DynagenでCCIEを目指す
INE Workbook Volume II lab 02
最終更新：
it_certification
-
view
- 採点結果
- 所感
- lab 02 1.1 Link Aggregation
- lab 02 1.2 802.1x Authentication
- lab 02 1.3 Performance Optimization
- lab02 2.3 RIP Filterring
- lab02 2.4 IGP Redistribution
- lab 02 5.2 Multicast Traffic Control
- lab02 6.1 Router Hardening
- lab02 7.2 Remote Access
- lab02 7.4 Syslog
- lab02 8.4 Frame Relay Traffic Shaping
採点結果
| トピック | 正誤 | 備考 |
| 1.1 Link Aggregation | × | 知識不足 |
| 1.2 802.1x Authentication | × | 知識不足 |
| 1.3 Performance Optimization | × | 知識不足 |
| 2.1 OSPF | ○ | |
| 2.2 EIGRP | ○ | |
| 2.3 RIP Filtering | ○ | 問題文が複数の意味に読み取れましたが、模範解答の解答の可能性も考慮できたので正解とします。 |
| 2.4 IGP Redistribution | ○ | 模範解答と異なりますが、正解とします。 |
| 2.5 BGP Peering | ○ | |
| 2.6 BGP Filtering | ○ | 問題文が複数の意味に読み取れましたが、模範解答の解答の可能性も考慮できたので正解とします。 |
| 2.7 BGP Summarization | ○ | |
| 2.8 BGP Tuning | × | vol I 記憶漏れ |
| 3.1 IPv6 Development | ○ | |
| 4.1 L2 VPN | × | 知識不足 |
| 5.1 Multicast Testing | ○ | |
| 5.2 Multicast Traffic Control | × | 知識不足 |
| 6.1 Router Hardening | × | 知識不足 |
| 6.2 Zone-Based Firewall | ○ | |
| 6.3 Traffic Logging | ○ | |
| 6.4 ICMP Filtering | × | ケアレスミス |
| 7.1 RMON | ○ | |
| 7.2 Remote Access | ○ | |
| 7.3 Remote Access Security | ○ | |
| 7.4 Syslog | × | vol I 記憶漏れ |
| 7.5 System Management | × | 知識不足 |
| 8.1 Congestion Management | ○ | |
| 8.2 Policy Routing | ○ | |
| 8.3 Congestion Managemtn | ○ | |
| 8.4 Frame Relay Traffic Shaping | × | 計算ミス |
所感
- 全体的に"知らんがな"の問題が多かったです。"まだまだ覚える事が沢山ある"と思うと気が滅入ります。
lab 02 1.1 Link Aggregation
まとめ
LACPは最大16本までをLACPの候補として設定できますが、activeにできるのは8本までです。そのため、LACPには以下lacp priorityを用いてacitiveなポートを選出する機能が備わっています。
┏━━━━━━━━━━┳━━━━━━┳━━━━━━━━━┳━━━━━━┓
┃lacp system-priority┃ mac address┃lacp port-priority┃ port-number┃
┗━━━━━━━━━━┻━━━━━━┻━━━━━━━━━┻━━━━━━┛
<----------------------------------><-------------------------------->
system id port id
<-------------------------------------------------------------------->
lacp priority
まず、各スイッチのsystem idを比較し、system idが最も小さいスイッチをlacp dicision maker(LACPのactiveポートを選出するスイッチ)として選出します。次に、lacp dicision makerは各ポートのlacp priorityを比較し、lacp priorityが小さいポートをactiveポートとして選出します。
これらのパラメータをチューニングするには、以下のコマンドを使用します。
Router(config)# lacp system-priority priority Router(config-if)# lacp port-priority priority
lab 02 1.2 802.1x Authentication
まとめ
dot1xの認証設定は以下の通りです。ヘルプストリングでは、認証名, 認証方式に多数の候補が表示されますが、サポートされるのはdefault group raduisのみです。
Router(config)# aaa new-model Router(config)# aaa authentication default group radius
dot1xを使用するためには、グローバルにdot1xを有効化する設定を投入する必要があります。
Router(config)# dot1x system-auth-control
dot1xを有効にしたいポートに対して以下のコマンドを投入します。dot1xが有効にできるのはaccess portのみです。
Router(config-if)# swtichport mode access Router(config-if)# dot1x port-control auto
dot1xには、single host modeとmulti host modeが存在します。デフォルト設定は、1台のホストのみが接続可能なsingle host modeです。複数台のホストが接続可能なmulti host modeに変更するには以下のコマンドを入力します。
Router(config-if)# dot1x host-mode multi-host
dot1xには再認証の機能が備わっています。再認証とは、一定間隔でホストを認証する設定で、デフォルトでは無効化されています。再認証の設定は以下の通りで、serverを指定した場合はRADIUSサーバで定義された認証間隔を使用します。
Router(config-if)# dot1x timeout reauth-period [ sec | server ]
lab 02 1.3 Performance Optimization
まとめ
Catalyst SwitchはSDM templateを編集する事でルーティングまたはスイッチングに特化される事ができます。設定コマンドは以下の通りで、設定を反映させるには再起動が必要です。
Router(config-if)# sdm prefer [ default | vlan | routing ]
設定確認は以下の通りです。デフォルト設定では2000 prefixのルーティングがサポートされている事が読み取れます。
Rack12SW1#show sdm prefer
The current template is "desktop default" template.
The selected template optimizes the resources in
the switch to support this level of features for
8 routed interfaces and 1024 VLANs.
number of unicast mac addresses: 6K
number of IPv4 IGMP groups + multicast routes: 1K
number of IPv4 unicast routes: 8K
number of directly-connected IPv4 hosts: 6K
number of indirect IPv4 routes: 2K
number of IPv4 policy based routing aces: 0
number of IPv4/MAC qos aces: 0.75K
number of IPv4/MAC security aces: 1K
Rack12SW1#
ルーティングに特化した設定に変更すると、8000 prefixのルーティングがサポートされている事が読み取れます。
Rack12SW1#show sdm prefer
The current template is "desktop routing" template.
The selected template optimizes the resources in
the switch to support this level of features for
8 routed interfaces and 1024 VLANs.
number of unicast mac addresses: 3K
number of IPv4 IGMP groups + multicast routes: 1K
number of IPv4 unicast routes: 11K
number of directly-connected IPv4 hosts: 3K
number of indirect IPv4 routes: 8K
number of IPv4 policy based routing aces: 0.5K
number of IPv4/MAC qos aces: 0.75K
number of IPv4/MAC security aces: 1K
Rack12SW1#
lab02 2.3 RIP Filterring
問題文解釈
深読みし過ぎて、問題文の赤字部分が気になりました。"単純にBB3からのルートを拒否すれば良いのか(一緒にSW2からのルートも拒否して構わないのか)" それとも"BB3からのルートを拒否しSW2からのルートは許可するのか"が分かりませんでした。後述の"2.4 IGP Redistribution"で"IGP domaiのreachabilityを保証しなさい"との指定があったので、SW2からのルートは拒否してはいけないものだと思ってしまいました。
- Configure SW1 so that it does not accept routes with an even second octet from BB3
別解答例
- 私の解答
SW1: interface Tunnel0 ip unnumbered Vlan783 tunnel source Vlan783 tunnel destination 204.12.XX.8 router rip offset-list 1 in 16 Vlan783 SW2: interface Tunnel0 ip unnumbered Vlan783 tunnel source Vlan783 tunnel destination 204.12.XX.7
- INE模範解答
SW1: router rip offset-list 1 in 16 Vlan783
lab02 2.4 IGP Redistribution
まとめ
再配送は異なるルーティングドメイン間の疎通を可能にする機能ですが、"suboptimal routing", "routing loops"などの問題が発生しえます。これらの問題を解決するためには、以下を実装する必要があります。
- Rule 1 : Router should always prefer internal prefix information over any external information
- Rule 2 : Sprit-Horizon : Never redistribute a prefix injected from domai A into B back to domain A
Rule 1について議論します。EIGRPは、AD値によりinternal EIGRPよりもexternal EIGRPの方が優先されます。OSPFは、inner, internal, externalの順で優先されます。しかし、RIPはinternal prefixが優先される機能は備わっていません。そこで、RIPは再配送する際にseed metricを8にする事でinternalが優先されるようになります(maximum hopsが16なので、再配送されたmetricが8とすれば、経験則としてinternal RIPが優先されれます。)
Rule 2について議論します。RIP, EIGRPはsplit-horizonがデフォルトで有効になっています。OSPFに関しては、再配送を実施したルータは再配送したルートをOSPF databaseに格納しない事によって、"教えられたルートを教え返さない"ようにしています。
受験テクニック
CCIE試験では、実践ではありえないくらい複雑な再配送処理を行います。そこで、まず以下のようなdistribution diagramを作成し、構成を整理します。
120/120 110/169 90/170 ┏━━━┓ ┏━━━┓ ┏━━━┓ ┃ ┃ ┃ ┃<----R2---->┃ ┃ ┃RIPv2 ┃<---SW1---->┃ OSPF ┃<----R3---->┃EIGRP ┃ ┃ ┃ ┃ ┃<----R4---->┃ ┃ ┗━━━┛ ┗━━━┛ ┗━━━┛
以下の経験則に基づいて、AD値の調整やルートフィルタを実装します。(但し、経験則なので例外もあります。この規則で実装できないパターンについては、後述のシナリオで出題されます。)
- Rule 1 : For every IGP, the distance for non-native (external) prefixes should be higher than any other native distance among other routing protocols.
- Rule 2 : If there is a central routing domain providing transit services to other "edge" routing domains its external AD should be the lowest among other routing domain ADs.
- Rule 3: For every routing domain, check if its native prefixes loop back through the redistribution topology. Start with a given domain and follow along the arrows noticing if the routes may ever loop back.
lab 02 5.2 Multicast Traffic Control
まとめ
pim nbma-modeは、frame relay網のハブルータに対して投入する設定です。この機能を有効にすると、教えられたルートを教え返す(split horizon無効化)ようになり、reachabilityを保証できるようになります(ここまでは vol Iで学習済みです)。
また、nbma-modeを有効にすると、マルチキャストパケットを全ルータにフラッディングするのではなく、必要なDLCI宛てのみをフラッディングするようになります。まずは、nbma-modeが未設定の状態のルーティングテーブルを確認します。特にDLCI(next-hop)を意識した制御がなされていない事が読み取れます。
また、nbma-modeを有効にすると、マルチキャストパケットを全ルータにフラッディングするのではなく、必要なDLCI宛てのみをフラッディングするようになります。まずは、nbma-modeが未設定の状態のルーティングテーブルを確認します。特にDLCI(next-hop)を意識した制御がなされていない事が読み取れます。
Rack12R2#show ip mroute 228.28.28.28
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
L - Local, P - Pruned, R - RP-bit set, F - Register flag,
T - SPT-bit set, J - Join SPT, M - MSDP created entry,
X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
U - URD, I - Received Source Specific Host Report,
Z - Multicast Tunnel, z - MDT-data group sender,
Y - Joined MDT-data group, y - Sending to MDT-data group
Outgoing interface flags: H - Hardware switched, A - Assert winner
Timers: Uptime/Expires
Interface state: Interface, Next-Hop or VCD, State/Mode
(*, 228.28.28.28), 00:12:42/00:02:35, RP 150.12.2.2, flags: S
Incoming interface: Null, RPF nbr 0.0.0.0
Outgoing interface list:
Serial0/0, Prune/Sparse, 00:01:13/00:00:00
Serial0/0, Forward/Sparse, 00:00:55/00:02:35
(132.12.26.6, 228.28.28.28), 00:08:04/00:02:40, flags: T
Incoming interface: FastEthernet0/0, RPF nbr 0.0.0.0
Outgoing interface list:
Serial0/0, Prune/Sparse, 00:01:14/00:00:00
Serial0/0, Forward/Sparse, 00:01:10/00:03:19
Rack12R2#
まずは、nbma-mode設定後のルーティングテーブルを確認します。DLCI(next-hop)を意識した制御がなされている事が読み取れます。
Rack12R2#show ip mroute 228.28.28.28
IP Multicast Routing Table
Flags: D - Dense, S - Sparse, B - Bidir Group, s - SSM Group, C - Connected,
L - Local, P - Pruned, R - RP-bit set, F - Register flag,
T - SPT-bit set, J - Join SPT, M - MSDP created entry,
X - Proxy Join Timer Running, A - Candidate for MSDP Advertisement,
U - URD, I - Received Source Specific Host Report,
Z - Multicast Tunnel, z - MDT-data group sender,
Y - Joined MDT-data group, y - Sending to MDT-data group
Outgoing interface flags: H - Hardware switched, A - Assert winner
Timers: Uptime/Expires
Interface state: Interface, Next-Hop or VCD, State/Mode
(*, 228.28.28.28), 00:16:13/stopped, RP 150.12.2.2, flags: S
Incoming interface: Null, RPF nbr 0.0.0.0
Outgoing interface list:
Serial0/0, 132.12.0.1, Forward/Sparse, 00:01:27/00:03:01
(132.12.26.6, 228.28.28.28), 00:00:07/00:03:29, flags: T
Incoming interface: FastEthernet0/0, RPF nbr 0.0.0.0
Outgoing interface list:
Serial0/0, 132.12.0.1, Forward/Sparse, 00:00:07/00:03:22
Rack12R2#
lab02 6.1 Router Hardening
まとめ
Source routingを拒否する方法として以下の2通りが挙げられます。
まず1つ目の方法は以下のようなACLをinterfaceに適用する方法です(vol I 学習済み)。
まず1つ目の方法は以下のようなACLをinterfaceに適用する方法です(vol I 学習済み)。
ip access-list extended DROP_SOURCE_ROUTE 10 deny ip any any option ssr 20 deny ip any any option lsr 30 permit ip any any
もうひとつの方法がルータ全体に対してSource routingを無効化する方法です。
Router(config)# no ip source-route
lab02 7.2 Remote Access
まとめ
以下のコマンドで、telnetログインしたユーザがabsolete-timeoutにより切断される前に、"間もなく切断される"旨の警告メッセージを表示させる事ができます。
Router(config-line)# logout-warning sec
lab02 7.4 Syslog
まとめ
syslogの紛らわしい設定について復習します(vol I 学習済み)。
以下のコマンドでsyslogサーバに転送するログのlog levelを定義します(trapではありません)
以下のコマンドでsyslogサーバに転送するログのlog levelを定義します(trapではありません)
Router(config-line)# logging trap level
以下のコマンドでsyslogをSNMP trapとして転送する際のlog levelを定義します。
Router(config-line)# logging history level
ethernet I/Fではlink up/downの際にログが出力されます。しかし、frame relay I/Fの場合は、以下のようにログ出力させる条件を変更する事ができます。
Rack12R3(config-if)#logging event ? dlci-status-change DLCICHANGE messages frame-relay Frame-relay messages link-status UPDOWN and CHANGE messages subif-link-status Sub-interface UPDOWN and CHANGE messages Rack12R3(config-if)#logging event
lab02 7.5 System Management
Cataylstスイッチのmodeボタンを長押しするとconfigが初期化され、スイッチが再起動します。その後、10.0.0.1にhttpアクセスするとGUIのセットアップができる機能がSETUP EXPRESSです。
セキュリティ上の観点から、この機能を無効化するには以下のコマンドを入力します。
セキュリティ上の観点から、この機能を無効化するには以下のコマンドを入力します。
Router(config)# no setup express
lab02 8.4 Frame Relay Traffic Shaping
計算ミス
Bcの算出方法は正しく理解していましたが、Bcの暗算を間違えてしまいました。
事故防止の図るために、今後は、電卓かExcelで計算をするようにしたいと思います。
事故防止の図るために、今後は、電卓かExcelで計算をするようにしたいと思います。
まとめ
また、bcの設定を漏らしてしまいました。私は、cir, tcのみを定義する設定を作成しましたが、cir, tcのみではintervalの設定が反映されないようです。
- 私の解答
SW2:
map-class frame-relay DCLI_OTHER
frame-relay cir 182000
!
map-class frame-relay DCLI204
frame-relay tc 10
frame-relay cir 128000
omitted
Rack12R2#show traffic-shape
Interface Se0/0
Access Target Byte Sustain Excess Interval Increment Adapt
VC List Rate Limit bits/int bits/int (ms) (bytes) Active
213 56000 875 7000 0 125 875 -
205 56000 875 7000 0 125 875 -
204 128000 2000 128000 0 125 2000 -
201 182000 2843 182000 0 125 2843 -
203 182000 2843 182000 0 125 2843 -
Rack12R2#
- INE模範解答
SW2:
map-class frame-relay DCLI_OTHER
frame-relay cir 182000
!
map-class frame-relay DCLI204
frame-relay cir 128000
frame-relay bc 1280
omitted
Rack12R2#show traffic-shape
Interface Se0/0
Access Target Byte Sustain Excess Interval Increment Adapt
VC List Rate Limit bits/int bits/int (ms) (bytes) Active
213 56000 875 7000 0 125 875 -
205 56000 875 7000 0 125 875 -
204 128000 160 1280 0 10 160 -
201 182000 2843 182000 0 125 2843 -
203 182000 2843 182000 0 125 2843 -
Rack12R2#
受験テクニック
問題文で、"Use the lowest interval(Tc)"との指定がありますが、Tcの最小値は暗記する必要はありません。ヘルプストリングから確認する事ができます。
Rack12R2(config)#map-class frame-relay DCLI204 Rack12R2(config-map-class)#frame-relay tc ? 10-10000 Tc, milliseconds Rack12R2(config-map-class)#frame-relay tc
