сетевых сервисов, вроде DHCP/DNS/HTTP/SMTP/POP3 и NTP.
И одна из самых интересных фич - это возможность перейти в режим simulation и увидеть перемещения пакетов с замедлением времени.
Мне это напомнило ту самую Матрицу.

Минусы:

  • Практически всё, что выходит за рамки CCNA, на нем собрать не получится. К примеру, EEM отсутствует напрочь.
  • Так же иногда могут проявляться разнообразные глюки, которые лечатся только перезапуском программы. Особенно этим славится протокол STP.
Что имеем в итоге?
- Неплохой инструмент для тех кто только начал свое знакомство с оборудованием компании Cisco.

GNS3

Следующий - GNS3, который представляет собой графический интерфейс (на Qt) для эмулятора dynamips.

Свободный проект, доступен под Linux, Windows и Mac OS X.
Сайт проекта GNS - www.gns3.net/
Но большинство его функций, призванных улучшить производительность, работают только под Linux (ghost IOS, который срабатывает в случае использования множества одинаковых прошивок), 64 битная версия так же только для Linux.
Текущая версия GNS на данный момент - 0.8.5
Это эмулятор, который работает с настоящими прошивками IOS. Для того чтобы им пользоваться, у вас должны быть прошивки. Скажем, вы купили маршрутизатор Cisco, с него можно их и вытащить.
К нему можно подключать виртуальные машины VirtualBox или VMware Workstation и создавать достаточно сложные схемы, при желании можно пойти дальше и выпустить его в реальную сеть.
Кроме того, Dynamips умеет эмулировать как старые Cisco PIX, так и небезызвестную Cisco ASA, причем даже версии 8.4.

Но при всем этом есть масса недостатков.

  • Количество платформ строго ограничено: запустить можно только те шасси, которые предусмотрены разработчиками dynamips.
  • Запустить ios 15 версии возможно только на платформе 7200.
  • Невозможно полноценно использовать коммутаторы Catalyst, это связано с тем что на них используется большое количество специфических интегральных схем, которые соответственно крайне сложно эмулировать. Остается использовать сетевые модули (NM) для маршутизаторов.
  • При использовании большого количества устройств гарантированно будет наблюдаться проседание производительности.
Что имеем в сухом остатке?
- Инструмент, в котором можно создавать достаточно сложные топологии, готовиться к экзаменам уровня CCNP, с некоторыми оговорками.

Boson NetSim

Пару слов о симуляторе Boson NetSim, который недавно обновился до 9й версии.

Выпускается только под Windows, цена колеблется от 179$ за CCNA и до 349$ за CCNP.
Представляет собой некий сборник лабораторных работ, сгруппированный по темам экзамена.
Как можно наблюдать по скриншотам, интерфейс состоит из нескольких секций: описание задачи, карта сети, в левой части находится список всех лаб.
Закончив работу, можно проверить результат и узнать все ли было сделано.
Есть возможность создания собственных топологий, с некоторыми ограничениями.

Cisco CSR

Теперь рассмотрим достаточно свежий Cisco CSR.
Относительно недавно появился виртуальный Cisco Cloud Service Router 1000V.

Отлично подойдет для всех, кто готовится сдавать трек Data Center.
Имеет некоторую особенность – после включения начинается процесс загрузки (как и в случае CSR тоже увидим Linux) и останавливается. Создается впечатление что все зависло, но это не так.
Подключение к этому эмулятору проводится через именованные каналы.

Именованный канал - это один из методов межпроцессного взаимодействия.
Существуют как в Unix подобных системах так и в Windows.

Для подключения достаточно открыть к примеру putty, выбрать тип подключения serial и указать \\.\pipe\vmwaredebug .

Используя GNS3 и QEMU (легкий эмулятор ОС, который идет в комплекте с GNS3 под Windows), можно собирать топологии, в которых будут задействованы коммутаторы Nexus. И опять же можно выпустить этот виртуальный коммутатор в реальную сеть.

Cisco IOU

Ну и наконец знаменитый Cisco IOU (Cisco IOS on UNIX) - это проприетарный софт, который официально не распространяется вообще никак.

Существует мнение, что Cisco может отследить и идентифицировать того, кто использует IOU.
При запуске происходит попытка HTTP POST запроса на сервер xml.cisco.com.
Данные, которые при этом отправляются, включают в себя hostname, логин, версию IOU и т.д.

Известно, что Cisco TAC использует именно IOU.
Эмулятор пользуется большой популярностью у тех, кто готовится к сдаче CCIE.
Изначально работал только под Solaris, но со временем был портирован и на Linux.
Состоит из двух частей - l2iou и l3iou, по названию можно догадаться, что первый эмулирует канальный уровень и коммутаторы, а второй - сетевой и маршрутизаторы.

Конфигурирование проводится путем редактирования текстовых конфигурационных файлов, но некоторое время назад для него был разработан и графический интерфейс, веб фронтенд.

Интерфейс достаточно интуитивен, с его помощью можно производить практически все действия.

Запуск вот такой топологии приводит всего лишь к 20% загрузке CPU.

К слову, это топология для подготовки к сдаче CCIE.

Для того чтобы подключиться к любому устройству на схеме, достаточно просто кликнуть на нем и сразу же откроется putty.

Возможности IOU действительно очень большие.
Хотя и не без недостатков, некоторые проблемы на канальном уровне все же имеются.
В некоторых, к примеру, невозможно жестко выставить дуплекс, но это всё мелочи - весь основной функционал работает, и работает отлично.

Автором веб интерфейса является Andrea Dainese.
Его сайт: www.routereflector.com/cisco/cisco-iou-web-interface/
На самом сайте нет ни IOU ни каких-либо прошивок, более того автор заявляет, что веб интерфейс был создан для людей которые имеют право на использование IOU.

И небольшие итоги напоследок

Как оказалось, на данный момент существует достаточно широкий спектр эмуляторов и симуляторов оборудования компании Cisco.
Это позволяет практически полноценно готовиться к экзаменам различных треков (классического R/S, Service Provider и даже Data Center).
Приложив определенные усилия можно собирать и тестировать разнообразнейшие топологии, проводить исследования уязвимостей и при необходимости выпускать эмулируемое оборудование в реальную сеть.

(Мост Бэй Бридж, соединяющий Сан-Франциско с Трежер-Айленд, был превращен в самую большую в мире световую скульптуру. При этом были использованы коммутаторы Cisco.)

===========================

Дополнения от eucariot.

Хотелось бы сказать о симуляторе оборудования Huawei.

eNSP

Enterprise Network Simulation Platform симулирует маршрутизаторы уровня Enterprize, коммутаторы и конечное оборудование. По сути, ближе к Cisco Packet Tracer, имеет понятный графический интерфейс, является именно симулятором.

Распространяется совершенно бесплатно - достаточно зарегистроваться на сайте.

Реализует огромное количество функций реального оборудования, по сути, только довольно специфические вещи нельзя реализовать. Доступны MSTP, RRPP, SEP, BFD, VRRP, различные IGP, GRE, BGP, MPLS, L3VPN.
Можно запускать мультикаст, то есть вы выбираете видеофайл на сервере и через настроенную сеть на клиенте можно смотреть видео (это мы обязательно используем в выпуске СДСМ о мультикасте).

Можно отлавливать пакеты вайршарком.

Не очень много с ним работал, но глюков не обнаружено, загрузка процессора вполне допустимая.

А также, поговаривают , что существует специальный супермощный эмулятор Huawei, в полной мере реализующий все возможности high-end маршрутизаторов, которым пользуется Huawei TAC, но всем известно, что это лишь слухи.

Ни для кого не секрет, что для построения собственной вычислительной инфраструктуры ранее приходилось прибегать к использованию специализированного оборудования, предназначенного для самых разных целей, и тратить лишнюю копейку либо на его приобретение, либо на аренду. И это только начало эпопеи, ведь дальше вся ответственность управления инфраструктурой ложилась на плечи самой компании.

С появлением технологий виртуализации и растущими требованиями к производительности, доступности и надежности вычислительных систем бизнес все чаще и чаще стал делать выбор в пользу облачных решений и виртуальных площадок надежных IaaS-провайдеров. И это вполне объяснимо: у многих организаций повышаются требования, большинство из них хотят видеть гибкие решения, развернутые максимально быстро, и не иметь при этом никаких проблем по части управления инфраструктурой.

Такой подход на сегодняшний день не является чем-то новым, наоборот, становится все более и более привычной тактикой эффективного управления предприятием/инфраструктурой.

Перераспределение и перенос большинства рабочих нагрузок с физических площадок на виртуальные в том числе обуславливает необходимость проработки вопросов реализации безопасности. Безопасность - как с физической точки зрения, так и с точки зрения виртуальной - должна быть всегда на высоте. Безусловно, на рынке ИТ существует немало решений, призванных обеспечивать и гарантировать высокий уровень защиты виртуальных сред.

Остановимся более подробно на относительно недавно анонсированном виртуальном межсетевом экране Cisco ASAv , который пришел на смену облачному фаерволу Cisco ASA 1000v. Компания Cisco на своем официальномсайте сообщает о прекращении продажи и поддержки Cisco ASA 1000v, представив в замену флагманское средство защиты облачных, виртуальных инфраструктур в лице продукта Cisco ASAv.

Вообще стоит отметить, что за последние годы Cisco усилила активность в сегменте виртуализации, дополнив линейку аппаратных решений виртуализированными продуктами. Появление Cisco ASAv - очередное подтверждение этому.

Cisco ASAv (The Cisco Adaptive Security Virtual Appliance) , как было озвучено ранее, представляет собой виртуальный межсетевой экран. Ориентирован на работу в виртуальном окружении и обладает основными функциональными возможностями «железной» Cisco ASA, за исключением многоконтекстового режима и кластеризации.

Обзор Cisco ASAv

Cisco ASAv обеспечивает функциональность межсетевого экрана, выполняя защиту данных в дата-центрах и облачных окружениях. Cisco ASAv представляет собой виртуальную машину, которая может быть запущена на различных гипервизорах, включая VMware ESXi, взаимодействуя с виртуальными «свичами» для обработки трафика. Виртуальный брандмауэр может работать с различными виртуальными коммутаторами, включая Cisco Nexus 1000v, VMware dvSwitch и vSwitch. Cisco ASAv поддерживает реализацию Site-to-Site VPN, VPN удаленного доступа, а также организацию бесклиентного удаленного доступа VPN, как и на физических устройствах Cisco ASA.

Рисунок 1. Архитектура Cisco ASAv

Cisco ASAv использует лицензирование Cisco Smart Licensing, что в значительной степени упрощает развертывание, управление и отслеживание виртуальных экземпляров Cisco ASAv, используемых на стороне заказчиков.

Ключевые особенности и преимущества Cisco ASAv

  • Единый междоменный уровень безопасности

Cisco ASAv обеспечивает единый уровень безопасности между физическими и виртуальными площадками с возможностью использования нескольких гипервизоров. В контексте построения ИТ-инфраструктуры клиенты зачастую используют гибридную модель, когда часть приложений заточена под физическую инфраструктуру компании, а другая - под виртуальную площадку с несколькими гипервизорами. Cisco ASAv использует консолидированные опции развертывания, при которых единая политика безопасности может применяться как для физических, так и для виртуальных устройств.

  • Простота управления

Cisco ASAv использует программный интерфейс передачи репрезентативного состояния (Representational State Transfer, REST API) на основе обычного HTTP-интерфейса, который дает возможность управлять самим устройством, а также изменять политики безопасности и мониторить статусы состояний.

  • Легкость развертывания

Cisco ASAv с заданной конфигурацией может быть развернута за очень короткий промежуток времени.

Cisco ASAv представляет семейство продуктов, доступных в следующих моделях:

Рисунок 2. Семейство продуктов Cisco ASAv

Спецификация Cisco ASAv

Cisco ASAv5 Cisco ASAv10 Cisco ASAv30
Пропускная способность с контролем состояния соединений (Maximum) 100 Мбит/с 1 Гбит/с 2 Гбит/с
Пропускная способность с контролем состояния соединений (Multiprotocol) 50 Мбит/с 500 Мбит/с 1 Гбит/с
Пропускная способность с VPN (3DES/AES) 30 Мбит/с 125 Мбит/с 300 Мбит/с
Количество подключений в секунду 8 000 20 000 60 000
Количество одновременных сеансов 50 000 100 000 500 000
Количество виртуальных локальных сетей (VLAN) 25 50 200
Количество пользовательских сеансов VPN между узлами сети и с клиентом IPsec 50 250 750
Количество пользовательских сеансов VPN AnyConnect или доступа без клиентской программы 50 250 750
Количество пользователей системы защиты облаков от интернет-угроз Cisco Cloud Web Security 250 1 000 5 000
Поддержка высокой доступности Active/standby Active/standby Active/standby
Поддержка гипервизоров VMware ESX/ESXi 5.X, KVM 1.0 VMware ESX/ESXi 5.X, KVM 1.0 VMware ESX/ESXi 5.X, KVM 1.0
Количество vCPU 1 1 4
Память 2 Гб 2 Гб 8 Гб
HDD 8 Гб 8 Гб 16 Гб

Функциональность VMware, поддерживаемая в ASAv

Функциональность Описание Поддержка (Да/Нет)
Холодное клонирование Виртуальные машины выключаются в ходе клонирования Да
DRS Используется для динамического планирования ресурсов и распределенного управления мощностями Да
Hot add Виртуальные машины остаются запущенными в ходе добавления дополнительных ресурсов Да
Hot clone (горячее клонирование) В процессе клонирования виртуальные машины остаются запущенными Нет
Hot removal (горячее удаление) В процессе удаления ресурсов виртуальные машины остаются запущенными Да
Снимки Виртуальные машины приостанавливаются на несколько секунд Да
Приостановка и возобновление Виртуальные машины приостанавливаются, а затем возобновляют свою работу Да
vCloud Director Позволяет автоматическое развертывание виртуальных машин Нет
Миграция виртуальных машин Виртуальные машины выключаются в процессе миграции Да
vMotion Используется «живая» миграция виртуальных машин Да
VMware FT (технология непрерывной доступности) Используется для высокой доступности виртуальных машин Нет
VMware HA Минимизирует потери от сбоев физического оборудования и перезапускает виртуальные машины на другом хосте в кластере в случае сбоя Да
VMware vSphere Standalone Windows Client Да
VMware vSphere Web Client Используется для развертывания виртуальных машин Да

Развертывание ASAv с помощью веб-клиента VMware vSphere

Если вы решили развернуть ASAv на удаленной площадке IaaS-провайдера либо на любой другой виртуализированной площадке, во избежание неожиданных и нерабочих моментов сразу стоит обратить внимание на дополнительные требования и ограничения:

  • Развертывание ASAv из файла ova не поддерживает локализацию. Необходимо убедиться, что VMware vCenter и LDAP сервера в вашем окружении используют режим совместимости ASCII.
  • До установки ASAv и использования консоли виртуальных машин необходимо задать предопределенную раскладку клавиатуры (United States English).

Для установки ASAv можно воспользоваться веб-клиентом VMware vSphere. Для этого необходимо выполнить подключение с помощью предопределенной ссылки в формате . По умолчанию используется порт 9443, но в зависимости от специфики настройки значение может отличаться.

  • При первоначальном обращении к веб-клиенту VMware vSphere необходимо выполнить установку плагина (Client Integration Plug-in), который доступен для скачивания непосредственно из окна аутентификации.
  • После успешной установки следует переподключиться к веб-клиенту VMware vSphere и выполнить вход, введя логин и пароль.
  • Перед началом установки Cisco ASAv необходимо скачать ASAv OVA файл с сайта http://cisco.com/go/asa-software , а также убедиться в наличии как минимум одного сконфигурированного сетевого интерфейса vSphere.
  • В окне навигации веб-клиента VMware vSphere необходимо переключиться в панель vCenter и перейти в Hosts and Clusters . Кликая по дата-центру, кластеру или хосту, в зависимости от того, куда вы решили установить Cisco ASAv, выбрать опцию развертывания шаблона OVF (Deploy OVF Template ).

Рисунок 3. Развертывание OVF шаблона ASAv

  • В окне мастера развертывания шаблона OVF в секции Source необходимо выбрать установочный OVA файл Cisco ASAv. Обратите внимание, что в окне обзора деталей (Review Details ) выводится информация о пакете ASAv.

Рисунок 4. Обзор деталей установки ASAv

  • Приняв лицензионное соглашение на странице Accept EULA , переходим к определению имени экземпляра Cisco ASAv и местоположения файлов виртуальной машины.
  • В коне выбора конфигурации (Select configuration ) нужно использовать следующие значения:
    • Для Standalone-конфигурации выбрать 1 (или 2, 3, 4) vCPU Standalone.
    • Для Failover-конфигурации выбрать 1 (или 2, 3, 4) vCPU HA Primary.
  • В окне выбора хранилища (Select Storage ) определить формат виртуального диска, для экономии места полезным будет выбор опции Thin provision . Также необходимо выбрать хранилище, в котором будет запускаться ASAv.

Рисунок 5. Окно выбора хранилища

  • В окне конфигурации сети (Setup network ) выбирается сетевой интерфейс, который будет использоваться при работе ASAv. Обратите внимание: список сетевых интерфейсов задается не в алфавитном порядке, что порой вызывает сложности в нахождении нужного элемента.

Рисунок 6. Окно конфигурации сетевых параметров

При развертывании экземпляра ASAv с помощью диалогового окна редактирования настроек сети можно вносить изменения в сетевые параметры. На рисунке 7 показан пример соответствия идентификаторов сетевых адаптеров (Network Adapter ID) и идентификаторов сетевых интерфейсов ASAv (ASAv Interface ID).

Рисунок 7. Соответствие сетевых адаптеров и интерфейсов ASAv

  • Нет необходимости использовать все интерфейсы ASAv, однако веб-клиент vSphere требует назначения сетей всем интерфейсам. Интерфейсы, которые не планируется задействовать, необходимо перевести в состояниеDisabled (отключены) в настройках ASAv. После развертывания ASAv в веб-консоли vSphere можно удалить лишние интерфейсы, используя диалоговое окно редактирования настроек (Edit Settings ).
  • В окне кастомизации шаблона (Customize template ) необходимо выставить ряд ключевых настроек, включая конфигурацию параметров IP-адреса, маски подсети и шлюза по умолчанию. Аналогично следует задать IP-адрес клиента, разрешенный для ASDM-доступа, и, если требуется отдельный шлюз для связи с клиентом, задать его IP-адрес.

Рисунок 8. Окно кастомизации шаблона

  • Кроме того, в опции «Тип развертывания» (Type of deployment ) следует выбрать тип установки ASAv из трех возможных вариантов: Standalone, HA Primary, HA Secondary.

Рисунок 9. Выбор соответствующего типа установки ASAv

В окне готовности к завершению (Ready to complete ) отображается суммарная информация конфигурации Cisco ASAv. Активация опции запуска после развертывания (Power on after deployment ) позволит запустить виртуальную машину по завершении работы мастера.

  • За процессом развертывания OVF-шаблона ASAv и статусом выполненных задач можно следить в консоли задач (Task Console ).

Рисунок 10. Статус развертывания OVF-шаблона

  • Если виртуальная машина ASAv еще не запущена, необходимо выполнить ее старт, используя опцию запуска (Power on the virtual machine ). При первом запуске ASAv происходит считывание параметров, заданных в файле OVA, и конфигурация системных значений на его основе.

Рисунок 11. Запуск виртуальной машины ASAv

Подводя итоги по установке ASAv, не можем не отметить приятный факт, что весь процесс - от скачивания пакета, развертывания и запуска - занимает не более 15-20 минут. При этом последующие настройки, например такие как VPN, характеризуются незначительными временными затратами, тогда как при настройке физической ASA потребовалось бы гораздо больше времени. Cisco ASAv можно разворачивать и удаленно, обеспечивая гибкость и удобство процесса для компаний, использующих удаленные площадки.

От установки к управлению ASAv

Для управления ASAv можно воспользоваться старым добрым инструментом ASDM (Adaptive Security Device Manager), который представляет собой удобное решение с графическим пользовательским интерфейсом. В процессе развертывания ASAv задается доступ к ASDM, с помощью которого в дальнейшем можно выполнять различные настройки, мониторинг и устранение неисправностей. С клиентской машины, IP-адрес которой указывался в процессе развертывания, в дальнейшем и происходит подключение. Для доступа к ASDM используется веб-браузер c указанием значения IP-адреса ASAv.

Запуск ASDM

На машине, определенной в качестве клиента ASDM, необходимо запустить браузер и указать значения ASAv в формате https://asav_ip_address/admin , в результате чего появится окно со следующими опциями:

  • установить ASDM Launcher и запустить ASDM;
  • запустить ASDM;
  • стартовать мастер запуска.

Рисунок 12. Пример запуска инструмента ASDM

Установить ASDM Launcher и запустить ASDM

Для запуска установщика выбираем «Установить ASDM Launcher и запустить ASDM». В полях «имя пользователя» и «пароль» (в случае новой установки) можно не задавать значения и нажать «ОК». Без настроенной HTTPS-аутентификации доступ к ASDM происходит без указания верительных данных. В случае, если включена HTTPS-аутентификация, необходимо указать логин и пароль.

  • Сохраните установщик локально и начните установку. По завершении установки ASDM-IDM Launcher запустится автоматически.
  • Введите IP-адрес ASAv и нажмите «ОК».

Запустить ASDM

Также можно использовать Java Web Start для запуска ASDM напрямую, без выполнения установки. Выбираем опцию «Запустить ASDM», после чего откроется окно ASDM-IDM Launcher.

Рисунок 13. Подключение к ASAv с использованием ASDM-IDM Launcher

Стартовать мастер запуска

При выборе опции «Стартовать мастер запуска» (Run Startup Wizard) вы можете задать следующие параметры конфигурации ASAv

  • Hostname (Имя хоста)
  • Domain name (Доменное имя)
  • Administrative password (Пароль администратора)
  • Interfaces (Интерфейсы)
  • IP addresses (IP-адреса)
  • Static routes (Статические маршруты)
  • DHCP server (DHCP-сервер)
  • NAT rules (Правила NAT)
  • and more (и другие настройки…)

Использование консоли VMware vSphere

Для выполнения начальной конфигурации, устранения неисправностей, доступа к интерфейсу командной строки (CLI) можно воспользоваться консолью ASAv, доступной из веб-клиента VMware vSphere.

Важно! Для работы с консолью ASAv необходимо установить плагин (Client Integration Plug-In).

До тех пор, пока не установлена лицензия, будет наблюдаться ограничение пропускной способности в 100 кбит. В продакшен-среде для полноценной функциональности требуется наличие лицензии. Информация о лицензии отображается в консоли ASAv.

Рисунок 15. Пример отображения информации о лицензии

Подключаясь к консоли ASAv, можно работать в нескольких режимах.

Привилегированный режим

  • Параметр ciscoasa> в окне консоли свидетельствует о работе в режиме EXEC, в котором доступны только базовые команды. Для переключения в привилегированный режим EXEC необходимо запустить командуciscoasa> enable , после чего потребуется ввести пароль (Password), если пароль был задан, если же нет - нажать Enter.
  • Вывод значения ciscoasa# в окне консоли свидетельствует о переключении в привилегированный режим. В нем возможно использование неконфигурационных команд. Для выполнения конфигурационных команд необходимо переключиться в режим конфигурации. Переключиться в него также можно из привилегированного режима.
  • Для выхода из привилегированного режима используются команды disable , exit или quit.

Глобальный режим конфигурации

  • Для переключения в глобальный режим конфигурации используют команду:

ciscoasa# configure terminal

  • При успешном переключении в режим конфигурации отображается индикатор готовности глобального режима конфигурации, который выглядит следующим образом:

ciscoasa (config)#

  • Для вызова списка всех возможных команд следует обратиться к справке:

ciscoasa (config)# help ?

После чего выводится список всех доступных команд в алфавитном порядке, как показано на рисунке 16.

Рисунок 16. Пример отображения команд в глобальном режиме конфигурации

  • Для выхода из глобального режима конфигурации используются команды exit, quit или end .

Как вы знаете, иногда на блоге публикуются статьи наших хороших знакомых.

Сегодня Евгений расскажет нам о виртуализации маршрутизатора Cisco.

Имеется классическая схема организации сети: уровень доступа (SW1, SW2, SW3), уровень распределения (R1) и присоединение к глобальной сети (R2). На маршрутизаторе R2 организован сбор статистики и настроен NAT. Между R2 и R3 установлен аппаратный брандмауэр с функциями фильтрации трафика и маршрутизации (схема 1)

Не так давно была поставлена задача по миграции всей сети на альтернативный шлюз (R4). Новый шлюз обладает кластерным функционалом и способен горизонтально масштабироваться за счет увеличения количества нод кластера. Согласно плану введения в эксплуатацию, требовалось, чтобы в определенный период времени в сети было одновременно два шлюза – старый (R2) – для всех клиентских сетей, и новый (R4) – для сетей, участвующих в тестировании нового шлюза (схема 2).

Попытки реализовать PBR (Policy-based routing) на внутреннем маршрутизаторе (R1) не увенчались успехом – трафик зацикливался. Руководство на просьбы дополнительного оборудования ответило отказом. Время шло, маршрутизатора не было, задача буксовала…

И тут на глаза попалась статья из Интернета, которая рассказывала об изоляции таблиц маршрутизации на маршрутизаторах Cisco.

Я решил получить дополнительный маршрутизатор с независимой таблицей маршрутизации на базе существующего оборудования. Для решения задачи был составлен новый проект (Схема 3), подразумевающий наличие дополнительного маршрутизатора с возможностью PBR.

Соединительная сеть между R1 и R5:

Сеть: 172.16.200.0 /30

Интерфейс на R1: 172.16.200.2 /30

Интерфейс на R5: 172.16.200.1 /30

VLANID: 100 – старый маршрутизатор

VLANID: 101 – новый маршрутизатор

Замечание: в качестве R5 используется виртуальный маршрутизатор, созданный на базе R3 (Cisco IOS Software, C2900 Software (C2900-UNIVERSALK9_NPE-M), Version 15.0(1)M1, RELEASE SOFTWARE (fc1)).

Маршрутизатор R3 оснащен тремя гигабитными портами Ethernet, интерфейс Gi0/0 – используется для внутренней маршрутизации, Gi0/1 – для подключения к аппаратному файерволу, а Gi0/2 – для подключения к внешнему провайдеру.

Перейдем к настройке маршрутизатора R5.

Переходим в режим конфигурирования:
R3(config)#ip vrf zone1
этой командой на маршрутизаторе создается изолированная таблица маршрутизации. Название zone1 выбирается администратором самостоятельно. Так же можно назначить идентификатор и описание. Более подробно можно прочитать в документации. По завершению возвращаемся в режим конфигурирования с помощью команды exit .

Настраиваем сетевые интерфейсы:
R3(config)#interface GigabitEthernet0/0.100

R3(config-subif)#encapsulation dot1Q 100
R3(config-subif)#ip address 172.16.100.2 255.255.255.252
R3(config-subif)#exit
R3(config)#interface GigabitEthernet0/0.101
R3(config-subif)#ip vrf forwarding zone1
R3(config-subif)#encapsulation dot1Q 101
R3(config-subif)#ip address 172.16.100.6 255.255.255.252
R3(config-subif)#exit
R3(config)#interface GigabitEthernet0/0.1000
R3(config-subif)#ip vrf forwarding zone1
R3(config-subif)#encapsulation dot1Q 1000
R3(config-subif)#ip address 172.16.200.1 255.255.255.252
R3(config-subif)#exit
Сейчас необходимо настроить PBR. Для этого составим ACL, руководствуясь следующим правилом: все, кто попадает в ACL – маршрутизируются через старый шлюз, а остальные – через новый.
R3(config)#access-list 101 deny ip host 192.168.3.24 any
R3(config)#access-list 101 deny ip host 192.168.3.25 any
R3(config)#access-list 101 deny ip host 192.168.3.26 any
R3(config)#access-list 101 permit ip any any
Создаем Route-Map:
R3(config)#route-map gw1 permit 50
R3(config-route-map)#match ip address 101
R3(config-route-map)#set ip vrf zone1 next-hop 172.16.100.1
R3(config-route-map)#exit
И применяем его на интерфейс:
R3(config)#interface GigabitEthernet0/0.1000
R3(config-subif)#ip policy route-map gw1
R3(config-subif)#exit
Добавляем маршрут по умолчанию в таблицу маршрутизации zone1 :
R3(config)#ip route vrf zone1 0.0.0.0 0.0.0.0 GigabitEthernet0/0.101 172.16.100.5
и проверяем таблицу маршрутизации для zone1
R3#show ip route vrf zone1
Routing Table: zone1
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is 172.16.100.5 to network 0.0.0.0

S* 0.0.0.0/0 via 172.16.100.5, GigabitEthernet0/0.101
172.16.0.0/16 is variably subnetted, 6 subnets, 2 masks
C 172.16.100.0/30 is directly connected, GigabitEthernet0/0.100
L 172.16.100.2/32 is directly connected, GigabitEthernet0/0.100
C 172.16.100.4/30 is directly connected, GigabitEthernet0/0.101
L 172.16.100.6/32 is directly connected, GigabitEthernet0/0.101
C 172.16.200.0/30 is directly connected, GigabitEthernet0/0.1000
L 172.16.200.1/32 is directly connected, GigabitEthernet0/0.1000
Задача по разделению трафика клиентских сетей на разные шлюзы решена. Из минусов принятого решения хотелось бы отметить увеличение нагрузки на аппаратную часть маршрутизатора и ослабление безопасности, так как маршрутизатор, подключенный к глобальной сети, имеет прямое подключение к локальной сети в обход аппаратного брандмауэра.

Всем привет.

В свое время пришлось заниматься Cisco. Не долго, но все таки. Все что связано с Cisco сейчас мега популярно. Я в свое время имел отношение к открытию локальной академии Cisco в местном университете. Год назад был на курсах " ". Но не всегда у нас есть доступ к самому оборудованию, особенно во время учебы. На выручку приходят эмуляторы. Есть таковые и для Cisco. Я начинал с Boson NetSim, а студенты почти поголовно сейчас сидят на Cisco Packet Tracer. Но тем не менее этими двумя видами набор симуляторов не ограничивается.

Некоторое время назад мы в своём цикле «Сети для самых маленьких» перешли на эмулятор GNS3, который лучше удовлетворял нашим потребностям, чем Cisco Packet Tracer.

Но какие вообще у нас есть альтернативы? О них расскажет Александр aka Sinister, у которого пока нет аккаунта на хабре.

Существует достаточно большое количество симуляторов и эмуляторов для оборудования Cisco Systems. В этом небольшом обзоре я постараюсь показать все существующие инструменты, которые решают эту задачу. Информация будет полезна тем, кто изучает сетевые технологии, готовится сдавать экзамены Cisco, собирает рэки для траблшутинга или исследует вопросы безопасности.

Немного терминологии.

Симуляторы — имитируют некий набор команд, он вшит и стоит только выйти за рамки, сразу получим сообщение об ошибке. Классический пример — Cisco Packet Tracer.

Эмуляторы же напротив — позволяют проигрывать (выполняя байт трансляцию) образы (прошивки) реальных устройств, зачастую без видимых ограничений. В качестве примера — GNS3/Dynamips.

Первым рассмотрим Cisco Packet Tracer.

1. Cisco Packet Tracer


Этот симулятор доступен как под Windows, так и для Linux, бесплатно для учащихся Сетевой Академии Cisco.

В 6-й версии появились такие вещи как:

  • IOS 15
  • Модули HWIC-2T и HWIC-8A
  • 3 новых устройства (Cisco 1941, Cisco 2901, Cisco 2911)
  • Поддержка HSRP
  • IPv6 в настройках конечных устройств (десктопы).

Ощущение такое, что новый выпуск был как раз приурочен к обновлению экзамена CCNA до версии 2.0.

Его плюсы — дружественность и логичность интерфейса. Кроме этого в нем удобно проверять работу разных сетевых сервисов, вроде DHCP/DNS/HTTP/SMTP/POP3 и NTP.

И одна из самых интересных фич — это возможность перейти в режим simulation и увидеть перемещения пакетов с замедлением времени.

Мне это напомнило ту самую Матрицу.

  • Практически всё, что выходит за рамки CCNA, на нем собрать не получится. К примеру, EEM отсутствует напрочь.
  • Так же иногда могут проявляться разнообразные глюки, которые лечатся только перезапуском программы. Особенно этим славится протокол STP.

Что имеем в итоге?

Неплохой инструмент для тех кто только начал свое знакомство с оборудованием компании Cisco.

Следующий — GNS3, который представляет собой графический интерфейс (на Qt) для эмулятора dynamips.

Свободный проект, доступен под Linux, Windows и Mac OS X. Сайт проекта GNS — www.gns3.net. Но большинство его функций, призванных улучшить производительность, работают только под Linux (ghost IOS, который срабатывает в случае использования множества одинаковых прошивок), 64 битная версия так же только для Linux. Текущая версия GNS на данный момент — 0.8.5. Это эмулятор, который работает с настоящими прошивками IOS. Для того чтобы им пользоваться, у вас должны быть прошивки. Скажем, вы купили маршрутизатор Cisco, с него можно их и вытащить. К нему можно подключать виртуальные машины VirtualBox или VMware Workstation и создавать достаточно сложные схемы, при желании можно пойти дальше и выпустить его в реальную сеть. Кроме того, Dynamips умеет эмулировать как старые Cisco PIX, так и небезызвестную Cisco ASA, причем даже версии 8.4.

Но при всем этом есть масса недостатков.

Количество платформ строго ограничено: запустить можно только те шасси, которые предусмотрены разработчиками dynamips. Запустить ios 15 версии возможно только на платформе 7200. Невозможно полноценно использовать коммутаторы Catalyst, это связано с тем что на них используется большое количество специфических интегральных схем, которые соответственно крайне сложно эмулировать. Остается использовать сетевые модули (NM) для маршрутизаторов. При использовании большого количества устройств гарантированно будет наблюдаться проседание производительности.

Что имеем в сухом остатке?

Инструмент, в котором можно создавать достаточно сложные топологии, готовиться к экзаменам уровня CCNP, с некоторыми оговорками.

3. Boson NetSim

Пару слов о симуляторе Boson NetSim, который недавно обновился до 9-й версии.

Выпускается только под Windows, цена колеблется от 179$ за CCNA и до 349$ за CCNP.

Представляет собой некий сборник лабораторных работ, сгруппированный по темам экзамена.

Как можно наблюдать по скриншотам, интерфейс состоит из нескольких секций: описание задачи, карта сети, в левой части находится список всех лаб. Закончив работу, можно проверить результат и узнать все ли было сделано. Есть возможность создания собственных топологий, с некоторыми ограничениями.

Основные фичи Boson NetSim:

  • Поддерживает 42 маршрутизатора, 6 коммутаторов и 3 других устройства
  • Симулирует сетевой трафик с помощью технологии виртуальных пакетов
  • Предоставляет два различных стиля просмотра: режим Telnet’а или режим подключения по консоли
  • Поддерживает до 200 устройств на одной топологии
  • Позволяет создавать свои собственные лаборатории
  • Включает в себя лаборатории, которые поддерживают симуляцию SDM
  • Включает в себя не-Cisco устройства, такие как TFTP Server, TACACS + и генератор пакетов (это, вероятно, те самые 3 других устройства)

Недостатки у него те же, что и в Packet Tracer.

Тем, кому не жалко определенной суммы, и при этом не хочется разбираться и создавать свои топологии, а хочется просто попрактиковаться перед экзаменом, будет очень кстати.

Официальный сайт — www.boson.com/netsim-cisco-network-simulator.

4. Cisco CSR

Теперь рассмотрим достаточно свежий Cisco CSR.

Относительно недавно появился виртуальный Cisco Cloud Service Router 1000V.

Он доступен на официальном сайте Cisco.

Чтобы скачать этот эмулятор, достаточно просто зарегистрироваться на сайте. Бесплатно. Контракт с Cisco не требуется. Это действительно событие, так как ранее Cisco всеми способами боролась с эмуляторами и рекомендовала только арендовать оборудование. Скачать можно, к примеру, OVA файл, который представляет собой виртуальную машину, судя по всему, RedHat или его производные. Виртуальная машина при каждом запуске подгружает iso образ, внутри которого можно найти CSR1000V.BIN, который и является собственно прошивкой. Ну а Linux выступает в роли враппера (wrapper) — то есть преобразователя вызовов. Некоторые требования, которые указаны на сайте - память DRAM 4096 MB Flash 8192 MB. При сегодняшних мощностях это не должно доставить проблем. CSR можно использовать в топологиях GNS3 или в связке с виртуальным коммутатором Nexus.

CSR1000v выполнен в виде виртуального маршрутизатора (примерно как Quagga, но IOS от Cisco), который крутится на гипервизоре в качестве экземпляра клиента и предоставляет сервисы обычного маршрутизатора ASR1000. Это может быть что-то простое, как базовая маршрутизация или NAT, и вплоть до таких вещей, как VPN MPLS или LISP. В итоге имеем практически полноценный провайдерский Cisco ASR 1000. Скорость работы достаточно неплохая, работает в реальном времени.

Не обошлось и без недостатков. Бесплатно можно использовать только ознакомительную лицензию, которая длится всего 60 дней. Кроме того в этом режиме пропускная способность ограничена до 10, 25 или 50 Mbps. После окончания такой лицензии скорость упадет до 2.5 Mbps. Стоимость лицензии на 1 год обойдется примерно в 1000$.

5. Cisco Nexus Titanium

Titanium – это эмулятор операционной системы коммутаторов Cisco Nexus, которая еще называется NX-OS. Nexus’ы позиционируются как коммутаторы для ЦОД-ов.

Этот эмулятор был создан непосредственно компанией Cisco, для внутреннего использования.

Образ Titanium 5.1.(2) собранный на основе VMware некоторое время назад, попал в публичный доступ. А спустя некоторое время появился и Cisco Nexus 1000V, который можно вполне легально приобрести отдельно или в составе редакции vSphere Enterprise Plus компании Vmware. Можно наблюдать на сайте — www.vmware.com/ru/products/cisco-nexus-1000V/

Отлично подойдет для всех, кто готовится сдавать трек Data Center. Имеет некоторую особенность – после включения начинается процесс загрузки (как и в случае CSR тоже увидим Linux) и останавливается. Создается впечатление что все зависло, но это не так. Подключение к этому эмулятору проводится через именованные каналы.

Именованный канал — это один из методов межпроцессного взаимодействия. Существуют как в Unix подобных системах так и в Windows. Для подключения достаточно открыть к примеру putty, выбрать тип подключения serial и указать \\.\pipe\vmwaredebug.

Используя GNS3 и QEMU (легкий эмулятор ОС, который идет в комплекте с GNS3 под Windows), можно собирать топологии, в которых будут задействованы коммутаторы Nexus. И опять же можно выпустить этот виртуальный коммутатор в реальную сеть.

6. Cisco IOU

Ну и наконец знаменитый Cisco IOU (Cisco IOS on UNIX) — это проприетарный софт, который официально не распространяется вообще никак.

Существует мнение, что Cisco может отследить и идентифицировать того, кто использует IOU.

При запуске происходит попытка HTTP POST запроса на сервер xml.cisco.com. Данные, которые при этом отправляются, включают в себя hostname, логин, версию IOU и т.д.

Известно, что Cisco TAC использует именно IOU. Эмулятор пользуется большой популярностью у тех, кто готовится к сдаче CCIE. Изначально работал только под Solaris, но со временем был портирован и на Linux. Состоит из двух частей — l2iou и l3iou, по названию можно догадаться, что первый эмулирует канальный уровень и коммутаторы, а второй — сетевой и маршрутизаторы.

Автором web-интерфейса является Andrea Dainese. Его сайт: www.routereflector.com/cisco/cisco-iou-web-interface/. На самом сайте нет ни IOU ни каких-либо прошивок, более того автор заявляет, что веб интерфейс был создан для людей которые имеют право на использование IOU.

И небольшие итоги напоследок.

Как оказалось, на данный момент существует достаточно широкий спектр эмуляторов и симуляторов оборудования компании Cisco. Это позволяет практически полноценно готовиться к экзаменам различных треков (классического R/S, Service Provider и даже Data Center). Приложив определенные усилия можно собирать и тестировать разнообразнейшие топологии, проводить исследования уязвимостей и при необходимости выпускать эмулируемое оборудование в реальную сеть.