Cisco

Заметки о музыке и как её слушать

2020-12-11T01:59:00.004-08:00

Возникла потребность сохранить собственную коллекцию на медиасервере, чтобы дети могли послушать в своей комнате. Возник вопрос что и как лучше держать. Вариантов не так-то и много:

в виде обычного Audio CD - PCM 2.0 44100Hz 16bit. Можно сделать копию. Можно оцифровать во FLAC.
в виде DVD Video - PCM 2.0 96000Hz 24bit. В такой формат можно оцифровать LP.
в виде DTS CD - DTS 5.1 44100Hz 16bit. В такой формат можно сохранять 5.1 данные с SACD и DVD Audio.
в виде DVD Video - PCM 5.1 96000Hz 24 bit. Но это неточно. Я ещё не попробовал.

Если с первым вариантом всё понятно и особо обсуждать нечего, то с остальными всё гораздо интереснее.

Stereo HiRes

Программа, которая идёт с проигрывателем винила может выдавать 192kHz на 24bit. Но для моей аудиосистемы это бесполезно. Максимум что я могу услышать от неё - 96kHz/24bit. По идее можно сделать FLAC и не париться. Но хочется чтобы была картинка с винила, а она не всегда подсасывается с gracenote. Поэтому я решил что лучшим решением будет сделать образ музыкального DVD Video в который запихнуть PCM 96/24.

Для начала подготовим FLAC. Нарезаем его через CUE файл программой CUE Splitter. Уже оцифрованные в 192/24 переводим в 96/24 с помощью программки Audacity. Сначала слева внизу меняем Project Rate, затем File -> Export -> Export as WAV и тут выбираем 16bit. На выходе получается файл WAV, который можно использовать для содания музыкального DVD Video. Для авторинга DVD можно использовать множество программ, в зависимости от навыков и желания. Для меня больше была важна функциональность, поэтому я выбрал Audio DVD creator 1.9. Данный продукт позволяет реально быстро создать DVD с музыкой PCM до 96/24 или Dolby Digital 2.0/5.1 с битрейтом до 640кбит/с. Что по заверениям разработчиков соответствует PCM битрейту 7040кбит/с. Мы, конечно, же не верим и для многоканальной музыки будем использовать немного другой вариант. Но для стерео - то, что нужно. Кроме того вариант с DVD Video позволяет сделать обложку для альбома и добавить некую дополнительную информацию об альбоме и треках, если необходимо. Получившуюся папку VIDEO_TS пишем в образ (или на диск) с помощью ImgBurn.

DTS CD

Сам по себе формат интересен тем, что это обычный Audio CD, только звук записан в формате DTS. И если устройство имеет декодер DTS, то оно его нормально воспроизведёт. А если нет, то будет белый шум. Положительная сторона такова, что сейчас практически у всех есть DVD или Blu-ray плеер. А в них декодер DTS есть практически всегда. Про любые не самые древние ресиверы и речи нет. Единственно, что аналоговые не поймут.

Так как DVD Audio у меня нет, подтвердить способ перевода не могу. Но суть его в том, чтобы снять образ диска с помощью всё той же ImgBurn. Далее с помощью любого архиватора вытащить из него папку AUDIO_TS. Открыть папку с помощью DVD-Audio Explorer. Далее, как и в предыдущем варианте, переводим звук в WAV. Отличие заключается в том, что теперь он многоканальный и нам надо эти каналы раскидать по отдельным файлам. Поэтому получившийся многоканальный WAV открываем в той же Audacity и выбираем немного другой метод File -> Export -> Export Multiple. Параметры DTS CD должны быть 44100Hz (Project Rate) и 16bit. Получаем, например, 6 файлов в дорогами всех каналов [FL][FR][FC][LFE][BL][BR]:

Front Left
Front Right
Front Center
Low-frequency effects - Subwoofer
Back Left
Back Right

ANSI/CEA-863-A identification for surround sound channels
Zero-based channel index			Channel name	Color-coding on commercial receiver and cabling
MP3/WAV/FLAC^[32]^[33]^[34]^[35]	DTS/AAC^[36]^[37]	Vorbis/Opus^[38]^[39]	Channel name	Color-coding on commercial receiver and cabling
0	1	0	Front Left		White
1	2	2	Front Right		Red
2	0	1	Center		Green
3	5	7	Subwoofer Frequency		Purple
4	3	3	Rear Left		Blue
5	4	4	Rear Right		Grey

А какие варианты ещё возможны? Можете иметь записанную мультиканальную музыку в формате 4.0 или 5.0 (привет Мариинке и Гергиеву). В таком случае при конвертации DSD в DFF/WAV по логам надо следить в какой последовательности идут каналы. Я видел следующие варианты:

4.0 - [FL][FR][BL][BR]
5.0 - [FL][FR][FC][BL][BR]

В бытовом (как у меня) домашнем кинотеатре 5.1 вы её просто не услышите, потому что все низкие частоты скорее всего ушли в FR и FL. А они их играть в принципе не могут. Если есть такие источники то лучше брать стерео 96/24, а домашний кинотеатр сам LFE уведёт на Subwoofer.

В случае SACD, процедура похожая, только ПО другое. После получения ISO файла, открываем его программой Sacd2Flac. Выставляем галку Convert to WAV. После получения мультиканального WAV процедура известная:

Audacity -> Project Rate 44100 + 16 bit -> Export Multiple

После получения необходимого количества WAV файлов с отдельными дорогами 44100/16 остётся закодировать всё это в DTS. Для этого нужна программа Surcode’s CD-DTS encoder. Такую процедуру нужно делать для каждой композиции. И после получения многоканальных DTS WAV можно создавать образ через ImgBurn -> Tools -> Create CUE file. После получения CUE файла можно его отредактировать (хоть через NOTEPAD). И затем играть по сети или писать на диск (для архива).

И тут стоит вернуться в предыдущий вариант к DD 5.1 с битрейтом 640кбит/с что (как заявлено) аналогично 7040кбит/с. При использовании DTS CD мы получаем битрейт 2822кбит/с что (как заявлено самой DTS) соответствует 11288 кбит/с. И на слух это слышно.

DVD Video с HiRes 5.1 - LPCM 96/24

По идее спецификация DVD Video предполагает возможность записи многоканальной дороги несжатого звука Multichannel LPCM. И вроде как единственное ограничение это битрейт - 6.144 Мб/с. Но это ограничение приводит нас к DVD Audio. В общем получается бег по кругу.

Итоги

На текущий момент мне вполне хватает существующих технологических решений - Stereo 96/24 и 5.1 44/16. Контент, который я в основном слушаю выпускается строго в стерео (максимум LP). И хотя есть более качественные форматы, такие как DTS Thue HD и прочее, на текущий момент мне это совсем неактуально. Возможно когда я сделаю комнату под кинотеатр и соберу себе стойку с оборудованием:

качественный привод LP
фонокорректор на лампах без транзисторов
стереоусилитель для LP на лампах без транзисторов
ресивер поддерживающий Aura 3D
акустику по полной для Aura 3D (включая Глас Бога)

То тогда я думаю... уже сто раз всё поменяется.

Для информации. Мои попытки работать с WAV с помощью FFmpeg ни чему не привели. Некорректные форматы, семплирование и т.д. По документации всё должно работать, а по факту настройки сбиваются в какие-то непонятные значения. И всё вроде обрабатывается, но только в один единственный формат и с одними и теми же настройками... Биться с ветряными мельницами желания никакого нет.

Полезные ссылки:

Немного о Торрент-ТВ

2015-11-24T05:53:00.001-08:00

Больше года назад появилась задача сделать родителям нормальное телевидение. Надо было сделать "ещё вчера" и чтобы было бюджетно. Спутник сразу отмёлся из-за цены. Кроме того опыта установки антенны и оборудования ещё не было. Среди доступных далеко в Московской области провайдеров, никто не предоставлял нормального IPTV. А те кто предоставлял хоть какое-то, ломили цены несоответствующие сервису. От безысходности пришлось думать в сторону KartinaTV/RodinaTV и прочее. Тестовые период показал, что сервис заявлен только на бумаге, а качество предоставления потока оставляет желать лучшего. Причина оказалась проста - все трансляции идут или из глубокой европы или из не очень ближнего востока/израиля. Именно тогда возникла идея тестирования Торрент ТВ. Его можно смотреть на ПК (у родителей это не вариант) и даже на телевизоре с поддержкой UPnP/DLNA (опять же у родителей такого нет). Но в моём случае нужен была отдельная приставка к обычному телевизору. На рынке была сразу найдена одна из самых дешёвых приставок - MAG-250 micro, за которую не жалко было отдать 2500р вместе с WiFi адаптером.

Сам торрент тв предоставляет услугу серверный TS Proxy. То есть можно заплатить им денег и они сделают трансляцию торрент потоков в нормальные стримы, которые может разобрать приставка сама. За время тестирования сам сервис падал несколько раз. После начала нормальной эксплуатации сервис TS Proxy умудрялся ложиться набок на целый день. В итоге было принято решение отказаться от этой шляпы и поднять серверный прокси. Но уже своими силами.

Что нам для этого потребуется:

машинка на x86 (ВАЖНО!). Я сначала хотел использовать Raspberry Pi, но для ARM до сих пор нет пакета acestream-engine. И походу не предвидится. А жаль. Оперативы вполне хватит 1GB. Я рекомендую GB-BXBT-1900. Там поднимается VMware и уже в нём нарезаются нескольо виртуалок под всякие нужды. В том числе и под торрент-тв.
Ubuntu 15.10 Server (32-bit) - у нас всего 1GB оперативы.
регистрация на torrent-tv.ru

Для начала надо накатить операционку, добавить необходимые репозитарии и поставить последние обновления. Всё как по известному мануалу:

echo 'deb http://repo.acestream.org/ubuntu/ trusty main' | sudo tee /etc/apt/sources.list.d/acestream.list
sudo wget -O - http://repo.acestream.org/keys/acestream.public.key | sudo apt-key add -
sudo apt-get update
sudo apt-get -y upgrade
sudo apt-get -y dist-upgrade
sudo apt-get -f install

Потом надо поставить необходимые пакеты. Я не сильно вникал в зависимости у пакетов, поэтому пошёл уже по проторенному пути.

sudo apt-get install -y acestream-engine vlc unzip software-properties-common git build-essential libtool autotools-dev autoconf automake mono-complete
sudo apt-get -f install
sudo rm -rf /var/cache/apt/archives

В указанном выше мануале, автор предлагал собирать mono самому из исходников. Я пару раз попробовал и понял, что это не моё - несколько часов в дребезги :) Поэтому я решил поставить уже готовый пакет. Я считаю что так проще и стабильнее.

Теперь остался последний компонент - P2pProxy. Древний как гавно мамонта, но что есть то есть.

mkdir ~/XbmcTv/
cd ~/XbmcTv/
mkdir ~/XbmcTv/P2pProxy
cd ~/XbmcTv/P2pProxy
wget http://alexstep.com/XBMC/p2pproxy/1.0.3.1.zip
unzip 1.0.3.1.zip
rm 1.0.3.1.zip

Есть версия поновее - 1.0.4.4. Но мне проще было скачать через wget с проверенного источника.

Теперь надо одновременно запустить и acestream-engine и P2pProxy. Автор вышеуказанного мануала предлагает записать в /etc/rc.local следующие строчки.

su -s /bin/sh - user -c "mono /home/user/XbmcTv/p2pproxy/P2pProxy_console.exe -u mail@gmail.com -p my_password"
sudo -u user --set-home acestreamengine --client-console

Вынужден расстроить. В таком виде это одновременно не запускается. Стартует только P2pProxy и всё. Рабочий вариант у меня выглядит следующим образом:

su -s /bin/sh - user -c "/usr/bin/acestreamengine --client-console --live-buffer 90 &
mono /home/user/XbmcTv/P2pProxy/P2pProxy_console.exe -u mail@gmail.com -p my_password"

Теперь когда это всё запустилось, можно выправлять баги :)

Первое что вылезло - это ошибка с запуском pulseaudio. Помогает только кардинальный метод - переустановка.

sudo apt-get --purge --reinstall install pulseaudio

Так же лечится и развалившийся питон.

sudo apt-get install --reinstall python-pkg-resources

Дальше нужно смотреть как прокачивается канал и насколько он проседает при обычных каналах и HD. Тут вам помогут следующие утилиты:

htop
bmon
slurm -i eth0
sudo tcptrack -i eth0

Если кто планирует выделить под это дело слабенькую машинку целиком и убрать её далеко в ящик, то можно обратить внимание на мониторинг температуры CPU. При установку в замкнутом пространстве это важно. В этом поможет пакет lm-sensors:

sudo sensors-detect - находит применимые сенсоры
sensors - выводит состояние сенсоров

Итак всё ПО установлено и запущено. Канал мониторится. Температура CPU не превышает 50 градусов Цельсия. Теперь можно запускать сам просмотр. Так как сама приставка понимает и UPnP и DLNA, то можно заходить на нашу машинку, как на медиа-сервер и выбирать нужный канал. Конечно EPG и прочее на обычном телевизоре (в том числе на дешёвых приставках) работать не будет. Да и каналы не сразу начинают показывать (несколько раз подряд может выдавать ошибку воспроизведения), но зато это работает. И если трансляция началась воспроизводиться, то залипаний почти не бывает. То есть успех.

Полезные ссылки:

Кодировка с ffmpeg

2014-09-15T06:18:00.001-07:00

В жизни часто бывают такие моменты, когда тебе дают видео какого-то события, которое тебе интересно, и тебе хочется его сохранить или просто поглядеть. Непонятно почему, но до сих пор с регулярной периодичностью встречаются люди, кодирующие в DivX или XVid. В принципе ничего страшного в этом нет, но какой смысл сейчас в 2014 году использовать такие старые кодеки, когда есть X264? И места занимает меньше и качество не страдает. А современные проигрыватели, включая телевизоры, сейчас либо не обделены вычислительной мощностью, либо вообще имеют аппаратные чипы на данный случай.
В любом случае перекодировать иногда приходится. И самый лучший инструмент для этого - FFmpeg. Абсолютно бесплатная программа с широким функционалом, которого по идее должно хватить по глаза и ещё немного. В данной статье я расскажу о некотором функционале, а потом приведу несколько примеров часто используемых конструкций.
Так как компьютеры сейчас многоядерные, то рекомендуется использовать их все

-threads 4 #использовать 4-е ядра

Пресеты - настройки по-умолчанию в зависимости от ситуации

-preset medium #стоит по-умолчанию
-preset ultrafast #сверхбыстрое кодирование. Нужно для 1-го прогона 2-х проходного кодирования
-preset veryslow #сверхмедленное кодирование. Нужно для 2-го прогона 2-х проходного кодирования

B-фреймы. Каждый содержит 30% от оригинального кадра. Оптимально - 2 B-фрейма. По-умолчанию стоит 3.

-bf 2 #Задаем количество В-фреймов

Убрать чрезстрочность. Частая фигня у DVD и спутникового TV

-vf yadif=1 #убрать чрезстрочность

Говорят, что надо работать флагами.

-flags +ildct+ilme #также убирает чрезстрочность.

Constant Rate Factor - кодируем неподвижные сцены чётче, движение - размытее.

-crf 10 #0 - без потерь, 51 - самое худшее качество. По-умолчанию, стоит 23. То же самое, что и qscale

Кодеки

-vcodec libx264 #использовать видеокодек x264
-acodec ac3 #использовать аудиокодек ac3

Если на выходе нужно получить несколько дорог

-map 0:0 -map 0:1 -map 0:2 #использовать 1-ю (видео), 2-ю(аудио) и 3-ю(аудио) дорожки из исходного файла-c:v libx264 -c:a:0 copy -c:a:1 libvo_aacenc #перекодируем 1-ю дорожку (видео) в x264, 2-ю дорожку (аудио) копируем без изменений, 3-ю дорожку (аудио) перекодируем в AAC

Пример №1 - быстро перекодировать видео типа dvd-rip в MP4

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.avi" -vcodec libx264 -acodec ac3 -f mp4 "D:\VIDEO\new.mp4"

Пример №2 - объединить несколько файлов с DVD и перегнать в MP4

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i concat:"D:\VIDEO\VTS_01_0.VOB|D:\VIDEO\VTS_01_1.VOB|D:\VIDEO\VTS_01_2.VOB|D:\VIDEO\VTS_01_3.VOB|D:\VIDEO\VTS_01_4.VOB" -vcodec libx264 -acodec ac3 -f mp4 "D:\VIDEO\new.mp4"

Если надо объединить несколько MP4 фрагментов, то всё хуже и надо перегонять через промежуточные файлы.

ffmpeg -i video1.mp4 -c copy -bsf:v h264_mp4toannexb -f mpegts intermediate1.ts
ffmpeg -i video2.mp4 -c copy -bsf:v h264_mp4toannexb -f mpegts intermediate2.ts
ffmpeg -i video3.mp4 -c copy -bsf:v h264_mp4toannexb -f mpegts intermediate3.ts
ffmpeg -i "concat:intermediate1.ts|intermediate2.ts|intermediate3.ts" -c copy -bsf:a aac_adtstoasc output.mp4

Пример №3 - перегнать чрезстрочное видео в MP4

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -preset veryslow -vf yadif=1 -vcodec libx264 -acodec ac3 -f mp4 "D:\VIDEO\new.mp4"

## Или так
"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -preset veryslow -flags +ildct+ilme -vcodec libx264 -acodec ac3 -f mp4 "D:\VIDEO\new.mp4"

Пример №4 - перегнать видео в старый MPEG2 + AC3

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.mp4" -vcodec mpeg2video -acodec ac3 -f dvd "D:\VIDEO\new.mpg"

Пример №5 - перекодировать видео с несколькими дорожками

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -map 0:0 -map 0:1 -map 0:2 -preset veryslow -c:v libx264 -vf yadif=1 -crf 10 -c:a:0 libvo_aacenc -c:a:1 libvo_aacenc -f mp4 "D:\VIDEO\new.mp4"

Пример №6 - двухпроходное кодирование, когда надо вписаться в определённый размер

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -y -i "D:\VIDEO\new.m2ts" -c:v libx264 -preset ultrafast -b:v 9470k -bf 3 -pass 1 -c:a copy -f mp4 NULL && "C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -y -i "D:\VIDEO\new.m2ts" -c:v libx264 -preset veryslow -b:v 9470k -bf 3 -pass 2 -c:a copy "D:\VIDEO\new.mp4"

Тоже самое, только для Linux-варианта

ffmpeg -y -i /video/new.m2ts -c:v libx264 -preset medium -b:v 9470k -bf 3 -pass 1 -c:a copy -f mp4 /dev/null && \
ffmpeg -y -i /video/new.m2ts -c:v libx264 -preset veryslow -b:v 9470k -bf 3 -pass 2 -c:a copy /video/new.mp4

Последний пример стоит описать более детально. Итак, зачем нужно вообще двухпроходное кодирование? Единственная причина - уместится в определённый размер. Итак, у нас есть видео длинной 55 секунд. И мы хотим его уместить в 64МБ. Посчитаем битрейт:

64MB x 8192 / 55 seconds = 9532 kbps - total bitrate
9532 kbps - 62 kbps (audio) = 9470 kbps

Теперь понятно, откуда взялись красные цифры. Синие цифры стоит выставить вручную в соответствии с предпочтениями, важно чтобы значение синих цифр в первом проходе совпадало со значением синих цифр во втором проходе. Кодеки в обоих проходах также должны совпадать. Если всё рассчитано правильно, то в результате получится файл именно того, размера, какой и планировали.

Пример №7 - Использование аппаратных ресурсов видеокарты (например, NVIDIA GTX 1050)

H.264 - самый популярный кодек

"C:\Program Files\ImageMagick\ffmpeg.exe" -hwaccel cuvid -c:v h264_cuvid -i "D:\VIDEO\new.m2ts" -preset slow -vcodec h264_nvenc -f mp4 "D:\VIDEO\new.mp4"

H.265 - он же HEVC (High Efficiency Video Coding)

"C:\Program Files\ImageMagick\ffmpeg.exe" -hwaccel cuvid -c:v h264_cuvid -i "D:\VIDEO\new.m2ts" -preset slow -vcodec hevc_nvenc -f mp4 "D:\VIDEO\new.mp4"

Есть несколько вариантов аппаратного ускорения:

DXVA2 - Direct-X Video Acceleration API, разработанный Microsoft (поддерживается в Windows и XBox360)
QSV - Intel QSV (Quick Sync Video) технология которая позволяет декодирование и кодирование используя существующие Intel CPU и интегрированные GPU. Поддерживается на текущих процессорах Intel.
CUVID - также известная у NVIDIA как nvdec. Может быть использована для декодирования в Windows и Linux. В комбинации с nvenc обеспечивает полностью аппаратное транскодирование.
NVENC - API разработанный NVIDIA для использования карт NVIDIA GPU для кодирования в H.264 и HEVC.

Красным выделен сегмент, который выбирает какой из вариантов будет использован. В нашем случае это - cuvid. Жёлтым выделен сегмент, который показывает будем ли мы использовать аппаратные ресурсы для декодирования видео. Синим выделен сегмент, который показывает будем ли мы использовать аппаратные ресурсы для кодирования видео.

Кодирование из MPEG2 (видео с VHS) в H.264 и H.265

# H.264 "C:\Program Files\ImageMagick\ffmpeg.exe" -hwaccel cuvid -i "D:\VIDEO\old.mpg" -preset slow -vf yadif=1 -vcodec h264_nvenc -f mp4 "D:\VIDEO\new.mp4"
# H.265
"C:\Program Files\ImageMagick\ffmpeg.exe" -hwaccel cuvid -i "D:\VIDEO\old.mpg" -preset slow -vf yadif=1 -vcodec hevc_nvenc -f mp4 "D:\VIDEO\new.mp4"

При тестовом кодировании на одинаковых настройках у меня файл в H.265 получился больше чем в H.264. Но важно понимать, что все преимущества H.265 вылезают при передаче по сети - он лучше передаётся. Именно поэтому основное его применение - телевидение и системы ~~видеоконференцсвязи~~ collaboration.

Пример №8 - вытащить звук из видео в формате WAV

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -f wav -ab 192000 -vn sound.wav

Пример №9 - перекодировать WAV в MP3 c bit rate 64 kbps и sample rate 22050 Hz

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i sound.wav -ac 1 -ab 64000 -ar 22050 sound.mp3

Пример №10 - использовать видео фильтр. Увеличить яркость на 10% и контраст на 20%.

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -vf eq=brightness=0.10:contrast=1.20 -f mp4 "D:\VIDEO\new.mp4"

Можно изменять следующие параметры:

initial gamma value (default: 1.0)
initial contrast, where negative values result in a negative image (default: 1.0)
initial brightness (default: 0.0)
initial saturation (default: 1.0)
gamma value for the red component (default: 1.0)
gamma value for the green component (default: 1.0)
gamma value for the blue component (default: 1.0)
The weight parameter can be used to reduce the effect of a high gamma value on bright image areas, e.g. keep them from getting overamplified and just plain white. A value of 0.0 turns the gamma correction all the way down while 1.0 leaves it at its full strength (default: 1.0).

Можно использовать следующий синтаксис:

"C:\Program Files\ImageMagick\ffmpeg.exe" -threads 4 -i "D:\VIDEO\new.m2ts" -vf eq2=2.0:1.5:0.2:0.9:0.1:0.8:1.3:0.4 -f mp4 "D:\VIDEO\new.mp4"

Пример №11 - Необходимо перегнать в H264 сохранив структуру/chapters. В основном это требуется для старых камер, которые писали сразу на DVD-диски. Для начала надо вытащить её из VOB-файловой структуры DVD. Для это поможет универсальный контейнер MKV и программа MakeMKV. После получения MKV-файла, можно его как обычно закодировать во что угодно. Главное - правильно выбрать CRF. При CRF=0 размер может получиться не то что таким же, но и вырасти раза в три при использовании H264.

ffmpeg -threads 4 -i video.mkv -preset veryslow -flags +ildct+ilme -vcodec libx264 -acodec copy -crf 0 -f mp4 video-new.mp4

Если файлов несколько, например, в случае использования мини-DVD дисков объёмом 1,2ГБ, то сначала надо их объединить в рамках одного MKV файла. Опять-таки важно чтобы структура не только не затёрлась, но и объединилась. Для этого нам поможет программа mkvmerge из пакета mkvtoolnix.

sudo apt-get install mkvtoolnix mkvtoolnix-gui
mkvmerge -o output.mkv input1.mkv +input2.mkv

В итоге получаем единый файл с единой структурой.

В случае когда перекодировать в H264 не хочется (хочется именно оригинал) или перекодировка не даёт выигрыша в размере (при том же качестве). Тогда мы также можем использовать как контейнер MP4 так и MKV, ведь они оба поддерживают mpeg2video.

Полезные ссылки:

1. FFmpeg and H.264 Encoding Guide
2. FFmpeg на Ubuntu
3. FFmpeg - Работа с видео
4. FFmpeg - Concatenating media files
5. FFmpeg HWAccelIntro
6. NVIDIA - FFmpeg / libav
7. NVIDIA - Video Encode and Decode GPU Support Matrix
8. NVIDIA VIDEO CODEC SDK
9. GitHub - ffmpeg samples
10. Adjusting video contrast, brightness, saturation, and color balance with FFMPEG
11. FFMPEG EQ
12. ffmpeg Color Correction: Gamma, Brightness and Saturation
13. HOWTO: Brightness, Contrast, Saturation, And Sharpness
14. FFMPEG An Intermediate Guide/Flags Flags
15. FFMPEG - CRF
16. Join multiple .mkv files into one using avconv or ffmpeg
17. Joining Two MKV files in Ubuntu?

802.1x - Проблема 1 - MS Windwos и IP адреса

2014-09-07T23:43:00.002-07:00

После перехода на SUP8E начали вылезать проблемы с получением адресов у рабочих машин MS Windows. Причем проблема носила локальный характер, то есть у большинства людей всё было хорошо. А вот у некоторых обладателей статических IP адресов - получался адрес их диапазона 169.254.х.х. При этом выскакивало сообщение о конфликте IP адресов. Долго пытались понять в чем дело - собирали снифером трафик и пытались разобраться где в принципе может возникать проблема. Постепенно сомнения начали падать на пакеты gratuitous ARP. Потом попытались покопать в этом направлении и нашли УЖЕ ИЗВЕСТНОЕ решение. Если быть кратким, то помогла следующая команда:

ip device tracking probe delay 10

Кстати, специалисты Windows сами поняли что иногда вылезают косяки, на своём сайте тоже добавили соответствующий workaround.

Полезные ссылки:

1. Duplicate IP Address 0.0.0.0 Error Message Troubleshoot

2. How to Disable the Gratuitous ARP Function

3. Gratuitous ARP

Обучение по AVAYA. Часть 2

2014-09-05T05:42:00.001-07:00

Итак, выдалась небольшая передышка, поэтому я продолжаю описание телефонии от AVAYA. Как старый склеротик, я постоянно боюсь что забуду то, чему меня обучали на курсах. Поэтому я всё постоянно записываю.

Пользовательские функции

Доступ к функциям осуществляется нажатием программируемых кнопок. Абонентам с аналоговыми для доступа к функциям необходимо набирать код. По-умолчанию все функции дезактивированы.
Задание кода для вызова отдельных функций

change feature-access-code

Задание параметров системы, для работы отдельных функций

change system-parameters features

Код может быть длинной до 4-х цифр. Некоторые функции могут быть активированы (перевод звонков, ЕС500 и т.д.) и выключены. Рекомендуется использовать последовательность *ХХ для их включения и #ХХ для их выключения. Для использование функций надо включить эти последовательности в dialplan.

Функция во время разговора

Перевод звонка - кнопка transfer
Конференция (до 6-ти участников) - кнопка conference
Отключить участника конференции - кнопка drop
Отключить микрофон у участника конференции - кнопка fe-mute
Для аналоговых телефонов:

flash + ext + hangup = transfer
flash + ext + flash = conference (если разрешено - change system-parameters features)

Для цифровых телефонов:

кнопка transfer + ext + кнопка transfer = transfer
кнопка conference + ext + кнопка conference = conference

Настройки flash (для аналоговых телефонов - кратковременный разрыв линии)

     - change location-parameters          - Flashhook interval: y - разрешить использование Flash
          - Upper Bound (msec): - верхняя граница Flash
          - Lower Bound (msec): - нижняя граница Flash

Задание нижней и верхней границ Flash нужно для того, что бы система корректно различала flash и разрыв линии. Если поставить нижнюю границу слишком короткой, то система будет путать Flash и разрыв линии. Если выставить верхнюю границу слишком длинной, то система не будет воспринимать в принципе сигнал Flash.

Переадресация вызовов

Call Forwarding - перенаправление звонка на какой-либо номер.
Call Forward All Calls - перенаправление всех звонков на номер или группу
Call Forward Busy/DA - перенаправление вызовов на номер только в случае "занято/НА" (По-умолчанию закрыта - необходимо разрешение в COS)

     - change station XXXX
          - BUTTON ASSIGNMENTS (стр. 4)
               - call-fwd - кнопка перенаправления всех вызовов
               - cfwd-bsyda - кнопка перенаправления вызовов в случае "занято/НА"

     - change feature-access-codes
          - Call Forwarding Activation Busy/DA: - перенаправления вызовов в случае "занято/НА"
          - All: - перенаправления всех вызовов
               - Deactivation: - отмена перенаправления вызовов

     - change feature-access-codes
          - CFWD No Ans Interval (rings): - число гудков до срабатывания "занято/НА" и перенаправления вызова
          - Coverage After Forwarding? - использовать ли переадресацию после перенаправления
               - Call Forward Override? - разрешается ли сделать обратный вызов на источник с номера, на который выполнили перенаправление

Один ring равен приблизительно 5-ти секундам.
Вывести список всех активных перенаправлений вызовов

list call-forwarding

Использование функции Forward

Обычный пользователь

включение = fac + кому
выключение = fac

     - change station XXXX
          - BUTTON ASSIGNMENTS (стр. 4)
               - call-fwd Ext: - кому будет перенаправлен вызов после нажатия кнопки

Привилегированный пользователь

- change cos
- Console Permissions: Y - задаём разрешения в COS, который потом ставим для extension. После этого у данного extension появляются расширенные возможности - Console Permission

включение = fac + кого + кому
выключение = fac + кого

     - change station XXXX
          - BUTTON ASSIGNMENTS (стр. 4)
               - call-fwd Ext: - кого будем перенаправлять после нажатия кнопки

Call Coverage

Путь переадресации (coverage path) определяется в случае переадресация вызова на другой номер, при невозможности ответа.

     - add coverage path X          - Next Path Number: - номер следующего пути переадресации
          - COVERAGE CRITERIA - критерии переадресации
               - Active - идёт разговор. Для многолинейных - занята хотя бы одна линия.

               - Busy - заняты все свободные линии.

               - Don't answer - нет ответе после Number of Rings гудков.

               - All - все звонки

               - DND/SAC/Goto Cover - Do not Disturb/Send All Calls/Coto Cover
               - Holiday Coverage - использовать таблицу праздников.
          - Coverage Points: - до 6 номеров, на которые последовательно переадресуется вызов.

Если завести у номера кнопку Goto Cover, то при звонке этого номер на другого абонента можно нажать эту кнопку и уйти на его coverage path не дожидаясь когда истекут его количество rings и отработает сам coverage path.

- change station XXXX
- Coverage Path 1 - какой путь переадресации будем использовать.

Кнопка send-calls (change station XXXX) и функция Send All Calls (change feature-access-codes - page 3of8) сразу пересылают все вызовы на переадресацию.

- change system-parameters coverage-forwarding
- change system-parameters coverage-forwarding - через сколько секунд после прихода звонка сработает coverage.

Вывести список всех кто использует coverage path X

display coverage sender-group X

Переадресация исходя из времени и дня недели.

add coverage time-of-day X

Точки переадресации:

extension
- телефон
- вектор (v+номер)
- голосовое сообщение
coverage answer-group - при отсутствии абонента все номера из coverage path звонят одновременно
hunt-group
remote location (change coverage remote X)

Группы пользователей

Группа перехвата (pickup group)

Пользователи в рамках группы могут перехватывать вызовы коллег. Можно создать до 5000 групп. В каждой группе может быть до 50 абонентов.

Создать группы перехвата.

add puckup-group

Вывести список всех групп перехвата.

list pickup-group

- change feature-access-codes
- Call Pickup Access Code - код перехвата вызова.

Кнопка call-pkup (change station XXXX) позволяет осуществлять перехват вызова в рамках группы.

     - change system-parameters features
          - Call Pickup Alerting - кнопка call-pkup мигает если есть возможность сделать перехват.
          - Temporary Bridged Appearance on Call Pickup - разрешает подключиться к перехваченному разговору абоненту, вызов на которого был перехвачен.
          - Directed Call Pickup - перехват конкретного extension вне зависимости от группы.

     - change cor X
          - Block Enhanced Call Pickup Alerting
          - Can Be Picked Up By Directed Call Pickup          - Can Use Directed Call Pickup

Групповое оповещение (paging).

Оповещение пользователей через динамики громкой связи цифровых и IP - телефонов. Возможно создать 32 группы по 32 абонента.

     - add group-page X
          - Group Extension - номер, набрав который идёт оповещение всех пользователей в группе.
          - Extension - номера, на которых сработает оповещение.

Дублировать оповещение на сеть колонок через усилители подключенные к TN763 с помощью Auxiliary port.

change paging loudspeaker

Группа поиска (hunt-group)

Создаётся номер группы, набрав который происходит поиск свободного абонента.

- add hunt-group X
     - Group Type - метод распределения вызовов.
               - circ - циклический. Равномерное распределение по номерам.
          - UCD - Uniform Call Distribution
               - ucd-loa - Least Occupied Agent (лицензия Call Center)
               - ucd-mia - Most Idle Agent - наиболее разгруженный абонент. Лучше всего для стандарта. Стоит по умолчанию.
          - DDC - Direct Department Calling - в порядке задания в группе.
          - EAD - Uniform Call Distribution - продвинутый метод (лицензия Call Center)
               - ead-loa - Least Occupied Agent (лицензия Call Center)
               - ead-mia - Most Idle Agent (лицензия Call Center)
          - PAD - Percent Allocation Distribution (лицензия Call Center)
          - SLM - Service Level Maximizer (лицензия Call Center)
     - Group Extension - номер группы.
     - Queue - разрешена ли очередь. Если установлено N, то в случае если приходит вызов, а все абоненты заняты, то будет отбой.
     - Queue Limit - сколько вызовов можно максимально поставить в очередь. По умолчанию unlimited.
     - Calls Warning Threshold - порог для предупреждения по количеству вызовов в очередни.
     - Time Warning Threshold - порог для предупреждения по времени вызовов в очередни.

Есть такое понятие как station hunting - альтернативный способ задания группы поиска.

- change station XXXX
- Hunt-to Station - номер, на который перенаправить вызов в случае получения сигнала занято. Для многолинейных телефонов должны быть заняты все доступные линии, чтобы получить сигнал занято. В случае однолинейных телефонов вызов сразу уйдёт на указанный номер..

Кнопка q-calls (change station XXXX) показывает количество пользователей в очереди.

Кнопка q-time (change station XXXX) показывает время ожидания пользователей в очереди.

Кнопка in-call-id Type:h Grp:X (change station XXXX) оповещает о звонке в Hunt Group Х.

Группа ответа на вызов отсутствующего абонента (Coverage Answer Group - CAG)

Используется в пути переадресации (coverage path). Допускается до 8-ми абонентов в группе. Все свободные телефоны звонят одновременно.

Для создания coverage answer-group надо:

создать саму группу (add coverage answer-group)
прописать в ней необходимых абонентов
создать виртуальный extension (port X)
в нём в поле coverage path прописать группу coverage answer-group

Port х отличается от port virtual тем, что port x требует лицензию.

Кнопка in-call-id Type:c Grp:X (change station XXXX) оповещает о звонке по coverage path Х.

Голосовые сообщения (Announcements)

Сообщения можно загружать или записывать прямо на станцию. Возможно создать в принципе до 9000 сообщений. Сообщения бывают однократные и циклические. Для работы announcemenets необходимы:

Плата TN250B (не содержит собственную flash память) или TN250C. Гавно мамонта - не производится уже более 5 лет.
Плата TN2501AP (для G650). Позволяет записать до часа сообщений.
Встроенная память для VAL (Voice over the LAN) announcements. Установлена на всех "новых" кабинетах:

G250/G350 - 15 минут сообщений. 0й порт для записи. 1-6й для воспроизведения
G430/G450 - 45 минут вообщений. С дополнительной памятью до 4-х часов.
G700 - 20 минут сообщений, 0-й порт для записи. 1-15й - для воспроизведения

внешние решения (особо никому не упёрлись) подключаются к:

аналоговому порту
плате TN763
тайм-слоту платы DS1

- add announcement XXXX/next
     - Extension - назначаемый extension (несуществующий номер из dialplan). Позвонив на него можно просулшать сообщение.
     - Annc Type - тип создаваемого сообщения.
          - integrated - однократные
          - integ-rep - циклические
          - integ-mus - музыка для on-hold
     - COR - ограничения на доступ к сообщению.
     - Annc Name - имя annoucement. Для TN2501AP здесь должно быть указано имя wav-файла.
     - Queue - очередь.
          - y - для однократных
          - n - для однократных
          - b(argein) - для циклических
     - Rate - качество записи.
          - 16
          - 32
          - 64 - для TN2501AP только 64kb/s
     - Port - расположение платы.
          - ХХХv9 - для шлюзов (например, 001v9 - 1й MG)
          - ХХYZZ - для TN2501AP. XX - cabinet (1-64). Y - carrier (A-E). ZZ - slot (0-20). Например, 01G01 или просто G1.

Показать информацию о платах annoucements и количестве сообщений на них.

display integrated-annc-boards

- change cos
- Console Permissions: Y - задаём разрешения в COS, который потом ставим для extension. После этого у данного extension появляются расширенные возможности - Console Permission

- change feature-access-codes
- Call Pickup Access Code - задаем код работы с annoucements.

Записать annoucement.

FAC + annoucement + 1+ проговорить сообщение + #

Прослушать annoucement.

FAC + annoucement + 2+ прослушать сообщение + #

Удалить annoucement.

FAC + annoucement + 3

После любого изменения сообщения несколько секунд сообщение будет обрабатываться и поэтому будет недоступно. Если сообщение не существует или было удалено, то при наборе его номера будет сигнал "занято", что логично - в dialplan больше нет на него указаний.

Особенности работы с TN2501AP

Требования к формату файла:

CCITT α-law или μ-law - закон компандирования должен совпадать с указанным в location-parameters -> Companding Mode
8kHz
8bit
моно
обязательное наличие расширения .wav СТРОГО маленькими буквами

Настройка Ethernet-линка (R14_):

- add data-module XXXX/next
     - Data Extension - назначаемый extension для VAL.
     - Type - ставим ethernet.
     - Port - расположение платы XXYZZCC. XX - cabinet (1-64). Y - carrier (A-E). ZZ - slot (0-20). CC - circuit (17 или 33). 17 - для CLAN. 33 - для VAL. Например, 01A0533.
     - Link - значение от 1 до 254.

list directory board 01A05 /annc

                                LIST DIRECTORY

Board    File/Directory            Creation            Size    Pro-
Loc    Name                        Date            Time    Kb    tect
01A05    F:moh.wav            2000/01/01    00:00:01    235    n
01A05    F:restricted.wav    2000/01/01    00:00:02    53    n
01A05    F:wrongnumber.wav 2000/01/01    00:00:03    42    n
01A05    F:DISA.wav            2000/01/01    00:00:04    83    n
01A05    F:hello.wav            2000/01/01    00:00:05    57    n

Включить режим передачи файлов.

enable filexfer

Удалить неиспользующийся annoucement.

remove file board 01A05 /annc/oldannc.wav

Отключить плату annoucement.

busyout board 01A05

Удалить плату annoucement.

erase annoucement board 01A05

Если подключиться по SSH к G430/G450 (enable filexfer), то можно записать через сеть уже готовые файлы.

Вектор (Vector)

Вектор - это программа обработки входящих вызовов. В системе можно создать до 2000 векторов. В процессе обработки вызова вектор анализирует следующие параметры:

время и дата звонка
определённый extension по запросу
время ожидания в очереди

В результате обработки вектор может проиграть сообщения (описывались выше как announcements) и решает куда отправить вызов (в очередь или на extension).
Создать вектор.

change vector XX

Команды вектора:

wait-time
    X - количество
    sec/min/hr - единицы
    silence/music/ext. - источник звука hearing
announcement XXXX - проиграть сообщение XXXX
collect N digits - получть N цифр, после announcement
route-to - переадрессовать
    number - номер
    digits - полученные от collect цифры
    coverage - пустить по coverage path
goto - стандартный goto
    step N - перейти к шагу N в векторе
    vector M - перейти к другому вектору M
queue-to - поставить в очередь
    split N - номер hunt-group
    pri - приоритет (low, medium, high, top)
stop - остановить обработку (если вызов не поставлен ни в какую очередь, от он отключается)
disconnect - отключить после соощения
busy - дать сигнал отбоя

Условия для if:
    ani - по АОНу
    available-agents - количество агентов в группе
    calls-queued - количество звонков в очереди
    digits - количество собранных цифр
    nomatch - ничего не происходит
    oldest-call-wait - количество более ранних звонков в очереди
    staffed-agents - количество занятых агентов
    time-of-day - время и день недели
    unconditionally - безусловно

Создать копию существующего вектора.

duplicate vector XX

Трассировка вектора

list trace vector 123

                                LIST TRACE

time      vec st data

12:23:27    0 0 ENTERING TRACE cid 12345
12:23:27    3 1 vdn e1122 bsr appl   0 strategy 1st-found override n
12:23:27    3 1 wait 2 secs hearing music
12:23:27    3 1      music announcement: board 01A05 ann ext: 1111
12:23:29    3 2 collect 4 digits after annc 1133 for none
12:23:29    3 2      announcement: board 01A05 ann ext: 1133
12:23:44    3 3 route-to digits with coverage y
12:23:44    3 4 route-to number 4444 cov n if unconditionally
12:23:44    3 5 LEAVING VECTOR PROCESSING cid 12345
12:23:44    3 5 TRACE COMPLETE cid 12345

Трассировка vdn. В тестовом случае оно показывает одно и тоже.

list trace vdn 1122

                                LIST TRACE

time      vec st data

12:23:27    0 0 ENTERING TRACE cid 12345
12:23:27    3 1 vdn e1122 bsr appl   0 strategy 1st-found override n
12:23:27    3 1 wait 2 secs hearing music
12:23:27    3 1      music announcement: board 01A05 ann ext: 1111
12:23:29    3 2 collect 4 digits after annc 1133 for none
12:23:29    3 2      announcement: board 01A05 ann ext: 1133
12:23:44    3 3 route-to digits with coverage y
12:23:44    3 4 route-to number 4444 cov n if unconditionally
12:23:44    3 5 LEAVING VECTOR PROCESSING cid 12345
12:23:44    3 5 TRACE COMPLETE cid 12345

Vector Directory Number (VDN) - виртуальный extension для вектора. Например, через change inc-call-handling-trmt trunk-group Х мы задаём что если звонок приходит на внешний номер, то мы перебразываем его на VDN. В VDN задаём какой вектор ему соответствует. В векторе уже прописываем последовательность обработки вызова.
Вывести список существующих VDN.

list vdn

Создать вектор

- add vdn XXXX/next
     - Name - текстовое обозначение вектора.
     - Vector Number - какой вектор ассоциируем.
     - COR - рекомендует для VDN заводить отдельный COR. Это нужно для того, чтобы отделять звонки VIP пользователей от всех остальных.

При создании COR (change COR X) для VDN можно ввести ограничение на исходящие вызовы (Calling Party Restriction: outward) и на входящие вызовы (Called Party Restriction: none).
VDN может быть использован в Coverage Path, как обычный extension. При этом перед номером extension должен быть выставлен символ v, например, v1122.
Пример настройки вектора для входящего звонка в компанию.

change vector 99                                                 Page   1 of   6
                                  CALL VECTOR

    Number: 5                Name:
Multimedia? n      Attendant Vectoring? n    Meet-me Conf? n           Lock? n
     Basic? y   EAS? n   G3V4 Enhanced? n   ANI/II-Digits? n   ASAI Routing? n
Prompting? y   LAI? n G3V4 Adv Route? n   CINFO? n   BSR? n   Holidays? y
Variables? n   3.0 Enhanced? n
01 wait-time    4   secs hearing music
02 wait-time    2   secs hearing ringback
03 announcement 4001 "добро пожаловать в компанию..."
04 collect      4    digits after announcement 4002 "Наберите в тоновом режиме номер или дождитесь ответа секретаря..."
05 route-to     digits with coverage n - если звонок уже в очереди, то повторно его не ставим
06 queue-to     split 1 pri h
07 wait-time    4   secs hearing music
08 announcement 4003 "ваш звонок важен для нас..."
09 wait-time    20   secs hearing music
10 goto         step 6 if unconditionally
11 stop

Системные функции

Класс ограничений (Class of Restriction - COR)
Позволяют ограничить права пользователей. Возможно создать от 0 до 995. По умолчанию все объекты создаются с COR 1.
Вывести список всех COR.

list cor

Создание COR

change cor XXX
     - COR Description - описание COR. Позволяет визуельно отделить пустой COR от использующегося.
     - FRL - Facility Restriction Level - уровень доступа к оборудованию. Используется в ARS/AAR.
     - Time of Day Chart (Partition Group Nymber) - используется при разделении маршрутизации ARS/AAR partitioning
     - Restricted Call List (Unrestricted Call List) - ограничение платных вызовов.
     - Can Be Picked Up By Directed Call Pickup - разрешение для перехвата вызова на телефон с данным COR.
     - Can Use Directed Call Pickup - разрешение для прямого перехвата вызова.
     - Can Be Service Observed - может ли абонент с данным COR быть ПРОСЛУШАН.
     - Can Be A Service Observer - может ли абонент с данным COR ПРОСЛУШИВАТЬ других.
     - Calling Party Restriction - запрет на исходящие вызовы.
          - none - никаких
          - origination - только входящие
          - outward - выход в город закрыт
          - all-toll/tac-toll - закрыт платных вызовов.
     - Called Party Restriction - запрет на входящие вызовы.
          - none - никаких запретов
          - inward - запрещены все внешние звонки + attendant
          - manual - запрещены все кроме attendant
          - public - запрещены все городские вызовы
          - termination - запрещены все вызовы
     - SERVICE OBSERVING PERMISSIONS (Y/N) - разрешение для ПРОСЛУШИВАНИЯ номеров/линий с COR ХХХ.
     - CALLING PERMISSION (Y/N) - разрешение для ВЫЗОВОВ на номера/линии с COR ХХХ.
     - Restriction Override - кто может перебивать предыдущий запрет при пересылке (forward), конференции (conference) и переводе (transfer).
          - attendant - оператор
          - all - все члены данного класса ограничений
          - none - никто

Класс обслуживания (Class of Service - COS)
Позволяют организовать доступ пользователей к дополнительным функциям. Уже создано 16 COS - от 0 до 15. По умолчанию все объекты создаются с COS 1.

change cos
     - Auto Callback - автоматический дозвон. (change feature-access-codes -> Automatic Callback Activation/Deactivation)
     - Call Fwd-All Calls - перенаправление всех вызовов.
     - Data Privacy - целостность данных. Защита звонка от прерывания системой (запрет гудеть в линию системные тоны, например, во время передачи факсов) включается с помощью набора FAC (change feature-access-codes -> Data Privacy Access Code) перед осуществлением вызова, и действует только в течение этого вызова.
     - Priority Calling - приоритетный звонок. Не уходит по coverage path, если принудительно не включена Go-to-Cover. Во время разговора вызываемый абонент оповещается о приоритетном вызове - тройной сигнал.
     - Console Permissions - привилегии консоли. Позволяет удалённо управлять перенаправлением вызовов и записывать голосовые сообщения.
     - Off-hook Alert - оповещение о снятии трубки.
     - Client Room - функционал для отельных систем.
     - Restrict Call Fwd-Off Net - запрет переадресации вызовов во внешнюю телефонную сеть.
     - Call Forwarding Busy/DA - пересылка вызова занятому или отсутствующему абоненту.
     - Personal Station Access (PSA) - разрешение на использование PSA (аналог TTI).
     - Extended Forwarding All - расширенное управление.
     - Extended Forwarding B/DA - расширенное управление.
     - Trk-to-Trk Transfer Override - обход ограничений перевода звонка. Ставим Y и обходим системные ограничения. Перекрывает все ограничения COR и системы (change system-parameters features -> Trunk-to-Trunk Transfer). Возможно нарушение безопасности.
     - QSIG Call Offer Originations     - Contact Closure Activation     - VIP Caller - для абонентов с этим COR все исходящие звонки будут Priority Calling.
     - Masking CPN/Name Override
     - Call Forwarding Enhanced     - Priority Ip Video

Auto Callback (автодозвон) - система отслеживает состояние занятого абонента или транка и осуществляет автоматическое соединение в случае его освобождения. С аналогового аппарата возможно выполнить только один автодозвон (после звонка на занятый телефон надо нажать FLASH и набрать FAC). С многоканального аппарата можно выполнить количество автодозвонов соответственно количеству линий (после звонка на занятый телефон надо нажать кнопку auto-cback change station). Последовательность действий если абонент не занят, а просто не отвечает, следующая:

позвонить абоненту
активировать функцию
положить трубку
ждать когда система оповестит о соединении

Для транковых групп автодозвон активируется при конфигурировании очереди:

для однолинейных - автоматически
для многолинейных - при наличии свободной кнопки.

При этом обратный звонок звучит как приоритетный звонок (ringback queuing).
Priority Calling (приоритетный звонок)- Приоритетный звонок включается с помощью набора FAC (change feature-access-codes -> Priority Calling Access Code) или нажатием кнопки priority (change station - для цифрового телефона) перед осуществлением вызова, и действует только в течение этого вызова. Нельзя использовать со списком сокращённого набора - только в нём. Бывают три типа приоритетных вызовов:

Consult - консультирование при coverage
Автоматический отзвон (Auto Call Back, Ringback queuing)
Уведомление о нарушение безопасности - без понятия что это такое.

Автоматическая маршрутизация (Automatic Routing)

На мой взгляд, самая тяжёлая для понимания тема. Фактически понимание именно этого раздела и позволяет нормально обслуживать и развивать телефонную станцию. Постараюсь максимально раскрыть её, потому что я сам не сразу осознал как оно работает.
Итак, самое важное, что нужно усвоить сразу - это последовательность обработки вызова на станции. Надеюсь я его понимаю правильно :)

срабатывает dialplan - change dialplan analysis
если никуда не провалились, то работаем по UDP (Uniform DialPlan) - change uniform-dialplan 0
на каком-то из предыдущих этапов мы попадаем в ARS, AAR, TAC(trunk), DAC(trunk), FAC(features) или Extension.

Вот в принципе и всё. Конечно вызовы на протяжении всего цикла обработки подвергаются различным манипуляциям. Об этом я далее детально и попытаюсь рассказать.
Существует два типа маршрутизации, которые разделены идеологически:

ARS (Automatic Route Selection - Автоматическая маршрутизация вызова) - для маршрутизации внешних вызовов в публичную сеть.
AAR (Automatic Alternative Routing - Автоматическая альтернативная маршрутизация) - для маршрутизации внутрикорпоративных вызовов.

Разделение в маршрутизации чисто идеологическое. Для примера возьмём компанию, у которой есть центальный офис и филиальная часть разбросаная по всей стране/миру. В центральном офисе и каждом региональном офисе стоит своя АТС. Изначально допустим что вызов сотрудника из "центра" в "регион" идёт через ТФОП. То есть:

вызов в "центре" приходит на АТС
использует ARS
уходит в ТФОП
из ТФОП попадает на "региональную" АТС
затем уже приходит на вызываемого абонента

AAR преднезначена для перенаправления вызовов не через ТФОП, а через альтернативные каналы связи, например, VPN. Сейчас VPN используется повсеместно, поэтому лучше будет съекономить деньги компании и завернуть вызовы не через ARS, а через AAR.
Оба типа маршрутизации применяются в UDP (Uniform Dialplan) и оба же могут применяться совместно для маршрутизации городских вызовов, например, выход по разным типам линий (или разных провайдеров). Однако при вызове через AAR не применяется анализ платных вызовов COR. FAC для ARS/AAR не анализируется. Схематически работу автоматической маршрутизации можно отобразить следующим образом.

Сначала надо разрешить работу с ARS/AAR.

- display system-parameters customer-options
     - ARS? y - разрешить использование ARS.
     - ARS/AAR Partitioning? y - разрешаем разделение ARS/AAR.
     - ARS/AAR Dialing without FAC? y - выход на ARS/AAR без набора FAC.

Потом надо задать цифры для AAR(8) и ARS(9).

change dialplan analysis                                       Page   1 of 12
                             DIAL PLAN ANALYSIS TABLE
                                                            Percent Full:    0

       Dialed   Total    Call      Dialed    Total    Call     Dialed Total   Call
       String   Length Type    String   Length Type     String   Length Type
      8         1   fac
      9         1   fac

Потом надо прописать эти цифры как FAC

change feature-access-codes                                       Page   1 of 8
                               FEATURE ACCESS CODE (FAC)
      Auto Alternate Routing (AAR) Access Code: 8
    Auto Route Selection (ARS) - Access Code 1: 9     Access Code 2:

Устанавливаем ограничение на платные вызовы

change cor XXX
     - Calling Party Restriction - запрет на исходящие вызовы.
          - none - никаких
          - origination - только входящие
          - outward - выход в город закрыт
          - all-toll/tac-toll - закрыт платных вызовов.

Далее идёт преобразование цифр (что в AAR, что ARS). На данном этапе мы решаем какие цифры добавить, какие убрать.

Digit Conversion (Преобразование цифр) - предварительная обработка набранной последовательности цифр.

change aar digit-conversion 0
     - Percent Full - процент заполнения.
     - Matching Pattern - шаблон, по которому отбираются только необходимые вызовы. Например, шаблон x123*** позволяет отобрать вызовы, в которых присутствует комбинация любой символ (включая * и #) + 123 + 3 цифры. Шаблон может встречаться в любой части номера - необязательно вначале или в конце.
     - Min - минимальное количество цифр для шаблона. Система будет ждать 10 секунд (зависит от Country) после набора минимального количества символов и только потом будет искать шаблон.
     - Max - максимальное количество символов, после которых любые введённые символы игнорируются.
     - Del - количество символов слева (старшие разряды), которые будут удалены.
     - Replacement String - какие символы добавляем слева (со стороны старших разрядов).
     - Net - как дальше обрабатывается вызов. Вариантов всего три - ARS, AAR и Ext(ension).
     - Conv - прогонять ли ещё раз через conversion или уже передавать на analysis.

Digit Analysis (Анализ набранного номера) - выбор маршрута в зависимости от набранного номера.

change route-pattern X

     - Percent Full - процент заполнения.
     - Dialed String (аналогично Matching Pattern) - шаблон, по которому отбираются только необходимые вызовы. Например, шаблон x123*** позволяет отобрать вызовы, в которых присутствует комбинация любой символ (включая * и #) + 123 + 3 цифры. Шаблон может встречаться в любой части номера - необязательно вначале или в конце.
     - Min - минимальное количество цифр для шаблона. Система будет ждать 10 секунд (зависит от Country) после набора минимального количества символов и только потом будет искать шаблон.
     - Max - максимальное количество символов, после которых любые введённые символы игнорируются.
     - Route Pattern          - 1-254 - номер записи маршрута
          - p1-p2000 - индекс partition-route-table
          - deny - отклонить вызов
     - Call Type - тип АОН, который будет отдаваться при звонках по этому транку.
          - national - междугородние вызовы. Ставят в основном его.
          - international - международные вызовы
          - local - местные вызовы
          - pubu - public unknown
          - subscriber - AVAYA не умеет

В случае настройки для транков R1.5 необходимо добивать строку анализа необходимым количеством знаков "x" чтобы номер полностью собрался перед передачей по транку.

Route Pattern (Таблицы маршрутизации) - здесь последовательно перечисляются транковые группы, в которые перенаправляется вызов. Каждый route pattern может включать до 16 транковых групп. Каждая страница разделена на две части и данные из нижней части построчно соответствуют данным из верхней. Фактически каждая строка разделена на две части и начало находится вверху, а конец - снизу.

change route-pattern X     - Pattern Name - подпись (больше для себя).
     - Grp No - номер транковой группы, в которую будет направлен вызов.
     - FRL (Facility Restriction Level) - ограничение доступа к устройству. Если FRL, который прописан в COR вызывающего абонента, больше или равен FRL в Route Pettern, то вызов проходит. Если нет, то вызов отбивается.
     - No. Del Dgts - сколько цифр слева (старших разрядов) необходимо удалить перед отправкой.
     - Inserted Digits - какие цифры добавить слева.
          , - пауза 1.5 секунды (два места)
          + - ожидание dialtone до Off-Premises Tone Detect Timeout, дальше продолжение набора в зависимости от Outpulse Without Tone (параметры задаются в change system-parameters features)
          ! - бесконечно ждать dialtone и потом переключиться в DTMF
          % - переход в DTMF-набор (end-to-end signaling).
          & - ожидание запроса АОН и переход в декадный набор (для челнока).
     - BCC VALUE - тип звонка по ISDN.
          0 - голос
          1 - данные 56kb/s
          2 - данные 64kb/s
          M - данные 64kb/s
          4 - данные 64kb/s
          W - широкополосная передача
     - Numbering Format - формат номера в котором передаём по ISDN оператору.
          - intl-pub
          - lev0-pvt
          - lev1-pvt          - lev2-pvt          - locl-pub          - natl-pub - можно не указывать, можно указать этот.
          - pub-unk
          - unk-unk
     - LAR (Look Ahead Routing) - повторная попытка звонка при занятости соединительных линий на маршруте.
          - none
          - rehu(nt-current-next) - вызов повторно идёт по этому же маршруту в надежде что проблема была временной и сейчас уже ушла.
          - next(preference) - если по данному транку вызов не прошёл (обрыв связи), то переслыаем его по следующему транку. То есть смотрим следующую строчку route pattern и пытаемся осуществить вызов через прописанный в ней транк.

Partition Routing - механизм для выбора маршрута изходя из времени и дня недели. Нужен в случаях когда тарификация у оператора зависит от времени суток. В остальных случаях как правило остаётся без надобности. Схематически мезанизм работы выглядит следуюшим образом.

Для корректной работы Partition Route Table необходимо чтобы были включены следующие опции:

display system-parameters customer-options
- ARS/AAR Partitioning? y
- Time of Day Routing? y

Вывести соответствие PGN (Partition Group Number) для каждого COR.

list partitioned-group

Задаём для extension необходимый COR

change station XXXX
- COR: Z

Задаём для COR необходимый Time-od-Day Chart

change cor X
- Time of Day Chart: Z - [1-8]

Задаём для COR необходимый Time-od-Day Chart

change time-of-day X - Act Tim - время, с которого вызову будет назначен следующий PGN.
- PGN: Z

В случае если в COR выключена опция Time of Day Routing: N, то PGN можно указать прямо в настройках COR.

change partition-route-table X
- PGN: [1-254] - номер route-pattern или node, или deny

COR Toll Analysis (Ограничение платных вызовов) - анализ позволяющий ограничить платные вызовы для определённых COR. Для каждого COR можно задать определённые ограничения.

change cor XXX
     - Calling Party Restriction - запрет на исходящие вызовы.
          - all-toll - ограничения применяются при доступе к группе через TAC или при вызове через ARS.
          - tac-toll - ограничения применяются ТОЛЬКО при доступе к транковой группе через TAC.
     - Restricted Call List (RCL)- использовать RCL в данном COR. Анлизировать ли поле RCL в change toll x
     - Unrestricted Call List (UCL)- использовать UCL в данном COR. Анлизировать ли поле UCL в change toll x

change toll 0
     - Dialed String - шаблон набранного номера. Правила соответствия такие же, что были описаны ранее.
     - Total Min - минимальное количество цифр в номере для анализа.
     - Total Max - максимальное количество цифр в номере для анализа.
     - RCL - Если в строке шаблона в поле RCL поставить x, то вызов будет сброшен.
     - Toll List - Если в строке шаблона в поле RCL НЕ стоит x, а в поле Toll List поставить x, то будет анализироваться поле UCL.
     - UCL - Если в строке шаблона в поле UCL поставить x, то вызов будет разрешён.

Схематически принцип анализа платных вызовов можно изобразить следующим образом:

Рассмотрим пример.

display toll 0                              TOLL ANALYSIS                  Percent Full: 0
                           Location: all
                  Total      Toll CDR   <--Unrestricted Call List-->
   Dialed String    Min Max RCL List FEAC 1 2 3 4 5 6 7 8 9 10
8496                   11    11 x
8495                 11    11             x                   x
8499                   11    11         x               x

Для COR=1 зададим UCL=1, для COR=2, соответственно, UCL=2. Для обоих выставляем RCL. Итак, при звонках абонентов с COR=1 и COR=2 на номера 8496 будет происходить отбой ввиду наличия x в RCL для этого шаблона. Для обоих COR установлен x в поле Toll List. Поэтому для обоих будет анализироваться UCL. Так как для COR=1 устновлен UCL=1, то ему будет разрешено звонить по шаблону 8499, а по 8495 - запрещено. Для COR=2 с UCL=2 ситуация будет обратной: на 8495 - разрешено, на 8499 - запрещено.
Toll Analysis отрабатывается в момент обработки Route Pattern:

ARS/AAR Analysis определяет Route Pattern
СНАЧАЛА отрабатывается Toll Analysis
И ТОЛЬКО ПОТОМ выполняется сам Route Pattern.

Uniform DialPlan (UDP) Единый план нумерации - используется для единой системы нумерации внутренних телефонов в сети из нескольких телефонных станций. Работает на номерах длинной от 3-х до 7-ми цифр.

change dialplan parameters
     - UDP Extension Search Order - порядок поиска номера.
          - udp-table-first - сначала обрабатываем номер через UDP?
          - local-extensions-first - сразу ищем во внутренних extension (т.е. не используем UDP).

change uniform-dialplan 0
     - Matching Pattern - шаблон номера - то есть с каких цифр начинается номер.
     - Len - длинна номера.
     - Del - сколько цифр слева удалять (старшие разряды).
     - Insert Digits - сколько цифр добавить слева (старшие разряды).
     - Net - куда перенаправить вызов (aar, ars, enp, ext).
     - Conv - необходимо ли пребразование цифр.

Схематически принцип UDP можно изобразить следующим образом:

Послесловие

В связи с тем, что материала оказалось немного больше, чем я ожидал, то я решил на этом закончить вторую часть... и написать третью. Она будет содержать в себе описание соединительных линий (с провайдером и соседними телефонными станциями) а также кратко опишу процедуры обслуживания станции. Пока планирую управиться в две недели.

Полезные ссылки:

1. Ограничения на исходящие звонки
2. Как заставить определенные ext ходить через Е-1 или sip
3. Маркирование портов AVAYA
4. Программирование вектора

Проба Raspberry Pi

2014-07-16T00:26:00.000-07:00

Давно я не писал в блогге. Причины теже - острая нехватка времени. После верстки бюджета на следующий год думаю всё будет сильно поспокойнее. Пока планирую написать статьи по следующим темам:

пользовательские функции AVAYA. В следующем году либо уходим на Cisco-телефонию, либо обновляем станцию на более свежую версию - где все VM будут крутиться на нормальной системе виртуализации. В нашем случае это VMware. Поэтому надо это дописать, иначе позже надо будет писать уже про миграцию...
записки по телефонии Cisco. Только CME. Базовые вещи, чтобы можно было настроить банальную телефонию в маленьком узле. Расскажу как завязать телефоны AVAYA на CME. В принципе ничего сложного, но некоторые вещи надо в принципе записать.
планирую окончание работы по переводу документации по ISE. Со всякими плюшечками и рюшками, включая кастомный гостевой портал.
беспроводка от Cisco. Виртуальные WLC и завязка на Prime. Чего стоит делать, чего категорически нет. Буду разбивать иллюзии относительно количества точек доступа, мощности антенн и покрытия в здании. Когда допишут софт для Sup8 для Catalyst 4500, то опишу как там настраивать WLC.
FlexVPN. Почему он так хорош. При чем здесь CSR 1000V. Как завязать всё это дело на ISE и почему это сильно удобнее. Поделюсь опытом коллеги настройки связки ASA + CSR. Почему это очень удобно и защищёно.

Это только то, что надо хотя бы задокументировать иначе просто будет ужас. Уже 60 вкладок из браузера перенёс в блокнот, чтобы не потерять случайно. Но сегодня речь пойдёт о более прозаичной вещи - мониторинг серверной комнаты.

В серьёзных ЦОДах существуют специальные службы, которые следят за состоянием именно инфраструктуры - температура, влажность, входное электроснабжение и т.д. В обычных компаниях создавать такую службы никто не хочет и не будет - кормить 8 человек чисто для мониторинга это слишком. Поэтому лучше делегировать функции мониторинга сотрудникам охраны, которые, как правило, работают 24х7. И именно они смогут первыми прийти на помощь в случае нештатной ситуации. Их задача состоит в том, чтобы в случае её возникновения отработать строго по инструкции. Это будет оперативнее, чем любому из админов добраться до офиса. Но для того, чтобы они могли получить информацию об аварии, надо их своевременно информировать. Для этого обычно ставится соответствующий терминал. В нашем случае мы будем использовать схему "Монитор + Raspberry Pi".

На Raspberry Pi устанавливаем родную прошивку Raspbian через дистрибутив NOOBS Lite. Всё скачивается и устанавливается через интернет. Можно не заморачиваться и поставить сразу Raspbian скачав дистриб с официального сайта.
После установки осталось выполнить несколько действий:

настроить корректный вывод на монитор;
отключить переход монитора в спящий режим
настроить автозапуск приложения с мониторингом

Начнём с простого - ручной настройки вывода на экран. Лично у меня режим вывода на экран был дурной до безобразия. Изображение было нечётким и как будто специально размытым. Чтобы понять как именно настраивать вывод, надо понять какие режимы в принципе поддерживает монитор.

pi@raspberrypi ~ $ tvservice -d edid #создаёт файлик с доступными режимами
pi@raspberrypi ~ $ edidparser edid # выводит доступные режимы на экран

Выбираем среди них тот, который для нас наиболее удобен

HDMI:EDID DMT mode (82) 1920x1080p @ 60 Hz with pixel clock 148 MHz” with a score of 124,416

Далее принудительно прописать данные параметры вручную в файле /boot/config.txt

hdmi_group=2
hdmi_mode=82

Теперь надо отключить фишку энергосбережения у экрана в файле /home/pi/.xsessionrc. Нужен установленный пакет x11-xserver-utils

xset s off         # don't activate screensaver
xset -dpms         # disable DPMS (Energy Star) features.
xset s noblank     # don't blank the video device

Теперь дело осталось за малым - автоматически стартовать наше приложения для мониторинга системы. В моём случае это просто браузер. Для этого надо создать файл /home/pi/.config/lxsession/LXDE/autostart и добавить в него команду запуска.

@midori -a "http://10.11.12.13/link" -e Fullscreen -e TabCloseOther

Осталось только настроить панели в LXDE по собственному желанию и чувству паранойи и можно пускать в работу.

Полезные ссылки:

1. Официальный сайт Raspberry Pi
2. Getting your Raspberry Pi to output the right resolution
3. How do I prevent the screen from going blank?
4. How to Autorun application at the start up in Linux
5. Linux — настраиваем рабочий стол LXDE

802.1x - Часть 6 - FreeRADIUS и Cisco TrustSec SGT

2014-03-05T22:29:00.000-08:00

В последних версиях ASA OS (9.х) появилась возможность использовать технологию TrustSec. Данная технология позволяет разграничивать доступ между различными устройствами посредством отслеживания соответствий - Security Group Tag = IP address. В случае компьютеров под управлением MS Windows это можно решить с помощью Context Directory Agent (он же AD Agent). А вот в случае устройств, которые не присутствуют в домене - сетевые принтеры, МФУ, IP-телефоны и т.д, - надо использовать совсем другой метод. Самый правильный метод - поставить ISE и радоваться жизни. Он даёт задвинуть и Egress Policy и нормально передавать SGT Table с именами SGT. Но есть функционал, который можно реализовать и с помощью обычного FreeRADIUS - сами SGT и их использование в SGACL.

Что получилось

Начнём с того, что для конкретного узла или устройства зададим SGT. Для примера это будет IP телефон AVAYA 9600 серии

3CB28D342831 Cleartext-Password := "1234567890"
cisco-avpair = "device-traffic-class=voice",
cisco-avpair += "cts:security-group-tag=000A-00"

Важной особенностью является то, что в случае использование нескольких директив cisco-avpair необходимо использовать оператор += вместо привычного =. SGT должен указываться в 16-ричном формате. При этом на интерфейсе он будет отображаться всё так же в 16-ричном виде.

DOT1X-SW#sh authentication sessions interface g1/1
            Interface: GigabitEthernet2/3
          MAC Address: 3cb2.8d34.2831
           IP Address: 192.168.1.5
            User-Name: 3CB28D342831
               Status: Authz Success
               Domain: VOICE
      Security Policy: Should Secure
      Security Status: Unsecure
       Oper host mode: multi-auth
     Oper control dir: both
        Authorized By: Authentication Server
                  SGT: 000A-00
      Session timeout: 3600s (local), Remaining: 70s
       Timeout action: Reauthenticate
         Idle timeout: N/A
    Common Session ID: C0A80A0E000006198BFFE4EC
      Acct Session ID: 0x00002027
               Handle: 0xEB00061A

Runnable methods list:
       Method   State
       dot1x    Authc Success

Но SGT-таблице он уже будет отображаться в нормальном 10-ричном виде. Главное теперь - включить режим отслеживания IP.

DOT1X-SW(config)# ip device tracking

DOT1X-SW#sh cts role-based sgt-map all
Active IP-SGT Bindings Information

IP Address              SGT     Source
============================================
192.168.1.5             10      LOCAL

IP-SGT Active Bindings Summary
============================================
Total number of LOCAL    bindings = 1
Total number of active   bindings = 1

Как видно, устройство нормально авторизовалось и Теперь необходимо пробросить эту информацию на ASA. Для этого надо настроить соединение. На свитче это делается следующим образом.

DOT1X-SW(config)#cts sxp enable
DOT1X-SW(config)#cts sxp default source-ip 192.168.0.2
DOT1X-SW(config)#cts sxp default password P@$$w0rd
DOT1X-SW(config)#cts sxp retry period 10
DOT1X-SW(config)#cts sxp connection peer 192.168.0.1 password default mode peer listener

Так как свитч выступает в роли "транслятор" SGT-таблицы, то ASA - в роли слушателя. Поэтому настройка ASA выглядит следующим образом.

ASA(config)# cts sxp enable
ASA(config)# cts sxp default password P@$$w0rd
ASA(config)# cts sxp default source-ip 192.168.0.1
ASA(config)# cts sxp connection peer 192.168.0.2 password default mode peer speaker
ASA(config)# cts sxp retry period 10

Теперь мы можем поглядеть что информация нормально пробрасывается до ASA.

DOT1X-SW#sh cts sxp connections
SXP              : Enabled
Default Password : Set
Default Source IP: 192.168.0.2
Connection retry open period: 10 secs
Reconcile period: 120 secs
Retry open timer is not running
----------------------------------------------
Peer IP          : 192.168.0.1
Source IP        : 192.168.0.2
Conn status      : On
Conn version     : 2
Local mode       : SXP Speaker
Connection inst# : 1
TCP conn fd      : 1
TCP conn password: default SXP password
Duration since last state change: 0:00:00:58 (dd:hr:mm:sec)

Total num of SXP Connections = 1

ASA# sh cts sxp connections
SXP               : Enabled
Highest version   : 2
Default password : Set
Default local IP : 192.168.0.1
Reconcile period : 120 secs
Retry open period : 10 secs
Retry open timer : Not Running
Total number of SXP connections: 1
Total number of SXP connections shown: 1
-----------------------------------------------------------
Peer IP           : 192.168.0.2
Source IP         : 192.168.0.1
Conn status       : On
Conn version      : 2
Local mode        : Listener
Ins number        : 1
TCP conn password : Default
Reconciliation timer   : Not Running
Delete hold down timer : Not Running
Duration since last state change: 0:00:04:40 (dd:hr:mm:sec)

ASA# sh cts sgt-map

Active IP-SGT Bindings Information

IP Address          SGT   Source
============================================
192.168.1.5          10   SXP

IP-SGT Active Bindings Summary
============================================
Total number of      SXP bindings = 1
Total number of   active bindings = 1
Total number of    shown bindings = 1

Использовать SGT можно как напрямую

ASA(config)# access-list test extended permit ip security-group ?

configure mode commands/options:
name Keyword to specify security-group name
tag Keyword to specify security-group tag

Так и с помощью объединения в Object Group'ы

asa(config)# object-group security OG-IP-Phones
asa(config-security-object-group)# security-group tag 10
WARNING: Unknown security-group tag 10 referenced
asa(config)# access-list test line 1 extended permit ip object-group-security OG-IP-Phones object-group VPN-Local object-group VPN-Remote (hitcnt=232) 0x8264646a

Warning означает, что имя SGT не было получено ни через SXP, ни через ISE (которого нет). Но ведь это просто Warning. Hit Count на ACL явно говорит, что всё равно работает. :)

Что НЕ получилось

В первую очередь не удалось передать таблицу SGT с именами SGT. Она передаётся посредством RADIUS-запроса от сетевого устройства к ISE. ISE на основании авторизации выдаёт профайл авторизации, который содержит таблицу SGT с именами.

Authentication Result
User-Name=#CTSREQUEST#
State=ReauthSession:0a0164150000000050748C6D
Class=CACS:0a0164150000000050748C6D:ise-1/139170756/1
Termination-Action=RADIUS-Request
cisco-av-pair=cts:server-list=CTSServerList1-0001
cisco-av-pair=cts:security-group-tag=0000-00
cisco-av-pair=cts:environment-data-expiry=86400
cisco-av-pair=cts:security-group-table=0001-3

Authentication Result
User-Name=#CTSREQUEST#
State=ReauthSession:0a0164150000000150748C6D
Class=CACS:0a0164150000000150748C6D:ise-1/139170756/2
Termination-Action=RADIUS-Request
cisco-av-pair=cts:security-group-table=0001-3
cisco-av-pair=cts:security-group-info=0-0-00-Unknown
cisco-av-pair=cts:security-group-info=ffff-0-00-ANY
cisco-av-pair=cts:security-group-info=000A-0-00-IP-Phones

Как видно, запрос происходит с именем пользователя #CTSREQUEST#. Сразу вылезает проблема, что символ # во FreeRADIUS является символом комментария. Но эту проблему можно решить.

"#CTSREQUEST#" Cleartext-Password := "1234567890"
       cisco-avpair = "cts:security-group-table=0001-4"
       cisco-avpair = "cisco-av-pair=cts:security-group-info=0-0-00-Unknown"
       cisco-avpair = "cisco-av-pair=cts:security-group-info=ffff-0-00-ANY"
       cisco-avpair = "cisco-av-pair=cts:security-group-info=000A-0-00-IP_Phones"

Далее возникает следующая проблема - запрос от сетевого устройства идёт к ISE через EAP-FAST... Сразу вылезает что модуль экспериментальный, что никто не гарантирует его работу. И вообще в производственной среде строго рекомендуют его не использовать. Но я всё-таки попробую. :)

Сразу, на что натыкаешься - надо сделать Protected Access Credentials. Как именно - никто толком сказать не может. Протокол специфический. Есть под винду утилитка, которая идёт в составе ACS.

CSUtil.exe -t -u CiscoTest -passwd C1sc0123 -filepath C:\ClientPACs

Но отдельно от ACS она не работает, даже если скачать целиком папку с этой утилитой.

C:\ClientPACs\CSUtil>CSUtil.exe -t -u CiscoTest -passwd C1sc0123 -filepath C:\ClientPACs
Can not initialize SchemeLayer

Ладно. Попросил сгенерировать PAC прямо на работающем сервере ACS. Получилось.

PAC-Info:
Valid until: <not found>
AID:         f80d216c748f22469a531c79d88ce239
I-ID:        CiscoTest
A-ID-Info:   cisco
PAC-type:    unknown (0)
PAC-Opaque:
000200b000030001000400100215c9b539f4f2f56a716ea5d4a0413200060094000301
00f85bbc5db6fea2d861e26c8d708a717200000001503707f300093a8002ae211d90b7
e2f4829d24eddfbf3c36b4d4766614463e7bb80ff5ee00532e0c725e0629da6652a518
89d66396e9ffaedbc13481e328f423d82ba6f00e82944fa191e9c84c5c10da94a85b18
c4cb60b1e6edcea331480164ab77a8dad7931a4d598c63b2672c3bb7b23028cdfd7965
ae2ce0c4a1

Он правда отличается от то, что выдаёт ISE, но к EAP-FAST это не должно иметь никакого отношения.

PAC-Info:
Valid until: Aug 25 2013 23:42:16
AID: 0215c9b539f4f2f56a716ea5d4a04132
I-ID: cx-ent
A-ID-Info: ise demo
PAC-type: Cisco Trustsec
PAC-Opaque:
000200b000030001000400100215c9b539f4f2f56a716ea5d4a0413200060094000301
00f85bbc5db6fea2d861e26c8d708a717200000001503707f300093a8002ae211d90b7
e2f4829d24eddfbf3c36b4d4766614463e7bb80ff5ee00532e0c725e0629da6652a518
89d66396e9ffaedbc13481e328f423d82ba6f00e82944fa191e9c84c5c10da94a85b18
c4cb60b1e6edcea331480164ab77a8dad7931a4d598c63b2672c3bb7b23028cdfd7965
ae2ce0c4a1

Во FreeRADIUS'е подключил модуль EAP2. Добавил данные из PAC файла, и по идее можно было расслабиться.

eap2 {
# EAP types are chosen in the order that they are
# listed in this section. There is no "default_eap_type"
# as with rlm_eap. Instead, the *first* EAP type is
# used as the default type.
#
   fast {
   pac_opaque_encr_key = c3e258ae9fd4317f09bb7e24c8161c8b
   eap_fast_a_id = CiscoTest
   eap_fast_a_id_info = cisco
   eap_fast_prov = 3
   pac_key_lifetime = 604800 # 7 days
   pac_key_refresh_tim = 86400
   }
}

Но ничего не произошло. Авторизации в логах не было видно. На ASA данные тоже не приходили. Я немного призадумался... и решил забить - ISE уже оплачен и заказ обрабатывается.

Полезные ссылки:
1. Cisco TrustSec Configuration Guide, Cisco IOS XE Release 3S
2. Cisco Nexus 1000V Security Configuration Guide, 4.2(1)SV2(1.1) - Configuring Cisco TrustSec
3. DHCP snooping
4. FreeRADIUS - templates.conf
5. Problem with template.conf in proxy.conf
6. Cisco TrustSec Switch Configuration Guide
7. Catalyst 2960, 2960-S, 2960-C, and 2960-Plus Switches Software Configuration Guide, Cisco IOS Release 15.0(2)SE and Later - Configuring Cisco TrustSec

802.1x - Часть 5 - FreeRADIUS и Cisco AVPair

2014-02-26T23:44:00.000-08:00

В первой главе этой темы я описывал использование протокола RADIUS для авторизации пользователей через 802.1x. В качестве серверной части я использовал FreeRADIUS. Теперь можно попробовать использовать FreeRADIUS для авторизации захода пользователей на сетевые устройства.
1. Сначала разберёмся с паролем. Он может быть зашифрован несколькими методами.

{clear}         Cleartext-Password clear-text passwords
{cleartext}   Cleartext-Password clear-text passwords
{crypt}         Crypt-Password        Unix-style "crypt"ed passwords
{md5}          MD5-Password         MD5 hashed passwords
{smd5}      SMD5-Password       MD5 hashed passwords, with a salt
{sha}           SHA-Password          SHA1 hashed passwords
{ssha}          SSHA-Password       SHA1 hashed passwords, with a salt
{nt}              NT-Password         Windows NT hashed passwords
{x-nthash}   NT-Password           Windows NT hashed passwords
{lm}             LM-Password           Windows Lan Manager (LM) passwords.

Если с первыми типами паролей мы уже знакомились для банальной авторизации IP-телефонов, то для доступа к сетевым железкам нужно использовать пароль посерьёзнее. Например, SHA. Во FreeRADIUS пароль хранится в виде хэша (как в Apache). Чтобы получить хэш пароля, нужно снова воспользоваться openssl.

echo -n password | openssl dgst -binary -sha1 | openssl base64
W6ph5Mm5Pz8GgiULbPgzG37mj9g=

Таким образом настройки для авторизации по SHA паролю будет выглядеть следующим образом.

user SHA-Password := "W6ph5Mm5Pz8GgiULbPgzG37mj9g="

2. Теперь нужно настроить профайл авторизации для доступа к сетевым устройствам. Нам нужен уровень привелегий 15. И для новых железок типа Nexus 1000V нужен доступ уровня network-admin.

user SHA-Password := "W6ph5Mm5Pz8GgiULbPgzG37mj9g="
     Service-Type = NAS-Prompt-User,
     cisco-avpair = "shell:priv-lvl=15",
     cisco-avpair += "shell:roles=network-admin"

3. Иногда нужно сделать авторизацию для enable режима.

$enable15$ SHA-Password := "W6ph5Mm5Pz8GgiULbPgzG37mj9g="
Service-Type = NAS-Prompt-User

Полезные ссылки:
1. Using FreeRADIUS with Cisco Devices
2. Cisco Nexus User Roles using TacPlus
3. rlm_pap - FreeRADIUS Module
4. Radius Attribute Types

Про установку спутникового телевидения

2013-11-18T00:28:00.000-08:00

Накопилось много бонусов спасибо от сбербанка и я решил на озоне взять себе комплектик для просмотра HD каналов. Чтобы не мучиться, стоит заказать сразу и установку. Но я решил попробовать всё сделать сам, а если уж буду понимать что не осилю, то тогда позвоню людям, которые приедут и сами мне всё поставят.

1. Подготовка

Если тарелку надо вешать высоко, а голова работает хорошо, то стоит ознакомиться с техникой безопасности (см. полезные ссылки). Самый простой вариант - купить пояс для высотных работ и верёвку посерьёзнее. Надеть пояс, привязать себя (например, к водопроводному стояку) и далеко не высовываться. Использовать альпинистское снаряжение без подготовки я лично считаю глупым. Поэтому я для себя решил подстраховаться (поясом и верёвкой) и не искушать судьбу. Если есть строительная каска - не стоит стесняться её надевать - с верхних этажей может прилететь что угодно. Не рекомендую привязывать верёвку вокруг тела - чревато травматизмом. Так же строго не рекомендую проводить такие работы в одиночку и в темноте. Оно того не стоит. В общем - если Вы хоть на секунду засомневались - не делайте этого сами. Пусть за Вас всё сделают профессионалы.

2. Монтаж

Про монтаж спутниковых тарелок в интернете много видео и инструкций. Повторяться сто раз не буду. Главное что укажу - крепить надо намертво, потому что антенна имеет большую парусность и при большом ветре её может банально вырвать. А так как антена сделана из алюминия, то при падении она безвозвратно погнётся.

При работе на больших высотах обязательно привязывать и себя, и инструмент, и тарелку. Падающий маркер с высоты 10-го этажа это одно, а перфоратор - совсем другое. Длину верёвки надо оставлять такую, чтобы при падении инструмент не улетел в соседское окно снизу (или сбоку).

3. Подключение

У меня разводка кабеля по квартире уже была сделана, и к телевизору и ресиверу приходит только один кабель. Я хотел чтобы и телевизор показывал эфир от антены, и спутник получал нормальный сигнал от тарелки. Для этого надо использовать сумматор сигнала (эфирный сигнал "5-862MHz", спутниковый сигнал "950-2300MHz") в щитке где объединяются оба сигнала. А сплиттер ставится на выходе из розетки в комнате, куда подключаются и ресивер и телевизор. Я предпочёл воспользоваться изделием "испанского производителя" IKUSI - DMS-200. Особенностью данного продукта является, во-первых, то, что он пробрасывает напряжение от тарелки к ресиверу. А, во-вторых, он работает И КАК СУММАТОР И КАК СПЛИТТЕР. То есть и на входе и на выходе стоит ОДНО И ТОЖЕ УСТРОЙСТВО, что весьма удобно.

Знающие ребята подсказали, что самая джедайская установка - это установка на выходе не отдельного сплиттера, а розетки-сплиттера. У меня стоят розетки легранд. И к ним есть соответствующий мануал по установке. Если в двух словах, то есть три вида розеток легранд: простые, проходные и конечные. У меня схема разводки розеток звездой с установкой в центре делителя сигнала. В моём случае устанавливается ПРОСТАЯ розетка. Если в схеме есть шлейфовые подключения, то ставятся ПРОХОДНЫЕ розетки и на КАЖДОМ конце обязательно ДОЛЖНА ставиться ОКОНЕЧНАЯ розетка. Мне эти заморочки претили, поэтому я решил не мудрствовать лукаво, ибо сплиттер стоит 200р, а розетка ~600р. То есть профит не был обнаружен.

4. Настройка и регистрация

Если всё подключено и разведено, то стоит переходить к настройке. В первую очередь надо определить место на небе, где находится спутник. Для этого могут помочь соответствующие программки: Satellite Antenna Alignment (для Windows), SatFinder (для Android) и Satellite Director (для Android). В принципе их можно использовать для предварительно настройки самой тарелки. Но я рекомендую использовать аппаратные Satelite Finder'ы, которые ставятся в разрыв между тарелкой и ресивером. Лично для себя на чердачке дядюшки Лю я купил следующие железяки: аналоговый и цифровой. Эти приборы фактически показывают наличие высокочастотного сигнала. Они не могут дать понять, какой именно спутник Вы "поймали", поэтому надо проверять что вы попали на нужны спутник по ресиверу (должна появиться шкала "качество сигнала"). Но если вышли на сектор нужного спутника, то этот прибор очень сильно поможет с настройкой, потому что он быстрее отражает изменения сигнала, нежели ресивер. По опыту могу сказать, что аналоговый мне понравился больше. Если же нужен прибор, который будет "настраиваться" на конкретный спутник, то стоит обратить внимание на устройство SF-500. Оно раз в 8 дороже. Но это уже более профессиональное устройство. Лично мне хватило и простого.

После того, как уровень сигнала и качество сигнала выберутся на уровень не менее 60-70%, можно заканчивать с настройкой тарелки и переходить к настройке ресивера. Для этого необходимо снять Satelite Finder с кабеля и подключить тарелку уже в ресивер напрямую. После этого можно начинать искать каналы. Если этого не сделать - ни один канал не будет найден.

Ну и в заключении - обязательно пройдите целиком процедуру регистрации приёмника. После этого оставьте ресивер включенным на зашифрованном канале. В течении 8 часов - всё должно заработать. У меня ожидание длилось 3 часа:)

Полезные ссылки:

1. Обеспечение защиты от падения при работах на высоте

2. Доминирующие индустриальные стандарты

3. Статьи по промышленному альпинизму

4. Legrand russia > Каталог > Valena > Механизм > Розетки TV/FM/SAT (3 выхода)

5. [форум] Розетка Legrand TV-SAT-R оконечная

6. [форум] TV-розетка Legrand - ухудшение приема?

7. [F.A.Q.] Телевизионные розетки Legrand

8. Розетки IKUSI manual

9. О спутниковом оборудовании

10. Настройка антенны Триколор ТВ на спутник Eutelsat 36A и 36B, 36 градусов восточной долготы, самостоятельно

Перенос виртуальных машин между разными системами VMware

2013-11-15T02:04:00.000-08:00

Задача следующая. Есть две системы VMware, которые состоят из двух хостов VMware и vCenter - каждая! Они никак между собой не связаны - даже DataStore разные - у каждой своя. Необходимо перевести виртуальную машину из одной системы в другую.

1. Разрешение SSH на ESXi-хосте

На vCenter никакого смыла заходить нет - это просто система управления. Поэтому заходим на консоль хоста ESXi и включаем SSH. Теперь можно подключиться удалённо к ESXi и поглядеть что там и как. Нас в первую очередь интересуют пути через datastore's к виртуальным машинам.

     - /vmfs
          - ./volumes
               - ./datastoreX
                    - ./vm-name

Именно тут располагаются все файлы виртуальных машин. Причём, что характерно, путь /vmfs/volumes/datastore1/ фактически является ссылкой на другой путь /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/, например.

2. Разрешение исходящих SSH-соединений на ESXi-хосте

По умолчанию исходящие SSH-соединения на ESXi-хосте запрещены. То есть попасть на ESXi по SSH можно, но уйти с него - нет. Всё это сделано в целях повышения безопасности обслуживания. Чтобы это поправить мы должны запилить соответствующее правило на брандмауэре ESXi.

esxcli network firewall ruleset set -e true -r sshClient

После этого уже можно работать с ESXi-хостами как угодно:

testuser@testhost:~> ssh -l root esxi1
The authenticity of host 'esxi1 (esxi1)' can't be established.
RSA key fingerprint is 2a:3e:a6:bf:87:21:98:36:a2:98:ba:cd:ff:3e:a2:05.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'esxi1' (RSA) to the list of known hosts.
Password:
The time and date of this login have been sent to the system logs.

VMware offers supported, powerful system administration tools. Please
see www.vmware.com/go/sysadmintools for details.

The ESXi Shell can be disabled by an administrative user. See the
vSphere Security documentation for more information.
~ #
~ #
~ #
~ # scp root@esxi2:/vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/vm-name/vmware.log /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/copy-vm-name/
root@esxi2's password:
vmware.log 100% 363KB 363.1KB/s 00:00
~ #

То есть мы можем спокойно скопировать виртуальную машину из абсолютно любого датастора в любой датастор. Единственный минус вылезает только в случае работы по FC - копирование идёт по Ethernet-сети.

Чтобы скопировать эти файлы в фоновом режиме можно воспользоваться nohup.

/vmfs/volumes/ # nohup scp root@esxi2:/vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/vm-name/vmware.log /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/copy-vm-name/ > nohup.out 2>&1

# PRESS CTRL+Z

[1] + Stopped (signal) scp root@esxi2:/vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/vm-name/vmware.log /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/copy-vm-name/ > nohup.out 2>&1

/vmfs/volumes/ # bg
[1] nohup scp root@esxi2:/vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/vm-name/vmware.log /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/copy-vm-name/ > nohup.out 2>&1

/vmfs/volumes/ # ps | grep scp
[1] + Done(1) nohup scp root@esxi2:/vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/vm-name/vmware.log /vmfs/volumes/3a3278b4d-8a647aa2-983a-7cab89e387da/copy-vm-name/ > nohup.out 2>&1

То есть запускаем копирование, выходим из режима по CTRL+Z, возобновляем по bg и можно спокойно разлогиниваться. Копирование выполнится как надо. Останется только проверить настройки VM и запускать.

Полезные ссылки:

1. Moving VM's in VMware ESXi via SSH

2. VMware ESXi 5.0 - SCP Fails with Connection Timeout Error

3. Trouble copying between ESXi 5.0 servers

4. scp as a background process

Как допилить свежеустановленный vsftpd, чтобы он заработал

2013-11-12T00:09:00.000-08:00

Посылом к этой записи послужил недавний случай, когда на свежий сервер был установлен vsftpd. И после блиц-конфигурации он не захотел нормально работать.

1. vsftpd.conf

Итак, первым делом надо править /etc/vsftpd.conf. Нас интересуют следующие опции.

chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list

Эти опции говорят что мы всех локальных пользователей chroot'им в их домашнем каталоге. И в файле /etc/vsftpd.chroot_list прописываем пользователей, которых НЕ CHROOT'ИМ! Я хочу чтобы croot'ились все пользователи, поэтому у меня файл пустой.

Следующая интересная опция в этом файле которая должна быть раскоментирована:

# PAM setting. Do NOT change this unless you know what you do!
pam_service_name=vsftpd

Имя сервиса может быть другое, в зависимости дистрибутива и ревизии пакета. Но данная строка должна быть раскомментирована, иначе при авторизации может появляться ошибка "530 Login incorrect".

2. пользовательские настройки

Кроме самого сервиса надо аккуратно подготавливать саму папку пользователя и его параметры. Начать стоит с обрезания ftp-пользователю консоли. Как правило пользователям, которые работают по ftp нет смысла заходить по консоли, то стоит им этот факт прописать в файле /etc/passwd.

testuser:x:1234:2345:Test user:/home/testuser:/bin/false

Затем необходимо подготовить домашнюю папку пользователя - убрать право пользователя на запись в корень его домашней папки.

chmod a-w /home/testuser

Если этого не сделать, то может появляться ошибка "500 OOPS: vsftpd: refusing to run with writable root inside chroot ()". То есть можно спокойно создать папку внутри домашнего каталога и там уже дать право на запись. И всё будет отлично работать. Как заверяют знающие люди - эта мера является данью безопасности системы.

Если мы создаём пользователей с нуля и только под пользование FTP, то можно сразу прописать все опции при создании.

useradd -m -s /bin/false -p <password> <username>

Полезные ссылки:

1. vsftpd Configuration Options

2. Настройка vsftpd. (ftp limit)

3. vsftpd login incorrect

4. vsFTPd 2.2.2+ (ext.1) Login incorrect

5. Fixing 500 OOPS: vsftpd: refusing to run with writable root inside chroot ()

6. The useradd Command

Типовая конфигурация для маршрутизатора Cisco в малом офисе

2013-11-11T05:00:00.000-08:00

Написать опус сподвигло полное отсутствие аналогов. То есть в сети присутствует множество тем и примеров, как надо строить сеть малого предприятия секьюрно, архитектурно правильно, чтобы присутствовала хорошая производительность и всё такое. НО! Все эти принципы никак не пересекаются в одном конфиге. То есть "Делаем NAT.." но без "VPN на Cisco", "Zone Based Firewall" но без VPN, NAT+VPN+ZBF но без Traffic Policing... Куча источников, куча материалов, куча конфигов - полный хаос. Причём, не спасает даже Cisco Validated Design. Чтобы решить этот вопрос хотя бы для себя, я и решил оформить всё это дело в блоге. Итак, каким требованиям должен отвечать мой конфиг:

сеть разделена на несколько фрагметов
фрагменты разделены между собой ZBF
присутствует гостевая сеть для беспроводных точек доступа, контроль над которыми нам не принципиален (у секретаря генерального гости берут логин/пароль и пока ждут приема могут лазить по интернету)
у гостевой сети скорость порезана traffic policing
настроен Site-toSite VPN на другое предприятие (группу предприятий). Снаружи ZBF режет любые попытки подключения по VPN от любых других узлов, кроме доверенных.

Теперь стоит определиться с оборудованием, которое чаще всего закупается для реализации всех этих целей. Тут варианта два: ISR G2 и ASA. Так как Remote Access VPN нужен в минимальных рамках без NAC и сложной проверки Remote Client, а Site-to-Site VPN в будущем будет переделан в DMVPN, то я для себя вижу только один вариант - ISR G2. Тут вариаций много, но мне ближе модели, которые имеют возможность установки 48-портового свитча и обрабатки телефонии. Из простых это 2921/2951, из средних - 3925(E)/3945(E), из серьёзных - 4451-X. Единственное, чем они отличаются - это производительность. Для меня малый офис ассоциируется с моделью 2951, поэтому я буду описывать конфигурацию непосредственно для неё.

1. Настраиваем подключение к модулю свитча

В моём примере 24-портовый свитч установлен в платоместо 1

Cisco2951#sh inventory
NAME: "CISCO2951/K9", DESCR: "CISCO2951/K9 chassis, Hw Serial#: FCZ11223344, Hw Revision: 1.1"
PID: CISCO2951/K9      , VID: V05 , SN: FCZ11223344

NAME: "SM-ES2-24: EtherSwitch SM L2 + 23 10/100 + 1 10/100/1000 on Slot 1", DESCR: "SM-ES2-24: EtherSwitch SM L2 + 23 10/100 + 1 10/100/1000"
PID: SM-ES2-24         , VID: V02 , SN: FOC22334455

NAME: "C2921/C2951 AC Power Supply", DESCR: "C2921/C2951 AC Power Supply"
PID: PWR-2921-51-AC    , VID: V03 , SN: QCS33445566

Этот модуль подключается двумя портами: G0/26 - к основному шасси на порт G1/0 (используется для управления), G0/25 - к MGF на порт G1/1 (используется для передачи трафика). Не будем сильно заморачиваться и настроим следующим образом.

## Cisco 2951
!
interface GigabitEthernet1/0
ip address 172.16.1.2 255.255.255.0
!
interface GigabitEthernet1/1
description Internal switch interface connected to Service Module
switchport mode trunk
no ip address
!
## Cisco SM-ES2-24
!
interface GigabitEthernet0/25
switchport mode trunk
!
interface GigabitEthernet0/26
!

К интегрированному свитчу можно подключиться по консоли и адрес 172.16.1.2 как раз используется для этого:

Cisco2951#service-module GigabitEthernet 1/0 session
Trying 172.16.1.2, 2067 ... Open

User Access Verification

Username: user
Password: password

SM-ES2-24>en
Password: password
SM-ES2-24#

Причем чтобы выйти обратно в консоль роутера надо использовать культовую комбинацию Ctrl+Shift+6 и затем X. У кого при этом переключается клава - сделайте два раза ;) К настройке свитча вернёмся чуть позже - сейчас важно отстроить логику.

2. Нарезаем фрагменты сети.

Первое, что нам необходимо сделать, это разделить трафик по функциональной нагрузке.

interface GigabitEthernet0/2
description outside
ip address 111.111.111.111 255.255.255.0
!
interface Vlan1
description inside
ip address 192.168.1.1 255.255.255.0
!
interface Vlan2
description User_LAN
ip address 192.168.2.1 255.255.255.0
!
interface Vlan3
description Server_LAN
ip address 192.168.3.1 255.255.255.0
!
interface Vlan4
description DMZ
ip address 192.168.4.1 255.255.255.0
!
interface Vlan5
description Printers_LAN
ip address 192.168.5.1 255.255.255.0
!
interface Vlan6
description Telephony_LAN
ip address 192.168.6.1 255.255.255.0
!
interface Vlan7
description Guest_LAN
ip address 192.168.7.1 255.255.255.0
!
interface Vlan8
description iLO_LAN
ip address 192.168.8.1 255.255.255.0
!
interface Vlan9
description iSCSI_LAN
ip address 192.168.9.1 255.255.255.0

Администраторы сети находятся в сети iLO_LAN, чтобы иметь прямой доступ к средствам управления. Если система хранения работает на FC, то сеть iSCSI_LAN не нужна. Тоже касается и DMZ_LAN. Гостевая сетка Guest_LAN используется для того, чтобы в неё запихнуть "неконтролируемую" точку доступа.

3. Настройка NAT

Здесь более менее всё стандартно.

interface GigabitEthernet0/2
description outside
ip nat outside
!
interface Vlan3
description Server_LAN
ip nat inside
...

Настроим доступ в интернет. Допустим, пользователи ходят в него через прокси, который расположен в серверной сети. Напрямую пользователи попасть в интернет не могут.

ip access-list extended servers-traffic
permit ip 192.168.3.0 0.0.0.255 any

ip nat inside source list servers-traffic interface GigabitEthernet0/2 overload

Это правило временное. После появления VPN надо будет делать исключения в NAT. По аналогии делается правило для гостевой сети. Больше никому доступ в интернет не должен понадобиться.

4. Zone-Based Firewall

Кардинальное отличие ZBF от CBAC в том, что первый по умолчанию блокирует, а второй - разрешает. То есть, разместив интерфейс в какой-либо зоне и не настроив никакого доступа - мы блокируем любой трафик. В случае CBAC, пока ACL не повешен на интерфейс - трафик свободно ходит.

zone security out-zone
zone security servers-zone
...
!
interface GigabitEthernet0/2
description outside
zone-member security out-zone
!
interface Vlan3
description Server_LAN
zone-member security servers-zone
...

После того, как все интерфейсы помещены в свои зоны, можно прописывать zone-pair. Но для того, чтобы её прописать, надо сначала описать все компоненты, которые в ней используются.

class-map type inspect match-any cm-servers-to-out-protocol
match protocol icmp
match protocol tcp
match protocol udp
!
class-map type inspect match-all cm-servers-to-out
match access-group name servers-traffic
match class-map cm-servers-to-out-protocol
!
policy-map type inspect pm-servers-to-out
class type inspect cm-servers-to-out
inspect
class class-default
drop
!
zone-pair security zp-servers-to-out source servers-zone destination out-zone
service-policy type inspect pm-servers-to-out

Теперь надо настроить правило в обратную сторону. В первую очередь это нужно для того, чтобы почтовый сервер мог не только отправлять сообщения, но и получать их. А если снаружи порт закрыт, то письма приходить не будут. Для этого надо сделать, во-первых, zone-pair, а, во-вторых, публикацию порта 25/TCP почтового сервера наружу посредством NAT.

ip access-list extended acl-out-to-mail-server
permit tcp any host 192.168.3.254 eq smtp
!
class-map type inspect match-all cm-out-to-mail-server
match access-group name acl-out-to-mail-server
!
policy-map type inspect pm-out-to-servers
class type inspect cm-out-to-mail-server
inspect
class class-default
drop
!
zone-pair security zp-out-to-servers source out-zone destination servers-zone
service-policy type inspect pm-out-to-servers
!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!
ip access-list extended acl-nonat-to-mail-server
permit tcp any host 192.168.3.254 eq smtp

route-map rm-nonat-to-mail-server permit 10
match ip address acl-nonat-to-mail-server

ip nat inside source static tcp 192.168.3.254 25 111.111.111.111 25 route-map rm-nonat-to-mail-server extendable

Важно отметить, что разрешения и выборка трафика осуществляются на основании внутреннего адреса. Что касаемо route-map, то я тоже был немного сконфужен необходимостью её использования в таком варианте выборки трафика. Но других вариантов мне просто не оставили:

Cisco2951(config)#ip nat inside source static tcp 192.168.3.254 25 111.111.111.111 25 ?
extendable Extend this translation when used
forced      Delete this entry and its children, even if in use
no-alias    Do not create an alias for the global address
no-payload No translation of embedded address/port in the payload
redundancy NAT redundancy operation
route-map   Specify route-map
vrf         Specify vrf
<cr>

5. Site-to-Site VPN

Малый офис как правило имеет подключение к основному офису. Приведу пример настройки самого простого соединения.
Сначала отстроим логический уровень - чтобы это "должно" было соединяться. Ясен пень, что пока доступ не расковыряем как надо, ничего соединяться не будет. Но в данном случае надо двигаться последовательно.

!!!!!! ISAKMP !!!!!!
!
crypto isakmp policy 10
encr aes 256
hash sha512
authentication pre-share
group 2
!
crypto isakmp key psk-for-vpn address 222.222.222.222
!
!!!!!! IPSEC !!!!!!
!
crypto ipsec transform-set AES256-SHA esp-aes 256 esp-sha-hmac
mode tunnel
!
!!!!!! CRYPTOMAP !!!!!!
!
ip access-list extended vpn-to-hq

permit ip 192.168.3.0 0.0.0.255 host 192.168.33.254
permit ip host 192.168.3.254 192.168.55.0 0.0.0.255
!
crypto map OUTSIDE 4 ipsec-isakmp
set peer 222.222.222.222
set transform-set AES256-SHA
set pfs group2
match address vpn-to-hq
!

Вроде бы осталось только повесить криптомапу на внешний интерфейс и расслабиться, но мы то уже безопасность накрутили. Так что придётся сначала всё привести в соответствие. Начнём с NAT. Надо исключить из трансляции трафик, который приходит к нам из VPN. В этом случае метаморфоза будет выглядеть следующим образом:

ip access-list extended servers-traffic
permit ip 192.168.3.0 0.0.0.255 any

ip nat inside source list servers-traffic interface GigabitEthernet0/2 overload
!
! TRANSFORM TO ...
!
ip access-list extended nonat-vpn-servers-traffic
deny   ip any 10.0.0.0 0.255.255.255
deny   ip any 172.16.0.0 0.15.255.255
deny   ip any 192.168.0.0 0.0.255.255
permit ip 192.168.3.0 0.0.0.255 any

ip nat inside source list nonat-vpn-servers-traffic interface GigabitEthernet0/2 overload

Теперь очередь ZBF. Так как трафик приходит снаружи, то надо изменить/добавить ряд правил для зоны OUT.

ip access-list extended acl-vpn-hq-to-servers
permit ip host 192.168.33.254 192.168.3.0 0.0.0.255
permit ip 192.168.55.0 0.0.0.255 host 192.168.3.254
!
class-map type inspect match-any cm-vpn-hq-protocol
match protocol icmp
match protocol tcp
match protocol udp
!
class-map type inspect match-all cm-vpn-hq-to-servers
match access-group name acl-vpn-hq-to-servers match class-map cm-vpn-hq-protocol
!
policy-map type inspect pm-out-to-servers
class type inspect cm-vpn-hq-to-servers
inspect
class type inspect cm-out-to-mail-server
inspect
class class-default
drop
!

Итак, исходящий трафик был сконфигурирован в самом начале, входящий трафик сконфигурировали только что. С NAT разобрались. Перед финальным аккордом осталось только одно - сделать так, чтобы роутер мог В ПРИНЦИПЕ принимать VPN-пакеты.

ip access-list extended acl-hq-to-self
permit udp host 222.222.222.222 any eq isakmp non500-isakmp
!
class-map type inspect match-any cm-hq-to-self-protocol
match protocol icmp
match protocol tcp
match protocol udp
!
class-map type inspect match-all cm-hq-to-self
match access-group name acl-hq-to-self
match class-map cm-hq-to-self-protocol
!
policy-map type inspect pm-out-to-self
class type inspect cm-hq-to-self
inspect
class class-default
drop
!
zone-pair security zp-hq-to-self source out-zone destination self
service-policy type inspect pm-out-to-self

Только после такого рода подготовки можно заходить на внешний интерфейс и вешать на него криптомапу.

interface GigabitEthernet0/2
description outside
crypto map OUTSIDE

6. Ограничение скорости для гостевой сети.

Так как пользователей в гостевой сети особо никто не контролирует, то мы им обрубаем трафик везде, кроме интернета. Но, что если гости заходят посмотреть Youtube? В лучшем случае, это увеличит нагрузку на канал. В худшем, они могут "съесть" весь канал. Чтобы этого не допустить, лучше "зарезать" канал до приемлемого значения.

policy-map type inspect pm-guests-to-out
class type inspect cm-guests-to-out
inspect
police rate 5242880 burst 655360
class class-default
drop

В данном примере канал "урезан" до 5Мбит/с. Этого вполне достаточно для комфортной работы в Интернет. Можно пропорционально изменить значения в зависимости от поставленной задачи. Как лучше резать трафик и как именно он режется на оборудовании можно ознакомиться в полезных ссылках.

7. Небольшие системные настройки

Для нормальной работы железяки необходимо, чтобы она нормально получала время по NTP. Прописывать сервера по IP не особо интересно, поэтому лучше сделать это по имени.

clock timezone ZP6 6 0
ntp master 3
ntp server 1.ru.pool.ntp.org
ntp server 0.ru.pool.ntp.org
ntp server 3.ru.pool.ntp.org
ntp server 2.ru.pool.ntp.org

Здесь есть два нюанса. Во-первых, роутер должен нормально разрешать имена. Через внутренний DNS или внешний не принципиально. Главное чтобы это было. Для этого надо с интерфейса self дать доступ на интерфейс out по протоколу domain.

permit udp any host 8.8.8.8 eq domain

Я предпочитаю делать через внешний так как... во-вторых, надо с интерфейса self дать доступ на интерфейс out по протоколу ntp. Чтобы сделать всё однотипно проще сделать сразу одну policy-map на оба доступа.
В заключении, надо чётко ограничить доступ на роутер по ssh. При поставке железо уже преднастроено, поэтому я предпочитаю допиливать уже настроенный доступ.

access-list 23 permit 192.168.8.0 0.0.0.255
!
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input ssh
line vty 5 15
access-class 23 in
privilege level 15
login local
transport input ssh

В заключении хотел бы сказать, что все эти действия производятся СТРОГО до подключения оборудования в рабочую сеть и к провайдеру. В случае пренебрежения техникой безопасности возможны различные конфузы и неприятности.

Полезные ссылки:

1. EtherSwitch Service Module (ES) Configuration Example

2. Cisco Enhanced EtherSwitch Service Modules Configuration Guide

3. Cisco ISR G2 Multi Gigabit Fabric

4. Маршрутизаторы с интегрированными сервисами нового поколения Cisco ISR G2
5. Cisco Connected Branch-Office-in-a-Box Design Guide

6. Zone-Based Policy Firewall Design and Application Guide

7. [XGU.RU] Zone-Based Policy Firewall
8. NAT Errors - Static entry in use, cannot remove
9. Configuring a VPN Using Easy VPN and an IPSec Tunnel
10. Site-to-Site and Extranet VPN Business Scenarios
11. [XGU.RU] Cisco IOS Site-to-Site VPN
12. %CRYPTO-4-RECVD_PKT_MAC_ERR: decrypt: mac verify failed for connection
13. Syslog "%CRYPTO-4-RECVD_PKT_MAC_ERR:" Error Message with Ping Loss Over IPsec Tunnel Troubleshooting
14. Cisco Type 7 password tool
15. Troubleshooting IPSec VPNs
16. Comparing Traffic Policing and Traffic Shaping for Bandwidth Limiting
17. Cisco - rate-limit & traffic-shape pptp - unlim 64k, 128k ...

Знакомство с Cisco Universal Image

2013-07-03T00:51:00.000-07:00

Совсем недавно привезли оборудование с новым механизмом лицензирования - Universal Image. Если раньше список функций оборудования зависел от того, какая на оборудовании залита прошивка. То теперь прошивка заливается одна, а функции активируются посредством установки лицензионного файла. По-умолчанию, работает базовая лицензия - в моём случае это LAN Base.

Switch#sh license image levels
Module name        Image level Priority Configured Valid license
--------------------------------------------------------------------
WS-X45-SUP7L-E     entservices 1         NO          entservices
                                 ipbase      2         NO          ipbase
                                 lanbase      3         NO          lanbase

Module Name        Role           Current Level     Reboot Level
--------------------------------------------------------------------
WS-X45-SUP7L-E Active           lanbase             lanbase
                              Standby        lanbase             lanbase

Чтобы перейти на другую версию, я обратился в TAC, переслал им все PAK и получил от них лицензионный файл. После этого, я сбросил его на bootflash: и установил:

Switch#dir usb0:
Directory of usb0:/

   37 -rwx        1144   Jul 2 2013 18:46:42 +00:00 FXS1712Q34Q_201307022246385540.lic

4042264576 bytes total (4042256384 bytes free)

Switch#copy usb0:FXS1712Q34Q_201307022246385540.lic bootflash:
Destination filename [FXS1712Q34Q_201307022246385540.lic]?
Copy in progress...C
1144 bytes copied in 0.212 secs (5396 bytes/sec)

Switch#license install bootflash:FXS1712Q34Q_201307022246385540.lic
Installing licenses from "bootflash:FXS1712Q34Q_201307022246385540.lic"
Installing...Feature:ipbase...Successful:Supported
1/1 licenses were successfully installed
0/1 licenses were existing licenses
0/1 licenses were failed to install

Switch#
*Jul 2 23:23:41.446: %LICENSE-6-INSTALL: Feature ipbase 1.0 was installed in this device. UDI=WS-C4507R+E:FXS1712Q34Q:Active; StoreIndex=0:Primary License Storage
Switch#
Switch#sh license image levels
Module name          Image level Priority Configured Valid license
--------------------------------------------------------------------
WS-X45-SUP7L-E   entservices   1           NO            entservices
                 ipbase           2             NO            ipbase
                     lanbase     3             NO            lanbase

Module Name   Role           Current Level     Reboot Level
--------------------------------------------------------------------
WS-X45-SUP7L-E Active         lanbase           ipbase
                               Standby      lanbase         ipbase

Чтобы изменения вступили в силу надо перегрузить ЦЕЛИКОМ коммутатор.

Switch#redundancy reload shelf

После перезагрузки проверяем, что лицензия встала корректно.

Switch#sh license image levels
Module name           Image level Priority Configured Valid license
--------------------------------------------------------------------
WS-X45-SUP7L-E     entservices 1             NO       entservices
                                 ipbase          2             NO             ipbase
                                 lanbase        3           NO             lanbase

Module Name    Role           Current Level     Reboot Level
--------------------------------------------------------------------
WS-X45-SUP7L-E Active         ipbase         ipbase
                              Standby      ipbase                 ipbase

Пользительные ссылки:

Телефония для филиалов - AVAYA, CME и Asterisk

2013-06-24T22:28:00.000-07:00

В прошлом году я ходил на обучение по телефонии AVAYA и совсем недавно сходил поучиться на телефонию от Cisco. Если вся ваша телефония работает либо ТОЛЬКО на Cisco, либо только на AVAYA, то всё будет работать хорошо. Но что если часть системы работает на Cisco, а часть на AVAYA? Ясен пень, что если позволяют финансы, то стоит всё привести к единому знаменателю вне зависимости от вендора. Но что если произвести такую миграцию единомоментно не представляется возможным? Предлагаю рассмотреть два примера:

есть основной офис в котором стоит полноценная AVAYA с CM. И есть куча филиалов, в которых стационарных телефонов нет - только мобильная связь. Количество пользователей как правило два - охранник и дежурный инженер. И центральный офис и филиал подключены к Интернет. Только филиалы подключены по радиорелейке.
есть основной офис, в котором стоит полноценная AVAYA с CM. И есть небольшое количество филиалов, в которых работает до 50 человек. Телефонная связь работает на доисторической аналоговой АТС. Есть выход в город - FXO или E1. Связь с Интернет по радиорелейке или ещё как-либо. Не принципиально.

Пример №1

В данном примере всё можно решить путём установки в филиал что-то типа Cisco 880-й серии. DMVPN (или FlexVPN) до центрального офиса. В филиалах IP-телефоны AVAYA типа 1608 или 9620. Через DHCP-опцию 242 выдавать им все необходимые параметры для подключения по VPN до AVAYA CM.

Помехи или отвал радиорелейки приводит к отсутствию телефонии - приемлемо.

Пример №2

Здесь уже немного поинтересней. Нам уже нужна связь внутри филиала в случае отвала канала в Интернет. Нужен выход "в город" в филиале. Это уже ведёт с более-менее интеллектуальной железке. И здесь уже всё зависит от наличия финансов и готовности их инвестировать.

Дешёвый вариант - Asterisk

Можно взять сервер, установить в него плату с портами FXO или E1, и настроить Asterisk. В качестве телефонов можно взять что подешевле. Главное чтобы работало по SIP и регистрировалось на Asterisk. Если есть планы на расширение количества пользователей, предоставляемых им функций и прочего, можно взять телефоны AVAYA 1608 или 9620. И уже их регистрировать на астериске. Все параметры передаём через 242 опцию DHCP. Если будет расширение, то вместо астериска можно поставить решение от AVAYA в виде media gateway с ESS/LSP/SLS.

; /etc/asterisk/sip.conf

[general]
bindport=5060
bindaddr=192.168.222.222
srvlookup=no

; ext 2001
[2001]
callerid=X-lite
type=friend
host=dynamic
secret=xlitesecret
context=internal
mailbox=2001@default
callgroup=1
pickupgroup=1
dtmfmode=rfc2833
nat=no

; ext 2002
[2002]
port=5060
callerid=AVAYA 9620
type=friend
host=dynamic
secret=27238
context=internal
mailbox=2002@default
callgroup=1
pickupgroup=1
dtmfmode=rfc2833
nat=no ; иначе не регистрируется

; /etc/asterisk/extensions_custom.conf

[internal]
; Calls between employees (between extensions)
exten => _XXXX,1,Dial(SIP/${EXTEN})

; Calls to ext 2001
exten => 2001,1,Dial(SIP/2001,20)
exten => 2001,n,VoiceMail(2001,u)
exten => 2001,n,Hangup

; Calls to ext 2002
exten => 2002,1,Dial(SIP/2002,20)
exten => 2002,n,Hangup

Средний вариант - Cisco Call Manager Express

В нашей стране нет ничего более постоянного чем временное. Именно поэтому иногда стоит выбирать что-то среднее. В данном случае можно взять Cisco 2900-й серии с платой E1 (или FXO), необходимым количеством DSP плат и VOICE лицензией для поднятия CME. Телефоны теже, что и выше - 1608 или 9620. Регистрируем их на CME через SIP registrar - параметры для телефонов передаём через DHCP-опцию 242.

option 242 ascii "HTTPSRVR=192.168.111.111,HTTPPORT=80,ENABLE_AVAYA_ENVIRONMENT=0,SIP_CONTROLLER_LIST 192.168.222.222:5060;transport=udp,DATEFORMAT=%d/%m/%Y,TIMEFORMAT=1,GMTOFFSET=4:00,DSTOFFSET=0,LLDP_ENABLED=1"

Лучше всего продублировать часть опций через через TFTP/HTTP-сервер - 46xxsettings.txt.

SET SIP_CONTROLLER_LIST 192.168.222.222:5060;transport=udp
SET ENABLE_AVAYA_ENVIRONMENT 0
SET CODEC_LIST g711a,g711u,g729
SET SYSTEM_LANGUAGE Mlf_Russian.xml
SET LANGUAGES Mlf_English.xml,Mlf_Russian.xml
SET DATEFORMAT %d/%m/%Y
SET TIMEFORMAT 1
SET GMTOFFSET 4:00
SET DSTOFFSET 0

Почему именно телефоны AVAYA - в центральном офисе как правило на складе всегда есть запас телефонов. В филиалах его держать не всегда есть смысл. Поэтому, в случае отказа телефонов в филиалах, можно взять телефон из ЦО и временно поставить. Филиал в это время спокойно без лишней спешки заказывает (или ремонтирует) новый аппарат, который может идти хоть месяц. То есть получается небольшая "подушка".

Если такое резервирование не особо нужно, то можно использовать телефоны Cisco, например, Cisco 7911 (другого аппарата под рукой для тестов у меня просто не было). Они будут более корректно работать с CME. Кроме того, они вроде как должны быть подешевле. В случае крайнего дефицита средств можно использовать программный SIP-телефон X-Lite. Я приведу конфигурацию для всех трёх случаев - AVAYA 9620, Cisco 7911 и X-Lite.

Cisco 2900 настраивается следующим образом:

option 150 ip 192.168.222.222 ! указываем TFTP сервер где будет лежать конфигурация и прошивка для Cisco 7911

voice service voip
allow-connections h323 to h323 ! здесь разрешаем все виды звонков - мало что надо будет регистрировать
allow-connections h323 to sip
allow-connections sip to h323
allow-connections sip to sip
sip ! режим конфигурации SIP
bind control source-interface FastEthernet0/0 ! интерфейс для маркировки пакетов сигнализации
bind media source-interface FastEthernet0/0 ! интерфейс для маркировки пакетов с голосом
registrar server ! говорим чтобы циска работала как Registrar-сервер

voice register global ! включает поддержку SIP телефонов
mode cme ! режим работы CME
source-address 192.168.222.222 port 5060 ! IP адрес для регистрации
max-dn 10 ! максимальное число абонентских номеров
max-pool 5 ! максимальное число телефонов
load 7911 SIP11.9-2-1S ! прошивка SIP для телефона Cisco 7911
timezone 34 ! Московское время +240 минут
time-format 24 ! Формат времени 24 часовой
date-format D/M/Y ! Формат даты день/месяц/год

voice class codec 1 ! определяем список разрешённых кодеков для аппаратных телефонов
codec preference 1 g711alaw
codec preference 2 g711ulaw
codec preference 3 g729r8
codec preference 4 g729br8

voice register dn 1 ! телефонная линия 1 для Cisco 7911
number 2001 ! номер 2001
name Cisco-7911-Line1 ! что будет высвечиваться на экране телефона и при вызове на другой стороне

voice register dn 2
number 2002
name X-Lite-Line1

voice register dn 3
number 2003
name Avaya-9620-Line1

voice register pool 1 ! данные для регистрации клиента Cisco 7911
id mac 0023.0434.5BE9 ! реальный мак-адрес аппарата циско. Он по нему регистрируется
type 7911 ! тип телефона для передачи часового пояса, формата даты и т.д.
number 1 dn 1 ! на первую линию вешаем линию 1
voice-class codec 1 ! какие кодеки используем
username 2001 password cisco ! на всякий случай
description Cisco-7911

voice register pool 2 ! данные для регистрации программного клиента X-Lite
id mac 1111.2222.3333 ! произвольный мак-адрес, так как регистрируемся по логину и паролю
number 1 dn 2 ! на первую линию вешаем линию 2
username xlite password cisco ! данные для регистрации на CME
codec g711alaw ! использовать строго этот кодек
description X-Lite
!
voice register pool 3 ! данные для регистрации аппаратного клиента AVAYA 9620
id mac 2CF4.C54F.3B74 ! реальный мак-адрес - на всякий случай
number 1 dn 3 ! на первую линию вешаем линию 3
voice-class codec 1 ! какой набор кодеков используем
username 2003 password 27238 ! данные для регистрации на CME
description Avaya-9620

! далее заливаем файлы для русификации на флешку и публикуем на встроенном TFTP-сервере
tftp-server flash:/its/Russian_Russia/7921-dictionary.xml alias Russian_Russia/7921-dictionary.xml
tftp-server flash:/its/Russian_Russia/7921-font.dat alias Russian_Russia/7921-font.dat
tftp-server flash:/its/Russian_Russia/7921-kate.utf-8.xml alias Russian_Russia/7921-kate.utf-8.xml
tftp-server flash:/its/Russian_Russia/7921-kate.xml alias Russian_Russia/7921-kate.xml
tftp-server flash:/its/Russian_Russia/CME-locale-ru_RU-Russian-8.8.2.5.tar.cfg alias Russian_Russia/CME-locale-ru_RU-Russian-8.8.2.5.tar.cfg
tftp-server flash:/its/Russian_Russia/be-sccp.jar alias Russian_Russia/be-sccp.jar
tftp-server flash:/its/Russian_Russia/be-sip.jar alias Russian_Russia/be-sip.jar
tftp-server flash:/its/Russian_Russia/cin-sip.jar alias Russian_Russia/cin-sip.jar
tftp-server flash:/its/Russian_Russia/g3-tones.xml alias Russian_Russia/g3-tones.xml
tftp-server flash:/its/Russian_Russia/g4-tones.xml alias Russian_Russia/g4-tones.xm
tftp-server flash:/its/Russian_Russia/gb-sccp-sip.jar alias Russian_Russia/gb-sccp-sip.jar
tftp-server flash:/its/Russian_Russia/gd-sip.jar alias Russian_Russia/gd-sip.jar
tftp-server flash:/its/Russian_Russia/gh-sip.jar alias Russian_Russia/gh-sip.jar
tftp-server flash:/its/Russian_Russia/gp-sccp.jar alias Russian_Russia/gp-sccp.jar
tftp-server flash:/its/Russian_Russia/gp-sip.jar alias Russian_Russia/gp-sip.jar
tftp-server flash:/its/Russian_Russia/ipc-sccp.jar alias Russian_Russia/ipc-sccp.jar
tftp-server flash:/its/Russian_Russia/ipc-sip.jar alias Russian_Russia/ipc-sip.jar
tftp-server flash:/its/Russian_Russia/lk-sip.jar alias Russian_Russia/lk-sip.jar
tftp-server flash:/its/Russian_Russia/mk-sccp.jar alias Russian_Russia/mk-sccp.jar
tftp-server flash:/its/Russian_Russia/mk-sip.jar alias Russian_Russia/mk-sip.jar
tftp-server flash:/its/Russian_Russia/rp-sccp.jar alias Russian_Russia/rp-sccp.jar
tftp-server flash:/its/Russian_Russia/rtl-sccp.jar alias Russian_Russia/rtl-sccp.jar
tftp-server flash:/its/Russian_Russia/tags_file alias Russian_Russia/tags_file
tftp-server flash:/its/Russian_Russia/tc-sccp.jar alias Russian_Russia/tc-sccp.jar
tftp-server flash:/its/Russian_Russia/tc-sip.jar alias Russian_Russia/tc-sip.jar
tftp-server flash:/its/Russian_Russia/td-sccp.jar alias Russian_Russia/td-sccp.jar
tftp-server flash:/its/Russian_Russia/td-sip.jar alias Russian_Russia/td-sip.jar
tftp-server flash:/its/Russian_Russia/utf8_tags_file alias Russian_Russia/utf8_tags_file

! тоже самое проделываем с файлами SIP-прошивки для Cisco 7911
tftp-server flash:/its/SIP11.9-2-1S.loads alias SIP11.9-2-1S.loads
tftp-server flash:/its/apps11.9-2-1TH1-13.sbn alias apps11.9-2-1TH1-13.sbn
tftp-server flash:/its/cnu11.9-2-1TH1-13.sbn alias cnu11.9-2-1TH1-13.sbn
tftp-server flash:/its/cvm11sip.9-2-1TH1-13.sbn alias cvm11sip.9-2-1TH1-13.sbn
tftp-server flash:/its/dsp11.9-2-1TH1-13.sbn alias dsp11.9-2-1TH1-13.sbn
tftp-server flash:/its/jar11sip.9-2-1TH1-13.sbn alias jar11sip.9-2-1TH1-13.sbn
tftp-server flash:/its/term06.default.loads alias term06.default.loads
tftp-server flash:/its/term11.default.loads alias term11.default.loads

В результате проделанных манипуляций все три типа телефона нормально зарегистрируются и будут работать.

Данные по Dial-peer и Translation-Rule прописываются в зависимости от задач телефонистов. Как правило для каждой компании они свои. Со стороны AVAYA также настраивается H.323 транк в сторону CME. После чего звонки нормально будут проходить между центральным офисом и филиалом.
В случае если будет принято решение о расширении или понадобятся дополнительные функции, то можно будет перейти к Дорогому Варианту

Дорогой вариант - AVAYA ESS/LSP/SLS

Если позволяют финансы или появилась критичная необходимость поддержки расширенного функционала, то можно поставить AVAYA Media Gateway в связке с сервером управления. Сервер может работать в нескольких режимах:

SLS (Standard Local Survivability) - в отличии от LSP и ESS, не требует установки серверов типа S8300 в Media Gateway.
LSP (Local Survivable Processor) - обеспечивает работоспособность шлюзов малого и среднего филиалов. В отличие от SLS, LSP предоставляет полную функциональность CM и обеспечивает полную трансляцию основного рабочего режима.
ESS (Enterprise Survivable Server) - в отличие от LSP, ESS может обеспечить поддержку всей корпоративной сети. Иными словами, ESS является сетевым дублирующим процессором.

Более подробно остановимся на SLS. Сервисы, которые работают в режиме SLS:

Вызовы аналоговых, цифровых и IP телефонов.
Транковые интерфейсы ISDN BRI/PRI.
Не ISDN цифровой DS1 транковый интерфейс.
Исходящие вызовы через локальную телефонную сеть общего доступа с использованием аналоговых, цифровых и IP телефонов.
Входящие вызовы через каждый транк на заранее выбранные локальные аналоговые, цифровые и IP телефоны (зарегистрированные).
DID
Несколько call-appearance
Функции удержания и перевода (transfer) вызова.
Функция закрывания дверей.
Локальные тоны (вызова, занятости и.т.д.)
Безопасный пропуск трансфера (ETR) при падения питания
Автоматическая регистрация на главный MGC (media gateway controller)
Регистрация IP телефонов.

Доступная функциональность при обработке вызовов в SLS режиме. :

Ограниченная маршрутизация исходящих вызовов через таблицу Survivable ARS и таблицу классов ограничения (COR)
Маршрутизация входящих вызовов одним из следующих трех способов:
А) Используя форму «входящая маршрутизация» (Incoming-Routing)
Б) Используя поле «установка место назначения входящего» (Set Incoming-Destination) в форме «транковая группа» (trunk group), которое позволяет направить вызов на заданный внутренний номер (station)
В) Используя входящую маршрутизацию на заранее определенный набор номеров (station). Поле Survivable Trunk Dest? Используется циркулярный алгоритм поиска.
Коды доступа к функциям CM – ARS, закрытие дверей, удержание.
Работа как H323 Gatekeeper, что позволяет осуществлять регистрацию IP телефонов.
DID
Несколько call appearance
Перевод и удержание
Закрытие дверей.
CDR
Набор TAC
Не ISDN DS1 транки (с in-band сигнализацией)
ISDN PRI/BRI транки:
А) T1 robbed-bit. Все 24 канала работают как транки без полной 64 kbps передачи
Б) E1 CAS. Все 31 каналы работают как транки с полной 64 kbps передачей.

Неподдерживаемый в SLS функционал

Не ISDN сигнализация:
А) DMI BOS сигнализация для T1 и E1.
Б) R2-MFC сигнализация для E1
Вывод на дисплэй аппаратов информации о номере и имени звонящего
АОН при исходящих вызовах с аналоговых аппаратов
АОН при входящих вызовах по аналоговым транкам
Конференция
Набор последнего номера.
Переадресация по занятости/неответу
Музыка на удержании.
Функции call-center, включая ASAI
Сохранение соединения Failover/Failback для h.248 шлюзов.

Соответственно, в зависимости от потребностей можно выбрать любой из вариантов. Как правило, филиалам до 50 человек вполне хватает функциональности SLS.

Полезные ссылки:

1. Использование SIP телефонов третьего производителя с Call Manager Express

2. Примеры конфигурации Cisco CME

3. Блог инструктора Cisco Дмитрия Бенды (CCSI#33268)

4. Обсуждение на форуме Avaya 9620 + asterisk

5. Installing AsteriskNOW
6. Asterisk CLI
7. Asterisk Compatible E1/T1 cards
8. Asterisk Basic Configuration Example
9. Asterisk Quick Start Guide

Обучение по AVAYA. Часть 1

2013-05-20T22:13:00.001-07:00

Как старый склеротик, я постоянно боюсь что забуду то, чему меня обучали на курсах. Поэтому я всё постоянно записываю. В данном случае обучение было по телефонии AVAYA. Немного не моя тема, но было весьма полезно поучиться.

Материал

Переход от аналогового сигнала к цифровому осуществляется при помощи кодека (кодирование-декодирование). Основной кодек в телефонии PCM (Pulse Code Modulation) - Импульсно-Кодовая Модуляция.

Принцип работы - измерение аналогового сигнала через равные промежутки времени и привязка измеренного значения к дискретной шкале.

Теорема Котельникова (критерий Найквиста) гласит, что для точного восстановления сигнала с полосой частот 0 ... F Гц, частота дискретизации (моментов измерения сигнала) должна быть 2F. Количество уровней амплитуды (уровней квантования) определяется экспертами субъективной оценкой качества звучания. Обычно количество уровней квантования равно 2 в степени N:

CD качество: 2^16 = 65,536
Хорошее качество: 2^12 = 4,096

Закон компандирования (Companding = Compression + Expanding) - нелинейное преобразование сигнала. Он позволяет использовать меньше уровней квантования. Так как человек плохо различает слабые сигналы, то тихие сигналы кодируются часто, средние - нормально, а громкие - редко. Это позволяет значительно улучшить качество сигнала сохранив количество уровней измерения сигнала. 2^8=256 уровней с компандированием на слух воспринимается как 2^13=8192 уровней. При этом соотношение сигнал/шум около 40 dB.

Кодек G.711:

Регламентирующий документ - ITU-T G.711
Компандирование: A-law (большинство стран мира, Европа и Россия) и U-law (Америка, Япония и их последователи)
Назначение - телефонные каналы с диапазоном частот 0,3 ... 3,4 кГц
256 уровней измерения сигнала - 8 бит
Частота дискретизации по теореме Котельникова - 8кГц
Скорость "основного цифрового канала" - 8кГц х 8бит = 64кБит/с

A-law и U-law

Диапазон амплитуд сигнала делится на 7 (A-law) или 8 (U-law) сегментов.

Размер сегмента вблизи нуля самый маленький, каждый следующий в два раза больше:

A-law- 1 сегмент делится на 32 части, остальные на 16 частей
U-law - все сегменты делятся на 16 частей

Для каждого цифрового канала указывается закон компандирования. При соединении двух каналов с разными законами происходит конвертация по таблицам описанным в стандарте. При двойном преобразовании происходит потеря в качестве связи, что приводит к ошибкам в работе факсов и модемов.

Мультиплексирование - применение уплотнения при использовании одного физического канала для нескольких сеансов одновременно.

При использовании Time Division Multiplexing (Временное мультиплексирование) с частотой 8кГц передаются не 8 бит, а 8хN бит, где N - число каналов. Общая скорость передачи в канале с временным мультиплексированием равна 8x8xN кБит/с. При этом часть каналов резервируется для передачи синхронизации и сигнализации.

Например, в канале Е1:

0-й тайм-слот используется для синхронизации

D-й тайм-слот отдельно назначается для сигнализации

64бит/с на 32 тайм-слота = 2Мбит/с

DS0 (Digital Signal Level 0) - 8бит х 8кГц = 64кбит/с

DS1 E1(европейский стандарт) - 32 х DS0(64кбит/с) = 2048кбит/с

DS1 T1(американский стандарт) 24 x DS0(64кбит/с) = 1544кбит/с

Развитие телефонных станций

Телефонная станция Definity (выпускалась до 2005 года)

процессор - RISE
Операционная система - Oryx/Pecos
Программное обеспечение - ACP (Avaya Call Processing)

Процессорные комплекс (Switch Processing Element) - набор плат, который обеспечивает обработку вызовов, измерения, обслуживание и администрирование:

CSI (младшая модель) - не поддерживает резервирование. Возможна только одна PN
SI (средненькая модель) - поддерживает резервирование. Возможно объединение до 3 PN оптикой
R (старшая модель) - с резервированием. Допускает объединение до 44 PN оптикой (через CSS), E1 потоками, ATM сетью (КАКОЙ АНАХРОНИЗМ!!!)

Кабинеты бывают в зависимости от количества платомест:

Compact Modular Cabinet (CMC) - 10 платомест, только для систем CSI, до 3 CMC в единственном PN, SPE занимает первые два платоместа в первом кабинете, остальные - универсальные.
Single Carrier Cabinet (SCC) - однополочный кабинет, от 16 до 18 универсальных платомест, в зависимости от типа кабинета, предназначен для систем SI и R, до 4 SCC в каждом PN
Multi Carrier Cabinet (MCC) - многополочный кабинет, состоит из пяти полок, от 9 до 20 универсальных платомест в каждой полке, в зависимости от её вида, предназначен для систем SI и R.

TDM шина (TDM bus) - общий синхронный интерфейс, которые соединяет все платы в коммутационное поле. Она обеспечивает до 242 одновременных двусторонних соединений:

TDM шина состоит из шина А и шина Б => 256 + 256 = 512
20 слотов под управляющую информацию - протокол CCMS => 512 - 20 = 492
7 слотов под TONE/CLOCK. Эти тональные сигналы играются на всех одновременно - сигнал "занято", "длинный гудок"... => 492 - 7 =485
Один разговор занимает 2 таймслота => 485 / 2 = 242

Одна конференция занимает количество таймслотов по числу участников. В конференции можно собрать не более 6 человек. Платы подключаются последовательно, и на концах требуются терминаторы. Одновременно передавать информацию в слот шины может только один порт, а принимать могут несколько портов.
Пакетная шина (Packet bus) - передаёт сообщения с плат SPE, а также сообщения пакетных протоколов ISDN и IP. Она нужна для того, чтобы разгрузить TDM. В кабинетах СМС пакетная шина эмулируется через TDM шины:

Она занимает 16 таймслотов шины TDM.
Сразу снижается количество одновременных соединений до 234.
Поддерживает не более 8-ми ISDN потоков, не работает плата BRI-U-интерфейс.
Ограничения снимаются установкой дополнительного пакетного контроллера (плата TN799 C-LAN)

Сеть портов (Port Network) - совокупность портов, объединённых посредством TDM шины.

Processor PN (PPN) - сеть портов, в которой есть SPE
Expansion PN (EPN) - сеть портов расширения, без SPE просто для увеличения ёмкости станции или создания выноса.

При соединении при помощи Expansion bus появляется ограничение на 242 одновременных разговора при звонках из одного PN в другой. Эти ограничения не объединяются с ограничением 242 разговора на PN.

Платы (Circuit Packs)

Все платы делятся на управляющие и универсальные. Управляющие платы (SPE и конроля EPN) ставяться ТОЛЬКО в предназначенные для них порты и не поддерживают горячую замену. Универсальные платы (абонентская емкость, внешние линии и различные сервисные платы) ставятся в любые платоместа в любых лицензионно разрешённых сочетаниях. Нет ограничений на комбинацию и соседство универсальных плат. Они поддерживают горячую замену, за исключением плат с собственной ОС и HDD.
Световая индикация:

красный - ошибка
зелёный - тестирование
желтый - активные порты, режим работы

Стандартный типоразмер 200х330мм. Стандартный 200pin разъём. Имеют защиту от статического электричества. На некоторых блоках защёлка с выключением.
Обозначение плат TN1234A/B/C/D v13:

A/B/C/D - поколение плат
v13 = vintage - версия hardware и firmware
серийный номер: первый две цифры - год выпуска платы

Большинство современных плат имеют аппаратную (HW) и программную (FW) версию ПО:

индекс P в названии: TN799DP, TN2464BP, TN2302AP, TN2501AP
HW08 + FW06 = v14
прошивку (FW) можно перезаливать по IP

Детальное описание плат можно найти в документе Avaya Aura Communication Manager Hardware Description and Reference.

Портовые платы
Платы для G430/G450 имеют именование MM7xx. Исторически они создавались для G700, но значительно его пережили.
Абонентские платы:

аналоговые телефоны (TN793, TN2793)
DCP (TN2214, TN2181) - протокол для цифровых телефонов AVAYA
ISDN BRI:
- TN556 (ISDN BRI S/T) - 4х проводные телефоны (ставятся на стороне провайдера - NT),
- TN2198 (ISDN-BRI U) - 2х проводные телефоны (ставится на стороне провайдера - NT), не обеспечивает дистанционного питания (нужен NT-1)

Транковые платы:

Цифровой интерфейс E1/T1 (TN464, TN2464) - настраиваются программно и могут быть как NT, так и TE.
2х проводные CO-транки (абонентские линии) - TN747
TN2185 (ISDN BRI S/T) - 4х проводные телефоны (ставится на стороне клиента - TE)
E&M (TN760, TN2209 - E&M модифицированный для поддержки протоколов энергетических сетей) - больше не производится.
2-3 проводные для Российских сетей (TN2199) - больше не производятся.

Основные сервисные платы:

IPSI (IP Server Interface) выполняет 4 сущности
- C - clock
- G - tone generator
- P - управление packet bus
- E - Expansion-архангел - управление TDM (ангел - функционал на платах, архангел - функционал не IPSI)
ToneClock (TN2182) и CallClassifier (TN744)
- обработка DTMF, R2, R1.5 - тонов
- 8 портов универсальных тоновых детекторов-генераторов
В G430/G450 плата TONE/CLOCK расшита прямо на материнке: 32 для G430 и 64 для G450.
Annoucement (TN750, Tn2501AP)
- запись голосовых сообщений
- 3000 объявлений на систему
- до 10 плат TN2501
- TN2501AP позволяет хранить до 1 часа голосовых сообщений
В G430/G450 плата Announcement уже распаяна. Надо просто объявить, что она стоит в 9-м модуле.
Expansion Interface (TN570) / Switch Node Interface (TN573)
- интерфейс выноса / интерфейс центрального коммутатора
- к TN570/TN573 подключается оптический трансивер
Maintenance/Test (TN771) - обслуживает packet bus, может "исправлять" обрыв до 3х проводников в ней.
IP Server Interface (TN2312BP IPSI-2) - интерфейс Media Gateway с Media Server (G650)
IP-интерфейсные платы (TN799 C-LAN и TN2302 MedPro) - позволяют подключать Definity к IP-сетям и решениям.

Медиа-система Multi Vantage (2011 год. версия 5.2.1)

Процессор - x86
Операционная система - Red Hat Enterprise (гипервизор)
Операционная система - Oryx/Pecos (виртуальная машина)
Программное обеспечение - Communication Manager

Модульная аппаратная платформа для корпоративных сетей связи. Мощное программное обеспечение как наследство Definity. Применимо для решений любого масштаба (от 40 до 36 000 пользователей). Легко устанавливается и наращивается. Использует разделение сетей управления и транспорта:

Центральное управление - S8XX0 Media Servers
Портовая ёмкость, коммутация и транспорт - Media Gateways, территориально приближенные к конечным пользователям.

Управляющая сеть на основе TCP/IP (H.248). Транспортная сеть либо на базе IP, либо на базе TDM. IPSI обрабатывает ТОЛЬКО сигнализацию. Плата Med-Pro снимает голос с TDM-шины и передаёт его в IP. Для преобразования аналога в цифру и обратно нужны DSP ресурсы:

TN2302 - 64 DSP под G.711
TN2602 - 320 DSP под G.711

У каждого медиа-сервера есть свой IP. Также существует третий IP-адрес, который является виртуальным и используется для отказоустойчивости. По интерфейсу дублирования (1Gbit/s) синхронизируются данные RAM, настройки Dial Plan и т.д. При обрыве связи второй медиа-сервер переходит в состояние Active. Более подробно можно ознакомиться в документе Administering Network Connectivity on Avaya Aura Communication Manager.

В кабинеты G430/450 DSP-процессоры (MP20 и MP80) устанавливаются прямо на материнскую плату кабинета. То есть снимаем верхнюю крышку и вперёд.

Media Gateway - портовая ёмкость телефонной системы. Коммутация портов осуществляется под управлением Media Server. Функции Call Classification и Announcements - локально. Кабинеты CMC, SCC, MCC, G600, G650 могут использоваться в качестве Gateway для PN:

поддерживают портовые платы Difinity
связь с Media Server через отдельную плату IPSI

Малые выносы G450/G430/G350/G250/G700 управляются по протоколу H.248 и поддерживают только медиа-модули MMxxx.

Media Gateway G650 - занимает 8U в 19-дюймовой стойке и имеет 14 слотов для TN плат (платоместо A01 для установки IPSI, остальные - универсальные). До 5 кабинетов G650 можно объединить в один PN с общей TDM шиной. Использует универсальный блок питания 655A с резервированием:

48VDC/220VAC, с предпочтением AC
в случае наличие второго блока нагрузка распределяется
Мониторинг состояния, напряжения, температуры под управлением платы IPSI (TN2312BP)

Media Gateway G450/G430 - оптимизированы под небольшие выносы всё-в-одном (data & telephony network) с преобладанием IP абонентов. Не образуют Port Network.

Media Server S8300 - имеет Media Module design, поддерживается и устанавливается только в G450/G430. Имеет 2 порта 10/100BaseT Ethernet port и 3 порта USB-порта для CD-ROM и Modem. Голосовая почта IA770.

Функционал:

в режиме Internal Call Controller (ICC) - самостоятельное решение для небольшого бизнеса
в режиме Local Survivable Processor (LSP) - обеспечивает обработку вызовов при выходе из строя главного медиасервера

Резервирование - позволяет раз в день синхронизировать настройки с основным MS.

SLS - обработка минимального Call Processing в G450/G430 при потере связи Media Gateway с основным сервером. Не поддерживает IP-транки и подобные фишки. Поддерживает фактически звонки между абонентами и перевод звонков. Есть программное обеспечение PIM, которое позволяет выцепить конфиг из MS и подготовить его для заливки на G450/G430. Оно входит в состав Integrated Management.
ELS (LSP) - дополнительный S8300 ТОЛЬКО в G450/G430, управляющий при потере связи с основным сервером (не умеет управлять PN G650)
Duplex S8800 - фактически два сервера S8800:
- Duplex reliability - только дублирование сервера S8800
- High reliability = Duplex reliability + резервирование управляющей сети (H.248) и плат IPSI
- Critical reliability = High reliability + резервирование голосовых каналов или оптических линков между выносами и плат Е1
ESS - дополнительные сервера S8800 в сети, управляющие кабинетами при потере связи с основными серверами. Media Gateways САМИ регистрируются на ESS.

Требования при монтаже станции:

Обеспечить заземление станции
Терминал и станция должны быть на одном заземлении
Использовать антистатический барслет
Линии за пределами одного здания подключать через грозоразрядники
При установке терминатора или TDM кабеля важно не сместить его относительно иголок backplane.

System Platform (Версия Communication Manager 6.0)

Процессор - x86
Гипервизор среды виртуализации - XEN
Набор виртуальных машин развёрнутых из "шаблона" - template

System Platform (версия 6.2)

Процессор - не важно
Гипервизор среды виртуализации - ESXi или Hyper-V
Набор виртуальных машин развёртывается из OVF.

Особенности телефонных аппаратов

Тип аналогового аппарата при заведении в админке:

AT&T 500 - импульсный
AT&T 2500 - тоновый
K2500 - автоопределение тоновый или импульсный
Caller ID - телефон с АОН

x4xx - цифровые телефоны
x9xx - IP-телефоны
Необходимо применение дополнительных блоков питания:

IP-телефоны
большие расстояния
использование консолей расширения для DCP - XM24, EU24, DBM32
Attendant console
ISDN BRI без фантомного питания
84xx с люминесцентным дисплеем
8411 - (data module & аналог порт)
Data Modules & Call Master
Гарнитуры адаптеры (500А) к аналоговым телефонам

Блок дополнительного питания 1151:

устанавливается рядом с потребителем в разрыв линии на пинах 7 и 8
Проскает сквозь себя линию ISDN BRI, DCP, IP
Напряжение 48VDC
Сила тока 0,4А
Дополнительное питание 48VDC можно взять также с AUX разъёма процессорной платы

Версия программного обеспечения

Версия (Release)

старые версии R4...R10 = AVAYA Call Processing (ACP)
R11 = MultiVantage (MV1.1)
начиная с R11.3 - Communication Manager (CM1.3)
пример - R015.x.02.1.016.4 = CM5.2.1:
     - R015 - Mrajor Release - для обновления надо заплатить бабки
     - x - Processor - x-Linux; i-Intel; r-RISC
     - 02 - Minor Release - при обновлении не требует денег
     - 1 - Update Release
     - 016.4 - Build - идентификатор сборки

Модернизация на новую версию:

программная (замена прошивки процессора)
аппаратная (замена процессора + возможно, ещё некоторых плат)
возможно замена на более поздний релиз версии (обычно бесплатно) для исправления ошибок
update file - заплатка, позволяющая исправить ошибки без замены всего софта

Обновление классических систем на MultiVantage производится путём замены процессорного комплекса на медиа-сервер, установки плат IPSI, замены некоторых кабинетов и некоторых плат.

Лицензирование

Лицензионный файл содержит список открытых опций и количество портов. Он генерируется при покупке станции поставщиком станции:

через систему Avaya RFA для станций R10 - R15
через систему Avaya PLDS для станций R16

В классических станциях лицензионный файл:

привязан к серийному номеру процессора
записывается в память процессора с помощью Java-программы License Installation Tool
сохраняется на flash-карточке вместе с конфигурацией станции

В системах на базе медиа-серверов:

Лицензионный файл привязан к серийному номеру одной из плат IPSI или к серийному номеру одного из Media Gateway
Начиная с R16 лицензионный файл привязывается к MAC-адресу или NIC
Устанавливается через Maintenance Web Interface

Режимы лицензирования:

NORMAL - с лицензиями всё ОК
LIC-ERR - на сервере возникает ошибка. Даётся 30 дней для исправления. После этого переходит в режим NO-LIC
NO-LIC - без лицензии. Менять в станции ничего нельзя. Всё остальное работает. Системы R10.0-R11.1 могут остановить обработку звонков через неделю.

Первые 30 минут после перезагрузки система полнофункциональна. После этого система переходит в один из 3-х режимов. Можно сделать сброс системы 1-го уровня.

command: reset system 1

После этого опять будет 30 минут на полнофункциональную работу. При этом ничего не рвётся и не сбрасывается для пользователей. Только управление сбрасывается.

command: test license

Существуют 4 варианта "сброса системы":

command: reset system 1 - сбрасывает состояние контроллера без сброса трансляции.
command: reset system 2 - уже не используется command: reset system 3 - уже не используетсяcommand: reset system 4 - полностью перезагрузка CM.

Документация

Administraion Guide (03-300509) - руководство администратора
Feature Description and Implementation (555-245-205) - описание функций и их настройка
Communication Manager Screen Reference (03-602878) - описание полей в формах администрирования. Какое поле в каком состоянии что обозначает. F5 для всех форм.
Administration for Network Connectivity (555-233-504) - описание сетевых соединений с использованием Difinity.
Application Notes for Type Approval (108343302) - особенности настроек для разных стран, в т.ч. России.
Quick Start for Hardware Installation , Installing and Configuring, Installing and Upgrading - процедуры установки и апгрейда станций.
Maintenance Alarms (03-300430) / Maintenance Commands (03-300431) / Maintenance Procedures (03-300432) - техническое обслуживание и детальный дебагинг
Reports (555-233-505) - сбор статистики и отчетов
Job Aid: Connector and Cable Diagrams (Pinout Charts) (555-245-773)
Hardware Description and Reference (555-245-207) - описание серверов, кабинетов, блоков питания, плат и телефонов.

Установка CM 5.0 и ниже:

Установка Remastering Software
Server -> Server Date/Time
Заведение логина dadmin/dadmin1 (при установке используется craft/craft01)
Configure Server (Installation -> Configure Server)
-> Server Role
-> Network Interface
-> NTP Servers
Добавить файл лицензии
Добавить файл pwd - файл аутентификации.

Без двух последних файлов не будет консоли на CM.

Для установления сетевого соединения необходимо, подключиться кроссовым кабелем к порту Services
Сетевые настройки:

адрес сети 192.11.13.4
маска подсети 255.255.255.252 (30 бит)
сервер 192.11.13.6
компьютер 192.168.11.5

Адрес и маска сети Services одинаковые для у всех серверов и IPSI. При подключении к другому устройству надо очищать кэш ARP-таблицы:

arp -d 192.11.13.6.

Не рекомендуется подключать порт Services в локальную сеть. При запуске сервера или IPSI, порт Services иногда может не включаться. Установка производится с загрузочного CD. Сначала загружается Linux, а потом Remastering Program (RP). Для сервера S8300 требуется внешний USB CD-ROM или TFTP-сервер. Для сервера S8400 требуется только внешний USB CD-ROM. Для доступа к RP необходимо использовать telnet. RP производит установку ПО автоматически.

Настройка станции

Подключение для управления станцией осуществляется при помощи Terranova (Avaya Terminal Emulator) и Definity / Avaya Site Administration (DSA / ASA). Для непосредственного подключения компьютер с терминальным ПО и станция должны быть подключена на одно и тоже заземление. Модемный кабель должен иметь прямую разводку (распайка есть в одном из моих предыдущих постов) и разъём TERM (CMC: J3-TERM). Параметры подключения: baund rate - 9600, bits - 8, parity - no, stop - 1, handshaking - n. При подключении через модем к станции Definity CSI необходимо использовать разъём P2-MODEM.
При подключении через модем к станции Definity SI можно использовать встроенный модем (контакты 25 и 50 разъёма AUX).
Подключение по IP возможно при версии от R9 и выше. Также необходимо наличие платы C-LAN TN799B или лучше. Можно подключаться сначала на гипервизор по порту 22 и 23 (фактически зайти на консоль linux). Потом можно при помощи комманды sat перейти в Avaya Communication Manager. Вызвать из него в консоль гипервизора возможно при помощи команды go shell. Выйти в консоль гипервизора можно при помощи команды logoff.
Можно подключаться непосредственно к AVAYA Communication Manager на тот же адрес по протоколу ssh или telnet - порты 5022 и 5023, соответственно. Terminal Type для станции до версии 5.2.1 надо задавать W2KTT. Для более новых версий - SUNT.

Функциональные клавиши

Backspace - \b - удаление предыдущего символа
F1 - \E[11~ - отмена выполнения команды
F2 - \E[12~ - обновление содержимого экрана
F3 - \E[13~ - выполнение команды
F4 - \E[14~ - очистка поля
F5 - \E[15~ - справка по полю или команде
F6 - \E[17~ - переход к странице с заданным номером
F7 - \E[18~ - следующая страница
F8 - \E[19~ - предыдущая страница
F9 - \E[20~
F10 - \E[21~
F11 - \E[23~
F12 - \E[24~

Учётные записи

Для Definity существует две категории записей - services и customer. Первая создана для глубокой диагностики специалистами AVAYA. Они могут создавать новые учётные записи пользователей. Вторая группа не может выполнять сервисные функции, такие как release, busyout и status. Это сложилось исторически, так как станция была в первую очередь ориентирована на американский рынок. А в штатах станцию не имеют права обслуживать сотрудники компании - это прерогатива интегратора. То есть подвис транк - передёрнуть не можешь. Надо звать интегратора, платить ему за вызов, ждать когда он приедет. В США это работает, у нас - естественно, ни в коем разе :)
Services:

init - 1шт. - логин высшего уровня для техподдержки AVAYA
inads - 1шт. - логин высшего уровня для техподдержки AVAYA
dadmin - 1шт. - используется дистрибьютором. Может администрировать станцию удалённо. Пароль для dadmin - dadmnpw (R8),dadmin1 (R9, R10), partner111 (R10 - R13)
craft - 2шт. - используется установщиком системы. Пароль для классических систем - crftpw, для новых - craft01.

Customer - пользовательские пароли создаются dadmin'ом. Может быть создан ещё один логин уровня craft. Остальные пользовательские логины ограничены в правах:

superuser
non-superuser

Изменение настроек учётных данных

add login <login>
change login
change password
change permissions <login>

Безопасность для CM 4.0 и выше
Пользователям Linux соотносятся пользователи ACM.
Группы пользователей Linux:

users
susers - могут создавать пользователей.

Профили пользователей ACM:

prof 0 - init
prof 1 - inads
prof 2 - dadmin
prof 3 - craft
...
prof 18 - superuser
prof 19 - non superuser
...
prof 69

change user profile 20 ... 69

Управление учётными записями можно осуществлять через Maintenance Web Interface.

Про команды

display port 02A0521

Команда делится на три основных компонента:

Action (дейтвие) - display
Object (объект) - port
Qualifier (определитель) - 02A0521

Основные действия:
Add - добавить объект
Change - изменить объект
Display - показать настройки объекта
List - список объектов
Remove - удалить объект
Busyout - вывести объект из обслуживания
Release - вернуть объект в обслуживание
Status - просмотр состояния объекта
Test - провести тестирование объекта

Адресация портов в кабинетах G650

02 A 05 21

02 - PN - сеть портов. Их может быть от 1 до 64. Если PN единственный, то можно опускать это поле.
A - Carrier - полка (кабинет). Кабинеты нумеруются от А до Е. Литерное обозначение задаётся перемычками на задней панели кабинета.
05 - Slot - платоместо в кабинете
21 - Port - порт на плате

Адресация портов и плат в кабинетах G250/350/430/450

001 v5 21

001 - Media Gateway - порядковый номер в системе. Максимум 250. Если MG единственный, то можно опустить это поле.
v5 - Media Module - модуль в кабинете. От v1 до v8.
21 - Port - порт в модуле

В шлюзах G430/450 модуля v4 нет. На V9 уже установлена плата gateway-announcements. Но по умолчанию на не прописана в конфиге и поэтому не работает.

Установка кабинетов

добавляем кабинет на станцию
add cabinet <1 - 64>
Добавляем в кабинет плату IPSI
add ipserver-interface <1...64>
Задаём данные для IPSI
change system-parameters ip server-interface
Здесь задаётся IP-адрес и прочее.
Обязательно надо выставить IPSI Control Port Network = ENABLE
Не забыть сохранить трансляцию
save translation

Настройка платы IPSI

     - change ipserver-interface
          - IP control = Y
          - IP address = ip адрес платы IPSI
          - IP Gateway = шлюз по умолчанию

Пример схема создания конфигурации

Logins and passwords - рекомендуется сразу сменить стандартные логины и пароли
System parameters - основные настройки и таймеры
Dial plan - план нумерации
Feature Access Codes - коды доступа к функциям
Class of Service и Class of Restriction - уровни обслуживания и уровни ограничений прав пользователей
Voice Terminals - цифровые и аналоговые телефоны
Groups (hunt, pickup, coverage-answer, paging) - группы пользователей
Trunk groups, route patterns - транковые группы и шаблоны маршрутов
ARS (Automatic Route Selection) и AAR (Automatic Alternative Routing) - автоматический выбор маршрута и автоматический подтверждённый маршрут.

Сохранение настроек и файлы конфигурации

Трансляция (translation) - база данных, содержащая настройки станции и лицензии. В системах CSI и SI она хранится на PCMCIA flash-карте (8МБ или 16МБ). В системах R она хранится на жёстком диске. В медиа-серверах две копии хранятся на жёстком диске. После загрузки станции процессор работает с трансляцией, записанной в оперативную память.
Трансляцию необходимо сохранять после больших изменений (которые проверены и работоспособноть подтверждена), перед сомнительными изменениями и перед выключением станции. Трансляции также сохраняется во время ночного обслуживания.
В классических системах Flash-карта не содержит ПО станции и её нельзя вынимать во время чтения/записи (мигает оранжевый светодиод). Существуют специальные upgrade-карты раземером 48МБ.
В медиа-серверах можно делать backup настроек сервера и трансляции через ftp, scp, sftp или на CF-карточку.
Существует два файла трансляции XLN1 и XLN2 - они идентичны. Система во время загрузки проверяет их на идентичность и если они не совпадают, то это обозначает нарушение целосности конфигурации и система зажигает alarm.

     - change system-parameters maintenance
          - scheduled maintenance
               - save translation
                    - daily

Завершение работы с системой
Перед отключением необходимо сохранить внесённые изменения на энергонезависимом носителе (save translation) и дождаться окончания выполнения команды и статуса выполнения Success. Сеанс SAT можно завершить командой logoff. Перед выходом система может уведомить о наличии ошибок или особых ситуаций. Принять уведомление об отключении (Alarm Origination) можно нажав Yes. Выключить станцию можно нажав кнопку на передней панели S8300/S8400 и дождаться пока загорится соответствующий светодиод, или через Maintenance Web Interface -> Shutdown Server.

Обзор системы

display system-parameters customer-options - открытые в станции лицензии
display system-parameters spacial-applications - открытые в лицензии дополнительные функции (green features) - сторонние H.323 клиенты. Начиная с CM5.2.1 данные лицензии предоставляются бесплатно.
display capacity - ресурсы системы и степень их использования
list history - история команд. Сохраняются все команды , влияющие на конфигурацию станции. Их можно отфильтровать по action, object, qualifier, time/date.
list configuration - информация о составе оборудования, свободных портах, версиях плат и прошивок
- all - все платы
- board - указанную плату
- ds1 - платы потока E1(ds1)
- stations - абоненские портовые платы
- trunks - транковые портовые платы
- software - версия ПО

Настройка параметров страны

change system-parameters country-option
- Display Character Set: Cyrillic
change location-parameters
- Companding Mode: A-law (!)
- Analog Ringing Cadence - вид звонка на аналоговых аппаратах (длительность посылок и пауз)
- Flashhook Interval = Y
- Upper band = 1000 - верхняя граница реагирования на flash
- Lower Band = 200 - нижняя граница реагирования на flash
Flash - разрыв проводов для того, чтобы дать понять станции, что абонент хочет дополнительные функции. Если flash превысит верхнюю границу, то станция будет вешать трубку. Если flash будет слишком коротким, то станция не будет понимать что это был flash и ничего предпринимать не будет.
- Recall - повторное подключение тонового приёмника в процессе разговора с помощью flash.
- Loss Plan - затухание при коммутации портов друг на друга. ОЧЕНЬ НЕ РЕКОМЕНДУЕТСЯ изменять значения по умолчанию.
change tone-generation
- параметры страны - 1(!) Установка параметра страны в значение 15 влияет на некоторые таймеры системы. В этом случае рекомендует оставить параметр страны в значении 1 и подстроить тоны на страницах 2-23. Тоны для России отражены в документе РД 45.223-2001.
- Base Tone Generation Set - набор системных тонов
- Tone Generation Customized Tones - можно целиком пересоздать тоны.
- - Tone name - имя тона, который будем кастомизировать, например, busy.
- - Cadence step - последовательность выполнения. После выполнения последнего шага, тон начинает генерироваться с самого начала.
- - Tone - тональность сигнала. Может быть silence и goto.
- - Duration - длительность тона в милисекундах.

Настройка параметров системных функций

change system-parameters features

page 1 - Trunk-to-Trunk transfer: разрешает передачу вызовов между транками. Можно выключить чтобы пользователи не могли переводить звонки за границу.
page 1 - Music/Tone on Hold: настройка музыки при удержании
- music Port: настройка источника музыки
- music ext: настройка annoucement как MoH
- tone: настройка тона Hold - умельцы набирают тонами музыку :)
page 1 - Abbreviated Dial Programming by Assigned Lists? - автоматический набор номера после поднятия трубки
page 1 - Auto Abbreviated/Delayed Transition Interver (rings) - через сколько гудков переходить к следующему номеру
page 3 - PSA Associate Code (см. ниже)
page 3 - PSA Dissociate Code (см. ниже)
page 3 - TTI Merge Code (см. ниже)
page 3 - TTI Separation Code (см. ниже)
page 3 - TTI Enabled = Y (см. ниже)
page 3 - TTI State: voice (см. ниже)
page 3 - TTI Security Code (см. ниже)
page 5 - Switch name: имя станции
page 6 - Short Interdigit Timer: таймер ARS после набора минимального количества цифр. Если в диалплане нет однозначного срабатывания или пересечение в первых цифрах, после некоего количества цифр начинается отсчет.
page 6 - Line Intercept Tone Timer: длинный таймер (ожидание набора). Если трубу не сняли, то через таймер даёт тишину.
page 6 - Long Hold Recall Timer: возвращения вызова с Hold
page 6 - Station Call Transfer Recall Timer: возвращение с трансфера
page 6 - Distinctive Audible Alerting - количество звонков для внутренних, внешних и приоритетных вызовов.
page 10 - Allow Conference via Flash: разрешает создание конференций аналоговому телефону через flash (n)
page 10 - Station Tone Forward Disconnect: что будет слышать абонент, когда все участники отсоединились (busy)
page 10 - Level of Tone Detection: способ определения наличия dialtone (medium)
page 10 - Date Format: формат даты (dd/mm/yy)
page 10 - On-hook Dialing: набор номера без поднятия трубки (y)
page 10 - Repetitive Call Waiting - звуковое оповещение о том, что пришёл вызов по другой линии.
page 10 - Repetitive Call Waiting Interval (sec) - с какой периодичностью осуществлять звуковое оповещение. ВАЖНО: на время передачи звукового оповещения разговорный тракт разрывается.
page 11 VECTORING Prompting Timeout: ожидание команды в векторе (collect-digit). Сколько ждать донабора следующий цифры.

Номерной план

change dialplan analysis
Первым может быть любой из знаков 0-9 * #. Но в качестве следующих знаков могут быть только цифры. Длина номера абонента (ext) может быть от 1 до 13 цифр. При использовании UDP длина номера абонента может достигать 18 цифр. Поля могут принимать следующие значения:

ext - внутренний номер
fac - код доступа к функции
dac - код доступа к функции или код доступа к транку
attd - оператор
ars, aar - прямой выход на таблицы маршрутизации. Для этого необходима опция ARS Without FAC.

Справка по командам

list configuration station - просмотр свободных портов. Вообще все абонентские платы
add station - добавление номера
duplicate station - скопировать. До 16 клонов за один раз.
remove station - удаление
list usage station - где используется
list station - просмотр существующих абонентов
status station - просмотр состояния телефона
list trace station - протрассировать набор с телефона при помощи встроенного трассировщика.
change extension-station - смена добавочного номера. Участие в группах подтягиваются.

Настройка аналогового телефона

Тип телефона - 500 (импульс), 2500 (тон), K2500(тон+импульс)
TN (Tenant) - арендатор. Телефоны одного арендатора не могут звонить другому.
Ожидание вызова:
- Call Waiting Indication? (N) - разрешение ожидания вызова
- Attd. Call Waiting Indication? (N) - разрешение ожидания для оператора
Набор номера при поднятии трубки
- HOT LINE DESTINATION
- - Abbreviated Dialing List Number: выбор списка
- - Dial Code: код внутри списка
Message waiting indication: наличие лампочки о приходе сообщений
Усиление сигнала для телефонов вне здания (Off Premises Station: Y) - до 3км.
Recall Rotary Digit - разрешает использование цифры импульсного набора в качестве flash.

change alias station - создать тип аппарата, которого нет в телефонной станции. То есть если есть 9620, но нет 9640, то можно его создать.

Виртуальные объекты

AWOH (Administered WithOut Hardware) - администрирование без физического наличия оборудования. Можно сначала настроить оборудование, а потом просто установить его. И всё будет работать после release.

change circuit-packs [PN] - позволяет настраивать платы не подключив их физически. Пока на плате есть настройки, её нельзя удалить из списка плат.
change media-gateway [MG] - всё тоже самое для media gateway.

Personal Station Access (PSA) и Terminal Translation Initialization (TTI)

Создаём абонента и в поле порта ставим не IP или номер порта, а "X". Далее берём телефонный апарат и идём к абоненту. Подкоючаем его и станция даёт тон. После этого вводим TTI Merge Code, Security Code и номер ext.
Я не знаю чем отличаются PSA и TTI, просто приведу инструкцию к работе с PSA:

1. Goto system parameters Features and enter a FAC (Facility Access Code) for PSA Associate and Dissociate
2. Enter FAC for Changing Security on phone
3. Goto COS and select y in PSA
4. Change COS for Stations as appropriate or set all cos to y
5. Enter a default password for stations using PSA

to change PSA security code

·    Dial FAC  (Listen for dial-tone)
·    Dial xxxx (your extension number) press #
·    Dial yyyy (your existing security code) press #
·    Dial xxxx ( NEW CODE) press #
·    Dial new code again to confirm and press #
·    Hear dual tone confirmation

To Use PSA

To disable your phone

·    Dial  Dissociate FAC
·    Hear dual tone confirmation

To enable your phone

·    Dial Associate FAC
·    Type xxxx (your extension number) and press #
·    Type xxxx (your PSA code*) and press #
·    Hear dual tone confirmation

Немного о кнопках

Speaker - громкая связь
Mute - отключить микрофон
Hold - удержание звонка
Redial - повторный набор
Transfer - перевод звонка (transfer + номер + transfer)
Conference - создание конференции (conference + номер + conference)

На цифровых телефонах всё равно какую кнопку нажимать первой - transfer или conference, главное какую нажать последней: если transfer - будет перевод звонка, если conference - будет конференция.
При положенной трубке на телефонах 64xx: transfer - тест дисплея и всех лампочек, conference - выбор типа звонка.
Двухлампочные кнопки есть у телефонов 64хх, 16хх, 14хх (последние две цифры - количество кнопок) и имеют два светодиода (красный + зелёный).
У телефонов 24хх, 46хх и 96хх есть подписи к кнопкам на экране.
Для подключения дополнительного кнопочного модуля необходимо:

использовать дополнительный блок питания
в change station
- для 64хх, 46хх и 2420 в поле Expansion Module? = Y
- для 96хх, 16хх в поле Button Modules

Настройка - change station:

BUTTON ASSIGNMENT (лампочные)
SOFTKEY (назначаемые)

Описание типов кнопок приведено в Administrator's Guide, раздел Managing Phone Features

busy-ind TAC/Ext - доступ к транку или номеру и контроль занятия.
autodial - быстрый набор (номер или код функции) до 16 знаков
btn-view - просмотр назначений кнопок. По-умолчанию запрограммирована на SOFTKEY.
team - просмотр занятости абонентов. Быстрый набор абонента. Перехват входящих звонков (первое нажатие - отображение номера и имени вызывающего абонента, второе нажатие - перехват вызова). До 15 кнопок team для одного абонента.

Работа с несколькими телефонными линиями

Допустим на телефоне настроены 3 телефонные линии. Вам приходит звонок по первой линии. Вы берёте трубку и начинаете разговор. В этот момент занимается 1-я выделенная Вам линия. Во время разговора Вам приходит второй вызов. Вы его не берёте, просто продолжая разговор по первой. При этом занято уже две Ваших линии. Если Вам после этого поступит третий вызов, то он займёт последнюю выделенную Вам линию, и Вы не сможете, не подвесить текущий разговор на Hold, чтобы поговорить со второй линией, ни перевести звонок на другой ext. Для этого есть возможность зарезервировать последнюю доступную линию на такой случай.

change system-parameters features

page 2 - Restrict Last Appearance = Y: Позволяет не резервировать последнюю линию под исходящий вызов. Y - использовать все линии. N - два входящий вызова, один исходящий. Если оставить 1 CA, то входящих вызовов вообще не будет (по-умолчанию).
page 7 - Transfer Upon Hang-Up? = Y - переводить звонок когда кладём трубку.

Call Appearance - виртуальная точка присутствия. Требует заведения кнопки call-appr. Их по-умолчанию 3 шт. Можно сделать до 10 на один аппарат.

Bridged Call Appearance - виртуальный параллельный телефон. Фактически садится на линию другого телефона. Требует кнопки brdg-appr (abrdg-appr - для аналогового телефона).

change system-parameters features

page 2 - Bridge Call Alerting = Y: Y - только мигает. N - мигает и звонит.

Русификация классических систем

change system-parameters country-options - русификация имён абонентов.

page 1 - Display Character Set: Cyrilic

change station - русификация сообщений на дисплее.

page 1 - Display Language: user-defined

Вводить кирилицей надо следующим образом:

начало обязательно с символа "~"
далее транслитерацией k=л, f=а и т.д.
Регистр букв указать нельзя - всё заглавными
при выводе названий SOFTKEY выводится символ "~"

Русификация новых систем

Русификация системных сообщений

Файлы русификации можно взять на http://support.avaya.com/unicode.
Заливка через сервер Maintenance Web Interface -> Download Files
Установка через Maintenance Web Interface ->CM Phone Message Files
После этого необходимо сделать save translation и reset system 4
change station
- Display Language: user-defined (для DCP) или unicode (для IP-телефонов)
change station
- Display Language: user-defined (для DCP) или unicode (для IP-телефонов)
change system-parameters country-options
- Display Character Set: Cyrilic для правильного отображения на 24хх.

На всех телефонах можно русифицировать интерфейс:

на IP-телефонах необходимо поставить русифицированную прошивку
на 2410/2420 необходимо поставить прошивку R5

Ввод русского имени пользователя:

поле Name в change station: через "~" (для отображения на DCP-телефонах)
поле Native Name в ASA (для отбражения на IP-телефонах)

Телефонный справочник (Directory)

Phone Directory - возможность просмотреть заведённые в системе телефоны на экране дисплея, который можно использовать для вызова.
Кнопки:

directory - доступ к списку телефонов
call-disp - позвонить по выделенному номеру
next - переход на следующий номер

Привыводе сначала печатается последнее слово имени абонента, затем все остальное.
change system-parameters country-option
- Display Search Sort Order: Cyrilic для поиска в справочнике на русском языке

На этом я решил завершить первую часть. Во второй части будут более детально описываться тонкие настройки пользовательских функций, транков и дебагинга (лёгкого).

VDI. Часть 1. Citrix VDI-in-a-Box

2013-04-26T05:11:00.000-07:00

Виртуальные рабочие столы меня заинтересовали около года назад. Но тогда были более актуальные задачи, поэтому пришлось отложить знакомство. Сейчас же, в связи с глобальным пересмотром политики развития, есть возможность предложить новые технологии - FCoE, FlexFabric, Nexus 1000V, VSG, ASA 1000V, VNMC, ISE, ну и VDI.

Про первые я уже более-менее уже писал. А вот написать про VDI как-то руки не доходили. Из названия понятно что Virtual Desktop Infrastructure - это переход от физических рабочих столов к виртуальным. Причин для перехода можно выделить множество. Но для меня важными показались следующие:

1. использование серверных ресурсов для выполнения операций пользователей позволяет отказаться от периодического обновления парка ПК в компании. Его не надо больше утилизировать и куда-то сплавлять. Просто модернизация и наращивание ресурсов сетевой инфраструктуру, что и так надо делать полюбому.

2. переход к нулевому клиенту (тонкий клиент я считаю полумерами) позволит поставить пользователю только монитор с сетевым портом, который будет получать питание по сети через UPoE (для Catalyst 4500 серии карты типа WS-X4748-UPOE+E).

3. использование универсального виртального образа для работы пользователей позволяет централизовано делать обновления и актуализировать ПО не привязываясь к конкретному пользователю. Если пользователь косячит, то вопрос решается банальным logoff/login.

4. скорость реакции при возникновении инцидентов информационной безопасноти становится реально мгновенной. Причём специалист по ИБ может сам решать это вопросы: запалил-заблокировал-выпилил-допросил. Весь процесс может занимать минуты!

5. миграция на новую версию ОС (например, переход с Windows 7 на Windows 8) теперь может происходить практически в один logoff/login.

6. организация "гостевого" доступа становится значительно проще - виртуальная машина только с одним виртуальным CD, с которого грузится LiveCD. Также значительно проще происходит деление и интеграция целых подразделений в результате чего группы людей могут включаться в текущую структуры компании или исключаться из неё образуя новую.

Среди лидеров VDI выделяют 4-х лидеров: VMware, Microsoft, Red Hat и Citrix. Кто побогаче и уже сидит на VMware Ent+ license много думать не надо что использовать. У кого в основном люди работают на RHEL тоже всё просто. Сложности начинаются когда размер компании от 50 до 500 человек и все привыкли использовать Windows как на рабочих местах, так и в серверной инфраструктуре.

С одной стороны, при работе на Windows надо будет брать лицензии на Windows 2012, а там виртуализация на Hyper-V уже в комплекте. И с одной лицензией можно развернуть как минимум 4 виртуальных сервера (не считая гипервизора). Почему бы не заморочиться на RDS от Microsoft?! Но тут всегда вступает в действие суровая реальность... Даже сами работники Microsoft со скептицизмом относятся к RDS. А интеграторы прямо заявляют что продукт сырой. Я пытался неделю разобраться как же выделяются и расходуются ресурсы хоста на виртуальные машины для RDS, но ясности не прибавилось. Нет никаких намёков на base image (или golden image - кароче тот образ, из которого потом штампуются все VM для пользователей) и процедуру регулирования ресурсов хоста. Зато навалом мануалов как настроить RDS через всемирно известную MMC.

Если взглянуть незамутнённым взглядом на Citrix всё более менее рисуется ровно. Есть Connection Broker (kMGP), который устанавливается в виде виртуальной машины на гипервизор КАЖДОГО хоста виртуализации. Вместе они формируют пул серверов, которые могут обрабатывать подключения пользователей. Все VM для пользователей формируются из шаблона, который можно и обновлять и перезаливать - в общем любые телодвижения. Лицензируются только текущие активные подключения. Процесс установки более чем тривиален и широко доступен в интернете. В качестве гипервизора может использоваться как родной XenServer, так и монстры VMware ESXi и MS Hyper-V. В результате я для себя отдельно выделил несколько моментов.

Во-первых, существует очень важный нюанс связанный с запуском VM пользователей. Для каждого шаблона VM, задаются два параметра: максимум количества VM для данного шаблона и количество предстартованных машин. И если с первым параметром всё понятно, то второй означает следующее. Для каждого шаблона VM всегда будет существовать N ЗАПУЩЕННЫХ виртуальных машин, к которым могут по готовности могут подключаться пользователи. Например, мы установили этому параметру значение 2. Тогда пусть одновременно пытаются подключиться 3(!) пользователя. В этом случае два первых пользователя сразу попадут на свой рабочий стол, а последний будет ждать несколько минут, пока kMGR сначала создаст VM в количестве 2 штук, потом запустит их, потом сделает им обоим snapshot'ы, и только потом подключит пользователя (когда мы это тестировали на блейдовых серверах HP 460 G8, то на это уходило около 7-ми минут). Причём пользователь всё это время будет видеть заставку нулевого клиента с крутящимся индикатором загрузки. Но это ещё не всё. Если одновременно будут пытаться подключиться не 3 пользователя, а 5, то после того, как подключаться первые двое, стартуют вторые двое, подключаться вторые двое, то 5-й клиент будет ждать когда ему только после двух итераций дадут возможность подключиться. То есть если 1-й и 2-й подключатся сразу, 3-й и 4-й подключатся через 7 минут, то 5-й и условно 6-й подключатся только через 14 минут! И дальше всё в такой же последовательности. То есть очевидно, что ставить количество предстартованных машин слишком малым нельзя ввиду долгой загрузки пользователей. Если же задавать этот параметр слишком большим, то очень много оперативной памяти будет занято неиспользуемыми VM. То есть этот параметр надо выбирать очень тщательно, чтобы избежать крайностей.

Во-вторых, Citrix не привязан к конкретному гипервизору. То есть можно спокойно развернуть его хоть на бесплатном XenServer, а потом если получится забюджетировать VMware Ent+, то можно смело перейти на VMware. Безусловно, придётся переделывать все базовые образы и шаблоны, но в принципе это реально и не потребует дополнительных средств.
В-третьих, Citrix поддерживает больше количество мобильных устройств, которые могут быть использованы для удалённого подключения (при настройке Access Gateway VPX). Если в организации много разрозненных удалённых пользователей, то стоит обратить на это внимание.

Немного о Cisco VSG. "Или великое начинается с малого" /Френсис Дрейк/

2012-12-05T23:55:00.000-08:00

Как-то мимо меня прошла новость о том, что теперь Cisco ASA 1000V доступен для заказа. Заметил совершенно случайно и очень заинтересовался. Из особенностей можно выделить:
1. подключай сколько хочешь интерфейсов
2. 1 ГБ для HDD
3. вариант Primary/Secondary в комплекте
4. не рекомендуют использовать для работы с физическими внешними интерфейсами

При разворачивании OVA попросил определить по сетям 4-ре сетевые карты. Можно забить и определить только Management, именно он будет доступен и работать в первое время. Скрипт инициализации остальных параметров отработал странно - часть комманд выполнил, часть нет.
Значительным открытием для меня стала привязка к VNMC. По факту это что-то вроде глобальной системы управления политиками безопасности (ACL, NAT, VPN и т.д.) на всех устройствах используемых в виртуальной инфраструктуре из одного места. Выглядит не очень. Впечатление такое же как после первого запуска ACS 4.1. Рубленые формы, мало помощи. Группировка элементов весьма непривычная. Зато когда привыкаешь... В общем надо знакомиться ещё и с VNMC. При поиске документации, выяснилось, что существует ещё один продукт, который позволяет осуществлять защиту вирутально среды - Virtual Security Gateway (VSG).

Если с ASA разделяет виртуальную внешнюю среду от внутренней, например, виртуальную инфраструктуру одного хозяйствующего субъекта от виртуальной инфраструктуры другого. То VSG служит для защиты одной части виртуальной инфраструктуры от другой В РАМКАХ ОДНОЙ ИНФРАСТРУКТУРЫ! Есть ряд видео (1, 2, 3, 4) установки его в рамках VNMC. Для тех, кто как и я не может выносить английский с ДИКИМ акцентом, я сделал выдержку. Кроме того, с момента подготовки видео некоторые команды поменялить (например, vsn на vservice), что немаловажно.

Данные, которые используются при конфиге

vCenter IP address:        10.193.77.26
VNMC IP address:           10.193.77.33
VSG-data VLAN:               10
VSG-HA VLAN:                 30
VSG mgmt IP address:    10.193.77.34
Data mgmt IP address:    10.10.10.10 VLAN 10
Syslog Server IP addr:    10.193.77.28 - тестовая машина для генерации трафика

Часть 1 - Установка VNMC

vCenter и Cisco Nexus 1000V должны быть уже интегрированны
Развернуть VNMC из шаблона OVA
- ip address из VLAN, в котором все cisco и vCenter с ESXi
- DNS тоже надо указать
- надо использовать VNMC Installer
- Выбрать Thin Provisioned format
- сетевую карту поместить во VLAN, в котором все cisco и vCenter с ESXi
- логин admin, пароль забивается отдельно как VNMC Password
- VNMC Secret используется для соединений с Virtual Network Devices, типа Nexus 1000V или ASA 1000V
заходим по HTTPS на VNMC
Экспортируем Extention для vCenter
-VNMC
     - Administration
          - VM Managers
               - Export vCenter Extension
Импортируем плагин в vCenter
- vCenter
     - Plug-ins
           - Plug-in Manager
                - Правая кнопка мыши - New Plug-in
Добавляем в VNMC сервер vCenter
- VNMC
     - Administration
          - VM Managers
               - Add VM Manager
                    - Name = vCenter
                    - IP address = 10.193.77.26
Подключение VSM (Cisco Nexus 1000V) к VNMC. Подключаемся по SSH
- проверяем наличие vnmc-vsmpa агента на VSM - dir bootflash:
- создаём подключение к VNMC

NEXUS1000V# conf t
NEXUS1000V(config)# vnm-policy-agent
NEXUS1000V(config-vnm-policy-agent)# registration-ip 10.193.77.33 # то есть нексус цепляем не к vCenter, а к VNMC
NEXUS1000V(config-vnm-policy-agent)# shared-secret Secret_P@$$W0RD123
NEXUS1000V(config-vnm-policy-agent)# policy-agent-image bootflash:vnmc-vsmpa.2.0.1a.bin
NEXUS1000V(config-vnm-policy-agent)# exit

NEXUS1000V# dir bootflash:
        316     Nov 08 16:51:24 2012 .ovfconfigured
      77824     Dec 05 15:08:47 2012 accounting.log
       4096     Dec 05 16:02:04 2012 core/
       4096     Dec 05 16:02:02 2012 log/
      16384     Aug 07 19:43:23 2012 lost+found/
      11759     Dec 05 10:52:53 2012 mts.log
   19540480     Aug 07 19:44:54 2012 nexus-1000v-kickstart.4.2.1.SV1.5.2.bin
   76989616     Aug 07 19:45:02 2012 nexus-1000v.4.2.1.SV1.5.2.bin
      49571     Dec 05 10:53:16 2012 stp.log.1
       4096     Dec 05 11:25:21 2012 sysdebug/
       4096     Aug 07 19:46:01 2012 vdc_2/
       4096     Aug 07 19:46:01 2012 vdc_3/
       4096     Aug 07 19:46:01 2012 vdc_4/
   18086338     Aug 07 19:45:25 2012 vnmc-vsmpa.2.0.1a.bin

Usage for bootflash://sup-local
237150208 bytes used
1357725696 bytes free
1594875904 bytes total

-проверка статуса подключения к vnmc

NEXUS1000V# sh vnm-pa status
VNM Policy-Agent status is - Installed Successfully. Version 2.0(1a)-vsm

Часть 2 - Установка VSG

проверить требования к VSG
- port-profile для uplink. Как правило транк
- VLAN ID для данных для VSG
- VLAN ID для Cisco HA
- Management VLAN
Если приглядеться, то у Cisco NEXUS 1000V при установке надо вводить похожие настройки:
- Management VLAN = Management VLAN VSG
- Control VLAN = HA VLAN VSG
- Packet VLAN = Data VLAN VSG
А вот хер - Data VLAN VSG надо разносить так, чтобы он был доступен с Nexus 1000V через тот VLAN, где находится маршрут на default gateway :( Через другие интерфейсы он его искать не будет.
Развертывание VSG из шаблона OVA
- для VSG нужно 2GB RAM и 3GB HDD
- VSG можен быть установлен в двух вариациях - Standalone или Primary/Secondary
- выбрать Thin Provisioned Format
заходим на VSG по SSH и настраиваем подключение к VNMC

VSG# dir bootflash:
         19     Dec 05 16:37:33 2012 .ovfconfigured
      77824     Dec 05 16:36:59 2012 accounting.log
       4096     Aug 03 01:31:32 2012 core/
       4096     Aug 03 01:31:32 2012 log/
      16384     Aug 03 01:29:34 2012 lost+found/
        434     Dec 05 16:36:55 2012 mts.log
   20333056     Aug 03 01:31:04 2012 nexus-1000v-kickstart.VSG1.4.1.bin
   44137292     Aug 03 01:31:13 2012 nexus-1000v.VSG1.4.1.bin
       4096     Dec 05 16:38:46 2012 sysdebug/
       4096     Aug 03 01:31:46 2012 vdc_2/
       4096     Aug 03 01:31:46 2012 vdc_3/
       4096     Aug 03 01:31:46 2012 vdc_4/
   20938621     Aug 03 01:31:25 2012 vnmc-vsgpa.2.0.1a.bin

Usage for bootflash://sup-local
200200192 bytes used
1394675712 bytes free
1594875904 bytes total

VSG#conf t
VSG(config)# vnm-policy-agent
VSG(config-vnm-policy-agent)# registration-ip 10.193.77.33
VSG(config-vnm-policy-agent)# shared-secret **********
VSG(config-vnm-policy-agent)# policy-agent-image bootflash:/vnmc-vsgpa.2.0.1a.bin

VSG# sh vnm-pa status
VNM Policy-Agent status is - Installed Successfully. Version 2.0(1a)-vsg

VSG# sh vsg
Model: VSG
HA ID: 2
VSG software version: 4.2(1)VSG1(4.1) build [4.2(1)VSG1(4.1)]
VNMC IP: 10.193.77.33
VNM PA version: 2.0(1a)-vsg
заходим на VNMC через HTTPS
- Administration
     - Service Registry
          - Clients
               - Operational State должен быть registered

Часть 3 - Настройка VSG

Заходим на VNMC по HTTPS
Создаём арендатора
- Tenant Managementadmin
     - root
          - Правая кнопка мыши - Create Tenant
               - Создаём арендатора Oil-Company
Создаём Security Profile (в моей версии с этого пункта идут расхождения, так что рекомендую сразу смотреть пункт 7)
- Policy Management
     - Security Policies
          - root
               - Oil-Company
                    - Security Profiles
                         - Правая кнопка мыши - Add Security Profile
                              - Name = sp-Web
Создаём Compute Firewall
- Resource Management
     - Management Resources
          - root
               - Oil-Company
                    - Compute Firewalls
                         - Add Compute Firewall
                              - Name = CFW-VSG1
                              - Device Profile = default
                              - Management Hostname = VSG
                              - Data IP address = IP адрес на интерфейса Data на VSG.                               - Data IP Subnet = макса для Data интерфейса на VSG
Data IP address = IP адрес на интерфейса Data на VSG. На вечно демократическом ему даётся следующее описание: "This is the IP address used by the VEM to learn MAC-address of the VSG data interface." По факту, это IP адрес, который висит на Data интерфейсе у VSG. В нашем примере - это 10.10.10.10. Если он не доступен на NEXUS, то Servce Policies отрабатываться не будут!
Назначаем Compute Firewall
- Resource Management
     - Management Resources
          - root
               - Oil-Company
                    - Compute Firewalls
                         - CFW-VSG1
                              - правая кнопка - Assign VSG
                                   - VSG Management IP = Выбираем из списка. 10.193.77.34
                                        - Config State меняется сначала на applying, а потом на applied
Создаём сначала Policy Set, а потом Rules
- Policy Management
     - Security Policies
          - root
               - Oil-Company
                    - Security Profiles
                         - sp-Web
                              - Add Policy Set
                                   - Name = ps-Web
                                   - Add Policy
                                        - Name = pol-Web
                                        - Add Rule
                                             - Name = permit-all-rule
                                             - Action to take = permit
                                   - В поле Assigned появится только что созданная политика pol-Web
                              - Save
У меня в версии всё делается намного проще, сразу в один заход все действия :D
- Policy Management
     - Service Profiles
          - root
               - Oil-Company
                    - Compute Firewall
                         - Compute Security Profiles
                              - Add Compute Security Profile = Oil-Company-Security-Profile
                                   - Add Compute Security Profile = Oil-Company-Security-Profile
                                        - Add ACL Policy = Oil-Company-ACL-Policy
                                             - Add Rule = Permit-Any-to-Any
Проверяем правило Permit-all

VSG# show run rule

rule Oil-Company-ACL-Policy/Permit-Any-to-Any@root/Oil-Company
action 10 permit # где десять это номер строки в ACL - 10, 20, 30 и т.д.

VSG# sh run policy
Policy Oil-Company-Policy-Set@root/Oil-Company
rule Oil-Company-ACL-Policy/Permit-Any-to-Any@root/Oil-Company order 101

VSG# sh policy-engine stats

Policy Match Stats:

default@root                 :                   0
default/default-rule@root :                   0 (Drop)
NOT_APPLICABLE             :                   0 (Drop)

Oil-Company-Policy-Set@root/Oil-Company                      :     63
Oil-Company-ACL-Policy/Permit-Any-to-Any@root/Oil-Company :     32 (Permit)
NOT_APPLICABLE                                             :     31 (Drop)

VSG# show int brief

--------------------------------------------------------------------------------
Port     VRF          Status IP Address                            Speed    MTU
--------------------------------------------------------------------------------
mgmt0    --           up     10.193.77.34                         1000     1500

--------------------------------------------------------------------------------
Port     VRF          Status IP Address                            Speed    MTU
--------------------------------------------------------------------------------
data0    --           up     10.10.10.10                        10G      9000

Часть 4 - Включение логирования работы политики и Диагноситка

Включение логирования.

Заходим на VNMC

- Policy Management
     - Device Configurations
          - root
               - Device Profiles
                    - default
                         - Edit
                              - Вкладка Policies
                                   - Policy Engine Logging = Enable

Включение firewall защиты для трафика VM port-profile, и проверка соединений между VSM, VEM и VSG

Смотрим настройки port-profile Webserver, на который будем вешать Firewall

NEXUS1000V# show run port-profile Webserver

port-profile type vethernet Webserver
vmware port-group
switchport mode access
switchport access vlan 50
no shutdown
state enabled
Вешаем на port-profile политику security-profile sp-Web

NEXUS1000V# conf t
NEXUS1000V(config)# port-profile Webserver
NEXUS1000V(config-port-prof)# org root/Oil-Company
NEXUS1000V(config-port-prof)# vn-service ip address 10.10.10.10 vlan 10 security-profile sp-Web
NEXUS1000V(config-port-prof)#end
NEXUS1000V#

В реале команды следующие

NEXUS1000V# conf t
NEXUS1000V(config)# vservice node VSG type vsg
NEXUS1000V(config-vservice-node)# ip address 192.168.203.45
NEXUS1000V(config-vservice-node)# fail-mode open #или close - что делать если VSG недоступен
NEXUS1000V(config-vservice-node)# exit
NEXUS1000V(config)#
NEXUS1000V(config)#
NEXUS1000V(config)# vservice path Oil-Company-Policy-Set
NEXUS1000V(config-vservice-path)# node VSG profile Oil-Company-Security-Profile order 1
NEXUS1000V(config-vservice-path)# exit
NEXUS1000V(config)#
NEXUS1000V(config)#
NEXUS1000V(config)# port-profile Webserver
NEXUS1000V(config-port-prof)# org root/Oil-Company
NEXUS1000V(config-port-prof)# vservice path Oil-Company-Policy-Set
NEXUS1000V(config-port-prof)#exit
NEXUS1000V#
Проверяем что изменилось

port-profile type vethernet Webserver
vmware port-group
switchport mode access
switchport access vlan 50
org root/Oil-Company
vn-service ip address 10.10.10.10 vlan 10 security-profile sp-Web
no shutdown
state enabled

В реале:

port-profile type vethernet Webserver
vmware port-group
switchport mode access
switchport access vlan 50
org root/Oil-Company
vservice path Oil-Company-Policy-Set
no shutdown
state enabled

Проверяем дальше

NEXUS1000V# show vsn port
Veth           : Veth5
VM Name           : Oil-Company-Server
...
VSN Data IP       : 10.10.10.10
Security Profile   : sp-Web
Org           : root/Oil-Company

NEXUS1000V# show vsn brief
VLAN   IP-ADDR       MAC-ADDR       FAIL-MODE   STATE   MODULE
10   10.10.10.10   00:50:56:a0:00:07   Close       Up   4

То,что Nexus видит MAC говорит о том, что VEM видит VSG, и что он в состоянии Up.
Так как предыдущие команды уже не сущестуют, то приведу новые - более информативные.

NEXUS1000V# sh vservice port brie
--------------------------------------------------------------------------------
                                   Port Information
--------------------------------------------------------------------------------
PortProfile:VLAN204
Org:root/Oil-Company
Path:Oil-Company-Policy-Set
Node                                          Profile(Id)
VSG(10.10.10.10)                          Oil-Company-Security-Profile(3)
Veth Mod VM-Name                              vNIC IP-Address
23   3 test-vm                                 1 10.193.77.28,

NEXUS1000V# sh vservice port detail
--------------------------------------------------------------------------------
                                   Port Information
--------------------------------------------------------------------------------
PortProfile:VLAN204
Org:root/Oil-Company
Path:Oil-Company-Policy-Set                   NumOfSvc:1
Node                                          Profile(Id)
VSG(10.10.10.10)                          Oil-Company-Security-Profile(3)
Veth23
Module :3
VM-Name :test-vm
vNIC:Network Adapter 1
DV-Port :160
VM-UUID :50 07 31 6e 77 f0 62 b1-80 95 1a fb f5 e0 91 95
DVS-UUID:54 a3 18 50 72 87 98 43-1d d0 7c 20 5b 95 4a 53
IP-Addrs:10.193.77.28,

NEXUS1000V# show vservice node brief
--------------------------------------------------------------------------------
                                   Node Information
--------------------------------------------------------------------------------
ID Name                     Type   IP-Address      Mode   State   Module
1 VSG                      vsg    10.10.10.10     Close   Up       3

И ЧСХ, часть vsn команд ещё осталась в моей версии. "Толи ещё будет..." (с) Кстати, эта очень полезная комманда, для проверки доступности Data интерфейса VSG с Nexus.

NEXUS1000V# ping vsn ip 10.10.10.10 vlan 10 src-module 3
Note: No VSN exist with the specified V(X)LAN and IP.
      Trying to ping an unassociated L2 VSN?
ping vsn 10.10.10.10 vlan 10 from module 3, seq=0 timeout=1-sec
module(failed) : 3(VSN ARP not resolved)

ping vsn 10.10.10.10 vlan 10 from module 3, seq=1 timeout=1-sec
module(usec)   : 3(448)

ping vsn 10.10.10.10 vlan 10 from module 3, seq=2 timeout=1-sec
module(usec)   : 3(290)

ping vsn 10.10.10.10 vlan 10 from module 3, seq=3 timeout=1-sec
module(usec)   : 3(300)

ping vsn 10.10.10.10 vlan 10 from module 3, seq=4 timeout=1-sec
module(usec)   : 3(261)

Проверка статистики и логов на VSG

Смотрим статистику по работе policy-engine

VSG# show policy-engine stats

Policy Match Stats:

ps-Web@root/Oil-Company               :    63
pol-Web/permit-all-rule@root/Oil-Company   :    32 (Permit)
NOT_APPLICABLE               :    31 (Drop)

В сухом остатке

VSG есть гибкий и мощный инфструмент для организации взаимодействия внутри виртуальной инфраструктуры. MUST HAVE для организаций, которые предоставляют облачные (для меня ближе слово аутсорсинговые) ресурсы. Выделил часть виртуальной инфраструктуры. Закрыл её от остальных ASA 1000V. Внутри настроил политики на VSG. И можно предоставлять услугу. Вообще супер. Более подробнее о том, насколько гибко можно настроить доступ можно почитать тут.

Полезные ссылки:

1. Cisco ASA 1000V Cloud Firewall

2. Cisco ASA 1000V Cloud Firewall Getting Started Guide

3. Cisco ASA 1000V ASDM Configuration Guide, 6.7

4. Cisco ASA 1000V Command Line Configuration Guide, 8.7

5. Cisco Virtual Network Management Center
6. Cisco Virtual Network Management Center GUI Configuration Guide
7. Cisco Virtual Security Gateway for Cisco Nexus 1000V Series Switches
8. Cisco Virtual Security Gateway, Rel. 4.2(1)VSG1(2) and Cisco Virtual Network Management Center, Rel. 1.2 Installation and Upgrade
9. Cisco Virtual Security Gateway for Nexus 1000V Series Switch Configuration Guide, Release 4.2(1)VSG1(3.1)
9. Cisco ASA 1000V Cloud Firewall Q&A

Немного про сертификаты и Cisco ASA

2012-11-15T22:39:00.002-08:00

Когда мы хотим поднять на Cisco ASA сервис WebVPN, то чтобы не получать сообщение что соединение не доверенное, надо взгромоздить SSL сертификат на Cisco ASA. Стандартным методом это делается при помощи генерации запроса, его отправки в центр сертификации и получение оттуда сертификата.

Для средних организаций лучше всего подходят wildcard сертификаты, так как они покрывают почти 100% потребностей. Но так как в России все жуткие спецы по цифровым сертификатам, то зачастую администратор получает .crt файл с параметром "CN=*.company.com". Что с ним делать? Куда его кому запихивать? Как правило начинаются судорожные поиски запросов, private key и прочего. И если Вы всё это нашли на "месте преступления" (читай, сервере где в предыдущий раз устанавливался сертификат), то можно отмечать победу.

1. для начала надо установить сертификаты корневых центров сертификации, которые выписали ИМЕННО ВАМ сертификат. Как правило их два:

     - Cisco ASA
          - Configuration
               - Device Management
                    - Certificate Management
                         - CA Certificates
                               - Add

2. Потом надо подготовить сертификат .crt в формате PEM для импорта в Cisco ASA. Для этого нам понадобятся сам сертификат .crt, сертификат корневого центра сертификации который нам выписал сертификат .crt, закрытый ключ .key и пароль на него - Decryption Passphrase. На выходе мы должны получить сертификат типа PKCS12, который как правило в Windows-системах имеет расширение .pfx или .p12.

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

При создании .pfx надо будет ввести Decryption Passphrase на private-key.key и установить новую на уже новый сертификат .pfx.

3. Теперь можно импортировать полученный сертификат в Cisco ASA. Для этого нам понадобятся файл .pfx и Decryption Passphrase, которую мы только что вводили.

     - Cisco ASA
          - Configuration
               - Device Management
                    - Certificate Management
                         - Identity Certificates
                               - Add

Теперь сертификат нормально установлен и может "закрывать" все соединения по HTTPS. Остаётся только повесить его на интерфейс.
Немного полезных комманд:

config t
ciscoASA(config)# crypto ca export TrustPoint1 pkcs12 cisco123

config t
ciscoASA(config)# crypto ca import TrustPoint2 pkcs12 cisco123
<paste in the base64 encoded pkcs12>
quit

config t
ciscoIOS(config)# crypto pki export TrustPoint1 pkcs12 terminal cisco123

config t
ciscoIOS(config)#crypto pki import TrustPoint2 pkcs12 terminal cisco123
<paste in the base64 encoded pkcs12>
quit

UPDATE:

В некоторых случаях необходимо разделить pfx на сертификат и private key. Чтобы получить Private Key надо сделать следующее:

openssl pkcs12 -in certificate.pfx -nocerts -out privateKey.pem

Чтобы получить просто сертификат без ключей, надо воспользоваться следующей командой:

openssl pkcs12 -in certificate.pfx -nokey -out certificate.pem

Полезные сслыки:

1. The Most Common OpenSSL Commands
2. Certificate Backup and Installation - Trustpoints
3. Cisco Support Community - Backup & Restore keys

Cisco Nexus 1000V

2012-11-11T22:34:00.000-08:00

Основным достоинством виртуализации считается простота развёртывания большой и производительной инфраструктуры на аппаратной части в разы слабее, чем совокупные минимальные требования сервисов. Какова плата? Сложность интеграции компонент и управления каждой из них! В зависимости от лицензии VMware предлагает большой выбор функционала, включая функцию Distributed switch. Он позволяет централизовано управлять всеми настройками виртуального коммутатора, который занимается пересылкой трафика внутри виртуальной среды. Стандартный коммутатор от самой VMware я не пробовал (хотя чувствую что надо бы разок "затянуться"), но зато попробовал зацепить Cisco Nexus 1000V. Во-первых, он позволяет по SNMP мониторить трафик на магистральных линках и на линках к каждой VM. Причем при миграции VM с одного ESXi-хоста на другой, порт подключения сохраняет свой индекс, что весьма полезно. Во-вторых, настройка и понимание работы в рамках методологии Cisco мне намного ближе, что позволит глубже понимать процессы происходящие в системе, нежели при использовании любого другого механизма. Итак начнём с самого начала.

Установка

Прежде чем начинать впихивать себе эту железку надо чётко определить что именно она будет делать и какой от неё профит. Если парк VM маленький и никаких особых настроек с ACL не предвидится, то лучше использовать вообще Standard switch. Если же нужна детальная диагностика, управление каналом, ACL, и полноценный DRS, то тогда конечно лучше Nexus. Кроме того обязательно надо определиться сколько будет супервизоров - один или два. Я рекомендую два, на тот случай если понадобится обновление системы и нужно будет один выключать или перегружать.

Cisco Nexus 1000V состоит из двух типов компонент - VSM и VEM. VSM - это супервизоры коммутатора. VEM - это модули портов коммутатора. Начинать следует с установки модулей супервизоров.

1. развернуть Virtual Appliance для Primary Node. Три VLAN, что там предлагают сделать следующие:

Management - интерфейс на который вы будете заходить по SSH для управления всей байдой на самом свитче

Control - по нему должны передаваться какие-то данные. Возможно что для связи между супервизорами. ESXi-хосты про него вообще ничего не знают, и не имеют о нём представления. Его стоит выделить, но зачем - для меня до сих пор загадка.

Packet - через этот интерфейс гоняются данные High Availability и Fault Tolerance. Интерфейс будет загруженный, но шлюз там использоваться не будет. На каждом ESXi-хосте должен быть сделать интерфейс типа vKernel, который должен быть приписан к этому VLAN и установлены галки для vMotion и FT. Если этого не сделать, то VM просто не будет мигрировать с одного ESXi-хоста на другой.

2. Настроить port-profile для всех типов интерфейсов, которые будут использоваться в среде виртуализации. Для trunk'овых портов, которыми ESXi-хосты будут подключаться к физическим свитчам стоит сделать такой профайл.

port-profile type ethernet TRUNK
vmware port-group
switchport mode trunk
switchport trunk allowed vlan 1-3967,4048-4093
channel-group auto mode on sub-group cdp
no shutdown
system vlan 123,234,345
state enabled

В данном случае 123,234 и 345 это те самые VLAN'ы - management, control и packet.
Для обычной виртуальной машины сгодится такой профайл

port-profile type vethernet VLAN111
vmware port-group
switchport mode access
switchport access vlan 111
no shutdown
state enabled

Но для для интерфейса управления ESXi ДОЛЖЕН быть сделан ТРАНК!

port-profile type vethernet V-TRUNK
vmware port-group
switchport mode trunk
switchport trunk allowed vlan 1-3967,4048-4093
no shutdown
system vlan 123,234,345
state enabled

3. Теперь можно развернуть Secondary Node. Делается всё тоже самое, что и для Primary, только выбирается другая роль. Дальше два супервизора должны найти друг друга (Я так полагаю всё-таки по интерфейсу Control) и у вас должна появиться следующая картина

switch# sh module
Mod Ports Module-Type                       Model               Status
--- ----- -------------------------------- ------------------ ------------
1    0      Virtual Supervisor Module         Nexus1000V          active *

Mod Sw                  Hw
--- ------------------ ------------------------------------------------
1    4.2(1)SV1(5.2)      0.0

Mod MAC-Address(es)                         Serial-Num
--- -------------------------------------- ----------
1    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA

Mod Server-IP        Server-UUID                           Server-Name
--- --------------- ------------------------------------ --------------------
1    192.168.111.111     NA                                    NA

* this terminal session
switch#
switch# 2012 Apr 1 11:22:33 switch %PLATFORM-2-MOD_DETECT: Module 2 detected (Serial number :unavailable) Module-Type Virtual Supervisor Module Model :unavailable
switch#
switch# sh module
Mod Ports Module-Type                       Model               Status
--- ----- -------------------------------- ------------------ ------------
1    0      Virtual Supervisor Module         Nexus1000V          active *
2    0      Virtual Supervisor Module                             powered-up

Mod Sw                  Hw
--- ------------------ ------------------------------------------------
1    4.2(1)SV1(5.2)      0.0

Mod MAC-Address(es)                         Serial-Num
--- -------------------------------------- ----------
1    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA

Mod Server-IP        Server-UUID                           Server-Name
--- --------------- ------------------------------------ --------------------
1    192.168.111.111     NA                                    NA

* this terminal session
switch# sh module
Mod Ports Module-Type                       Model               Status
--- ----- -------------------------------- ------------------ ------------
1    0      Virtual Supervisor Module         Nexus1000V          active *
2    0      Virtual Supervisor Module         Nexus1000V          ha-standby

Mod Sw                  Hw
--- ------------------ ------------------------------------------------
1    4.2(1)SV1(5.2)      0.0
2    4.2(1)SV1(5.2)      0.0

Mod MAC-Address(es)                         Serial-Num
--- -------------------------------------- ----------
1    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA
2    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA

Mod Server-IP        Server-UUID                           Server-Name
--- --------------- ------------------------------------ --------------------
1    192.168.111.111     NA                                    NA
2    192.168.111.111     NA                                    NA

* this terminal session

4. Далее подключаем получившуюся систему в виде Distibuted switch к vCenter. Для этого на коммутаторе надо создать svs connection.

svs connection vCenter
protocol vmware-vim
remote ip address 192.168.111.111
vmware dvs datacenter-name vCenter-Test
connect

После этого в разделе Networking на vCenter появится раздел с именем коммутатора, в котором будут представлены настроенные порты и VLAN'ы. Пока мы не подключили ESXi-хосты их нельзя использовать.
5. Если подключить ESXi-хосты, то они будут представляться как модули портов. Причем каждый отдельный ESXi-хост будет виден как отдельный модуль. Для того, чтобы была возможность подключить ESXi-хосты, необходимо поставить программное обеспечение VEM на ESXi-хост. Это можно сделать с помощью Update Manager для vCenter (можно поглядеть видео на Youtube.com), а можно руками.

esxcli software vib list # посмотреть список установленных пакетов на ESXi-хосте
wget http://192.168.111.111/cisco/vib20/cisco-vem-v144-esx/Cisco_bootbank_cisco-vem-v144-esx_4.2.1.1.5.2.0-3.0.1.vib # скачать пакет в текущую папку на ESXi-хосте
esxcli software vib install -v /tmp/Cisco_bootbank_cisco-vem-v144-esx_4.2.1.1.5.2.0-3.0.1.vib # установить пакет. Во время установки ESXi-хост должен находиться в Maintenance Mode.

6. После этого можно подключать сам ESXi-хост к vCenter. Вся настройка осуществляется через vCenter.

     - Home
          - Inventory
               - Neteorking
                    - Нужный switch (правая кнопка)
                         - Add Host

Далее выбираем ESXi-хост, который хотим добавить в качестве модуля портов. Как правило, у каждого ESXi-хоста два и более сетевых адапеторов, которыми он физически подключен к сетевой инфраструктуре. Я рекомендую переводить ESXi-хосты на Distributed switch по одному линку за раз. То есть выбираем, например, один из 4-х линков и ставим ему Uplink Port Group - TRUNK. Не мигрируем никаких VM при этом. Просто по одному переводим линки на виртуальный свитч.

ВАЖНО! Супервизоры не должны находиться на том ESXi-хосте, миграцию которого мы осуществляем на Distributed switch.

Последний линк переводим осторожно, так как по нему ещё работает VM Management Network. Его обязательно надо мигрировать , иначе отвалится хост и консоль. При миграции VM Management Network надо задавать ей Destination Port Group - V-TRUNK. С одной стороны это обычный VLAN 1, но он отличается от того, что об этом думают все остальные люди в мире. Он должен быть нетегированный. Но присвоим port-profile со следующими параметрами VM Management Network благополучно отвалится и придётся всё делать заново.

port-profile type vethernet VLAN1
vmware port-group
switchport mode access
switchport access vlan 1
no shutdown
state enabled

В чём причина я пока не понял. Но предполагаю, что в случае с trunk трафик от VLAN1 идет по-любому нетегированный, что как раз и нужно ESXi-хосту.
7. Если вдруг что-то пойдёт не так, то надо как-то откатиться на шаг назад. Самый простой способ это сделать - исключить ESXi-хост из Distributed switch.

     - Home
          - Inventory
               - Neteorking
                    - Нужный switch
                         -Вкладка Hosts
                              - Нужный ESXi-хост (правая кнопка)
                                    - Remove from vSphere Distributed Switch

В зависимости от степени косячности можно откатываться сколь угодно далеко. Если существуют проблемы с одновлением VEM на ESXi-хосте, и Update Manager не помогает всегда можно снести VEM руками. Что характерно, надо заводить ESXi-хост в Maintenance Mode.

esxcli software vib remove -n cisco-vem-v144-esx

Если надо снести настройку всего виртуального свитча на vCenter, то это можно сделать через консоль самого свитча:

svs connection vCenter
no vmware dvs

Для совсем жОсткого дебагинга пригодится информация по командочке vemcmd.

/etc/vmware # vemcmd help
vemcmd help:

show
show version                     Show the VEM and VSM versions
show card                        Show the card's global info
show vsm uptime                  Show the VSM's uptime
show vlan [vlan] cookie <number>
                                 Show the VLAN list (or a given vlan)
show bd [hwbd] cookie <number>   Show the VLAN/BD table
show bd bd-name <bd-name>        Show the VLAN/BD table for the given BD name
show segment [<segment-id>] cookie <number>
                                 Show the BD for the given segment ID
show igmp <vlan> [detail]        Show IGMP status and tables
show dr [vlan] cookie <number>   Show the VLAN Designated Receiver
show l2 <vlan>                   Show the L2 table for a given VLAN
show l2 all cookie <number>      Show the L2 table
show l2 bd-name <bd-name>        Show the L2 table for a given BD name
show l2 segment <seg-id>         Show the L2 table for a given Segment ID
show l2-slotwise                 Dump the l2 table slotwise
show l2-num-entries              Show the num of entries in l2 table
show port-old [priv|vsm] cookie <number>
                                 Show the port table
show port [internal|system|vsm] cookie <number>
                                 Show port information
show port vlans [internal|system|vsm] cookie <number>
                                 Show port vlan information
show port segments cookie <number>
                                 Show port segment information
show port security [internal] cookie <number>
                                 Show port security (PoertSec/PVLAN) inforamtion
show port disable-loop-detect [ltl]
                                 Show port disable-loop-detect state
show port uufb-override          Show port UUFB override states
show port-drops ingress [internal] cookie <number>
                                 Show port drop counters on all ingress stages
show port-drops egress [internal] cookie <number>
                                 Show port drop counters on all egress stages
show dvport [internal] cookie <number>
                                 Show dvport inforamtion
show ltl range cookie <number>   Show ltl range usage
show portdevice cookie <number>
                                 Show the port device types
show pc cookie <number>          Show the port channel table
dump pc                          Show debug dump for port-channel table
show portmac                     Show the port table MAC entries
show port auto-smac-learning     Show auto static mac learning state
show trunk [priv|vsm] cookie <number>
                                 Show the trunk ports in the port table
show bd-trunk                    Show the BD trunk ports in the port table
show stats cookie <number>       Show port stats
show vxlan interfaces            Show the VXLAN Encap Interfaces
show vxlan-encap ltl <ltl>       Show VXLAN Encap Information
show vxlan-encap mac <MAC.MAC.MAC>
                                 Show VXLAN Encap Information
show vxlan-stats                 Show VXLAN port stats for all ports
show vxlan-stats ltl <ltl>       Show VXLAN port stats detail
show vxlan-stats ltl <ltl> bd-all cookie <number>
                                 Show VXLAN port stats for all BDs
show vxlan-stats ltl <ltl> bd-name <bd-name>
                                 Show VXLAN port stats for a BD
show vxlan threads               Show the VXLAN thread stats
clear vxlan threads              Clear the VXLAN thread stats
show packets                     Show port packet stats
show mempool                     Show the memory pool list
show profile                     Show system profile
show pd-port                     Show the platform-dependent (vssnet) port table
show pd-port vlans               Show the platform-dependent (vssnet) port vlan table
show span                        Show SPAN/ERSPAN information
show heap                        Show the heap list
show acl                         Show ACL ids
show acl pinst                   Show ACL policy instances
dump acl policy <acl id>         Dump ACL policy for given acl id
show acl pinst tables            Show ACL policy instances tables
dump pacl entry                  Show PACL entry
show lacp [ltl] cookie <number>
                                 Show the LACP PDU Cache
show pvlan [<start> <length>] cookie <number>
                                 Show PVLAN table
show netflow monitor             Show NF Monitors
show netflow interface           Show NF Interfaces
show netflow stats               Show NF CLI session stats
show portsec stats               Show the Port Security Stats
show portsec stats vlan <vlan>   Show the Port Security Stats
                                 for a given VLAN
show portsec stats bd-name <bd-name>
                                 Show the Port Security Stats for given BD
show portsec macs <vlan>         Show the Port Security MACs
                                 for a given VLAN
show portsec macs bd-name <bd-name>
                                 Show the Port Security Macs for given BD
show portsec macs all            Show the Port Security Macs
show qos node [num|cookie] <number>
                                 Show QoS Node info
show qos policy [num|cookie] <number>
                                 Show QoS policy info
show qos pinst num|cookie <number>
                                 Show QoS pinst info
dump qos pinst tables num|cookie <number>
                                 Show QoS table pinst info
show qos queue-stats num|cookie <number>
                                 Show QoS queuing stats
show qos queue-rate num|cookie <number>
                                 Show QoS queuing rate stats
dump qos queue-nodes             show QoS queuing nodes
test respool option <option>     Test the resource pool scheduling APIs
show dhcps vlan                  Show DHCP snoop VLANs
show dhcps interfaces            Show DHCP snoop trusted/untrusted intfs
show dhcps binding               Show binding table entry in VEM
show dai vlan                    Show DAI VLANs
show dai interfaces              Show DAI trusted/untrusted intfs
show ipsg interfaces             Show IPSG intfs
show dhcps relay                 Show DHCP Relay Config
show pinning                     Show Veth pinning
show static pinning config       Show static pinning config for Veths
show dhcps opt82                 Show DHCP option 82 Information
show dhcps stats                 Show DHCP stats
clear dhcps stats                Clear DHCP stats
show dai stats                   Show DAI stats
clear dai stats <vlan-id>        Clear DAI stats
show dhcps log level             Show DHCPS log level on this VEM
set dhcps log level <level>      Set DHCPS log level on this VEM
show vsd                         Show all installed VSDs
show vsd ports <number>          Show VSD port details
show iscsi pinning               Show iSCSI pinning
show iscsi nics                  Show iSCSI HW capable nics
show ltl-map                     Show Local - Global LTL map
show arp <VLAN>                  Show ARP Cache for a given VLAN
show arp all cookie <number>     Show ARP Cache
show arp bd-name <bd-name>       Show ARP entry for the given BD name
show learnt ip                   Show learnts IPs
show ip lisp                     Show LISP Config
show ip lisp stats cookie <number> NULL
                                 Show LISP VEM stats
show ip lisp map-cache [local | remote | <eid>] cookie <number>
                                 Display map cache
show ip lisp map-cache-stats [<eid>]
                                 Display map cache stats for remote entries
clear ip lisp stats              Clear LISP VEM stats
clear ip lisp map-cache [<eid>]
                                 Delete map cache entries
show vsn binding [priv|vsm]      Show the VNS Configuration
show vsn config [unused]         Show the VSN Configuration
show vsn interfaces              Show the VSN L3 interfaces
show tracking [ltl] cookie <number>
                                 Show network-state tracking based information
show tracking config             Show network-state tracking config
show channel type                Show Channel type
show sched stats                 Show scheduler statistics
clear sched stats                Clear scheduler and port statistics
show sched errors                Show scheduler errors
show sched debug                 Show scheduler debugs
show dr stats                    Show DR stats
show ids state                   Show Intrusion Detection System (IDS) state
show pd packet stats             Show Platform specific Packet statistics
clear pd packet stats            Clear Platform specific Packet statistics

--- Set commands - be careful! ---

clear portsec mac-address <MAC.MAC.MAC> [bd-name | vlan] [<vlan>|<bdname>]
                                 Clear portsec mac entry
card uuid vmware <string>        Set the host UUID string
card name <string>               Set the host name string
card ip ddd.ddd.ddd.ddd          Set the management IPv4 address
card ipv6 xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx
                                 Set the management IPv6 address
set iscsi nic <vmnicN>           Set vmnics that are iSCSI HW capable
clear iscsi nic <vmnicN>         Clear iSCSI HW capability of a vmnic
set iscsi pinning <vmk-ltl> <vmnic-ltl>
                                 Manually pin vmknic to vmnic, overrides auto
set port-mode {trunk|access} [native-vlan <vlan>] ltl <ltl-num>
                                 Set port mode and native VLAN as system properties
set palo-enic <vmnicN>           Set a flag this vmnic is a Palo nic
clear palo-enic <vmnicN>         Clear the flag that vmnic is a Palo nic
show palo-enic                   Show all the Palo Nics on ESX
show pc-internal                 Show PC Internal info.
set ids <enable | disable>       Enable/Disable Intrusion Detection System (IDS)
show dpa heap usage              Display the DPA heap objects
show aclflow stats               Display ACL flow stats
show aclflows [permit|deny]      Display ACL flows
flush aclflows                   Flush all ACL flows
show acllog config               Show ACL-Log config on VEM
show aclflow dbgstats            Display ACL flow stats
clear aclflow dbgstats           Clear ACL flow debug stats

8. После перевода ESXi-хоста полностью на Distributed Switch можно переводить на него VM. Фишка в том, что мигрировать VM с настроенными сетевыми интерфейсами на Standard switch на ESXi-хост полностью сидящем на Distributed switch никак не получится. Поэтому есть два варианта: переводить ESXi-хост с работающими на нём VM на Distributed switch с вероятностью того, что ESXi-хост может оказаться недоступен и все VM могу лечь вместе с ним; или переводить ESXi-хост пустым и потом поднимать на нём VM из выключенного состояния. В последнем случае неудобство в том, что VM надо будет выключать. По мне второй вариант пусть и немного накладный, но зато поспокойней. По факту, надо просто выключить VM, сделать миграцию на другой хост, изменить сетевые настройки, включить и радоваться.
9. в конечном итоге Cisco Nexus 1000V должен показывать что-то вроде следующей картины.

SUN# sh module
Mod Ports Module-Type                       Model               Status
--- ----- -------------------------------- ------------------ ------------
1    0      Virtual Supervisor Module         Nexus1000V          ha-standby
2    0      Virtual Supervisor Module         Nexus1000V          active *
3    248    Virtual Ethernet Module           NA                  ok
4    248    Virtual Ethernet Module           NA                  ok

Mod Sw                  Hw
--- ------------------ ------------------------------------------------
1    4.2(1)SV1(5.2)      0.0
2    4.2(1)SV1(5.2)      0.0
3    4.2(1)SV1(5.2)      VMware ESXi 5.0.0 Releasebuild-623860 (3.0)
4    4.2(1)SV1(5.2)      VMware ESXi 5.0.0 Releasebuild-623860 (3.0)

Mod MAC-Address(es)                         Serial-Num
--- -------------------------------------- ----------
1    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA
2    00-19-07-6c-5a-a8 to 00-19-07-6c-62-a8 NA
3    02-00-0c-00-03-00 to 02-00-0c-00-03-80 NA
4    02-00-0c-00-04-00 to 02-00-0c-00-04-80 NA

Mod Server-IP        Server-UUID                           Server-Name
--- --------------- ------------------------------------ --------------------
1    192.168.111.111     NA                                    NA
2    192.168.111.111     NA                                    NA
3    192.168.111.123    29ccd778-a275-11e1-87c6-ae2e5a5a5a5a 192.168.111.123
4    192.168.111.234    13f73dd0-d106-11e0-bb15-5cf3fc796c60 192.168.111.234

* this terminal session

10. Чтобы проверить отказоустойчивость Cisco Nexus 1000V надо ввести следующую команду и поглядеть доступность сервисов:

system switchover # переключиться на другой супервизор

system switchover ? # в каком режиме будет переключение
ha Enables HA
warm Enables warm switchover

Полезные ссылки:

1. Cisco Nexus 1000V Installation and Upgrade Guide, Release 4.2(1)SV2(1.1)
2. Cisco Nexus 1000V Troubleshooting Guide, Release 4.0(4)SV1(3)
3. Cisco Nexus 1000v and vSphere VEM Manual Uninstall
4. Reinstalling Nexus 1000v VEM Modules in ESXi 5
5. How To Install The Cisco Nexus 1000V on vSphere 5
6. Настройка Cisco Nexus 1000v

Установка VMware tools под Linux

2012-11-05T21:16:00.002-08:00

Все главные фишки VMware становятся видны после подключения нормальной лицензии. Одной из них является vApp. Суть его в том, что можно стартовать и останавливать целый блок виртуальных машин автоматически, без непосредственного контроля - запустилось что или нет. Можно задать последовательно запуска (и остановки соответственно) причем указать задержку в секундах на каждом этапе запуска системы. Это важно в случае использования БД. Но для того, чтобы VMware могло всем этим управлять, необходимо поставить на VM утилиту VMware Tools. И если с виндой всё понятно, то как это происходит в Linux.

ставим пакеты gcc и make. Всё верно, пакет VMware tools под Linux есть приложение в виде исходного кода, которое надо самому скомпилировать под конкретную ОС.
ставим исходники ядра - kernel-source или kernel-headers. Всё как с установкой драйверов от производителя под Linux. Здесь же этот пакет нужен для того, чтобы встроиться в "ядро" системы.
"Install/Upgrade VMware tools" через консоль VMware для нашей VM. В этом случае VM монтируется CD-ROM или DVD-ROM на котором лежат исходники VMware tools.
монтируем привод (/dev/cdrom или /dev/dvdrom) в нужную точку монтирования (например, /mnt/cdrom).
распаковываем архив с VMware tools.
tar zxf /mnt/cdrom/VMwareTools-8.3.7-341836.tar.gz
устанавливаем VMware tools
./vmware-install.pl

В процессе установки можно смело отвечать так, как предлагает программа. Все пути она подтянет автоматически. Все необходимые приложения должны быть уже установлены. Кроме того, в отличие от Windows, VMware tools для Linux не требует перезагрузки.
Для удаления при необходимости или в случае невозможности автоматического обновления можно использовать скрипт.

/usr/bin/vmware-uninstall-tools.pl

Также его можно найти в пакете, который использовался для установки.

Источники:

1. IT-blog
2. vSphere 5 Documentation Center

UAC: Что это такое и как этим управлять

2012-10-29T00:32:00.000-07:00

~~Вся эта эта байда...~~ Весь это функционал появился в Windows Vista. По идеологии он позволяет значительно повысить безопасность система за счет ограничения в правах пользователя системы. Звучит. Однако, я не совсем понимаю как это может помочь, и поэтому я постараюсь записать где это можно отключить. Важно отметить, что данные будут приводиться как для русской версии, так и для английской, ибо ВНЕЗАПНО в настройках были обнаружены расхождения! Итак всё по порядку.

Данные параметры можно править как через GPO, так и через реестр. Путь к настройкам GPO следующий:

     - Computer Configuration
          - Policies
               - Windows Settings
                    - Security Settings
                         - Local Policies
                              - Security Options

Параметры реестра находятся по следующему пути

     - HKEY_LOCAL_MACHINE
          - SOFTWARE
               - Microsoft
                    - Windows
                         - CurrentVersion
                              - Policies
                                   - System

Теперь перейдём к самим параметрам.

User Account Control: Admin Approval Mode for the Built-in Administrator account

Режим одобрения администратором для встроенной учетной записи администратора

Данная настройка определяет, применяется ли в контроле учетных записей пользователей режим одобрения администратором к встроенной учетной записи «Администратор». Эта встроенная учетная запись по умолчанию позволяет пользователю входить в систему в режиме совместимости с Windows XP, что разрешает запускать любые приложения с полными правами администратора. По умолчанию этот параметр политики отключен.

- Enabled: The Built-in Administrator will logon in Admin Approval Mode. By default any operation that requires elevation of privilege will prompt the Consent Admin to choose either Permit or Deny.
- Disabled: The Built-in Administrator will logon in XP compatible mode and run all applications by default with full administrative privilege.

;Отключить
"FilterAdministratorToken"=dword:00000000

User Account Contro:l Behavior of the elevation prompt for administrators in Admin Approval Mode

Поведение запроса на повышение прав для администраторов в режиме одобрения администратором

Текущая настройка позволяет определить действия пользователя, который входит в группу «Администраторы» при выполнении операции, требующей повышения прав. Значение по умолчанию установлено «Запрос согласия для сторонних двоичных файлов (не Windows)».
Возможные значения параметра:

Повышение без запроса. Позволяет привилегированным учетным записям выполнить операцию, требующую повышения прав, без подтверждения согласия или ввода учетных данных. Желательно использовать данную опцию только в средах с максимальными ограничениями пользователей. При выборе этой настройки, пользовательские полномочия станут идентичными встроенной учетной записи администратора.

Запрос учетных данных на безопасном рабочем столе. Для любой операции, требующей повышения прав, на безопасном рабочем столе будет выводиться предложение ввести имя и пароль привилегированного пользователя. Если вводятся правильные учетные данные, операция будет продолжена с максимальными доступными правами пользователя.

Запрос согласия на безопасном рабочем столе. Для любой операции, требующей повышения прав, на безопасном рабочем столе будет выводиться предложение выбрать: «Разрешить» или «Запретить». При выборе опции «Разрешить», операция будет продолжена с максимальными доступными правами пользователя.

Запрос учетных данных. Для любой операции, которая требует повышения полномочий, будет выводиться предложение ввести имя пользователя и пароль учетной записи администратора. При вводе правильных учетных данных, операция будет продолжена с повышенными полномочиями.

Запрос согласия. При выборе этой опции, для любой операции, требующей повышения прав, пользователю будет предлагаться выбрать нажать на кнопку: «Разрешить» или «Запретить». При нажатии на кнопку «Разрешить», операция будет продолжена с максимальными доступными привилегиями пользователя.

Запрос согласия для сторонних двоичных файлов (не Windows). При выборе этой опции, на безопасном рабочем столе будет выводиться предложение выбора: «Разрешить» или «Запретить», в том случае, когда операция для приложения стороннего (не Майкрософт) производителя требует повышения прав. По нажатию на кнопку «Разрешить», операция будет продолжена с максимальными доступными привилегиями пользователя.

This security setting determines the behavior of the elevation prompt for administrators.
The options are:

Prompt for consent: An operation that requires elevation of privilege will prompt the Consent Admin to select either Permit or Deny. If the Consent Admin selects Permit the operation will continue with their highest available privilege. This option allows users to enter their name and password to perform a privileged task.

Prompt for credentials: An operation that requires elevation of privilege will prompt the Consent Admin to enter their user name and password. If the user enters valid credentials the operation will continue with the applicable privilege.

Elevate without prompting: This option allows the Consent Admin to perform an operation that requires elevation without consent or credentials. Note: this scenario should only be used in the most constrained environments.

Default: Prompt for consent

;Повышение без запроса
"ConsentPromptBehaviorAdmin"=dword:00000000
;Запрос учетных данных на безопасном рабочем столе
"ConsentPromptBehaviorAdmin"=dword:00000001
;Запрос согласия на безопсном рабочем столе
"ConsentPromptBehaviorAdmin"=dword:00000002
;Запрос учетных данных "ConsentPromptBehaviorAdmin"=dword:00000003
;Запрос согласия
"ConsentPromptBehaviorAdmin"=dword:00000004
;Запрос согласия для двоичных данных не из Windows
"ConsentPromptBehaviorAdmin"=dword:00000005

User Account Control: Behavior of the elevation prompt for standard users

Поведение запроса на повышение прав для обычных пользователей

Данный параметр политики определяет выполняемые действия при взаимодействии обычного пользователя с приложениями, требующими повышения прав. Значение по умолчанию – «Запрос учетных данных на безопасном рабочем столе».
Возможные значения параметра:

Запрос учетных данных. Используя этот параметр, обычному пользователю предлагается выбрать учетную запись администратора и ввести пароль для выполнения последующих действий. Операция будет продолжена только в том случае, если учетные данные введены правильно.

Автоматически запретить запросы на повышение прав. При выборе этого параметра, для обычного пользователя будет показано сообщение об ошибке в связи с запретом на доступ в случае выполнения операции, требующей повышения полномочий. Организации, настольные компьютеры которых используются обычными пользователями, могут выбрать этот параметр политики для уменьшения числа обращений в службу поддержки.

Запрос учетных данных на безопасном рабочем столе. Выбрав данный параметр, обычному пользователю предлагается выбрать учетную запись администратора и ввести пароль для выполнения последующих действий только на безопасном рабочем столе. Операция будет продолжена только в том случае, если учетные данные введены правильно.

This security setting determines the behavior of the elevation prompt for standard users. The options are:

Prompt for credentials: An operation that requires elevation of privilege will prompt the user to enter an administrative user name and password. If the user enters valid credentials the operation will continue with the applicable privilege.

Automatically deny elevation requests: This option results in an access denied error message being returned to the standard user when they try to perform an operation that requires elevation of privilege. Most enterprises running desktops as standard user will configure this policy to reduce help desk calls.

Default: Prompt for credentials (home) / Automatically deny elevation requests (enterprise)

;Автоматически отклонять запросы на повышение прав "ConsentPromptBehaviorUser"=dword:00000000
;Запрос учетных данных на безопасном рабочем столе "ConsentPromptBehaviorUser"=dword:00000001 ;
;Запрос учетных данных "ConsentPromptBehaviorUser"=dword:00000003

User Account Control: Detect application installations and prompt for elevation

Обнаружение установки приложений и запрос на повышение прав

Эта настройка определяет характеристики обнаружения установки приложений для компьютера, проверяя подписаны ли программы, применяемые для развертывания приложений или нет. По умолчанию, если пользователь входит в рабочую группу, она включена.
Возможные значения параметра:

Включено (по умолчанию для дома). В том случае, если программа установки приложений обнаруживает необходимость повышения полномочий, пользователю предлагается ввести имя пользователя и пароль учетной записи администратора. Если пользователь вводит правильные учетные данные, операция продолжается с соответствующими правами. Вид запроса зависит от того, к какой группе принадлежит пользователь.

Отключено (по умолчанию для организации). При выборе этой настройки, обнаружение программы установки приложений не выдает запрос на повышение полномочий. Обычно эта настройка применяется в организациях, компьютеры и пользователи которой входят в состав домена и для развертывания приложений используются технологии делегированной установки (Group Policy Software Install - GPSI). Соответственно, необходимость в обнаружении установщика отпадает.

This security setting determines the behavior of application installation detection for the entire system.
The options are:

Enabled: Application installation packages that require an elevation of privilege to install will be heuristically detected and trigger the configured elevation prompt UX.

Disabled: Enterprises running standard users desktops that leverage delegated installation technologies like Group Policy Software Install (GPSI) or SMS will disable this feature. In this case, installer detection is unnecessary and thus not required.

Default: Enabled (home) / Disabled (enterprise)

;Отключить
"EnableInstallerDetection"=dword:00000000

User Account Control: Only elevate executables that are signed and validated

Повышение прав только для подписанных и проверенных исполняемых файлов

Данная настройка групповой политики контроля учетных записей позволяет определять, нужно ли выполнять проверку подлинности подписей интерактивных приложений с инфраструктурой открытого ключа (Public key infrastructure PKI), которые требуют повышения полномочий. Задачей PKI является определение политики выпуска цифровых сертификатов, выдача их и аннулирование, хранение информации, необходимой для последующей проверки правильности сертификатов. В число приложений, поддерживающих PKI, входят: защищенная электронная почта, протоколы платежей, электронные чеки, электронный обмен информацией, защита данных в сетях с протоколом IP, электронные формы и документы с электронной цифровой подписью. Если включена эта проверка, то программы инициируют проверку пути сертификата. Значение этой настройки по умолчанию – Отключено.
Возможные значения параметра:

Включено. Принудительно инициируется проверка пути PKI-сертификатов, прежде чем запускается на исполнение данный файл. В основном данная настройка используется в организациях с доменом, в том случае если администратор поместил PKI-сертификаты в хранилище надежных издателей.

Отключено. При установке этого параметра, контроль учетных записей не инициирует проверку цепочки верификации PKI-сертификатов, прежде чем разрешить выполнение данного исполняемого файла.

This security setting will enforce PKI signature checks on any interactive application that requests elevation of privilege. Enterprise administrators can control the admin application allowed list thru the population of certificates in the local computers Trusted Publisher Store.
The options are:

Enabled: Enforces the PKI certificate chain validation of a given executable before it is permitted to run.

Disabled: Does not enforce PKI certificate chain validation before a given executable is permitted to run.

;Отключить
"ValidateAdminCodeSignatures"=dword:00000000

User Account Control: Only elevate UIAccess applications that are installed in secure locations

Повышать права для UIAccess-приложений только при установке в безопасных местах

Текущий параметр политики позволяет управлять разрешением на местонахождение приложений, которые запрашивают выполнение на уровне целостности, определяющейся атрибутом пользовательского интерфейса доступа (User Interface of Access - UIAccess) в безопасном месте файловой системы. По умолчанию, эта настройка включена и у приложений со специальными возможностями, для атрибута UIAccess в манифесте устанавливается значение True для управления окна запроса повышения превелегий. Если у приложений значение false, то есть если атрибут опущен или отсутствует манифест для сборки, приложение не сможет получить доступ к защищенному пользовательскому интерфейсу. Безопасными считаются только следующие папки:

…\Program Files\, включая вложенные папки
…\Windows\system32\
…\Program Files (x86)\, включая вложенные папки для 64-разрядных версий Windows

Возможные значения параметра:

Включено. Приложение будет запускаться с уровнем целостности UIAccess только в том случае, если оно находится в безопасной папке файловой системы.

Отключено. Приложение будет запускаться с уровнем целостности UIAccess, даже если оно не находится в безопасной папке файловой системы.

This security setting will enforce the requirement that applications that request execution with a UIAccess integrity level (via a marking of UIAccess=true in their application manifest), must reside in a secure location on the file system. Secure locations are limited to the following directories:

...\Program Files\, including subdirectories
...\Windows\system32\
...\Program Files (x86)\, including subdirectories for 64 bit versions of Windows

Note: Windows enforces a PKI signature check on any interactive application that requests execution with UIAccess integrity level regardless of the state of this security setting.
The options are:

Enabled: An application will only launch with UIAccess integrity if it resides in a secure location in the file system.

Disabled: An application will launch with UIAccess integrity even if it does not reside in a secure location in the file system.

Default: Enabled

;Отключить
"EnableSecureUIAPaths"=dword:00000000

User Account Control: Switch to the secure desktop when prompting for elevation

Переключение к безопасному рабочему столу при выполнении запроса на повышение прав

Данный параметр политики определяет, будут ли запросы на повышение полномочий выводиться на интерактивный рабочий стол пользователя или на безопасный рабочий стол при инициировании UAC-запроса. Значение по умолчанию – включено. При изменении этого параметра политики необходимо перезагрузить компьютер.
Возможные значения параметры:

Включено. Все запросы на повышение прав выводятся на безопасный рабочий стол независимо от параметров политики поведения приглашения для администраторов и обычных пользователей.

Отключено. Все запросы на повышение прав выводятся на интерактивный рабочий стол пользователя.

This security setting determines whether the elevation request will prompt on the interactive users desktop or the Secure Desktop.
The options are:

Enabled: All elevation requests by default will go to the secure desktop

Disabled: All elevation requests will go to the interactive users desktop

Default: Enabled

;Отключить
"PromptOnSecureDesktop"=dword:00000000

User Account Control: Virtualizes file and registry write failures to per-user locations

При сбоях записи в файл или реестр виртуализация в место размещения пользователя

Этот параметр управляет перенаправлением сбоев записи приложений в определенные расположения в реестре и файловой системе. В случае, если эта настройка включена, для устаревших приложений, которые пытаются считывать или записывать информацию, используя защищенные области системы, контроль учетных записей виртуализирует реестр и файловую систему. Благодаря этой настройке, UAC позволяет уменьшить опасность устаревших приложений, которые выполняются от имени администратора и во время выполнения записывают данные в папку %ProgramFiles%, %Windir%; %Windir%\system32 или в раздел системного реестра HKLM\Software\. Значение по умолчанию – включено.
Возможные значения параметра:

Включено. Сбои записи приложений перенаправляются во время выполнения в определенные пользователем расположения в файловой системе и реестре.

Отключено. Выполнение приложений, записывающих данные в безопасные расположения, заканчивается ошибкой, и не будет исполняться.

This security setting enables the redirection of legacy application write failures to defined locations in both the registry and file system. This feature mitigates those applications that historically ran as administrator and wrote runtime application data back to either %ProgramFiles%, %Windir%; %Windir%\system32 or HKLM\Software\....
Virtualization facilitates the running of pre-Vista (legacy) applications that historically failed to run as Standard User. An administrator running only Windows Vista compliant applications may choose to disable this feature as it is unnecessary.
The options are:

Enabled: Facilitates the runtime redirection of application write failures to defined user locations for both the file system and registry.

Disabled: Applications that write data to protected locations will simply fail as they did in previous versions of Windows.

Default : Enabled

;Отключить
"EnableVirtualization"=dword:00000000

User Account Control: Allow UIAccess applications to prompt for elevation without using the secure desktop.

Разрешить UIAccess-приложениям запрашивать повышение прав, не используя безопасный рабочий стол

Этот новый параметр политики, появившийся в операционных системах Windows 7 и Windows Server 2008 R2, определяет, могут ли UIAccess-приложения автоматически отключать безопасный рабочий стол для запросов на повышение полномочий, используемых обычным пользователем. Значение по умолчанию – отключено.
Возможные значения параметра:

Включено. При выборе этой настройки, UIAccess-программы, в том числе удаленный помощник Windows, автоматически отключают безопасный рабочий стол для запросов на повышение полномочий. Если параметр политики «Контроль учетных записей: переключение к безопасному рабочему столу при выполнении запроса на повышение прав» включен, то предложение появится на интерактивном рабочем столе пользователя, а не на безопасном рабочем столе.

Отключено. При выборе этого параметра, безопасный рабочий стол может быть отключен только пользователем интерактивного рабочего стола или путем отключения параметра политики «Контроль учетных записей: переключение к безопасному рабочему столу при выполнении запроса на повышение прав».

This security setting controls whether User Interface Accessibility (UIAccess or UIA) programs can automatically disable the secure desktop for elevation prompts being used by a standard user.
If you enable this setting, UIA programs including Windows Remote Assistance can automatically disable the secure desktop for elevation prompts. Unless you have also disabled elevation prompts, the prompts will appear on the interactive user's desktop instead of the secure desktop.
If you disable or do not configure this setting, the secure desktop can only be disabled by the user of the interactive desktop or by disabling the "User Account Control: Switch to the secure desktop when prompting for elevation" setting.
UIA programs are designed to interact with Windows and application programs on behalf of a user. This setting allows UIA programs to bypass the secure desktop to increase usability in certain cases, but allowing elevation requests to appear on the regular interactive desktop instead of the secure desktop increases your security risk.
Since UIA programs must be able to respond to prompts regarding security issues, such as the UAC elevation prompt, UIA programs must be highly trusted. In order to be considered trusted, a UIA program must be digitally signed. By default, UIA programs can be run only from the following protected paths:
...\Program Files\ (and subfolders)
...\Program Files (x86)\ (and subfolders, in 64-bit versions of Windows only)
...\Windows\System32\

The requirement to be in a protected path can be disabled by the "User Account Control: Only elevate UIAccess applications that are installed in secure locations" setting.
While this setting applies to any UIA program, it will be used primarily in certain Windows Remote Assistance scenarios. The Windows Remote Assistance program in Windows Vista is a UIA program.
If a user requests remote assistance from an administrator and the remote assistance session is established, any elevation prompts appear on the interactive user's secure desktop and the administrator's remote session is paused. To avoid pausing the remote administrator’s session during elevation requests, ,the user may select the "Allow IT Expert to respond to User Account Control prompts" check box when setting up the remote assistance session. However, selecting this check box itself requires that the interactive user respond to an elevation prompt on the secure desktop. If the interactive user is a standard user, the user does not have the required credentials to allow elevation.
If you enable this setting, ("User Account Control: Allow UIAccess applications to prompt for elevation without using the secure desktop”), , requests for elevation are automatically sent to the interactive desktop (not the secure desktop) and also appear on the remote administrator's view of the desktop during a Windows Remote Assistance session, and the remote administrator is able to provide the appropriate credentials for elevation.
This setting does not change the behavior of the UAC elevation prompt for administrators.
If you plan to enable this setting, you should also review the effect of the "User Account Control: Behavior of the elevation prompt for standard users" setting. If it is configured as "Automatically deny elevation requests" elevation requests will not be presented to the user.

;Отключить
"EnableUIADesktopToggle"=dword:00000000

User Account Control: Run all administrators in Admin Approval Mode.

Все администраторы работают в режиме одобрения администратором (других вариантов я не нашёл)

Этот параметр политики определяет характеристики всех политик контроля учетных записей для компьютера. От данного параметра зависит, будут ли учетные записи администраторов запускаться в «режиме одобрения администратором», то есть будут ли отображаться диалоги с запросом на повышение полномочий. Отключение этой настройки, грубо говоря, полностью отключает функционал контроля учетными записями пользователей. При изменении этого параметра политики необходимо перезагрузить компьютер. Значение по умолчанию – включено.
Возможные значения параметра:

Включено. Режим одобрения администратором включен для того, чтобы разрешить встроенной учетной записи администратора и всем остальным пользователям, являющимся членами группы «Администраторы», работать в режиме одобрения администратором.

Отключено. Режим одобрения администратором и все соответствующие параметры политики контроля учетных записей будут отключены.

This security setting determines the behavior of all UAC policies for the entire system.
The options are:

Enabled: Admin Approval Mode and all other UAC policies are dependent on this option being enabled. Changing this setting requires a system reboot.

Disabled: Admin Approval Mode user type and all related UAC policies will be disabled. Note: the Security Center will notify that the overall security of the operating system has been reduced.

Default: Enabled

;Отключить
"EnableLUA"=dword:00000000

В итоге

Будьте аккуратны при изменении этих параметров, потому что последствия после накатывания различных апдейтов могут быть совсем не предсказуемые. Кроме того название параметров могут со временем измениться, поэтому отслеживайте все обновления на контроллер домена и всё ПО, которое может использовать для своей работы UAC.

Полезные ссылки:

Заметки по курсам VmWare.

2012-10-22T05:29:00.000-07:00

Иногда ходишь на курсы, где выливается достаточно много информации. Всегда есть информация, которая очень незначительна по объёму, но очень полезна в практическом плане. Её лучше записать, чтобы потом банально не забыть.

День 1

SaaS - Software as a Service
IaaS - Infrastructure as a Service

Сайт поддержки: http://www.vmware.com/support

Basic: 8x5

Professional: 24x7

По последней информации SAP, DB2 и Oracle нормально поддерживают виртуализацию.

vsp_41_config_max - интересный документ, в котором прописана максимальная конфигурация для виртуальных машин.

VMFS - файловая система созданная специально для виртуальных машин, поддерживающая работу с ОЧЕНЬ большими файлами. Так как файл диска VM часто весит сотни гигабайт

VmWare Lab Manager - продукт для программистов. Выдаются права на создание виртуальных машин по шаблону. Сейчас не очень актуально, так как есть vCloud Director - облако в аренду.

SCP - протолок работы со средой виртуализации. Поднимается на хосте ESXi. WinSCP и FastSCP - программы для работы по этому протоколу.

C ESXi запрещено работать любому коммерческому софту. Всё через vCenter.

CIM - протокол работы с аппаратными счетчиками железа через запросы. В vSphere Client эти данные выводятся как раз через CIM

При установке ESX требования к RAM - минимум 2GB.

Если кончится место на дисковой системе, то все виртуальные машины переходят в состояние Suspend.

Максимальный размер хранилища при использовании VMFS - 2ТБ. То есть все луны для виртуальных машин надо бить по 2ТБ. Есть механизм SPLIT.

Troubleshooting Options - Enable Local Tech Support - подключение по SSH.

Nexus 1000 V - виртуальный коммутатор от Cisco. Отдельно покупается и устанавливается в Sphere. Рекомендуемая штука, если есть потребность пробрасывать VLAN1 для виртуальных машин.

kxstart.cfg - скрипт в котором настройки, которые использовались при создании виртуальной машины. Создаётся в корне директории после создания VM.

В vCenter есть Host Profile - это нечто групповых политик для домена AD. После применения Host Profiles к ESXi, он получает все настройки, которые уже определены для компании.

Комманда esxtop показывает закгрузку ESX.

После истечения 60-ти дневной лицензии не ESX машины продолжают работать, но управлять ими (включая STOP/START) не будет возможности.

ESX -> Configuration -> Software -> Time Configuration

Надо обязательно настроить NTP. Лучше NTP поднимать на Cisco.

Некоторые продукты для VmWare очень сильно завязаны на AD. Поэтому лучше и AD и VmWare завязывать на один и тот же NTP.

В ESX есть встроенный Firewall. В ESXi это просто список запущенных служб.

vCenter поддерживает до 1000 хостов и 10 000 виртуальных машин. В пятой версии возможно больше.

vCenter и ESXi-хосты должны иметь IP-адреса из одной подсети, иначе ESXi-хосты будут постоянно отваливаться.

Можно устанавливать более одного vCenter. Если стоит один vCenter, то он стоит в режиме StandAlone. Если стоит 2 и более, то они ставятся в режиме Linked Mode.

Лицензии для vCenter:

1. SMB: Essentials и Essentials Plus - поддерживают до 3-х серверов по 2 CPU в каждом. Именно CPU, а не ядра
2. Enterprise:

Standard - консолидирует ESXi
Advanced - добавляет отказоустойчивость
Enterprice - автоматическое развёртывание и балансировка
Enterprice Plus - управление большой инфраструктурой. Функция Host Profile подклюается именно в этой лицензии.

Функция vMotion есть во всех лицензиях Enterprice.

vCenter интегрируется с AD для того, чтобы пользователям давать нужные права через группы и прочее.

Конвертация виртуальных машин из одного формата в другой возможна с использованием различных plug-in:

- Plug-ins
- Manage Plug-ins

VMware vCenter Update Manager - это по факту WSUS для VMware. Может обновлять не только VMware хосты ESXi, но и Windows машины.

Для маленькой инсталляции (до 5 хостов) хватит MS SQL Express 2005. Вообще базу данных можно вынести (что, кстати есть правильно) на отдельную машину.

Для подключения базы данных с другого хоста надо задать системную запись DSN (Data Source Name):

     - Пуск
          - Администрирование
               - Администратор источников данных ODBC
                    - Системный DSN
                         - Добавить

При установке vCenter надо указать созданный DSN.
Также можно выбрать какой режим ставить:

Standalone
Join to vCenter in Linked Mode

BLOG.VADMIN.RU

Виртуальный свитч в VMware может работать в двух режимах:

Standard - все VLAN надо создавать на каждом ESX ручками (почти у всех так :D). Включен по-умолчанию.
Distributed - свитч размазанный по всем ESXi. VLAN'ы создаются один раз, а потом они автоматом передаются на все хосты ESXi.

VPXA агент - ресурс, который позволяет vCenter подключаться к VMware ESXi хостам. Стоит на стороне ESXi хоста.

День 2

Lockdown Mode - режим при котором удалённое администрирование отключено. Можно подключиться только с физической консоли.

Только Distributed Switch поддерживает Private VLAN.

Cisco Nexus 1000V есть расширение для vCenter. Для лицензии Enterprise и Enterprise + свитч Nexus 1000V уже включен. Скачивается как appliance на сайте cisco.com

VM -> ACE - срок жизни VM. Через сколько времени машина перестанет работать.

Orchestrator - программа, которая реагирует на события. Например, у нас HDD на VM подошёл к 90% - тушим VM. В 5й версии vCenter этой программы уже нет. Там есть vCLI - коммандная строка в которую система мониторинга (например, Paessler) передаёт скрипт, который как и тушит VM.

<имя vm>.vmx - конфигурация VM

<имя vm>.vmdk - описание виртуального жесткого диска

<имя vm>-flat.vmdk - виртуальный жесткий диск системы

<имя vm>.nvram - BIOS виртуальной машины

vmware.log - журнал виртуальной машины

vmware-#.log - неактуальные сохранённые файлы журналов

<имя vm>.vswp - swap-файл виртуальной машины

<имя vm>.vmsd - описание мгновенных снимков виртуальной машины.

В виртуальной машине максимум может быть 8 виртуальных CPU. Это связанно с тем, что когда VMware даёт 8 CPU виртуальной машине, то он ОДНОМОМЕНТНО даёт VM ВСЕ 8 CPU СРАЗУ. То есть если ESXi хост имеет 2 CPU по 4 ядра, то VM с 8 CPU съест все 8 ядер СРАЗУ(!) Поэтому лучше давать по 1 CPU на машину.

Сетевые адаптеры:

vlance - PCNet поддерживается почти всеми OS.
vmxnet - быстрее по производительности. Поддерживается не всеми OS.
Enchanced vmxnet - vmxnet v.2
vmxnet3 - vmnxnet v.3
Flexible - или vlance или vmxnet, в зависимости от того, какая сетевая поддерживается OS.
E1000 - быстрый адаптер, аналог Intel E1000

Импорт Virtual Appliance - это загрузка VM из Marketplace (vmware.com/appliances) с помощью vSphere Client.

vCenter Converter - программа, которая конвертирует VM сторонних вендоров (MS) или физические машины в свой формат. То есть на входе ОДНА VM типа Hyper-V превращается в ОДНУ VM от VMware. Или на входе ОДНА физическая машина превращается на выходе в ОДНУ VM формата VMware.
Шаблон в VMware позволяет работать только с машинами от VMware. Оба продукта работают как с включенными, так и с выключенными машинами.
Для 4-й версии VMware Converter надо ставить и на vCenter и на машину администратора. В 5-й версии - только на машину администратора.

Disk-based клонирование - копирует диск целиком с сохранением структуры диска.
Volume-based клонирование - клонирует поблочно, диски делает свои.

Настройки сети в ESX (жопа):

# esxcfg-vswif -i <a.b.c.d> -n <w.x.y.z> vswif0
/etc/hosts -> a.b.c.d esx1
/etc/sysconfig/network
GATEWAY=a.b.c.d
HOSTNAME=esx1
#service network restart

vApp (Virtual Appliance) - виртуальная инфраструктура от стороннего производителя.

С помощью vApp можно объединить несколько VM в один объект с необходимым управлением. Например, Domain Controller, Exchange и FS. Можно задать очерёдность запуска. Например, сначала включать DC, потом уже FS и Exchange.

Миграция VM бывает:

Cold - VM выключена
Suspend - VM в режиме Suspend
VMware vMotion - включённая VM мигрирует на другой ESX-хост
Storage vMotion - включенная VM мигрирует на другой darastore

Разрешения для пользователей есть совокупность:
1. Роль - есть объект, в виде совокупности привелегий (разрешние мигрировать VM, удалять VM и т.д.)
Объект - на какой объект распространяются привилегии (VM, Cluster, ESXi и т.д.)
Group - группа пользователей, к которым применяются эти разрешения (группы из AD: users, helpdesk, admins и т.д.)

Настройки Distributed switch:

     - Настройки Port-Group
          - Policies
               - Security

Promiscuous Mode - что-то вроде trunk. Надо проверить.
MAC-address changes - разрешает или запрещает трафик ОТ VM если MAC-адрес изменился.
Forged Transmits - разрешает или запрещает трафик К VM если MAC-адрес изменился.

802.1Q

VGT - Virtual Machine Guest Tagging - VLAN-ID передаются до VM. То есть машина сама парсит и ставит тэги VLAN.
VST - Virtual Switch Tagging. VLAN-ID доходит до виртуального свитча и там обрезаются. На VM приходит уже нативный трафик.
EST - External Switch Tagging. VLAN-ID обрезаются на физическом свитче, и на виртуальных свитч идёт уже нетэгированный трафик.

Private VLAN:

community - разрешён трафик между членами группы и интернетом. С членами других групп трафик запрешён.
isolated - разрешён трафик только с интернетом
promiscuous - весь трафик разрешён.

День 3

Лабораторка с iSCSI
Ставим Ubuntu, чтобы сделать его дисковым массивом, доступным по iSCSI:

sudo apt-get install iscsitarget
sudo vi /etc/ietd.conf
/etc/ietd/ietd.conf

раскомментируем строки:
# target iqn.2011-05...
# LUN 0 path=/dev/sdc, type=fileeio
sudo vi /etc/default/iscsiterget
ISCSITARGET_ENABLE=true
sudo /etc/init.d/iscsitarget restart
Настройка сети:
sudo vi /etc/network/interfaces
iface eth0 inet dhcp

iface eth0 inet static
address [192.168.1.100]
netmask [255.255.255.0]
gateway [192.168.1.1]
sudo /etc/init.d/networking restart

Для связи по iSCSI надо создать port-group VMkernel для связи по iSCSI (и vMotion). Когда создаём эту группу, то заводим её в ту подсеть, где находится iSCSI хранилище. Установив галку vMotion можно включить функцию vMotion для ESX-хоста или выключить.

     - ESX
          - Configuration
               - Hardware
                    - Networking
                         - Add Networking
                              - VMKernel
                                   - Use vSwitch
                                        - ...

Также надо включить iSCSI Software Adapter

     - ESX
          - Configuration
               - Hardware
                    - Storage Adapters
                         - iSCSI Software Adapters
                              - Properties
                                   - Enable
                                        - Send targets (указать адрес iSCSI сервера с дисками)

Добавление iSCSI хранилища

     - ESX
          - Configuration
               - Hardware
                    - Storage
                         - Add storage
                              - Disk/LUN
                              - ...
                              - Enter datastore name
                              - Blocksize -> MAX datastore size

1MB -> 256GB
2MB -> 512GB
4MB -> 1TB
8MB -> 2TB

При активации переезда VM с одного хоста ESX на другой с помощью vMotion, есть несколько нюансов:

Существует определённое количество итераций на перенос VM с одного ESX на другой. Если не успел переехать - FAIL, - и VM остаётся на исходном хосте.
При каждой итерации перемещается определённое количество данных, которые не меняются. Те, что изменились копируются заново.
С каждой итерацией, количество байтов данных для переноса должно становиться всё меньше и меньше.
Если все данные успеют переехать, то "успэх". Если нет, то FAIL и VM остаётся на исходном ESX-хосте.

Мигрировать можно одновременно:

до 4-х datastore
до 8-ми VM

OVF - Open Virtual Format, был создан компанией VMware для единой стандартизации формата виртуальной среды.

vCenter Converter - позволяет создать ISO-образ конвертера, выключить физическую машину, загрузиться с этого CD/DVD и запустить клонирование (или конвертацию) уже так. В этом случае конвертер передаёт на ESX уже более актуальные данные.
При рабочей машине на неё ставится агент от конвертера, и уже он сливает образ физической машины на нужный ESX-хост.

     - ESX
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужная VM (правая кнопка мыши)
                              - Import VM

Guided Consolidation

Идёт в комплекте с vCenter. Отслеживает насколько удачно можно переводить физические машины в виртуальную среду. Если возможность есть, то он может их перевести (или сконвертировать) в VM среду. Процесс:

Provider - находит системы для миграции
Collector - получает первоначальные данные от провайдера, и собирает дополнительные данные о системах. Передаёт их на VPXD.
VPXD - получает данные от коллектора, взаимодействует с vCenter Server DB и vCenter Converter.
Converter - конвертирует нужные системы в VM среду.

Guided Consolidation встраивается как plug-in к vCenter Server. После подключения появляется новая вкладка:

     - ESX
          - Номе
               - Solutions & Applications
                    - Guided Consolidation

При обследовании инфраструктуры ПО собирает около 10-12 параметров с машины: CPU, RAM, HDD и т.д. Для сравнения, Capasity Planner собирает порядка 100. Guided Consolidation даёт рекомендации . Можно его послушать и конвертировать. Можно всё переставлять руками. Capasity IQ - инструмент из серии "что-если".

Существует особенность, при которой запуск виртуальной машины и её миграция на хост ESX с другим CPU может стать фатальной. Например, VM была сделана на ESX-хосте с Xenon 4-й редакцией, а её мигрируют на ESX-хост с Xenon 1й редакцией. Так вот при миграции часть инструкций CPU может запросто обрезаться. При этом машина останавливается.
Есть метод или технология VMware, которые позволяют обрезать некоторые возможности CPU:

     - ESX
          - Номе
               - Inventory
                    - Cluster
                         - Settinngs
                              - VMware EVC
                                   - Change EVC Mode
                                        - Enable for AMD Hosts                                        - Enable for Intel Hosts

Если добавляем в кластер новый ESX-хост он будет проверяться на совместимость с существующими ESX-хостами. Для обеспечения лучшей совместимости можно использовать маскирование CPU.

     - ESX
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужная VM (правая кнопка мыши)
                              - Settings
                                   - Advanced
                                        - CPU ID Mask

Среди Advanced опций можно выделить также следующие:

Boot Options - Power on Boot Delay (задержка перед стартом машины. Нужно чтобы зайти в BIOS) и Forge BIOS Setup (принудительно зайти в BIOS при запуске VM).
Fibre Channel NPIV - представляет собой функцию порта Fibre Channel, которая позволяет нескольким идентификаторам N_Port ID использовать единый физический порт N_Port. Это позволяет нескольким инициаторам Fibre Channel занимать один физический порт, что снижает требования к аппаратному обеспечению при проектировании сетевых хранилищ SAN. Это особенно важно, когда требуется развернуть виртуальные сети хранения данных.
Swapfile Location - не рекомендует разносить swap-файл и файл виртуальной машины на разные диски.

Snapshot - при snapshot VMware сохраняет состояние HDD и RAM. При клике на кнопку Snapshot, на файле ставится флаг, а новые данные пишутся в дельта-файл. Когда создаётся ещё один snapshot, то в дельта-файл ставится флаг, а новые данные пишутся уже в новый (другой) дельта-файл. Snapshot не рекомендуется хранить больше недели.
При созданных snapshot'ах нельзя изменять параметры системы, такие как размер HDD.

День 4

Access Control

Лучше клонировать доступ с уже предустановленных ролей, и их уже править. Потому что "No access" не даст даже подключиться к vCenter. Read-Only сможет залогиниться, но у него НИКАКИХ(!) привилегий не выставлено.

     - ESX
          - Номе
               - Administration
                    - Roles
                         - vCenter Name

Resource Monitoring

- ESX-хост
- Вкладка Performance

Эти графики отрисовываются с помощью IE. Если они не выводятся, то искать надо в сторону IE.

Memory OverCommitment - выделять больше памяти, чем физически есть в сервере.

Transparent Memory Page Sharring - технология хранения одинаковых "страниц" памяти в одном экземпляря, во исключения дублирования данных и снижение затрат RAM.

Baloon-Driver Mechanism:

В RAM загружается резидент, который по требованию отгрызает физическую память и передаёт её VM. Резидент есть Baloon.
Baloon не может занять больше памяти, чем есть на ESX.
Как только VM не нужна память, то она отдаёт её Baloon'у, а тот в свою очередь отдаёт её операционной системе - гипервизору. Тем самым baloon сдувается.

VMKernel

Виртуалка съела всю RAM выделенную для VM, начинает писать в свой SWAP. ESXi видит попытки писать в SWAP и даёт ей SWAP в виде куска RAM от гипервизора. Если съели всю свою RAM, всю RAM гипервизора, то ESXi-хост начинает писать уже в свой SWAP - VMKernel SWAP. Этот процесс сильно бьёт по производительности всего ESXi-хоста. После выедание всего SWAP файла гипервизора - АПОКАЛИПСИС. Как после этого поднимать хост - никто не знает. Явно надо вытаскивать VM через общую datastore на другой ESXi-хост и там уже поправив параметры запускать.

Memory Compression - технология, которая сжимает данные RAM, когда они пишутся в VMKernel SWAP.

Настройка ресурсов VM:

     - ESX
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужная VM (правая кнопка мыши)
                              - Settings
                                   - Resources
                                        - CPU
                                        - RAM
                                        - HDD

Resource Allocation:

Shares - приоритет выделения CPU.10 - условная величина, для VM1. 1000 - VM c этим приоритетом получит в 100 раз больше CPU MHz, чем VM1.
Reservation - гарантированная величина
Limit - ограничивать ресурсы, чтобы VM не сожрала все ресурсы ESXi.

AppSpeed - ПО для оценки скорости работы приложений работающих на ESXi.
nnBackUp - простая программа для BackUp

Технологии выбора SAN-путей до SAN-хранилища:

Round Robin - каждый по порядку, без привилегий.
Fixed - то, что задано руками.
Most Recently Used - какой из путей чаще всего использовался.
VMW_PSP_FIXED_AP - тоже, что и Fixed, только в этом случае при восстановлении упавщего линка, канал остаётся на резервном. Даже если основной поднимается.

Alarm срабатывает по 2 причинам:

условие (например, >90% RAM съело)
событие (остановка Fan)

Resource Pool:

     - ESX
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужный кластер (правая кнопка мыши)
                              - Create Resource Pool

Resource Pool ограничивает VM вне зависимости от настроек в самой VM. Кроме того, он позволяет гарантированно выделить ресурсы для определённых VM. Например, мы можем гарантировать для конкретной группы VM определённые ресурсы, такие как CPU и RAM. Глубина Resource Pool может включать до 8 уровней вложенности и содержать до 128 элементов.
Пример объясняющий принципы задания параметра CPU shares:

- ESXi (CPU 100% MHz)
     - Resource Pool 1 (CPU shares 3 CPU 33.3% MHz)
          - Resource Pool 1-1 (CPU shares 4 CPU 11.1% MHz)
          - Resource Pool 1-2 (CPU shares 8 CPU 22.2% MHz)
     - Resource Pool 2 (CPU shares 6 CPU 66.6 MHz)
          - Resource Pool 2-1 (CPU shares 12 CPU 22.2% MHz)
          - Resource Pool 2-2 (CPU shares 24 CPU 44.4% MHz)

Expandable Reservation - опция, которая говорит, что если Resource Pool'у надо больше ресурсов, то можно взять их из вышестоящего пула. Это актуально при старте системы, когда VM прогружается и использует гораздо больше ресурсов (по крайней мере CPU), чем при штатной работе.

Балансировка сетевой нагрузки:

     - ESX
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужный ESX
                              - Вкладка Configuration
                                   - Настройка vSwitch
                                        - Сеть (VLAN-ID, ...)
                                             - Свойства
                                                  - NIC Teaming
                                                       - Load Balancing

Варианты балансировки нагрузки:

Route based on the original virtual port id - Данный механизм может обеспечивать равномерное распределение, если количество виртуальных сетевых адаптеров превышает количество физических адаптеров. Он не подходит для виртуальных серверов, обрабатывающих большое количество запросов от разных клиентов, когда необходимо разделять трафик одной виртуальной машины (с одним виртуальным сетевым адаптером) по нескольким NIC’ам. Этот механизм не позволяет использовать технологию агрегирования каналов 802.3ad. Кроме всего прочего проблемы могут возникнуть с доступом к IP-хранилищам (iSCSI, NFS), так как VMkernel аналогично сможет использовать только один физический NIC для работы с разными iSCSI-таргетами.
Route based on ip hash - распределение на основе хеширования IP-адреса источника и получателя. Трафик с одной виртуальной машины, направленный на разные IP-адреса, распределяется по разным физическим сетевым адаптерам. Для использования этого механизма необходимо включить поддержку 802.3ad на физическом коммутаторе, к которому подключен ESX Server. Равномерность распределения трафика зависит от числа TCP/IP-сессий между хостом и различными клиентами. При большом количестве соединений Route based on IP hash позволяет распределять нагрузку наиболее равномерно и не имеет недостатков присущих механизму Route based on the originating virtual switch port ID.
Route based on source MAC hash - распределение на основе хеширования MAC-адреса источника. Этот механизм аналогичен предыдущему и использовался по умолчанию в более ранних версиях ESX Server.
Use explicit failover order - Этот механизм удобно использовать на уровне портов виртуальных машин, сервисной консоли и VMkernel. Например, установив для сервисной консоли активный режим первого NIC'а и пассивный для второго, а для порта VMkernel соответственно наоборот, можно таким образом сконфигурировать failover для сетей управления.

День 5

Distributed Resource Scheduler (DRS

DRS - динамическое управление виртуальной инфраструктурой для достижение определённых задач, таких как оптимальная производительность, экономия энергии и т.д.

Для функционирования DRS необходимы следующие условия:

ESXi-хосты должны быть в одном сегменте сети - vMotion.
Все datastore должны быть доступны всем ESXi-хостам в кластере.

Настройки DRS-кластера:

Automation Level:

Manual - ESXi-хост, на котором запустится VM, и перенос VM на другой ESXi-хост осуществляются вручную.
Partialy automated - ESXi-хост для запуска определяется автоматически (самый менее загруженный), vCenter выдаёт рекомендации по перемещению VM между ESXi-хостами, но перемещение можно игнорировать или подтверждать уже вручную.
Fully automated - запуск и перемещение VM между ESXi-хостами осуществляется автоматически.

Distributed Power Management (DPM) - сгоняет все VM на минимальное количество ESXi-хостов чтобы они нормально функционировали и остальные ESXi-хосты тупо тушит для экономии энергии:

Off - всё ручками
Manual - сгоняет все VM на минимум ESXi-хостов, но остальные не тушит.
Automatic - сгоняет все VM, и выключает не нужное

Входит в лицензию Enterprice.
VMware Enhanced vMotion Compatibility (EVC) - обеспечивает совместимость при работе VM на ESXi-хостах с разными CPU в рамках одного кластера. Работает только на CPU ОДНОГО производителя, но разных поколений.

Disable EVC
Enable EVC for AMD hosts
Enable EVC for Intel hosts

Был переезд с AMD на Intel без этой опции - всё работало.
VMware Compatibility Guide - позволяет оценить совместимость железа и функций.
Affinity Rules - позоволяют указать какие VM не должны работать на однеом ESXi-хосте.

     - vCenter
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужный кластер
                              - VMware DRS
                                   - Rules

DRS Group Manager - позволяют определить какие VM будут запускаться на каких ESXi-хостах:

Создаём группу VM и добавляем нужные VM туда
Создаём группу ESXi-хостов и добавляем туда нужные ESXi-хосты
Задаём какие группы VM будут будут балансироваться на каких группах ESXi

Удаление ESXi-хостов и кластеров:

Переводим все ESXi-хосты в Maintance mode
Выводим ESXi-хост в другое место при помощи Drag-n-Drop.
С VM поступаем также
Как только все вывели из кластера, можно удалять и кластер

High Availability & Data Protection

99% - 87 часов
99.9% - 8,76 часов
99.99% - 52 минуты
99.999% - 5 минут

Site Recovery Manager - позволяет создать резервную копию всего Datacenter.

VMware Consolidated Backup - при помощи скриптов бэкапит ESXi-хосты. Сейчас не поддерживается и называется Storage API. Для бэкапа используется технология snapshot.

VMware Data Recovery - отдельный продукт. Требуется лицензия Advanced и выше.. Это отдельное ПО с отдельным интерфейсом. Интегрируется с vCenter при помощи plug-in. Существует в виде vAppliance. Также позволяет бэкапить данные, только может делать это единовременно или по заданию периодически.

High Availability - процедура, которая при отказе ESXi-хоста запускает VM (которые крутились на нём) на другом ESXi-хосте в кластере.
Для определения доступности ESXi-хостов используются heartbeat (каждую секунду). ESXi для heartbeat используют VMKernel. Через 12 секунд после отсутствия heartbeat, ESXi-хост считает себя изолированным и выполняет настроенные действия. После потери соседей по кластеру, ESXi-хост пытается найти default-gateway. Остальные ESXi-хосты в кластере считают его изолированным и пытаются поднять VM, которые крутились на нём.
Демон HAagent отвечает за механизм HA на ESXi-хостах. Иногда с этим агентом бывают проблемы. В этом случае может помочь перезагрузка сети через консоль ESXi-хоста.

     - vCenter
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужный кластер
                              - Settings
                                   - VMware HA
                                        - VM Options
                                        - VM Monitoring

VM Options

Enable Host Monitoring - вкл/выкл heartbeat для кластера. Если выключить, то перезагрузка ESXi-хоста не будет считаться нештатной ситуацией. В противном случае , VM с перезагружаемого ESXi-хоста будут пытаться подняться на остальных ESXi-хостах.
Admission Control - следит за наличием ресурсов для работы всех VM в кластере. Данная служба может определить смогут ли все VM работать, или запуск ещё одной машины может вызвать проблемы с производительностью у всех VM:

prevent - не давать запускать VM при недостатке ресурсов
allow - позволять запускать

Host failure cluster tolerates - отказ скольких ESXi-хостов может выдержать кластер.
Percentage of cluster resources reserved as failover spare capacity - количество ресурсов в %, которые резервируются на ESXi-хостах на случай аварии. Они используются для того, чтобы поднять VM с аварийного ESXi-хоста.
Specify failover host - можно выбрать "пустой" (ESXi-хост без запущенных на нем VM), который в случае аварии принимает на себя нагрузку (считай будет запускать на себе VM) с аварийного ESXi-хоста. Лицензии на этот ESXi-хост нужно покупать как на обычный.
Cluster default settings:

VM restart priority - кого в первую очередь перезагружать
Host isolation response - что делает изолированный ESXi-хост в случае аварии. Работает только в случае, если отвалилась ТОЛЬКО сеть.

VM Monitoring

Настройка heartbeat для кластера. Эти данные можно переопределить для каждой машины:

use cluster settings
use custom
high
medium
low

     - vCenter
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужный ESXi-хост
                              - Summary
                                   - Reconfigure for VMware HA

Fault tolerance

Для каждой VM работающей в кластере создаётся реплика VM. Как только основная копия VM падает, реплика сразу поднимается и начинает работать. Для работы этой функции надо чтобы ESXi-хосты были по железу идентичны как можно больше. Так как для создания реплики нужен широкий канал, то лучше выделить для этой цели отдельную сеть. А можно использовать хоть VMKernel - достаточно поставить одну галку. Как правило режим Fault Tolerance включают на время критических операций, например, подготовка бухгалтерской отчетности.

     - vCenter
          - Номе
               - Inventory
                    - Hosts & VM
                         - Нужная VM (правая кнопка)
                              - Fault Tolerance
                                   - Turn TF On

Как правило после того, как критические операции выполнены, эту функцию отключают.

Data Protection

Для VM инфраструктуры надо бэкапить:

ESXi-конфигурацию
VM данные
vCenter DB

Бэкапы VM ВСЕГДА делаются с помощью технологии SNAPSHOT.
vicfg-cfgbackup - бэкапит конфигурацию ESXi-хостов.

Configuration Management

Host Profile позволяет определить для ESX:

CPU
RAM
HDD
Network
License
DNS
ESX Console Firewall (уже не акутально)

Update Manager позволяет обновлять:

ESXi
vCenter
Windows Guest OS
Linux Guest OS

Может брать данные из:

Дополнительный опциональный сервер
vmware.com
shavlik.com - возможно обновления для Linux

Cisco ISE. Краткое руководство. Часть 2

2012-09-24T04:46:00.001-07:00

Во второй части я попытаюсь описать те модули ISE, которые отвечают за NAC и отдельно лицензируются Advanced лицензией. Большинству предприятий в России это ни к чему, потому точка зрения на информационную безопасность в плоскости сетевой инфраструктуры зачастую на уровне каменного века. В связи с чем методы и уровень допускаемых инцидентов зачастую просто фееричен. Поэтому об этом надо просто знать и иметь ввиду - мало ли, вдруг (а это почти 100%) пригодится.

Profiler

Сервис Profiler в Cisco ISE занимается поиском конечных устройств, определением их возможностей в зависимости от их типа и выделением прав доступа для них. По факту же Profiler собирает значения необходимых атрибутов со всех обнаруженных устройств и определяем им профайл.

ISE Profiler включает в себя:

Sensor - служба опрашивающая устройство
Probe - служба, перехватывающая пакеты в сети посредством запросов к сетевым устройствам. Совокупность атрибутов и их значений передаёт Analyzer'у.
Probe Manager - позволяет управлять Probe и определять какие атрибуты надо проверять.
Event Manager - позволяет управлять Events между Probe и Probe Manager.
Forwarder - собирает вместе Endpoint и атрибуты. Затем передаёт их Analyzer'у.
Analyzer - определяет Endpoints в Identity Groups.

Таким образом, Profiler опрашивает все устройства в сети посредством специфических запросов (системных или созданных пользователем) и затем определяет каждому Endpoint'у соответствующий Profile. На основании которого, его можно автоматически определить в группу Identity. По-умолчанию Endpoint определяется на основании MAC-адреса. Так же можно использовать значения атрибутов, например, Apple-DeviceRule1-SCAN. Управление Profiler и Endpoints Profile доступно тут:

     - Policy
          - Profiling
               - Profiler Policy List

В результате работы Profiler, Endpoints определяются в 3 группы:

BlackList
Profiled (внутри могут быть другие группы)
Unknown

     - Administration
          - Identity Management
               - Groups
                    - Endpoint Identity Groups

Просмотр логов Profiler можно сделать так:

     - Operations
          - Reports
               - Catalog
                    - Endpoints

При настройке Profiler Policy можно создавать правила (Rules), на основании которых возможно:

Take Network Scan Action
Take Exeption Action
Certainty Factor Increases

Чем больше Certainty Factor (Фактор однозначности), тем увереннее можно сказать, что Endpoint соответствует своему profile. Чтобы профайл отработал надо, чтобы Certainty Factor превысил значение Minimum Certainty Factor. Network Scan Action и Exeption Action прописываются непосредственно в политике Profile и могут быть настроены:

     - Policy
          - Policy Elements
               - Results
                    - Profiling

Лицензирование Profiler

Profiler входит в состав Advanced License. Лицензируются конечные устройства, подключенные к ISE. Завести можно хоть 100 000. Но если подключено 100, и лицензия позволяет только 100, то 101 пользователь при попытке подключения получит Reject. Лицензия может иметь от 100 до 100К пользователей.

Подключение и управление Profiling Service

Service Profiling можно подключить или на Standalone или на Node с Policy Service Persona (в случае distributed deployment).

     - Administration
          - System
               - Deployment
                    - ISE Node
                         - Policy Service
                              - Enable Profiling Service

Profiled Endpoints Dashlet

Dashlet показывает статистику по Endpoints, которым динамически были определены профайлы. Отсечки на 1 час и на 24 часа. Он не отображает данные по:

Endpoints, которые Unknown или BlackList
Endpoints, которым статически выставлен Profile
Импортированные Endpoints, которым уже выставлен Profile

В dashlet'е подписи обозначают следующее:

Unique - общее количество Endpoints
PIN (Place in Network) - расположение Endpoint c маской подсети
Profile - политики Profile, которые примянялись к Endpoint
Endpoint Identity Group - список Identity Group, в которые распределялись Endpoints.
User Identity Group - список Identity Group, в которые распределялись Endpoints с 802.1x

Change of Authorization (CoA)

Изменение authorization используется в том случае, если надо изменить доступ endpoint, которая уже имеет доступ к сети.

CoA может работать в 3-х режимах:

No CoA
Port Bounce - одна сессия на порт свитча
Reauth - принудительная reauthentication

     - Administration
          - System
               - Settings
                    - Profiling

Даже если вы настроили Port Bounce опцию для CoA, и на порту ВНЕЗАПНО оказались две сессии, то ISE будет использовать опцию reauth, так как не хочет отключать всех остальных пользователей с корректной authentication.

Profiling Service инициирует CoA в случае:

Статической привязки Endpoint
Exeption Action настроено в Profiling Policy
Endpoint впервые сопоставляется Profile
При удалении Endpoint

Policy Service на инициирует запрос CoA в случае:

обнаружения отключенной от сети Endpoint
обнаружения EAP-совместимой Endpoint

Probes

Probe - является методом получения атрибутов и их значений от подключенных к сети устройств.

     - Administration
          - System
               - Deployment
                    - Node Name
                         - Profiling Configuration

Вкладка Profiling Configuration доступна ТОЛЬКО на Node, который имеет персону - Policy Service. Чем больше Probe и Endpoint обрабатывается в Deployment, тем сильнее ощущается просадка производительности.
Profiler использует процесс filter event чтобы удалить ненужные (например, устаревшие) атрибуты и их значения, а остальное передаёт Forwarder'у. Он объединяет оставшиеся атрибуты с тем, что есть у него в cache.
Описание всевозможных Probes можно найти в документации в соответствующем разделе. Нет никакого желания расписывать их тут детально.
Endpoint'у можно руками задать статический профайл. И тогда ISE устанавливает Endpoint'у атрибут, который называется MATCHEDPROFILE. В нём ISE указывает какой profile (как он считает) соответствует Endpoint'у. Сравнив значение этого атрибута и выбраный статический profile можно выявить ошибку.
Для динамически назначенных Endpoint'у profile значение MATCHEDPROFILE ВСЕГДА совпадает с Profile Policy. Для статически назначенных Endpoint'ам профайлов эти значения могут отличаться.

Network Mapper (NMap) - это небольшая бесплатная программа, которая может последовательно обрабатывать большие сети. Она уже интегрирована в ISE.

NAC Appliance может быть легко интегрирован с ISE, так как NAC Appliance выполняет функцию Profiler. Я не очень понял кто из них может кого, заменить, но факт в том, что интеграция присутствует.

Clients Provisioning

ISE при помощи Profiling Service может определять некоторые параметры используя перехват пакетов. Для проверки специфических параметров системы, таких как дата последнего обновления антивируса или antispyware, необходимо использовать специальный клиент. В ранних версиях он назывался Cisco Clean Access. Теперь он называется Cisco NAC Agent.
Агент для Windows позволяет выполнить следующие проверки:

Host registry
Processes
Приложения
Службы

Для Windows XP необходимо наличие последних HotFix для того, чтобы была возможность создавать защищённые соединения SSL over TCP.
Клиент для Mac проверяет пакеты, уже установленные в системе (вроде только их) и отправляет отчет. Пользователю выводится список требований, которые надо выполнить.
NAC Web Agent предоставляет временную проверку для машин клиентов. С использованием Java и Active X Control, пользователь закачивает и выполняет модуль, который на время работы перемещается во временную директорию.
Управление агентами:

     - Policy
          - Policy Elements
               - Results
                    - Client Provisioning
                         - Resources

Настройка автоматической закачки агентов:

     - Administration
          - System
               - Settings
                    - Client Provisioning

Agents и файлы для ISE лежат:

     - Downloads Home
          - Products
               - Security
                    - Identity Management
                         - Cisco Identity Services Engine
                              - Cisco Identity Services Engine Software

Можно как угодно кастомизировать агента, включая логотипы и картинки. Все эти файлы и Profile загружаются на машину клиента в случае срабатывания правил (Rules) в поликите Client Provisioning.

- Policy
- Client Provisioning

Когда создаём Rule в политике Client Provisioning, то во вкладке Results есть галка IS upgrade mandatory. Она определяет, обязательно ли надо обновлять или загружать агента. Остальные 3 модуля загружаются автоматически:

Profile
Compliance Module
Agent Customization Package

После установки агента, можно настраивать ISE для работы в режиме Posture. Если Posture не предполагается, то не стоит заморачиваться. Для установки агента на компьютер необходимы права администратора, хотя бы локального.

Отчеты по Client Provisioning

     - Operations
          - Reports
               - Catalog
                    - User
                         - Client Provisioning
                         - Unique users
                    - Server Instance
                         - Server Configuration Audit

Настройка отчетности по Cleint Provisioning

     - Administration
          - System
               - Logging
                    - Logging Categories
                         - Posture and Client Provisioning Diagnostics

Posture (положение, состояние)

Posture Service взаимодействует напрямую с NAC agent и в зависимости от выполнения (или невыполнения) требований предоставляет (или не предоставляет) доступ к сети исходя из результатов проверки.
NAC агент на клиенте обнаруживает ISE при помощи протокола SWISS - unicast discovery пакеты по UDP/8905. ISE получив такой пакет отвечает, принимая на себя персону Policy Service. SWISS использует TCP и UDP (для периодических запросов). NAC агент использует HTTPS как транспорт для туннелирования всех SWISS запросов. SWISS запросы от клиентской машины могут быть относительно следующих вещей:

Agent Profile
Agent Complience Module
Agent customization Package

Также могут содержать ссылки на продукты, которые надо установить или настроить для удовлетворения требований.
При первоначальном подключении к сети, клиенту предоставляется ограниченный доступ. После проверки всех требований Posture Node отправляет отчет на Policy Service, которая в ответ запускает механизм CoA. После этого предоставляется необходимый (определённый политиками) доступ. Если требования не удовлетворены, то Posture Node отправляет также отчет об этом на Policy Service, который также запускает механизм CoA. В этом случае предоставляется доступ к другим ресурсам, также определённые политиками (но уже другими). NAC агент берёт ID сессии из redirect-URL, MAC-адрес, IP-адрес и отсылает посредством SWISS-запроса. Posture Runtime Service смотрит cache на предмет наличия сессии с подобным ID, MAC-адресом и IP-адресом. Если сессия найдена, то с ISE запрашивается Posture Policy и пытается сопоставиться /приминиться. Если политика удачно применилась (требования совпали), то формируется специальный XML-контейнер, который уже передаётся NAC-агенту. Получив его, NAC-агент отправляет отчет Runtime Service. Runtime Service после получения запроса на основе данных пытается определить Role, которая соответствует конкретному случаю. Если нет ни одной Policy определённой отдельной Role, то тогда Runtime Service передаёт NAC агенту пустой список требований. Если же существует Policy, которая сопоставлена роли (зачастую тип OS на клиенте), то последовательно проверяются условия. Как только все требования будут выполнены - формируется XML. Получив XML с требованиями NAC-агент их проверяет. Если они все выполняются, то тогда NAC агент посылает запрос предоставление полного доступа. Если нет, то отправляется report о несоответствии. Отчет отсылается в обоих случаях и уже по результатам отчетов Runtime Service решает как поступить.

     - Administration
          - System
               - Deployment
                    - ISE Node
                         - General Settings

Posture входит в список служб работающих в рамках персоны Policy Service. Поэтому для её активации надо включить галку Policy Service и Enable Profiling Service.

Posture Compliance Dashlet

Passed % - количество прошедших posture compliance endpoints.
MTTR (Mean Time to Remediate) - предположительное время перехода endpoint из состояния noncompliant в состояние compliant.

     - Operations
          - Reports
               - Catalog
                    - Posture

После login и успешного выполнения всех требований NAC агент и Web агент выводят диалоговое окно со ссылкой, нажав на которую пользователь соглашается с правилами пользования сетью. Эту страницу можно полностью кастомизировать.

Общие настройки Posture

Существуют 3 таймера, которые Cisco рекомендует обязательно настраивать:

Remediation timer (в минутах) - после того, как клиент не смог удовлетворить Posture политики, NAC-агент ждёт в течении Remediation Timer. И после этого если клиент снова проваливает проверку, то NAC агент и Web агент посылает отчёт (не раньше) службе Runtime Service, после чего клиент переводится в состояние noncompliant.
Network transition delay (в секундах) - время необходимое клиенту чтобы перейти из одного состояния в другое, вследствие выполнения CoA. Этот таймер используется в случае удачного и в случае неудачного результата отработки политики posture. По факту, это время нужно чтобы получить новый IP-адрес. При первичной проверке клиент переходит из состояния compliant, либо noncompliant.
Automatically Close Login Success Screen After - это таймер отвечает за то, через сколько секунд закрыть приветственное окно. Оно проявляется после того, как пользователь прошёл проверку. Данное окно содержит ссылку на правила доступа к сети. Клиент может принять или не принять эти правила. Если он принимает правила, то он получает доступ к сети. Если нет, то доступ не предоставляется. Данный таймер определяет через сколько времени приветственное окно закроется автоматически. Сняв галку окно не будет закрываться автоматически.
Default Posture Status - определяет статус устройств, которые физически не могут пройти Posture проверки (iPad, iPhone и т.д.), а также устройств на которые не установлены агенты NAC. То есть им автоматом выставляется compliant или noncompliant.
iDevice и Android - при попытке подключения через WiFi-точки доступа, которые поддерживают CoA, сессия CoA завершается. Если подключение происходит по VPN, то происходит reauthentication и статус берётся из Default Posture Status.

     - Administration
          - System
               - Settings
                    - Posture
                         - General Settings

Posture ReAssessment (PRA)

PRA применяются после отправки NAC агентом отчета Policy Service Node. Policy Service Node проверяет соответствующие политики и формирует требования в зависимости от роли клиента, определённой в конфигурации, после чего запускает PRA. Если конфигурация PRA присутствует на Node, то Policy Service Node отправляет NAC агенту список PRA-атрибутов, которые определяются в PRA-конфигурации для клиента ДО ТОГО как будет выполнен запрос CoA. NAC агент рассылает PRA-запросы на основании интервалов определённых в конфигурации. Таким образом клиент находится в состоянии compliant в случае успешной отработки PRA или выполняет действия указанные в PRA. Если нет возможности выполнить PRA, то клиента переводят в состояние noncompliant.
Атрибут Posture Status показывает текущее состояние posture в запросе PRA вместо состояния unknown, даже если это запрос пересмотра posture. Если клиент впервые проходит posture после authentication, то этот атрибут будет иметь значение unknown.

Если клиент non-compliant (PRA Failure Action)

В случае, если клиент non-conpliant, то Policy Service Node запускает PRA Failure Action. Возможны 3 варианта:

continue - "полный" доступ в любом случае
log-off - выпиливает из сети. весь процесс заново
remediate - агент выжидает определённое время (в настройках есть нужный таймер). После того, как клиент удовлетворит необходимым требованиям, агент посылает PRA-отчет на Policy Service Node. Если процесс удовлетворения требованиям (или исправление недостатков) будет игнорирован, то агент пошлёт log-off-запрос на Policy Service Node с требованием выпилить клиента из сети, чтобы начать процесс с самого начала.

Каждый клиент закреплён за определённой ролью, и каждой роли прописывается PRA Failure Action. В случае срабатывания PRA Failure Action все Endpoints идут лесом по lof-off. Поэтому чтобы их не вышибало поставить для них default posture action - compliant.
Если posture является обязательным, то в результате PRA Failure Action сессия RADIUS будет закрыта. А для повторного процесс posture сессия RADIUS будет открыта заново.
Если posture является опциональным, то пользователь может в агенте NAC нажать кнопку Continue и продолжить работать дальше.

Назначение User Identity Group (Role)

Для каждой User Identity Group можно настроить свой PRA. Если создать PRA для группы Any, то другие PRA создавать нельзя. Если нужно сделать PRA для нескольких User Identity Group, то можно использовать оператор OR или AND. Если нужно создать PRA для Any, то для этого надо сначала удалить все остальные PRA из конфигурации. Если Policy Service Node не получает PRA отчет в течении максимального интервала, то он переводит клиента в состояние unknown, в связи с чем клиенту надо заново проходить posture со статусом non-compliant.

Max Wait Interval = PRA интервал + (grace time x 2)

Если упали все ноды с персоной Policy Service, то PRA не применяется.

     - Administration
          - System
               - Settings
                    - Posture
                         - Reassessments

Use Reassessment Enforcement - если включено, то конфигурация PRA применяется к User Identity Group.
Enforcement Type - тип действия, который выполняется при возникновении проблем при прхождении posture (continue, log-off, remediate)
Interval - время после успешной authentication в течении которого должна отработать PRA. То есть authentication прошла, прошёл Interval, posture не выполнен -> PRA.
Grace time - время на выполнения клиентом remediation. Не может быть больше Interval. Доступна только в случае, если выбран Enforcement type - Remediate.

Настройки Posture-элементов.

     - Policy
          - Policy Elements
               - Conditions
                    - Posture

Проще всего скачать их через Internet, а потом править в соответствии с требованиями. Можно автоматически скачивать обновления к Posture, если настроить:

     - Administration
          - System
               - Settings
                    - Posture
                         - Updates

Acceptable User Policy - политика пользования сетью. Для каждой User Policy Group можно задать свою AUP:

     - Administration
          - System
               - Settings
                    - Posture
                         - Acceptable User Policy

Если пользователь отвергает AUP, то он переводится в состояние карантина. Из этого состояния он может выйти до тех пор, пока не будет закрыта текущая сессия и не будет начата новая:

     - Policy
          - Policy Elements
               - Results
                    - Authorization
                         - Authorization Profiles
                              - Test
                                   - Common tasks
                                        - Reauthentication

Termination Action - действие которое выполняется после завершения RADIUS-сессии. В случае RADIUS-запроса клиенту отсылается Access-request.
Session-Timeout - время в секундах, в течении которого работает RADIUS-сессия. По истечении этого времени применяется Termination Action.

# authentication periodic - включает на порту автоматическую reauthentication
# authentication timer reauthenticate server - определяет что все данные по reauthentication надо получать от RADIUS-сервера.

Posture Conditions

     - Policy
          - Policy Elements
               - Conditions

Simple conditions удалять нельзя.
Compound Conditions нельзя удалять, если они сделаны самой Cisco (читай предустановлены), иначе нарушиться работоспособоность.
File condition (simple condition) - проверяют наличие файла, дату создания или изменения, его версию.

File existence - наличие файла
File date - дата создания или изменения
File version - версия файла

Registry condition (simple condition) - проверяют наличие ключа реестра, его значение и значение по умолчанию.

Registry key - наличие ключа реестра
Registry key value - значение ключа реестра
Registry Key Default - значение по умолчанию ключа реестра

Application Conditions (simple condition) - проверяет приложения, которые запущены или не запущены на клиенте. Показывает название (как в Task Manager), описание и статус.
Service Conditions - проверяет запуск служб на клиенте. Отображает название, описание и статус службы. Есть cisco-defined service conditions, которое нельзя трогать. Среди них PC AutoUpdate Check. Она позволяет проверить включено-ли Windows updates на клиенте. Если нет, то NAC агент принудительно включает его на клиенте (remediate).
Antivirus Compound Conditions - проверяет наличие антивируса на клиентах по Windows и Macintosh.
Antispyware Compound Conditions - проверяет наличие антиспайваре на клиентах по Windows и Macintosh.

Таблицы поддерживаемых Antivirus и Antispyware

ISE использует таблицы поддерживаемых AV и AS, чтобы обеспечивать NAC агента актуальной информацией. Как только агент NAC получает эту информацию, он проверяет периодически обновляемый se-chack.xml (который находится вместе с se-relus.xml в архиве se-templates.tar.gz) и определяет compliant клиент или нет.

AV и AS definition updates

Для AV можно задать проверку баз антивируса, причем можно указать время актуальности баз (в днях) относительно даты файла последнего обновления или текущей даты. Для AS можно задать актуальность только относительно текущей даты.
Если у клиента с агентом NAC нет AV или AS, то можно вывести диалоговое окно с кнопкой Remediate, по клику на которую пользователь может поставить себе AV или AS.

Posture Results

Требования Posture могут быть установлены:

mandatory
optional
audit

Mandatory требование - если клиент не проходит posture, то ему даётся время (remediation timer) чтобы исправиться. Если после этого он всё равно не проходит, то для него выставляется статус non-compliant.
Для VPN соединений - возможно только отключение и подключение заново к VPN туннелю.
Для проводных и безпроводных CoA в 802.1x соединений - можно настроить reauthentication timer в политике Authorization. При установке Maintain Connectivity During Reauthentication в значение Default, и истечении timer запускается новая сессия вместе с перезапуском PRA. В противном случае (RADIUS-request) проводные пользователи могут выйти из карантина только отключившись и заново подключившись к сети. Для безпроводных пользователей надо отключиться от WLC (Wireless LAN Controller) и пока таймаут user idle истечёт и только после этого подключаться заново.
Optional требование - пользователю будет выведено сообщение о том, что он провалил posture. Если он хочет, то кликнув но кнопку Continue можно продолжить работу.
Audit требование - пользователю на выдаётся никаких сообщений даже в случае провала posture и предоставляется доступ в сеть.

Custom Posture Remediation Action

Posture Remediation Action может быть в виде файла, ссылки, обновлений antivirus или antispyware, запущенных программ, Windows updates файлов или WSUS файлов.

Message Text Only

Данныя функция сообщает NAC-агенту, что клиент non-compliant. Она может предоставлять инструкции как обратиться в Help Desk или исправить всё самому.

     - Policy
          - Policy Elements
               - Results
                    - Posture
                         -Remediation Actions

Существуют следующие типы Remediation:

Тип Remediation	Windows	Macintosh	Web-агент
File Remediation	Yes	Yes	Yes
Link Remediation	Yes	Yes	Yes
Antivirus Remediation	Yes	Yes	No
Antispyware Remediation	Yes	No	No
Launch Program Remediation	Yes	No	No
Windows Update Remediation	Yes	No	No
WSUS Remediation	Yes	No	No

File Remediation - позволяет скачать пользователю файл требуемой версии.

Link Remediation - позволяет отобразить пользователю URL, по которому он может перейти

AntiVirus Remediation - обновляет AV клиента актуальными базами.

AntiSpyware Remediation - обновляет AS клиента актуальными базами.

Launch Program Remediation - запускает одну или несколько программ на клиенте.

Windows Update Remediation - проверяет факт того, что на клиенте включен сервис Automatic Update в соответствии с политиками.

Для Windows XP существуют следующие варианты:

automatic - автоматически скачивать и устанавливать обновления (рекомендуется);
скачивать, но не устанавливать
информировать, но не скачивать и не устанавливать
автообновления отключены

pr_AutoUpdateCheck_Rule - предустановленное правило, которое проверяет запущена ли служба WUASERV.

Опция Override User's Windows Update Settings with Administrator позволяет изменить настройки Windows Update на клиенте. Причем изначальные настройки не восстанавливаются даже при перезагрузке машины.

Windows Update Remediation закончится неудачей в следующих случаях:

из automatic в скачать, но не устанавливать и наоборот
из automatic в информировать, но не ускачивать и не устанавливать и наоборот
из информировать, но не скачивать и не устанавливать в скачивать, но не устанавливать и наоборот

WSUS Remediation исправляется клиента с использованием локального WSUS-сервера или WSUS-сервера от Microsoft. При ассоциации WSUS remediation с требованиеми Posture по проверке Windows Update с использованием Severity Level (Severity Level - насколько строго надо относиться к наличию определённых обновлений) обязательно необходимо использовать составное условие pr_WSUSRule. Если проверка Posture провалится NAC агент запустит remediation action (по факту запустит Windows Update) на основе Severity Level определённых для этого WSUS Remediation.

Severity Level бывает:

Critical - критические обновления
Express - критические и важные обновления
Medium - критические, важные и moderate обновления
All - всё подряд.

Опция Installation Wizzard Interface Setting - показывать интерфейс при обновлении или нет.

pr_WSUSRule - не отображается на странице Compound Conditions. Его можно выбрать только через Conditions widget.

Пользовательские Authorization Policies для Posture

Создавая Authorization Policy ориентированную на Posture, в ней необходимо определить атрибут Session: Posture Status =>

unknown
compliant
non-compliant

Для каждого Posture Status лучше создавать свою Authorization Policy со своим набором VLAN, DACL, cisco-avpair и т.д.

User Access Management

Guest Service позволяет сторонним пользователям получать доступ к внутренней сети организации или Internet с использованием таких средств как VLAN и DACL. ISE поддерживает до 37 000 сетевых аккаунтов. Sponor - пользователь, который может создавать гостевые аккаунты. Весь процесс работы с гостевыми учетными данными логируется для целей audit и report.

Когда гость впервые подключается к сети, то он помещается в выделенный участок сети (VLAN) с ограниченным доступом. Однако, чтобы гость мог нормально работать, WLC или NAD (network access device) должны поддерживать технологию HTTPS Portal Login, при которой URL привязан к RADIUS-серверу. ISE Guest Service предоставляет для конфигурации 3 портала (по-умолчанию):

Guest Portal
Sponsor Portal
Device Registration Web-auth Portal

NAD с Central Web-auth (CWA)

В данном случае login/password пользователя записан в cache сессии ISE и NAD запрашивает CoA. Данные из cache используются для того, чтобы authenticate и authorize гостевого пользователя. В данном случае взаимодействие Guest Service начинается в случае отказа в MAB и ведёт на портал Central Web-auth. В общих чертах процесс выглядит следующим образом:

1. Клиент подключается проводом к NAD. 802.1x у клиента нет.

2. Authentication Policy с Service Type MAB в случае провала MAB позволяет действие Continue и возвращает Network Profile содержащий URL-перенаправление на пользовательский Central Web-auth.

3. NAD настроен так, чтобы отправлять все MAB запросы на ISE RADIUS сервер.

4. Машина клиента подключается к NAD и инициализирует MAB запрос.

5. ISE обрабатывает NAD запрос и среди Endpoint не находит записи клиента. Провал MAB приводит к тому, что NAD передаётся Network Profile с URL-перенаправлением в случае access-request. Для того, чтобы эта функция поддерживалась необходимо чтобы в Authorization Policy присутствовали условия:

NetworkAccess: UseCase = HostLookup
Session: PostureStatus = Unknown

NAD использует эти значения, чтобы перенаправить весь траффик HTTPS от клиента на порт 8443 на ссылку URL-перенаправления. По факту, пересылает на гостевой портал с параметрами NetworkSessionID и Action=CWA

6. Клиент инициирует HTTPS запрос к любой странице

7. NAD перенаправляет запрос на URL-адрес для перенаправления, который был получен в изначальном запросе с access-accept.

8. Значение URL-шлюза и CWA перенаправляют на страницу login'а гостевого портала.

9. Клиент вводит login и password.

10. Guest Action Server получает данные для authentication

11. Если данные верны, то они сохраняются в local cache session сервера Guest Action.

12. Для сессии без проверки Posture выполняется следующее:

Если Guest Portal не настроен на обработку Client Provisioning, Guest Acrion Server отправляет CoA на NAD через API. Этот СoA заставит NAD выполнить reauthentication клиента с использованием RADIUS-сервера (сбросит сессию). Reauthentication будет использовать данные сохранённые в local cache session. Новый access-accept возвращается NAD с уже сконфигурированным Network Access. Если на клиенте не настроен Client Provisioning, а VLAN - настроен, то гостевой портал запустит на клиенте обновление IP-адреса.

В процессе всех этих действий пользователю нет надобности вводить login/password, так как credentials используются автоматически после первого ввода данных.

13. Для Posture-потока происходит следующие действия:

Гостевой портал настроен на обработку Client Provisioning, и Guest Action Server перенаправляет запросы пользователя на Client Provisioning URL (можно по желанию самому настроить Client Provisioning Resource Policy с условием NetworkAccess: UseCase = GuestFlow. Так как для Linux нет агентов для Client Provisioning и Posture, гостевой портал перенаправляет Client Provisioning, который перенаправляет назад на Guest Authentication сервлет (servlet) для возможности опционально сделать IP-адрес release/renew и затем CoA.

Вместе с перенаправлением на Client Provisioning URL, посистемы Client Provisioning скачивают временный web-клиент на машину пользователя для выполнения проверки Posture (можно по желанию самому настроить Posture Policy с условием
NetworkAccess: UseCase = GuestFlow
В случае если машина клиента non-compliant, надо убедиться что Authorization Policy настроена с условиями
NetworkAccess: UseCase = GuestFlow
Session: PostureStatus = NonCompliant
Если машина клиента compliant надо убедиться, что для Authorization Policy настроены условия
NetworkAccess: UseCase = GuestFlow
Session: PostureStatus = Compliant
С этого момента Client Provisioning инициирует CoA на NAD. CoA принуждает NaD reathenticate клиента через RADIUS-сервер. Reauthentication использует login/password хранящийся в cache session. Новый access-accept возвращается на NAD с уже настроеным Network Access

NetworkAccess: UseCase = GuestFlow применяется для пользователей AD и LDAP залогинившихся как гости.

WLC с Local WebAuth Non-Posture Flow - процесс authentication без последующей проверки (Posture). В данном случае пользователь подключается к сети и направляется на WLC. WLC перенаправляет его на Guest Portal, где клиента просят ввести login/password, опционально принять AUP (Acceptable User Policy) и изменить пароль. После выполнения этого, пользователя перенаправляют обратно на WLC для повторного login/password. WLC может authenticate пользователя через RADIUS. Как только он сделает это, то он перенаправляет пользователя на изначальный URL (например, google.com).

Wired NAD с Local Web-Auth

Портал Guest User Login перенаправляет запросы login гостевого пользователя на свитч. Запросы login из HTTPS формы отправляются на свитч и содержат login/password. Свитч получает запрос пользователя login и authenticate пользователя используя настроенный RADIUS-сервер.

Процесс Wired NAD with Local Web-Auth:

Cisco ISE необходимо чтобы login.html с перенаправлением HTML был загружен на NAD. Этот файл будет передан пользователю в ответ на любые HTTPS запросы.
Браузер клиента будет перенаправлен на гостевой портал Cisco ISE, где должны быть введены login/password пользователя.
После принятия AUP и смены пароля (если это настроено в спонсорском портале), гостевой портал перенаправляет браузер клиента на отправку login/password на NAD (я думаю что здесь автоподстановка)
NAD формирует запрос RADIUS к ISE для authenticate и authorize пользователя.

Настройка свитча (NAD)

В первую очередь надо подготовить HTML-страницу со ссылкой (перенаправлением) на гостевой портал. Можно добавить сколь угодно дизайна и эстетики. Главное чтобы эти ресурсы (картинки и CSS) были доступны клиенту. Именно поэтому их лучше загружать или на свитч (NAD) или на ISE.
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML>
<head>
<title>ISE Guest Portal</title>
<meta Http-Equiv="Cache-Control" Content="no-cache">
<meta Http-Equiv="Pragma" Content="no-cache">
<meta Http-Equiv="Expires" Content="0">
<meta http-equiv="content-type" content="text/html; charset=ISO-8859-1">
<meta http-equiv="REFRESH" content="0;url=https://ip:port/guestportal/portal.jsp?switch_url=wired">
</HEAD>
<BODY>
<center>
Redirecting ... Login
<br>
<br>
<a href="https://ip:port/guestportal/portal.jsp?switch_url=wired">ISE Guest Portal</a>
</center>
</BODY>
</HTML>
необходимо поднять HTTPS-сервер на свитче
ip http secure-server
Залить HTML-страницу на сервер
copy tftp/ftp flash
установить страницы для каждого события:
ip admission proxy http login page file flash:login.html
ip admission proxy http success page file flash:success.html
ip admission proxy http fail page file flash:fail.html
ip admission proxy http login expired page file flash:login-expired.html
Проверка конфигурации:
show ip admission configuration

Device Registration WebAuth (DRW)

Процесс authentication, при котором гостевой пользователь проходит через процедуру Device Registration Web Authentication (DRW). WLC должна быть настроена так, чтобы отправлять MAC-адрес клиента как значение параметра CallingStationID, когда формируется запрос RADIUS типа ACCESS к ISE.

Пользователь подключается к сети при помощи WiFi И его MAC-адреса нет в Identity Endpoints ИЛИ не поставлена галка в атрибуте AUP accepted. Он получает authorization profile с URL-перенаправлением. При попытке пользователя перейти на любую страницу, пользователь получает страницу AUP посредством URL-перенаправления.
Если пользователь принимает AUP, то MAC-адрес машины регистрируется в Identity Endpoint Store как новый Endpoint (в случае если до этого момента Endpoint не существовал). Атрибут AUP accepted устанавливается в значение TRUE для конкретного Endpoint, для отслеживания того, что пользователь принял AUP. Администратор может определить новый Endpoint в необходимую Endpoint Identity Group, путём выбора на странице Configuration портала Guest Management.
Если такой гостевой Endpoint уже существует в Identity Endpoint Store, то значение атрибута AUP accepted для него устанавливается в положение TRUE. Endpoint Identity Group автоматически меняется на ту, что задана на странице Configuration портала Guest Management.
Если пользователь не принимает AUP или происходит ошибка при создании/заведении Endpoint, пользователю выводится fail page.
После создания или обновления данных Endpoint, пользователю отображается success page, вслед за Termination CoA отправленным на NAD или WLC.
После CoA, NAD или WLC reauthenticate соединение пользователя посредством нового запроса MAB. В процессе новой authentication уже находится Endpoint, который приписан к соответствующей Endpoint Identity Group. И на NAD или WLC приходит конфигурация доступа (authorization) для пользователя.

Тип CoA и для проводного и для беспроводного соединения - Termination CoA. Можно настроить Device Registration WebAuth (DRW), чтобы отрабатывать VLAN IP-адрес release/renew. В этом случае тип CoA для обоих вариантов (проводное и беспроводное подключение) будет Change of Auth.

Настройка Device Registration Web-Auth (DRW)

Описание немного встало из-за немерянной нагрузки по работе. Всё-таки быть единственным цискарём в компании - немного напряжно... Но будьте покойны - описание будет доделано.
UPDATE 06-ФЕВ-2013: Разгруза пока не предвидится. На тот момент, когда он настанет, информация значительно устареет. Кроме того я сейчас больше занимаюсь виртуализацией и IP-телефонией. Поэтому я на это забиваю. Радуюсь, что я успел описать хотя бы это...

Cisco ISE. Краткое руководство. Часть 1

2012-09-07T01:28:00.000-07:00

Разговор пойдёт о новом ПО от компании Cisco. Cisco Identity Services Engine является логическим продолжением продукта Cisco Access Control Server. Его задача состоит в разграничении прав доступа пользователей при работе с сетевыми ресурсами. Зачастую это означает "авторизацию при подключении к сети" - при помощи кабеля, WiFi или VPN, - не важно. Чтобы избежать путаницы в терминах сразу определимся:

AAA - Authentication, Authorization, Audit
Authentication - проверка пользователя и пароля
Authorization - предоставление пользователю определённых полномочий. Например, доступ к определённому VLAN
Audit - логирование действий пользователя, таких как login/logout и т.д.
Identification - проверка имени пользователя. Зачастую, есть такой пользователь в системе или нет. Пароль не проверяется.
Authenticator - зачастую устройство, которое формирует RADIUS запрос к ISE с целью authorization пользователей.

Эти термины будут использоваться без перевода, потому что перевода у них нет до сих пор. И я думаю история будет как с перфоратором, парашютом и т.д.

Для обозначения путей к той или иной настройке будет использоваться следующий вид:

- System

- RADIUS

- IETF

- User Name

Перед зачтением лучше всего поставить ISE в виртуальной среде и ковыряться уже в интерактивной среде. В начале руководства идёт словесный потоп о том, что же такое ААА и что ISE лучший в мире. Я не считаю это сильно полезным, поэтому многое из того, что написано в документации я опускаю (в первую очередь как пользоваться фильтром для пользователей, правил, терминов и т.д.) и перехожу сразу к тому, что РЕАЛЬНО понадобиться.

Раздел Identity

В ISE по факту одновременно сосуществуют две системы: одна отвечает за аппаратную часть (что-то типа OS), вторая отвечает за прикладные вещи (сама служба RADIUS, веб-интерфейс и т.д.). Так вот учетные записи для каждой системы свои.

Важно запомнить, что через определённое время пароли в прикладной системе истекают, даже админские. Если все админские пароли истекли (обозначив факт, что кто-то филонит) и заблокировались, то можно их сбросить:

# application reset-password ise <user>

Зайти в аппаратную консоль по SSH можно со старым паролем с учёткой админ, так как учётные записи там не имеют срока жизни.

Сразу защитите себя от хакерских атак, изменив по разному главный админский пароль для аппаратной и прикладной систем. Потому что иначе кто-то подберёт админский пароль к аппаратной части, сделает учётку для прикладной, войдёт под ней в прикладную часть, сделает что надо (выключив логирование), потрёт логи, выйдет из прикладной, затрёт в аппаратной части учётку и привет :)

     -Administration
          - System
               - Admin Access
                    - Authentication
                         - Password Policy

Подраздел Identities

Users - это устройства, которые используют при аутентификации login/password и другие гламурные вещи (такие как сертификаты).

Endpoints - это устройства, которые не знают ничего ни про 802.1x, ни про что-либо другое.

Latest Network Scan Results - это те устройства, которые были обнаружены в результате сканирования сети ISE и им были сопоставлены (или не сопоставлены) профайлы устройств.

Подраздел Identity Groups

User Identity Groups - группированные пользователи, которых мы заводили в предыдущем подразделе. Сделаны просто для удобства работы.

Endpoint Identity Groups - сгруппированные Endpoint'ы - вот и всё. Обе группы и их подгруппы нужны для того, чтобы работать с Profile. Там они должны подключаться в зависимости от условий.

Группы администраторов

HelpDesk Admin - только мониторинг и отчетность. Нужен только для диагностики проблем.

Identity Admin - может полностью работать с users, endpoints и их группами. Если нужно завести пользователя - это к нему.

Network Device Admin - работает только с сетевыми устройствами, которые подключаются для авторизации на ISE.

Policy Admin - работает только с политиками.

RBAC Admin - работает с учетными записями пользователей. Решает кому и куда давать доступ.

Super Admin - по факту самая крутая по возможностям запись. Она может всё.

System Admin - запись для работы только с настройками системы. Не может работать с учётными записями пользователей. То есть запись чисто для настройки и поддержки системы. Её смело можно выдавать системным интеграторам.

Группы Endpoint Identity

3 предустановленные группы:

Blacklist
Profiled
Unknown - сюда попадают Endpoints, которым Profiler не смог найти нужный Profile.

2 группы ассоциированны с группой Profiled:

Cisco-IP-phones
Workstations

То есть группам Cisco-IP-phones и Workstations в разделе Endpoint Identity Groups сопоставлены политики в Profiling Policies. Это означает, что есть такие же (с такими же именами) политики в разделе Profiling.

Active Directory

1. После включения сервера ISE в домен, необходимо, чтобы в DNS была сделана запись о нем. Например, у нас в DNS занесли данные, что по адресу 192.168.123.123 расположен ise.company.com.

2. Логи соединений с AD по-умолчанию выключены. Для того, чтобы их включить надо зайти:

     -Administration
          - System
               - Logging
                    - Debug Log Configuration

Выбрать пункт с AD и поставить уровень Debug. Выполнить тест и затем пойти в другое место:

      - Operations
          - Troubleshoot
               - Download Logs

А там уже скачать нужны файл.

3. Для того, чтобы включить поддержку 802.1x в Windows 7 надо включить службу "Wired Autoconfig" или "Проводная автонастройка". Если её на горизонте не видать, то стоит зайти через regedit по адресу

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dot3svc]
и изменить значение переменной«Start» = dword:00000002. После этого она появится в списке служб. В домене проще всего это сделать с помощью групповых политик.

Dictionaries или Словари

Есть два типа словарей - System и User. System содержит атрибуты собранные и внесённые на основе данных IETF и самой Cisco. Этот словарь изменить нельзя. Для своих атрибутов и любого набора данных, которые надо получить с оборудования, кроме тех, что есть в системном словаре, можно и нужно использовать словарь User.

Все эти данные и атрибуты используются в authorization profiles и условиях в Policies.

По-хорошему, схема работы всех элементов политик (Policies Elements) следующая:

1. Ищем в словарях элемент, который надо проверить. Например:

     - System
          - RADIUS
               - IETF
                    - User-Name

2. Выбираем в Условиях (Conditions) какие сопутствующие условия должны быть выполнены:

     - Authentication
          - Compound Conditions
               - WLC Web Auth...

3. В Результатах (Results) рисуем профайл, который уйдёт на authenticator после (или в результате) выполнения обработки всего запроса.

     - Authorization
          - Authorization Profiles
               - Permit access

4. А далее всё это применяем при настройке в пунктах Authentication, Authorization и Profiling.

Maintenance или как делать Back Up

1. Необходимо создать репозитарий, куда будет складываться весь back-up
2. Создать задание для back-upа Administration Node и Monitoring Node.
3. По отчетам проверить что задание выполняется без ошибок.

     - Administration
          - System
               - Maintenance

Deployment

Весь ISE Deployment состоит из элементов - Node. Node может быть как физический Appliance и как виртуальная машина VMware. Каждая Node может выступать как Persona - Administration, Policy Service, Monitoring. Каждая Persona может быть выступать в трёх Role - Standalone, Primary, Secondary. Так же каждая Persona может обрабатывать Service - Network Access, Profiler, Posture, Security Group Access и т.д.

Для Cisco ISE выделяют 2 типа внедрения:

1. ISE Node, который включает в себя 3 Persona's:

Administration - совмещает в себе всё управление и все настройки. В системе может быть одна (максимум 2) таких персоны. Если ISE node ушел в down вместе с одной из Administration Persona, то вторая автоматом на себя функции НЕ БЕРЁТ! Это надо делать вручную.
Policy Service - фактически решает все вопросы с доступом и ААА: Network Access, Posture, Guest Access, Client Provisioning и Profiling сервисы. Все эти персоны работают одновременно. Обычно этих персон больше одной. При крахе персоны, остальные узнают об этом и сбрасывают соединение, которые были терминированы на "дохлой" Node.
Monitoring - коллектор логов со всех Policy Service Node'ов. На ней весь мониторинг и отчеты. Этих персон может быть только 2 в системе, который будут primary и secondary. Они обе будут собирать информацию. Как только одна из них уйдёт в down, другая АВТОМАТИЧЕСКИ переходит в роль Primary. Держать персоны Monitoring и Policy Service на одной Node нежелательно только исходя из целей производительности - мониторинг будет тормозить.

2. Inline Posture Node - является посредником и шлюзом одновременно для всех пользователей, которые проходят проверку Posture. Как правило ставятся за WiFi или VPN шлюзами. Они позволяют получать доступ только к серверам ISE с использованием защищённого соединения. После установки агентов и необходимых обновлений для системы и ПО, позволяет клиенту получить доступ уже к самой сети. По факту является чем-то вроде RADIUS-proxy.

Можно иметь до 2-х таких Node с ролями Primary и Secondary. Исходя из специфики работы самого Node не может иметь никаких Persona В ПРИНЦИПЕ!

Репликация между Node начинается после (причем сразу) после регистрации Secondary Node. То есть сначала создаётся Secondary Node, потом она Register в Deployment и... "Поехали..." Для удаления Node из Deployment надо сделать ему Deregister.

Требования к дисковой системе

ISE Persona	Disk Requirements
Standalone ISE	200 GB
Administration	200 GB
Monitoring	200 GB
Administration & Monitoring	200 GB
Policy Service	60 GB
Inline Posture Node	Не поддерживается на VMware. Только на Cisco ISE 3300

Мониторинг даёт:

180 Кбайт/день для каждого пользователя или Endpoint.
2.5 Мбайт/день на каждый ISE Node.

Policy Service

- галка Enable Session Services - позволяет отслеживать сессии соседних node с этой персоной. И в случае краха, TCP reset'ит его сессии, отправляя узлы или Endpoint'ы на reauthentication (я так думаю). Все узлы в рамках Node Group следят только в рамках самой группы - не более того.

- галка Enable Profiling Services - включает службу Profiling на Node. На соседней вкладке можно выбрать необходимые службы. После включения или выключения ЛЮБОГО элемента в Profiling надо перегружать процесс сервера приложений. Посмотреть в каком состоянии этот процесс можно с помощью команды:

# show application status ise

Для Node Group важно чтобы Nodes находились в одной подсети, чтобы они могли обмениваться multicast сообщениями по адресам:

224.0.0.1
239.255.255.255

Сброс настроек ISE Node.

Чтобы сбросить настройки Inline Posture Node, надо сначала deregister Node, и потом ввести команду:

# application reset-config ise

После этого она перейдёт в режим Standalone с Persona Administration, Policy Service и Monitoring.

Если создаём Secondary Monitoring Node, то лучше делать back-up с основного (active) Node. А затем восстанавливаем на новом (passive). Это даст нам то, что будут сохранены и перенесены все исторические данные из старого периода.

Функция	Base	Advanced	Wireless (только для точек доступа WiFi и их клиентов)
Authentication & Authorization	Yes	-	Yes
Guest Service	Yes	-	Yes
Monitoring & Troubleshooting	Yes	-	Yes
Posture Assessment	No	Yes	Yes
Profile	No	Yes	Yes
SGA	No	Yes	Yes
Endpoint Protection Service	No	Yes	Yes

Inline Posture Node

Для отказоустойчивости (High Availability - HA) рекомендуют использовать два Node в режиме active-passive.

Inline Posture Node поддерживается ТОЛЬКО на физических серверах Cisco ISE 3300. То есть на VMware такой тип Node сделать невозможно. Не рекомендуется менять IP-address интерфейсов на Inline Posture Node после его регистрации в deployment'е.

Есть три режиме работы:

Router Mode - Layer 3. Один интерфейс trusted (в нашей сети), другой - untrusted (смотрит WiFi или VPN шлюзы).
Bridged Mode - Layer 2. Оба интерфейса untrusted. Устанавливается в уже существующую сеть. Оба интерфейса имеют один и тот же IP-address.
Maintenance Mode - режим по-умолчанию. В нём находится устройство во время всех профилактических работ.

Лицензирование

Встроенная лицензия включает в себя Basic и Advanced лицензии. Но есть ограничения на количество Endpoint'ов - 100 шт. Именно поэтому не рекомендуют переводить систему в эксплуатацию с триальными ключами.

Лицензия распространяется на все устройства (users и endpoints) в рамках одного deployment. Причем теоретически можно развести пользователей на сколь угодно deployment'ов и сделать из них sequence.

Back-up и Restore

Данные операции могут быть выполнены только с Administration Node: Primary или Secondary. Если back-up может быть сделан и с web-интерфейса и с CLI. То восстановление может быть сделано только через CLI.

Back-up необходимо восстанавливать на той же версии ISE. Кроме того, лучше восстанавливать на Primary Node, а там уже данные будут реплицироваться на Secondary.

Необходимо отслеживать timezone, так как если пытаться восстановить back-up с временем операции раньше чем текущее время, то будет возникать ошибка. Вообще менять timezone после установки сервера не рекомендуют.

Бывают двух типов:

Application-specific configuration data - данные самого ISE. Нужны случае, если в настройках накосячил и надо откатиться по-быстрому.
Application & ADE (Application Deployment Engine) Operating Sestem Data - данные всего сервера целиком. Некий аналог Full Back-up. В основном используется в случае Hardware Failure. На VMware особо не актуален.

Если система завалилась в режиме Standalone, то тут поможет только full-backup. А если только Primary, то можно использовать distributed setup, чтобы Secondary в Primary, и нормально восстанавливать Primary.

Репозитории

Back-Up'ы, как и логи надо складывать на отдельный сервер. Для этого надо сначала создать репозитории. Репозитории могут быть следующих типов:

Disk
FTP
SFTP
TFTP
NFS
CD-ROM - только восстановление
HTTP - только восстановление
HTTPS - только восстановление

Размеры репозитария рекомендуются следующие:

10GB - для мелких компаний (<100 Endpoints)
100GB - для средних компаний
200GB - для крупных компаний

Параметр PATH должен начинаться с символа "/". Для выполнения back-up нужны права Super Admin или System Admin.

После восстановления Primary Node из back-up надо синхронизировать данные на Node'ах.

     -Administration
          - System
               - Deployment
                    - Syncup

Сценарии апокалипсиса: два Node в sync'е.

1. Накрылось тазом всё. Восстановить как было.

восстанавливается Primary из Full Back-up'а Secondary ещё в Standalone.
удаляем Secondary Server из Deployment на Primary и добавляем его снова.

2. Накрылось медным тазом всё. Восстанавливаем всё заново с новыми IP-адресами.

ставим на Primary ISE с новыми адресами
восстанавливаем на Primary Full Back-up. После восстановления сервер увидит, что адреса и домен поменялись и сам поправит конфигурацию.
генерируем самоподписанный сертификат
удаляем из Deployment Secondary
добавляем в Deployment Secondary с новым IP-адресом.

Authentication

Политики authentication определяют какие протоколы будет использовать ISE при взаимодействии с другими сетевыми устройствами. А также какие источники Identity будут использоваться для authentication пользователей. Политика - набор условий. Условие состоит из:

операнда (атрибута);
оператора (!=, =, <, >, ...)
значение

Простые условия могут составлять Составные условия. В процессе обработки, ISE оценивает условие и применяет те действия, которые предусмотрены.

Политика authentication состоит из:

1. Network access service:

разрешённые протоколы
служба Proxy-рования запросов на внешние RADIUS серверы.

2. Identity Source - последовательность или один из источников (внешних или внутренних) для authentication пользователей.

Identity method в результате политики authentication может быть одним из следующих:

1. Deny access => Reject Message
2. Identity Database => Authorization Policy:

Internal users
Internal Endpoints
Active Directory
...

3. Identity Source Sequence

Ошибки при authentication могут быть вызваны следующими причинами:
1. Authentication failed => как правило reject
2. User not found => как правило reject
3. Process failed => как правило drop

Однако, можно изменить последствия ошибок при authentication от обычных (reject и drop) на следующие:
1. reject
2. drop
3. continue - возможен только для PAP/ASCII, EAP_TLS, MAB или host lookup

Политика authentication может быть двух типов:
1. Simple - задаётся протокол и источник Identity
2. Rule_Based - в зависимости от условий и протоколов выбирается источник Identity Source.

Условия (Conditions) могут быть простыми (simple) и составными (compound) при помощи операндов OR и AND.
Настройка разрешённых протоколов для взаимодействия с сетевыми устройствами осуществляется здесь:

     - Policy
          - Policy Elements
               - Results
                    - Authentication
                         - Allowed Protocols

ISE может выступать как RADIUS-proxy, то есть перенаправлять RADIUS-запросы ещё какому-либо RADIUS-серверу. Для его определения надо:

     - Administration
          - Network resources
               - External RADIUS Server

Несколько серверов RADIUS можно объединить в последовательность для дальнейшего использования:

     - Administration
          - Network resources
               - RADIUS Server sequences

Результаты Authentication можно поглядеть тут:

- Monitor
- Authentications

Authorization

Правила авторизации содержат 3 элемента:

название
атрибуты - Identity groups и другие условия
разрешения

Правила авторизации позволяют в зависимости от атрибута (пользователя, группы и т.д.) назначить соответствующие разрешения - permissions.

Например, (группа VoIP пользователей ИЛИ группа VoIP endpoints) И (Wired 802.1x ИЛИ Wired MAB) TO VLAN Voice.

Политика Authorization может состоять из одного или нескольких правил авторизации. Они могут выполняться исходя из настройки работы политики:

First Matched Rule Apply
Multiple Matched Rule Applies

В случае использования последней (multiple) к стандартным правилам авторизации добавляются исключения (exeptions). То есть, стандартные правила работают в 90% времени. Исключения работают в случае когда уже вчера надо было сделать без авторизации ноутбук директору в VLAN, где есть полный интернет. Таким образом это временное решение, которое не стоит делать в режиме Standard. Используются постоянно, но крайне недолго.
Правила авторизации (их в документации часто называют политиками авторизации) могут работать в 3 режимах:

enable
disable
monitor only

В результате выполнения авторизации, пользователю должен быть возвращён профайл авторизации.

     - Policy
          - Policy Elements
               - Results
                    - Authorization
                         - Authorization Profiles

При создании нового профайла важно знать:

Access Type - разрешён доступ или запрещён.
DACL Name - Это Downloadable ACL. Важно для VPN пользователей.
VLAN - номер или имя VLAN, куда хотим засунуть пользователя. Важно при MAB и 802.1x.
Voice Domain Permission - галка ставится, когда нормально работает LLDP. Как правило используется при 802.1x или MAB.
Web Authentication - принудительное перенаправление на страницу авторизации.
Advanced Attributes Settings - любой другой атрибут.

Более подробно обо всех параметрах Authorization можно почитать на странице 442, раздел 16-28.
Downlodable ACL - ACL, которые хранятся на самом ISE. Обязательны для пользователей с Cisco VPN Client, если на VPN шлюзе одна группа. В отличие от Filter-ID, который хранится на authenticator, передаются непосредственно на ПО пользователя.

Machine Access Restriction (MAR)

Этот компонент присутствует в ISE версии 1.0 и предоставляет дополнительную авторизацию (в каком-то смысле) для пользователей AD. Для каждого успешного случая authentication, ISE кэширует значение, полученное в RADIUS-атрибуте Calling-Station-ID (attribute 31) как признак успеха. ISE хранит эти данные на протяжении TTL определённого в AD, после чего удаляет. Когда пользователь пытается authenticate с помощью end-user client, ISE пытается найти его Calling-Station-ID, который он только что принял. В зависимости от того, нашёл ISE эти данные или нет возможны 2 варианта:

Calling-Station-ID найден в базе cache, и профайл назначается как для успешной authorization.
Calling-Station-ID на найден в базе cache, и назначается другой профайл для пользователя, который успешно прошёл authorization БЕЗ machine authentication.

Более подробно на стр. 149, раздел 5-5.

Cisco ASA и Android

2012-07-26T05:18:00.000-07:00

Существует байка, что у админов бывают отпуски. Да не просто отпуски, так ещё и ежегодные. Да не просто ежегодные, но ещё и ежегодные оплачиваемые. Кто-то даже говорит, что выбираются они не только в Турцию или Египет, но даже в цивилизованные страны Европы, где можно путешествовать по Дунаю из Вены в Будапешт на корабле.

Но мы то знаем что это всё байки, потому что админ всегда должен быть на связи и иметь доступ к рабочему месту. А начальство всегда хочет иметь доступ к админу. Хорошо это или плохо, но современные технологии уже сейчас предоставили нам ОС Android, которая может быть сколь-угодно тонко настроена при правильном подходе. Поэтому вполне возможно при грамотных руках подключить мобильные устройства на базе Android к рабочей инфраструктуре. По-хорошему, это делается с помощью VPN-клиента. Но как всегда - есть нюанс...

Что есть на текущий момент

К циске можно подключаться множеством вариантов VPN, но нас интересуют только варианты Remote Access. Как правило это native VPN (все старые VPN клиенты, которые вроде как IKEv1) и AnyConnect (именно IKEv2). Только в этих случаях можно гарантировать нормальную работы всех виджетов и программ. Ранее я уже писал о том как компания сони качественно задвинула владельцев смартфонов Experia в вопросе AnyConnect. А native VPN клиенты существуют только для Windows, Mac и Linux (в виде rpm и исходников). Собирать пакет под XPERIA из исходников я уже не в состоянии, ибо времена тяжёлых наркотиков типа Gentoo миновали меня за одну установку. Значит надо искать что-то ещё. После непродолжительных поисков подтвердилось моё мнение, что не я один такой "счастливчик". И многие в конечном итоге приходят именно к... L2TP!

План Б

Для настройки L2TP в ASA надо внимательно отнестись к нескольким моментам:

IPSec Connection Profile должен быть DefaultRAGroup и никакой другой. Для L2TP в Android я вообще не нашёл где настраивать группы. Хотя сказать начистоту - даже не искал.
Split Tunnel не имеет смысла настраивать, так как эти данные особо не нужны L2TP-тунелю.
при заведении пользователя на ASA нужно поставить галку "Использовать MSCHAP при аутентификации".

При настройке L2TP-соединения на Android всплывает сразу много нюансов. Во-первых, стандартная настройка Dynamic Crypto Map не захотела работать сразу. При подключении на второй фазе выскакивала ошибка:

Group = DefaultRAGroup, IP = xxx.xxx.xxx, All IPSec SA proposals found unacceptable!

Оказывается mode у IPSec Transform set толжен быть не Tunnel, а Transport. Кроме того метод ESP Encryption должен быть только 3DES (по крайней мере у меня так) .

crypto ipsec ikev1 transform-set TRANS-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec ikev1 transform-set TRANS-3DES-MD5 mode transport
crypto ipsec ikev1 transform-set TRANS-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec ikev1 transform-set TRANS-3DES-SHA mode transport

crypto dynamic-map outside_dyn_map 12345 set ikev1 transform-set ESP-DES-SHA ESP-3DES-SHA ESP-3DES-MD5 TRANS-3DES-MD5 TRANS-3DES-SHA

Только после этого соединение установилось. И всё даже заработало. Но один косяк всё-таки есть. При подключенном VPN на устройстве, весь остальной доступ в Internet не доступен. И при попытке куда-ибо достучаться, на ASA будет появляться следующее ссобщение:

IPSEC: Received an ESP packet (SPI= 0xF87D4421, sequence number= 0x27) from yyy.yyy.yyy (user= test) to xxx.xxx.xxx. The decapsulated inner packet doesn't match the negotiated policy in the SA. The packet specifies its destination as xxx.xxx.xxx, its source as yyy.yyy.yyy, and its protocol as tcp. The SA specifies its local proxy as xxx.xxx.xxx/255.255.255.255/udp/42246 and its remote_proxy as yyy.yyy.yyy/255.255.255.255/udp/0.

Это на самом деле сообщение о том, что девайс пытается пробиться в сети, не предусмотренные соединение. В связи с чем они дропаются.

В сухом остатке

В принципе соединение выполняет свою функцию и всё хорошо. Но человек, избалованный AnyConnect, DACL, Shared RAC и NAC может слегка удивиться скудности начинки современного смартфона. И дело совсем не в том, что новые технологии сложнее в настройке и требуют много вычислительных ресурсов. Дело как раз состоит в том, что новые технологии позволяют многие вещи сделать ПРОЩЕ! А мы всё используем в L2TP с шифрованием 3DES, когда домашний WiFi настроен на работу с WPA2 PSK AES-256. По мне так бред. Хотя работает, но чья это заслуга?...