لب عملی: پیکربندی Errdisable Recovery

هدف لب

فعال‌کردن یک نقض امنیت پورت که باعث می‌شود یک پورت وارد حالت err-disabled شود، بازیابی دستی آن یک‌بار، سپس پیکربندی errdisable recovery خودکار طوری‌که نقض‌های آینده از همان نوع پس از یک زمان‌سنج قابل‌پیکربندی خودشان را بازیابی کنند.

هدف لب (چرا مهم است)

یک پورت قرارگرفته در حالت err-disabled، که پیش‌تر در این مجموعه درباره امنیت پورت بحث شد، down باقی می‌ماند تا یک مدیر دستی آن را با shutdown و no shutdown بچرخاند. در محیط‌هایی که همان محرک گذرا (مانند یک نوسان کوتاه توان که یک نقض کاذب ایجاد می‌کند) گاهی رخ می‌دهد، بازیابی خودکار از تیکت‌های میز کمک غیرضروری و قطعی جلوگیری می‌کند.

توپولوژی لب

Switch1 ---- Gi1/0/5 ---- PC (امنیت پورت پیکربندی‌شده،
                          حداکثر ۱ آدرس MAC)

وظیفه ۱: پیکربندی امنیت پورت

Gi1/0/5 را با امنیت پورت که حداکثر ۱ آدرس MAC را مجاز می‌کند، با یک عمل نقض shutdown پیکربندی کن.

وظیفه ۲: فعال‌کردن نقض

یک دستگاه دوم (یا شبیه‌سازی یک آدرس MAC دوم) را روی همان پورت متصل کن تا یک نقض امنیتی فعال شود.

وظیفه ۳: تأیید Err-Disabled‌بودن پورت

تأیید کن پورت وضعیت err-disabled نشان می‌دهد.

وظیفه ۴: بازیابی دستی پورت

پورت را دستی بچرخان تا بازگردانده شود.

وظیفه ۵: پیکربندی Errdisable Recovery خودکار

سوئیچ را طوری پیکربندی کن که پورت‌ها را به‌طور خودکار از حالت err-disabled ناشی از نقض‌های امنیت پورت پس از ۳۰۰ ثانیه بازیابی کند.

وظیفه ۶: تأیید پیکربندی بازیابی خودکار

نقض را دوباره فعال کن و تأیید کن پورت به‌طور خودکار پس از بازه پیکربندی‌شده بدون مداخله دستی به سرویس بازمی‌گردد.

راه‌حل و تأیید

Switch1(config)# interface gigabitethernet1/0/5
Switch1(config-if)# switchport mode access
Switch1(config-if)# switchport port-security
Switch1(config-if)# switchport port-security maximum 1
Switch1(config-if)# switchport port-security violation shutdown
Switch1(config-if)# switchport port-security mac-address sticky

-- یک دستگاه دوم به Gi1/0/5 متصل می‌شود

Switch1# show interfaces gigabitethernet1/0/5 status

Gi1/0/5    err-disabled

Switch1# show port-security interface gigabitethernet1/0/5 | include Violation

Security Violation Count   : 1

Switch1(config)# interface gigabitethernet1/0/5
Switch1(config-if)# shutdown
Switch1(config-if)# no shutdown

Switch1# show interfaces gigabitethernet1/0/5 status
Gi1/0/5    connected

Switch1(config)# errdisable recovery cause psecure-violation
Switch1(config)# errdisable recovery interval 300

Switch1# show errdisable recovery

ErrDisable Reason    Timer Status
psecure-violation     Enabled
Timer interval: 300 seconds

-- نقض دوباره فعال می‌شود

Switch1# show interfaces gigabitethernet1/0/5 status
Gi1/0/5    err-disabled

-- پس از انتظار ۳۰۰ ثانیه، بدون مداخله دستی:

Switch1# show interfaces gigabitethernet1/0/5 status
Gi1/0/5    connected
-- پورت به‌طور خودکار بدون نیاز به
-- shutdown / no shutdown بازیابی شد

نکته کلیدی

Errdisable recovery باید به‌ازای هر علت خاص فعال شود (psecure-violation، bpduguard، و سایرین هرکدام تنظیم بازیابی مستقل خودشان را دارند) به‌جای به‌طور سراسری برای هر محرک ممکن err-disable، که کنترل دقیقی به یک مدیر روی اینکه کدام انواع شکست خاص اجازه خودترمیمی دارند در مقابل کدام‌ها همیشه باید نیازمند بررسی دستی باشند می‌دهد.