Привет всем! В настоящее время я изучаю компьютерную инженерию и работаю над проектом, в рамках которого пытаюсь создать модель полностью избыточной и безопасной сетевой топологии в GNS3. Безопасность может подождать, потому что сейчас я просто пытаюсь заставить все работать, однако я очень запутался, когда дело дошло до настройки между моими брандмауэрами (пограничными устройствами) и основными коммутаторами. У меня есть опыт работы с GNS3 и управления частями реальной сети в прошлом, но, к сожалению, это было для небольшой компании, и поэтому они не использовали полную избыточность. Моя текущая сеть в GNS3 выглядит следующим образом: ![topology.png] У меня есть два брандмауэра PFSense, подключенных к облаку в GNS3 для исходящих соединений (ISP). Эти брандмауэры используют протокол CARP, и у меня есть VIP, созданный на портах WAN (em0), DMZ (em5) и LAN (e3 и e3). Мой главный вопрос касается двух основных коммутаторов (swWarszawaCore1 и 2) и брандмауэров (PFSense-1 и 2). Я хочу полную избыточность между всеми 4 устройствами, и моя первоначальная идея состоит в том, чтобы настроить VRRP на коммутаторах Core и CARP на брандмауэрах. У меня есть порты e3 и e4 на обоих брандмауэрах, объединенные в порт LAGG, называемый портом 1. PFSense-1 lagg1 имеет назначенный адрес 192.168.11.2/29, а PFSense-2 lagg1 имеет назначенный адрес 192.168.11.3/29. VIP, настроенный для этих портов, — 192.168.11.1. Etherchannel использует LACP. На основных коммутаторах, подключенных к lagg1 на брандмауэрах, я настроил port-channel1 с использованием LACP. Я настроил SVI для VLAN 14 на каждом коммутаторе и настроил port-channel1 в качестве порта доступа для VLAN 14. SVI VLAN 14 на Core1 настроен с 192.168.11.4/29, а Core2 — с 192.168.11.5/29. VIP, настроенный (с использованием VRRP) для SVI VLAN 14, — 192.168.11.6. Хорошо, значит, с swCore1 я могу пинговать 192.168.11.2 (IP-адрес брандмауэра, расположенного непосредственно выше по потоку в той же подсети), но я не могу пинговать VIP. Мне кажется, что это потому, что я еще не настроил «перекрещенные» интерфейсы eth1/3 на основных коммутаторах. Я не совсем понимаю, как это следует настроить, и даже не уверен, что мой текущий подход правильный; буду очень благодарен за любые рекомендации или помощь, так как не знаю, как действовать дальше. При необходимости я готов предоставить конфигурации. [image: b4f19f327808c682019fed6fc93af16487b6e905.png]

Здравствуйте, все. Я понимаю, что такое WRED и как он работает. Я понимаю, что как только мы превышаем определенный порог, он начинает случайным образом отбрасывать пакеты. Я также понимаю, что, поскольку это взвешенный RED, он может быть более строгим по отношению к трафику с низким приоритетом. Конечно, все это базовое объяснение. Мой вопрос заключается в том, что WRED может отбрасывать пакеты из очередей с низким приоритетом чаще, чем из очередей с высоким приоритетом. Однако, если у нас есть два класса трафика, а значит, две очереди — одна для высокоприоритетного трафика, а другая для низкоприоритетного, как удаление чего-либо из низкоприоритетной очереди поможет высокоприоритетной очереди избежать перегрузки? Если это два отдельных класса/очереди с собственным процентом зарезервированной пропускной способности. Или, другими словами, я бы понял это, если бы трафик с низким и высоким приоритетом находился в одной очереди, и трафик с более низким приоритетом отбрасывался бы чаще, но они находятся в отдельных очередях, не так ли? Так что отбрасывание чего-либо из очереди с низким приоритетом на самом деле не поможет очереди с высоким приоритетом избежать перегрузки, или нет? Спасибо. Дэвид

Здравствуйте, Мы создали тестовую среду с Cisco 7604 с SIP-400 и 2xGE SPA, аутентифицирующимся по freeradius с radius. Маршрутизаторы клиентов аутентифицируются с помощью PAP через PPPoE. Пока все работает отлично, единственное, что я не могу понять, — это как контролировать пропускную способность на основе подписки клиента с помощью атрибутов radius. Я часами искал в Интернете, но не могу найти ни одной подсказки, с чего начать. Вероятно, нам нужно создать карты политик для каждой полосы пропускания, на которую мы хотим подписаться. И присвоить пользователю или группе в radius некоторые атрибуты. Некоторая дополнительная информация, которая может быть полезна для того, чтобы направить нас в нужное русло. Мы — небольшой интернет-провайдер, обслуживающий 400 клиентов из сегмента малого и среднего бизнеса, предоставляющий публичные IPv4-адреса через VLAN с подсетью /30, то есть 4 IP-адреса из нашего пространства RIPE для каждого клиента. Теперь вы, возможно, понимаете, почему мы хотим перейти на PPPoE. xDSL в настоящее время не входит в наши планы, но может появиться в ближайшем будущем (мы контролируем нашу сеть, а не нашу управленческую команду ![] Не стесняйтесь спрашивать дополнительные подробности или предлагать нам совершенно другое направление, это всего лишь PoC, который мы создаем. [image: fc010f166ec1cf7358c4401cf35a9c14081456ea.png]

Здравствуйте, все. В настоящее время я изучаю QoS для экзамена ENCOR и настраиваю классы и очереди. Я понимаю, что CBWFQ — это алгоритм очередей, в котором мы можем определять наши классы, создавать для них очереди и гарантировать каждому из них минимальный процент пропускной способности во время перегрузки. Мои источники также говорят, что планировщик будет помещать больше пакетов из очередей с более высоким приоритетом во время CBWFQ . И здесь у меня возникает вопрос. Как мы сообщаем коммутатору/маршрутизатору о приоритете наших классов? Как мы сообщаем нашему устройству, что важно, а что нет? Я не нашел никаких команд, касающихся этого. Внутри карты политик мы можем настроить несколько вещей, таких как распределение пропускной способности, WRED и т. д., но как планировщик узнает, что считается высоким приоритетом, а что нет? Например, как устройство/планировщик узнает, что трафик, классифицированный, скажем, как CLASS-A, должен считаться более важным, чем остальной, и что во время CBWFQ из него должно отправляться больше пакетов? Спасибо. Дэвид

Здравствуйте, все. Я немного запутался в том, что такое PIR (Peak Information Rate, пиковая скорость передачи информации). В моем учебном материале сказано, что это пропускная способность, которую интернет-провайдер может нам предоставить, если в сети нет перегрузки. В данном случае речь идет о формировании пикового трафика (QoS). Однако где именно происходит перегрузка? Внутри нашей сети или в сети интернет-провайдера? Логически, разве это не должна быть сеть интернет-провайдера? Если интернет-провайдер не перегружен, мы можем отправлять данные до PIR (то есть больше), но если есть перегрузка, мы можем отправлять только до CIR (то есть меньше). Или я все неправильно понимаю? Может ли кто-нибудь объяснить и разъяснить мне эту концепцию? Спасибо. Дэвид

Здравствуйте, все. У меня есть несколько вопросов по поводу QoS. В IPP многие из моих ресурсов говорят, что значения 6 и 7 зарезервированы. Однако, похоже, ничто не мешает мне использовать 6 и 7 в IPP для маркировки моего трафика. ![Mitrixsen_1-1735038748411.png] Почему пакеты, такие как OSPF, помечаются по умолчанию? Эти пометки не имеют большого значения, если QoS не реализован, или? ![Mitrixsen_3-1735038777605.png] 3. Зачем вообще были созданы маркировки Class Selector? Если идея заключается в обеспечении обратной совместимости с устройствами, поддерживающими IPP, то разве другие значения DSCP уже не обеспечивают это? Если устройство IPP должно прочитать пакет, оно будет проверять только первые 3 бита слева от байта ToS, или нет? Итак: EF - 46 - 101011 IPP 5 AF4 - 100 - IPP 4 AF3 - 011 - IPP 3 и так далее... Это все, спасибо. Дэвид [image: cf4f7b6fea4e60267c1b3ca07cb5f0a8f5a3f6e9.png] [image: 1114fb66bb8effec910ba536e61ef058a0da1f95.png]

Привет всем, Я наблюдаю очень высокий уровень ошибок ввода и ошибок CRC на одном из моих быстрых интерфейсов, используемых для Metro E. Может ли это привести к значительному снижению производительности? Я прочитал в Интернете, что это может быть вызвано несовпадением дуплекса. Должен ли я проверить у своего провайдера, чтобы убедиться, что с их стороны также установлено значение 100 full? Заранее спасибо, R

Здравствуйте, все. Когда речь заходит о полисинтезе, есть полисинтезы, известные как двухскоростные. Это означает, что их работа основана на двух значениях — CIR и PIR — и может регулироваться с помощью этих значений. Я понимаю, что пакеты, которые попадают под CIR или равны ему, считаются соответствующими . Если количество байтов в пакете превышает CIR, но находится в пределах PIR, они считаются превышающими . Если они превышают PIR, они считаются нарушающими . Моя путаница заключается в работе токенного ведра для этого конкретного типа полицейского. В моем учебном ресурсе сказано следующее: ![Mitrixsen_0-1735825938451.png] Если пакет классифицируется как соответствующий (то есть его размер в байтах меньше или равен CIR), почему токены также удаляются из ведра Be (PIR) ? Это все, спасибо. Дэвид [image: 6e14183534249870a2e31f390c293a92236052f0.png]

Здравствуйте, все. Я понимаю, что такое группы QoS. Идея заключается в том, что вы можете классифицировать что-либо в карте политик ввода, а затем применить группу QoS к этому пакету, чтобы при маршрутизации из выходного интерфейса карта политик выхода применила свою собственную политику к этой группе QoS. Хотя я не совсем понимаю, когда я буду это использовать. Зачем применять группу QoS к чему-то, когда можно просто классифицировать это снова с помощью соответствующей CLASS-MAP и применить политику таким образом? У кого-нибудь есть практический пример или конфигурация для этого? Потому что, если вы рассмотрите мой пример class-map match-all PING match protocol ping policy-map GROUP class PING set qos-group 1 interface GigabitEthernet1 service-policy input GROUP class-map match-all PING-EF match qos-group 1 policy-map GROUP-EF class PING-EF set ip dscp ef interface GigabitEthernet2 service-policy output GROUP-EF я настроил карту политики вывода так, чтобы помечать все, что имеет группу QoS 1, с помощью EF . Но я мог бы достичь того же самого, если бы просто сделал так, или нет? class-map match-all PING match protocol ping policy-map GROUP-EF class PING set ip dscp ef interface GigabitEthernet2 service-policy output GROUP-EF Я мог бы просто снова сопоставить на основе карты классов PING в карте политик вывода без группы QoS. Так где же эти группы становятся полезными? Возможно, мой пример слишком прост для этого. Спасибо. Дэвид

Здравствуйте, все. У меня есть небольшой вопрос о том, как WRED отбрасывает трафик. Рассмотрим пример, который я нашел на сайте NetworkLessons.com ![Mitrixsen_0-1736165869113.png] IPP3 имеет следующие настроенные значения: Минимальный порог : 20 пакетов Максимальный порог : 45 пакетов Знаменатель вероятности маркировки: 25% Я думал, что после достижения максимального порога мы будем отбрасывать только 1 из каждых 4 пакетов (25%). ![Mitrixsen_1-1736165894320.png] Так и происходит, если трафик не превышает максимальный порог, но если мы превышаем максимальный порог, мы просто отбрасываем все? Так логика в моем примере работает следующим образом? средняя глубина очереди < минимальный порог — ничего не отбрасывать средняя глубина очереди > минимальный порог, но < максимальный порог — случайная отбрасывание пакетов до настроенного знаменателя вероятности маркировки (так что, если глубина очереди постоянно увеличивается, вероятность отбрасывания повышается до 25% по мере приближения к максимальному порогу). средняя глубина очереди = максимальный порог вероятность отбрасывания составляет до настроенного MPD (25%) средняя глубина очереди > максимальный порог — все отбрасывается Спасибо. Дэвид [image: 94cc20b262d78605021d7baf1acf149e70501f6e.png] [image: 698722f56afe00d3156cc4e5461f115b79b84903.png]

Здравствуйте, все. Я изучаю WRED на сайте NetworkLessons.com, и там есть такой график ![Mitrixsen_0-1736008630271.png] ![Mitrixsen_1-1736008643413.png] Я понимаю, что WRED — это механизм, который отбрасывает пакеты, но почему глубина очереди измеряется в пакетах ? Почему мы отслеживаем количество пакетов в очереди, а не то, сколько пропускной способности использует эта очередь в данный момент? Ведь 10 пакетов TCP в очереди размером 1 КБ — это не то же самое, что 10 пакетов TCP в очереди размером 5 КБ. Спасибо. Дэвид [image: 8ca91e25cf07dfcdbb66e7b4ede47cb751ff4416.png] [image: 470fdac314f6a0b8c2bc810e634d6aff78b02170.png]

Здравствуйте, дамы и господа! Для некоторых из вас это может быть простым вопросом, но я все еще пытаюсь понять преимущества динамической конфигурации Etherchannel по сравнению со статической. Количество команд строки такое же, как показано в примере ниже, поэтому нет никаких преимуществ в части конфигурации, кроме распределения нагрузки и сбоев связи. Спасибо. Пример сравнения количества строк, необходимых для настройки динамического и статического Etherchannel. Пример 1 — LACP Ethernchannel: SW1(config)#interface range f0/23 - 24 SW1(config-if-range)#channel-group 1 mode active SW1(config-if-range)#exit SW1(config)#inter port-channel 1 SW1(config-if)#description Link to SW2 SW1(config-if)#switchport mode trunk SW1(config-if)#switchport trunk native vlan 199 SW2(config)#inter range f0/23 - 24 SW2(config-if-range)#channel-group 1 mode active SW2(config-if-range)#exit SW2(config)#inter port-channel 1 SW2(config-if)#description Ссылка на SW1 SW2(config-if)#switchport mode trunk SW2(config-if)#switchport trunk native vlan 199 Пример 2 — статический Etherchannel: SW1(config)#inter range g0/1 - 2 SW1(config-if-range)#channel-group 3 mode on SW1(config-if-range)#exit SW1(config)#inter port-channel 3 SW1(config-if)#description Link to SW2 SW1(config-if)#switchport mode trunk SW1(config-if)#switchport trunk native vlan 199 SW2(config)#inter range g0/1 - 2 SW2(config-if-range)#channel-group 3 mode on SW2(config-if-range)#exit) SW2(config)#inter port-channel 3 SW2(config-if)#description Ссылка на SW1 SW2(config-if)#switchport mode trunk SW2(config-if)#switchport trunk native vlan 199

![PaheeNagulan_0-1737641790679.png] R7 (RID:7.7.7.7) является DR, а R9 (RID:9.9.9.9) — BDR. R8 (RID:8.8.8.8 IS DROTHER) Вот что я получаю, когда выполняю команду «show ip ospf database network». ![PaheeNagulan_2-1737641953532.png] Когда я отключил интерфейс маршрутизатора DR (R7), R9 стал новым DR. В базе данных OSPF я вижу два сетевых LSA (один от нового DR и один от старого). ----------------------------------------------------------------------------------------------------------------R9#show ip ospf database network Маршрутизатор OSPF с ID (9.9.9.9) (ID процесса 1) Состояния сетевых каналов (область 0) Возраст LSA: 154 Параметры: (без поддержки TOS, DC) Тип LSA: Сетевые соединения Идентификатор состояния соединения: 20.1.0.1 (адрес назначенного маршрутизатора) Маршрутизатор, публикующий объявление: 7.7.7.7 Номер последовательности LSA: 80000004 Контрольная сумма: 0x8818 Длина: 36 Маска сети: /24 Подключенный маршрутизатор: 7.7.7.7 Подключенный маршрутизатор: 8.8.8.8 Подключенный маршрутизатор: 9.9.9.9 Возраст LS: 22 Параметры: (без поддержки TOS, DC) Тип LS: Сетевые соединения Идентификатор состояния соединения: 20.1.0.2 (адрес назначенного маршрутизатора) Маршрутизатор объявления: 9.9.9.9 Номер последовательности LS: 80000001 Контрольная сумма: 0x308A Длина: 32 Маска сети: /24 Подключенный маршрутизатор: 9.9.9.9 Подключенный маршрутизатор: 8.8.8.8 ------------------------------------------------------------------------- Мои вопросы к экспертам 1) Старый сетевой LSA исчезает после истечения срока действия? 2) Как маршрутизатор определяет, какую сеть LSA использовать из этих двух LSA? [image: a7b0baa6a1a2a3b25277eb66d56ced7187d168c3.png] [image: ecb5001f886365f93f129cd46efb65e1f1353735.png]

Здравствуйте, эксперты! Добрый день всем. Я пытаюсь понять атрибуты BGP, но мне сложно понять некоторые аспекты каждого из них. Основной вопрос заключается в том, какой атрибут лучше всего использовать для входящего трафика, поступающего из eBGP. Я не могу понять, какой атрибут лучше всего использовать. Я немного понимаю, что лучше всего использовать AS_Path prepending, но не могу понять, как правильно его использовать в настройках INBOUND. Правильный синтаксис/конфигурация route-map и as-path access list, если приведенный ниже пример приемлем сосед 192.168.x.x route-map prepend in route-map prepend permit 10 set as-path prepend 42000 (удаленный as) 40000 (локальный as) Кроме того, я знаю, что также могу использовать WEIGHT, но он используется для iBGP. Надеюсь, кто-нибудь поможет мне лучше понять это. Заранее спасибо!

Здравствуйте. Я зарегистрировался в Cisco Networking Academy, скачал Packet Tracer (PT), но теперь он застрял в цикле входа в систему и ошибки 404. На экране входа в систему я нажимаю на Networking Academy, включаю опцию «Keep me logged in» (Оставить меня вошедшим), ввожу свои учетные данные, и в результате появляется страница с ошибкой 404. После закрытия этой страницы, вернувшись в Packet Tracer (PT), я получаю сообщение об ошибке аутентификации: «Не удалось войти. Cisco Packet Tracer закрывается». Затем PT закрывается, но во время всех этих шагов PT, похоже, продолжает работать, так как я вижу, что таймер Realtime продолжает работать. Буду очень благодарен за любые предложения по решению этой проблемы. Я просмотрел все варианты форума и решил, что этот наиболее подходит для публикации. Спасибо.

Привет, ребята, у меня есть еще одна проблема :P. В моем проекте у меня есть 2 маршрутизатора Edge, подключенных к ISP, эти 2 сети являются NAT, и между этими 2 локациями у меня настроен туннель Ipsec. Связь между этими 2 локациями работает отлично, но я не могу получить доступ к серверу за сетью NAT, когда я пытаюсь проверить мой NAT-перевод, он не работает. Надеюсь, вы мне с этим поможете. ![nowakkacper99_0-1737977069751.png] Я добавляю свой проект. [image: c92421516fce3d1438e1daecf3e1793785d5bc6d.png] ostateczny-arkusz.zip

Привет всем! В настоящее время у меня настроен архив для передачи по протоколу TFTP на внешний сервер. Поскольку я работаю в лабораторной/разработчической среде, мне нужно вернуться и посмотреть конфигурации за последние 5 лет, чтобы понять, как все было настроено для теста, который мы проводили тогда. Я только что понял, что временная метка на сохраненных архивах не включает год. Она показывает только MM:DD:HH:MM:SS-TMZ. Есть ли способ добавить год в этот формат? Заранее спасибо!

Привет, команда! Может ли кто-нибудь порекомендовать новую модель маршрутизатора, которая заменит маршрутизатор модели CISCO881W-GN-E-K9. Мне нужна новая модель с высокой производительностью, поддерживающая то же оборудование. Процессор Cisco 881 (MPC8300) (ревизия 1.0) с памятью 223232K/38912K байт. 5 интерфейсов FastEthernet 1 интерфейс Gigabit Ethernet 1 терминальная линия 1 модуль виртуальной частной сети (VPN) 1 встроенный точка доступа Cisco

Я понимаю, что это, вероятно, плохой дизайн сайта, но это то, с чем я должен работать. У меня есть главный офис с подсетью 192.168.15.0/24. Есть VPN между сайтами с партнерским сайтом (я не владею брандмауэром на их стороне) с подсетью 10.2.22.0/24. Нет никаких проблем с доступом пользователей к ресурсам на каждой стороне. У меня есть пользователи, которые подключаются к моему основному сайту с помощью Secure Client. Вот где, по-моему, и заключается проблема. Им выдаются IP-адреса в том же диапазоне, что и пользователям основного сайта, то есть 192.168.15.0/24. Удаленные пользователи могут нормально получать доступ к ресурсам основного сайта, но не могут получить доступ к ресурсам на другой стороне туннеля между сайтами. Есть ли способ исправить это, не создавая новый пул адресов для пользователей Secure Client? Дело в том, что я не являюсь владельцем брандмауэра на другом конце туннеля между сайтами, и мне сложно убедить их добавить новую подсеть в свои правила. У меня есть команда «same-security-traffic permit intra-interface» на брандмауэре моего основного сайта. Не уверен, что она мне нужна. Спасибо

Я только что закончил настройку маршрутизатора 3640, подключенного к нашей локальной сети через линию T1, но получаю следующую ошибку, и конфигурация запуска сбрасывается. Router-NY# %Ошибка при открытии Tftp://255.255.255.255/network-confg (Истекло время ожидания) %Ошибка при открытии файла t ftp://255.255.255.255/cisconet.cfg (превышен лимит времени) %Ошибка при открытии Tftp://255.255.255.255/router-ny-confg (превышен лимит времени) %Ошибка при открытии файла t ftp://255.255.255.255/router-n.cfg (превышен лимит времени) %Ошибка при открытии Tftp://255.255.255.255/network-confg (превышен лимит времени) %Ошибка при открытии t ftp://255.255.255.255/cisconet.cfg (Превышен лимит времени) %Ошибка при открытии файла t ftp://255.255.255.255/router-ny-confg (превышен лимит времени) %Ошибка при открытии файла t ftp://255.255.255.255/router-n.cfg (превышен лимит времени) %Ошибка при открытии Tftp://255.255.255.255/network-confg (превышен лимит времени) %Ошибка при открытии Tftp://255.255.255.255/cisconet.cfg (превышен лимит времени) %Ошибка при открытии файла t ftp://255.255.255.255/router-ny-confg (превышен лимит времени) %Ошибка при открытии файла t ftp://255.255.255.255/router-n.cfg (превышен лимит времени)