hp, backup automático

En un post anterior explicamos cómo programar un pequeño script que se encargue de hacer el backup de los router's Enterasys. Hoy vamos a aplicar el mismo procedimiento, apoyándonos en expect, para realizar dicho proceso en equipamiento HP.

A mayores en este caso, vamos a pasar el nombre DNS o la IP del router al que conectarnos en línea de comandos, para así poder ejecutarlo contra varios equipos sin tener que alterar el código.

#!/usr/bin/expect -f

set router [lindex $argv 0]

spawn telnet "$router"
set timeout 60
match_max 100000
expect -exact "Password:"
send -- "my_passwd\n"
expect -- "#"
send "copy running-config tftp server.local $router.cfg unix\r"
expect -- "#"
send "exit\r"
expect -- ">"
send "exit\r"
expect -- "log out"
send "y\r"
send_user "\nSaliendo...\n"

Leer más

Copia de seguridad de routers Enterasys

Que la mejor forma de tener algo seguro es tenerlo apagado eso se sabe desde hace mucho tiempo. Sin embargo, si eso no es posible por que lo necesitas para trabajar en el día a día, como puede ser un router o un switch, tener un backup de la configuración es necesario e importante.

Así que si en tu empresa hay equipos Enterasys, el pequeño script que viene a continuación te puede interesar y mucho. Haciendo uso de expect, se conecta al equipo, se autentica, hace un backup y lo envía a un servidor tftp para que quede seguro.

#!/usr/bin/expect -f

spawn telnet router.local.net
match_max 100000
expect "Username:"
send -- "admin\n"
expect -exact "Password:"
send -- "YOUR_PASS\n"
expect -- "->"
send "delete configs/config.cfg\r"
expect -- "->"
send "show config outfile configs/config.cfg\r"
expect -- "->"
send "copy configs/config.cfg tftp://YOUR_TFTP_SERVER/config.cfg\r"
expect -- "->"
send "exit\r"
send_user "\nSaliendo...\n"

En caso de que algo le pase al equipo y tengamos que emplear una nuevo, ya tendremos de dónde sacar el estado de cada una de las bocas ;-)

Leer más

Backup de la configuración en Cisco

Si hace unos días intentaba explicar cómo realizar un backup automático de un router Enterasys desde una shell en Linux, hoy toca seguir profundizando en elementos de red, en este caso en router's Cisco, éstos quizás más conocidos y habituales en muchos entornos de trabajo.

En este caso, vamos a ver cómo se realiza un backup completo de la configuración del router, para más adelante poder automatizarlo. Aunque en una serie de pequeños post a modo de chuletas Cisco y los comandos en IOS ya se ha comentado, aquí vamos a ver cómo realizar de forma completa, no solamente citando el comando.

Partimos de un switch Cisco y de un servidor tftp montado en la misma red de acceso y desde el modo de configuración observamos el comando write-memory que no hace otra cosa que volcar todo el contenido de la memoria a un fichero que se deposita en el sistema raíz del equipo.

Router(config-archive)# ?
Archive configuration commands:
  ...
  write-memory  Enable automatic backup generation during write memory

Por lo tanto, entrando en modo de configuración, accedemos al path sobre el que deseamos hacer la copia y volcamos todo el contenido de la configuración en el fichero. Por defecto creará un nombre que será el nombre del router y la fecha de creación.

R0# conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R0(config)#archive
R0(config-archive)#path disk0:R0
R0(config-archive)#write-memory
R0(config-archive)#end

Si en vez de dejarlo en el mismo equipo lo que nos interesa es sacar una copia, únicamente habrá que indicar otro path, en este caso un path remoto, vía tftp, tal como sigue.

R0(config-archive)# path tftp://10.10.10.10/R0/

Ahora escribirá el contenido de la memoria en el servidor remoto, quedándonos así con una copia de la configuración del equipo.

Más vale prevenir... que luego volver a configurar ;-)

Leer más

Enterasys, backup automático

Todos sabemos la importancia de tener backup's de nuestros sistemas y de la importancia de que los mismos sean constantes. De nada nos sirve un backup del mes pasado si las cosas están cambiando muy a menudo. Para solucionar estes problemas ya hablamos en este blog de bacula, un potente software cliente-servidor para la realización automática de backups.

Sin embargo, qué pasa si tenemos que hacer backup's de otros elementos de la red, como pueden ser switch's o router's. Estos elementos son tanto o más importantes que los propios equipos, ya que si tenemos la información, pero no tenemos forma de compartirla, de nada nos sirve. Es muy raro encontrar un equipo de estos que permita automatizar el backup y Enterasys no lo hace. Por norma general, hay siempre que ejecutar una serie de comandos que no se pueden encadenar, lo que complica su automatización. Al final cuando hay un problema, siempre se obtiene la misma frase "sí, había que hacerlo, pero no lo hice". Y ahí empiezan todos los problemas.

Así que ya sabes, si tienes equipos Enterasys en tu oficina, usando expect puedes automatizar la creación de backup's de los sistemas.

#!/usr/bin/expect -f

set router [lindex $argv 0]

spawn telnet "$router"
match_max 100000
expect "Username:"
send -- "admin\n"
expect -exact "Password:"
send -- "mi_passwd\n"
expect -- "->"
send "delete configs/$router.cfg\r"
expect -- "->"
send "show config outfile configs/$router.cfg\r"
expect -- "->"
send "copy configs/$router.cfg tftp://server.local/$router.cfg\r"
expect -- "->"
send "exit\r"

Su empleo es sencillo, se pasa como argumento la IP o nombre del router con lo que él accede y deja una copia de la configuración en nuestro servido tftp preferido. Como sabéis, Enterasys realizar las copias a/desde un servidor tftp y necesitan estar en la misma red que los propios equipos, en caso de que empleéis VLAN's.

Leer más

Comandos básicos CISCO (IV)

Hoy seguimos con una nueva lección de comandos de interés en router's cisco. En este caso, a nivel de usuario.

• Comandos de interés
• Modo: usuario
• Modo: privilegiado
• Modo: configuración global

  Comando	Descripción
  access-list Nro_ACL {permit|deny}Origen	Crea o agrega una sentencia de condición a la ACL que permitirá o denegará los paquetes que llegan desde un Origen.Este último parámetro puede ser una dirección IP más una máscara wildcard, la palabra host más una dirección IP o el wildcard any
  access-list Nro_ACL {permit|deny}Proto Origen Destino [OperadorNro_puerto] [established][echo |echo-reply]	Crea o agrega una sentencia de condición a la ACL  que permitirá o denegará los paquetes que lleguen desde unOrigen y vayan hacia un Destino. Proto identifica el protocolo a verificar. Origen y Destino pueden ser una dirección IP más una máscara wildcard, la palabra host más una dirección IP o el wildcard any.  Operador puede ser lt (menor que), gt (mayor que), eq (igual a) o neq (distinto a). Nro_puerto indica el puerto TCP o UDP. El parámetro established permite el paso de tráfico cuando hay una sesión establecida. En el caso del protocolo ICMP se puede utilizar echo o echo-reply.
  Banner motd #mensaje del día#	Configura un cartel con un mensaje del día. Ej: banner motd #Bienvenido#
  boot system flash [nombre_imagen_IOS]	Especifica que el router cargue el IOS desde la Flash Ej: boot system flash c2500-IOS
  boot system rom	Especifica que el router cargue el IOS desde la ROM
  boot system tftpnombre_imagen_IOSdir_IP_server_tftp	Especifica que el router cargue el IOS desde un servidor TFTP. Ej: boot system tftp c2500-IOS 24.232.150.1
  cdp run	Habilita CDP globalmente en el router
  clock set hh:mm:ss mes día año	Modificar la fecha y hora del router. Ej: clock set 12:31:00 July 12 2004
  config-registervalor_registro_configuración	Cambia los valores del registro de configuración. Ej: config-register 0×2142
  enable password contraseña	Establece una contraseña local para controlar el acceso a los diversos niveles de privilegio. Ej: enable password class
  enable secret contraseña	Especifica una capa de seguridad adicional mediante el comando enable password. Ej: enable secret class
  hostname nombre	Modifica el nombre del router. Ej: hostname Lab_A
  interface tipo número	Configura un tipo de interfaz y entra al modo de configuración de interfaz. Ej: interface ethernet 0
  ip access-list {tandard|extended}Nombre	Permite crear una ACL nombrada. Se debe indicar el tipo. Este comando ingresa al router al submodo de configuración que puede reconocerse por el prompt Router(config-ext-nacl)#
  ip classless	Permite que el router no tome en cuenta los límites con definición de clases de las redes en su tabla de enrutamiento y simplemente transmita hacia la ruta por defecto
  ip default-network dirección_red	Establece una ruta por defecto. Ej: ip default-network 210.32.45.0
  ip domain-lookup	Habilita la conversión de nombre a dirección en el router
  ip host nombre_host dir_ip1 ….  Dir_ip8	Crea una entrada de nombre a dirección estática en el archivo de configuración del router. Ej: ip host Lab_A 192.168.5.1 210.110.11.1
  ip http server	Permite que el router actúe como servidor Web http limitado
  ip name-server dir_ip1 …. Dirip6	Especifica las direcciones de hasta seis servidores de nombres para su uso para la resolución de nombres y direcciones.
  Ip route dirección_red máscara dir_ip_salto[distancia_administrativa]	Establece rutas estáticas. Ej: ip route 210.42.3.0 255.255.255.0 211.1.2.1
  line tipo número	Identifica una línea específica para la configuración e inicia el modo de reunión de comandos de configuración. Ej: line console 0 ó line vty 0 4
  router protocolo_de_enrutamiento[nro_AS]	Inicia un proceso de enrutamiento definiendo en primer lugar un protocolo de enrutamiento IP. Ej: router rip ó router igrp 120
  service password-encryption	Habilita la función de cifrado de la contraseña

• Submodo: Configuración de interfaz
• Submodo: Configuración de línea
• Submodo: Configuración del protocolo de enrutamiento

Leer más

Comandos básicos CISCO (III)

Hoy seguimos con una nueva lección de comandos de interés en router's cisco. En este caso, a nivel de usuario.

• Comandos de interés
• Modo: usuario
• Modo: privilegiado

  Comando	Descripción
  clear cdp counters	Pone a cero los contadores de tráfico CDP
  clear cdp table	Elimina la tabla CDP de información de los vecinos
  clear counters	Limpia los contadores de las interfaces
  configure memory	Carga información de configuración de la NVRAM
  configure terminal	Permite la configuración desde el terminal de consola
  copy flash tftp	Copia la imagen del sistema a un servidor TFTP
  copy running-config startup-config	Guarda la configuración activa en la NVRAM
  copy running-config tftp	Copia la configuración activa en un servidor TFTP
  copy tftp flash	Descarga una copia de la configuración desde un servidor TFTP en la memoria del equipo
  copy tftp runnig-config	Carga la información de configuración desde un servidor TFTP
  debug cdp adjacency	Muestra información recibida de vecinos CDP
  debug cdp events	Muestra información sobre eventos CDP
  debug cdp ip	Muestra información CDP específica de IP
  debug cdp packets	Muestra información relacionada a los paquetes CDP
  debug ip igrp events	Muestra todos los eventos IGRP que se están enviando y recibiendo en el router
  debug ip igrp transactions	Muestra las actualizaciones IGRP que se están enviando y recibiendo en el router
  debug ip rip	Muestra información sobre las actualizaciones de enrutamiento RIP mientras el router las envía y recibe
  debug ip rip [events]	Muestra las actualizaciones de enrutamiento RIP a medida que se las envía y recibe
  disable	Sale del modo EXEC Privilegiado hacia el modo EXEC Usuario
  erase flash	Borra el contenido de la memoria Flash
  erase startup-config	Borra el contenido de la NVRAM
  no debug all	Desactiva todo el debug del equipo
  reload	Reinicia el router
  setup	Entra en el modo de configuración inicial
  show access-lists [Nro_ACL|Nom-bre_ACL]	Muestra el contenido de todas las ACL en el router. Para ver una lista específica, agregue el nombre o número de ACL como opción a este comando
  show arp	Muestra la asignación de direcciones IP-MAC -> Interfaz
  show cdp traffic	Muestra los contadores CDP, incluyendo el número de paquetes enviados y recibidos, y los errores de checksum
  show controllers serial [número]	Muestra información importante como que tipo de cable se encuentra conectado
  show debugging	Muestra información acerca de los tipos de depuraciones que están habilitados
  show flash	Muestra la disposición y contenido de la memoria Flash
  show interfaces [tipo número]	Muestra estadísticas para la/las interface/s indicada/s
  show ip interface [tipo número]	Muestra los parámetros globales y de estado asociados con una interfaz
  show ip protocols [summary]	Muestra los parámetros y estado actual del proceso de protocolo de enrutamiento activo
  show memory	Muestra estadísticas acerca de la memoria del router, incluyendo estadísticas de memoria disponible
  show processes	Muestra información acerca de los procesos activos
  show protocols	Muestra los protocolos de capa 3 configurados
  show running-config	Muestra la configuración actual en la RAM
  show sessions	Muestra las conexiones telnet establecidas
  show stacks	Controla el uso de la pila de procesos y rutinas de interrupción y muestra la causa del último rearranque del sistema
  show startup-config	Muestra la configuración que se ha guardado, que es el contenido de la NVRAM
  terminal monitor	Si se utiliza una sesión por telnet para examinar el router, entonces, permite redirigir el resultado y los mensajes del sistema hacia a terminal remota
  undebug all	Desactiva todas las depuraciones activadas en el dispositivo

• Modo: configuración global
• Submodo: Configuración de interfaz
• Submodo: Configuración de línea
• Submodo: Configuración del protocolo de enrutamiento

Leer más

Comandos interesantes, netstat-nat

Si estás manejando un firewalll bajo GNU/Linux, este post te interesa. Si tu equipo de firewall realizar conexiones NAT y DNAT, es decir, hace de router a Internet para una o varias LAN's, el comando netstat-nat te puede ser de mucha utilidad.

Primero lo vamos a instalar,

shell> apt-get install netstat-nat

netstat-nat ahora ofrece la posibilidad de ver las conexiones NAT que están pasando por nuestro equipo. De forma limpia y transparente podemos ver el origen y el destino de una conexión sin problema alguno. De la misma forma también podremos ver si una IP está saliendo através del NAT y hacia dónde o si una está entrando y hacia quién.

shell> netstat-nat -p tcp #filtro tcp
Proto  NATed Address      Destination Address             State 
tcp    10.10.103.2:51865  rsvd-casa-moneda-210.0.104:www  ESTABLISHED
tcp    10.10.103.6:60235  addons-star.zlb.phx.mozi:https  CLOSE      
tcp    10.10.103.7:1432   par08s10-in-f21.1e100.ne:https  ESTABLISHED
tcp    10.10.103.7:1998   213.216.147.161:www             ESTABLISHED
tcp    10.10.103.8:65295  cdn-87-248-221-253.yhnpar.lln:www  TIME_WAIT  
tcp    10.10.103.8:65263  147.128.60.178.static.mund:www  ESTABLISHED
tcp    10.10.103.8:65258  147.128.60.178.static.mund:www  ESTABLISHED
tcp    10.10.105.53:1267  r-199-59-148-9.twttr.com:www    ESTABLISHED
tcp    10.10.113.2:60333  sjc-not4.sjc.dropbox.com:www    ESTABLISHED
tcp    10.10.113.4:1831   cds177.par.llnw.net:www         ESTABLISHED

shell> netstat-nat -s 192.168.1.33 #filtro de origen
shell> netstat-nat -d 213.95.68.12 #filtro de destino

Para más información, man netstat-nat.

Leer más

Comandos básicos CISCO (II)

Hoy seguimos con una nueva lección de comandos de interés en router's cisco. En este caso, a nivel de usuario.

• Comandos de interés
• Modo: usuario

  Comando	Descripción
  connect {dirección_ip|nombre}	Permite conectarse remotamente a un host
  disconnect conexión	Desconecta una sesión telnet establecida desde el router
  enable	Ingresa al modo EXEC Privilegiado
  logout	Sale del modo EXEC
  ping {dirección_ip|nombre}	Envía una petición de eco para diagnosticar la conectividad básica de red
  resume conexión	Resume una sesión telnet interrumpida con la secuencia CTRL+SHIFT+6 y X
  show cdp	Muestra el intervalo entre publicaciones CDP, tiempo de validez y versión de la publicación
  show cdp entry [*|nombre_dispositivo][protocol|version]}	Muestra información acerca de un dispositivo vecino registrado en una tabla CDP
  show cdp interfaces [tipo número]	Muestra información acerca de las interfaces en las que CDP está habilitado
  show cdp neighbors [tipo número] [detail]	Muestra los resultados del proceso de descubrimiento de CDP
  show clock	Muestra la hora y fecha del router
  show history	Muestra el historial de comandos ingresados
  show hosts	Muestra una lista en caché de los nombres de host y direcciones
  show ip interface brief	Muestra un breve resumen de la información y del estado de una dirección IP
  show ip rip database	Muestra el contenido de la base de datos privada de RIP
  show ip route [dirección |protocolo]	Muestra el contenido de la tabla de enrutamiento IP. El parámetro dirección permite acotar la información que se desea visualizar, exclusivamente a la dirección ingresada. El parámetro protocolo permite indicar la fuente de aprendizaje de las rutas que se desean visualizar, como por ejemplo rip, igrp,static y connected
  show sessions	Muestra las conexiones Telnet establecidas en el router
  show version	Muestra información sobre el Cisco IOS y la plataforma
  telnet {dirección_ip|nombre}	Permite conectarse remotamente a un host
  terminal editing	Reactiva las funciones de edición avanzada
  terminal history sizenumero_líneas	Establece el tamaño del buffer del historial de comandos
  terminal no editing	Deshabilita las funciones de edición avanzada
  traceroute dirección_ip	Muestra la ruta tomada por los paquetes hacia un destino

• Modo: privilegiado
• Modo: configuración global
• Submodo: Configuración de interfaz
• Submodo: Configuración de línea
• Submodo: Configuración del protocolo de enrutamiento

Leer más

Comandos básicos CISCO (I)

• Comandos de interés

  Teclas / Comando	Descripción
  Ctrl+A	Permite desplazarse al principio de la línea de comandos
  Esc+B	Permite desplazarse una palabra hacia atrás
  Ctrl+B (o Flecha Izquierda)	Permite desplazarse un carácter hacia atrás
  Ctrl+E	Permite desplazarse hasta el final de la línea de comandos
  Ctrl+F (o Flecha Derecha)	Permite desplazarse un carácter hacia delante
  Ctrl+P (o Flecha Arriba)	Muestra el último comando ingresado
  Ctrl+N (o Flecha Abajo)	Muestra el comando más reciente
  (tecla Tabulador)	Completa el comando ingresado parcialmente
  Ctrl+Z (o end)	Estando en cualquier modo de configuración regresa al modo EXEC Privilegiado
  Ctrl+C	Cancela la ejecución del Dialogo de configuración inicial oSetup
  Ctrl+Shift+6	Permite interrumpir intentos de ping, traceroute y traducciones de nombres
  exit	Estando en el modo de configuración global o cualquiera de sus submodos regresa al modo anterior. Estando en los modos EXEC Usuario o EXEC Privilegiado, cierra la sesión

• Modo: usuario
• Modo: privilegiado
• Modo: configuración global
• Submodo: Configuración de interfaz
• Submodo: Configuración de línea
• Submodo: Configuración del protocolo de enrutamiento

Leer más

Netflow, controlando el tráfico de red (IV)

Siguiendo un poco con el tema de obtener datos de desde un router cisco, del que explicamos en el post anterior cómo realizar la configuración, podemos habar también de las diferentes formas que tiene estos router's de agregación de los datos.

Tipos de agregación:

cisco(config)> ip flow-aggregation cache ?
  as                       AS aggregation
  as-tos                   AS-TOS aggregation
  bgp-nexthop-tos          BGP nexthop TOS aggregation
  destination-prefix       Destination Prefix aggregation
  destination-prefix-tos   Destination Prefix TOS aggregation
  prefix                   Prefix aggregation
  prefix-port              Prefix-port aggregation
  prefix-tos               Prefix-TOS aggregation
  protocol-port            Protocol and port aggregation
  protocol-port-tos        Protocol, port and TOS aggregation
  source-prefix            Source Prefix aggregation
  source-prefix-tos        Source Prefix TOS aggregation

Por lo tanto, para hacer uso de las mismas, únicamente hay que indicar qué tipo de agregación se desea, activarla y los datos se enviarán de dicha forma con el tiempo marcado.

Un ejemplo de agregación simple, sería,

cisco(config)> ip flow-aggregation cache as
cisco(config-flow-cache)> cache entries 2046
cisco(config-flow-cache)> cache timeout inactive 200
cisco(config-flow-cache)> cache timeout active 45
cisco(config-flow-cache)> export destination 192.168.0.35 9995
cisco(config-flow-cache)> enabled

En otro ejemplo, tenemos la agregación en función del protocolo que se esté empleando en los paquetes de red. Los datos de netflow así serán enviados cada 45 segundos al servidor agrupados por el protocolo de red.

cisco(config)> ip flow-aggregation cache protocol-port
cisco(config-flow-cache)> cache entries 2046
cisco(config-flow-cache)> cache timeout inactive 200
cisco(config-flow-cache)> cache timeout active 45
cisco(config-flow-cache)> export destination 192.168.0.35 9995
cisco(config-flow-cache)> enabled

En el próximo post sobre netflow ya tocará ver cómo montar bajo GNU/Linux un pequeño servicio que recoja los datos generados por los equipos para poder posteriormente procesarlos y obtener estadísticas de red de interés.

Temas:

• Netflow (I), qué es
• Netflow (II), configuración en un enterasys
• Netflow (III), configuración en un cisco
• Netflow (IV), configuración más avanzada en un cisco
• Netflow (V), recolectando datos en GNU/Linux

Leer más

Netflow, controlando el tráfico de red (III)

En este nuevo post, vamos a ver cómo realizar lo mismo que en el anterior, pero esta vez con un router cisco, que nos permitirá muchas más opciones y métodos para el tratamiento de datos netflow.

Como siempre... nos conectamos al equipo en cuestión por la conexión que esté habilitada, recomendable ssh, y entramos en modo configuración.

Realizamos los siguientes pasos:

1. Zona horaria
   
   Para manejar los datos de netflow, el router debe estar en hora para así tener unos datos fiables. Para conseguirlo, en este caso aprovecharemos las facilidades de NTP.

   cisco> configure terminal
   Enter configuration commands, one per line. End with CNTL/Z.
   cisco(config)> ntp update-calendar
   cisco(config)> set ntp client enable
   cisco(config)> ntp server 10.10.100.1
   

2. Hora del sistema
   
   Ahora comprobamos que la hora del sistema es válida, para ello,

   cisco> show ntp status
   cisco> show clock
   

3. Configurar netflow
   
   Entramos nuevamente en modo configuración del router y observamos los parámetros que tiene para el tipo "ip flow-?". Todos estos parámetros nos permiten realizar una configuración muy óptima y ajustada de netflow y de cómo queremos que trabaje.

   cisco> config
   Configuring from terminal, memory, or network [terminal]? 
   Enter configuration commands, one per line.  End with CNTL/Z.
   cisco(config)> ip flow-?
   flow-aggregation  flow-cache        flow-capture
   flow-export       flow-top-talkers  flow-egress
   

    Configuramos por lo tanto el router para que exporte vía UDP todos los paquetes a nuestro servidor cliente netflow, que se encargará de recolectarlos para posteriormente poder procesarlos. Para ello,

   cisco(config)> ip flow-export destination 192.168.1.35 9995 udp
   cisco(config)> ip flow-export version 9
   cisco(config)> ip flow-cache entries 65536
   

4. Comprobar configuración
   

   cisco> show ip cache flow
   cisco> show ip flow export
   

    Y del lado del cliente, observamos que sí hay tráfico UDP en el puerto indicado.

   shell> tcpdump -i eth0 port 9995
   19:38:36.565951 IP 10.0.0.5.9995 > colector.9995: UDP, length 1404
   19:38:36.565964 IP 10.0.0.5.9995 > colector.9995: UDP, length 224
   19:38:36.678899 IP 10.0.0.5.9995 > colector.9995: UDP, length 1404
   19:38:36.947127 IP 10.0.0.5.9995 > colector.9995: UDP, length 1404
   19:38:37.080699 IP 10.0.0.5.9995 > colector.9995: UDP, length 1404
   19:38:37.152456 IP 10.0.0.5.9995 > colector.9995: UDP, length 1404
   

Temas:

• Netflow (I), qué es
• Netflow (II), configuración en un enterasys
• Netflow (III), configuración en un cisco
• Netflow (IV), configuración más avanzada en un cisco
• Netflow (V), recolectando datos en GNU/Linux

Leer más