Пользователи, Конфигурация SSH, шифрование пароля

Пользователи, Конфигурация SSH, шифрование пароля
 (Users, SSH configuration, password encryption)

1. Без использования механизма aaa

1. Конфигурируем Hostname: hostname MyDev

1. Конфигурируем Domain name: ip domain-name mydev.lab

2. Генерируем Encryption keys:
     crypto key generate rsa

        Haw many bits in the modules [512]: 1024 – для SSH version 2 не менее  768 бит, cisco не рекомендует использовать ключ менее 1024 бит. 

3.  Активируем SSH version 2: ip ssh version 2

4. Создаем локального пользователя: username cisco secret cisco

Для имени пользователя и пароля крайне не рекомендуется использовать распространенные пароли, как в примере "cisco"!

5. активируем доступ по SSH протоколу:

line vty 0 15

transport input ssh

login local ? – активация использования локальной базы пользователей для подключения 

2. C использования механизма aaa

Пункты 1-3 оставим без изменений

4. Для примера - создадим пользователя с открытым паролем и после зашифруем его:

username cisco privilege 15 password 0 20_psw_11

service password-encryption

5. Активируем протокол ААА для организации доступа по username::password. (до активации ААА в системе обязательно должен быть заведен хотя бы один пользователь), иначе отключившись от сессии, вы потом не сможете подключится.

aaa new-model

aaa authentication login default local - Определяем использовать локальную базу пользователей

aaa authorization exec default local - Отменяем дополнительную авторизацию на enable, пользователь должен быть с privilege 15 

6. активируем доступ по SSH протоколу:

line vty 0 15

transport input ssh




Cisco NAT translation and port mapping (Cisco NAT трансляция и проброс портов)

Cisco NAT translation and port mapping

Cisco NAT трансляция и проброс портов

        В данной статье кратко описываться основные принципы настройки NAT (от англ. Network Address Translation — «преобразование сетевых адресов») на Cisco устройствах.

Рассмотрим 3 варианта:

1. Динамический NAT с преобразование запросов от приватных (private) адресов из внутренней сети в публичный (public) адрес провайдера;

2. Динамический NAT с преобразование запросов от приватных (private) адресов из внутренней сети в пул публичных (public) адресов провайдера;

3. Статический NAT для проброса портов во внутреннюю сеть.

1. Динамический NAT с преобразование запросов от приватных (private) адресов из внутренней сети в публичный (public) адрес провайдера

     Данная NAT трансляция наверное наиболее используема, так как применяется для организации доступа хостов локальной сети к интернет ресурсом. Как известно частные адреса, часто используемые для построения локальных сетей, не маршрутизируются. А следовательно для всех запросы от локальных хостов в интернет необходимо преобразовывать адрес источника (source address)  в адрес выделенный провайдером и наоборот.

Для описания примера используется топология приведенная ниже на рис.1.

Рис.1 Топология для описания примера.

      В  примере необходимо транслировать запросы от хостов сети 192.168.1.0/24 в интернет в запросы от адреса 1.1.1.1.

      Для этого на маршрутизаторе необходимо провести следящие настройки:

1.2 Определяем inside и outside интерфейсы для NAT трансляции (inside интерфейс из которого трафик попадает из сети в маршрутизатор, outside интерфейс из которого трафик попадает из маршрутизатора в сеть). В нашем примере интерфейс Fa0/0 – inside, интерфейс Fa0/1 – outside:

interface fa0/0

   ip nat inside

interface fa0/1

    ip nat outside

1.2 Определяем список доступа для сети которую необходимо транслировать (192.168.1.0/24):

ip access list standard NAT_INSIDE_NET

     permit 192.168.1.0 0.0.0.255

1.3 Включаем  NAT трансляцию адресов пакетов с адресом источника (source) из сети заданной в access list NAT_INSIDE_NET и выходящих через интерфейс fa0/1:

  ip nat inside source list NAT_INSIDE_NET interface fa0/1 overload.

        Вот и все, что необходимо для организации динамической трансляции. Однако нужно быть внимательным, очень часто упускают оператор overload, который определяет возможность перезаписи ранее используемы трансляций.

2. Динамический NAT с преобразование запросов от приватных (private) адресов из внутренней сети в пул публичных (public) адресов провайдера

        Данный тип трансляции используется, когда у компании выделен не один публичный адрес, а несколько, например, как на рис.2: 1.1.1.1 и 1.1.1.2.  

Рис.2 Топология для описания примера.

          В примере необходимо транслировать запросы от хостов сети 192.168.1.0/24 в интернет в запросы от адресов 1.1.1.1 или 1.1.1.2. Наличие нескольких адресов позволяет значительно увеличить возможное количество трансляций, хотя на мой взгляд данная технология имеет смысл только для огромных компаний.

        Для этого на маршрутизаторе необходимо провести настройки такие же, как в пунктах  1.1 и 1.2 а далее:

2.1 Определим пул адресов в которые будем транслировать:

  

  ip nat pool OUTSIDE_POOL 1.1.1.1 1.1.1.2 netmask 255.255.255.252

2.2 Включаем  NAT трансляцию адресов пакетов с адресом источника (source) из сети заданной в access list NAT_INSIDE_NET и выходящих через интерфейс fa0/1 в адреса пула OUTSIDE_POOL:

  ip nat inside source list NAT_INSIDE_NET pool OUTSIDE_POOL overload.

3. Статический NAT для проброса портов во внутреннюю сеть

       Пожалуй, данный вид трансляции не менее популярный, чем первый. Популярность данного вида вызвана необходимость получать доступ из внешней сети (internet) к внутренним ресурсам. Но как это сделать, если мы преобразовываем все адреса внутренней сети в единственный внешний адрес, еще и с неизвестным портом.

         Для понимания данной технологии рассмотрим пример  проброса запроса  поступающего на внешний адрес 1.1.1.1 порт 80 на внутренний хост (пусть это будет WEB сервер) 192.168.1.10 порт 80 рис.3.

Рис.3 Топология для описания примера.

3.1 Для этого на маршрутизаторе необходимо задать статическую трансляцию, которая определяет однозначное правило преобразование как для входящих, так и для исходящих пакетов:

  ip nat inside source static  tcp 192.168.1.10 80 1.1.1.1 80 overload.

    Данная команда для всех пакеты выходящие из интерфейса fa0/1 c source адресом 192.168.1.10 и tcp портом 80 будет преобразовывать source адрес на 1.1.1.1 с tcp портом 80, а все пакеты поступающие на интерфейс fa0/1 c адресом получателя (destination address)  1.1.1.1 и tcp портом 80 преобразовывать в пакеты с адресом получателя 192.168.1.10 и tcp портом 80.

CUCM Call Pickup

Call Pickup

Call Pickup – позволяет вызову пришедшему на один телефон быть перехваченному на другом телефоне.

Разделают 3 варианта Call Pickup:

1.       Обычный «Call Pickup» для заданной группs;

2.       Перехват звонка из чужой группы «Group Call Pickup»;

3.       Перехват звонка из другой, ассоциированной группы «Other Call Pickup».

Обычный «Call Pickup» для заданной группы

Данный вид перехвата наиболее простой и востребованный, когда абоненту назначается группа для перехвата, в которой он может перехватить входящий вызов.

Ниже представлен сценарий таково перехвата:

1.       Абонент 7211 из группы Sales звонит абоненту 7202 из группы Manager;

2.       Абонент 7202 из группы Manager отсутствует, поэтому вызов входящий на его телефон прихватывает абонент 7201 из группы Manager;

3.       Устанавливается соединение между абонентом 7201 из группы Manager и абонентом 7211 из группы Sales.

Настройка:

1.       Создаем Call Pickup Groupe:

- Навигация = Cisco Unified CM Administration;

- Меню = Call Routing->Call Pickup Group;

- Жмем [Add New].

2.       Определяем Значения Call Pickup Group:

              - Call Pickup Group Name * = Manager_PkG ;

- Call Pickup Group Number * = 7800;

- Description  = Manager Pickup Group (Не обязательно);

- Жмем [Save].
 

3.  Создаем Softkey Template:

- Навигация = Cisco Unified CM Administration;

- Меню = Device->Device Settings->Softkey Template;

                          
                        - Лучше выбрать уже существующий Softkey Template и скопировать его;
 

4.       Назначаем имя Softkey Template:

- Name = Manager_Pk;

- Жмем [Save];

- Переходим на конфигурацию Softkey, нажав напротив Related links = Configure Softkey Layout кнопку [Go];

- Перемещаем Softkey Pick Up (PickUp) из группы «Unselected Softkey» в группу «Selected Softkeys (ordered by position)**»;

- Применяем конфигурацию кнопка [Apply Config];

- Сохраняем конфигурацию кнопка [Save];

- Повторяем действие для состояние «off Hook», поле «Select a call state to configure»;

5.       Назначаем телефону созданный Softkey Template:

- Выбираем нужный телефон (Навигация = Cisco Unified CM Administration;

- Меню = Device->Phone;
 

- Жмем [Найти] и выбираем интересующий нас телефон;

- В настройках телефона (для всех телефонов группы), раздел «Device Information» поле «Softkey Template», устанавливаем созданный нами «Softkey Template»;

- Для активации функции на номер, переходим в соответствующую линию;

- В разделе «Call Forward and Call Packup Settings» в поле «call Pickup Group» устанавливаем созданную нами Pickup Group – «Manager_PkG»;

                           - Не забываем применить изменения [Apply Config] и сохранить их [Save].

*После этого группа перехвата должна работать, в некоторых случаях необходимо сбросить телефон [Reset], [Restart].

Перехват звонка из чужой группы «Group Call Pickup»

Данный вид перехвата можно определить, как мало востребованный. Его смысл в том, что при звонке телефона из чужой группы пользователь перехватывает этот звонок введя номер группы.  Сразу же возникаю вопросы со знанием номера соответствующей группы, и умения определить из какой группы звонит телефон.

Ниже представлен сценарий таково перехвата:

1.       Абонент 7211 из группы Sales звонит абоненту 7212 из группы Sales;

2.       Абонент 7212 из группы Sales отсутствует, поэтому вызов входящий на его телефон прихватывает абонент 7202 из группы Manager нажав Soft key [GPickUp] и введя номер группы Sales;

3.       Устанавливается соединение между абонентом 7202 из группы Manager и абонентом 7212 из группы Sales.

 

Настройка:

Настройка группы и телефонов описана выше, для добавления этой функции достаточно на телефоне определить Soft key [GPickUp], при нажатии на которую будет предложено ввести номер группы для перехвата, после чего осуществиться перехват.

Перехват звонка из ассоциированной группы «Other Call Pickup»

Очень полезный вид перехвата. Его смысл в том, сотрудник может перехватить как вызов в своей группе, так и в любой из ассоциированных групп, нажатием одной кнопки «oPickup».

При нажатии кнопки система сначала ищет входящие звонки в локальной группе, а затем в ассоциированных группах, в порядке их перечисления в окне «Selected Call Pickup Groups ».

Ниже представлен сценарий таково перехвата:

1.       Абонент 7211 из группы Sales звонит абоненту 7212 из группы Sales;

2.       Абонент 7212 из группы Sales отсутствует, поэтому вызов входящий на его телефон прихватывает абонент 7202 из группы Manager нажав Soft key [oPickup];

3.       Система осуществляет поиск в группе Manager, не найдя активных вызовов система переходит в группу Sales и осуществляет прихват вызова на абонента  7212;

4.       Устанавливается соединение между абонентом 7202 из группы Manager и абонентом 7212 из группы Sales.

 

Настройка:

Настройка группы и телефонов описана выше, для добавления этой функции нужно:

1.       В нужную Pickup Groups  ассоциируем определенную группу, не забываем сохранить:
 

2 на телефоне определить Soft key [oPickup]:

Вот пожалуй и весь обзор сервиса Call Pick Up Cisco Unified Communication Manager.

Сборка и настройка IP Телефон Cisco серии 79хх с приставкой 79хх

Сборка и настройка IP Телефон Cisco серии 79хх с приставкой 79хх

Мне в руки попал замечательный девайс Cisco Unified IP Phone 7962G с 2-мя приставками Cisco Unified IP Phone Expansion Module 7915, решил описать процесс установки и возможные варианты настроек.
1.       Сборка Cisco Unified IP Phone 7962G и 2-х Cisco Unified IP Phone Expansion Module 7915 на Double module footstand.
2.       Варианты подачи питания на конструктив Cisco Unified IP Phone 7962G с 2-мя приставками Cisco Unified IP Phone Expansion Module 7915.
3.       Варианты настроек приставок  Cisco Unified IP Phone Expansion Module 7915.
4.       Настройка кнопок быстрого вызова абонентов на Cisco Unified IP Phone Expansion Module 7915.
5.       Настройка кнопок быстрого вызова с индикацией занятости абонентов на Cisco Unified IP Phone Expansion Module 7915.

Сборка Cisco Unified IP Phone 7962G и 2-х Cisco Unified IP Phone Expansion Module 7915 на Double module footstand

Казалась бы тривиальная задача распаковать устройства и прицепить на подставку, оказалась достаточно интересной головоломкой, поэтому   хочу описать данный процесс подробнее.

После распаковки имеем:
1.       Телефон Cisco Unified IP Phone 7962G рис.1;

Рис.1. Телефон Cisco Unified IP Phone 7962G.

1	Кнопка освобождения плоскости регулировки наклона телефона
2	Отверстия для настенного крепления
3	плоскость регулировки наклона телефона
4	Крепежи плоскости к телефону

2.       2 модуля расширения Cisco Unified IP Phone Expansion Module 7915 рис.2;

Рис.2. 2 модуля расширения Cisco Unified IP Phone Expansion Module 7915

3.       Подставка для данных устройств рис.3.

Рис.3. Подставка для 2-х приставок 7914,7915,7916 и телефона.

1	Подставка для крепления телефона и 2-х приставок
2	Плоскость  поддержки подставки
3	Винты крепления приставок
4	Крепежи подставки к телефону
5	Места установки приставок к телефону
6	Пазы для крепления плоскость  поддержки подставки
7	Крепежи для крепления плоскость  поддержки подставки

Сборка:
1.       Снимаем с телефона родную плоскость регулировки наклона телефона (3), для этого отжимаем крепежи плоскости к телефону (4) рис.1;
2.       Приставляем телефон к подставке и поджимаем крепежи подставки (4), так что бы они вошли в пазы крепежей плоскости телефона (3) рис.1, зис.3;
3.       Приставляем модуль расширения рис.2 к подставке и прикручиваем их винтами (3) рис.3;
4.       Прикрепляем плоскость  поддержки подставки, так что бы крепежи для крепления плоскости (7) вошли в пазы (6) рис.3;

Конструктив готов к использованию и подключению кабелей рис 4.

Рис 4. Конструктив телефон Cisco Unified IP Phone 7962G с 2-мя модулями расширения Cisco Unified IP Phone Expansion Module 7915.

Варианты подачи питания на конструктив Cisco Unified IP Phone 7962G с 2-мя приставками Cisco Unified IP Phone Expansion Module 7915

По моему опыту очень часто возникаю вопросы, как можно обеспечить питанием  конструктив: телефон и 2-а модуля расширения?

Есть 3 варианта:
1.       Все обеспечиваем питанием  с помощью блоков питания. В данном случае все просто 1-н блок питания обеспечивает 2-а устройства (себя и то, что справа). То есть для обеспечения конструктива из телефона и 2-х модулей расширения необходимо 2 блока питания, 1-н на телефон и 1-н на любой модуль расширения;
2.       Есть PoE коммутатор. Тут тоже все просто PoE коммутатор обеспечивает питанием только телефон. Соответственно необходимо еще 1 блок питания на приставки, при чем не важно, 1-ну или 2-ве.
3.       Вариант с PoE+ не пробовал к сожалению нет такого девайса. Однако по логике для испытуемого конструктива в любом случае понадобится 1 блок питания.

Варианты настроек модулей расширения  Cisco Unified IP Phone Expansion Module 7915

В данном разделе речь пойдет о настройке на Cisco Unified Communication Manager 8.x далее CUCM.

Для заведения телефона с модулями расширения Необходимо:
1. создать «Phone Button Template» для устройства с приставками. В нашем случае для телефона 7962G. Возможно 3 варианта задания кнопок в «Phone Button Template»:
   1.       1 приставка с 1-й страницей, либо 12-ю кнопками;
   2.       1 приставка с 2-мя страницами, либо 24-мя кнопками, тоже самое 2 приставки с 1-й страницей, либо 24-ю кнопками;
   3.       2 приставки с 2-мя страницами, либо 48-мя кнопками.

Кроме того возможно задавать различные варианты использования кнопок.

Для создания нового  «Phone Button Template» необходимо:
1.       В подразделе Cisco Unified CM Administration меню Device->Device Settings-> Phone Button Template, нажимаем кнопку «Add New»;
2.       В поле « Phone Button Template » выбираем нашу модель телефона «Standard 7962G SCCP» и нажимаем кнопку «Copy»;
3.       Переименуем «Standard 7962G SCCP» в понятную для нас, например  «Standard 7962G SCCP w 1x7915 12Bt», нажимаем кнопку «Save»;
4.       В предложенном окне определяем значение кнопок (учитываем, что первые 6 – кнопки телефона).

В большинстве случае на модулях расширения используются кнопки быстрого набора, либо быстрого набора с индикацией занятости, поэтому данные варианты будут рассмотрены ниже.

2. Заведем телефон в нашем случае для телефона 7962G определим ему созданный нами «Phone Button Template» и назначим вариант модуля расширения:

   1.       В подразделе Cisco Unified CM Administration меню Device->Phone, нажимаем кнопку «Add New»;

   2.       В поле «Phone Type» выбираем нашу модель телефона «Cisco 7962» и нажимаем кнопку «Next»;

  3.       В поле «Select the device protocol» выбираем интересующий нас протокол, например «SCCP» и нажимаем кнопку «Next»;

  4.       Определяем нужные нам поля телефона, я остановлюсь только на полях определяющих работу модулей расширения:

     -        В подразделе «Device Information», поле «Phone Button Template» выбираем созданный нами «Phone Button Template» - «Standard 7962G SCCP w 1x7915 12Bt»;

     -        В подразделе «Expansion Module Information» в поле «Module 1» выбираем «7915 – 12 кнопочный модуль расширения»

   5.       Нажимаем кнопку «Save».

В результате откроется окно с настройками телефона и с левой стороны появиться панель «Association Information», в которой мы сможем определить значения кнопок телефона и модулей расширения.

Настройка кнопок быстрого вызова абонентов на Cisco Unified IP Phone Expansion Module 7915

В данном случае в «Phone Button Template» на кнопках для быстрого набора необходимо задать функцию «Speed Dial».

А после заведения телефона в панели «Association Information» после нажатия на любую из позиций «Add New SD» определить номера быстрого набора и их подписи.
 

Настройка кнопок быстрого вызова с индикацией занятости абонентов на Cisco Unified IP Phone Expansion Module 7915

В данном случае в «Phone Button Template» на кнопках для быстрого набора необходимо задать функцию «Speed Dial BLF».

А после заведения телефона в панели «Association Information» после нажатия на любую из позиций «Add New BLF SD» определить номера быстрого набора c индикацией занятости линии и их подписи.

Но не все так просто. В данном случае для правильной работы индикации занятой линии необходимо:
1.       Определить «Calling Search Space» для  индикации занятой линии;
   -        В подразделе Cisco Unified CM Administration меню Call Routing->Class of Control->Calling Search Space, нажимаем кнопку «Add New»;
  -        В подразделе Calling Search Space Information , в поле «Name » определяем название, «BLF_CSS» и Нажимаем кнопку «Save».
2.       Назначить определенный «Calling Search Space» в поле «SUBSCRIBE Calling Search Space » для всех телефонов чей статус необходимо определять:
   -        В меню Device->Phone находим телефоны, чей статус необходимо определять и в подразделе «Protocol Specific Information » в поле «SUBSCRIBE Calling Search Space » выбираем созданный нами «Calling Search Space» - «BLF_CSS»;
   -        Не забываем сохранить, применить и перезагрузить телефон.