Админская фамилия

Make Sysadmins Great Again

Система управления конфигурациями Oxidized

Резервное копирование  - важная составляющая стабильной работы инфраструктуры. Каждый подходит к вопросу резервного копирования со своими взглядами. Сетевое оборудование также нуждается в постоянном бэкапе конфигураций. Но в силу того, что сети редко бывают моновендорными и найти один метод управления для всей сети часто невозможно,  резервное копирование сетевых устройств часто вводит в замешательство администраторов.

Для автоматизации резервного копирования конфигураций сетевого оборудования инженеры часто применяют системы контроля версий. Такой подход позволяет не только всегда иметь актуальную копию конфигурации, но и оперативно находить изменения в настройках, которые могли привести к неправильной работе сети.


Коммутаторы D-Link и ERPS

Не смог поднять второй ERPS инстанс на D-Link DES-3200. Команда create erps raps_vlan N, введенная второй раз, выдала ошибку: cannot create the r-aps vlan as the maximum number of rings supported has been exceeded.В связи с чем было произведено активное гугление и за неимением результата сего процесса, был отправлен запрос в техподдержку D-Link’a. Ответ привожу здесь:На коммутаторах DES-3200 HW ver.C1 можно создать только одно ERPS кольцо.Серия DGS-3120 rev.B1 поддерживает 4 ERPS кольца, на прошивках R3.00 и выше.Серия DGS-3420 поддерживает 12 ERPS колец, на прошивках R1.5 и выше.Серия DGS-3620 поддерживает 14 ERPS колец, на прошивках R2.30 и выше.


The Dude и D-Link по SNMPv3

У меня не получилось заставить работать тандем The Dude 4.0beta3 и коммутаторы D-Link (3120, 3200) по SNMPv3. Причем по SNMPv1 и v2 оно работает на ура. И по v3 Dude и Mikrotik прекрасно вяжутся.Решил не терять время и отказаться от этой затеи, потому что: а) beta и b)на форумах пишут, что проблема действительно есть


Сегментация сети с использованием оборудования Mikrotik и D-Link

Рост компании - неминуемый процесс, рано или поздно приходящий ко всем. Увеличение количества клиентов, открытие новых отделов, слияния, поглощения - всё это увеличивает количество компьютеров, принтеров и других устройств в сети.

С количеством устройств в сети приближающемся к ста, сетевой администратор начинает испытывать проблемы с идентификацией потоков трафика, адресацией устройств, безопасностью сети, количеством широковещательного трафика (особенно если сеть состоит из Windows машин, что сегодня является стандартом).

Перечисленные проблемы решаются сегментацией сети. Сегментация  - разбиение одной локальной сети на сегменты, каждый сегмент имеет свой адрес сети и свой шлюз по умолчанию (физически это может быть одно устройство). Практически сегментировав сеть мы получаем несколько сетей из одной, как если бы использовали несколько коммутаторов для каждой группы устройств.


DHCP, Option 82

Встала задача: определять на каком порту какого свитча находится конкретный IP-адрес. На самом деле задача глобальнее, но сейчас имеет смысл именно это. В ходе гугления вышел на DHCP Option 82. Инфы много, но кроме теории важно это.
Суть в том, что коммутатор в запрос DHCP добавляет два поля: Agent Remote ID (идентификатор коммутатора) и Agent Circuit ID (идентификатор порта). Казалось бы, всё просто. Но я столкнулся с некоторыми трудностями.

Дело в том, что сеть поделена на сегменты для улучшения безопасности, выделения потоков трафика и уменьшения широковещательного трафика. Каждый сегмент имеет свою адресацию и, соответственно, свой DHCP-сервер.
Чтобы настроить работу Option 82, коммутатор необходимо настроить как DHCP-relay. Это значит, что при получении DHCP request’a коммутатор просто отправит этот запрос DHCP серверу, указанному в настройках релея. Таким образом можно уменьшить количество широковещательного трафика в пределах сегмента и иметь один DHCP сервер на несколько подсетей. Но, DHCP-relay может работать только с одним DHCP-сервером (указанным в настройках релея), соответственно, все наши сегменты получат адреса из одной подсети, что
нас совсем не устраивает.


Параметры STP в D-Link

Мой вольный перевод параметров STP Reference Guide DGS-3120Edge Port - порт, напрямую подключенный к сегменту, где STP-петля заведомо не может существовать. Например, акцесс-порт до ПК.P2P Port - эти порты способны к быстрому переключению. Используются для соединения с другими бриджами (?). В RSTP/MSTP все порты, находящиеся в режиме full-duplex по дефолту становятся p2p портами. Можно изменить вручную.External Cost - метрика, показывающая относительную стоимость пересылки пакетов на порт. По дефолту коммутатор устанавливает 20000 для гигабитных линков и 200000 для 100 Мб. Чем меньше значение, тем более вероятно, что порт будет использоваться для форвардинга.Restricted Role - ограниченный порт. При значении True порт никогда не может быть Root.


Обзор и первоначальная настройка D-Link DFL-260e

Аппаратный файерволл D-Link DFL-260e используется в качестве пограничного звена между локальной сетью и Интернет.

Функций и производительности рассматриваемого файерволла вполне достаточно для обслуживания средней компании с числом активных пользователей сети около 100. 

Итак, что же умеет данная железяка.

  1. Port Based VLAN
  2. IDS/IPS
  3. Потоковое антивирусное сканирование
  4. Web-фильтр
  5. IPSec/PPTP/L2TP Server/Client
  6. Ну и стандартные плюшки в виде DHCP-сервера, гибкого файерволла и т.д.

При первом включении мастер просит нас задать пароль админа (дефолтный пароль стандартен для D-Link’a - admin, IP - 192.168.10.1), установить настройки SNMP сервера и настроить адреса интерфейсов - всё тривиально.