DynagenでCCIEを目指す

INE Workbook Volume II lab 02

最終更新：2011年10月24日 20:02

it_certification

- view

管理者のみ編集可

採点結果
所感
lab 02 1.1 Link Aggregation
- まとめ
lab 02 1.2 802.1x Authentication
- まとめ
lab 02 1.3 Performance Optimization
- まとめ
lab02 2.3 RIP Filterring
- 問題文解釈
- 別解答例
lab02 2.4 IGP Redistribution
- まとめ
- 受験テクニック
lab 02 5.2 Multicast Traffic Control
- まとめ
lab02 6.1 Router Hardening
- まとめ
lab02 7.2 Remote Access
- まとめ
lab02 7.4 Syslog
- まとめ
- lab02 7.5 System Management
lab02 8.4 Frame Relay Traffic Shaping

採点結果

トピック	正誤	備考
1.1 Link Aggregation	×	知識不足
1.2 802.1x Authentication	×	知識不足
1.3 Performance Optimization	×	知識不足
2.1 OSPF	○
2.2 EIGRP	○
2.3 RIP Filtering	○	問題文が複数の意味に読み取れましたが、模範解答の解答の可能性も考慮できたので正解とします。
2.4 IGP Redistribution	○	模範解答と異なりますが、正解とします。
2.5 BGP Peering	○
2.6 BGP Filtering	○	問題文が複数の意味に読み取れましたが、模範解答の解答の可能性も考慮できたので正解とします。
2.7 BGP Summarization	○
2.8 BGP Tuning	×	vol I 記憶漏れ
3.1 IPv6 Development	○
4.1 L2 VPN	×	知識不足
5.1 Multicast Testing	○
5.2 Multicast Traffic Control	×	知識不足
6.1 Router Hardening	×	知識不足
6.2 Zone-Based Firewall	○
6.3 Traffic Logging	○
6.4 ICMP Filtering	×	ケアレスミス
7.1 RMON	○
7.2 Remote Access	○
7.3 Remote Access Security	○
7.4 Syslog	×	vol I 記憶漏れ
7.5 System Management	×	知識不足
8.1 Congestion Management	○
8.2 Policy Routing	○
8.3 Congestion Managemtn	○
8.4 Frame Relay Traffic Shaping	×	計算ミス

所感

全体的に"知らんがな"の問題が多かったです。"まだまだ覚える事が沢山ある"と思うと気が滅入ります。

lab 02 1.1 Link Aggregation

まとめ

LACPは最大16本までをLACPの候補として設定できますが、activeにできるのは8本までです。そのため、LACPには以下lacp priorityを用いてacitiveなポートを選出する機能が備わっています。

┏━━━━━━━━━━┳━━━━━━┳━━━━━━━━━┳━━━━━━┓
┃lacp system-priority┃ mac address┃lacp port-priority┃ port-number┃
┗━━━━━━━━━━┻━━━━━━┻━━━━━━━━━┻━━━━━━┛
 <----------------------------------><--------------------------------> 
               system id                            port id
 <--------------------------------------------------------------------> 
                               lacp priority

まず、各スイッチのsystem idを比較し、system idが最も小さいスイッチをlacp dicision maker(LACPのactiveポートを選出するスイッチ)として選出します。次に、lacp dicision makerは各ポートのlacp priorityを比較し、lacp priorityが小さいポートをactiveポートとして選出します。

これらのパラメータをチューニングするには、以下のコマンドを使用します。

Router(config)# lacp system-priority priority
Router(config-if)# lacp port-priority priority

lab 02 1.2 802.1x Authentication

まとめ

dot1xの認証設定は以下の通りです。ヘルプストリングでは、認証名, 認証方式に多数の候補が表示されますが、サポートされるのはdefault group raduisのみです。

Router(config)# aaa new-model
Router(config)# aaa authentication default group radius

dot1xを使用するためには、グローバルにdot1xを有効化する設定を投入する必要があります。

Router(config)# dot1x system-auth-control

dot1xを有効にしたいポートに対して以下のコマンドを投入します。dot1xが有効にできるのはaccess portのみです。

Router(config-if)# swtichport mode access
Router(config-if)# dot1x port-control auto

dot1xには、single host modeとmulti host modeが存在します。デフォルト設定は、1台のホストのみが接続可能なsingle host modeです。複数台のホストが接続可能なmulti host modeに変更するには以下のコマンドを入力します。

Router(config-if)# dot1x host-mode multi-host

dot1xには再認証の機能が備わっています。再認証とは、一定間隔でホストを認証する設定で、デフォルトでは無効化されています。再認証の設定は以下の通りで、serverを指定した場合はRADIUSサーバで定義された認証間隔を使用します。

Router(config-if)# dot1x timeout reauth-period [ sec | server ]

lab 02 1.3 Performance Optimization

まとめ

Catalyst SwitchはSDM templateを編集する事でルーティングまたはスイッチングに特化される事ができます。設定コマンドは以下の通りで、設定を反映させるには再起動が必要です。

Router(config-if)# sdm prefer [ default | vlan | routing ]

設定確認は以下の通りです。デフォルト設定では2000 prefixのルーティングがサポートされている事が読み取れます。

Rack12SW1#show sdm prefer
 The current template is "desktop default" template.
 The selected template optimizes the resources in
 the switch to support this level of features for
 8 routed interfaces and 1024 VLANs.

  number of unicast mac addresses:                  6K
  number of IPv4 IGMP groups + multicast routes:    1K
  number of IPv4 unicast routes:                    8K
    number of directly-connected IPv4 hosts:        6K
    number of indirect IPv4 routes:                 2K
  number of IPv4 policy based routing aces:         0
  number of IPv4/MAC qos aces:                      0.75K
  number of IPv4/MAC security aces:                 1K

Rack12SW1#

ルーティングに特化した設定に変更すると、8000 prefixのルーティングがサポートされている事が読み取れます。

Rack12SW1#show sdm prefer
 The current template is "desktop routing" template.
 The selected template optimizes the resources in
 the switch to support this level of features for
 8 routed interfaces and 1024 VLANs.

  number of unicast mac addresses:                  3K
  number of IPv4 IGMP groups + multicast routes:    1K
  number of IPv4 unicast routes:                    11K
    number of directly-connected IPv4 hosts:        3K
    number of indirect IPv4 routes:                 8K
  number of IPv4 policy based routing aces:         0.5K
  number of IPv4/MAC qos aces:                      0.75K
  number of IPv4/MAC security aces:                 1K

Rack12SW1#

lab02 2.3 RIP Filterring

問題文解釈

深読みし過ぎて、問題文の赤字部分が気になりました。"単純にBB3からのルートを拒否すれば良いのか(一緒にSW2からのルートも拒否して構わないのか)" それとも"BB3からのルートを拒否しSW2からのルートは許可するのか"が分かりませんでした。後述の"2.4 IGP Redistribution"で"IGP domaiのreachabilityを保証しなさい"との指定があったので、SW2からのルートは拒否してはいけないものだと思ってしまいました。

Configure SW1 so that it does not accept routes with an even second octet from BB3

別解答例

私の解答

 SW1:
interface Tunnel0
 ip unnumbered Vlan783
 tunnel source Vlan783
 tunnel destination 204.12.XX.8

router rip
 offset-list 1 in 16 Vlan783

 SW2:
interface Tunnel0
 ip unnumbered Vlan783
 tunnel source Vlan783
 tunnel destination 204.12.XX.7

INE模範解答

 SW1:
router rip
 offset-list 1 in 16 Vlan783

lab02 2.4 IGP Redistribution

まとめ

再配送は異なるルーティングドメイン間の疎通を可能にする機能ですが、"suboptimal routing", "routing loops"などの問題が発生しえます。これらの問題を解決するためには、以下を実装する必要があります。

Rule 1 : Router should always prefer internal prefix information over any external information
Rule 2 : Sprit-Horizon : Never redistribute a prefix injected from domai A into B back to domain A

Rule 1について議論します。EIGRPは、AD値によりinternal EIGRPよりもexternal EIGRPの方が優先されます。OSPFは、inner, internal, externalの順で優先されます。しかし、RIPはinternal prefixが優先される機能は備わっていません。そこで、RIPは再配送する際にseed metricを8にする事でinternalが優先されるようになります(maximum hopsが16なので、再配送されたmetricが8とすれば、経験則としてinternal RIPが優先されれます。)

Rule 2について議論します。RIP, EIGRPはsplit-horizonがデフォルトで有効になっています。OSPFに関しては、再配送を実施したルータは再配送したルートをOSPF databaseに格納しない事によって、"教えられたルートを教え返さない"ようにしています。

受験テクニック

CCIE試験では、実践ではありえないくらい複雑な再配送処理を行います。そこで、まず以下のようなdistribution diagramを作成し、構成を整理します。

 120/120               110/169                90/170
┏━━━┓            ┏━━━┓            ┏━━━┓
┃      ┃            ┃      ┃<----R2---->┃      ┃
┃RIPv2 ┃<---SW1---->┃ OSPF ┃<----R3---->┃EIGRP ┃
┃      ┃            ┃      ┃<----R4---->┃      ┃
┗━━━┛            ┗━━━┛            ┗━━━┛

以下の経験則に基づいて、AD値の調整やルートフィルタを実装します。(但し、経験則なので例外もあります。この規則で実装できないパターンについては、後述のシナリオで出題されます。)

Rule 1 : For every IGP, the distance for non-native (external) prefixes should be higher than any other native distance among other routing protocols.
Rule 2 : If there is a central routing domain providing transit services to other "edge" routing domains its external AD should be the lowest among other routing domain ADs.
Rule 3: For every routing domain, check if its native prefixes loop back through the redistribution topology. Start with a given domain and follow along the arrows noticing if the routes may ever loop back.

lab 02 5.2 Multicast Traffic Control

まとめ

pim nbma-modeは、frame relay網のハブルータに対して投入する設定です。この機能を有効にすると、教えられたルートを教え返す(split horizon無効化)ようになり、reachabilityを保証できるようになります(ここまでは vol Iで学習済みです)。
また、nbma-modeを有効にすると、マルチキャストパケットを全ルータにフラッディングするのではなく、必要なDLCI宛てのみをフラッディングするようになります。まずは、nbma-modeが未設定の状態のルーティングテーブルを確認します。特にDLCI(next-hop)を意識した制御がなされていない事が読み取れます。

Rack12R2#show ip mroute 228.28.28.28
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
       L - Local, P - Pruned, R - RP-bit set, F - Register flag,
       T - SPT-bit set, J - Join SPT, M - MSDP created entry,
       X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
       U - URD, I - Received Source Specific Host Report,
       Z - Multicast Tunnel, z - MDT-data group sender,
       Y - Joined MDT-data group, y - Sending to MDT-data group
Outgoing interface flags: H - Hardware switched, A - Assert winner
 Timers: Uptime/Expires
 Interface state: Interface, Next-Hop or VCD, State/Mode

(*, 228.28.28.28), 00:12:42/00:02:35, RP 150.12.2.2, flags: S
  Incoming interface: Null, RPF nbr 0.0.0.0
  Outgoing interface list:
    Serial0/0, Prune/Sparse, 00:01:13/00:00:00
    Serial0/0, Forward/Sparse, 00:00:55/00:02:35

(132.12.26.6, 228.28.28.28), 00:08:04/00:02:40, flags: T
  Incoming interface: FastEthernet0/0, RPF nbr 0.0.0.0
  Outgoing interface list:
    Serial0/0, Prune/Sparse, 00:01:14/00:00:00
    Serial0/0, Forward/Sparse, 00:01:10/00:03:19

Rack12R2#

まずは、nbma-mode設定後のルーティングテーブルを確認します。DLCI(next-hop)を意識した制御がなされている事が読み取れます。

Rack12R2#show ip mroute 228.28.28.28
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
       L - Local, P - Pruned, R - RP-bit set, F - Register flag,
       T - SPT-bit set, J - Join SPT, M - MSDP created entry,
       X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
       U - URD, I - Received Source Specific Host Report,
       Z - Multicast Tunnel, z - MDT-data group sender,
       Y - Joined MDT-data group, y - Sending to MDT-data group
Outgoing interface flags: H - Hardware switched, A - Assert winner
 Timers: Uptime/Expires
 Interface state: Interface, Next-Hop or VCD, State/Mode

(*, 228.28.28.28), 00:16:13/stopped, RP 150.12.2.2, flags: S
  Incoming interface: Null, RPF nbr 0.0.0.0
  Outgoing interface list:
    Serial0/0, 132.12.0.1, Forward/Sparse, 00:01:27/00:03:01

(132.12.26.6, 228.28.28.28), 00:00:07/00:03:29, flags: T
  Incoming interface: FastEthernet0/0, RPF nbr 0.0.0.0
  Outgoing interface list:
    Serial0/0, 132.12.0.1, Forward/Sparse, 00:00:07/00:03:22

Rack12R2#

lab02 6.1 Router Hardening

まとめ

Source routingを拒否する方法として以下の2通りが挙げられます。
まず1つ目の方法は以下のようなACLをinterfaceに適用する方法です(vol I 学習済み)。

ip access-list extended DROP_SOURCE_ROUTE
 10 deny ip any any option ssr
 20 deny ip any any option lsr
 30 permit ip any any

もうひとつの方法がルータ全体に対してSource routingを無効化する方法です。

Router(config)# no ip source-route

lab02 7.2 Remote Access

まとめ

以下のコマンドで、telnetログインしたユーザがabsolete-timeoutにより切断される前に、"間もなく切断される"旨の警告メッセージを表示させる事ができます。

Router(config-line)# logout-warning sec

lab02 7.4 Syslog

まとめ

syslogの紛らわしい設定について復習します(vol I 学習済み)。
以下のコマンドでsyslogサーバに転送するログのlog levelを定義します(trapではありません)

Router(config-line)# logging trap level

以下のコマンドでsyslogをSNMP trapとして転送する際のlog levelを定義します。

Router(config-line)# logging history level

ethernet I/Fではlink up/downの際にログが出力されます。しかし、frame relay I/Fの場合は、以下のようにログ出力させる条件を変更する事ができます。

Rack12R3(config-if)#logging event ?
  dlci-status-change  DLCICHANGE messages
  frame-relay         Frame-relay messages
  link-status         UPDOWN and CHANGE messages
  subif-link-status   Sub-interface UPDOWN and CHANGE messages

Rack12R3(config-if)#logging event

lab02 7.5 System Management

Cataylstスイッチのmodeボタンを長押しするとconfigが初期化され、スイッチが再起動します。その後、10.0.0.1にhttpアクセスするとGUIのセットアップができる機能がSETUP EXPRESSです。
セキュリティ上の観点から、この機能を無効化するには以下のコマンドを入力します。

Router(config)# no setup express

lab02 8.4 Frame Relay Traffic Shaping

計算ミス

Bcの算出方法は正しく理解していましたが、Bcの暗算を間違えてしまいました。
事故防止の図るために、今後は、電卓かExcelで計算をするようにしたいと思います。

まとめ

また、bcの設定を漏らしてしまいました。私は、cir, tcのみを定義する設定を作成しましたが、cir, tcのみではintervalの設定が反映されないようです。

私の解答

 SW2:
map-class frame-relay DCLI_OTHER
 frame-relay cir 182000
!
map-class frame-relay DCLI204
 frame-relay tc 10
 frame-relay cir 128000

 omitted

Rack12R2#show traffic-shape

Interface   Se0/0
       Access Target    Byte   Sustain   Excess    Interval  Increment Adapt
VC     List   Rate      Limit  bits/int  bits/int  (ms)      (bytes)   Active
213           56000     875    7000      0         125       875       -
205           56000     875    7000      0         125       875       -
204           128000    2000   128000    0         125       2000      -
201           182000    2843   182000    0         125       2843      -
203           182000    2843   182000    0         125       2843      -
Rack12R2#

INE模範解答

 SW2:
map-class frame-relay DCLI_OTHER
 frame-relay cir 182000
!
map-class frame-relay DCLI204
 frame-relay cir 128000
 frame-relay bc 1280

 omitted

Rack12R2#show traffic-shape

Interface   Se0/0
       Access Target    Byte   Sustain   Excess    Interval  Increment Adapt
VC     List   Rate      Limit  bits/int  bits/int  (ms)      (bytes)   Active
213           56000     875    7000      0         125       875       -
205           56000     875    7000      0         125       875       -
204           128000    160    1280      0         10        160       -
201           182000    2843   182000    0         125       2843      -
203           182000    2843   182000    0         125       2843      -
Rack12R2#

受験テクニック

問題文で、"Use the lowest interval(Tc)"との指定がありますが、Tcの最小値は暗記する必要はありません。ヘルプストリングから確認する事ができます。

Rack12R2(config)#map-class frame-relay DCLI204
Rack12R2(config-map-class)#frame-relay tc ?
  10-10000  Tc, milliseconds

Rack12R2(config-map-class)#frame-relay tc

「INE Workbook Volume II lab 02」をウィキ内検索

人気記事ランキング

最近更新されたページ

急上昇Wikiランキング

急上昇中のWikiランキングです。今注目を集めている話題をチェックしてみよう！

人気Wikiランキング

atwikiでよく見られているWikiのランキングです。新しい情報を発見してみよう！

新規Wikiランキング

最近作成されたWikiのアクセスランキングです。見るだけでなく加筆してみよう！

全体ページランキング

最近アクセスの多かったページランキングです。話題のページを見に行こう！

INE Workbook Volume II lab 02

採点結果

所感

lab 02 1.1 Link Aggregation

まとめ

lab 02 1.2 802.1x Authentication

まとめ

lab 02 1.3 Performance Optimization

まとめ

lab02 2.3 RIP Filterring

問題文解釈

別解答例

lab02 2.4 IGP Redistribution

まとめ

受験テクニック

lab 02 5.2 Multicast Traffic Control

まとめ

lab02 6.1 Router Hardening

まとめ

lab02 7.2 Remote Access

まとめ

lab02 7.4 Syslog

まとめ

lab02 7.5 System Management

lab02 8.4 Frame Relay Traffic Shaping

計算ミス

まとめ

受験テクニック

メインコンテンツ

更新履歴

@Wiki