Mostrando postagens com marcador Gerenciamento. Mostrar todas as postagens
Mostrando postagens com marcador Gerenciamento. Mostrar todas as postagens

quinta-feira, 25 de novembro de 2010

Switches 3Com 7900 - Configurando acesso HTTPS com Servidor CA (Windows Server 2003)

O post de hoje foi encaminhado pelo Douglas Jefferson com um "How to" para configuração de acesso HTTPS no Switch 3Com 7900 utilizando um Servidor CA com o Windows Server 2003.

Aproveitem as dicas....

Durante a instalação do CA verifique se o Windows será um MemberServer ou se estará fora do Domínio. No exemplo listado nesse tutorial, o Servidor estará fora do domínio, pois nos passos a frente na instalação da CA(Certificate Authority) há diferenças em qual CA criar(Enterprise, StandAlone , SubAuthority Root CA) e quais grupos devem ter permissões.

OBS.: Certifique-se de instalar na sequencia do tutorial. Se porventura for instalado primeiro a CA e em seguinda IIS você terá que saber colocar os códigos da aplicação da CA no diretório "Home Directory" do IIS, normalmente em "%windir%\inetpub\wwwroot".


Instalar Componente do Windows como Web Server Microsoft IIS (NNF)

  1. Certificar de que o CD/ISO de instalação está disponível, porque será solicitado.
  2.  Clique em “Iniciar >Painel de Controle>Instalar e Remover Programas”, do lado esquerdo, terceira opção, de cima para baixo “Componentes do Windows”, assinale somente a opção do IIS (Internet Information Service) e clique em Detalhes, para certificar de que todas as opções estão assinaladas.
  3. Verificar se o serviço está escutando a porta 80 padrão.
  4. Testar pelo CMD com “netstat” e Web Browser local “http://IP_do_IIS/”.
Instalar Componente do Windows como CA (NNF)
  1. Repita Passo 2B mas no lugar de IIS assinale “Certificate Authority” e para este Windows 2003 Server Standard Edition fora do domínio (não Member Server) somente aparecerá "StandAlone Root CA" (NNF), com usuário Administrador local.
Fontes:
http://www.petri.co.il/install_windows_server_2003_ca.htm
http://technet.microsoft.com/en-us/library/cc875810.aspx
  1. Verificar se o serviço está em pleno funcionamento, averiguando se há possibilidade de gerar certificados via interfaceWeb. Link: http://192.168.100.40/certsrv/
Se esse link mostrar a interface Web da administração da CA, OK!

Se  NÃO verificar instalação, passos anteriores.

  1. O Windows 2003 Servers não tem suporte ao protocolo SCEP por padrão (Simple Certificate Enrollment Protocol, created by Cisco System), assim precisamos instala-lo (NNF).
 http://www.microsoft.com/downloads/en/details.aspx?familyid=9f306763-d036-41d8-8860-1636411b2d01&displaylang=en

OBS.: Será solicitado informações sobre a RA (switch 3Com 7900) no final da instalação do programa, como Hostname, Cidade, Estado , Tipo de Cifra e Certificado. Se a CA estiver instalada, o que aparecer Negritado é o que ele reconheceu como padrão da CA em uso, se tiver dúvidas mantenha o que ele identificou.

  1. Após instala-lo estará disponível a interface via Web para solicitações de certificados, assim nos possibilitando configurar os equipamentos da rede.
Interface Enrollment para equipamentos de rede Link: http://192.168.100.40/certsrv/mscep/mscep.dll

  1. Na instalação do programa que foi baixado no site da Microsoft (protocolo SCEP) a CA cria 2 certificados para a entidade RA (switch), então vamos verificar se está tudo OK. Navegue em Iniciar > Painel de Controle > Ferramentas Administrativas > Certificate Authority Expandir em Certificate Authority  > CA > Issued Certificates, verificar se existem 2 certificados devidamente criados, se “OK” siga em frete. Se “NÃO” verifique passos anteriores.
  2. Ainda dentro da seção "Certificate Authority", clique com o botão direto na "CA > Properties" Em seguida na aba "Policy Module > Properties", novamente, e selecione a opção "Follow de settings in the certificate template, if........." Será solicitado que você reinicie o serviço da CA (Apply/OK), faça-o.
  3. Agora vá em “Iniciar-->Painel de Controle-->Ferramentas Administrativas-->IIS” Expandir em “Server(Local)-->Web Sites-->Default Web Site”, verifique se os serviços "Certsrv","CertControl" e "CertEnroll" estão disponíveis. Se quiser trocar o caminho padrão sinta-se avontade (clique com o botão direito do mouse em "Default Web Site-->Home Directory-->LocalPath").
Configurando o Switch

Configurando o equipamento da rede (switch 3Com 7900 CORE, ou qualquer que suporte PKI/SSL) para solicitações de certificados a CA.
 pki entity AAA
common-name SW_CORE
quit
#
pki domain CLIENTEX
ca identifier SERVIDOR
#
certificate request url http://192.168.100.4/certsrv/mscep/mscep.dll
certificate request from ra
certificate request entity AAA
crl url http://192.168.100.4/CertEnroll/IMC.crl
quit
#
pki retrieval-certificate ca domain CLIENTEX

(Y/N):y
#
pki retrieval-crl domain CLIENTEX
#

OBS.:
Para saber a senha do desafio (Challenge Password), abra seu navegador com o link http://IP_do_IIS/certsrv/mscep/ , será solicitado um usuário e senha para autenticação, esse usuário é o que instalou o programa que da suporte ao protocolo SCEP (no meu caso Administrator), após autenticado você será redirecionado para a tela que conterá o "Ca Certificate ThumbPrint" e "Challenge Password"(port 60 minutos)


Faz a requisição do certificado e o armazena.

#
pki request-certificate domain CLIENTEX Challenge_Password

#
pki request-certificate domain CLIENTEX 7F4C5A740C78B06D


Lista o certificado importado.
#
display pki certificate local domain CLIENTEX


Cria o dominio SSL com as especificações dessa seção. CLIENTEX-SSL
#
ssl server-policy CLIENTEX-SSL

pki-domain CLIENTEX
client-verify enable
quit
#

Associa o dominio SSL ao servidor HTTPS
#
ip https ssl-server-policy CLIENTEX-SSL


Habilita o Servidor HTTPS
#
ip https enable


Restringe o acesso às Redes contidas na ACL de número 2000
#
ip https acl 2000


Feito todos os passos acima com sucesso, precisaremos solicitar um certificado para o navegador da máquina que vamos utilizar para acessar a interface Web do Switch CORE, seguindo os passos abaixo:

Abra o navegador e digite o seguinte link http://192.168.100.40/certsrv/


Clique em "Request a Certificate"

Clique em "Web Browser Certificate"
 
Preencha os campos em clique em "Submit"


Aparecerá uma mensagem "This Web site is requesting a new certificate.........", clique em "YES".

Em seguida clique no link "Install This Certificate".

Será instalado no seu navegador, assim você estará apto a acessar com seu navegador a página de administração do switch de forma segura (SSL).

Agora basta acessar o IP do Switch em seu Browser de preferência....

Se desejar verificar o handshake/transações PKI e/ou SSL, habilite o debug


a. Debug ssl
b. Debug pki

Espero que tenham gostado, abraços a todos!!!

quinta-feira, 2 de setembro de 2010

quarta-feira, 26 de maio de 2010

Switches 3Com 4500G - Desmistificando o Cluster !

A feature Cluster permite a administração de diversos Switches pelo Switch Master da Rede que responderá por um único endereço IP para toda a pilha.

A grande vantagem é a utilização das portas 1Gb (frontais) para comunicação do Cluster entre os dispositivos, por cabo UTP ou fibra, sem a necessidade de compra de módulos ou cabos específicos, além de permitir a integração de Switches 3Com/H3C de diferentes famílias (ex: 4500G e 4800G)

Umas das particularidades do Cluster que vem agradando os administradores de rede é a facilidade de administração dos Switches participantes do Cluster pelo modo Web (GUI).

Se fizermos uma comparação da administração via Cluster com outros tipos de empilhamento, o Cluster permite a administração em árvore distribuída ao invés da administração vertical dos Switches que utilizam os protocolos XRN ou IRF.

O Clustering utiliza os protocolos Cluster, NDP e NTDP para descoberta de vizinhos e manutenção da Topologia que envolve os dispositivos do Cluster.

- Os Switches utilizam o NDP para coletar informações dos vizinhos diretamente conectados, incluindo versão de Software, hostname, endereço MAC e numero da porta conectada.

- Os Switches utilizam o NTDP para coletar informações dos dispositivos como saltos, informações da topologia e dispositivos com NTDP ativo.

- O Cluster permite ao dispositivo participar do Clustering.
ComandosÉ necessário habilitarmos o NDP e o NTDP globalmente nos Switches (todos) e nas Interfaces de UpLink.

ndp enable
ntdp enable
cluster enable

Para o Switch Master é obrigatório configurarmos um IP para
gerenciamento e aplicarmos o comando build [nome do cluster] para o Master descobrir e adicionar automaticamente os outros Switches na pilha.

cluster
!Habilita as configurações do Cluster no Switch Masterip-pool 10.0.0.1 255.255.255.240!Limita a quantidade de Switches gerenciados pelo Cluster e o range liberado para adminstração
build LaB
!Habilita a construção do Cluster, forçando o Switch a ser o Master com o nome LAB.

Após concluídas as configurações, os Switches trocarão mensagens para sincronização da Topologia envolvendo os protocolos citados. A partir dessas mensagens o Cluster será formado utilizando a VLAN 1 para troca de mensagens(por default). É possível alterarmos a VLAN do Cluster com o comando management-vlan [número da vlan] nos Switches participantes do Cluster.

O administrador de rede deverá conectar-se ao IP da interface de gerenciamento (Interface VLAN 1)

interface Vlan 1
ip address 192.168.1.1 255.255.255.0

A interface de VLAN de gerenciamento exibirá as informações do Switch Master (Switch Zero); além da sua relação com a topologia do Cluster. Os Switches Membros receberão um numero administração e o acesso aos outros Switches da pilha.

1. Após formação do Cluster acesse o Switch pelo Browser.

2. Clique no Menu esquerdo em Cluster > Topology


A imagem abaixo mostrará a Topologia construída no Cluster.


Para acessar os Switches do Cluster basta selecionar o equipamento com o Mouse e clicar no botão Manage.


Administração pela interface CLI (modo texto)
É possível administrarmos os equipamentos do Clustering via CLI...
1.Para acessar os Switches Membros, acesse o Switch Master por Telnet, Console ou SSH.

2. No modo user-view, digite o comando cluster switch-to [numero do Switch na pilha].

3.Para sair do Switch Membro e voltar para o Switch Master digite quit no modo user-view.
Para visualizar o número dos Switches Membros digite o comando display cluster current-topology ou display cluster members

[LaB_0.LABORATORIO]displ cluster current-topology
--------------------------------------------------------------------
(PeerPort) ConnectFlag (NativePort) [SysName:DeviceMac]
--------------------------------------------------------------------
ConnectFlag:
<--> normal connect ---> odd connect **** in blacklist
???? lost device ++++ new device -©È©À- STP,RRPP discarding
--------------------------------------------------------------------
[LaB_0.LABORATORIO:0024-73d6-2100]

©À-(P_1/0/16)++++(P_1/0/22)[LaB_4.Franca-1:0024-73d6-0700]

©À-(P_1/0/23)++++(P_1/0/23)[LaB_5.Franca-2:4001-c637-0900]

©¸-(P_1/0/24)++++(P_1/0/24)[LaB_4.Franca-1:0024-73d6-0700]

©¸-(P_1/0/24)++++(P_1/0/24)[LaB_5.Franca-2:4001-c637-0900]

©À-(P_1/0/18)++++(P_1/0/19)[LaB_6.Quimica:0024-73d6-1f00]

©À-(P_1/0/20)++++(P_1/0/22)[4800G:0024-73d6-1d80]

©À-(P_1/0/24)++++(P_1/0/24)[4500G:0024-7305-4a00]

©¸-(P_1/0/23)++++(P_1/0/23)[4500G:0024-7305-4a00]

©À-(P_1/0/23)++++(P_1/0/23)[LaB_7.Odonto:4001-c637-2a80]

©À-(P_1/0/24)++++(P_1/0/24)[LaB_6.Quimica:0024-73d6-1f00]

©¸-(P_1/0/12)++++(P_1/0/22)[LaB_8.Farmacia:0024-73d6-4780]

©¸-(P_1/0/24)++++(P_1/0/24)[LaB_7.Odonto:4001-c637-2a80]

©À-(P_1/0/23)++++(P_1/0/24)[LaB_1.4500G:4001-c636-c980]

©¸-(P_1/0/24)++++(P_1/0/23)[LaB_2.Dracena:0024-73d6-4680]

©¸-(P_1/0/24)++++(P_1/0/23)[LaB_3.Rosana-2:4001-c621-7a00]


[LaB_0.LABORATORIO]displ cluster members
SN Device MAC Address Status Name
0 Switch 4800G PWR 24-Port 0024-73d6-2100 Admin LaB_0.LABORATORIO
1 3Com Switch 4500G 24-Port PWR 4001-c636-c980 Up LaB_1.4500G
2 Switch 4800G PWR 24-Port 0024-73d6-4680 Up LaB_2.Dracena
3 3Com Switch 4500G 24-Port PWR 4001-c621-7a00 Up LaB_3.Rosana-2
4 Switch 4800G PWR 24-Port 0024-73d6-0700 Up LaB_4.Franca-1
5 3Com Switch 4500G 24-Port PWR 4001-c637-0900 Up LaB_5.Franca-2
6 Switch 4800G PWR 24-Port 0024-73d6-1f00 Up LaB_6.Quimica
7 3Com Switch 4500G 24-Port PWR 4001-c637-2a80 Up LaB_7.Odonto
8 Switch 4800G PWR 24-Port 0024-73d6-4780 Up LaB_8.Farmacia

Obs: para efetuar a conexão entre os Switches do Clustering, será necessário habilitarmos o protocolo telnet no user-interface vty 0 4 com o protocol inbound telnet ou protocol inbound all .

Obs.2:Para administração via SNMP e coleta por Syslog dos equipamentos deveremos configurar a opção no Cluster Master dentro da opção Cluster (cluster-view). O gerenciamento será único para todos os dispositivos.

Espero que tenham gostado. Até mais!

quarta-feira, 5 de maio de 2010

Switches 3Com 4800G - SSH, autenticação por troca de Chaves

O post de hoje surgiu da necessidade de um projeto na UNESP onde o cliente gerava as próprias chaves pública e privada e importava para o Switch. A autenticação para conexão ao Switch para fins de gerenciamento ocorrerá através de certificados. O cliente SSH irá autenticar-se utilizando certificados ao invés de senhas. Se não houver um certificado válido o usuário não conseguirá conectar-se ao Switch.

Mostraremos passo-a-passo como gerar as chaves pública e privada utilizando o Software Putty para Windows e configuraremos o Switch para permitir o acesso do host via SSH por troca de chaves.

Para efetuar download do Putty e do Puttygen clique em http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html

Gerando as chaves

Gere as chaves pelo puttygen. Abra o software e clique no botão Generate. Depois, fique movendo o mouse no espaço abaixo da barra de progresso até que o processo esteja finalizado (isso é feito para gerar dados aleatórios para criar o certificado).


Após concluir o processo, será exibida a tela abaixo:

Salve a chave pública e privada. No exemplo salvaremos a chave privada como comutadores.ppk e chave pública como comutadores.pub.
Configurando o Switch
Criaremos um diretório chamado chave no Switch e copiaremos a chave pública na memória Flash no modo user-view:
mkdir chave
...
%Created dir flash:/chave.

tftp 1.1.1.2 get comutadores.pub flash:/chave/comutadores.pub

Importando a chave pública para o Switch e ativando o SSH no Switch
[4800G]ssh server enable
[4800G]public-key peer comutadores.pub import sshkeyflash:/chave/comutadores.pub

Criando o usuário diego e permitindo acesso por SSH com nível 3 de permissão
#
local-user diego
authorization-attribute level 3
service-type ssh
#
user-interface vty 0 4
authentication-mode scheme
user privilege level 3
protocol inbound ssh
#

Associando o usuário diego a chave comutadores.pub
[4800G] ssh user diego service-type all authentication-type publickey assign publickey comutadores.pub work-directory flash:/chave/comutadores.pub

Utilizando a chave pública geradas pelo computador para acesso ao Switch

Utilizando o software putty digite o endeço IP do Switch e marque a opção SSH


Agora, você terá que acessar as opções oferecidas no menu à esquerda da janela do PuTTy. Neste menu, encontraremos uma opção chamada “Connection” e, logo abaixo dela, uma opção chamada “Data”, clique nela. Em “Auto-login username” digite o nome do usuário que você quer utilizar para se conectar ao Switch.

Agora, vamos dizer ao PuTTy onde está localizada a chave privada para que ele possa utilizá-la durante a conexão. Para isso, no menu à esquerda, vá em “Connection”, expanda “SSH” e clique em “Auth”. Clique no botão “Browse” e selecione o arquivo com a chave privada.

Agora, volte para “Session” (a primeira opção, no topo do menu à esquerda) e clique no botão “Save”. Pronto, se tudo correu bem, basta você dar dois cliques no nome do perfil que você salvou, clique em Open e você irá conseguir logar automaticamente no Switch.

Configuração final

ssh server enable
#
public-key peer comutadores.pub
public-key-code begin
AAAAAB3Nza00D06092A864886F70D010101050003818A003081860281806522B8CDE0A37D42A5
98ABCA897D7BEBBC9A7C6C9E0411CC43094076904639F090EFCC5844CD688AC3E25867E29D
C618B50CE435A5E0BEA497C6411A6C32E8DDAC4D9DD123418BD91F9D60EEDC3D4C96911E07
56621E8017F196AE8FBC39BB99794296A88A58C3BF9B0C13FC36DF9B67B186103B233F67E4
7AD1BE9E6B502A9B020125
public-key-code end
peer-public-key end
#
local-user diego
authorization-attribute level 3
service-type ssh
#
ssh user diego service-type all authentication-type publickey assign publickey comutadores.pub work-directory flash:/chave/comutadores.pub
#
user-interface vty 0 4
authentication-mode scheme
user privilege level 3
#

Script enviado por Douglas Jefferson.

Sites de referência:
http://www.pedropereira.net/ssh-sem-senha-autenticacao-atraves-de-certificados-rsa/

http://urucubaca.com/putty-o-poder-do-ssh-no-windows/2008/01/31/
Dúvidas? Deixem comentários...

segunda-feira, 26 de abril de 2010

domingo, 4 de abril de 2010

Switches 3Com 4007 - Configurações Básicas - Parte 1 de 2

Estes dias acabei recebendo de 2 colegas da Infraero (Fabinho e Indio) um manual muito bacana dos Switches 3Com 4007 com um passo-a-passo de atividades do dia-a-dia que dividirei em 4 partes.

Para quem não conhece, os Switches da linha 4000 são modulares e possuem função de Camada 3. O equipamento já foi descontinuado pela 3Com.

O Switches 4007 possuem uma interface CLI diferente das utilizadas atualmente, que recebeu o apelido "CLI de menu".

Durante muito tempo tive desânimo em trabalhar com Switches de "menu", mas com o passar do tempo, comecei a me divertir na configuração desses dispositivos. Espero que apreciem....

Na primeira parte falaremos dos Módulos de Gerenciamento, primeiro acesso, configuração de IP de gerência, nome e verificação dos módulos.

Módulos de Gerenciamento

O chassi do 4007 possui 2 slots ( slots 8 e 9) para Módulos de gerenciamento. Esses slots não ocupam espaço útil para módulos de portas.

A comunicação poderá ser efetuada atráves de conector RS-232 (console) ou RJ-45 (rede) .
Primeiro acesso
Para conexão via console utilize os seguintes valores:

Bits per second -> 9600
Data bits -> 8
Parity -> None
Stop bits -> 1
Flow control -> None

Confirme as configurações clicando em OK. Após esse passo, aperte a tecla [Enter] algumas vezes até aparecer o prompt da linha de comando do sistema operacional do 4007, como mostrado a seguir:

Login
Login

digite o usuário e senha para acesso ao equipamento. Por default o equipamento virá com o usuário admin sem a senha configurada.

Para alterar a senha digite:
CB9000> set login password
Enter current session password for user "admin": [Enter]
Enter new password: ****** // entre com a nova senha e tecle [Enter]
Verify - re-enter password: ****** // redigite a senha [Enter]User password changed.

Configuração de endereço de gerência
4007> set ip ip_address 102.1.162.20 ethernet_port // definição de endereço IPIP Address associated with ETHERNET_PORT set to 102.1.162.20.

4007> set ip subnet_mask 255.255.240.0 ethernet_port // definição da máscara de redeSubnet Mask associated with ETHERNET_PORT set to 255.255.240.0.
4007> set eme name // comando para definição do nome do equipamento
Enter eme name:
> CB-020
Eme name changed.

4007> set eme location // comando para definição do local do equipamento
Enter one line of text:
> RACK 302-D
Location changed.

4007> set eme contact // comando para informar contato
Enter one line of text:
> HELPDESK 5555-3096
Contact changed.
Módulos

Para verificação dos módulos conectados ao chassi do Switch digite o comando show module all

4007> show module all

Slot Module Status Description
----- ----------- ------------------ ------------------
01.01 3CB9LF36R Up 36 Port 10/100TX RJ45 Layer 2 Switching Module
02.01 3CB9LF36R Up 36 Port 10/100TX RJ45 Layer 2 Switching Module
03.01 3CB9LF36R Up 36 Port 10/100TX RJ45 Layer 2 Switching Module
04.01 3CB9LF36R Up 36 Port 10/100TX RJ45 Layer 2 Switching Module
06.01 3CB9RF12R Up
12 Port 10/100TX Layer 3 Switching Module
07.01 3CB9FG9 Primary 9 Port Gigabit Switching Fabric
08.01 3CB9EMC Active Enterprise Management Controller
08.02 3CB9EME Primary Enterprise Management Engine