# Redes(2)
## **HouseKeeping**
no ip domain-lookup (Disable DNS lookup)
enable secret Ccn@3 (pass do enable)
banner motd "Authorized users only!" (as " abrem e fecham) podia ser outro caracter qualquer.
secret quanto menor o nr maior é a encriptação.
username GRSI privilege secret grs1P@ss - (privilege 0 a 15)
se não inserirmos o comando privilege - assume nivel maximo.(15)
se usar password inves de secret, nao aparece encriptado.
username GRSI privilege 15 secret grs1P@ss (exemplo)
service password-ecnryption - encripta todas as passwords em plain text.
line con 0 - linha de consola
login auth (active directory - vai buscar a base de dados do sistema da empresa)
login local - vai buscar passwords guardadas, inseridas anteriormente, guardadas na nvram do equipamento.
exit
# * ### configuração global de SSH
ip domain-name ccna.atec
**necessario para estabelecer uma ligação por ssh**
gerar uma chave 1024 -
crytpo key - zeroize (elimina o chave criada)
crypto key generate rsa general-keys modulus 1024 (nao vai pedir pois ja estamos a inserir o tamanho)
ip ssh version 2 - melhor que a 1 (boa pratica)
Config vty para apenas SSH
**(verificar quantas vtys estao abertas - show run )
default vem de 0 a 4**
line vty 0 4 (pois apenas tem 5 ativas)
ou line vty 0 15
transport - define protocolos para o acesso
transport input ssh
**acesso apenas por ssh**
login local - vai buscar passwords ja criadas anteriormente guardadas na nvram.
* **Login Block**
login block-for 180(segundos) attempts 4(tentativas) within 120(segundos apos as 4 tentativas)
-------------------------------------------------------------
## Tipos de VLANS
**Default VLAN** - tambem conhecida como vlan 1. Todas as portas do sao membros da vlan 1 por defeito.
**DATA vlan** - sao criadas para grupos especificos de users ou dispositivos. eles transportam tráfego gerado pelo usuário
**Native VLAN** - Esta é a VLAN que carrega tudo
tráfego sem tag. Este é o tráfego que não
originam-se de uma porta VLAN (por exemplo, tráfego STP BPDU
trocados entre os comutadores habilitados para STP). o
VLAN nativa é a VLAN 1 por padrão.
**Management VLAN** - Esta é uma VLAN que é
criado para transportar tráfego de gerenciamento de rede
incluindo SSH, SNMP, Syslog e muito mais. VLAN 1
é a VLAN padrão usada para rede
gestão.
# Configuração dos Switches
Configuração de vlans
sw m t
vlan por defeito e nativa devem sempre ser alterada
sw trunk native 99
do sh int trunk -- quais as portas em modo trunk
SWITCH
```
vlan 2 **associar vlan ao switch**
name CASA
int vlan 2 **apenas necessario para SVI**
Description asdasd
ip add 192.168.10.125 255.255.255.128
no shu
int fa 0/1
switchport m access
switchport access vlan 2
```
ip default gateway ....
Na interface vlan - configuramos e atribuimos um ip para entrarmos Remotamente.
**para escolhermos mais que uma porta **
```
int ra fa 3-24
```
* Criação de Vlans:
* Vlan **15**
* name **clientes**
* Criacação de SVI (para VLANS de acesso remoto apenas):
* interface vlan **10**
* ip address **192.168.10.10 255.255.255.0**
* Ip default-gateway **192.168.10.254** *
Indicar ao switch qual o default gateway
> Quando existe varias vlans, utilizar o gateway da vlan de administração.
* Associar Vlan a clientes:
* int r fa **fa0/1 - 10** ou **f0/1**
* switchport mode **access**
* switchport **nonegotiate**(apenas se não existir trunk do outro lado, ambos os lados têm que estar em trunk)
* switchport access **vlan 15**
* Associar Vlan Nativa ao switch:
* interface **g0/0** (ligação router)
* switchport mode **trunk**
* switchport trunk **native** vlan 45 (anunciar a mudança de native VLAN)
* Port Security (Utilizar em portas Access):
* **switchport port-security**
* **switchport port-security maximum** **2** (numero maximo de MACS)
* **switchport port-security mac-address sticky** (associa MACS automaticamente)
* **switchport port-security violation**
**restrict** - dropa os packets e envia mensagem ( increments the security-violation count)
**protect** - dropa os packets e não envia mensagem ( does not increment the security-violation count)
**shutdown** - dá shut down na porta se houver security violation
```
shu
no shu
```
**Switchport port-security mac-address sticky** -> Os MAC addresses que se ligam primeiro ficam gravados na RAM (*DICA:* depois de ligar os despositivos fazer um copy r s, ficaram gravados na startup configuration)
* Desligar portas não utilizadas:
* int r fa fa0/11 - 24
* shutdown
* Colocar a porta em trunk (switch - router):
* interface **g0/1**
* switchport mode **trunk**
----
## Configuração de Port Security
3 tipos de modo
**Restrict - incrementar as vezes em que violaçoes acontecem**
DATA de fontes desconhecidas de mac adresses sao descartadas, uma notificação de segurança é apresentada pelo switch, e a contagem de violação é aumentada.
**Protect - bloqueia a porta após o numero de mac-address permitidos e nao incrementa**
DATA de fontes desconhecidas de mac sao descartadas, e nao e apresentada uma notificação pelo switch.
**Shutdown - desliga a porta após o numero de mac-address permitidos e nao incrementa**
(DEFAULT MODE)
interface becomes error-disabled and port LED turns off. The violation counter increments. Issues the shutdown and then the no shutdown command on the inferface to bring it out of the error-disabled state.
**COMANDOS**
interface numero interface // interface que queremos proteger ex: interface fa0/1
switchport mode access
switchport port-security //Ligar port security
switchport port-security maximum 10 //Restringir swtich para 10 mac address
switchport port-security mac-address sticky //Aprende mac address araves de arp
switchport port-security violation restrict // incrementar as vezes em que violaçoes acontecem
show port-security interface // Truble Shooting
show port-security address // Mostra como os mac address foram aprendidos
----
# Configuração dos Routers
ROUTER
```
int g0/0
no shu
int g0/0.2
encapsulation dot1Q 2
ip add 192.168.10.126 255.255.255.128
```
Se apenas tiver um computador associada a giga ou uma vlan basta int g0/0 e darmos add do ip.
## Configuração da vlan nativa no router
entra na interface da vlan native
encapsulation dot1q **nr** vlan Native
-----
# Configuração de rotas estaticas.
ip route 192.168.11.0 255.255.255.128 10.0.0.2
"" 192.168.11.128 "" ""
ip route 192.168.10.0 255.255.255.128 10.0.0.1
" " 192.168.10.128 "" ""
## **Rota estática com Next-hop**
* Rota estática (IP ROUTE):
* ip route **[IP REDE DESCOBRIR] [SUBNET DESSA REDE] [IP NEXT HOP]**
R1 -> R2
**IP porta do R2**
```
ip route 192.168.1.0 255.255.255.0 172.16.2.2
ip route 192.168.1.0 255.255.255.0 172.16.2.2 **10**
```
```
ipv6 route 2001:DB8:ACAD:4::/64 2001:DB8:ACAD:4::2
```
## **Static Default Route**
* São configuradas para:
- Ligar directamente a um ISP
- Stub router (Um router com apenas um router vizinho)
```
ip route 0.0.0.0 0.0.0.0 (ip-adress | exit-int)
```
```
ipv6 route ::/0 (ip-adress | exit-int)
```
---
# **Dynamic Routing**
## Teoria.
Usar o show interfaces para examinar os valores usados para Bandwith, reliability and load.
Tal como a imagem indica.
Ter em atenção.
Se quisermos alterar a BW, basta entrarmos na interface e inserir o comando **Bandwith 64** sendo 64 kilobits, ao alterarmos a BW podemos alterar e escolher o caminho que pretendemos com o dynamic routing.
## * **EIGRP** Exemplo de configurações
router eigrp 1
eigrp router-id 1.1.1.1 // 255.255.255.255
show ip procotols cada router tem id unico, nao usar mais um eigrp no mesmo router (muito uso de recursos)
Desabilitar o auto-sumary
ROUTER EIGRP *x*
'x' ==> autonomous system (tem de ser igual em todos os router da mesma "area")
router eigrp 1
network 172.16.0.0
network 192.168.10.0 (classfull) /16 // /24
wildcard mask = subnetmask - broadcast
router eigrp 1
192.168.10.8 255.255.255.0
passive-interface g0/0 - anuncia a rede, no entanto nao envia updates no interface.
dentro do config-router
show ip eigrp neigburs - ver tablea vizinha que estabelece comunicação com a rede vizinha.
Podemos inseir configurações a nivel classfull que aceita, mas não esquecer depois fazer o **no auto-summary**
### exemplo de configuração
```
router eigrp 1
eigrp router-id 1.1.1.1
passive-interface GigabitEthernet0/0
network 172.16.1.0 255.255.255.0
network 192.168.1.0 255.255.255.252
network 192.168.1.4 255.255.255.252
!
!
```
Tem que ser sem wildcard?
router id muda de router para router, cada router dá a conhecer as suas redes, e assim eles comunicam entre si.
### Configuração ipv6
```
en
!
conf t
!
!
ipv6 unicast-routing
!
ipv6 router eigrp 1
eigrp router-id 3.3.3.3
no shutdown
passive-interface GigabitEthernet0/0
!
int g0/0
ipv6 eigrp 1
!
int s0/0/0
ipv6 eigrp 1
!
int s0/0/1
ipv6 eigrp 1
!
```
**TroubleShooting**
```
show ipv6 eigrp neighbours
show ipv6 route
show ipv6 protocols - melhor
show cdp neighbour
```
* # **Router Rip**
é um protocol classfull
```
Router rip
Version 2
network 192.168.10.0
```
`Show ip protocols `
Verifica o RIPv2 que e configurado.
usar o no auto-summary em router configuration mode para disabilitar a auto summarização.
usar o passive-interface em router configuration para parar o roteamento updates para fora da interface, ainda permite que a rede seja reconhecida por outros routers.
entrar nas interfaces que não e necessario o rip e e fazer passive-interface.
**se houver sub interfaces, e apenas necessario fazer nas sub interfaces**
no auto-summary que é para o rip apenas fazer o routing da network que queremos.
```
no auto-summary - faz rip nas classless inves da classfull
passive-interface g0/1
passive-interface g0/0.5 - quando tem subinterfaces - para nao enviar updates as subinterfaces
```
**no auto-summary** -> Para passar as redes classless, ou seija dar advertize das subnets e não converte-las em redes classfull
**passive-interface** -> Para não enviar informação de roteamento para interfaces de end user como **switch ou hosts**.
**default-information originate** -> Using default-information originate will advertise a default route, if there is one in the routing table. By adding the **always** the default will be advertised even if there is no default route in the table.
* ## **OSPF**
## Single-Area OSPF
1. Todos os router contidos numa area
2. Chamado area backbone
3. Conhecido por area 0
4. Usado em redes menores com poucos routers.
## Multiarea OSPF
1. Desenhado para usar um esquema hierarquico
2. Todas as areas ligam a area 0
3. Mais comuns vistos com numerosas areas a volta da are 0
4. Routers que ligam a area 0 para outra area sao conhecidos por Area Border Router (ABR)
5. Usado em redes maiores
6. Multiplas areas reduzem o processamento e memoria
7. uma falha numa area nao afeta outra area
O ID do router é usado para identificar unicamente um router OSPF
Maneiras de um router ganhar um router ID
1. Se um roteador IF não estiver configurado, a interface de loopback configurada mais alta será usada
2. Configurado usando o comando do modo de configuração do roteador OSPF router-id rid
3. Se não houver interfaces de loopback configuradas, o endereço ipv4 ativo mais alto será usado (não é recomendado porque, se a interface com o endereço ipv4 mais alto ficar inativa, o processo de seleção do ID do roteador será reiniciado)
### Configuração
```
Router ospf 10 - sendo 10 process ID
```
```
router ospf 10
router-id 1.1.1.1 - router id
```
show ip protocols
Moficar um router ID
Clear ip opsf process depois de mudar o router id para fazer a mudança efetiva.
(conf global)router ospf x
(config-router) **network** x.x.x.x wildcard_mask **area** area-id
#### Network command
**metodo 1 tradicional method network number and wildcard mask**
router ospf 10
network 172.16.1.0 0.0.0.255 area 0
network 172.16.3.0 0.0.0.3 area 0
network 192.168.10.4 0.0.0.3 area 0
**metodo 2 interface ip address and 0.0.0.0**
router ospf 10
network 172.16.1.1 0.0.0.0 area 0
network 172.16.3.1 0.0.0.0 area 0
network 192.168.10.5 0.0.0.0 area 0
##### Passive Interface
##### Configuração da passive interface
```
router opsf 10
passive-interface g0/0
```
show ip protocols
mostra as interfaces que estao em passive interfaces.
***OSPF METRIC = COST***
* OSPF usa o custo metrico para determinar qual o melhor caminho.
* cost = reference bandwith / interface bandwidth
* Quanto menor o custo melhor é o caminho.
* a banda larga da interface incluencia o custo assinalado.
* uma inerface com menor banda larga tem um custo maior.
***OPSF ACUMULA CUSTOS***
* o custo de uma rede de destino é um acúmulo de todos os valores de custo da origem até o destino
* a métrica de custo pode ser vista na tabela de roteamento como o segundo número entre parênteses
***Ajustar a referencia de banda larga***
* alterar a banda de referência do OSPF afeta apenas o cálculo do OSPF usado para determinar a métrica, não a largura de banda da interface.
* use o comando **auto cost reference-bandwitdth** para alterar a largura de banda de referência do OSPF
* A largura de banda de referência padrão é de 100 Mbps
Para ajustar entre 100 Mbos ethernet e gigabit ethernet, usar o commando **auto-cost reference-bandwidth 1000 / 10000 **
configurar sempre o maximo que tivermos acesso a, se tivermos acesso a bandwith de 10000 usar o mesmo.
usa-se o comando dentro da configuração do protocolo.
```
**show ip ospf interface** brief
```
se precisarmos de alterar configurações de ospf, **clear ipv6 ospf process** (vai interromper o processo) e assim depois podemos fazer as alterações
---
# Configuração do DHCP
ip dhcp excluded-address 192.168.10.10 192.168.10.30 (para excluir multiplos ips)
ip dhcp excluded-address 192.168.10.10 (excluir apenas um)
ip dhcp pool vlan2 (nome da pool)
network 192.168.10.0 255.255.255.224 //extensao de rede
default-router 192.168.10.30
dns-server 8.8.8.8
ip helper-address 192.168.10.96 // é o ip da porta do router que vai dar o dhcp. // ou ip do servidor que vai atribuir o DHCP
----
# Configuração do VTP
**Passos para configurar o VTP
1 - Configure o VTP server
2 - Configurar o VTP domain nome e password.
3 - configurar os VTPS clientes.
4 - configurar as vlans no vtp server
5 - verificar se o vtp clientes receberam a informação.**
nao esquecer de criar as vlans antes.
**modo configuração geral.**
vtp domain - nome
vtp password - pass
**modo en**
show vtp password
shows password
```
int g0/1 (porta que esta ligada ao switch)
sw m t
sw trunk allowed vlan 1-250(numero de vlan que podem se transmitir)
ex
atribuir porta
vtp domain adeus (dar nome ao dominio)
```
**Configuraçao dos clientes**
vtp mode client
vtp domain - domain (mesmo do server)
vtp password - pass (mesma do vtp server)
Apos config do server
**show vlan brief**
verifica se o cliente recebeu nova informaçao de vlan
**show vtp status**
para verificar o status do vtp do cliente
nos clientes, verificar a vlan, a porta que esta associada a vlan, e atribuir a essa porta essa vlan.
**Configuraçaõ dos servers**
```
Exemplo:
vlan 10
name (departamento)
vlan 20
name (departamento)
end
```
**show vlan brief**
para verificar as vlans
**show vtp status**
para verificar o status do vtp do server
----
# ACCESS-LISTS
**Exemplos de comandos:**
access-list 1 permit 0.0.0.0 255.255.255.255 // é a msma coisa que : access-list 1 permit
E
access-list 1 permit 192.168.10.10 0.0.0.0 // é a mesma coisa que : access-list 1 permit host 192.168.10.10
## ACL BEST PRACTICES
## SYNTAX de Standard ipv4 ACL enumerada
**Exemplo de uma acl que permite trafico de uma especifica subnet mas nega o trafico de um especifico Host**
no access-list 1 - deleta todos as versoes anteriores de ACL 1
```
access-list 1 deny host 192.168.10.10 - negar o trafico deste host
access-list 1 permit 192.168.1.0 0.0.0.255 - permite o trafego de toda esta subnet
interface s0/0/0
ip access-group 1 out
```
## Syntax de standards nomeadas ipv4 acl
Identificando uma ACL com um nome em vez
do que com um número torna mais fácil
entender sua função.
**Exemplo de como configurar uma standard acl nomeada**
ip access-list standard NO_ACCESS - utilizar este comando para criar uma ACL com nome. os nomes sao case sensitive e tem que ser unicas.
```
deny host 192.168.11.10 - nega o trafego deste host
permit any - permite todo o trafego
exit
interface g0/0
ip access-group NO_ACCESS out
```
Para uma ACL ja criada o comando show running-config para mostrar.
**é importante tomar nota que ao usar o no access-list command, diferentes softwares de IOS agem de forma diferente.**
Se a ACL que foi apagado ainda esta aplicada na interface, algumas versoes de IOS agem como se nenhuma ACL esta a proteger a sua rede enquanto outras negam todo o trafego.
### Criar acl
Ir ao interface onde quero a acl e fazer comando abaixo referido
**CRIAR DA MAIS ESPECIFICA PARA A MAIS GERAL**
ip access-list standard nome //criar acl ex:ip access-list standard Secure
Syntax do comando ip access-list standard nome
access-list accesslist-number { deny | permit | remark} source [ source-wildcard ]
ex: access-list Secure deny host 192.168.10.10 //Bloquear host especifico
ex: access-list Secure deny 192.168.10.0 0.0.0.255 //Bloquear rede
ex: access-list Secure permit 192.168.10.0 0.0.0.255 //Permitir rede
se fizer deny tenho permit para o resto/implicito
se fizer permit tenho deny para o resto/implicito
permit any / deny any // permitir/bloquear o resto
### **Exemplos de Configuração**
```
ex: access-list Secure deny host 192.168.10.10
Meter acl na interface:
ip access-group nome/numero out/in
ex: ip access-group tiago out // acl tiago em outbond
ex: ip access-group tiago in // acl tiago em inbond
```
`show access-lists // ver acls`
```
ip access-list Secure (criar o nome)
permit host 10.2.3.4
deny any
```
Permiti um host, e neguei o resto.
### Securing VTY ports with a Standard Ipv4 ACL
* permitir o ip desjeado e bloqeuar o resto
ex:
access-list Secure permit 192.168.10.0 0.0.0.255
access-list Secure deny any
//Dentro da configuraçao do ssh
access-class access-list-number {in [vrf-also ] | out } //Syntax
access-class Secure in // criar/juntar ssh a acl Secure
Standard - colocar no L3 mais proximo do destino(bloqueia se a origem)
Outbound - trafego a sair do router.
Inbound - Trafego a entrar no router.
ACL - do mais expecifico para o mais geral.
-------------
# NAT
## Configuração do NAT (Estatico)
ip nat inside source static 192.168.11.99 209.165.201.15
interface s0/0/0 (**inside** interface)
ip address 10.1.1.2 255.255.255.252
ip nat inside
exit
interface s0/1/0 (**outside** interface)
ip address 209.165.200.1 255.255.255.252
ip nat outside
exit
Problemas a nivel de NAT
clear ip nat statistics
RESET (limpar todas as estatisticas) e voltar a configurar.
## NAT dinamico.
Pool de endereços publicos e privados.
ip nat pool NAT-POOL1 209.165.200.226 209.165.200.240 netmask 255.255.255.224
access-list 1 permit 192.168.0.0 0.0.255.255
ip nat inside source list 1 pool NAT-POOL1
interface s0/0/0
ip nat inside
int s0/1/0
ip nat ouside
clear ip nat translation (limpa todo a tradução de endereço dinamico da tabela de traduçao NAT)
clear ip nat translation inside global-ip local-ip outside local-ip global-ip (clear a simple dynamic translation entry containing an inside translation or both inside and outside translation)
clear ip net translation protocol inside global-ip global-port local-ip local-port outside local-ip local port global-ip global-port (clears an extended dynamic translation entry)
# PAT
Configurar :
criar pool:
ip nat pool nome ip ou range de ips netmask mascara de rede
ex:
ip nat pool Secure 89.52.2.3 89.52.2.5 netmask 255.255.255.224
// ip nat pool e para inserir o ip publico
// mais que um ip publico
defenir address que podem ser traduzidos //ou seja que podem ir para a rede wan:
access-list Secure permit 192.168.0.0 0.0.255.255 // rede que vai reencmainhar
clocar a pool nat Secure na acl Secure:
ip nat inside source list Secure pool Secure overload //PAT
Selecionar e atribuir as interfaces locais e a inteface com ligaçao a WAN:
supondo que g0/1 é WAN e fa0/1 é LOCAL
interface g0/1
ip nat outside //Rede WAN
interface fa0/1
ip nat inside // Rede LOCAL
show ip nat statistics // ver nat statistics
clear ip nat statistics // limpar nat statistics
show ip nat translations
## Access lists.
Exemplo de configuração:
### ipv6 acc lists
Exemplo de construção de access-list.
Exemplos de configuração:
----
# CDP & LLDP
CDP - cisco discovery protocol
LLDP - Link layer discovery protocol
Um tipo de NMAP a equipamentos com estes protocolos ativados.
```
show cdp //cdp inforamtion
int g0/0
cdp enable // hablitar cdp na porta g0/0
show cdp neighbors // ver dispositivos ligados ao dispositivo
cdp run // habilita para todas as interfaces do dispositivo
```
----
# NTP
NTP - setting the system clock
os equipamentos precisam de estar com um accurate timestamping.
Pode se configurar a data e o hora de 2 formas.
Manualmente.
Configurar network time protocol (NTP)
usa porta 123 UDP
NTP clients obtain time and date from a single source
ntp server (ip externo) vai buscar a servidor externo de tempo.
end
show ntp associations
Dentro da Rede, como o router ta configurado para receber do exterior, digo para o SW ir buscar ao router.
configuração EX
ntp server 192.168.2.10
do sh ntp ass - verifica as configs de ntp
------------------
# syslog
protocolo de notitificação, routers, sws, servers, firewalls suportam o syslog.
habilidade de juntar informação de logs para monitorização e troubleshooting
habilidade de escolher o tipo de logs a informação que e capturada.
habilidade de especificar destinos de syslog capturadas.
para ver o syslog msg, e necessario ter um syslog server num PC. (TFTPD) tambem e servidor de FTP e DHCP.
Podemos definir para onde enviar as syslog msgs.
**Comandos.**
```
Show logging
logging ip interno
logging trap 4 (importancia)
logging source-interface g0/0
interface loopback 0 armazenado em ficheiro txt
```
logging ip do server //ex: logging 192.168.1.3
logging trap 4 // manda mensganes so de grau 4 para baixo, 0.1.2.3.4
logging source-interface g0/0 //vai mandar com ip source do ip da interface g0/0
loggin trap debug -
----------
# Password Recovery
1 - Enter the ROMMON mode. (tirando a flash do equipamento)
? With console access, a user can access the
ROMMON mode by using a break sequence during
the boot up process or removing the external flash
memory when the device is powered off.
2 - Change the configuration register to
0x2142 to ignore the startup config file.
? Use the confreg 0x2142 command
? Type reset at the prompt to restart the device
3 - Make necessary changes to the
original startup config file.
? Copy the startup config to the running config
? Configure all necessary passwords
? Change the configuration register back to 0X2102
4 - Save the new configuration.
## Exemplo de configuração
PASSWORD RECOVERY 15 S MODE esq do swithc
entra em password recovery
switch: flash_init
7 ficheiros e 1 directioria
switch: dir flash: mostra as diretorias da flash. (config.text.renamed ficheiro de password recovery)
switch: rename flash:configr.text.renamed flash:config.text (rename)
!
switch: rename flash:config.text flash:config.text.old
a partida se reniciar o switch ja nao vai ter configuração
switch:boot
---
inicializa o switch.
----------
# OSPF Single-area ipv6
# HSRP (VIRTUAL ROUTER)
Cada vlan tem que ter um stanby group diferente de forma a identificar.
No router que vai passar primeiro é necessario fazer a seguinte config:
as configurações sao feitas nas interfaces
standby 20 ip 10.3.1.1 //ip virtual (20 identifica o grupo da vlan)
standby 20 priority 150 //quanto maior o nr maior a prioridade
standby 20 preempt //identifica quem vai ser "presidente"
no router que vai passar segundo e necessario fazer a seguinte config:
standby 20 ip 10.3.0.1 //ip virtual
## Exemplos de Configuração
```
central_2
int g0/1
no shu
int g0/1.20
encapsulation dot1q 20
ip add 10.3.1.2 255.255.255.0
standby 20 ip 10.3.1.1
standby 20 priority 150
standby 20 preempt
!
int g0/1.30
encapsulation dot1q 30
ip add 10.3.2.2 255.255.255.0
standby 30 ip 10.3.2.1
standby 30 priority 150
standby 30 preempt
!
int g0/1.99
encapsulation dot1q 99
ip add 10.3.4.2 255.255.255.0
standby 99 ip 10.3.4.1
!
!
int g0/1.10
encapsulation dot1q 10
ip add 10.3.0.2 255.255.255.0
standby 10 ip 10.3.0.1
```
```
MAIN
int g0/1
no shu
int g0/1.20
encapsulation dot1q 20
ip add 10.3.1.3 255.255.255.0
standby 20 ip 10.3.0.1
!
int g0/1.30
encapsulation dot1q 30
ip add 10.3.2.3 255.255.255.0
standby 30 ip 10.3.0.1
!
int g0/1.99
encapsulation dot1q 99
ip add 10.3.4.3 255.255.255.0
standby 99 ip 10.3.1.1
standby 99 priority 150
standby 99 preempt
!
!
int g0/1.10
encapsulation dot1q 10
ip add 10.3.0.3 255.255.255.0
standby 10 ip 10.3.1.1
standby 10 priority 150
standby 10 preempt
!
```
---------------------------------------------
# Etherchannel
* todas as portas têm que tar em **Full-Duplex** e **Trunk** (g/0 - g/0 e f/0- f/0)
* Fazer VTP primeiro (todos os switches têm que conheçer todas as VLANS)
```
int r fa f0/1-2
channel-group 1 mode on (1- Numero do grupo de agregação de links)
exit
int port-channel 1
sw mode trunk
sw trunk allow all (ou espicificar as VLANS todas - mais seguro)
```
# Spanning tree (PVST+)
* Todas as portas acess ligadas a host
```
int f0/1
spanning-tree bpduguard enable
```
* Apenas a portas acess ligas a um **single host**
```
int f0/2
spanning-tree bpduguard enable
spanning-tree portfast
```
# VOIP
**Router onde está ligado o tele VOIP:**
```
int g0/2
int g0/2.10
desc DATA
ip add 192.168.1.1 255.255.255.0
```
**Encapsular a VOICE VLAN**
```
int g/0.20
desc VOICE
enc dot 20
ip add 192.168.10.1 255.255.255.0
```
**Criar DHCP**
```
ip dhcp pool VOICE
net 172.16.2.0
default-router 172.16.1.1
option 150 ip 1.1.1.1 (criar um loop address)
```
**No switch**
**sw trunk enc dot1q (se for witch layer 3)**
```
Vlan 10
Name DATA
int f0/1
sw mode acc
sw acc vlan 10
```
```
vlan 20
name VOICE
int f0/1
sw voice vlan 20
```
**no router**
```
license boot module c2900 technology-package uck9 (para habilitar VOIP)
reload
telephony-service
max-dn 1 (numero maximo de extensoes)
max-eph 1 (numero maximo de teles)
exit
ephone 1
mac 0001.97E7.2AA1 (mac da vlan 1 do SW)
type 7960 (modelo do tele)
but 1:1 (depois do eph-dn 1)
ephone-dn 1
number 400001
name GRSI (alguns nao da)
exit
telephony-service
ip source-address 2.2.2.2 (ip do loopback no Router) port 2000 (porta para registar o tele)
create CNF files (criar ficheiors de config para download)
```
* ROUTER
```
dial-peer voice 410 VOIP
destination-patter 410... ( as extensoes que queremos descobrir - ligar)
session target ipv4:10.3.255.1
```
## **NETFLOW**
```
interface FastEthernet0/0 (ou nas sub-interfaces)
ip flow ingress
ip address 192.168.10.1 255.255.255.0
```
* Ingress (porta que vai escutar - ligadas a hosts ou switches)
```
ip flow-export destination 192.168.20.2 9996
ip flow-export version 9
```
---
## EXEMPLO CONFIGURAÇAO PAP
R1(config)# username R3 secret class
R1(config)# interface s0/0/0
R1(config-if)# ppp authentication pap
R1(config-if)# ppp pap sent-username R1 password cisco
R3(config)# username R1 secret cisco
R3(config)# interface s0/0/0
R3(config-if)# ppp authentication pap
R3(config-if)# ppp pap sent-username R3 password class
dentro da serial, inserir o proprio username e a propria pass
fora da interface e em configuração global, estabelecemos com quem queremos comunicar
Exemplo:
Estando no R2
(configglobal) username R3 secret cisco
int s0/0/0 (ligada ao R3)
ppp pap sent-username R2 password class
Aqui ele vai enviar as proprias informações ao R3
### Point-to-Point Protocol (CHAP)
No CHAP, é uma forma de autenticação encriptada.
O Hostname num router tem que igualar o username no outro que tem configuração chap.
As password também têm que ser iguais.
**RTOP**
```
Hostname RTOP
username RMID password cisco
!
interface s0/0/1
ip address 10.3.254.2 255.255.255.252
encapsulation ppp
ppp authentication chap
```
**RMID**
```
Hostname RMID
username RTOP password cisco
!
interface s0/0/1
ip address 10.3.254.1 255.255.255.252
encapsulation ppp
ppp authentication chap
```
## troubleshooting
debug ppp authentication
# Lan Security
## **Tipos de ataques**
Sign in with Wallet
Connect another wallet