Configuration générale des routeurs
Préambule
Modes et commandes
Chaque commande doit être entrée dans un mode particulier. Voici l'algorithme qui permet de retrouver le mode dans lequel doit être entré une commande :
Effacement du fichier de configuration initiale
Avant toute chose, en laboratoire, lorsque l'on accède à des routeurs dont on ne connaît pas l'histoire, il peut sembler utile d'effacer toute pollution d'une configuration antérieure par la commande erase et de redémarrer le routeur.
Router#erase startup-config
Router#reload
Notons que cette commande peut être remplacée par #write erase ou #erase nvram:
Sauvegarde de la configuration active
Afin de ne pas perdre sa configuration courante, il peut sembler également utile de la sauvegarder en NVRAM :
Router#copy running-config startup-config
Qui signifie "copie la configuration courante en NVRAM".
Configuration du nom d'hôte
Pour donner un nom à un routeur visible dans l'invite, il suffit d'appliquer la commande :
Router(config)#hostname name
Par exemple :
Router(config)#hostname R15
R15(config)#
L'invite par défaut "Router" a été changée en "R15".
Mots de passe sur Enable, Console et Telnet
Mot de passe Enable
On peut empêcher l'accès au mode privilège et aux modes suivants par un mot de passe. Deux commande sont disponibles, l'une sans encryption et l'autre avec l'encryption MD5. Le enable secret encrypté prendra la priorité sur le enable pasword.
Router(config)#enable password mot-de-passe sans encryption
Router(config)#enable secret mot-de-passe avec encryption
Mots de passe sur les ports Console et Telnet
On peut également restreindre l'accès aux ports Console et Telnet par mot de passe. Le service « Application » Telnet sera activé dès qu'un mot de passe aura été défini. Evidemment pour que ce service soit accessible à distance faut-il encore que tous les protocoles inférieurs (couches 2 et 3) aient été correctement configurés. Les routeurs Cisco disposent jusqu'à 5 terminaux virtuels (VTY). Il est possible de configurer les terminaux séparément. Nous nous tiendrons à une configuration générale.
Router(config)#line con 0
Router(config-line)#login
Router(config-line)#password mot-de-passe
Router(config-line)#exit
Router(config)#line vty 0 4
Router(config-line)#login
Router(config-line)#password mot-de-passe
Router(config-line)#exit
Les commandes sont similaires pour configurer le port AUX.
Considérations spécifiques
L'encryption
Si un mot de passe est encrypté, il sera illisible dans le fichier de configuration. On peut accéder au fichier de configuration après avoir évité le chargement du fichier de configuration initial situé en NVRAM (Password Recovery Procedure) :
Sur les 2600, 1700, 1600 et 800 :
Router#more nvram:startup-config
Sur les 2500 :
Router#show configuration
Que faire d'un mot de passe encrypté ? Voici quelques liens qui permettraient peut-être de le décoder :
http://users.skynet.be/glu/ciscopw.htm
http://www.kazmier.com/computer/cisco-apps.html
http://download.boson.com/utils/bos_pass.exe
http://www.solarwinds.net/Tools/Professional/Categories/Cisco_Networks.htm#Decrypt
Utilisateurs et niveaux de privilèges.
Les configurations d'accès vues précédemment se limitent à empêcher n'importe qui d'accéder à des services statiques. L'IOS Cisco permet toutefois de définir des tables d'utilisateurs et de leur accorder jusqu'à 16 niveaux (de 0 à 15) de privilèges (définir, par exemple, les commandes accessibles par privilège). Lorsque les services sont restreints par défaut, c'est le plus haut niveau qui est défini (15).
Pour plus d'informations :
"Passwords and privileges commands"
http://www.cisco.com/univercd/cc/td/doc/product/software/ios120/12cgcr/secur_r/srprt5/srpass.htm
"Configuring passwords and privileges"
http://www.cisco.com/univercd/cc/td/doc/product/software/ios120/12cgcr/secur_c/scprt5/scpass.htm
"Configuring Terminal Access Security"
"Multiple Levels of Privileges Examples"
Configuration d'une bannière d'accueil (MOTD Banner)
On peut configurer une bannière d'accueil dès que l'on accède au routeur. On l'appelle la Message Of The Day (MOTD) Banner. Voici la procédure.
Router(config)#banner motd #
Enter TEXT message End with the character '#'.
Bonjour !
#
Router(config)#
Le message doit se terminer par la dièse.
Confort CLI
Activation et désactivation de la recherche DNS
On est souvent dérangé par de tels message à la suite d'une commande erronée :
Router#sxow
Translating "sxow" ...domain server (255.255.255.255)
% Unknow command or computer name, or unable to find computer address
Router#
Ce message vient du fait que la recherche DNS est activée par défaut. Pour un confort d'utilisation, on peut la désactiver :
Router(config)#no ip domain-lookup
Ou la réactiver :
Router(config)#ip domain-lookup
Messages synchronisés de la console
On peut recevoir des messages du routeur qui trouble l'entrée des commandes. Voici une illustration :
Router#confi
%SYS-5-CONFIG_I : Configured from console by consolegure
Enter configuration commands, one per line. End with CNTL/Z.
Router#
Pour éviter ce problème, on peut demander un logging synchronous sur la console :
Router(config)#line con 0
Router(config-line)#logging synchronous
Voici l'éventuel résultat :
Router#confi
%SYS-5-CONFIG_I : Configured from console by console
Router#configure
Création d'une table d'hôte pour Telnet
On peut définir une table de noms à des adresses IP par la commande suivante :
Router(config)#ip host name address
Par exemple :
Router(config)#ip host zozo 192.168.1.254
Attention, cette table d'hôte est propre au routeur et n'est pas diffusée globalement !
Configuration des interfaces
Configuration des interfaces Ethernet
Il faut falloir ici attribuer une adresse IP et un masque à une interface en notation décimale pointée, l'activer et éventuellement lui donner une description. Voici les commandes
Router(config)#interface type number
Router(config-if)#ip address ip-address mask
Router(config-if)#no shutdown
Router(config-if)#description description
Par exemple,
Router(config)#interface ethernet 0
Router(config-if)#ip address 192.168.1.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#description
Configuration des interfaces Série
La procédure est identique sauf qu'il faudra indiquer une fréquence d'horloge (clock rate) sur l'une des interfaces série. En fait, dans la vie courante, c'est le matériel du fournisseur d'accès (modem ou CSU/DSU) qui fournit cette fréquence. En laboratoire, ce sera l'un des routeurs qui la fournira, au choix, selon le câblage décidé. Celui qui donnera la fréquence de l'horloge sera appelé DCE ou ETCD (équipement terminal de traitement de données) et l'autre DTE ou ETTD (équipement de terminaison de circuit de données). On utilisera un câblage ayant une connexion DCE et DTE de part et d'autre. Le routeur DCE donnera la fréquence. On lui donnera donc un paramètre supplémentaire avec une fréquence au choix exprimée en bit/s.
Il n'y aura aucune commande supplémentaire sur l'interface DTE.
Router(config)#interface type number
Router(config-if)#ip address ip-address mask
Router(config-if)#clock rate speed-in-bits-per-second
Router(config-if)#no shutdown
Router(config-if)#description description
Par exemple,
Router(config)#interface serial 0
Router(config-if)#ip address 192.168.2.1 255.255.255.0
Router(config-if)#clock rate 56000
Router(config-if)#no shutdown
Router(config-if)#description Interface DCE
Router(config-if)#interface serial 1
Router(config-if)#ip address 192.168.3.254 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#description Interface DTE
Utilisation du premier sous-réseau
En fait, sur les routeurs Cisco, contrairement à la RFC 950, par défaut, le premier sous-réseau est utilisable. On peut l'activer ou le désactiver de la manière suivante :
Router(config)#ip subnet-zero
ou
Router(config)#no ip subnet-zero
Activation d'un protocole de routage
Sans entrer dans les détails de la théorie des protocoles de routage, pour activer le routage, il sera nécessaire d'entrer la commande router suivie du protocole de routage et de déclarer tous les réseaux associés au protocole. Pour l'activation de RIP :
Router(config)#router rip
Router(config-router)#network réseau1
Router(config-router)#network réseau2
Router(config-router)#network réseau3
Router(config-router)#network et-ainsi-de suite
Mot de passe oublié ?
