Commandes Cisco (CCNA)

Naviguer entre les différents modes de commande IOS

Pour entrer en mode d'exécution privilégié sur un périphérique Cisco, vous devez utiliser la commande suivante :

Switch>enable 

Si vous souhaitez revenir du mode privilégié au mode d'exécution de base, utilisez cette commande :

Switch#disable 

Le mode d'exécution privilégié (également appelé mode "enable") vous donne accès à des commandes et des fonctionnalités avancées qui ne sont pas disponibles dans le mode d'exécution de base.

Pour passer en mode de configuration globale sur un périphérique Cisco, vous devez utiliser la commande suivante :

Switch#configure terminal 

Ou simplement :

Switch#conf t 

Une fois cette commande saisie, vous entrez en mode de configuration globale, ce qui vous permet de configurer des paramètres qui affectent l'ensemble du périphérique. Dans ce mode, l'invite de commande change généralement pour refléter que vous êtes en mode de configuration, par exemple Switch(config)#.

Pour quitter le mode de configuration et revenir en mode d'exécution privilégié sur un périphérique Cisco, vous devez utiliser la commande suivante :

Switch(config)#exit 

Pour repasser en mode de configuration globale sur un périphérique Cisco, utilisez la commande suivante :

Switch#configure terminal 

Ou plus simplement :

Switch#conf t 

Une fois en mode de configuration globale, si vous souhaitez entrer dans le sous-mode de configuration spécifique pour le port de la console, vous devez utiliser la commande suivante :

Switch(config)#line console 0 

Passez en mode de configuration globale au moyen de la commande exit.

Switch(config-line)#exit 

Entrez le sous-modes de configuration de ligne Vty à l'aide de la commande line vty 0 15.

Switch(config)#line vty 0 15 

Repassez en mode de configuration globale.

Switch(config-line)#exit 

Entrez le sous-modes de configuration de ligne VTY :

Switch(config)#interface vlan 1 

À partir du mode de configuration de l'interface, passez au sous-modes de configuration de la console de ligne à l'aide de la commande de configuration globale line console 0.

Switch(config-if)#line console 0 

Revenez au mode d’exécution privilégié à l’aide de la commande end.

Switch(config-line)#end 

Modes de commande IOS

1. Mode d’exécution utilisateur

   C'est le mode initial lors de la connexion à un appareil Cisco.

• Switch> 

• Mode d’exécution privilégié

  Accéder à ce mode à partir du mode d’exécution utilisateur avec la commande enable.

Switch>enable 

Retournez au mode d’exécution utilisateur à l’aide de la commande disable.

Switch#disable 

Pour re-entrer en mode d'exécution privilégié.

Switch>enable 

• Mode de configuration globale

  Pour passer à ce mode à partir du mode d'exécution privilégié, utilisez la commande configure terminal.

Switch#configure terminal 

Pour quitter ce mode et retourner au mode d'exécution privilégié, utilisez la commande exit.

Switch(config)#exit 

Pour re-entrer en mode de configuration globale.

Switch#configure terminal 

Sous-modes de configuration

1. Sous-mode de configuration de ligne pour le port de la console

   Entrez ce mode avec la commande line console 0.

Switch(config)#line console 0 

Pour revenir en mode de configuration globale, utilisez la commande exit.

Switch(config-line)#exit 

• Sous-mode de configuration de ligne Vty

  Entrez ce mode avec la commande line vty 0 15.

  Switch(config)#line vty 0 15 

Pour revenir en mode de configuration globale, utilisez la commande exit.

Switch(config-line)#exit 

• Sous-mode de configuration de l'interface

  Entrez ce mode avec la commande interface vlan 1.

Switch(config)#interface vlan 1 

Pour passer au sous-mode de configuration de la console de ligne, utilisez la commande line console 0.

Switch(config-if)#line console 0 

Retour au mode d’exécution privilégié

Pour revenir au mode d’exécution privilégié depuis n'importe quel mode, utilisez la commande end.

Switch(config-line)#end 

Configuration de l'horloge

Régler l'horloge du dispositif à la date et heure souhaitées.

S1# clock set 15:00:00 31 Jan 2035 

Configuration du nom de l'appareil

Configurer un nom pour l'appareil. Ceci aide à l'identification de l'appareil dans un réseau complexe.

Switch# configure terminal 
Switch(config)# hostname Sw-Floor-1 
Sw-Floor-1(config)# 

Configuration des mots de passe

1. Configurer les mots de passe pour le port de la console

   Cela sécurise l'accès direct au dispositif via le port de la console.

• Sw-Floor-1# configure terminal 
  Sw-Floor-1(config)# line console 0 
  Sw-Floor-1(config-line)# password cisco 
  Sw-Floor-1(config-line)# login 
  Sw-Floor-1(config-line)# end 

• Configurer les mots de passe pour le mode d’exécution privilégié

  Cela sécurise l'accès aux commandes avancées et aux configurations sensibles du dispositif.

• Sw-Floor-1# configure terminal 
  Sw-Floor-1(config)# enable secret class 
  Sw-Floor-1(config)# exit 

• Configurer les mots de passe pour sécuriser les lignes VTY (Virtual Terminal Lines)

  Ceci sécurise l'accès au dispositif via Telnet ou SSH.

Sw-Floor-1# configure terminal 
Sw-Floor-1(config)# line vty 0 15 
Sw-Floor-1(config-line)# password cisco  
Sw-Floor-1(config-line)# login  
Sw-Floor-1(config-line)# end 

Chiffrement des mots de passe

Pour chiffrer les mots de passe sur le dispositif :

Sw-Floor-1# configure terminal Sw-Floor-1(config)# service password-encryption 

Pour vérifier que les mots de passe sont maintenant chiffrés, utilisez la commande suivante :

Sw-Floor-1# show running-config 

Création d'une bannière MOTD (Message Of The Day)

Une bannière MOTD peut être utilisée pour afficher un message à chaque connexion à l'appareil. Cela peut être utilisé pour afficher des informations importantes ou des avertissements.

Sw-Floor-1# configure terminal 
Sw-Floor-1(config)# banner motd #Authorized Access Only# 

Afficher la configuration

1. Pour afficher la configuration actuellement en cours :

• Sw-Floor-1# show running-config 

• Pour afficher la configuration qui sera utilisée au prochain démarrage de l'appareil :

2. Sw-Floor-1# show startup-config 

Redémarrer

Pour redémarrer le dispositif :

Sw-Floor-1# reload 

Effacer la configuration initiale

Pour effacer la configuration qui sera utilisée au prochain démarrage :

Sw-Floor-1# erase startup-config 

Configuration de l'interface de commutateur virtuelle (SVI)

Pour configurer une interface SVI avec une adresse IP et un masque de sous-réseau, et pour définir la passerelle par défaut :

Sw-Floor-1# configure terminal 
Sw-Floor-1(config)# interface vlan 1 
Sw-Floor-1(config-if)# ip address 192.168.1.20 255.255.255.0 
Sw-Floor-1(config-if)# no shutdown 
Sw-Floor-1(config-if)# exit 
Sw-Floor-1(config)# ip default-gateway 192.168.1.1 

Désactiver la recherche DNS

Pour désactiver la recherche DNS, qui peut causer des retards lors de la saisie des commandes si le dispositif essaie de résoudre les noms de commande non reconnus comme s'ils étaient des noms de domaine :

S1(config)# no ip domain-lookup 

Afficher les adresses MAC

Pour afficher les adresses MAC apprises par le commutateur :

Sw-Floor-1(config-if)# show mac address-table 

Pour effacer la table d'adresses MAC :

Sw-Floor-1(config-if)# clear mac address-table dynamic 

Afficher les tables de routage

1. Pour afficher la table de routage IPv4 :

• RT-Floor-1(config-if)# show ip route 

• Pour afficher la table de routage IPv6 :

2. RT-Floor-1(config-if)# show ipv6 route 

Afficher la table ARP

Pour afficher la table ARP d’un routeur :

RT-Floor-1(config-if)# show ip arp 

Configuration de base d'un routeur

Voici les étapes pour configurer un routeur :

Router(config)# hostname hostname 
Router(config)# enable secret password 
Router(config)# line console 0 
Router(config-line)# password password 
Router(config-line)# login 
Router(config-line)# line vty 0 4 
Router(config-line)# password password 
Router(config-line)# login 
Router(config-line)# transport input {ssh | telnet} 
Router(config-line)# exit 
Router(config)# service password-encryption
Router(config)# banner motd delimiter message delimiter 
Router(config)# end 
Router# copy running-config startup-config 

Configuration des interfaces de routeur

Pour configurer une interface de routeur pour IPv4 et IPv6 :

R1(config)# interface gigabitEthernet 0/0/0 
R1(config-if)# description Link to LAN 
R1(config-if)# ip address 192.168.10.1 255.255.255.0 
R1(config-if)# ipv6 address 2001:db8:acad:10::1/64 
R1(config-if)# no shutdown 
R1(config-if)# exit 

Pour configurer une adresse GUA (Global Unicast Address) IPv6 sur le routeur R1 :

R1(config)# interface gigabitethernet 0/0/0 
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64 
R1(config-if)# no shutdown 
R1(config-if)# exit 

Pour configurer une adresse LLA (Link-Local Address) IPv6 sur le routeur R1 :

R1(config)# interface gigabitethernet 0/0/0 
R1(config-if)# ipv6 address fe80::1:1 link-local 
R1(config-if)# exit 

Vérifier la configuration d'une interface

Pour vérifier la configuration d'une interface IPv4 :

R1# show ip interface brief 

Pour vérifier la configuration d'une interface IPv6 :

R1# show ipv6 interface brief 

Configuration de la passerelle par défaut

Pour configurer la passerelle par défaut (dans cet exemple, l'adresse est 192.168.1.254) :

S1(config)#ip default-gateway 192.168.1.254 

Activer le routage IPv6

Pour activer le routage IPv6 sur un routeur :

R1# ipv6 unicast routing 

Sécurité supplémentaire des mots de passe

Pour déconnecter automatiquement un utilisateur inactif sur une ligne vty SSH après que l'utilisateur a été inactif pendant 5 minutes et 30 secondes :

R1(config)# service password-encryption  
R1(config)# security passwords min-length 8  
R1(config)# login block-for 120 attempts 3 within 60 
R1(config)# line vty 0 4  
R1(config-line)# password cisco123  
R1(config-line)# exec-timeout 5 30  
R1(config-line)# transport input ssh  
R1(config-line)# end 

Activation de SSH

Pour activer SSH sur un routeur :

Router# configure terminal 
Router(config)# hostname R1 
R1(config)# ip domain name span.com 
R1(config)# crypto key generate rsa general-keys modulus 1024 
R1(config)# username Bob secret cisco 
R1(config)# line vty 0 4 
R1(config-line)# login local 
R1(config-line)# transport input ssh 
R1(config-line)# exit 

Vérifier les ports ouverts sur un routeur

Pour vérifier les ports ouverts sur un routeur :

Router# show ip ports all 

Configurer la longueur minimale du mot de passe

Pour fixer la longueur minimale du mot de passe à 10 caractères :

RTA(config)# security password min-length 10 

Empêcher les messages de console d'interrompre les commandes

Pour empêcher les messages de console d'interrompre les commandes sur la ligne console 0 :

S1(config)# line con 0 
S1(config-line)# logging synchronous 

Empêcher les messages de console d'interrompre les commandes sur la ligne VTY

S1(config)# line vty 0 4  
S1(config-line)# logging synchronous 

Configuration des ports de commutateur au niveau de la couche physique

S1#configure terminal 
S1(config)#interface FastEthernet0/1 
S1(config-if)#duplex auto 
S1(config-if)#speed auto 
S1(config-if)#mdix auto 
S1(config-if)#end 

Vérifier le support SSH

S1# show ip ssh 

Configuration d'interfaces de bouclage IPv4

R1(config)# interface loopback 0 
R1(config-if)# ip address 10.0.0.1 255.255.255.0 
R1(config-if)# exit 

Définir la longueur de l’historique

R1>terminal history size 200 

Afficher l’historique

R1>show history 

Création de VLAN

S1# configure terminal 
S1(config)# vlan 20 
S1(config-vlan)# name student 
S1(config-vlan)# end 

Attribution de port VLAN

S1# configure terminal 
S1(config)# interface fa0/6 
S1(config-if)# switchport mode access 
S1(config-if)# switchport access vlan 20 
S1(config-if)# end 

Exemple de VLAN de données ET de voix

S3(config)# vlan 20 
S3(config-vlan)# name student 
S3(config-vlan)# vlan 150 
S3(config-vlan)# name VOICE 
S3(config-vlan)# exit 
S3(config)# interface fa0/18 
S3(config-if)# switchport mode access 
S3(config-if)# switchport access vlan 20 
S3(config-if)# mls qos trust cos 
S3(config-if)# switchport voice vlan 150 
S3(config-if)# end 

Commandes de configuration du trunk

S1(config)# interface fastEthernet 0/1 
S1(config-if)# switchport mode trunk 
S1(config-if)# switchport trunk native vlan 99 
S1(config-if)# switchport trunk allowed vlan 10,20,30,99 
S1(config-if)# end 

Pour permettre le trunking d'un commutateur Cisco vers un appareil qui ne prend pas en charge le DTP

S1(config-if)# switchport mode trunk 
S1(config-if)# switchport nonegotiate 

Configurations de VLAN et de trunk de commutateur S2

S2(config)# vlan 10 
S2(config-vlan)# name LAN10 
S2(config-vlan)# exit 
S2(config)# vlan 20 
S2(config-vlan)# name LAN20 
S2(config-vlan)# exit 
S2(config)# vlan 99 
S2(config-vlan)# name Management 
S2(config-vlan)# exit 
S2(config)# interface vlan 99 
S2(config-if)# ip add 192.168.99.3 255.255.255.0 
S2(config-if)# no shut 
S2(config-if)# exit 
S2(config)# ip default-gateway 192.168.99.1 
S2(config)# interface fa0/18 
S2(config-if)# switchport mode access 
S2(config-if)# switchport access vlan 20 
S2(config-if)# no shut 
S2(config-if)# exit 
S2(config)# interface fa0/1 
S2(config-if)# switchport mode trunk 
S2(config-if)# no shut 
S2(config-if)# exit 
S2(config-if)# end 

Configuration de la sous-interface R1

R1(config)# interface G0/0/1.10 
R1(config-subif)# description Default Gateway for VLAN 10 
R1(config-subif)# encapsulation dot1Q 10 
R1(config-subif)# ip add 192.168.10.1 255.255.255.0 
R1(config-subif)# exit 
R1(config)# interface G0/0/1.20 
R1(config-subif)# description Default Gateway for VLAN 20 
R1(config-subif)# encapsulation dot1Q 20 
R1(config-subif)# ip add 192.168.20.1 255.255.255.0 
R1(config-subif)# exit 
R1(config)# interface G0/0/1.99 
R1(config-subif)# description Default Gateway for VLAN 99 
R1(config-subif)# encapsulation dot1Q 99 
R1(config-subif)# ip add 192.168.99.1 255.255.255.0 
R1(config-subif)# exit 
R1(config)# interface G0/0/1 
1(config-if)# description Trunk link to S1 
R1(config-if)# no shut 
R1(config-if)# end 

Routage inter-VLAN de commutateur de couche 3

D1(config)# vlan 10 
D1(config-vlan)# name LAN10 
D1(config-vlan)# vlan 20 
D1(config-vlan)# name LAN20 
D1(config-vlan)# exit 
D1(config)# interface vlan 10 
D1(config-if)# description Default Gateway SVI for 192.168.10.0/24 
D1(config-if)# ip add 192.168.10.1 255.255.255.0 
D1(config-if)# no shut 
D1(config-if)# exit 
D1(config)# int vlan 20 
D1(config-if)# description Default Gateway SVI for 192.168.20.0/24 
D1(config-if)# ip add 192.168.20.1 255.255.255.0 
D1(config-if)# no shut 
D1(config-if)# exit 
D1(config)# interface GigabiteThernet1/0/6 
D1(config-if)# description Access port to PC1 
D1(config-if)# switchport mode access 
D1(config-if)# switchport access vlan 10 
D1(config-if)# exit 
D1(config)# interface GigabiteThernet1/0/18
D1(config-if)# description Access port to PC2 
D1(config-if)# switchport mode access 
D1(config-if)# switchport access vlan 20 
D1(config-if)# exit 
D1(config)# ip routing 

Configuration du routage sur un commutateur de couche 3

D1(config)# interface GigabitEthernet1/0/1 
D1(config-if)# description routed Port Link to R1 
D1(config-if)# no switchport 
D1(config-if)# ip address 10.10.10.2 255.255.255.0 
D1(config-if)# no shut 
D1(config-if)# exit 
D1(config)# ip routing 

Configuration du routage OSPF

D1(config)# router ospf 10 
D1(config-router)# network 192.168.10.0 0.0.0.255 area 0 
D1(config-router)# network 192.168.20.0 0.0.0.255 area 0 
D1(config-router)# network 10.10.10.0 0.0.0.3 area 0 

Configuration de Link Aggregation Control Protocol (LACP)

S1(config)# interface range FastEthernet 0/1 - 2 
S1(config-if-range)# channel-group 1 mode active 
Creating a port-channel interface Port-channel 1 
S1(config-if-range)# exit 
S1(config)# interface port-channel 1 
S1(config-if)# switchport mode trunk S1(config-if)# switchport trunk allowed vlan 1,2,20 

Configuration d'un serveur Cisco IOS DHCPv4

R1(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.9 
R1(config)# ip dhcp excluded-address 192.168.10.254 
R1(config)# ip dhcp pool LAN-POOL-1 
R1(dhcp-config)# network 192.168.10.0 255.255.255.0 
R1(dhcp-config)# default-router 192.168.10.1 
R1(dhcp-config)# dns-server 192.168.11.5 
R1(dhcp-config)# domain-name example.com 
R1(dhcp-config)# end 

Désactiver le serveur Cisco IOS DHCPv4

R1(config)# no service dhcp 

DHCPv4 Relay

R1(config)# interface g0/0/0 
R1(config-if)# ip helper-address 192.168.11.6 
R1(config-if)# end 

Routeur Cisco en tant que client DHCPv4

SOHO(config)# interface G0/0/1 
SOHO(config-if)# ip address dhcp 
SOHO(config-if)# no shutdown 

Activation de la Stateless Address Autoconfiguration (SLAAC)

R1(config)# ipv6 unicast-routing 
R1(config)# exit 

Activer DHCPv6 sans état sur une interface

R1(config-if)# ipv6 nd other-config-flag 
R1(config-if)# end 

Activer DHCPv6 avec état sur une interface

R1(config)# int g0/0/1 
R1(config-if)# ipv6 nd managed-config-flag 
R1(config-if)# ipv6 nd prefix default no-autoconfig 
R1(config-if)# end 

Configurer un serveur DHCPv6 sans état

R1(config)# ipv6 unicast-routing 
R1(config)# ipv6 dhcp pool IPV6-STATELESS 
R1(config-dhcpv6)# dns-server 2001:db8:acad:1::254 
R1(config-dhcpv6)# domain-name example.com 
R1(config-dhcpv6)# exit 
R1(config)# interface GigabitEthernet0/0/1 
R1(config-if)# description Link to LAN 
R1(config-if)# ipv6 address fe80::1 link-local 
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64 
R1(config-if)# ipv6 nd other-config-flag 
R1(config-if)# ipv6 dhcp server IPV6-STATELESS 
R1(config-if)# no shut R1(config-if)# end 

Configurer un client DHCPv6 sur un routeur

R3(config)# ipv6 unicast-routing 
R3(config)# interface g0/0/1 
R3(config-if)# ipv6 enable 
R3(config-if)# ipv6 address autoconfig 

Configurer un serveur DHCPv6 avec état

R1(config)# ipv6 unicast-routing 
R1(config)# ipv6 dhcp pool IPV6-STATEFUL 
R1(config-dhcpv6)# address prefix 2001:db8:acad:1::/64 
R1(config-dhcpv6)# dns-server 2001:4860:4860::8888 
R1(config-dhcpv6)# domain-name example.com 
R1(config)# interface GigabitEthernet0/0/1 
R1(config-if)# description Link to LAN 
R1(config-if)# ipv6 address fe80::1 link-local 
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64 
R1(config-if)# ipv6 nd managed-config-flag 
R1(config-if)# ipv6 nd prefix default no-autoconfig 
R1(config-if)# ipv6 dhcp server IPV6-STATEFUL 
R1(config-if)# no shut 
R1(config-if)# end 

Configuration de l'agent de relais DHCPv6

R1(config)# interface gigabitethernet 0/0/1 
R1(config-if)# ipv6 dhcp relay destination 2001:db8:acad:1::2 G0/0/0 
R1(config-if)# exit 

Configurer Hot Standby Router Protocol (HSRP)

Sur R1

R1(config)# interface g0/1 
R1(config-if)# standby version 2 
R1(config-if)# standby 1 ip 192.168.1.254 
R1(config-if)# standby 1 priority 150 
R1(config-if)# standby 1 preempt 

Sur R2

R1(config)# interface g0/1 
R1(config-if)# standby version 2 
R1(config-if)# standby 1 ip 192.168.1.254 

Sécurisation des ports inutilisés

Désactiver les ports non utilisés

S1(config)# interface range fa0/8 - 24 
S1(config-if-range)# shutdown 
S1(config-if-range)# 

Activer la sécurité des ports

S1(config)# interface f0/1 
S1(config-if)# switchport mode access 
S1(config-if)# switchport port-security 
S1# show port-security interface f0/1 

Limiter et apprendre les adresses MAC

S1(config)# interface f0/1 
S1(config-if)# switchport port-security maximum xxx 

1. Configuration manuelle

Switch(config-if)# switchport port-security mac-address AE43:34CB 

2. Apprentissage dynamique (Terminal déjà connecté)

Switch(config-if)# switchport port-security 

3. Apprentissage dynamique – Sticky

Switch(config-if)# switchport port-security mac-address sticky  

Obsolescence de la sécurité des ports

Définir le type d'obsolescence (aging type) à 10 minutes d'inactivité

S1(config)# interface fa0/1 
S1(config-if)# switchport port-security aging time 10  
S1(config-if)# switchport port-security aging type inactivity  
S1(config-if)# end 

Modes de Violation de la Sécurité des Ports

Switch(config-if)# switchport port-security violation { pro

Atténuer les attaques par sauts de VLAN

S1(config)# interface range fa0/1 - 16 
S1(config-if-range)# switchport mode access 
S1(config-if-range)# exit 
S1(config)# interface range fa0/17 - 20 
S1(config-if-range)# switchport mode access 
S1(config-if-range)# switchport access vlan 1000 
S1(config-if-range)# shutdown 
S1(config-if-range)# exit 
S1(config)# interface range fa0/21 - 24 
S1(config-if-range)# switchport mode trunk 
S1(config-if-range)# switchport nonegotiate 
S1(config-if-range)# switchport trunk native vlan 999 
S1(config-if-range)# end 

Implémenter l'espionnage DHCP

S1(config)# ip dhcp snooping 
S1(config)# interface f0/1 
S1(config-if)# ip dhcp snooping trust 
S1(config-if)# exit 
S1(config)# interface range f0/5 - 24 
S1(config-if-range)# ip dhcp snooping limit rate 6 
S1(config-if-range)# exit 
S1(config)# ip dhcp snooping vlan 5,10,50-52 
S1(config)# end 
S1(config)# show ip dhcp snooping 

Exemple de configuration DAI (inspection ARP Dynamique)

S1(config)# ip dhcp snooping 
S1(config)# ip dhcp snooping vlan 10 
S1(config)# ip arp inspection vlan 10 
S1(config)# interface fa0/24 
S1(config-if)# ip dhcp snooping trust 
S1(config-if)# ip arp inspection trust 
S1(config)# ip arp inspection validate src-mac 
S1(config)# ip arp inspection validate dst-mac 
S1(config)# ip arp inspection validate ip 
S1(config)# do show run | include validate
S1(config)# ip arp inspection validate src-mac dst-mac ip 
S1(config)# do show run | include validate
S1(config)# 

Configurer PortFast

S1(config)# interface fa0/1 
S1(config-if)# switchport mode access 
S1(config-if)# spanning-tree portfast 
S1(config-if)# exit 
S1(config)# spanning-tree portfast default 
S1(config)# exit 
S1# show running-config | begin span 

Configuration BPDU Guard

S1(config)# interface fa0/1 
S1(config-if)# spanning-tree bpduguard enable 
S1(config-if)# exit 
S1(config)# spanning-tree portfast bpduguard default 
S1(config)# end 

Commandes Cisco (CCNA Network Security)

Sécurité supplémentaire des mots de passe

1. Tous les mots de passe en texte clair sont chiffrés.
2. Les nouveaux mots de passe configurés doivent comporter huit caractères ou plus.
3. En cas de plus de trois tentatives de connexion VTY échouées en 60 secondes, les lignes VTY seront bloquées pendant 120 secondes.
4. Configurez le routeur pour déconnecter automatiquement un utilisateur inactif sur une ligne VTY si la ligne est inactive pendant 5 minutes et 30 secondes.

R1(config)# service password-encryptionR1(config)# security passwords min-length 8  
R1(config)# login block-for 120 attempts 3 within 60 
R1(config)# line vty 0 4  
R1(config-line)# password cisco123  
R1(config-line)# exec-timeout 5 30  
R1(config-line)# transport input ssh  
R1(config-line)# end  
R1#  
R1# show running-config | section line vty 
line vty 0 4 password 7 094F471A1A0A exec-timeout 5 30 login transport input ssh 
R1# 

Algorithmes de mots de passe secrets

R1(config)# enable secret cisco12345  
R1(config)# do show run | include enable  
enable secret 5 $1$cam7$99EfzkvmJ5h1gEbryLVRy. 
R1(config)# enable secret ?  
  0      Specifies an UNENCRYPTED password will follow 
  5      Specifies a MD5 HASHED secret will follow 
  8      Specifies a PBKDF2 HASHED secret will follow 
  9      Specifies a SCRYPT HASHED secret will follow 
  LINE   The UNENCRYPTED (cleartext) 'enable' secret 
  level  Set exec level password 

R1(config)# line con 0  
R1(config-line)# password ?  
  0      Specifies an UNENCRYPTED password will follow 
  7      Specifies a HIDDEN password will follow 
  LINE   The UNENCRYPTED (cleartext) line password 
R1(config-line)# 

Chiffrez tous les mots de passe

R2(config)#service password-encryption 

Définissez la longueur minimale des mots de passe à 10 caractères.

R2(config)#security passwords min-length 10 

Créez le compte utilisateur JR-ADMIN avec un mot de passe secret de cisco12345 en utilisant l'algorithme de hachage SCRYPT.

R2(config)#username JR-ADMIN algorithm-type scrypt secret cisco12345 

Créez le compte utilisateur ADMIN avec un mot de passe secret de cisco54321 en utilisant l'algorithme de hachage SCRYPT.

R2(config)#username ADMIN algorithm-type scrypt secret cisco54321 

Configurez la ligne de console en suivant les instructions :

1. Réglez le délai d'expiration exécutif à 3 minutes sur la ligne de console.
2. Configurez la ligne de console pour utiliser la base de données locale pour l'authentification.
3. Après la configuration, quittez le mode de configuration de ligne.

R2(config)#line console 0 
R2(config-line)#exec-timeout 3 0 
R2(config-line)#login local 
R2(config-line)#exit 

Configurez les lignes VTY en suivant les instructions :

1. Réglez le délai d'expiration exécutif à 3 minutes sur les lignes VTY.
2. Configurez les lignes VTY pour utiliser la base de données locale pour l'authentification.

R2(config)#line vty 0 4 
R2(config-line)#exec-timeout 3 0 
R2(config-line)#login local 

Revenez au mode EXEC privilégié. Affichez la configuration en cours et filtrez-la pour inclure uniquement les lignes avec username afin de vérifier les configurations de compte utilisateur.

R2(config-line)#end 
R2#show running-config | include username 

1. login block-for seconds attempts tries within seconds : Bloque les connexions pendant "seconds" après "tries" échecs en "within seconds".

2. login quiet-mode access-class {acl-name | acl-number} : Active le mode silencieux et restreint les connexions aux adresses IP spécifiées dans l'ACL.

3. login delay seconds : Définit un délai de "seconds" entre les tentatives de connexion échouées.

4. login on-success log [every login] : Enregistre les connexions réussies, optionnellement à chaque connexion.

5. login on-failure log [every login] : Enregistre les échecs de connexion, optionnellement à chaque tentative.

R1(config)# login block-for 15 attempts 5 within 60 
R1(config)# ip access-list standard PERMIT-ADMIN
R1(config-std-nacl)# remark Permit only Administrative hosts     
R1(config-std-nacl)# permit 192.168.10.10
R1(config-std-nacl)# permit 192.168.11.10 
R1(config-std-nacl)# exit 
R1(config)# login quiet-mode access-class PERMIT-ADMIN   
R1(config)# login delay 10  
R1(config)# login on-success log  
R1(config)# login on-failure 3R1(config)# login delay  3 R1(config)#

La commande R1(config)# login delay 3 est utilisée sur un routeur Cisco pour définir un délai de 3 secondes entre les tentatives de connexion infructueuses. Cela signifie que si un utilisateur échoue à se connecter, il devra attendre 3 secondes avant de pouvoir essayer à nouveau. Cette fonctionnalité est utile pour réduire le risque d'attaques par force brute en ralentissant les tentatives de connexion rapides et répétées.

Enregistrer les Tentatives Échouées

Router(config)# login on-success log [every login]
Router(config)# login on-failure log [every login] 

Router(config)# security authentication failure rate threshold-rate log 

R1# show login failures
Total failed logins: 22
Detailed information about last 50 failures

Username    SourceIPAddr    lPort Count TimeStamp
admin       1.1.2.1         23    5     15:38:54 UTC Wed Dec 10 2008
Admin       10.10.10.10     23    13    15:58:43 UTC Wed Dec 10 2008
admin       10.10.10.10     23    3     15:57:14 UTC Wed Dec 10 2008
cisco       10.10.10.10     23    1     15:57:21 UTC Wed Dec 10 2008

Exemple:

Sur R2, créez une liste d'accès standard nommée :

1. Autorisez l'hôte à l'adresse IP 192.168.10.10.
2. Utilisez le nom PERMIT-ADMIN.
3. Après la configuration, revenez au mode de configuration globale.

R2(config)# ip access-list standard PERMIT-ADMIN 
R2(config-std-nacl)# permit 192.168.10.10 
R2(config-std-nacl)# exit 

Améliorez le processus de connexion en suivant les instructions :

1. Désactivez la connexion pendant 15 secondes si plus de 5 échecs de connexion sont tentés en 60 secondes.
2. L'hôte spécifié dans l'ACL PERMIT-ADMIN ne devrait jamais se voir refuser l'accès à la connexion.
3. Spécifiez un délai de connexion de 10 secondes entre les échecs de connexion.
4. Générez des messages Syslog pour les tentatives de connexion réussies.
5. Générez des messages Syslog pour les tentatives de connexion échouées.
6. Après la configuration, quittez le mode de configuration globale.

R2(config)# login block-for 15 attempts 5 within 60 
R2(config)# login quiet-mode access-class PERMIT-ADMIN 
R2(config)# login delay 10 
R2(config)# login on-success log 
R2(config)# login on-failure log 
R2(config)# exit 
R2# 
*Nov 30 16:14:32.495: %SYS-5-CONFIG_I: Configured from console by console 

Affichez les paramètres de connexion.

R2# show login

Par défaut, le CLI du logiciel Cisco IOS a deux niveaux d'accès aux commandes :

1. Mode User EXEC (niveau de privilège 1) : Offre les privilèges les plus bas de l'utilisateur EXEC et permet seulement les commandes de niveau utilisateur disponibles à l'invite Router>.
2. Mode Privileged EXEC (niveau de privilège 15) : Inclut toutes les commandes de niveau enable à l'invite Router#.

Il existe au total 16 niveaux de privilèges, le niveau plus élevé offrant plus d'accès au routeur. Les commandes disponibles aux niveaux inférieurs sont également exécutables aux niveaux supérieurs.

• Niveau 0 : Prédéfini pour les privilèges d'accès de niveau utilisateur. Rarement utilisé, mais comprend cinq commandes : disable, enable, exit, help et logout.
• Niveau 1 : Niveau par défaut pour la connexion avec l'invite du routeur Router >. Un utilisateur ne peut ni effectuer de changements ni consulter le fichier de configuration en cours.
• Niveaux 2-14 : Peuvent être personnalisés pour les privilèges de niveau utilisateur. Les commandes des niveaux inférieurs peuvent être déplacées vers un niveau supérieur, ou les commandes des niveaux supérieurs peuvent être déplacées vers un niveau inférieur.
• Niveau 15 : Réservé aux privilèges du mode enable (commande enable). Les utilisateurs peuvent modifier les configurations et consulter les fichiers de configuration.

Pour assigner des commandes à un niveau de privilège personnalisé, utilisez la commande de mode de configuration globale privilege suivante :

Router(config)# privilege mode {level level|reset} command 

Explications des options de la commande :

• mode : Spécifie le mode de configuration. Utilisez la commande privilege ? pour voir la liste complète des modes de configuration du routeur disponibles.
• level : (Optionnel) Permet de définir un niveau de privilège avec une commande spécifiée.
• reset : (Optionnel) Réinitialise le niveau de privilège d'une commande.
• command : (Optionnel) Argument à utiliser lorsque vous souhaitez réinitialiser le niveau de privilège.

Voici la traduction en français de votre texte, suivie des commandes correspondantes en format bash, avec les commandes après le prompt colorées en noir :

Pour configurer un niveau de privilège avec des commandes spécifiques, utilisez la commande privilege exec level level [command]. L'exemple montre des exemples pour trois niveaux de privilège différents.

• Le niveau de privilège 5 a accès à toutes les commandes disponibles pour le niveau prédéfini 1 et la commande ping.
• Le niveau de privilège 10 a accès à toutes les commandes disponibles pour le niveau 5 ainsi qu'à la commande reload.
• Le niveau de privilège 15 est prédéfini et n'a pas besoin d'être configuré explicitement. Ce niveau de privilège a accès à toutes les commandes, y compris la visualisation et la modification de la configuration.

R1# conf t 
R1(config)# !Level 5 and SUPPORT user configuration 
R1(config)# privilege exec level 5 ping 
R1(config)# enable algorithm-type scrypt secret level 5 cisco5 
R1(config)# username SUPPORT privilege 5 algorithm-type scrypt secret cisco5 
R1(config)# !Level 10 and JR-ADMIN user configuration 
R1(config)# privilege exec level 10 reload  
R1(config)# enable algorithm-type scrypt secret level 10 cisco10  
R1(config)# username JR-ADMIN privilege 10 algorithm-type scrypt secret cisco10  
R1(config)# !Level 15 and ADMIN user configuration 
R1(config)# enable algorithm-type scrypt secret level 15 cisco123 
R1(config)# username ADMIN privilege 15 algorithm-type scrypt secret cisco123 

Configurer le niveau de privilège 5 :

1. Utilisez la commande privilege exec level pour donner accès à la commande ping.
2. Activez un mot de passe secret de niveau 5, cisco5, chiffré avec le hachage algorithm-type scrypt.
3. Créez une entrée dans la base de données locale pour un utilisateur nommé Support avec un niveau de privilège de 5, chiffrez le mot de passe avec le hachage de type 9 (algorithm-type scrypt) et définissez le mot de passe à cisco5.

R2(config)# privilege exec level 5 ping 
R2(config)# enable algorithm-type scrypt secret level 5 cisco5 
R2(config)# username Support privilege 5 algorithm-type scrypt secret cisco5 

Configurer le niveau de privilège 10 :

1. Utilisez la commande privilege exec level pour autoriser l'accès à la commande reload.
2. Activez un mot de passe secret de niveau 10, cisco10, chiffré avec le hachage algorithm-type scrypt.
3. Créez une entrée dans la base de données locale pour un utilisateur nommé Jr-Admin avec un niveau de privilège de 10, chiffrez le mot de passe avec un hachage de type 9 (algorithm-type scrypt) et définissez le mot de passe à cisco10.

R2(config)# privilege exec level 10 reload 
R2(config)# enable algorithm-type scrypt secret level 10 cisco10 
R2(config)# username Jr-Admin privilege 10 algorithm-type scrypt secret cisco10 

Configurer le niveau de privilège 15 :

1. Activez un mot de passe secret de niveau 15, cisco123, chiffré avec le hachage algorithm-type scrypt.
2. Créez une entrée dans la base de données locale pour un utilisateur nommé Admin avec un niveau de privilège de 15, chiffrez le mot de passe avec un hachage de type 9 (algorithm-type scrypt) et définissez le mot de passe à cisco123.
3. Sortez du mode de configuration.

R2(config)# enable algorithm-type scrypt secret level 15 cisco123 
R2(config)# username Admin privilege 15 algorithm-type scrypt secret cisco123 
R2(config)# exit 
R2# 

Vous avez réussi à configurer les niveaux de privilège sur R2.

R2(config)# aaa new-model 

R2(config)# parser view SHOWVIEW 
R2(config-view)# secret cisco 
R2(config-view)# commands exec include show 
R2(config-view)# exit 

R2(config)# parser view VERIFYVIEW 
R2(config-view)# secret cisco5 
R2(config-view)# commands exec include ping 
R2(config-view)# exit 

R2(config)# parser view REBOOTVIEW 
R2(config-view)# secret cisco10 
R2(config-view)# commands exec include reload 
R2(config-view)# end 

R2# show running-config | section parser 
parser view SHOWVIEW secret 5 $1$4c8S$8ayWlp1brumavcCek7OUz. commands exec include show 
parser view VERIFYVIEW secret 5 $1$mV.n$Wl99F.nQQQvuP7QiEzE.40 commands exec include ping 
parser view REBOOTVIEW secret 5 $1$BBYq$L6prAiM.wrcuGbst/9JY51 commands exec include reload R2# 

Configurer des vues supérieures CLI basées sur les rôles

Créez une vue en utilisant la commande parser view view-name superview et entrez en mode de configuration de vue supérieure. Ajouter le mot-clé superview à parser view crée une vue supérieure et entre en mode de configuration.

Router(config)# parser view view-name superview 

Attribuez un mot de passe secret à la vue en utilisant la commande secret password. Ceci définit un mot de passe pour protéger l'accès à la vue supérieure. Le mot de passe doit être créé immédiatement après avoir créé une vue ; sinon, un message d'erreur apparaîtra.

Voici la commande en format bash :

Router(config-view)# secret password 

Attribuez une vue existante en utilisant la commande view view-name en mode de configuration de vue. Cela ajoute une vue CLI à la vue supérieure. Plusieurs vues peuvent être ajoutées. Les vues peuvent être partagées entre les vues supérieures.

Router(config-view)# view view-name 

Sortez du mode de configuration de la vue supérieure en tapant la commande exit.

Router(config-view)# exit 

R1(config)# parser view USER superview 
R1(config-view)# secret cisco 
R1(config-view)# view SHOWVIEW 
R1(config-view)# exit 
R1(config)#  
R1(config)# parser view SUPPORT superview  
R1(config-view)# secret cisco1 
R1(config-view)# view SHOWVIE  
% Invalid view name SHOWVIE 
R1(config-view)# view SHOWVIEW  
R1(config-view)# view VERIFYVIEW  
R1(config-view)# exit 
R1(config)#  
R1(config)# parser view JR-ADMIN superview 
R1(config-view)# secret cisco2 
R1(config-view)# view SHOWVIEW 
R1(config-view)# view VERIFYVIEW 
R1(config-view)# view REBOOTVIEW 
R1(config-view)# exit 
R1(config)# 

Exemple:

Configurez la première vue supérieure.

1. Créez une vue supérieure appelée USER.
2. Attribuez à la vue supérieure le mot de passe cisco.
3. Assignez-lui la vue SHOWVIEW.
4. Après la configuration, retournez au mode de configuration globale.

R2(config)#parser view USER superview 
R2(config-view)#secret cisco 
R2(config-view)#view SHOWVIEW 
R2(config-view)#exit 

Configurez la deuxième vue supérieure.

1. Créez une vue supérieure appelée SUPPORT.
2. Attribuez à la vue supérieure le mot de passe cisco1.
3. Assignez-lui la vue SHOWVIEW.
4. Assignez-lui la vue VERIFYVIEW.
5. Après la configuration, retournez au mode de configuration globale.

R2(config)#parser view SUPPORT superview 
R2(config-view)#secret cisco1 
R2(config-view)#view SHOWVIEW 
R2(config-view)#view VERIFYVIEW 
R2(config-view)#exit 

Configurez la troisième vue supérieure.

1. Créez une vue supérieure appelée JR-ADMIN.
2. Attribuez à la vue supérieure le mot de passe cisco2.
3. Assignez-lui la vue SHOWVIEW.
4. Assignez-lui la vue VERIFYVIEW.
5. Assignez-lui la vue REBOOTVIEW.
6. Après la configuration, retournez au mode EXEC privilégié.

R2(config)#parser view JR-ADMIN superview 
R2(config-view)#secret cisco2 
R2(config-view)#view SHOWVIEW 
R2(config-view)#view VERIFYVIEW 
R2(config-view)#view REBOOTVIEW 
R2(config-view)#end 

Vérifiez les vues supérieures configurées en utilisant la commande show running-config | section superview.

R2#show running-config | section superview 
parser view USER superview 
secret 5 $1$PkVE$fWQNcCofjNnSNO5T5fR9b0 
view SHOWVIEW 
parser view SUPPORT superview s
ecret 5 $1$AJdD$KXsrFpyr8nsoZaoyJcZGz. 
view SHOWVIEW 
view VERIFYVIEW 
parser view JR-ADMIN superview 
secret 5 $1$jDUK$v1DodSqackdof/Dbg11eJ1 
view SHOWVIEW 
view VERIFYVIEW 
view REBOOTVIEW 
R2# 

Vous avez réussi à configurer des vues supérieures sur R2.

R1(config)# secure boot-image 
R1(config)# Sep 22 12:47:10.183: %IOS_RESILIENCE-5-IMAGE_RESIL_ACTIVE: Successfully secured running image 
R1(config)# 

R1(config)# secure boot-config 
R1(config)# Sep 22 12:47:18.259: %IOS_RESILIENCE-5-CONFIG_RESIL_ACTIVE: Successfully secured config archive [flash0:.runcfg-20200922-124717.ar] 
R1(config)# 

R1(config)# exit 
R1# 
Sep 22 12:47:22.783: %SYS-5-CONFIG_I: Configured from console by console 
R1# show secure bootset 
IOS resilience router id FTX1449AJBJ
 IOS image resilience version 15.4 activated at 12:47:09 UTC Tue Sep 22 2020
 Secure archive flash0:c2900-universalk9-mz.SPA.154-3.M.bin type is image (elf) []
 file size is 103727964 bytes, run size is 103907016 bytes
 Runnable image, entry point 0x81000000, run from ram
 IOS configuration resilience version 15.4 activated at 12:47:18 UTC Tue Sep 22 2020 Secure archive flash0:.runcfg-20200922-124717.ar type is config
 configuration archive size 1683 bytes 
R1# 

Router# reload 
<Issue Break sequence, if necessary> 
rommon 1 > dir flash0: 
program load complete, entry point: 0x80803000, size: 0x1b340
Directory of flash0: 
4 103727964 -rw- c2900-universalk9-mz.SPA.154-3.M.bin 
rommon 2 > boot flash0:c2900-universalk9-mz.SPA.154-3.M.bin <Router reboots with specified image> 
Router> enable 

Router# conf t 
Enter configuration commands, one per line. End with CNTL/Z. 
Router(config)# secure boot-config restore flash0:rescue-cfg ios resilience:configuration successfully restored as flash0:rescue-cfg 
Router(config)# end  
Router# copy flash0:rescue-cfg running-config 
Destination filename [running-config]? %IOS image resilience is already active %IOS configuration resilience is already active 2182 bytes copied in 0.248 secs (8798 bytes/sec) 

R1(config)# ip domain-name span.com  
R1(config)# crypto key generate rsa general-keys modulus 2048  
R1(config)# username Bob privilege 15 algorithm-type scrypt secret cisco12345  
R1(config)# aaa new-model  
R1(config)# aaa authentication login default local  
R1(config)# aaa authorization exec default local  
R1(config)# ip scp server enableR2# copy flash0:R2backup.cfg scp: 
Address or name of remote host []? 10.1.1.1 
Destination username [R2]? Bob 
Destination filename [R2backup.cfg]? 
Writing R2backup.cfg 
Password: <cisco12345> 
! 
1381 bytes copied in 8.596 secs (161 bytes/sec)
R2#

R1# debug ip scp 
Incoming SCP debugging is on 
R1# *Feb 18 20:37:15.363: SCP: [22 -> 10.1.1.2:61656] send *Feb 18 20:37:15.367: SCP: [22 <- 10.1.1.2:61656] recv C0644 1381 R2backup.cfg *Feb 18 20:37:15.367: SCP: [22 -> 10.1.1.2:61656] send

lldp run
end

R1# auto secure

R1# conf t 
R1(config)# interface s0/0/0 
R1(config-if)# ip ospf message-digest-key 1 md5 cisco12345 
R1(config-if)# ip ospf authentication message-digest 
R1(config-if)# exit 
R1(config)# exit 
R1# 

R2# conf t 
R2(config)# interface s0/0/0 
R2(config-if)# ip ospf message-digest-key 1 md5 cisco12345 
R2(config-if)# ip ospf authentication message-digest 
R2(config-if)# exit 
R2(config)# exit 
R2# 

R1(config)# key chain SHA256 
R1(config-keychain)# key 1 
R1(config-keychain-key)# key-string ospfSHA256 
R1(config-keychain-key)# cryptographic-algorithm hmac-sha-256 
R1(config-keychain-key)# exit 
R1(config-keychain)# exit 
R1(config)# interface s0/0/0 
R1(config-if)# ip ospf authentication key-chain SHA256 

R2(config)# key chain SHA256 
R2(config-keychain)# key 1 
R2(config-keychain-key)# key-string ospfSHA256 
R2(config-keychain-key)# cryptographic-algorithm hmac-sha-256 
R2(config-keychain-key)# exit
R2(config-keychain)# exit 
R2(config)# interface s0/0/0 
R2(config-if)# ip ospf authentication key-chain SHA256 

R1# configure terminal 
R1(config)# interface g0/0/0 
R1(config-if)# shutdown 
R1(config-if)# exit 
R1(config)# service timestamps log datetime 
R1(config)# interface g0/0/0 
R1(config-if)# no shutdown 

R1(config)# logging 10.2.2.6
R1(config)# logging trap informational
R1(config)# logging source-interface lo0
R1(config)# logging on
R1(config)# exit
R1# show logging

R1(config)# ip access-list standard PERMIT-ADMIN 
R1(config-std-nacl)# permit 192.168.1.0 0.0.0.255 
R1(config-std-nacl)# exit 
R1(config)# snmp-server view SNMP-RO iso included 
R1(config)# snmp-server group ADMIN v3 priv read SNMP-RO access PERMIT-ADMIN 
R1(config)# snmp-server user BOB ADMIN v3 auth sha cisco12345 priv aes 128 cisco54321 
R1(config)# end 
R1#

R1# show run | include snmp
R1# show snmp user

R1(config)# username JR-ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd
R1(config)# username ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd
R1(config)# aaa new-model
R1(config)# aaa authentication login default local-case
R1(config)#

R1(config)# username JR-ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd
R1(config)# username ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd
R1(config)# aaa new-model
R1(config)# aaa authentication login default local-case enable
R1(config)# aaa authentication login SSH-LOGIN local-case
R1(config)# line vty 0 4
R1(config-line)# login authentication SSH-LOGIN

Router(config)# aaa local authentication attempts max-fail [number-of-unsuccessful-attempts]

R1(config)# aaa new-model 
R1(config)# tacacs server Server-T 
R1(config-server-tacacs)# address ipv4 192.168.1.101 
R1(config-server-tacacs)# single-connection 
R1(config-server-tacacs)# key TACACS-Pa55w0rd 
R1(config-server-tacacs)# exit 
R1(config)# 

R1(config)# aaa new-model 
R1(config)# R1(config)# radius server SERVER-R 
R1(config-radius-server)# address ipv4 192.168.1.100 auth-port 1812 acct-port 1813 
R1(config-radius-server)# key RADIUS-Pa55w0rd 
R1(config-radius-server)# exit  
R1(config)#

R1(config)# aaa new-model
R1(config)# tacacs server Server-T
R1(config-server-tacacs)# address ipv4 192.168.1.100
R1(config-server-tacacs)# single-connection
R1(config-server-tacacs)# key TACACS-Pa55w0rd
R1(config-server-tacacs)# exit
R1(config)# radius server SERVER-R
R1(config-radius-server)# address ipv4 192.168.1.101 auth-port 1812 acct-port 1813
R1(config-radius-server)# key RADIUS-Pa55w0rd
R1(config-radius-server)# exit
R1(config)# aaa authentication login default group tacacs+ group radius local-case

R1(config)# aaa authorization exec default group tacacs+ 
R1(config)# aaa authorization network default group tacacs+ 
R1(config)# username JR-ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd 
R1(config)# username ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd 
R1(config)# aaa new-model 

R1(config)# username JR-ADMIN algorithm-type scrypt secret Str0ng5rPa5w0rd
R1(config)# username ADMIN algorithm-type scrypt secret Str0ng5rPa55w0rd
R1(config)# aaa new-model
R1(config)# aaa authentication login default group tacacs+
R1(config)# aaa authorization exec default group tacacs+
R1(config)# aaa authorization network default group tacacs+
R1(config)# aaa accounting exec default start-stop group tacacs+
R1(config)# aaa accounting network default start-stop group tacacs+

R1(config)# access-list ? 
<1-99> IP standard access list 
<100-199> IP extended access list 
<1100-1199> Extended 48-bit MAC address access list 
<1300-1999> IP standard access list (expanded range) 
<200-299> Protocol type-code access list 
<2000-2699> IP extended access list (expanded range) 
<700-799> 48-bit MAC address access list 
rate-limit Simple rate-limit specific access list 
template Enable IP template acls 
R1(config)# access-list 

R1(config)# ip access-list extended FTP-FILTER 
R1(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq ftp 
R1(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq ftp-data 
R1(config-ext-nacl)# 

R1(config)# access-list 10 permit 192.168.10.10 0.0.0.0 
R1(config)# access-list 11 permit 0.0.0.0 255.255.255.255 
R1(config)# 

R1(config)# access-list 10 permit host 192.168.10.10 
R1(config)# access-list 11 permit any 
R1(config)# 

Router(config)# access-list access-list-number {deny | permit | remark text} source [source-wildcard] [log] 

Router(config)# ip access-list standard access-list-name 

R1(config)# ip access-list extended SURFING 
R1(config-ext-nacl)# Remark Permits inside HTTP and HTTPS traffic  
R1(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 80 
R1(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 443 
R1(config-ext-nacl)# exit 
R1(config)#  
R1(config)# ip access-list extended BROWSING 
R1(config-ext-nacl)# Remark Only permit returning HTTP and HTTPS traffic  
R1(config-ext-nacl)# permit tcp any 192.168.10.0 0.0.0.255 established 
R1(config-ext-nacl)# exit 
R1(config)# interface g0/0/0 
R1(config-if)# ip access-group SURFING in 
R1(config-if)# ip access-group BROWSING out 
R1(config-if)# end 
R1# show access-lists 
Extended IP access list SURFING 
    10 permit tcp 192.168.10.0 0.0.0.255 any eq www 
    20 permit tcp 192.168.10.0 0.0.0.255 any eq 443 (124 matches) 
Extended IP access list BROWSING 
    10 permit tcp any 192.168.10.0 0.0.0.255 established (369 matches) 
R1# 

Router(config)# ip access-list extended <access-list-number> 

Router(config-if)# ip access-group {access-list-number | access-list-name} {in | out} 

R1(config)# access-list 100 permit ?  
<0-255> Un numéro de protocole IP 
ahp Authentication Header Protocol 
dvmrp dvmrp 
eigrp Protocole de routage EIGRP de Cisco 
esp Encapsulation Security Payload 
gre Tunneling GRE de Cisco 
icmp Internet Control Message Protocol 
igmp Internet Gateway Message Protocol 
ip Tout protocole Internet 
ipinip Tunneling IP dans IP 
nos Tunneling IP sur IP compatible KA9Q NOS 
object-group Groupe d'objets de service 
ospf Protocole de routage OSPF 
pcp Payload Compression Protocol 
pim Protocol Independent Multicast 
tcp Transmission Control Protocol 
udp User Datagram Protocol 
R1(config)# access-list 100 permit 

R1(config)# access-list 100 permit tcp any any eq www 
R1(config)# !or... 
R1(config)# access-list 100 permit tcp any any eq 80  

R1(config)# access-list 100 permit tcp any any eq 22 
R1(config)# access-list 100 permit tcp any any eq 443 
R1(config)# 

R1(config)# access-list 120 permit tcp any 192.168.10.0 0.0.0.255 established 
R1(config)# interface g0/0/0  
R1(config-if)# ip access-group 120 out  
R1(config-if)# end 
R1# show access-lists  
Extended IP access list 110 
    10 permit tcp 192.168.10.0 0.0.0.255 any eq www
    20 permit tcp 192.168.10.0 0.0.0.255 any eq 443 (657 matches)
Extended IP access list 120 
    10 permit tcp any 192.168.10.0 0.0.0.255 established (1166 matches) 
R1# 

R1(config)# access-list 150 deny ip host 0.0.0.0 any  
R1(config)# access-list 150 deny ip 10.0.0.0 0.255.255.255 any  
R1(config)# access-list 150 deny ip 127.0.0.0 0.255.255.255 any  
R1(config)# access-list 150 deny ip 172.16.0.0 0.15.255.255 any  
R1(config)# access-list 150 deny ip 192.168.0.0 0.0.255.255 any  
R1(config)# access-list 150 deny ip 224.0.0.0 15.255.255.255 any  
R1(config)# access-list 150 deny ip host 255.255.255.255 any 

R1(config)# access-list 105 permit ip 192.168.1.0 0.0.0.255 any 

R1(config)# access-list 180 permit udp any host 192.168.20.2 eq domain  
R1(config)# access-list 180 permit tcp any host 192.168.20.2 eq smtp  
R1(config)# access-list 180 permit tcp any host 192.168.20.2 eq ftp  
R1(config)# access-list 180 permit tcp host 200.5.5.5 host 10.0.1.1 eq 22  
R1(config)# access-list 180 permit udp host 200.5.5.5 host 10.0.1.1 eq syslog  
R1(config)# access-list 180 permit udp host 200.5.5.5 host 10.0.1.1 eq snmptrap 

R1(config)# access-list 112 permit icmp any any echo-reply  
R1(config)# access-list 112 permit icmp any any source-quench  
R1(config)# access-list 112 permit icmp any any unreachable  
R1(config)# access-list 112 deny icmp any any  
R1(config)# access-list 112 permit ip any any 

R1(config)# access-list 114 permit icmp 192.168.1.0 0.0.0.255 any echo  
R1(config)# access-list 114 permit icmp 192.168.1.0 0.0.0.255 any parameter-problem  
R1(config)# access-list 114 permit icmp 192.168.1.0 0.0.0.255 any packet-too-big  
R1(config)# access-list 114 permit icmp 192.168.1.0 0.0.0.255 any source-quench  
R1(config)# access-list 114 deny icmp any any  
R1(config)# permit ip any any 

Router(config)# no snmp-server 

R1(config)# ipv6 access-list LAN_ONLY
R1(config-ipv6-acl)# permit 2001:db8:1:1::/64 any
R1(config-ipv6-acl)# permit icmp any any nd-na
R1(config-ipv6-acl)# permit icmp any any nd-ns
R1(config-ipv6-acl)# deny ipv6 any any
R1(config-ipv6-acl)# end
R1# show ipv6 access-list
IPv6 access list LAN_ONLY
    permit ipv6 2001:DB8:1:1::/64 any sequence 10
    permit icmp any any nd-na sequence 20
    permit icmp any any nd-ns sequence 30
    deny ipv6 any any sequence 40
R1#

R1(config)# zone security PRIVATE
R1(config-sec-zone)# exit
R1(config)# zone security PUBLIC
R1(config-sec-zone)# exit
R1(config)#

Router(config)# class-map type inspect match-any HTTP-TRAFFIC
R1(config-cmap)# match protocol http
R1(config-cmap)# match protocol https
R1(config-cmap)# match protocol dns

R1(config)# policy-map type inspect PRIV-TO-PUB-POLICY
R1(config-pmap)# class type inspect HTTP-TRAFFIC
R1(config-pmap-c)# inspect

R1(config)# zone-pair security PRIV-PUB source PRIVATE destination PUBLIC
R1(config-sec-zone-pair)# service-policy type inspect PRIV-TO-PUB-POLICY

R1(config)# interface GigabitEthernet 0/0
R1(config-if)# zone-member security PRIVATE
R1(config)# interface Serial 0/0/0
R1(config-if)# zone-member security PUBLIC

R1# show run | begin class-map
!
<some output omitted>
!
class-map type inspect match-any HTTP-TRAFFIC
match protocol http
match protocol https
match protocol dns
!
policy-map type inspect PRIV-TO-PUB-POLICY
class type inspect HTTP-TRAFFIC
  inspect
class class-default
  drop
!
zone security PRIVATE
zone security PUBLIC
zone-pair security PRIV-PUB source PRIVATE destination PUBLIC
service-policy type inspect PRIV-TO-PUB-POLICY
!
interface GigabitEthernet0/0
zone-member security PRIVATE
!
interface Serial0/0/0
zone-member security PUBLIC
!

S1(config)# monitor session 1 source interface fastethernet 0/1
S1(config)# monitor session 1 destination interface fastethernet 0/2

S1# show monitor

R1# virtual-service install name MYIPS package flash:iosxe-utd.16.09.06.1.0.10_SV29130_XE_16_9.ova

R1# configure terminal
R1(config)# interface VirtualPortGroup0
R1(config-if)# description Management interface
R1(config-if)# ip address 209.165.201.1 255.255.255.252
R1(config-if)# exit
R1(config)# interface VirtualPortGroup1
R1(config-if)# description Data interface
R1(config-if)# ip address 192.168.0.1 255.255.255.252
R1(config-if)# exit
R1#

R1(config)# virtual-service MYIPS
R1(config-virt-serv)# vnic gateway VirtualPortGroup0
R1(config-virt-serv-vnic)# guest ip address 209.165.201.2
R1(config-virt-serv-vnic)# exit
R1(config-virt-serv)# vnic gateway VirtualPortGroup1
R1(config-virt-serv-vnic)# guest ip address 192.168.0.2
R1(config-virt-serv-vnic)# exit
R1(config-virt-serv)# activate

R1(config)# utd engine standard
R1(config-utd-eng-std)# logging host 10.10.10.254
R1(config-utd-eng-std)# logging syslog
R1(config-utd-eng-std)# threat-inspection
R1(config-utd-engstd-insp)# threat protection
R1(config-utd-engstd-insp)# policy balanced
R1(config-utd-engstd-insp)# signature update occur-at daily 0 0
R1(config-utd-engstd-insp)# signature update server cisco username Bob password class
R1(config-utd-engstd-insp)# logging level warning
R1(config-utd-engstd-insp)# exit
R1(config-utd-eng-std)# exit

R1(config)# utd
R1(config-utd)# all-interfaces
R1(config-utd)# engine standard
R1(config-engine-std)# fail close
R1(config-engine-std)# exit
R1(config-utd)# exit

R1(config)# interface G0/0/0
R1(config-if)# utd enable
R1(config-if)# exit
R1(config)# interface G0/0/1
R1(config-if)# utd enable
R1(config-if)# exit

R1(config)# utd threat-inspection whitelist
R1(config-utd-whitelist)# signature id 21555 comment traffic from Branch 1
R1(config-utd-whitelist)#

R1# show virtual-service list
R1# show virtual-service detail
R1# show utd engine standard config
R1# show utd engine standard status
R1# show platform hardware qfp active feature utd stats

S1(config)# aaa new-model
S1(config)# radius server NETSEC
S1(config-radius-server)# address ipv4 10.1.1.50 auth-port 1812 acct-port 1813
S1(config-radius-server)# key RADIUS-Pa55w0rd
S1(config-radius-server)# exit
S1(config)# aaa authentication dot1x default group radius
S1(config)# dot1x system-auth-control
S1(config)# interface F0/1
S1(config-if)# description Access Port
S1(config-if)# switchport mode access
S1(config-if)# authentication port-control auto
S1(config-if)# dot1x pae authenticator

S1(config)# interface range fa0/1 - 16
S1(config-if-range)# switchport mode access
S1(config-if-range)# exit
S1(config)#

S1(config)# interface range fa0/17 - 20
S1(config-if-range)# switchport mode access
S1(config-if-range)# switchport access vlan 1000
S1(config-if-range)# shutdown
S1(config-if-range)# exit
S1(config)#

S1(config)# interface range fa0/21 - 24
S1(config-if-range)# switchport mode trunk
S1(config-if-range)# switchport nonegotiate
S1(config-if-range)# switchport trunk native vlan 999
S1(config-if-range)# end
S1#

R1(config)# ip access-list extended PVLAN
R1(config-ext-nacl)# deny ip 172.16.0.0 0.0.0.255 172.16.0.0 0.0.0.255  
R1(config-ext-nacl)# permit ip any any
R1(config-ext-nacl)# exit
R1(config)# interface g0/0
R1(config-if)# ip access-group PVLAN in
R1(config-if)#

S1(config)# ip dhcp snooping
S1(config)# interface f0/1
S1(config-if)# ip dhcp snooping trust
S1(config-if)# exit
S1(config)# interface range f0/5 - 24
S1(config-if-range)# ip dhcp snooping limit rate 6
S1(config-if-range)# exit
S1(config)# ip dhcp snooping vlan 5,10,50-52
S1(config)# end
S1#

S1# show ip dhcp snooping

S1(config)# ip dhcp snooping
S1(config)# ip dhcp snooping vlan 10
S1(config)# ip arp inspection vlan 10
S1(config)# interface fa0/24
S1(config-if)# ip dhcp snooping trust
S1(config-if)# ip arp inspection trust

S1(config)# interface range fastethernet 0/1 - 2
S1(config-if-range)# ip verify source
S1(config-if-range)# end
S1#

 S1# show ip verify source