Типовая настройка коммутатора

1. Базовая настройка

  • Удалить старый конфиг
  • Настроить hostname, dns lookup zone
  • Отключить DNS запросы при ошибках в консоли
  • Настроить консольный терминал
  • Настроить NTP и таймзону
  • Настроить удалённый доступ в MNGMT vlan
1

erase startup-config
1
2

hostname <hostname>
ip domain name <domain>
1

no ip domain lookup
1
2
3
4
5
6

line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
 login
 password <PASS>
1
2

ntp peer <IP>
clock timezone MSK +3
1
2
3
4
5
6
7
8
9

interface Vlan 2
 no shutdown
 ip address x.x.x.x x.x.x.x
enable secret <PASS>
line vty 0 15
 transport input ssh/telnet
 login local
 exec-timeout 0 0
ip default-gateway <IP>

2. Безопасность

  • Запретить хранить пароли в конфигах в plaintext
  • Интерфейсы к машинам перевести в режим access, к другим коммутаторам - в trunk
  • Неиспользуемые интерфейсы отключить
  • Для транковых интерфейсов настроить native vlan отличный от 1-го
  • (опционально) Настроить на access интерфейсах port-security
  • (опционально) Указать разрешенные vlan для транка
1

service password-encryption
1
2
3
4
5

interface range Gi0/1 - 6
 switchport mode access
 switchport access vlan <VLAN>
interface Gi0/24
 switchport mode trunk
1
2

interface range Gi0/7 - 23
 shutdown
1
2

interface Gi0/24
 switchport trunk native vlan 2
1
2
3
4

interface range Gi0/1 -6
 switchport port-security
 switchport port-security maximum <NUM>
 switchport port-security violation protect
1
2

interface Gi0/24
 switchport trunk allowed vlan <VLANS>

3. STP

  • включить RPVST+
  • выставить приоритет для всех вланов в соответствии с планом
  • Portfast на всех access интерфейсах
1

spanning-tree mode rapid-pvst
1

spanning tree vlan <VLAN> priority <PRI>
1
2

interface range Gi0/1 - 6
 spanning-tree portfast

4. EtherChannel

  • настроить интерфейсы так, чтобы их настройки совпадали с настройками аггрегированного интерфейса
  • выключить интерфейсы, настроить аггрегированны линк статически, при помощи LACP и PaGP, включить интерфейсы
  • выбрать подходящий режим балансировки
1
2

interface range Gi0/23 - 24
 switchport mode trunk
1
2
3
4

interface range Gi0/23 - 24
 shutdown
 channel-group 1 mode on
 no shutdown
1

port-channel load-balance <MODE>

5. Дополнительно

  • перевести VTP в transparent mode
1

vtp mode transparent

Блокировать после нескольких неудачных попыток залогиниться

1

login block-for <timeout> attemts <num> within <timeot>

Логирование доступа

1
2

login on-success log
login on-failure log every 2
1
2
3
4
5
6

hostname <hostname>
ip domain name <domain name>
crypto key generate rsa general-keys modulus 1024
ip ssh time-out 90
ip ssh maxstartups 2 
ip ssh authentication-retries 2

Настроить SSH на нестандартный порт

1
2
3

ip ssh port <port> rotary <group>
line vty 0 4
 rotary <group>