Solarwinds納管Cisco 9200，Solarwinds的UDT功能失效問題

 之前從Cisco 2960換成Cisco9200的時候，就已經發現到Solarwinds上的UDT(User Device Tracker)這個功能會失效，像下面那樣，什麼資訊都沒有

問廠商得到的答案是，Solarwinds認為是Cisco的問題，Cisco認為是Solarwinds的問題。

後來網路上爬到大神有提供解法

https://netcamp.ch/guides/cisco/cisco-solarwinds-udt-snmpv3 

照著設定，UDT功能恢復啦

IPHONE無法連線到企業網路

最近遇到無法連線的問題，紀錄一下

環境： 

1.IPHONE：14.7.1

2.WLC：Cisco WLC 9800，版本17.9.6

3.認證伺服器：微軟NPS

問題描述：

手機要連線到使用WPA2認證的企業網路，輸入完帳密後，跳出憑證不受信任，是否要信任的視窗，點選"信任"後，跳出無法連線網路。

排錯：

1.在NPS上的事件檢視器找不到登入異常的log。

2.開始在WLC上找訊息

WLC> Troubleshooting >Radioactive Trace，用問題手機的MAC address追蹤，發現有個錯誤訊息是

(ERR): MAC: xxxx.xxxx.xxxx  Dropping the disassoc or deauth request. 11w not enabled

後來在WLC上將該SSID啟用PMF (Protected Management Frame)，選擇Optional後正常。

20250909更新

又遇到一台Ipad(版本18.6.2)無法連線，連線PSK的企業網路。

但錯誤訊息是"此網路所執行的Wi-Fi頻道正由數個其他鄰近的網路使用中。重新啟動無線路由器可能會讓其自動選用最佳的頻道，並起解決這個問題。

一樣將該SSID啟用PMF (Protected Management Frame)，選擇Optional後正常。

android 11手機無法連上Cisco的無線網路(Cisco/Aironet)

 從Cisco官方論壇有人回答是CSCvu24770這個BUG。

CSCvu24770提到是android 10，但此篇文章也有提到android 11也會遇到。

解決方式就是在WLAN→選擇要調整的SSID→Security→Layer 2

Fast Transition的選項從 Adaptive改成enable。

應該是雙方設備協商會失敗導致，強制啟用Fast Transition，也就是802.11r。

Cisco WLC Client Exclusion Policies

最近在配置Cisco WLC的MAC Filtering遇到個問題。

user網卡在SSID-1有在白名單內，而SSID-2沒有。

如果user先連到SSID-2，會無法連線，這是正常行為。

然後user在連線到SSID-1，會發生無法連線狀況。

要請user等一段時間再連SSID-1，或是管理者在WLC GUI的client，

把該網卡後給remove，這邊會看到網卡號連到SSID為SSID-2，IP為0.0.0.0。


目前找到的解法是，到Security→Wireless Protection Policies→Client Exclusion Policies
Excessive 802.11 Association Failures
Excessive 802.11 Authentication Failures
Excessive 802.1X Authentication Failures
把這三個取消

DMVPN

最近似乎有DMVPN的需求，網路找的資料記錄一下~

https://www.jannet.hk/zh-Hant/post/dynamic-multipoint-virtual-private-network-dmvpn/

http://www.china-ccie.com/doc/vpn/vpn.html#37

https://ccie.lol/knowledge-base/lab-dmvpn-ipsec-multicast/

Cisco IOS命名-Denali, Everest, Fuji

最近來了兩台4321，想說上cisco建議版本。

到cisco download看，發現改成好幾個版本號。

找到這篇文章留存紀錄一下

https://learningnetwork.cisco.com/thread/128311

Indeed you now have 4 code type visible
Denali / Everest / Fuji and 3.6.8E
So 3.6.8E is the original or OLD type of code that was on the 3850, that has a parallel in the 16.X.X
You kinda need to get off that and onto 16.X.X
Denali (16.3.X) is the supported / tried and tested version, denali is where you should be
Everest (16.6.X) is the latest version of denali code - still not fully tested (I have heard bad reports)
Fuji (16.8.X) is like the T image of old - new versions of code and extra / new features.
You should be on Denali unless there is a specific feature that you need that isnt on Denali -
Notice the 'STAR' next to denali ?? that is the recommended version - only Denali and 3.6.X version have this recommendation.

總之就是上Denali 星號版本就對了，如果要的特殊功能沒有在Denali 版本上，才轉向Everest或是Fuji。

順帶一提，Denali, Everest, Fuji都是山的名名稱喔~XD

cisco switch or router記錄登入登出

archive
log config
logging enable
notify syslog contenttype plaintext
hidekeys
logging on
logging 192.168.1.1
login block-for 60 attempts 3 within 60
login on-failure log every 1
login on-success log every 1

注意：如果在2960X的15.0(2a)EX5上使用，然後telnet進去，設備會直接重開!!!!!
15.2(2)E3就沒這問題!!!!

Cisco L2 Bridging Across an L3 Network(L2TPv3,GRE)

R7設定
pseudowire-class test
 encapsulation l2tpv3
 ip local interface Ethernet0/0

interface Ethernet0/1
 no ip address
 xconnect 1.1.1.2 1 encapsulation l2tpv3 pw-class test

R9設定
pseudowire-class test1111
 encapsulation l2tpv3
 ip local interface Ethernet0/0
interface Ethernet0/1
 no ip address
 xconnect 1.1.1.1 1 encapsulation l2tpv3 pw-class test1111

在R7與R9輸入show xconnect all
Legend:    XC ST=Xconnect State  S1=Segment1 State  S2=Segment2 State
  UP=Up       DN=Down            AD=Admin Down      IA=Inactive
  SB=Standby  HS=Hot Standby     RV=Recovering      NH=No Hardware

XC ST  Segment 1                         S1 Segment 2                         S2
------+---------------------------------+--+---------------------------------+--
UP pri   ac Et0/1:4(Ethernet)            UP l2tp 1.1.1.2:1                    UP

Legend:    XC ST=Xconnect State  S1=Segment1 State  S2=Segment2 State
  UP=Up       DN=Down            AD=Admin Down      IA=Inactive
  SB=Standby  HS=Hot Standby     RV=Recovering      NH=No Hardware

XC ST  Segment 1                         S1 Segment 2                         S2
------+---------------------------------+--+---------------------------------+--
UP pri   ac Et0/1:4(Ethernet)            UP l2tp 1.1.1.1:1                    UP

以及在R7與R9輸入show L2tun tunnel all


L2TP Tunnel Information Total tunnels 1 sessions 1

Tunnel id 1977738540 is up, remote id is 1914104780, 1 active sessions
  Remotely initiated tunnel
  Tunnel state is established, time since change 00:09:43
  Tunnel transport is IP  (115)
  Remote tunnel name is Router
    Internet Address 1.1.1.2, port 0
  Local tunnel name is Router
    Internet Address 1.1.1.1, port 0
  L2TP class for tunnel is l2tp_default_class
  Counters, taking last clear into account:
    81 packets sent, 81 received
    8795 bytes sent, 8795 received
    Last clearing of counters never
  Counters, ignoring last clear:
    81 packets sent, 81 received
    8795 bytes sent, 8795 received
  Control Ns 12, Nr 5
  Local RWS 1024 (default), Remote RWS 1024
  Control channel Congestion Control is disabled
  Tunnel PMTU checking disabled
  Retransmission time 1, max 1 seconds
  Unsent queuesize 0, max 0
  Resend queuesize 0, max 1
  Total resends 0, ZLB ACKs sent 3
  Total out-of-order dropped pkts 0
  Total out-of-order reorder pkts 0
  Total peer authentication failures 0
  Current no session pak queue check 0 of 5
  Retransmit time distribution: 0 0 0 0 0 0 0 0 0
  Control message authentication is disabled

底下R8與R10就可以互通了。

需要注意→範例在R7 interface下xconnect指令，R9就一樣要在interface。
如果R7是使用vlan interface，那R9一樣要用vlan interface，也就是兩邊的interface type要一樣。


參考連結
https://www.byteworks.com/blog/layer-2-extensibility-options-for-business-networks/
https://www.cisco.com/c/zh_cn/support/docs/ip/layer-two-tunnel-protocol-l2tp/116266-configure-l2-00.html
https://www.cisco.com/c/en/us/td/docs/ios/12_0s/feature/guide/l2tpv325.html

cisco router or siwtch 下ACL後，Client無法透過DHCP取得IP問題

DHCP四個階段
DISCOVER、OFFER、REQUEST、Acknowledge


在DISCOVER的時候，會透過UDP 發出Src=0.0.0.0、sPort=68，Dest=255.255.255.255 、dPort=67

所以ACL如果沒注意到，可能就會被擋掉而導致client要不到IP狀況。

這時候ACL就要加入一筆

 permit udp any eq bootpc any eq bootps

Cisco Switch Block 445 Port

1.透過Vlan

ACL

ip access-list extended deny445

permit tcp any any eq 445

permit udp any any eq 445

VLAN Map

vlan access-map deny445 10

 match ip address deny445

 action drop

vlan access-map deny445 20

action forward

Applying VLAN Map to VLAN

vlan filter deny445 vlan-list  “Vlan ID” 

2.透過port

ip access-list extended deny445

deny   tcp any any eq 445

deny   udp any any eq 445

permit ip any any

int r f0/1 – X or Gi1/0/1 - X

ip access-group deny445 in

Cisco switch connect Cisco Thin ap

筆記一下~

因為Cisco thin AP是不帶tag的。

所以如果只有一個vlan，switch連接ap的port可以成access。


但如果是多ssid，也就是多個vlan。


那switch連接的port就要是trunk port。

如果管理ap的vlan不是預設1的話。

就要更改native vlan。

Cisco ASA 5545-X Transparent mode

Cisco ASA 5545-X Transparent mode

以下是設定

1.
firewall transparent
//轉換之後設定都會洗掉//
2.
 interface Management0/0
 management-only
 nameif managemant
 security-level 80
 ip address 192.168.1.253 255.255.255.0
3.
interface Port-channel1
 lacp max-bundle 8
 port-channel min-bundle 2
 nameif inside
 bridge-group 1
 security-level 100
!
interface Port-channel2
 lacp max-bundle 8
 port-channel min-bundle 2
 nameif outside
 bridge-group 1
 security-level 0

4.
interface GigabitEthernet0/0
 channel-group 1 mode on
 no nameif
 no security-level
!
interface GigabitEthernet0/1
 channel-group 1 mode on
 no nameif
 no security-level
!
interface GigabitEthernet0/2
 channel-group 2 mode on
 no nameif
 no security-level
!
interface GigabitEthernet0/3
 channel-group 2 mode on
 no nameif
 no security-level
!
5.
interface BVI1
 ip address 192.168.2.5 255.255.255.248  
//重要，這IP要跟與其他兩台聯接的IP要同網段。所以兩台對接的IP就不能/30。//

6.
http server enable
http 0.0.0.0 0.0.0.0 managemant

7.用ASDM進去把ACL開啟就可以了。

Cisco Lightweight AP (thin ap)

設定： 

AP#capwap ap ip address <IP address> <subnet mask> 

AP#capwap ap ip default-gateway <IP-address> 

AP#capwap ap controller ip address <IP-address>

檢查:

AP#show capwap ip config  

遇到"ERROR!!! Command is disabled. "

1.斷掉有線網路的連線
2.ap#debug lwapp console cli 

3.ap#write erase

4.ap#reload

Cisco thin AP 如何加入controller可以參考：

Cisco 瘦AP加入Controller (Lightweight AP join the Controller) 

引用：

Resetting the LWAPP Configuration on a Lightweight AP (LAP) 

ERROR!!! Command is disabled. 

Cisco ASA ICMP

遇到有客戶說：為什麼我在內部Ping不出去？
看Log上面deny的訊息是從outside到inside。
EXP：
Deny icmp src outside:10.1.1.6 dst inside:172.16.1.1 (type 5, code 0) by access-group "outside_access

詢問前輩與查相關文件後，ASA對於ICMP的封包處理不是單方向允許就好，
要針對兩個放項都要放行。

一，外部要Ping到內部：
從outside或是security-level低到高預設Ping是被deny掉的。
需要增加access-list與nat才行
EXP：

pix(config)#static (inside,outside) 192.168.1.5 10.1.1.5 netmask 255.255.255.255
pix(config)#access-list 101 permit icmp any host 192.168.1.5 10.1.1.5
pix(config)#access-group 101 in interface outside

二、內部要Ping到外部：
 有兩種方式
A：內部Ping外部的時候，回來的訊息允許放行，其他的icmp封包從外部進來時可能為外部主機的行為。
EXP：

access-list 101 permit icmp any any echo-reply
access-list 101 permit icmp any any source-quench 
access-list 101 permit icmp any any unreachable  
access-list 101 permit icmp any any time-exceeded
access-group 101 in interface outside

B： 設定ICMP inspection

允許受信任的IP可以通過防火牆，回來的訊息也可以回到受信任的主機上。

EXP： 

policy-map global_policy
    class inspection_default
     inspect icmp

參考文件：ASA/PIX/FWSM: Handling ICMP Pings and Traceroute