ograniczenie zapisu konfiguracji

[rysic]

Mam sobie laba na switchach (dlatego wrzucam ten temat tutaj).
Jest skonfigurowany i gotowy do labowania i chciałbym go udostępnić kilku osobom. Mogą sobie robić co chcą a na koniec mają zrestartować switche.
Chciałbym jednak ograniczyć możliwość zapisywania konfiguracji, żeby przez przypadek nie nadpisali mi konfiguracji bazowej - sam często odruchowo robię "do wr".
Czy da się zmienić np. jakiś klucz w rejestrze? To nie musi być zabezpieczenie nie do obejścia, ale takie, żeby przypadkiem nie nadpisać konfiguracji bazowej.

[PatrykW]

Mam sobie laba na switchach (dlatego wrzucam ten temat tutaj).
Jest skonfigurowany i gotowy do labowania i chciałbym go udostępnić kilku osobom. Mogą sobie robić co chcą a na koniec mają zrestartować switche.
Chciałbym jednak ograniczyć możliwość zapisywania konfiguracji, żeby przez przypadek nie nadpisali mi konfiguracji bazowej - sam często odruchowo robię "do wr".
Czy da się zmienić np. jakiś klucz w rejestrze? To nie musi być zabezpieczenie nie do obejścia, ale takie, żeby przypadkiem nie nadpisać konfiguracji bazowej.

Moze byc ciezko, jezeli mialbys userow przez ACS to mozesz wtedy ladnie regulki porobic. (ACL)
Ew zrob im konta z read only access w sumie jak wszystko ustawione, to tylko dostep do outputow im potrzebny.

[rysic]

Ale to jest lab, więc muszą sobie coś konfigurować a ten read only pozwoli im tylko odczytywać, tak? Na czym to polega?

[PatrykW]

Ale to jest lab, więc muszą sobie coś konfigurować a ten read only pozwoli im tylko odczytywać, tak? Na czym to polega?

Jezeli to jest lab, i musza miec mozliwosc zapisu, to sorry ale nie pogodzisz to w ten sposob, daj kazdemu zakres portow na ktorych maja pracowac, i nie opisana umowa miedzy wami, aby nie ruszac edge port i pozostalych portow i tyle.

Czyli masz switch 48 port. User A ma swoje zabawki na portach 1-8, niech sie bawi, ale aby nie ruszal pozostalej czesci.

Inczej nie mam pomyslu, albo user per switch hmm

[rysic]

W załączniku mój LAB.



Myślę, że danie po jednym switchu, albo ograniczenie do konfiguracji portów nie jest rozwiązaniem, choćby ze względu na możliwość polabowania agregacji portów.
Oczywiście ustna umowa - nie zapisywać cfg może być, ale tak jak pisałem, ja sam czasem odruchowo jestem w stanie zapisać konfigurację.
Jest możliwość zdalnego restartu urządzeń, więc powinni sobie szaleć do woli, nawet się odciąć od sprzętu, byle nie zapisać nic do starup config.

Przychodzi mi do głowy, że Cisco bazuje na Unixie a skoro unix, to może da się ustawić jakieś urpawnienia read only na starup confiug?

Ewentualnie, jeśli nie da się w ten sposób, to może bym się nauczył stawiać jakiegoś darmowego ACS-a/Radiusa cokolwiek co by mi pozwoliło precyzyjnie zarządzać uprawnieniami, tylko to by mi pewnie zajęło chwilę...

[vrankom]

Eee a taki trik nie zalatwi sprawy?

Kod: Zaznacz cały

boot config-file flash:/

[PatrykW]

W załączniku mój LAB.



Myślę, że danie po jednym switchu, albo ograniczenie do konfiguracji portów nie jest rozwiązaniem, choćby ze względu na możliwość polabowania agregacji portów.
Oczywiście ustna umowa - nie zapisywać cfg może być, ale tak jak pisałem, ja sam czasem odruchowo jestem w stanie zapisać konfigurację.
Jest możliwość zdalnego restartu urządzeń, więc powinni sobie szaleć do woli, nawet się odciąć od sprzętu, byle nie zapisać nic do starup config.

Przychodzi mi do głowy, że Cisco bazuje na Unixie a skoro unix, to może da się ustawić jakieś urpawnienia read only na starup confiug?

Ewentualnie, jeśli nie da się w ten sposób, to może bym się nauczył stawiać jakiegoś darmowego ACS-a/Radiusa cokolwiek co by mi pozwoliło precyzyjnie zarządzać uprawnieniami, tylko to by mi pewnie zajęło chwilę...

Calosc jest na GNS ? czy to sa fizyczne pudelka ?

[rysic]

W załączniku mój LAB.



Myślę, że danie po jednym switchu, albo ograniczenie do konfiguracji portów nie jest rozwiązaniem, choćby ze względu na możliwość polabowania agregacji portów.
Oczywiście ustna umowa - nie zapisywać cfg może być, ale tak jak pisałem, ja sam czasem odruchowo jestem w stanie zapisać konfigurację.
Jest możliwość zdalnego restartu urządzeń, więc powinni sobie szaleć do woli, nawet się odciąć od sprzętu, byle nie zapisać nic do starup config.

Przychodzi mi do głowy, że Cisco bazuje na Unixie a skoro unix, to może da się ustawić jakieś urpawnienia read only na starup confiug?

Ewentualnie, jeśli nie da się w ten sposób, to może bym się nauczył stawiać jakiegoś darmowego ACS-a/Radiusa cokolwiek co by mi pozwoliło precyzyjnie zarządzać uprawnieniami, tylko to by mi pewnie zajęło chwilę...

Calosc jest na GNS ? czy to sa fizyczne pudelka ?

Fizyczne, na GNSie nie da się labować switchingu - a przynajmniej nie do CCNP (swoją drogą, jeśli ktoś poleci jakieś dobre LABy do CCNP to będę wdzięczny).
Natomiast rysunek wykonany jest w GNS.

[rysic]

Eee a taki trik nie zalatwi sprawy?

Kod: Zaznacz cały

boot config-file flash:/

Jeśli dobrze rozumiem działanie tego polecenia to zmienia on nazwę pliku w którym zapisywana jest konfiguracja. Natomiast system chyba ma tego świadomość? Robiąc "write" albo "copu run startup" użyje chyba nowego pliku?

[vrankom]

najpierw wykonaj na jakims switchu

[PatrykW]

W załączniku mój LAB.



Myślę, że danie po jednym switchu, albo ograniczenie do konfiguracji portów nie jest rozwiązaniem, choćby ze względu na możliwość polabowania agregacji portów.
Oczywiście ustna umowa - nie zapisywać cfg może być, ale tak jak pisałem, ja sam czasem odruchowo jestem w stanie zapisać konfigurację.
Jest możliwość zdalnego restartu urządzeń, więc powinni sobie szaleć do woli, nawet się odciąć od sprzętu, byle nie zapisać nic do starup config.

Przychodzi mi do głowy, że Cisco bazuje na Unixie a skoro unix, to może da się ustawić jakieś urpawnienia read only na starup confiug?

Ewentualnie, jeśli nie da się w ten sposób, to może bym się nauczył stawiać jakiegoś darmowego ACS-a/Radiusa cokolwiek co by mi pozwoliło precyzyjnie zarządzać uprawnieniami, tylko to by mi pewnie zajęło chwilę...

Calosc jest na GNS ? czy to sa fizyczne pudelka ?

Fizyczne, na GNSie nie da się labować switchingu - a przynajmniej nie do CCNP (swoją drogą, jeśli ktoś poleci jakieś dobre LABy do CCNP to będę wdzięczny).
Natomiast rysunek wykonany jest w GNS.

No tak, ja uzywam UNL.

[rysic]

najpierw wykonaj na jakims switchu

rm -rf /
Lubię wiedzieć co robię Poczytam

[rysic]

Jeszcze nie testowałem tego rozwiązania z

Kod: Zaznacz cały

boot config-file flash:/

ale przyszło mi na myśl jeszcze inne rozwiazanie. Czy jeśli ustawię wczytywanie konfiguracji z TFTP (a może i nawet obrazy, bo też mogą uszkodzić) to po użyciu kompendy "copy run start" te ustawienia sie nadpiszą, czy nadl będzie zaczytywać z TFTP?

[borostfor]

Ustaw AAA tacacs i ogranicz komendy jakie dany uzytkownik moze wykonywac.

deny "copy .*"
deny "write .*"

[freel4ncer]

stawiaj tacacsa np shrubbery albo probono ja mam probono na centosie w produkcji postawienie tego to doslownie pare minut.