Posts tagged cisco

Kwam net deze pagina tegen tijdens het inbouwen van mijn Cisco ASA in het netwerk;

Top Ten Cisco IOS Tips – O’Reilly Media.

Bevat een aantal nuttige tips, deze kende ik nog niet:

One of the classic mistakes (I know because I have done it myself a number of times) is to incorrectly update an access-list on an interface when you are connected to the device remotely. And suddenly, the Telnet connection is dropped to the router because of a forgotten list entry that would permit your incoming connection.

There is another way. When you are doing something tricky, you can use the following feature of the reload command, which causes the router to reboot in a certain number of minutes. For example, let’s tell the router to reboot in three minutes.

    MyRouter#reload in 3
        Reload scheduled in 3 minutes
    Proceed with reload? [confirm]y

Now, we have three minutes to do what we need to do. Let’s say we are applying an access-list to serial0.

    MyRouter#config terminal
    Enter configuration commands, one per line.  End with CNTL/Z.
    MyRouter(config)#interface serial0
    MyRouter(config-if)#ip access-group 110 in
    MyRouter(config-if)#^Z
    MyRouter#

We made the change and everything still works. (Well, at least our connection wasn’t dropped.) Now all we have to do cancel the impending reload with the following command:

    MyRouter#reload cancel

Or, if our access-list update did destroy our connection to the router, all we need to do is wait three minutes (plus the router’s reload time) before the router is back online. After the reload, the router uses the original saved configuration before our access-list change.

Erg handig dus!

Op een Cisco router kun je door middel van ‘show run’ de draaiende configuratie bekijken, door middel van ‘grep’ en ‘begin’ kun je de output hiervan filteren en zoeken naar bijvoorbeeld alle access-list’s of naar alle verwijzingen naar een bepaald IP-adres;

pix501# show run | grep access-list
access-list inbound permit tcp any interface outside eq https
access-list inbound permit tcp any interface outside eq www
access-list inside_access_in deny tcp any any eq smtp
(…)

Door middel van ‘begin’ kun je de output laten starten vanaf de eerste match, bijvoorbeeld handig om een groepsdefinitie te bekijken;

pix501# show run | begin VPN-Traffic
object-group service VPN-Traffic tcp
port-object eq telnet
port-object eq www
port-object eq ssh
port-object eq domain
port-object eq https
access-list inbound permit tcp any interface outside eq https
access-list inbound permit tcp any interface outside eq www
access-list inside_access_in deny tcp any any eq smtp
(…)

Zoals je hierboven ziet gaat de output daarna wel gewoon verder met ‘de rest’. Andere opties die je achter ‘show run | ‘ kunt gebruiken zijn ‘include’ en ‘exclude’ die qua gebruik denk ik voor zich spreken. Op deze manier kun je gemakkelijk vanuit een console de delen uit een configuratie bekijken die je nodig hebt.