дурацкий вопрос - вилан 5 есть на свиче? :)

> Вот настройки порта

а где настройки не порта?

Вдруг кому тоже надо будет, то вот основные параметры (Cisco) необходимые для работы:

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
dot1x system-auth-control
radius-server host 10.10.12.127 auth-port 1812 acct-port 1813 key radius

настройки порта:
switchport mode access
authentication host-mode multi-domain
authentication open
authentication port-control auto
authentication periodic
dot1x pae authenticator
dot1x timeout quiet-period 10
dot1x timeout server-timeout 5
dot1x timeout tx-period 5
spanning-tree portfast

Со стороны NPS

Сертификаты чтобы были на клиентском ПК и сервере NPS

Атрибуты Radius
Framed-MTU: 1344
Tunnel-Medium-Type: 802
Tunnel_Pvt-Group-ID: 5 (номер вашего влана)
Tunnel-Type: VLAN
Tunnel-Tag:1

> Инспекция SIP выключена

ай малацца

> как победить?

понять как работает сип, гуглить

https://serverfault.com/questions/626501/cisco-asa-5500-sip-...

> Как мне побороть эту проблему?
> В какую сторону копать?
> Спасибо

начать с изучения основ ipv6 и чтения RFC, да v6 срань работает местами совсем не так как v4
https://datatracker.ietf.org/doc/html/rfc4861#section-8

   A router MUST be able to determine the link-local address for each of
   its neighboring routers in order to ensure that the target address in
   a Redirect message identifies the neighbor router by its link-local
   address.  For static routing, this requirement implies that the next-
   hop router's address should be specified using the link-local address
   of the router.  For dynamic routing, this requirement implies that
   all IPv6 routing protocols must somehow exchange the link-local
   addresses of neighboring routers.

>[оверквотинг удален]
> Как видите, в качестве next-hop выступает локальный адрес интерфейса fe80::65c:6c00:2a8:804b,
> а не адрес BGP соседа (aaaa:111:1::99) от которого получен маршрут.
> Маршрутизатор aaaa:111:1::99 отдает маршруты с опцией next-hop self
> Пробовал на входящие маршруты маршруты вешать:
> route-map IPv6-IN permit 10
>  set ipv6 next-hop peer-address
> Ситуация никак не изменилась.
> Как мне побороть эту проблему?
> В какую сторону копать?
> Спасибо

> А уж потом порты в зависимости от оборудования за ними переводить в
> соответствующие VLAN'ы ACCESS'ы и транки. Рабочая ли схема? И как вы
> бы подошли?

Я у себя дома недавно делал штук 5 виланов для умной нечисти и тоже на микротах (CRS свитчи, hexS - роутер) и тоже при наличии сети без виланов. В микротиках есть настройка пропускать пакеты без виланов или с неправильными виланами. Просто сделайте так и поэтапно настраивайте. Когда всё настроете и трафик через неправильные маршруты станет нулевым, установите на транках строгое выполнение настроек виланов.

Для начала бы я изучил вопросы что такое VLAN, как они реализуются... И после этого бы осознал что не бывает eth-сети без VLAN... :)

Работает - не трогай.

> А уж потом порты в зависимости от оборудования за ними переводить в
> соответствующие VLAN'ы ACCESS'ы и транки. Рабочая ли схема? И как вы
> бы подошли?

Данная схема рабочая, но начинать нужно с дизайна сети.Если на свитчах порты вперемешку заняты  между пользователями и другими устройствами, то задача "выделить один VLAN на один свитч" не получится.
А для выделения  N vlan  на свитчах нужно иметь под боком готовую схему с распрделнием vlan.
Второй момент - VLAN 1. Его как привило выводят в VLAN управления свитчами и закрывают  acl от остальных.

> Собственно решил я реорганизовать это хозяйство и нарезать на VLAN'ы.

Для чего? Цель изменения какая?

> Пока придумал так: Начать с микрота, на нём поднять все VLAN'ы,

А начать нужно с реальных задач бизнеса и проблем организации.

> И как вы бы подошли?

Для начала, отключил бы вам доступ на консоли сетевого железа.

Вторым этапом отправил бы вас на курсы повышения квалификации (ну или как минимум купил бы доступ к какой-нибудь образовательной платформе).

Потому что вносить изменения в работающую сеть на основе советов с форума это приговор.

>[оверквотинг удален]
> Пока придумал так: Начать с микрота, на нём поднять все VLAN'ы, но
> единственный порт в который входит вся остальная сеть - access'ом для
> одного из поднятых VLAN'ов. И на этом влане повесить текущий DHCP.
> Таким образом для сетки вроде как ничего не изменится.
> Далее на коммутаторе с которого идёт этот один путь на микрот -
> этот порт и соответствующий порт микрота переделать в транк, а все
> остальные порты коммутатора в ACCESS для того же самого VLAN'а.
> А уж потом порты в зависимости от оборудования за ними переводить в
> соответствующие VLAN'ы ACCESS'ы и транки. Рабочая ли схема? И как вы
> бы подошли?

Есть возможность составить текущую карту сети?
И карту какую ты желаешь видеть.

> Пока придумал так: Начать с микрота, на нём поднять все VLAN'ы, но
> единственный порт в который входит вся остальная сеть - access'ом для
> одного из поднятых VLAN'ов. И на этом влане повесить текущий DHCP.
> Таким образом для сетки вроде как ничего не изменится.
> Далее на коммутаторе с которого идёт этот один путь на микрот -
> этот порт и соответствующий порт микрота переделать в транк, а все
> остальные порты коммутатора в ACCESS для того же самого VLAN'а.
> А уж потом порты в зависимости от оборудования за ними переводить в
> соответствующие VLAN'ы ACCESS'ы и транки. Рабочая ли схема? И как вы
> бы подошли?

По итогу проведённых мероприятий сам тут и отвечу на свой вопрос:
Лучше не загонять сперва всё в какой-то VLAN, более того, как кто-то тут уже озвучил - VLAN хоть какой-то всегда есть.

Лучше для нарезки по сегментам:
1. Сперва на всех коммутаторах и маршрутизаторе создать предполагаемые к реализации VLAN'ы. (не назначая их пока портам)
2. Далее все межкоммутаторные линки оформить в транки. С разрешённым native vlan'ом. Чтобы всё не выделенное в VLAN продолжало работать как раньше.
3. Сформировав понимание того на каком коммутаторе какие конечные сегменты будут сидеть или через него проходить транзитом - ограничить все транки соответствующим набором VLAN'ов + native нетегированный.
4. На маршрутизаторе в простейшем случае когда сети надо выдавать интернет, завести таблицу с L3 подсетями активных VLAN'ов, т.е. тех в которые запущены пользователи. И им раздать интернет. Т.е. будет 2 правила NAT'a: Для всего что ломится через WAN интерфейс (это прежнее правило, для не выделенных в VLAN'ы) и для указанного списка подсетей NAT'им.
5. Выделяем один из VLAN сегментов:
  - На маршрутизаторе для данного VLAN интерфейса поднимаем DHCP сервер с соответствующей подсетью. Если надо добавляем подсеть в список для NAT'а.
  - Все порты куда входят пользователи сегмента переводим в ACCESS с данным VLAN'ом. И проходимся по пользователям
  - У пользователей при необходимости обновляем dhcp лизы, или переводим со статики в dhcp и прочие мелкие неурядицы.
6. Когда сегмент выделен и все неурядицы связанные с ним решены - повторяем для следующего сегмента и т.п.

  

> езультат: никто из группы (25 чел) больше 3-х вопросов не осилил, а доцент над нами только посмеивался

всё что нужно знать о современном образовании, гнать в шею надо и тупых студентов и препода который не смог донести до вас ни _основы_ сетей, ни основы самостоятельного поиска решений

сынок, надо чтоб вы ВКЛЮЧИЛИ мозги и научились самостоятельно находить решения на _любые_ вопросы, а не чтоб добрые дяди из форумов порешали эти _конкретные_

все задачи простые как двери, вот совсем азы сетей
кроме хуавья синтакс которого я отродясь не знал и хз какие там отличия с сыской все задачи решаются как 2 пальца

Зачот.
Получил список вопросов к ccna, а готовиться самостоятельно лень? Может, если бы не врал про "челлендж", кто-то бы и накидал правильных ответов, не сильно вдаваясь в объяснения.

>[оверквотинг удален]
> -------------------------------------------------------------------------------------------------------------
> 13. Имеется конфигурация со стороны филиала, оборудование Cisco
> router bgp 64962
>   network 10.192.83.22 mask 255.255.255.255
>   redistribute connected
>   neighbor 10.192.135.209 remote-as 65162
>   neighbor 10.192.135.209 password sbrfBGP
>   neighbor 10.192.135.209 route-map bgp_export out
> Имеется проблема, префикс 10.192.83.22/32 прилетаем на центральный узел без bgp community
> хотя должен согласно настроенному route-map, исправьте конфигурацию для решения проблемы

А в чем проблема найти и изучить книжки CCNA ICND 100-101 и CCNP ROUTE 300-101?

Да и не сходится ваш основной вопрос. Если вы _программеры_, а вопросы по _сетям_, то почему не указана дисциплина, по которой препод ведет обучение? Если вы, как программеры, пытались взять на слабо препода не по основной дисциплине, то вы ССЗБ.

Препод вас классно обломал вопросами из курса CCNA...

Все ответы (если немного подумать) есть здесь - http://citforum.ru/nets/ito/index.shtml

P.S. Третий вопрос - мой любимый :)

Приходи сюда, когда будет реально интересный и сложный вопрос. Не приходи сюда за ответами сколько будет 2+2 и почему. Это вызывает только насмешки и раздражение.

> Поделитесь пожалуйста софтом поновее
> Cisco IP Communicator v 8.6(6)
> https://software.cisco.com/download/home/278468661/type/2820...

https://www.dropbox.com/s/puh5ls6lxcf7tve/cipc-Admin-fmr.8-6...

через пару дней грохну

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

Это как сравнивать теплое с мягким.

> преподаватель попросил сформулировать преимущества SNMP

Троллит, наверное.

google: snmp vs ssh

SNMP используют больше для мониторинга (статистика и алерты), что, в самом деле, является частью управления. В принципе, изменять настройки через него тоже можно, но говорят что удовольствие ниже среднего.

Я бы расчитывал встретить управление по SNMP в каких-нибудь фирменных утилитах. Это не путь джедая.

Простота и дешевизна, вот целых два преимущества.
Умение проектировать простые и дешевые в сопровождении системы - это то, для чего в принципе учат инженеров. Не болтать о том, как "правильно" или как "лучше всего".

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

Важно помнить одну из неофициальных, но точно передающих суть, расшифровок SNMP - "security is not my problem".

> можете подсказать в чем плюсы snmp в управлении?

Если вам это еще актуально, то самая большая разница:

snmp - это машинный API (хреновенький по нынешним временам но как есть). Это значит что к нему есть документация "формальные контракты" и прочее. Т.е. известно хотя-бы примерно что на входе, что должно быть на выходе. Есть MIB файлы, схема и перечислены переменные. В том числе описано в каком формате что отдается.

cli - это суть человеческий интерфейс, это интерфейс который строился в расчете на то, что туда смотрит ЧЕЛОВЕК глазами, не машина.

Пример: Если вчера колонка в табличке вывода называлась ip, а в значении вчера было 1.1.1.1 255.255.255.255. А сегодня там написано ipv4 и 1.1.1.1/32 соответственно, то  человек спокойно это дело скушает и поймет. В случае с машинным интерфейсом у вас тут же поломается парсер, либо если у вас хороший программист писал софт и сделал проверку на входе, то программа упадет по какому-нибудь valueError. Потому что машина будет ожидать ровно то, что прописано в контракте (документации если угодно).

Все сказаное выше справедливо и для управления (т.е. парсер железки ругнулся на новый синтаксис, вы этот ответ прочитали и тут же ввели команду в другом формате).

В современных же реалиях больших сетей почти никто не управляет всем этим в ручную (через cli). У вас либо есть какой-нибудь NMS на стероидах, либо ansible (puppet, chef, you name it) в который вы через CI/CD либо еще как-то доставляете нормализованные входные данные. После тестирования изменений на пригодность и безопасность система сама эти самые измнения деплоит (наливает в устройства). Потом делает тесты после внесения изменений. Если необходимо откатывает изменения в случае если что-то пошло не так.

> преподаватель попросил сформулировать преимущества  SNMP для управления сетевым оборудованием
> по сравнению SSH. Всегда считал, что преимущественней ssh даже перед snmp
> version 3. можете подсказать в чем плюсы snmp в управлении?

snmp есть везде, даже там где нет ssh :)

Тема закрыта

> Железка Cisco WS-C3560X-24P
> При загрузке канала через Tunnel0, процессор сильно грузится и канал разгоняется только
> до 9-10 Mbps  в одну сторону. Почему так грузится CPU?

Коммутатор чтоб коммутировать, хотите много GRE (или любой другой истории серьезно загружающей процессор общего назначения) ставьте что-то с мощным процессором (ISR, ASR)

> Как снизить нагрузку?

Никак.

traceroute -T -p  не подойдет?

> Добрый день.
> Такая задача. Нужно проверить прохождение IPv4 пакетов от узла А до узла
> Б. При этом не просто попинговать, а проверить прохождение TCP и
> UDP по всем портам. (Есть подозрение, что на пути что-то режется).
> Вроде всё проще простого, на тестовом узле А открываем все 65535 TCP
> и UDP портов, с узла Б NMAP-ом все их перебираем.
> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались
> на NMAP?

>  (Есть подозрение, что на пути что-то режется).

Вот с симптомов и нужно начинать. Может ваша проблема не стоит и выеденого яйца.

Попробуйте iperf в связке с shell скриптами.
Или любым удобным ЯП (php, python) посылать пакеты. На другой стороне слушать tcpdump/wireshark или те-же самые простые приемники TCP/UDP пакетов на тех-же самых ЯП. Есть пакет определенного содержимого - переключаемся на следующий порт. Нет - выводим алерт или мессагу в файл с номером порта.
Доработать простые примеры TCP/UDP клиент-серверов из интернета дело одного вечера.

> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались на NMAP?

У вас IP-стек ядра ОС не сдохнет слушать сразу на всех портах TCP+UDP да еще и отвечать в обратную сторону?

> Добрый день.
> Такая задача. Нужно проверить прохождение IPv4 пакетов от узла А до узла
> Б. При этом не просто попинговать, а проверить прохождение TCP и
> UDP по всем портам. (Есть подозрение, что на пути что-то режется).
> Вроде всё проще простого, на тестовом узле А открываем все 65535 TCP
> и UDP портов, с узла Б NMAP-ом все их перебираем.
> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались
> на NMAP?

запустить iperf в серверном режиме и файрволом редиректить всё в его порт. главное себе ноги^W ssh не отстрелить

> Добрый день.
> Такая задача. Нужно проверить прохождение IPv4 пакетов от узла А до узла
> Б. При этом не просто попинговать, а проверить прохождение TCP и
> UDP по всем портам. (Есть подозрение, что на пути что-то режется).
> Вроде всё проще простого, на тестовом узле А открываем все 65535 TCP
> и UDP портов, с узла Б NMAP-ом все их перебираем.
> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались
> на NMAP?

Открыть порты -- любым сервисом.
Да хоть тем же nginx в конфиге 65535 listen-ов написать :)

> Добрый день.
> Такая задача. Нужно проверить прохождение IPv4 пакетов от узла А до узла
> Б. При этом не просто попинговать, а проверить прохождение TCP и
> UDP по всем портам. (Есть подозрение, что на пути что-то режется).
> Вроде всё проще простого, на тестовом узле А открываем все 65535 TCP
> и UDP портов, с узла Б NMAP-ом все их перебираем.
> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались
> на NMAP?

Можете проверить фрагментацию пакетов командой ping www.yandex.ru -4 -l 65500 и еще пропингуйте с большим количеством пакетов ping -4 -n 220 yandex.ru Скачайте Wireshark зайдите в статистика графики ввода вывода там пишутся ошибки

> Добрый день.
> Такая задача. Нужно проверить прохождение IPv4 пакетов от узла А до узла
> Б. При этом не просто попинговать, а проверить прохождение TCP и
> UDP по всем портам. (Есть подозрение, что на пути что-то режется).
> Вроде всё проще простого, на тестовом узле А открываем все 65535 TCP
> и UDP портов, с узла Б NMAP-ом все их перебираем.
> Вопрос: Какой программой можно открыть сразу все порты, что бы они откликались
> на NMAP?

Еще можно так TRex
Realistic Traffic Generator https://trex-tgn.cisco.com/

> максимум давал скорость 30-35 мбит
> при одинаковых настройках - 80211n 20 mhz 6 channel, если откатиться на
> родную  прошивку, скорость подбирается к 100 мбит.
> Может я просто не умею страивать wifi в openwrt.

На то она и родная, оптимизированая по скорости. У OpenWRT функционала больше, а TP-LINK железяка дохлая, особо доставляет Ralink. Попробуй подшаманить, но много не выжмешь - https://gist.github.com/ruzickap/10008636

Как появилось больше 20Мбит, пришлось менять железо. Сначала на Asus RT-AC68U, потом на EdgeRouter PoE + EdiMax AC1200.

> На tplink-841n(nd) стояла последняя версия openwrt и всем устраивала (собственно шился
> из-за кучи вещей, которых нет в родной прошивке).
> Провайдер на днях поднял скорость с 30 до 70 мбит. А wifi
> максимум давал скорость 30-35 мбит
> при одинаковых настройках - 80211n 20 mhz 6 channel, если откатиться на
> родную  прошивку, скорость подбирается к 100 мбит.
> Может я просто не умею страивать wifi в openwrt.
> ЧЯДНТ

Что мешает проверить?

> На tplink-841n(nd) стояла последняя версия openwrt и всем устраивала (собственно шился
> из-за кучи вещей, которых нет в родной прошивке).
> Провайдер на днях поднял скорость с 30 до 70 мбит. А wifi
> максимум давал скорость 30-35 мбит
> при одинаковых настройках - 80211n 20 mhz 6 channel, если откатиться на
> родную  прошивку, скорость подбирается к 100 мбит.
> Может я просто не умею страивать wifi в openwrt.
> ЧЯДНТ

Думаю скорее всего дело в самом соединении, тож были похожие проблемы, отказались от провайдера и все решилось

> На tplink-841n(nd) стояла последняя версия openwrt и всем устраивала (собственно шился
> из-за кучи вещей, которых нет в родной прошивке).
> Провайдер на днях поднял скорость с 30 до 70 мбит. А wifi
> максимум давал скорость 30-35 мбит
> при одинаковых настройках - 80211n 20 mhz 6 channel, если откатиться на
> родную  прошивку, скорость подбирается к 100 мбит.
> Может я просто не умею страивать wifi в openwrt.
> ЧЯДНТ

если пров дает 70 мбит, то откуда на вафле 100 мбит взялось? Кто-то где-то врет.

> На tplink-841n(nd) стояла последняя версия openwrt и всем устраивала (собственно шился
> из-за кучи вещей, которых нет в родной прошивке).
> Провайдер на днях поднял скорость с 30 до 70 мбит. А wifi
> максимум давал скорость 30-35 мбит
> при одинаковых настройках - 80211n 20 mhz 6 channel, если откатиться на
> родную  прошивку, скорость подбирается к 100 мбит.
> Может я просто не умею страивать wifi в openwrt.
> ЧЯДНТ

Ждите обновления openwrt они исправляют ошибки но медленно через пол года думаю исправят

Зависит от того, как много абонентов они на один "передатчик" запихивают. В простом езернете тоже никогда абоненту не приходят именно его n мегабит. Все так же, одна трубу делится на кучу абонентов. Все абоненты никогда не используют всю полосу на всю катушку. Полная аналогия с водопроводными трубами.

>[оверквотинг удален]
> Почитал про устройство GPON . дословно понял, что на все дерево в
> ветке максималная скорость не превышает 2.5 гбит\сек. Т.е если в многоквартирном
> доме (300 квартир) 20-30 квартир подключены + пара соседних домов (т.к.
> я не уверено, что одно волокно идет от GPON головного устройства
> в каждый дом), то скорость эта профанация?
> Или количество абонентов на гигабит в среднем такое же как и у
> других провайдров? просто интересно, если я возьму 800, и еще 3
> соседа возьмут по 800, да запустят торенты, это будет предел?
> И как у ростелекома качество услуг? Гугл конечно на этот вопрос отвечает,
> но уровень мнения там примерно "небыло не единого разрыва"

Был от них тариф со скоростью 200 мбит/сек. Выжимал до 150 мбит/сек, дальше мой комп не тянул, т.к. соединение было pptp.
Скорость закачки "измерял" на торрентах. Но заметил одну неприятную особенность, если качать из-за рубежа, то скорость падала до 25 мбит/сек.
За другими операторами большой тройки этого не замечал, на 100 мбит/сек канале скорость что по стране, что за рубеж стабильно была 80 мбит/сек.

>[оверквотинг удален]
> Почитал про устройство GPON . дословно понял, что на все дерево в
> ветке максималная скорость не превышает 2.5 гбит\сек. Т.е если в многоквартирном
> доме (300 квартир) 20-30 квартир подключены + пара соседних домов (т.к.
> я не уверено, что одно волокно идет от GPON головного устройства
> в каждый дом), то скорость эта профанация?
> Или количество абонентов на гигабит в среднем такое же как и у
> других провайдров? просто интересно, если я возьму 800, и еще 3
> соседа возьмут по 800, да запустят торенты, это будет предел?
> И как у ростелекома качество услуг? Гугл конечно на этот вопрос отвечает,
> но уровень мнения там примерно "небыло не единого разрыва"

НЕ вздумайте у GPON китайские модемы с процессором 500 мегагерц и плохой прошивкой и поменять вы этот оптический роутер на что то другое не сможете многие от этого страдают

> Здравствуйте!!!
> Вот попала в руки такая точка доступа CISCO AI-AP1141N-E-K9
> Никак не могу попасть в неё. Совершенно не реагирует на консоль, подключаюсь
> консольным кабелем на экран совершенно ничего не выводит. Предыдущий хозяин сказал
> что сбросил её в заводские настройки. Подскажите как попасть в неё
> для дальнеёшей настройки?

DHCP запросы шлет?

> Здравствуйте!!!
> Вот попала в руки такая точка доступа CISCO AI-AP1141N-E-K9
> Никак не могу попасть в неё. Совершенно не реагирует на консоль, подключаюсь
> консольным кабелем на экран совершенно ничего не выводит. Предыдущий хозяин сказал
> что сбросил её в заводские настройки. Подскажите как попасть в неё
> для дальнеёшей настройки?

Как подключаетесь? Какой программой?
Первым делом проверьте работает ли у вас RS232 порт.
Проверьте настройки RS232 (9600-8-none-1-none) - http://www.cisco.com/c/en/us/support/docs/dial-access/asynch...

Разъем проверьте, он для консоли такой же как для LAN, можно перепутать.
Питание.

А вы как её питаете, PoE или блоком питания? Индикация работает?
Ну и, вы в курсе, что без WLC контроллера, эта точка особо бесполезна?

UPD. спутал с 1041 точками
в документации сказано
>Follow these steps to access the CLI using a Telnet session. These steps are for a PC running Microsoft Windows with a Telnet terminal application. Check your PC operating instructions for detailed instructions.
>
>Step 1 Select Start > Programs > Accessories > Telnet.
>If Telnet is not listed in your Accessories menu, select Start > Run, type Telnet in the entry field, and press Enter.
>Step 2 When the Telnet window appears, click Connect and select Remote System.
>Step 3 In the Host Name field, type the access point IP address and click Connect.

http://www.cisco.com/c/en/us/td/docs/wireless/access_point/1...

по ссылке так же есть таблица диагностики лед индикатора, может помочь

Когда мои пользователи ЛС хотят посекретничать, я их прошу не морочить голову сетевикам, а заворачивать траффик в SSL/TLS и аутентицировать сообщения на 7-ом уровне.

Если таким образом решить задачу приемлемо не получается, то настраиваю оверлейную сеть между конкретными заинтересованными хостами, отдельными группами.
До настоящего времени использовал Tinc, теперь, наверное, буду WireGuard пробовать.

Похоже?

(Такая вот глубокая неприязнь к решениям с потрохами зависящим от мутного функционала "божественных ящиков")

no shutdown?

show interfaces...

>[оверквотинг удален]
> Возможно, вопрос покажется глупым, просто нет понимания у меня почему так происходит.
> Допустим есть 2 коммутатора L2, которые соединены между собой 2 линками, на
> которых поднят portchannel. Все работает. Теперь разбираем этот portchannel и вот
> тут возникает вопрос.
> Если банально сделать no interface portchannel, то коммутатор убирает настройку channel-group
> с физических интерфейсов, но при этом переводит интерфейсы в даун. Объясните,
> почему так происходит, в чем заключается логика циски? Ведь физические интерфейсы
> остаются с нормальным конфигом, но почему-то переведенные циской в даун.
> Если просто сначала снять ручками с физического интерфейса channel-group, а потом уже
> убирать interface portchannel, то тогда все работает и порт не падает.

Дык вопрос не туда. Вам в саппорт циски, раздел "философия" :)
А вообще почитайте про циску внимательнее, у нее есть фича - автоопределения наличия портченнела в канале, вот скорее всего потому и шатдауниит.

>[оверквотинг удален]
> Возможно, вопрос покажется глупым, просто нет понимания у меня почему так происходит.
> Допустим есть 2 коммутатора L2, которые соединены между собой 2 линками, на
> которых поднят portchannel. Все работает. Теперь разбираем этот portchannel и вот
> тут возникает вопрос.
> Если банально сделать no interface portchannel, то коммутатор убирает настройку channel-group
> с физических интерфейсов, но при этом переводит интерфейсы в даун. Объясните,
> почему так происходит, в чем заключается логика циски? Ведь физические интерфейсы
> остаются с нормальным конфигом, но почему-то переведенные циской в даун.
> Если просто сначала снять ручками с физического интерфейса channel-group, а потом уже
> убирать interface portchannel, то тогда все работает и порт не падает.

Во избежание образования петли и как результат шировещательного шторма

> как настроить маршрутизацию для управнения оным коммутатором из другой подсети?

А зачем вам для этого VRF? Дайте ему IP адрес и пропишите маршрут по умолчанию. Как если бы это был просто хост.

> Добрый день.
> Есть CISCO C3750E-UNIVERSALK9NPE-M 15.0(1)SE3
> у которого совсем нет VRF. Так бывает? Посоветуйте пожалуйста, как настроить маршрутизацию
> для управнения оным коммутатором из другой подсети? В своей сети он
> работает как просто L2.

3750 поддерживает vrf lite . . Но если он чисто л2, то как заметил предыдущий оратор, дифолтного врф достаточно

> Достался от предшественника Dlink DGS-1210-28P/ME, в рабочей сети. Никак не могу найти
> ни по MAC ни по IP, пропал как в бермудском треугольнике.
> Настройки не известны. Подскажите есть ли какие-нибудь гуманные способы залогиниться на
> него. Сброс к заводским настройкам не возможен.

Скорее всего накосячили с настройками Management VLAN

> Достался от предшественника Dlink DGS-1210-28P/ME, в рабочей сети. Никак не могу найти
> ни по MAC ни по IP, пропал как в бермудском треугольнике.
> Настройки не известны. Подскажите есть ли какие-нибудь гуманные способы залогиниться на
> него. Сброс к заводским настройкам не возможен.

Ножками до консольного порта дойти с ноутбуком и кабелем. И установить причину локально.

> Достался от предшественника Dlink DGS-1210-28P/ME, в рабочей сети. Никак не могу найти
> ни по MAC ни по IP, пропал как в бермудском треугольнике.
> Настройки не известны. Подскажите есть ли какие-нибудь гуманные способы залогиниться на
> него. Сброс к заводским настройкам не возможен.

Это лишний раз доказывает, что Длинки - полное говно и днище.

> Настройки не известны.

А что известно?
Например:
Свич существует, включён и используется.
На разных портах отдаются разные VLAN-ы (какие на каких).
Такие-то порты используются как аплинк в trunk.

> Сброс к заводским настройкам не возможен.

Даже если очень хочется?

Опции:
Поминте, что вам потребуется не только его найти, но и залогниться.
Напишите предшественнику, промотивируйте его материально.
Обратитесь с проблемой в D-Link или их партнёру, промотивируйте материально.
Запишите/промаркируйте кто куда был подключён, отключите всех, посмотрите сниффером в каждый порт во время загрузки. Есть шанс что он пукнет каким-нибудь трафиком, будет наводка.
Если простой в 2-3 часа окажется дороже нового свича, покупайте новый, втыкайте его паралельно и мигрируйте всех на него. Или добудте второй свич взаймы. Когда освободите старый DGS-1210-28P/ME и всё будет работать на новом, сбрасывайте настройки.

>[оверквотинг удален]
> не теряется. Но тест BERT (Bit Error Rate Test) выдает коэффициент,
> отличный от 0, то есть я делаю вывод, что пакеты приходят
> не в правильном порядке из-за появления некоторой задержки при проходе через
> устройства между маршрутизаторами.
> Вопрос такой: можно ли настроить агрегацию (например, какая-нибудь волшебная балансировка)
> так, чтобы UDP пакеты приходили в правильном порядке, если связь между
> маршрутизаторами может быть ТОЛЬКО СИМПЛЕКСНОЙ? Или же, при такой постановке задачи,
> за порядком пакетов можно следить только используя свой контроль на генерирующем
> поток и приемном устройствах (например, использовать часть байт в пакете для
> нумерации пакетов и тому подобное)?

НЕТ!
Повторите торию -- IP НЕ ГАРАНТИРУЕТ ПОРЯДОК!!! от слова вообЧе и СОВСЕМ.
Каждый IP пакет (и как следствие UDP дейтаграмма) независимый блок данных и прийти они могут в произвольном порядке и без агрегации каналов.
И именно в UDP понятие "неправильный порядок пакетов" лишино смысла.
Задача "собрать в правильном порядке" -- задача приложения, а никак не стека UDP.

Для "на выходе" получить "правильный порядок" был придуман tcp...

Можно, если маршрутизаторы в середине балансируют per flow, а не per packet.
Но это не микротики, конечно, да и в Линукс-бсд-боксах надо приложить усилия руками, из коробки не будет. А те рутеры, где есть CEF и похожие методики, те умеют.

> к читаемому
> .bin

Ты серьезно?

>[оверквотинг удален]
>           Output
> modifiers
>   <cr>
> AAAA(config)#router ?
>   odr  On Demand stub Routes
>   rip  Routing Information Protocol (RIP)
> Лицуха
> License Information for 'c880-data'
>     License Level: advsecurity_npe   Type: Permanent
>     Next reboot license Level: advsecurity_npe

OSPF, EIGRP, BGP - это лицензия advipservices/advipservices_npe.

Командой license boot module c880-data level advipservices можно активировать нужную лицензию.

>[оверквотинг удален]
> 1
> 015469: Oct 12 20:06:42.365: %C4K_L2MAN-6-INVALIDSOURCEADDRESSPACKET: Packet received
> with invalid source MAC address (00:00:00:00:00:00) on port Po1 in vlan
> 1
> 015470: Oct 14 08:24:29.046: %C4K_L2MAN-6-INVALIDSOURCEADDRESSPACKET: (Suppressed
> 1 times)Packet received with invalid source MAC address (00:00:00:00:00:00) on port
> Po1 in vlan 1
> это железка cisco 4506-e
> помогите, как вычислить от куда лезет этот мак
> я прошерстил логи на всех железках в сети, ничего

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCto67828

>[оверквотинг удален]
>     Server host name not given
>     Boot file name not given
>     Magic cookie: DHCP
>     Option: (53) DHCP Message Type (Discover)
>     Option: (61) Client identifier
>     Option: (60) Vendor class identifier
>     Option: (55) Parameter Request List
>     Option: (255) End
>     Padding: 000000000000000000000000000000000000000000000000…
> где я что пропустил?

А что сервер DHCP на сию тему глаголет???

> Приветствую!
> Ребят, в сети установлены Cisco 8xx серии, хотим их лицензировать, купить лицензии.
> В сети используется функционал GRE, IPSEC, IKEv1, OSPF. Какие лицензии необходимо приобрести
> для функционирования вышеперечисленных фич? Поставщик сомневается и не может дать точный
> ответ.
> Покупать advipservces + advsecurity либо достаточно одного advipservces ?

для IPSEC/IKEv1 нужен advsecurity

> Приветствую!
> Ребят, в сети установлены Cisco 8xx серии, хотим их лицензировать, купить лицензии.
> В сети используется функционал GRE, IPSEC, IKEv1, OSPF. Какие лицензии необходимо приобрести
> для функционирования вышеперечисленных фич? Поставщик сомневается и не может дать точный
> ответ.
> Покупать advipservces + advsecurity либо достаточно одного advipservces ?

Функционал advipservces включает в себя функционал advsecurity. Достаточно одного advipservces.

Учебник по TCP/IP прочитайте, там все есть.

> нашел в конфиге такие строчки. я так понимаю это несколько ip адресов
> на одном интерфейсе?

Да.

> мне кажется это не есть правильно.

Правильно кажется. Но на самом деле по ситуации. Иногда оно требуется.
Чаще всего, такие вещи можно обнаружить как результат наслоений легаси, когда сеть росла и развивалась без должного планирования и порядка. В смысле, силами неряшливых осполнителей, либо по безграмотному плану, либо без плана вообще. За аутсорсерами постоянно такое разгребаем.

В принципе, тут нарушается три правила, отклонятся от которых не стоит без ОЧЕНЬ существенной причины:
- Строго одна подсеть на одну VLAN. Потому что риск странностей с маршрутизацией, и вообще набросано.
- Не перемешивать публичную адресацию с приватной в одном широковещательном домене. Это подмножество предыдущего, но с отягчающими. Потому что непонятно насколько интерфейс выставлен, и ещё более интересные странности с маршрутизацией.
- Не смотреть в Интернет свичом по IP. Смотреть более L3 специализированнум устройством, на которой сразу можно создать правила файерволла и NAT, что не одно и то же.

Но это не точно, иногда таки надо.

> вопрос в
> том какие последствию могут возникать при такой настройке интерфейса

Каша будет расти, пока не заполнит Вселенную. Возможно, зависит от топологии остальной сети, труднодиагностируемые глюки и непредсказуемые дырки. Чем дальше, тем труднее будет привести это в порядок.

Короче, рекомендую не трогать и открещиваться. Или переделывать сразу. Там у вас, наверное, ещё много таких приколов, по одиночке они не ходят.

Учебник по TCP/IP важно, но там обычно про то, какие механизмы задействованы при стрелянии себе в ногу, и меньше про то, как отличить стреляние в ногу от нестреляния. В этом случае поможет изучение best practices. Их много, они разные, зачастую холиварят между собой. Но в некоторых вещах они сходятся, типа что если достаточно долго пить из баночки с надписью "яд", то рано или поздно почувствуешь лёгкое недомогание. Ну и что сети на одном VLANe не перемешивать.

> Добрый день!
> Есть задача по настройке маршрутизации исходящего трафика на Сisco ASR, схема такая:
> Есть подсеть допустим: 195.206.216.0/22, и есть два аплинка - оператора, 1 Гбит/с
> (А) и 500 Мбит/с (Б), присоединённые по BGP-FullView...

Вот зачем тебе тут фулл-вью?
И как тебя взяли туда без CCNP ?

>[оверквотинг удален]
> Есть задача по настройке маршрутизации исходящего трафика на Сisco ASR, схема такая:
> Есть подсеть допустим: 195.206.216.0/22, и есть два аплинка - оператора, 1 Гбит/с
> (А) и 500 Мбит/с (Б), присоединённые по BGP-FullView...
> Нужно чтобы подсеть 195.206.218.0/24 могла ходить во внешний мир только через оператора
> А (1Гбит/с), а все остальные (195.206.216.0/24, 195.206.217.0/24, 195.206.219.0/24)
> ходили во внешний мир только через оператора Б (500 Мбит/с), в
> случае отвала А или Б, отрабатывал бы соответствующий резерв...
> Входящий трафик я настроил при помощи префикс листов, анонсировав нужные подсети нужной
> длины разным А и Б провайдерам, но как настроить исходящий трафик
> так и не разобрался, подскажите, как лучше это реализовать?

Я бы посмотрел в  сторону PBR

> Пинги через бридж ходят, tracert тоже работает, компьютер адрес
> по dhcp получил. Но больше ничего не работает. Т.е. пытаешься подцепить
> шару, запрос пароля появляется, вводишь и все через некоторое время ресурс
> не доступен. Судя по пингам связь не обрывается, т.е. потерь вроде
> нет, задержки тоже не большие.

Может быть, не в бридже дело?
Попробуйте HTTP, SSH.
По кабелю, между теми же клентом и сервером, шара работает нормально?
Чем потери и задержки смотрите?

Разобрался сам.

Накосячил с queue
у меня
> /queue type
> set 1 pfifo-limit=500
> set 2 bfifo-limit=500 kind=bfifo

а должно быть
> /queue type
> set 1 pfifo-limit=500
> set 2 pfifo-limit=500 kind=pfifo

причем на обоих устройствах.

> Подключаться могут как по ВиФи, так и по шнурку

А физические порты вы поделили, какие кому, или все втыкаются в один и тот-же broadcast domain? Если все вместе, то никакого разделения у вас не получится.

> здесь, вроде, vlan-ы можно, но можно, мне кажется, и без них...

Да, без VLAN можно, если физических портов хватает непосредственно на Микротике.
Их скорее всего не хватает, но всё равно можно, потребуется организовать отдельные физические свичи для своих и для чужих.
С VLAN-ами удобнее, собственно, их для того и придумали.

Вкратце:
Определитесь, как какие физические порты будете использовать для чего: для Интернета, для офисных, для гостей (если вам так в VLAN-ы не хочется).
Нарисуйте наглядную картинку, смотрите примры на микротиковской вики.
На разных портах назначте адреса из 192.168.X.0/24 и 192.168.Y.0/24. 192.168.Z.0/24 не нужен.
Создайте DHCP сервер для каждой локальной подсети.
Создайте SSID для каждой локальной подсети.

Нагугленному особо не верьте, Mikrotik очень гибок и там можно много работоспособной дичи наворотить. Верьте ихней вики https://wiki.mikrotik.com/wiki/Manual:TOC
Обратите внимение на Bridging and switching: Switch Router

802.1x - вам поможет, mikrotik поддерживает.
И для wifi и для ethernet, и никакой пароль не утечет, ибо каждый ответственный за свой пароль, и если его пароль утечёт что и иметь будут его.
И не мудрите с сетями и масками, вы еще далеки от понимания этого, учитывая вашу писанину.

Ты поделил на Микротике порты? Своих в один Bridge. Чужих в другой? Нет? Это надо сделать в первую голову.
Если у тебя в офисе куча свичей, свои и чужие люди вперемежку, провода втыкай куда хочешь, то "миссия становится почти невыполнима". Спасет только некое кучкование чужих в пределах определенных розеток. На них отдельный свитч, от свича в отдельный порт микротика и читай ниже. Ну а если есть свичи с поддержкой VLAN-ов, то поднимай VLAN-ы, микротик тоже их умеет. Доводи до Микротика, создавай на нем VLAN-интерфейсы.

На интерфейс bridge-1 (или как ты его там назовешь) вешаешь IP для своих.
На bridge-2 вешаешь IP для чужих.

Как привязать DHCP-пул к интерфейсу надеюсь разберешься. Надо создать пул. Потом в настройках DHCP-сервера указать какой пул на какой интерфейс будет относиться.

Для WiFi сделай два разных SSID, со своим пулом IP-адресов.

Ну и дальше FireWall-ом руби кому чего можно, а чего нельзя.

Вроде задача простая.

.

> на локальном интерфейсе
> ставлю две сети - 192.168.X.0/24 (для офисных), 192.168.Y.0/24 (для допущенных гостей),

Толку близко к 0, безопасность 0, изоляция 0... и нафига это делать???

>[оверквотинг удален]
> статиком - адрес им отдаётся, но с маской /4, соотвественно, разделене
> сетей летит к чёрту, интернет работает в зависимости от уровня воды
> в океане. :( На фрюниксах с isc-dhcpd в статиках я могу
> прописать всё, что мне нужно для работы именно этого клиента, а
> в микротике - только IP и mac. Попытка прописать адрес 192.168.X.5/24
> даёт ошибку.
> Задача, вроде, несложная, но не выходит у меня каменный цветок. В гугле
> советы разделения сетей через vlan-ы, но здесь, вроде, vlan-ы можно, но
> можно, мне кажется, и без них... Опыта с микротиками у меня
> мало, подскажите, плз, что я делаю не так? Спасибо!

Вы не пытаетесь понять КАК это работает...

Совет про VLAN очень правильный, хотя и вашего "хотения" тоже можно попробовать добиться, правда непонятно нафига вам 2!! подсети при таком подходе.
ПУСТЬ ПОДСЕТЬ БУДЕТ ОДНА, но адреса 2-126 -- основные офисные, а 129-253 гостевые....

и собственно все.

> ЗЫ: про административные меры безопаснсти и ответственность не говорите - шеф ещё
> эту мысль не переварил и не созрел. Давайте пока попробуем с
> dhcp разобраться.

>[оверквотинг удален]
> mng vlan+abon vlan
> порт пользователя 4001 untag , подключаю роутер в абон порт и на
> сервере с дхцп почему то даже запросов от роутера не вижу.
> на коммутаторе с абонентом делаю вот такие настройки
> DES-3200-28:admin#show dhcp_local_relay
> Command: show dhcp_local_relay
> DHCP/BOOTP Local Relay Status        
> : Enabled
> DHCP/BOOTP Local Relay VID List       :
> 4001

Зачем вы смотрите параметры DHCP на D-Link если ip helper-address на Cisco? Зачем вам вообще на D-Link в этом случае dhcp relay?

Со статическими IP все работает?

> Здравствуйте,от начальства пришло очень необычное требование,постараюсь описать все
> крайне подробно. Короче  есть коммутатор 4500 и ASA 5500,есть подсеть
> 172.25.89.0 и 192.168.100.0. 172.25.89.1 прописан на ASA, 172.25.89.2 на 4500, нужно
> чтоб, когда пакет идет из 172.25.89.0 в 192.168.100.0 то шлюзом служил
> 172.25.89.1 т.е. ASA, а когда из 172.25.89.0 в любые другие подсети,
> то шлюзом служил 172.25.89.2 т.е. 4500.
> Возможно ли такое настроить.

Для обслуживания кошек, вы хоть учебники по CCNA прочитали?

> Возможно ли такое настроить.

Да возможно. Как минимум 2 способами.

> от начальства пришло очень необычное требование

Если это от начальства, которе лезет в микроменеджмент и проектировать сети, то пусть начальство и решает как именно это сделать, на свою голову.
Если это вы сами так придумали, то колитесь, какую именно цель вы преследуете и какие пограничные условия пытаетесь соблюсти. В текущей формулировке, решение так себе, хотя не могу не обратить внимание на то что вы его описали весьма внятно и компактно.

> Возможно ли такое настроить.

Да, даже как минимум тремя способами, более или менее простыми, но грязными. Замучаетесь их поддерживать, а уж что говорить о ваших последователях...
Рисуйте картинку, как вы себе это представляете и в каком контексте оно должно работать. Опишите задачу на более высоком уровне (https://en.wikipedia.org/wiki/Abstraction_layer). Скорее всего можно будет придумать что-то вменяемое.
Или зовите специалиста на возмездной основе. Любой каприз, как говорится.

> Здравствуйте,от начальства пришло очень необычное требование,постараюсь описать все
> крайне подробно. Короче  есть коммутатор 4500 и ASA 5500,есть подсеть
> 172.25.89.0 и 192.168.100.0. 172.25.89.1 прописан на ASA, 172.25.89.2 на 4500, нужно
> чтоб, когда пакет идет из 172.25.89.0 в 192.168.100.0 то шлюзом служил
> 172.25.89.1 т.е. ASA, а когда из 172.25.89.0 в любые другие подсети,
> то шлюзом служил 172.25.89.2 т.е. 4500.
> Возможно ли такое настроить.

Каждый клиент должен иметь маршрут к 192.168.100.0 через 172.25.89.1, а дефотный маршрут оставить 172.25.89.2. Как ты это сделаешь - через dhcp, или политикой домена выполнишь батничек, или вручную всех обойдёшь и настроишь, это твоё дело.