EIGRP

•نوامبر 2, 2009 • تا کنون 10 نظر داده شده

 

Enhanced Interior Gateway Routing Protocol یا EIGRP در اوايل دهه 90 توسط سيسکو ارائه شد. با اينکه EIGRP نسخه بهبود يافته IGRP است اما از نظر کارائی و عملکرد تفاوت هايی زير بنائی با کليه Distance Vector دارد و از اين لحاظ بيشتر دارای شباهت و خصوصياتی Link State گونه است بطوريکه به آن Hybrid Routing Protocol گفته ميشود و سيسکو آنرا Advance Distance Vector Protocol می نامد.

EIGRP برای حل مشکلات رشد شبکه های IGRP و کلا ضعف های Distance Vector ها بوجود آمد و نهایتا منجر به کاهش زمان Convergence در شبکه شد. (زمانی که شبکه صرف میکند تا به حالت نرمال برگردد)

a7-cisco-routing-fail

اين پروتکل بر اساس DUAL يا Diffusing Update Algorithm کار ميکند و برای ارتباط با همسايگان خود از Multicast (برخلاف RIP نسخه یک که Broadcasr است)  استفاده ميکند. (آدرس 224.0.0.10)

روتر Neighbor یا همسايه به محض دريافت اين Packet به فرستنده Unicast، ACK (رسيد) ارسال ميکند.

برای جلوگيری از Loop در مسير، روتر مسير Backup (نام دیگر آن Feasible Successor) را نيز ذخيره ميکند. تا در موقع مورد نیاز از آن استفاده کند. همچنين EIGRP برای Summarization برخلاف پروتکلی نظیر OSPF نيازی به تعریف  Area ندارد و هرجائی از شبکه اين امکان وجود دارد.

EIGRP بعنوان يک Routing Protocol قابليت Route پروتکلهای IP ،IPX و AppleTalk را داراست و برای هريک، Routing Table مجزا ميسازد. (همچنین IPv6)

از آنجا که قابليت Route کردن پروتکل های مختلف را داراست، به ازای هر پروتکل سه جدول وضع ميکند:

Neighbor Table, Topology Table و Routing Table.

مشخصات کلی این پروتکل:

IP Protocol 88

Multicast Address: 224.0.0.10

Classless supported – VLSM

Auto-Summary (IANA Classful) and Manual

Administrative Distance = 90 Internal, 5 (Summary), 170 External

Authentication supported: MD5

Partial updates supported


اجزای EIGRP

چهار مزیت اصلی EIGRP عبارتند از:

· Protocol-Dependent Modules:

IP ،IPX و AppleTalk را Route ميکند و برای هريک Routing Table مجزا ميسازد. پروتکل Encapsulate کننده EIGRP برای هر يک از اين پروتکل ها از جنس خودش است بطور مثال بسته های EIGRP برای Update های IPX داخل IPX حمل ميشوند.

EIGRP خودکارIPX RIP، AppleTalk RTMP و IP IGRP را Redistribute ميکند.

· RTP:

Reliable Transport Protocol وظیفه انتقال پيامهای EIGRP را بعهده دارد. بوسيله RTP انتقال پيامها همراه با گارانتی صورت میگیرد. در واقع هر جا RTP همراه با ACK استفاده شود Reliable (مطمئن) است. اين بسته ها از IP به شماره Type 88 و آدرس Multicast رزرو شده 224.0.0.10 استفاده ميکنند. پيامهای Hello نيازی به ACK نداشته و Unreliable رد و بدل ميشوند. برای انتقال ACK ها از Unicast استفاده شده و انتقال update، query و reply نياز به ارسال Reliable دارد.

اگر بسته ای به آدرس Multicast ارسال شود اما ACK از يکي از روتر ها دريافت نشود، بسته بصورت Unicast برای او ارسال میگردد و اگر تا 16 بار Retransmit شد و ACK دريافت نشد آن همسايه بعنوان dead و غيرفعال شناخته ميشود. فاصله بين ارسال اين Unicast ها را RTO يا Retransmission Timeout ميگوئيم. برای محاسبه این گونه زمانبندی ها در EIGRP، از فرمول SRTT يا Smooth Round Trip Time استفاده ميشود.

SRTT ميانگين زمان صرف شده از ارسال بسته تا دريافت ACK، بر حسب ميلی ثانيه است.

· Neighbor Discovery & Recovery:

از آنجا که EIGRP از Update های نوبتی و دوره ای (Periodic Update) استفاده نميکند از مکانيزم Hello بين همسايکان خود سود ميبرد که هر 5 ثانيه و به صورت Multicast انجام ميشود. حال اگر ارتباط به شکل WAN و با پهنای باند کمتر از يک T1 (کمتر از 2 مگابیت) باشد بصورت Unicast و هر 60 ثانيه رخ ميدهد. نباید فراموش کرد که در هر حال Hello نيازی به ACK ندارد. Holddown در صورت عدم دريافت Hello تا سه برابر زمان Hello محاسبه شده و بعد از آن همسايه Dead شناخته ميشود. (اگر از همسایه Hello دریافت نشود)

اطلاعات هر Neighbor يا همسايه داخل Neighbor Table قرار ميگيرد.

در EIGRP تنها پیام های Hello بصورت Connection-less ارسال شده و بقيه پیام ها Connection-Oriented هستند.

· DUAL:

Database شبکه توسط DUAL در EIGRP کشف و ایجاد ميشود. فلسفه طراحی DUAL بر اساس Diffusing Computation است که اولين بار توسط Dijsktra و Scholten ارائه شد و الگوريتم DUAL توسط Dr. J. J. Garcia-Luna-Aceves پیشنهاد گردید.

برای فراگيری بهتر EIGRP بهتر است مفاهيم زير را مرور کنيم:

Feasible Distance: يا FD، کمترين Metric تا مقصد است.

Advertised Distance: فاصله (Distance) گزارش شده از همسايه تا مقصد. (در واقع Metric همسایه تا آن Route)

Feasible Condition: يا FC حالتی است که Advertised Distance کمتر از FD برای همان مقصد باشد.

Feasible Successor: همسايه ايست که AD آن کوچکتر از FD است و نهايتا FC رخ ميدهد پس در Topological Database تمام روتر هايي که FS هستند ثبت شده و کوتاهترين مسير به مقصد بعنوان Successor انتخاب ميشود.

Successor: روتر بعدی به سمت مقصد يا همان Next-hop Router.

از آنجائيکه روتر براساس مقادیر FD و FS تصمیم گیری ميکند، Loop Free بودن پروتکل تضمين شده و از آنجا که AD باید کوچکتر از FD باشد میتوان این استنباط را کرد که مسير تبلیغ شده به مقصد معین قبلا از خود روتر گرفته نشده است.

هدف DUAL ايجاد يک توپولوژی Loop Free در شبکه EIGRP است.

Route های Active

در EIGRP يک مسير سالم، Passive نامیده ميشود چرا که تلاش برای پیدا کردن آن قبلا صورت گرفته و اکنون در Routing Table قرار دارد اما اگر مسیر Active باشد به اين معناست که روتر در حال جستجو برای پيدا کردن مسيری به آن شبکه down شده، میباشد. در واقع وقتی FS برای يک مقصد وجود نداشته باشد محاسباتDiffusing برای پيدا کردن مسير به آن مقصد صورت گرفته و Route بحالت Active در ميايد. در اين حالت روتر بدليل اينکه از Link های متصل به روتر های ديگر اطلاعات کافی ندارد (چون Link-State نيست) پس به سوال پرسيدن درباره شبکه خاص روی مي آورد.

روتر برای مسيری که Active شده به تمام همسايگانش Query ميفرستد و FD خود به مقصد را بينهايت يا Infinity اعلام ميکند. اگر همسايگان -يک يا چند FS- برای مقصد مورد سوال داشته باشند بهمراه Distance خود به درخواست جواب ميدهند. در غير اينصورت خود بحالت Active برای آن مقصد در آمده و به پرسش از همسایگان خود می پردازند. به ازای جواب های دريافت شده Diffusing Computation انجام ميشود. از آنجائيکه جواب دهنده با Distance خود (که بينهايت نيست) جواب Query را ميدهد پس وی خود به خود FS آن مسير شده و کوتاهترين Distance، عنوان Successor را میگیرد.

اگر هیچ جوابی از همسايگان در زمان مورد نظر دريافت نشود Route بحالت Stuck in Active يا به اختصار SIA درميايد. همسايگانی که در مهلت Active Timer (بمدت 3 دقيقه) جواب نداده اند dead شناخته ميشوند. تا زمانی که همه جوابها دريافت نشود Successor انتخاب نميشود.

روتر تا زمانی که برای مسيری Backup Route يا Feasible Successor داشته باشد بحالت Active نمي رود. يک مسير Infinite بصورت Metric زیر درميايد:

Delay = 0xFFFFFFFF يا 4294967295

 

برای Download نسخه کامل متن بفرم PDF به لینک زیر مراجعه کنید:

ISR G2

•اکتبر 20, 2009 • تا کنون 6 نظر داده شده

اگر قصد خرید روتر دارید بهتر است دست نگه دارید. چون سری جدید سیسکو نه تنها فقط یک روتر بلکه یک دستگاه با قابلیت سرور ویندوز، روتر، سوییچ شبکه، تلفن IP، کنترل سیستم دوربین مداربسته و شبکه بیسیم است. مشخصات سری جدید ISR امروز اعلام شد و از دو هفته دیگر قابل خریداری است. در کنفراس Web-ex عظیمی که امروز سیسکو بصورت Online برگزار کرد (با بیش از 900 شرکت کننده بکمک WebEx) سری جدید روترهای ISR که 1800 و 2800 و 3800 را از رده خارج میکنند معرفی شد.

  
ISR یا Integrated Services Router به سری 1800 و 2800 و 3800 گفته میشد که جای 2600 و 1700 و 3700 را گرفته بودند. سری قبل از آن 1600 و 2500 و 3600 بودند. سری جدید بنام ISR G2 یا نسل دوم ISR توانمندی و Performance ی 5 برابرسری قبلی – کنونی آن دارد و با قیمتی مشابه همراه با IOS 15 ارائه میشود.

یکی از ویژگی های کوچک اما قشنگ این سری کنسول آن است که بصورت USB است ونیازی به رابط کنسول به سریال دیگر نخواهید داشت. درایور آن فعلا فقط برای Windows قابل Download است.

درتصویر زیر مقایسه انواع مختلف ISR G2 و Performance آن دیده میشود این سری از 1941 و 1941W تا 2901، 2911، 2921، 2951 و بالاخره 3925 و 3945 را شامل میشود.

در تصویر زیر سازگاری پورت ها و ماژول های قبلی با سری جدید نشان داده شده است:

برای قابلیت IP Telephony که همان تلفن مرکزی (سانترال) روی روتر اما بصورت IP است. Call Manager نسخه Express روی روتر 3945 نصب شده و تا 300 تلفن را مدیریت میکند:

در تصویر زیر ماژول سرور با قابلیت نصب Windows Server و Active Directory درون روتر را نشان میدهد مشخصات آن 4 گیگ رم و یک ترابایت هارد دیسک است.

نسل جدید ISR تمام کارهایی که در تصویر زیر نشان داده شده است را انجام میدهد. اتصال کامپیوتر ها به روتر بصورت  بیسیم، مدیریت سیگنال در صورتیکه چند Access-point داشته باشید؛ ایجاد امنیت فیزیکی و سیستم دوربین مداربسته؛ سیستم تلفنب با قابلیت ضبط صدا، Voice Mail، IVR قابلیت کمپرس کردن ترافیک شبکه و Cache درون WAN و قابلیت نصب سرویس های DNS ، File Server و Active Directory و VMWare و …

قابلیت 16 تا 48 پورت سوییچ روی روتر با سرعت گیگابیت در ثانیه بصورت ePOE (نسخه جدید POE با توان برق بیشتر برای روشن کردن تلفن ها و AP ها و دوربین های مداربسته) که توانایی سوییچ 3560-E را دارد.

 

این سری قابلیت سیسکو EnergyWise دارد یعنی در مواقع خارج از ساعات اداری Wireless ها را خاموش میکند،  برقIPPhone ها را کشیده و ماژول های اضافه را از کار می اندازد تا مصرف انرژی به کمترین حد خود برسد. (قابل تنظیم است.)

در آخر ماژول AXP این امکان را به برنامه نویسان میدهد تا برنامه خود را درون روتر بصورت یک ماژول نصب و اجرا کنند.

GITEX 2009

•اکتبر 14, 2009 • یک نظر بنویسید

سیسکو امسال هم مثل سالهای گذشته غرفه ای در نمایشگاه ندارد هر چند که برند Linksys از طرف سیسکو در نمایشگاه حاضر است … در صورتیکه سری به دبی برای نمایشگاه می زنید و برای پروژه ای نیاز به طراحی یا مشاوره دارید یا قصد خرید تجهیزات شبکه یا اطلاعاتی در مورد CCIE میخواهید می توانیم دیداری داشته باشیم به من ایمیل بزنید. وعده ما نمایشگاه GITEX.

برنامه من برای نمایشگاه:

Sunday 18 October 2009 1pm – 7pm
Monday 19 – Wednesday ~ 21 October 2009 10am – 7pm
Thursday 22 October 2009 10am – 5pm

https://isme.infosalons.biz/gitex09du/register.asp?source_code=29645_0_0

حذف خبر جدید از صفحه اول

•اکتبر 13, 2009 • تا کنون 2 نظر داده شده

ساعتی پیش خبر فوری از محصول جدید سیسکو را روی بلاگ / فیس بوک و توییتر قراردادم که با مخالفت سیسکو از روی سایت برداشتم روز 20 اکتبر این محصول Public میشود تا آن روز باید صبر کنیم. اگر نسخه ای از آن را در سایت دیدید لطفا فعلا صبر کنید لینک صفحه فعلا غیرفعال است. جالب اینجاست که سیسکو با Twitter و Google Alert تمام بلاگ های CCIE را تحت نظر دارد و از Google Translation برای ترجه آن استفاده میکند… سرعت این کار بسیار عجیب بود.

کنترل و رزرو پهنای باند

•اکتبر 9, 2009 • تا کنون 19 نظر داده شده

در یکی از پستهای  قبلی به محدودکردن پهنای باند توسط MQC پرداختیم. پرسشی که بسیاری از دوستان مطرح کردند، به روش کنترل پهنای باند برای مصارف گوناگون نظیر رزرو عدد مشخصی برای ترافیک Voice یا یک سرور خاص بر میگشت. در این پست به اختصاص پهنای باند گارانتی برای سرویس خاص می پردازیم.

این روش نیز از MQC یا Modular QoS Command Line استفاده میکند. یعنی ترافیک مورد نظر را با کمک یک ACL یا NBAR یا هر روشی ابتدا برای سیسکو درون یک Class-Map تعریف میکنیم… سپس درون یک Policy-Map یک سیاست نظیر محدودکردن، گارانتی، Shape و غیره را روی آن ترافیک اعمال میکنیم. اما کار به اینجا تمام نمی شود چون باید Policy به یک Interface ربط داده تا ترافیک ورودی یا خروجی (یا هردو) را کنترل کند. پس دید ما در پیاده سازی MQC بصورت Interface ی است: ترافیک ورودی / خروجی پورت (یا پورت ها). ترافیک ورودی را Inbound و خروجی را با Outbound مشخص میکنیم.

نکته:

برخی از دستورات نظیر گارانتی پهنای باند که با دستور Bandwidth اعمال میگردند تنها در زمان Congenstion (کمبود پهنای باند) عمل میکنند. یعنی وقتی پهنای باند پر شد این دستور شروع به کار میکند و برای مصرف خاصی که در Class-map مشخص کرده اید حداقل پهنای باندی را رزرو میکند. اما سیسکو از کجا پهنای باند کل پورت را تشخیص میدهد تا Congestion را Detect کند؟ از روی پهنای باند کل Interface یعنی روی Interface Fast Ethernet که سرعت آن 100Mbps است وقتی مصرف به 96-98 مگ رسید Congestion تشخیص داده شده و دستور Bandwidth شروع به کار میکند که این برای بعضی کاربران مناسب نیست… زیرا که سرویس دهنده تنها 2 مگابیت به آنها اختصاص داده و Congestion باید روی سقف 2 Mbps تشخیص داده شود نه پهنای باند کل Interface.

برای این کار باید خودمان ترافیک خروجی خودمان را محدود کنیم. و درون این محدودیت (که با دستور Shape یا Policy انجام میشود) مقداری پهنای باند برای سرویس خاصی تخصیص دهیم.

در مثال زیر سرویس Voice ما از IP 10.0.0.10 استفاده میکند و میخواهیم روی پهنای باند 1mbps خود، 128kbps برای ترافیک Voice اختصاص دهیم:

 

!
ip access-list standard Voice
permit 10.0.0.10
!
class-map match-all Voice
match access-group name Voice
!
policy-map Voice
class Voice
  bandwidth 128
!
policy-map Parent
class class-default
  shape average 1000000
  service-policy Voice
!
interface Ethernet0/0
ip address 172.16.35.5 255.255.255.0
service-policy output Parent
!

توجه داشته باشید که Interface ما Ethernet است یعنی پهنای باندی تا 10mbps را پشتیبانی میکند اگر بدون Policy Parent تنها Voice Policy را اعمال میکردیم وقتی پهنای باند 10 مگ پرمیشد تازه کار رزرو صورت میگرفت که زیاد به درد ما نمیخورد! چون پهنای باند ما هیچ وقت اجازه ندارد به این اندازه برسد… توسط سرویس دهنده محدود شده است. به این روش پیاده سازی Nested Model یا مدل تودرتو اجرای MQC میگویند. یک Policy کل پهنای باند خروجی را محدود میکند و Policy دیگر درون آن محدودیت، قانون دیگری وضع میکند…

 

R5#sh policy-map interface e0/0
Ethernet0/0

  Service-policy output: Parent

    Class-map: class-default (match-any)
      9 packets, 828 bytes
      5 minute offered rate 0 bps, drop rate 0 bps
      Match: any
      Traffic Shaping
           Target/Average   Byte   Sustain   Excess    Interval  Increment
             Rate           Limit  bits/int  bits/int  (ms)      (bytes)
          1000000/1000000   6250   25000     25000     25        3125

        Adapt  Queue     Packets   Bytes     Packets   Bytes     Shaping
        Active Depth                         Delayed   Delayed   Active
        -      0         9         828       0         0         no

      Service-policy : Voice

        Class-map: Voice (match-all)
          0 packets, 0 bytes
          5 minute offered rate 0 bps, drop rate 0 bps
          Match: access-group name Voice
          Queueing
            Output Queue: Conversation 73
            Bandwidth 128 (kbps)Max Threshold 64 (packets)
            (pkts matched/bytes matched) 0/0
        (depth/total drops/no-buffer drops) 0/0/0

        Class-map: class-default (match-any)
          9 packets, 828 bytes
          5 minute offered rate 0 bps, drop rate 0 bps
          Match: any

IOS 15

•اکتبر 5, 2009 • تا کنون 4 نظر داده شده

امروز نسخه جدید IOS که ورژن 15 آن است ارائه شد.

آخرین نسخه IOS قبل از آن 12.4 بود که در سال 2005 و با تغییرات عمده ای در سایت سیسکو قرارگرفت و برخی عقیده دارند سیسکو بخاطر نحسی عدد 13 و عدد پس از آن که در افسانه های بابل و یونان است و دلایل خرافی پرشی به ورژن 15 کرده که بنظر بعید می آید.

تصویر زیر روتر های پشتیبانی شده در نسخه IOS15 را نشان میدهد:

IOS15

احتمالا نسخ 13 و 14 هیچ وقت بصورت یک Major Release بیرون نیامدند و سیسکو پس از 5 سال پرشی به نسخه 15 کرده است.

سخت افزارهای پشتیبانی شده در IOS15:

www.cisco.com/en/US/docs/ios/15_0/15_0_1_m/15_0_1_m_newfeatlist.html#wp1055069

سخت افزار هایی که پشتیبانی نمیشوند:

Hardware lines that are not supported in 15.0

مزایای جدید:

Large set of new software features

و لیست میزان RAM مورد نیاز برای IOS جدید:

http://www.cisco.com/en/US/docs/ios/15_0/release/notes/150MFEAT.html

 

بدین صورت بصورت رسمی باید مجلس ختمی برای سری 2600XM و 3600 و 3700 برگزار کنیم. آخرین نسخه قابل استفاده برای سخت افزارهایی که پشتیبانی نشده اند نسخه 12.4T10 است.

 

برای اطلاعات بیشتر:

http://www.cisco.com/en/US/products/ps10591/tsd_products_support_series_home.html

Cisco Secure ACS

•اکتبر 4, 2009 • یک نظر بنویسید

 

با عرض سلام و احترام خواهشمند است در صورت امكان راهنمائي بفرمائيد.

به استحضار مي رساند كه در شبكه اي كه من Admin آن يك سري مشكلات وجود دارد كه جهت كمك و راهنمايي و حل مشكل حضورتان ارسال مي گردد:

1- شبكه ما از طرح سه لايه سيسكو استفاده شده است. جهت كنترل دسترسي به سوئيچ ها نيز از نرم افزار CSACS استفاده مي كنيم. شبكه داراي 8 سوئيچ لايه توزيع مي باشد و 2 عدد هسته و 83 عدد دسترسي از نوع هاي مختلف شركت سيسكو مي باشد. به تمامي سوئيچ هاي لايه دسترسي با نرم افزار Logهin , CSACS مي كنيم يعني هر شخصي با نام كاربري و رمز عبور خود كار مي كند ولي بر روي سوئيچ هاي توزيع به محض اينكه دستورات Authenticating CSACS را مي زنيم و IP كامپيوتر مربوط به كامپيوتري كه بر روي آن نصب است Authenticating Faile مي دهد. همين طور بر روي سوئيچ Core لطفاً راهنمايي فرمايند.

2- در روتينگ پروتكل موجود اي آي جي ر پي نيز هرگاه يك Vlan اضافه مي كنيم به ليست Vlan هاي سوئيچ توزيع بدون اينكه درNetworkهاي EIGRP آنرا add كنيم مي توانيم در هر جاي شبكه آن Vlan را Ping كنيم در صورتيكه اساس كار EIGRP بر اين است كه به ازاي هر Vlan ايجاد شده بايد در ليست Network هاي همسايه اش وارد شود تا كار كند. در صورت نياز فايل Config هاي سوئيچ هاي توزيع و دسترسي ارسال مي گردد. در ادامه اگر بتونم با شما بصورتي ارتباط داشته ياشم يا كلاس داشته باشيد ميتونم برسم حضورتون .

با تشكر

مويدي

 

پاسخ:

دوستان عزیز لطفا از بخش پرسش و پاسخ برای مطرح کردن سوالات استفاده کنید، ارسال email تنها برای موارد کاری می باشد و ممکن است email های شما بی پاسخ بماند. در ضمن این سایت برای Share کردن مطالب و فایل و کپی های غیرقانونی نیست – تنها مطالب ایجاد شده در این سایت در بخش Download قرار میگرند.

اما در مورد سوال دوست خوبمان، مشکل در هنگام تنظیم AAA به این صورت اتفاق می افتد که ابتدا باید دستورات مربوط به  AAA وارد شود سپس دستورات مرتبط با خود سرور TACACS و RADIUS . در ضمن مراقب دستور aaa authorization commands باشید که منجر به قطع شدن ارتباط شما میشود. مشکلی که با IOS وجود دارد این است که دستورات یکی یکی باید وارد و اجرا شوند و ترتیب آنها میتواند گاهی مشکل ساز شود.

با کمک دستور زیر میتوانید برای Console استثنا قائل شوید تا اگر از Console روتر را تنظیم میکنید از شما Authrorization نخواهد:

aaa authentication login CONAUTH local
aaa authorization console
aaa authorization exec CONAUTH local
aaa accounting exec CONAUTH none
aaa accounting commands 0 CONAUTH none
aaa accounting commands 1 CONAUTH none
aaa accounting commands 15 CONAUTH none
!
line con 0
authorization exec CONAUTH
accounting commands 0 CONAUTH
accounting commands 1 CONAUTH
accounting commands 15 CONAUTH
accounting exec CONAUTH
login authentication CONAUTH

برای اطلاعات بیشتر:

http://blog.shafagh.com/2009/01/30/ccie-security-aaa-policies-with-cisco-secure-acs

 

اما در مورد سوال دوم شما:

مشکل شما را بدون دیدن Configuration میتوان حدس زد احتمالا در یکی از دستگاه های EIGRP دستور Redistributed Connected را زده اید. هیچگاه از دستورات Redistribute استفاده نکنید مگر آنکه هدف آن را بدانید این پروسه باعث میشود تا پروتکل های دیگر درون EIGRP شما inject شوند.

امتحان CCIE LAB

•سپتامبر 29, 2009 • تا کنون 24 نظر داده شده

کار بررسی رزومه ها را شروع کردم در این بین یکی از دوستان اشاره کرده بود که دارنده CCIE است لذا به سایت سیسکو رفتم و بعد از بررسی نام او متوجه شدم که چنین چیزی صحت ندارد از او خواستم تا شماره CCIE خود را اعلام کند که هنوز بعد از چند روزپاسخی دریافت نکرده ام.هفته پیش یکی از دوستان سوال کردند آیا با قبولی در امتحان تئوری مدرک و لوگوی CCIE میدهند که پاسخ منفی است و این بهانه شد تا بازهم در پست دیگری به CCIE اشاره کنیم…

ارزش مدرک CCIE به دشواری آن است. مثل آزمون رانندگی دو امتحان متفاوت باید Pass شود. به کسی که آیین نامه را قبول شود گواهینامه نمیدهند. امتحان عملی ملاک اصلی است که بطور متوسط هر کس 3 تا 4 بار آنرا سعی می کند تا قبول شود و هر بار بعد از 8 ساعت کار با 10 دستگاه تنها نهاری 1500 دلاری به میزبانی سیسکو عایدش میگردد مگر آنکه واقعا آماده باشد تا قبول شود.

پس از قبولی در آزمون عملی به شما مدرک، کارت، دسترسی به CCO، پلاک و یک شماره بنام CCIE Number میدهند و هر سال مهمان شام ویژه نمایشگاه Networkers که چندسالی بنام Cisco Live برگزار میشود خواهید بود.

برای دیدن محیط آزمون به لینک زیر مراجعه کنید، ویدویی جالبی جدیدا در Youtube قرار گرفته که دیدنش خالی از لطف نیست:

http://www.youtube.com/watch?v=y-WXl68EJl4

برای شرکت در امتحان من هم مثل بقیه مجبور به ایجاد LAB خانگی شدم که در آن زمان روتر های 2500 و 3660 در ایران به راحتی در دسترس بودند هرچند که دوست عزیزم شاپور سلیمی کمک زیادی کرد او که در آن زمان مشغول فروش نرم افزار حسابرسی اینترنت و Voice خود بنام Nepox بود با توجه به حجم مشتری های مختلف هر چند روز یکبار با یکسری روتر جدید ظاهر میشد بطوری که نهایتا زیاد هم آوردیم!!!

Home Lab

VMPS

•سپتامبر 21, 2009 • تا کنون 2 نظر داده شده

به کمک VLAN Membership Policy Server یا VMPS میتوان کامیپوتر های متصل به شبکه را بصورت داینامیک به VLAN های مربوط به خود (بر اساس MAC Address هر PC) اختصاص داد. بدین ترتیب براساس آدرس MAC ، یک PC را روی سرور به VLAN B اختصاص میدهیم. وقتی PC به پورت سوییچ وصل میشود، سوییچ از سرور سوال کرده و براساس MAC آدرس PC آنرا درون VLAN B قرار میدهد. پس اگر PC را از سوییچی به سوییچ دیگر منتقل کنیم کماکان درون VLAN خود قرار گرفته و نیاز به تنظیم پورت نداریم.

پس VMPS سرور ای است که اطلاعات را به کاربرانش (سوییچ هایی که در خواست اطلاعات میکنند) ارسال میکند.

یک سوییچ سری Cisco 4000/4500/5000/6000/6500 میتواند بصورت VMPS عمل کند و برای سوییچ های دیگر نقش سرور را ایفا کند. تنها سوییچ ها با نرم افزار CATOS توانایی این کار را دارند (سیستم عامل قبلی Catalyst) و سوییچ های IOS ی سیسکو این پروتکل را پشتیبانی نمی کنند.

VQP یا VLAN Query Protocol پروتکل ای است که سوییچ ها برای درخواست اطلاعات از سرور از آن استفاده میکنند. از UDP پورت 1589 استفاده میکند.

VMPS

در شکل بالا سوییچ سمت راست VMPS و سوییچ سمت چپ در نقش VMPS Client بواسطه VQP با هم برسر قرار دادن PC در VLAN خود ارتباط برقرار میکنند.

مشکل برخی از شبکه های سازمان هایی که VMPS را پیاده سازی کرده اند این است که سیسکو دیگر از این پروتکل پشتیبانی نمیکند پس مشتریان نیز نمی توانند سوییچ های 6500 خود را به IOS مجهز کنند و مجبورند از CatOS قدیمی استفاده کنند. سیسکو قبلا دستگاهی بنام VPS 110X ارائه کرد که یک VMPS بصورت یک سرور مستقل است که امروزه ارائه نمیشود. سیسکو URT نیز که عملکرد مشابهی داشت دیگر ارائه نمیگردد.

 

البته با وجود OpenVMPS میتوان کار سرور را به یک Linux داد:

http://sourceforge.net/projects/vmps

 

تنظیم سوییچ های Access برای برقراری ارتباط با سرور بسیار ساده است:

vmps server ipaddress
!
interface fastethernet 0/1
switchport mode access
switchport access vlan dynamic

 

باید توجه داشت که این تکنولوژی دیگر از سوی سیسکو پشتیبانی نمیشود و بجای آن میتوان از IEEE802.1X و NAC استفاده کرد. نگاه سیسکو امروزه به سمت پروتکل های استاندارد است تا پروتکل های Proprietary …

 

جهت اطلاعات بیشتر جهت تنظیم VMPS روی CatOS:

Configuring Dynamic Port VLAN Membership with VMPS

Configuring Dynamic VLAN Membership

Troubleshooting the Catalyst VMPS Switch

GRE MTU

•سپتامبر 16, 2009 • تا کنون 2 نظر داده شده

گاهی اوقات پس از اینکه Tunnel مورد نظرمان را به کمک GRE تنظیم کردیم، با وجود اینکه قادر به Ping کردن یا Telnet به سمت مقابل هستیم اما صفحات و Page های اینترنت را نمیتوانیم باز کنیم یا مثلا FTP کار نمیکند. اما مشکل از کجاست؟

MTU به معنی Maximum Transmission Unit حداکثر دیتای قابل انتقال در یک بسته (Packet) یا فریم است. درون هدر TCP نیز این قابلیت تحت نام MSS یا Maximum Segment Size وجود دارد که برای قراردادن عدد میزان مجاز Data از لایه Application درون هر TCP Segment در نظر گرفته شده. وقتی که از Tunnel یا هر پروتکلی که Overhead روی دیتای IP ما قرار میدهد استفاده کنیم سایز نهایی ممکن است بزرگتر شده و ارتباط دچار مشکل شود.

GRE MTU مشکل

در مثال بالا پس از اینکه کلاینت سعی به برقراری ارتباط را سرور دارد، ارتباط Client با سرور برقرار میشود و در خلال برقراری TCP میزان MSS موردنظر خود را اعلام میکنند. بر این اساس سایز هر Segment در این ارتباط محاسبه میشود. (Packet به دیتا در لایه 3 میگویند در حالی که Segment به دیتای لایه 4 و TCP اشاره میکند که بعدا درون Packet توسط لایه سه قرار میگیرد. مدل OSI را بخاطر داشته باشید) بنابراین در مثال ما Server به توافق میرسد که 1500 بایت را در هر سگمنت به Client ارسال کند. سگمنت را درون پکت قرارداده و به روتر خود ارسال میکند زمانی که قرار است روتر آنرا Encapsulate کند و درون GRE Tunnel قراردهد روتر متوجه میشود که سایز بسته برای قرارگیری GRE زیاد است و باید بجای یک بسته (با توجه به محدودیت MTU) آنرا درون دو IP Packet قراردهد.

از طرفی بیت DF به معنی Dont Fragment روی بسته ست شده پس نمیتواند آنرا Fragment کرده و در دو بسته ارسال کند پس آنرا دور ریخته و ارسال نمیکند اما به فرستنده پیام معروف ICMP را ارسال میکند:

Internet Control Message Protocol (ICMP) type 3 code 4 packet 
(Destination Unreachable; Fragmentation Needed and DF set)

و بسیار معمول است که ICMP را آدم بی کاری این بین بعنوان تمهیدی امنیتی Block کرده باشد و لذا این پیام نرسد. پس از شناخت اشکال ارتباط پیدا کردن راه حل ساده شد چندین کار بعنوان راه حل میتوان انجام داد:

توسط یک  Policy بیت DF را 0 کنیم تا بسته قابل Fragment شدن شود.

 

access-list 169 permit tcp 10.0.0.0 0.255.255.255 any

interface fastethernet0/0

ip policy route-map no-df

route-map no-df permit 10

match ip address 169

set ip df 0

 

Access-List شماره 169 رنج شبکه متصل به روتر را که قرار است داخل تونل رود اما بیت پکت های آن نباید با DF مارک شوند تنظیم میکند.

 

یکی دیگر از راه های حل این مساله تغییر سایز MTU و MSS است:

interface tunnel0

ip tcp adjust-mss 1436

ip mtu 1500

 

این مشکل ممکن است روی پروتکل های دیگر که Encapsulation چند باره دارند برخورد کنید نظیر PPPoE در ADSL که توسط اصلاح MSS و MTU قابل حل است بطور مثال در ADSL تنظیم بالا را بجای تانل درون Interface Dialer انجام میدهیم.