Cisco Etherchannel konfigurieren (IOS 4506-E)

Zur redundanten Anbindung und zur Erhöhung der Ausfallsicherheit verbindet man Gerät gern mit mehr als einem Kabel sowohl in Ringstrukturen als auch zu einem anderen Gerät. Spanning Tree verhindert dabei Loops. Verbindet man z.B. 2 Core Switche mit mehreren Kabeln kann man auch einer höhere Bandbreite nutzen.

Switch 1:
# conf t
(config)#int port-channel 1
(config-if)#
(config-if) description "Channel zu Core-2"
(config-if) switchport
(config-if) switchport mode trunk
(config-if)exit
(config)#int range te1/1-2
(config-if-range)# description "10gig to Core2
(config-if-range) switchport mode trunk
(config-if-range) channel-group 1 mode desirable
(config-if-range)end

Switch 2 ist analog, also:
# conf t
(config)#int port-channel 1
(config-if)#
(config-if) description "Channel zu Core-2"
(config-if) switchport
(config-if) switchport mode trunk
(config-if)exit
(config)#int range te1/1-2
(config-if-range)# description "10gig to Core2
(config-if-range) switchport mode trunk
(config-if-range) channel-group 1 mode desirable
(config-if-range)end

Verifizieren:
#sh etherchannel summary
Flags: D - down P - bundled in port-channel
I - stand-alone s - suspended
R - Layer3 S - Layer2
U - in use f - failed to allocate aggregator

M - not in use, minimum links not met
u - unsuitable for bundling
w - waiting to be aggregated
d - default port
Number of channel-groups in use: 1
Number of aggregators: 1
Group Port-channel Protocol Ports
------+-------------+-----------+-----------------------------------------------
1 Po1(SU) PAgP Te1/1(P) Te1/2(P)

Defaultmäßig wird ein anhand von Destination Mac bzw. Destination IP im Load Balancing Algorithmus festgelegt welcher Link im Etherchannel benutzt wird. Das kann bei genutzt das kann aber bei vielen Verbindungen zwischen den selben Systemen zu einer einseitigen Nutzung des Channels kommen. mittels
port-channel load-balance src-dst-port
kann man z.B. Src und Destination Port als Kriterium wählen.

Cisco ASA Factory reset & firmware per tftp

Eigentlich sollte die ASA bei auslieferung in einem default Zustand sein, so das man z.B. über einen dhcp auf dem Management port eine Verbindung bekommen sollte – sagt Cisco.
So scheint es zumindest bei den hier geliferten 5550 nicht zu sein. aber man kann diesen Zustand durcht ein
conf t
configure factory-default

schnell wieder herstellen.

mittels
ciscoasa(config)# copy tftp flash
Address or name of remote host [192.168.1.12]? 192.168.1.2
Source filename [asdm-621.bin]?
Destination filename [asdm-621.bin]?
Accessing tftp://192.168.1.2/asdm-621.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

bzw.
ciscoasa(config)# copy tftp flash
Address or name of remote host [192.168.1.2]?
Source filename [asdm-621.bin]? asa821-k8.bin
Destination filename [asa821-k8.bin]?
Accessing tftp://192.168.1.2/asa821-k8.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

kann man über einen geeigneten tftp schnell eine aktuelle Firmware einspielen

Cisco ASA – ASDM error: Unconnected sockets not implemented

Ähnlich wie dem anderen asdm Problem gibt es noch andere schöne Fehler die beim starten des ASDMs auftreten können. In diesem Fall ASA 8.04 und ASDM 6.13, welche auf einer ASA 5550 vorinstalliert waren.
Laut diesem Blog kann man das Problem mit einer älteren Java Version oder einem neueren ASDM lösen ich habe letzteres gemacht und per tftp die asa-821 und asdm-621 installiert.

Und: die ASA 5550 kopiert deutlich fixer als z.B. eine 5520 😉 16 MB in gefühlten 5 Sekunden.. endlich mal Geschwindigkeit bei Cisco.

Cisco Accesslisten einfügen und neu nummerieren

Wer kennt das nicht: man hat seine access-list geordnet, gruppiert und mit remarks konfiguriert und stellt dann fest in der Mitte ist eine Zeile falsch, bzw. da muß noch eine Zeile hin. Die ganze ACL löschen mag man auch nicht, wer weiß ob man sich nicht selber aussperrt.

Man kann bei Cisco auch Zeilen an bestimmter Stelle einfügen/ löschen.

Wie fragt Ihr euch? Kein Problem, der Jan wird es euch schon sagen:

# sh ip access-lists
extended IP access-list 115
10 access-list 115 deny ip host 222.222.222.222 any
20 access-list 115 permit ip any any

Man beachte die schicken Zeilennummern.

#conf terminal
(config)#ip access-list extended 115
(config-ext-nacl)#15 deny ip host 111.111.111.111 any
(config-ext-nacl)#end
(config)#

Kurz kontrollieren:
#sh ip access-lists

extended IP access-list 115
10 access-list 115 deny ip host 222.222.222.222 any
15 access-list 115 deny ip host 111.111.111.111 any
20 access-list 115 permit ip any any

Woohooo es ist da..
Aber die Zeilennummerierung ist doof und was mache ich wenn ich 10 Hosts einfügen will?

Auch dafür junger Padawan gibt es eine Lösung:

(config)#ip access-list resequence 115 10 10

Dabei ist 115 die ACL, die erste 10 der Startwert und die zweite 10 die Schrittweite

HILFE ICH HAB KEINE ZEILENNUMMERN!

Hmm neuere IOS 12.4 aufwärts sollten das können, ansonsten kontrollieren ob service linenumber aktiv ist.

Cisco ASA Active Standby Failover konfigurieren

Situation ist folgende: man hat zwei Cisco ASA und möchte diese für die Ausfallsicherheit als Active/Standby Cluster konfigurieren.
Hier ist eine Möglichkeit,

Der einfachste Weg ist sicher der das ASDM zu nutzen, dafür sind ein paar vorarbeiten sinnvoll:
Per Konsole anhängen, im „initial configuration mode“ auf beiden ASAs je eine IP Adresse für das interne Interface definieren z.B. 192.168.1.1 und 192.168.1.2, asdm mittels
http server enable
http 192.168.1.0 255.255.255.0 inside

freischalten.
Dann verbindet man die ASAs mittels failover links z.B. jeweils gig 0/3
Im ASDM unter Wizards nutzt man den High Availability Wizard.
als Peer IP die Adresse der zweiten ASA: 192.168.1.2 ggf. muss man im Java Dialog dem SSL Zertifikat der zweiten ASA trauen, und schon sollte es gehen.
Als failover Link Interface nimmt man das verbundene (gig 0/3) und denkt sich dafür zwei Ips aus (192.168.133.1 und als Standby IP 192.168.133.2).

Gut zu Wissen: Die jeweils aktive Unit hat immer die Active IP, die andere immer die Standby IP.

Man gibt ein gutes (langes) Password an, das den failover link verschlüsselt und schon sollte man fertig sein.

Um die anderen Interfaces auch mit in den Failover zu nehmen muß man ihnen eine Standby IP geben:
Configuration ->Device Management -> High Availability -> Failover -> Interfaces und da bei den angelegten Interfaces die Standby Ip angeben.
Logischerweise müßen diese natürlich dann im gleichen Netz liegen – physikalisch müßen die Interface von beiden ASAs im gleichen VLAN/im Selben Netz liegen.
Das geht mit VLAN Interface ebenso.

ASDM startet nicht mit java.lang.NullPointerException Vista Business 32 Bit

Die neuen ASDMs in dem Fall 6.1.5(51) wollte unter Vista Business 32Bit bei mir nicht starten:

Java.lang.NullPointerException
at sun.swing.table.DefaultTableCellHeaderRenderer.getColumnSortOrder(Unknown Source)
at com.sun.java.swing.plaf.windows.WindowsTableHeaderUI$XPDefaultRenderer.getTableCellRendererComponent(Unknown Source)
at wb.getTableCellRendererComponent(DashoA10*..:757)
at v1.b(DashoA10*..:216)
at vz.createDefaultColumnsFromModel(DashoA10*..:1497)
at javax.swing.JTable.tableChanged(Unknown Source)
at vz.tableChanged(DashoA10*..:1389)
at javax.swing.table.AbstractTableModel.fireTableChanged(Unknown Source)
at javax.swing.table.AbstractTableModel.fireTableStructureChanged(Unknown Source)
at v6.a(DashoA10*..:197)
at vz.setModel(DashoA10*..:237)
at vy.aj(DashoA10*..:93)
at vy.a(DashoA10*..:88)
at vy.(DashoA10*..:65)
at va.(DashoA10*..:33)
at u8.(DashoA10*..:35)
at ng.a(DashoA10*..:79)
at nc.b(DashoA10*..:360)
at nc.(DashoA10*..:272)
at com.cisco.pdm.PDMApplet.start(DashoA10*..:159)
at com.cisco.nm.dice.loader.r.run(DashoA19*..:410)
java.lang.NullPointerException
at sun.swing.table.DefaultTableCellHeaderRenderer.getColumnSortOrder(Unknown Source)
at com.sun.java.swing.plaf.windows.WindowsTableHeaderUI$XPDefaultRenderer.getTableCellRendererComponent(Unknown Source)
at v1.b(DashoA10*..:216)
at vz.createDefaultColumnsFromModel(DashoA10*..:1497)
at javax.swing.JTable.tableChanged(Unknown Source)
at vz.tableChanged(DashoA10*..:1389)
at javax.swing.JTable.setModel(Unknown Source)
at vz.setModel(DashoA10*..:235)
at y2.d(DashoA10*..:138)
at y2.(DashoA10*..:72)
at va.(DashoA10*..:37)
at u8.(DashoA10*..:35)
at ng.a(DashoA10*..:79)
at nc.b(DashoA10*..:360)
at nc.(DashoA10*..:272)
at com.cisco.pdm.PDMApplet.start(DashoA10*..:159)
at com.cisco.nm.dice.loader.r.run(DashoA19*..:410)
Exception in Starting Main window
Exception in thread "SGZ Loader: launchSgzApplet" java.lang.NullPointerException
at com.cisco.pdm.PDMApplet.start(DashoA10*..:165)
at com.cisco.nm.dice.loader.r.run(DashoA19*..:410)

Die Lösung war Java 1.6.11 zu entfernen und 1.6.7 zu nutzen, damit funktioniert alles wie es soll.. Solche Software liebt man!

Update: Es geht auch mit der Version 1.6.13 nicht, dafür funktioniert es zumindest mit letzterer Java Version problemlos unter Windows XP Pro. Soviel also zu „Java ist plattformunabhängig“

Update2:
Bei Cisco wird der Bug als CSCsw43498 geführt und ist in der Interimsversion asdm 6.1.57 behoben.
als Workaround beschreibt Cisco:
1. Right-click on the Cisco ASDM Launcher shortcut.
2. Select "Property"
3. Click on "Compatibility"
4. Click on the box "Disable Visual Theme"
5. Restart ASDM