Administrace switch má své specifikum, neboť switch nemá vlastní IP adresu. Veškeré porty jsou řízeny přes MAC adresy připojených zařízení a IP adresy připojených zařízení jsou uloženy společně s odpovídající MAC adresou a číslem portu v ARP tabulce. Nicméně cesta tu je, pouze musíme switch nakonfogurovat prvotně pomocí console portu.
Switch může mít virtuální síťové rozhraní, které je označováno jako SVI - Switch Virtual Interface. Tomuto rozhraní lze přiřadit IP adresu a určit porty ze kterých je SVI dostupné. Od verze iOS 15.0 je možné mít na jednom switchi několik SVI.
Vše je realizováno pomocí VLAN (Virtual Local Area Network - viz. následující kapitola). Prozatím stačí zmínit, že default VLAN je VLAN1 pro všechny porty na switchi. SVI je konfigurováno v rámci VLAN99 - rezerovované právě pro SVI.
Konfigurace SVI
Switch1>enable
Switch1#conf term
Switch1(config)#interface vlan 99
Switch1(config-if)#ip add 192.168.255.2 255.255.255.0
Switch1(config)#no shut
Na routeru je nyní nastaven přístup přes virtuální rozhraní v rámci síte 192.168.255.0/24 s IP adresou 192.168.255.2 - není nutné tedy mít připojený konzolový port.
Manuální konfigurace fyzického portu
Switch1(config)#interface fast0/1
Switch1(config-if)#duplex full
Switch1(config-if)#speed 100
Switch1(config-if)#end
Nastavení se týká plného duplex módu a rychlosti 100MBit/s.
Automatické nastavení fyzického portu
Switch1(config)#interface fast0/1
Switch1(config-if)#duplex auto
Switch1(config-if)#speed auto
Switch1(config-if)#mdix auto
Switch1(config-if)#end
Veškeré nastavení je realizováno automaticky dle "slabší strany" spojení. MDIX je povolení automatické detekce kabelu (přímý x křížený).
Ověření konfigurace
Switch1#sh int fast0/1 - zobrazí informace o vybraném portu
Switch1#sh run - zobrazí running-config (včetně SVI)
Switch1#sh start - zobrazí startup-config
Switch1#sh flash - zobrazí informace o flash
Switch1#sh version - zobrazí informace o iOS
Switch1#sh history - zobrazí informace o dříve zadaných příkazech
Switch1#sh ip fast0/1 - zobrazí informace o IP na daném portu
Switch1#sh mac-address-table - zobrazí tabulku MAC adres
Konfigurace SSH
Poskytuje možnost administrovat zařízení přes nezabezpečnou síť - veškerá komunikace je šifrovaná. Nebezpečím zde je útok MITM (Man-in-the-middle), ten je rozpoznatelný varováním o změněném certifikátu.
Switch1#conf term
Swicht1(config)#ip domain-name czu.cz - zadáme doménu, do které zařízení spadá
Swicht1(config)#crypto key generate rsa - vygenerujeme lokální certifikát
Swicht1(config)#username admin secret cisco - nakonfigurujeme uživatele admin s heslem cisco
Swicht1(config)#line vty 0 15 - pro linky 0 až 15
Swicht1(config-line)#transport input ssh - aktivujeme protokol ssh
Swicht1(config-line)#login local - přihlašování místní - dle vytvořeného uživatele
Swicht1(config-line)#exit
Swicht1(config)#ip ssh version 2 - omezíme ssh protokol na verzi 2
Swicht1(config)#exit
Zabezpečení portů - nevyužívané porty
Každý interface, který není používán by měl být deaktivován, aby k němu nešlo připojit nepovolené zařízení.
Swicht1(config)#int fast0/5 - fast0/15 - výběr rozsahu portů - hromadná konfigurace
Swicht1(config-if)#shutdown
Zabezpečení portů - Port security
Porty, které jsou aktivované lze proti neautorizovaným zařízením chránit kontrolou MAC adres. Tu lze realizovat třemi způsoby:
- Static MAC - manuální konfigurace a přiřazení MAC k jedno portu,
- Dynamic MAC - switch si pamatuje MAC adresy a povoluje je připojit k libovolnému portu, při restartu jsou adresy zapomenuty,
- Sticky MAC - obdoba Dynamic MAC, ale nejsou zapomenuty po restartu.
Zabezpečení portů - Violation modes
Lze definovat tři reakce na základě detekce narušení nasatavených pravidel. Konkrétně se jedná o reakce:
- Protect - na port je definováno omezení počtu povolených MAC adres, pokud je připojeno nadpočetné zařízení, jeho pakety jsou zahazovány, není odesílána notifikace,
- Restrict - stejné jako Protect, ale je odeslána notifikace,
- Shutdown - po nastaveném počtu incidentů je zařízení deaktivováno a odeslána notifikace