CCIE Flashcards
1
Q
Sanity Check?
A
valida que el source ip address para establecer relationship sea el IP de la interfaz directamente conectado, si le das disable, se pueden intercambiar rutas (no reachable) sin que los 2 tengan que estar en el mismo segmento de red.
2
Q
how can you communicate with 2 host with different IP’s point to point?
A
using static routes pointing to the interface
3
Q
^$
A
locally originated
4
Q
bgp well know communities?
A
Internet: advertise to all neighbors
Local-as: only advertise network withing the AS not confederation peers.
non-advertise: advertise to no-one
non-export: no advertise to ebgp peers but can advertise to confederation peers.
5
Q
originated in as 200
hace match a todo ?
any number
A
^200$
.*
([0-9]+)
6
Q
bgp best path selection?
A
next hop accesible weigh local prefere network aggregate -locally originate routes as path origin: ibgp>incomplete MED ebgp>IBGP IBGP only -->IGP closest neighbor update that came first (only apply to ebgp routes) if configure, lower bgp router-id
7
Q
what is stp forward-delay?
A
tiempo que se tarda stp en cambiar de listening a learning y de learning a forwarding state
8
Q
RIP holddown?
A
tiempo que tiene que pasar antes de que rip decida buscar un mejor path.
9
Q
rip timers?
A
invalid,holddown,flushed
10
Q
make RIP stop 30 second updates and send only when something occur?
A
int x
ip rip triggered
11
Q
Redistribute default routes in RIP
A
1-default information originate
2-static route and redistribute static
3-ip route to null0 and network 0.0.0.0
4-ip default network (tiene que ser con una red que ya se este aprendiendo por RIP)
12
Q
OSPF - summarize external routes
A
do it in ASBR with summary-address
13
Q
OSPF - summarize inter-area routes
A
in ABR with area range command
14
Q
filter ospf without route-maps?
A
using distance 255, pendiente a que el source es el router-id del neighbor
15
Q
RPF ?
A
Cuando reciba un multicast packet, verifico el source address, si el incoming interface es por la misma interfaz por donde aprendo el source address, packet allow
16
Q
BGP backdoor?
A
incrementa el AD de ebgp de 20 a 200, se utiliza por si tienes una mejor ruta para llegar al destino que ebgp y estas prefiriendo ebgp porque el AD es 20.
17
Q
Conditional advertisement + parameters ?
A
anuncia una ruta, si se da una condicion.
Parametros:
*advertise-map: ruta que quieres anunciar si la condicion que configures existe.
non-exist-map: si no existe la ruta que esta que esta en el non-exist map, no anuncies la que esta en el adversite-map. Estas rutas se validan en el bgp routing table
Exist-map: si existe la ruta que esta que esta en el exist map, anuncia la que esta en el adversite-map.
flow:
1-la ruta que quieres saber si existe o no existe, debe de estar puesta en el routing table de bgp.
18
Q
LSA type 8 (link) & LSA type 9 (prefix):
A
1-este solo fluye en el link donde estes directamente conectado con tus ospf neighbors y lo que hace es mostrar todos los IP configurados en esta interfaz.
LSA type 9 (prefix): muestra todos los ip address de esa area que esta hablando ospf, menos los linklocal.
19
Q
GLBP AVF and AVG?
A
advance virtual forwarder: son los que estan manejando los paquetes de los host y llevandolos al destino.
Advance virtual gateway: es el manager de los AVF, asigna a los AVF a que mac address group van a pertenecer para manejar los host y dice como se va a hacer el load balance. el de mayor priority es el AVG, tambien usa la funcion de AVF.
20
Q
EIGRP stub advertisement?
A
EIGRP Stub: default, solo anuncia connected and summary routes.
21
Q
EIGRP Leak-map to some neighbors?
A
Puedes hacer Leak-maps eligiendo a que neighbor quieres dejarle ver la ruta, solo tienes que hacer match en el route-map de la interfaz donde esta el neighbor que quieres dejarle ver la ruta. No aplica si tus neighbors estan en el mismo broadcast domain.
22
Q
EIGRP maximum hops? (can use it to filter routes)
A
el default es 100 pero esto se puede modificar.
23
Q
EIGRP K values?
A
* Bandwidth (K1) * Load (K2) * Delay (K3) * Reliability (K4) * MTU (K5)
24
Q
IP default network tiene 2 usos ?
A
1-redistribuir una ruta estatica, ya que si hago ip default-network 3.3.3.0 y tengo esa ruta en mi routing table, este añade un static route hacia lla
2-redistribuir rutas como candidatos a default routes, para esto las anuncio con el comando network, luego esa misma ruta configuro ip default-network,
van a aparecer en mi neighbor con esto *.
25
BGP Timers ?
keepalive 60 seconds, holdtime 180.
Se puede cambiar con bgp timers, aunque el valor en ambos neighbors sea diferente, este va a negociar por el valor mas bajito
26
what is diameter?
the root macro will calculate the optimum maximum delay and forwarding delay timers values, based on the size of the switched network: the smaller the network, the lower the timer values, and the faster the topology will converge. for this calculation the diameter of the switched network is the maximum number of switches that could possibly be in the path between two end stations.
27
MSTP Revision?
all switches needs to match revision for this to work.
28
distribute list with gateway?
puedes especificar un distribute list en un routing protocol con un host en especifico.
Recuerda que para usar "gateway" , debes crear un access-list, si lo que quieres es negar un host, niegalo pero crea un permit al final para que permitas los otros host.
29
route-map sin access-list o con un acl que no existe?
permite todo
30
ip ospf name-lookup?
* Si combinas IP host con ip ospf name-lookup, ospf va a relacionar el router-id de los routers (mostrandolos hasta en el ospf database) con el ip host que allas puesto.
31
RIP how to suppress multicast/broadcast and allow unicast in a routing protocol?
passive interface + neighbor command
32
how do I know if I am filtering an EIGRP external route because the same eigrp router-id ?
sh ip eigrp events | begin du
33
OSPF LSA Type 1 and 2
LSA-type 1: te da el router con que estas directamente conectado y el network por el cual estas conectado a el
LSA-type 2: network LSA, si estas en un multi-access network, te da los otros neighbors que tiene conectado. Este LSA lo tienes cuando hay un BDR.
34
how to check your ospf cost reference-bandwidth?
show ip ospf | in Reference
35
ospf authentication types?
null-type0 = authentication is disable on that interface
clear text- type 1
MD5-type 2
SHA
36
area 0 authentication and virtual links?
virtual link es una interfaz que esta en area 0, por lo tanto, si se habilita authentication en area 0, hay que habilitarlo en el virtual-link, luego de poner el authentication, hay que "clear ip ospf process" porque los virtual links no envian hello.
37
util para ver varios matching routes en el routing table
show ip route 1.1.1.1 255.255.254.0 longer-prefixes
38
Cuando redistribuyes en OSPF, como puedes hacer para que aparte del costo de la ruta redistribuida, se calcule el costo para llegar al router que redistribuyo?
metric-type E1
39
OSPF - Forward address 0.0.0.0
Significa que para llegar a ese external route tienes que enviar el paquete directo al que esta haciendo la redistribucion del external-address.
40
LSA-Type4
when a ABR receive an type-5 LSA-external route from a device that is in its own area and passes it into a different area, a type-4 ASBR summary LSA is generated to tell the devices in the new area how to forward towards the ASBR.
41
as-set?
por default cuando haces un aggregate address, el router que genero la ruta, pero que no hizo el aggregate, tambien recibe el summary, lo cual puede generar un loop, si no quieres que reciba el summary, utilizas as-set.
42
If you have 2 ABR's and one ASBR, which of the 2 are going to translate type-7 to type 5 LSA?
the one with the highest Router ID.
43
Why type-5 LSA needs an type 4 LSA and type-7 no?
because the forward address of type-7 replace the need of that, you already know who to forward the packet to reach the network.
44
cuando es recomendado usar " area x nssa no-redistribution" ?
si tienes un nssa area y el router que va a redistribuir la ruta es el mismo ABR, no es necesario que hagas la redistribucion en el NSSA area, ya que de todas formas los routers en esa area la van a alcanzar debido al default route que tienen hacia el ABR. el no redistribution de todas formas va a hacer el translation a Area 0.
45
ospf external routes preference?
E1>E2>N1>N2
46
using distribute-list to filter routes in ospf.
En ospf, aunque uses distribute list para filtrar la ruta en un router, este la va a seguir anunciando a los vecinos, OSPF anuncia la ruta siempre y cuando la tenga en el database.
47
passive interface en RIP ?
formamos neighbor relationship, yo aprendo las rutas tuyas, pero tu no aprendes las mias.
48
SPF Throttling
se configura si tienes una red inestable en ospf. Ya que no vas a querer estar calculando SPF cada ves que alla un cambio en la red por la culpa de un LSA. La forma en que trabaja es la siguiente:
1- Le dices al equipo cuando reciba un LSA, en que tiempo quieres calcular SPF y le pones un wait interval de que tiempo tiene que pasar antes de calcular otro SPF.
2-le dices al router que si recibe otro LSA si que termine el wait interval, aumente el tiempo para calcular el SPF el doble y asi susesivamente hasta que llegue al maximum value.
3-si llega al maximum value y no ha llegado otro lsa, se le da reset al timer a como estaba al inicio.
49
LSA Pacing
cada que tiempo le envias LSA a tu neighbor consecutivo. ej: si tienes que enviar 10 sla, este puede estar configurado para enviarlos uno a uno en un intervalo de 50 ms cada uno
50
LSA Throttling
igual que spf throttling, este controla cada que tiempo se va a generar un LSA, poniedo como minimo, wait interval y maximum wait
51
ebgp peering with bgp without being directly connected?
ebgp multihop
ttl-security
disable-connected-check (solo aplica en loopbacks)
52
confed-set
es el as-path de los confederations. Nota: por mas confed set que alla para llegar al destino, este no se utiliza para determinar el best path, muchos confed-set el router los ve como uno.
53
Confederation notes
en Confederation no se cambia el next-hop.
en el best path selection rule, los as-confed set (AS de los confederations) no se suman y cuentan como as path, un 1 o 10 confed-set es lo mismo.
54
set manual next hop in BGP
route-map nexthop permit 10
set ip next-hop x.x.x.x
router bgp x
neigh x.x.x.x route-map next-hop in/out
55
BGP -how to announce a mayor network if you dont have it in your routing table?
aggregate address 150.1.0.0 mask 255.255.0.0
56
redistribute ibgp routes in igp
by default, if you configure "redistribute bgp" only de ebgp routes will be redistribute, however, if you put "redistribute bgp internal" it will announce ibgp route.
57
create a peer-group and assing a neighbor
neigh alex peer-group
| neigh 150.1.1.1 peer-group alex
58
prefered method to force incoming traffic (download) in BGP?
AS-prepending, ya que aunque tu ISP tenga un local preference pegao, el prepending sigue pasando a los otros autonomous system y los afecta.
59
What is needed to implement equal cost load-balance in BGP?
1- same metric from weight to MED
2-same network type (ibgp or ebgp both)
3-same IGP cost to their neighbors
if all conditions are met, you can use " Maximum path"
60
what is needed for bgp unequal-cost load balance?
dmzlink-bandwidth
61
atomic aggregate
| aggregator?
la red que tenga esto indica que es una sumarizacion.
| 2-specifies the as number and the BGP router-ID of the prefix.
62
AS-set facts
tambien mantiene los communities con que te hallan informado la ruta. Ej. si la ruta que intentas sumarizar llego a tu routing table con el community "no-export", cuando sumarizes, lo vas a utilizar.
63
PIM-Dense mode disadvantage?
excessive flooding, to prune the multicast message it sends the multicast packets to every router until it prunes the interface. The pruning expires in 3 minutes so it will start sending multicast traffic again to all routers.
64
comandos multicast useful
show ip pim neighbor: veo si mis neighbors estan arriba
show ip pim interface: interfaces hablando multicast.
sh ip rpf x.x.x.x : puedes ver si vez el source que esta enviando el multicast group y como llegas a el, si no aparece datos, no vas a poder responder al multicast packet.
65
BGP soft-reconfiguration
Cuando aplicas un policy en BGP, tienes que darle reset al neighbor para que esta sea aplicada. Soft-reconfiguration te permite aplicar los policies sin tener que darle reset al peering. ej de reset:
clear ip bgp * soft in
Tambien es ideal para hacer troubleshooting, ya que puedes ver las rutas que te estan anunciando antes de hacer un filtro (ADJ-RIB).
66
BGP Dampening
network instabilities cause bgp prefix flapping. Prefix flapping is dangerous to network stability because it cause withdraws and best-path re-computations. 2 methods to reduce this:
summarization and prefix dampening.
Dampening: penaliza la ruta y no la anuncia hasta que no este estable. Cada vez que un prefix flap, se le añade un valor de 1000 (no es sec ni nada, es un valor) . si la ruta sigue flap y llega al valor de 2000 (default) esta va a ser penalizada/dampening.
67
bgp scanner
es un proceso de bgp que se encarga de:
1-chequear cada prefijo que sea valido y alcanzable (next-hop)
2-conditional advertisement y route-injection
3-import new routes from RIB
4-bgp dampening.
el timer de este es 60 sec por default, lo puedes bajar pero consume mas cpu.
68
BGP Outbound Route Filtering (ORF)
Sirve para por medio de prefix lix, decirle a tu neighbor que no te anuncie una ruta, esto es conveniente ya que si yo la filtro con un filter-list in, consumo recursos porque la ruta esta llegando donde mi. Para habilitarlo debes:
1- enable this capability on the peering routers, them reset the bgp sessions.
69
MPLS- why are ospf l3vpn routes Inter-area routes by default?
2- extended communities added to ospf
1-because the core mpls network that already run OSPF is considered a "super backbone area" lo cual es un area que esta por encima de area 0. Por lo tanto, aunque configures area 0 entre los CE, estos van a pasar por el superbackbone y se van a considerar que vienen de otra area.
2-domain id: identifica el process ID configurado en ospf en el PE-CE, por default se considera que configuraste el mismo Process-ID en ambos CE. Si los configuras diferences, las rutas entre los CE se veran como external.
70
OSPF Sham-link
1-because the core mpls network that already run OSPF is considered a "super backbone area" lo cual es un area que esta por encima de area 0. Por lo tanto, aunque configures area 0 entre los CE, estos van a pasar por el superbackbone y se van a considerar que vienen de otra area.
Si creas un backdoor entre los PE, este va a ser preferido por default, por la regla de intra-Area>interArea>external
71
BGP site of Origin
metodo para prevenir loops en mpls L3vpn que allas usado as-override, la ventaja de este metodo vs route-map-AD playing, es que el 1ro es automatico.
When a PE router learns a route with an SOO set, it will not advertise another route with the same SOO set to its CE neighbor.
Esto solo es necesario si estas usando AS-override y tu neighbor tiene un backdoor link. Lo malo es que no puedes usar tu backdoor link como redundant connection
reference: http://cciedreamer.blogspot.com/2008/11/mpls-vpns-with-bgp-site-of-origin.html
72
IPsec - diferencia entre tunel usando VTI y crypto maps
con VTI, no tienes que crear access-list, el tunnel se mantiene siempre activo, al contrario de con crypto map, que el tunnel se activa on demand
73
GRE over IPsec & Fragmentation problems.
DF bit header no se añade en el paquete, lo que significa que si el router siempre necesita fragmentar, si lo hace a nivel de software, esto aumenta el CPU y tienes menos throughput.
IP MTU & TCP Adjust MSS :
IP MTU: Pasa la carga de fragmentar a los host. el numero que le pongas es el tamaño maximo que se puede pasar de mtu sin fragmentar. El host se da cuenta del tamaño del MTU que puede enviar usando path mtu discovery.
Si el host no esta corriendo path mtu discovery?
si esto fuera un paquete tcp.
ip tcp adjust mss: normalmente los host envian un max segment size del tamaño del default mtu - 20 bytes de los headers = 1460, el problema con esto es que el paquete llega de 1500 bytes y el router tiene que fragmentar al menos que pongas ip tcp adjust mss. que lo que hace es que el router chequea el 3-way handshake session de el host 1 y el host 2 y verifica el max segment size, si ve que es mas de que el tiene configurado, el lo cambia al valor que tenga configurado el mismo. Normally el valor que le vas a poner es lo que tengas en tu IP MTU menos 40, porque tcp son 20 bytes y IP header son 20.
74
ipsec tunnels flavors?
ipsec with crypto map
ipsec over gre with crypto map (just need gre acl)
gre over ipsec with crypto ipsec profile (dont need acl)
gre over ipsec using Virtual tunnel interface (VTI) - lo mismo que crypto ipsec profile, a diferencia que no necesita IP mtu, este lo calcula automatico.
75
multicast - como resolver problema de RPF si recibes un multicast packet por interfaz diferente a como llegas al source?
Creando un mroute, un mroute tiene prioridad sobre cualquier IGP (menos directly connected). creas el mroute en direccion por donde te esta entrando el multicast.
76
pim sparse dense mode
Sparse-dense mode and autoRP
The 'ip pim sparse-dense mode' command enables PIM to operate in sparse or dense mode, depending on the multicast group. When you enable sparse-dense mode, the interface is treated as dense mode if the multicast group is in dense mode. If the group is in sparse mode, the interface is treated in sparse mode. You must have a rendezvous point (RP) if the interface is in sparse-dense mode and you want to treat the group as a sparse group.
sparse-dense-mode es obligatorio en autoRP, esto es porque los source de el grup 224.0.1.39 envian en dense mode y tambien para el mapping agent responder con 224.0.1.40 se necesita dense mode
77
PIM assert
si el host miembro de un multicast group esta en un multiaccess segment, este puede recibir trafico multicast de 2 routers y seria duplicado el trafico, waste of resources, por lo tanto, el router envia un assert para decidir que router va a hacer el forwarding de el source multicast packet. el que gana es el lowest igp to the source, if equal, the highest ip wins. Nota: un mroute tiene prioridad sobre igp.
78
PIM DR
en un Shared segment, en sparse mode, cuando los receivers quieren unirse a un multicast group, estos deben contactar al RP, para lograr esto, el DR se encarga de enviar un pim message para decire al RP cuales host de su segmento se quiere registrar, una vez el RP los registar, este envia un stop message al DR y les envia el SPT a los routers que se registraron para llegar al source.
este se escoje por el priority o por el highest IP en el LAN, es preemptive, osea no necesita reset.
79
Auto-RP
protocolo propietario de Cisco para anunciar RP.
| Candidate RP: any router that wants to be RP.
80
multicast - 224.0.1.39 and 40
224. 0.1.39: los candidates rp envian mensaje a este multicast address para ser candidatos a ser seleccionados.
224. 0.1.40: despues que los mapping agents toman la decision de quien va a ser el RP para cada grupo, eso envian la info al IP 224.0.1.40, los routers se unen a este multicast group y aqui consiguen la info de quien es el RP por grupo. Si hay 2 RP para un mismo grupo, el mapping agent va a elegir el que tenga el ip mas alto del source interface.
81
autorp access-list facts for redundancy
si tienes 2 RP y configuras lo siguiente en cada uno:
access-list 1 permit host 224.10.10.10
access-list 1 permit 224.0.0.0 15.255.255.255
access-list 2 permit host 224.11.11.11
access-list 2 permit 224.0.0.0 15.255.255.255
ip pim send-rp-announce lo0 scope 10 group-list 1
ip pim send-rp-announce lo0 scope 10 group-list 2
el primer RP va a ser el primario para la red 224.10.10.10 y el segundo el redundante, ya que se escoge por longest-match.
82
multicast in dmvpn problem
si colocas tu RP mapping Agent/candidate en un spoke, los multicast packets no van a poder llegar a el spoke, solo al hub por multicast split-horizon rule.
83
BSR - stub multicast routing & IGMP helper
Esto se usa por si tienes remote sites usando multicast y tienes poco bandwidth, no quieres que tu router tenga mucho consumo de bandwidth por RP messages/flood and prune behavior.
La forma en que trabaja es que el router que esta "stub" es transparente, los igmp messages que vallan hacia el router stub, son manejados por el upstream neighbo por medio de igmp helper (como dhcp-helper).
Como configurarlo:
El hub router debe de estar configurado con un filtro para que no haga pim neighbor relationship (ip pim neighbor-filter)
El Stub router debe estar configurado en dense mode para poder enviar el trafico del source hacia los receivers
84
filtering in multicast:
multicast boundary
igmp access-group (standard acl)
bsr border router
ip pim rp-announce-filter
85
IGMP Report
IGMP report: el host le dice al router que se quiere unir al grupo
86
IGMP leave report
el host le dice al router que ya no quiere ser parte del mgroup, cuando el router recibe esto envia un "special igmp group-specific query" para ver si hay otros host que quieren ser parte del grupo. Este behavior se puede modificar para que el router que reciba un igmp leave report, no envie estos querys e inmediantamente deje de enviar multicast sobre este grupo con "ip igmp immediate-leave"
87
Bidirectional PIM
es una extencion de pim sparse mode que usa solo shared-tree, la ventaja de esto es por ejemplo en video-conference, que los host tienen que ser receivers y senders al mismo tiempo.. In this situation, in addition to joining the shared tree rooted at the RP, every receiver needs to join the shortest path multicast distribution tree rooted at every other participant. lo cual crearia demasiadas mroutes. EN Bidirectional PIM, nunca se usa nunca se usa el shortest path tree, se depende siempre del DR para hacer forward del trafico.
Este en lugar de usar un Dr, usa un Designated forwarder (DF), el cual es el router encargado de enviarle trafico al RP.
88
IP PIM source Specific Multicast (SDM).
Es un metodo que se configura con sparse-mode y IGMPv3 el cual le dices a los host quien es el source de cada grupo, lo cual quita la necesidad de usar un RP para la distribucion de multicast. Es el mas recomendado si tu aplicacion lo soporta.
Nota: cuando hagas un ping al multicast group, solo el receiver te va a responder si viene del source especificado, tienes que tener pim sparse-mode habilitado en el source interface que va a enviar trafico.
89
RIP,EIGRP and OSPF passive-interface
In RIP this command will disable sending multicast updates via a specific interface but will allow listening to incoming updates from other RIP speaking neighbors.
in OSPF/EIGRP: stops sending outgoing hello packets, hence the router can not form any neighbor relationship via the passive interface.
90
multicast BGP extension
sirve para enviar multicas traffic entre 2 autonomous system diferentes en BGP. esto lo configuras bajo el address-family de multicast.
Requisitos para configurarlo:
1-habilitar pim entre las 2 interfaces haciendo ebgp-peering. Cada AS tiene su propio RP, asi que hay que filtrarlos (BSR border, Static RP, etc).
2-para que tu RPF check sea valido cuando envies multicast, cada AS debe conocer tus "sources" de multicast traffic, ya sea por IGP o anunciandolas por BGP.
91
Multicast - MSDP
multicast source discovery protocol: se utiliza cuando usas bgp para hablar multicast entre diferentes AS, despues que tengas la seccion de bgp establecida anunciandote los source multicast de cada domain.
Este se encarga de que los RP que estan en los diferentes AS se hablen entre si para poder enviarse multicast packetes entre ellos. Este solo se usa en sparse-mode.
Como lo hace:
Los RP hablan entre ellos por TCP usando Source Active Messages. When a source in one PIM SM domain starts sending the multicast traffic, the respective DR will start the registration process with the local RP. When the local RP receives the PIM Register message, it replicates it to all of its MSDP neighbor as an SA message. The SA message contains the ip address of the multicast source, known as the MSDP ID. Si hay algun receiver, este hace forward del multicast y se hace el (S,G) entre ellos siempre y cuando halla ruta. Este usa RPF check para prevenir loops.
92
Anycast
anycast: one to the nearest routing, 2 host can have the same IP address. siempre se va a tomar el mas cercano en el IGP/BGP table, si tienen la misma distancia, puedes usar ECMP para load balance.
how anycast works?
digamos que tienes 4 dns, uno en USA, otro en China, Europa y el Caribe, puedes ponerlo a los 4 con la misma IP, replicar la data y asi tienes load-balance de tus 4 dns.
Tienes que configurar MSDP para que el shortest path tree se forme sin problemas.
como configurar anycast:
1-Use the same ip address on all routers as the candidate RP, propagate information using bsr or Auto-RP
2-using different ip add on every router, source msdp sessions and link all candidate RPs in mesh. Use msdp originator ID and match the unique ip you created for msdp.
93
ipv6 ULA
unique local address: son los ip privados en ipv6, sustituye los rfc 1918 de ipv4.
Range: fc00::/7
94
ipv6 global address range
2000::-3FFF::
95
3-way handshake
3 way handshake: es el proceso por el cual se confirma que va a haber una comunicacion confiable entre 2 host, trabaja de la siguiente forma:
* host 1 envia un syn flag al host 2
* host 2 le envia un ack y otro syn flag indicandole que si quiere hablar
* host 1 envia otro ack de que recibio el syn y empiezan a hablar
96
IPv6 autoconfiguration (SLAAC)
el host puede asignarse un ip local y determinar su default gateway sin necesidad de un DHCP. Este usa ICMPv6 neighbor discovery para esto.
Cuando los routers se asignan un ipv6 address, estos envian un "Router advertisement (RA) " a los host, lo cual le da el network address, gateway, etc.
flow of data:
* El host envia un router solicitation message.
* El router envia un router advertisement message, que incluye el network address
* el host luego usa los primero 64 bits del network que le dio el router y toma los 64 bits que le faltan de su mac address
* el host toma el header de el router advertisement message, y lo vuelve su gateway.
* luego el host anuncia que tiene su ipv6 al network para asegurarse que no este duplicado.
* El host crea su 64 bits usando su mac address (se invierte el 7-bit y se añade el FFFE despues del bit 24 del mac address.)
97
ipv6 default route?
::/0
98
valor default dead interval en ospf?
Hello*4
99
ipv6 prefix filtering
Cisco ios only supports extended access-list in IPv6, el syntax es el mismo
apply:
int x
traffic-filter ale in
nota de acl: los routers no tienen stateful packet filtering, por lo tanto llevan acl para dentro como hacia afuera si es deseado both way traffic.
100
IPV6-how host communicate between each other in a lan segment if there is no broadcast/arp?
they use neighbor solicitation (icmp): la forma en que esto trabaja es usando multicast, cada ves que te asignas una direccion ipv6 en tu interface, tu te añades a un multicast group creado por ti que se crea usando FF02 +mas tu direccion ip.
http://keepingitclassless.net/2011/10/neighbor-solicitation-ipv6s-replacement-for-arp/
101
ipv6 multicast
FF00::/8: ipv6 multicast address.
in ipv6, there is no dense-mode, when you enable ipv6 multicast, it activates all the interfaces, you can disable it with 'no ipv6 pim' in interface mode.
Multicast listener protocol (mld): is the substitute for igmp in ipv6. MLD supports mesage types, "query, report and done".
102
6to4 tunnelling/isatap
ambos son tuneles que te permiten comunicar en una red ipv4, 2 redes ipv6.
103
Unicast Reverse path forwarding
URPF: lo mismo que multicast rpf, pero con unicast.
el router verifica el source del paquete que le llego, si el source IP no es aprendido por esa misma interfaz, se cae el packet.
Este tiene 2 modos:
loose (any): despues que el tenga ruta para ese source, deja pasar el paquete, pero si la ruta que tiene es para null 0, the packet is dropped.
strict: si por donde recibe el paquete no es la interfaz por donde el aprende el source, dropped.
104
ip path mtu discovery
IP Path MTU Discovery allows a host to dynamically discover and cope with differences in the maximum allowable maximum transmission unit (MTU) size of the various links along the path. Sometimes a router is unable to forward a datagram because it requires fragmentation (the packet is larger than the MTU you set for the interface with the ip mtu interface configuration command), but the “don’t fragment�? (DF) bit is set.
The software sends a message to the sending host, alerting it to the problem. The host will need to fragment packets for the destination so that they fit the smallest packet size of all the links along the path.
105
acl with ip option.
puedes filtrar los options que te da un ip header (cuando haces un ping con source IP, record, etc) creando un named extended acl + optivon. La idea para filtrarlos es que estos paquetes son process switches y ahorran cargar el cpu
106
eigrp/ospf/rip multicast groups
224. 0.0.9 = RIP
224. 0.0.10 = eigrp - protocol 88
224. 0.0.5 = ospf
224. 0.0.6 = ospf for the dr/bdr
the routers by default are joined to this multicast groups.
107
2 ways to enable ospfv3
ipv6 ospf 1 área 0
| ospfv3 1 ipv6 área 0 (preferred)
108
bgp port?
tcp 179
109
bgp neighbor relationship fact
En bgp, el server tiene que estar de acuerdo con la direccion que el va a recibir el tcp packet para hacer relationship, es decir, si en el server tienes configurado " neighbor 1.2.3.4" ya el servidor espera que el source address para hacer relationship sea ese, sino el neighbor no sube
110
difference between ebgp multihop and disable-connected-check ?
si quieres que tu ebgp neighbor tenga que estar directamente conectado a ti y quieres usar loopback como source, usas disable-connected-check, lo cual hace que el router no decremente el ttl cuando el paquete valla para su loopback, por lo tanto, como el ttl se queda 1, va a subir la seccion.
Esto ahorra recursos ya que ebgp-multihop, puede que tu tengas que pasar por varios routers para hacer la sesion de bgp.
111
IBGP/EBGP who change the next hop?
ebgp change the next hop.
112
bgp next hop calculation?
bgp te dice el next-hop, pero para llegar al next-hop, tu usas un igp lookup, por lo tanto, si haces un show ip route bgp, el " from" ip no significa que lo vas a usar a el para llegar al destino, sino que el fue que te dijo a quien tienes que buscar para llegar al destino. por eso se dice que bgp corre en el control plane y no en el data plane.
113
SNMPv3
este provee authentication and encryption.
como trabaja:
creas un grupo, el grupo lo que hace es decirle al usuario que opciones el puede ver dentro de ese grupo, cuales opciones del mib.
creas un user, el cual se añade a un grupo y va a tener derecho a ver los mibs de ese grupo, ese user lo va a usar el snmp agent.
3-le dices el IP que le vas a enviar los traps de snmp y si requiere authentication/encryption:
logging host 150.1.1.1 priv TRAP(grupo)
114
8 types of logging?
```
0-emergencies
1-alerts
2-critical
3-error
4-warning
5-notification
6-informational
7-debug
```
115
igmp queries como trabaja?
1-el querier envia queries a ver quien quiere pertenecer a cierto grupo y si hay alguien en un grupo, pregunta cada cierto tiempo si todavia pertenecen a ese grupo.
2-si los host no escuchan del querier cuando pase el "querier timeout", se elige otro querier.
3-el querier por default se elige por el lowest ip address
116
how ntp works?
El ntp server esta conectado a un highly accurate atomic clock, lo cual ya este se considera con stratum 1, lo que significa que esta "one hop away from the source of the time" .
Cada router que haga polling del ntp master, va a tener un stratum de N+1.
2-routers con el mismo Stratum pueden hacer peering para mantener sincronizado su reloj. solo desde uno de los routers se tiene que configurar "ntp peer"
117
2 statics rp selection algorithm?
if 2 statics rp are configured, the one with the highest loopback will be elected.
118
message in ip 224.0.1.40 to tell the router who is the RP?
rp discovery message
119
proxy arp
si alguien me envia un arp para una direccion que no pertenece a ese segmento, pero yo se como llegar a ese segmento, le respondo con mi mac address para que me envie el paquete a mi
120
dhcp client-id
es como el dhcp server identifica a que host le entrego el ip. Por default se usa el mac.
121
bsr candidate election and bsr election priority?
para el candidate, lowest priority is preferred.
| para el BSR, higher is preferred.
122
how Boostrap protrocol selects the bsr (mapping agent) ?
los candidates bsr escuchan todos los announcements y crean un set y se lo envian al DR de cada segmento, el DR se encarga de elegir el bsr por grupo segun su higher priority/ip address.
123
dhcp messages and what they do?
dhcp discover: el host envia este request al ip 255.255.255.255 pidiendo un IP address.
dhcp offer: el servidor (servidores) hacen una reserva de IP address y le ofrecen una IP.
dhcp request: el host responde con un broadcast de cual de los ofrecimientos el acepto, lo hace con broadcast para que los servidores rechazados vean este paquete y guarden su ip.
dhcp ack: the elected server reply with the lease duration of the ip address and any other request the client asked.
124
ip directed broadcast
| 2- ip broadcast-address
si un router recibe un paquete con la direccion broadcast de su network, y la interfaz que pertenece a ese network tiene "ip directed-broadcast" habilitado, el router va a enviar el paquete a todos los subnets con el address "255.255.255.255".
2-hace override al directed broadcast con el cambio de ip a 255.255.255.255 y lo cambia al ip configurado en el "ip broadcast-address command
125
dmvpn problem - porque no se pueden tener los spokes como DR en un dmvpn?
porque en ospf, los neighbor hace full adjacency con el DR, si el DR es un spoke, se rompe el flujo de las rutas en ospf porque entre los spokes no se hablan multicast.
126
vrf aware DMVPN
La funcion de este vpn es que puedes usar como source del tunnel una ip que este en el vrf SIN QUE EL TUNEL este en el vrf routing table. Esto es necesario si por el tunnel vas a pasar un default route y no quieres que se valla por el vrf default route, puedes tener tu trafico overlay(internet,etc) por un lado y tu trafico underlay por el tunnel.
para configurarlo:
tunnel vrf + nombre del vrf ( todo lo demas es lo mismo)
si configuras IPsec vpn con esto, debes de tener en la fase 1 un "vrf-aware preshared key" :
crypto keyring vrf_aware_psk(nombre del keyring) vrf UNDERLAY_TRANSPORT
pre-shared-key address 0.0.0.0 0.0.0.0 key 6 DMVPN_PSK
127
why bgp may not be learning a route?
next-hop not reachable.
synchronization enable
as-path loop.
128
local preference 100 by default, when?
cuando un ibgp te pasa una ruta que aprendio de ebgp que no la origino el, tiene un local preference de 100 por default. puedes cambiar esto con:
bgp default local-preference
129
bgp origin types?
IGP : significa que la ruta se origino usando "networki" o " aggregate-address"
EGP = legacy protocol
incomplete: redistribute in bgp.
130
bgp load-balance condition
1-have the same set of attributes up to MED
2-are of the same type (ibgp/ebgp) (se puede modificar con "maximum path eibgp")
3-have the same IGP cost to reach the neighbor (directly connected in both sites is the same cost.
131
summarization methods in bgp ?
1-create a static route of the summary pointing to null 0 and them advertise the route using the "network" command. Nota: solo se usa con rutas que te pertenecen, locally originated o sino vas a causar un black hole.
2-using "aggregate-address" , for this method, at least one route of the summary needs to be in the bgp routing table.
132
bgp load balance methods?
1-maximum-path (ciertas condiciones aplican)
| 2-sending longest match to neighbors using summarization and unsuppress-maps
133
porque los communities se usan mucho?
estos son importantes porque son transitivos, ej: puedo ponerme de acuerdo con mi service provider para cuando le envie cierto community en ciertas rutas, el haga prepending para asi yo tener load-balance en mi red.
134
BGP- 2 usos de advertise-map?
SI lo usas con aggregate-address y as-set, este no va a poner los atributos que AS-set añade en la ruta que hagas match con el advertise-map
como trabaja? los prefijos que se usan para crear el as-set son los que hagan match al advertise map, el que pongas deny, ese prefijo no se va a usar para formar el as-set
2-si lo usas con neighbor: este va a anunciar la ruta en el advertise map si se cumple cierta condicion
135
conditional advertisement route-map fact
no se crea route-map haciendo matching de todas las rutas al final.
136
vtp facts in v1/v2
1-vtp prunning: the switch must be in client/server for it to work.
2-when you configure vtp password, what you need to look is the hashing algorithm, it must be the same, if not, flap the interface.
137
multicast - how BSR works?
boostraps protocol se basa en elegir 2 candidatos: el boostrap router y el bootstrap rendezvous point.
BSR: es el router que se encarga de decirle a los routers quien es el RP, estos routers pueden variar dependiendo el multicast group, si hay dos BSR candidates para un mismo multicast group, el que tenga el higher priority es elegido. Lo importante es que para un mismo multicast group, todos los routers selecciones el mismo RP.
Como el BSR hace esto:
Una vez seleccionado el BSR, todos los RP candidates empiezan a enviar unicast con su propio al BSR, este hace con todos los RP de los que recibio unicast para diferentes grupos, luego que tiene esta lista, se la envia a los PIM neighbors para que la utilizen para enviar los multicast, los routers eligen ellos mismo cual es el mejor (shortest path) para llegar al destino (RP). En caso de no recibir ningun RP unicast, el se selecciona el mismo como Rendezvous point.
reference: http://blog.ine.com/2009/04/07/understanding-bsr-protocol
138
MPLS L3vpn - bgp with same AS in customers, solutions (2) ?
allow-as in: permito pasar una red con mi propio AS
| as-override: hago overide a la red que te estoy anunciando y le pongo el AS del service provider.
139
bgp local AS (Hide Local autonomous system feature)
(solo funciona con ebgp-peers)se usa cuando tienes un AS y quieres migrar a otro sin que tus neighbors tengan que hacer cambios. Local AS le dice al router que siga anunciando a sus neighbors el AS anterior. Tambien todas las rutas que anuncies van a llevar primero con el as viejo y luego con el AS nuevo detras por default. se puede cambiar con no-prepend
en este ejemplo, puedes ver la ruta aprendidas por un router que su neighbor usa local-as 146, pero el router local lo tiene configurado con 100.
*> 155.1.67.6 0 0 100 146 i
Las rutas que recibas de tus neighbors tambien van a venir aparte de el as de tu neighbor, van a venir con tu as viejo, en este caso el 100:
155.1.0.0 155.1.146.1 0 100 200 i
si quieres cambiar la forma en que llegan tus inbound updates, configura el comando no-prepend, despues de local-as.
140
bgp- you want to replace your AS, without your neighbors notice and not change in the advertisements?
neigh x.x.x.x local-as 100 no-prepend replace-as.
141
how spanning-tree elects a root-port
how spanning tree elects a root port
1-cost (si el switch esta directamente conectado al root, su cost es 0)
2-lowest bridge ID (combinacion de mac + vlan)
* show spanning tree detail:
* si en la parte de designated bridge, tienes el mismo mac, significa que estas conectado al mismo switch.
3- si vas al mismo switch, el proximo tie breaker es el port priority, por default el numero mas bajito del puerto es prefered, pero lo puedes modificar.
142
STP timers
forwarding-delay: tiempo que se tarda de ir de blocking-->listening-->learning-->forwarding. El default es 10 segundos por cada uno, haciendo un maximo de 30 para forward frames.
143
troubleshooting in vtp?
verificar que los puertos esten trunk
2-verificar que los hashing esten iguales, sino lo estan:
verificar los vtp password
cambiar switch a transparent y despues a server
144
RSTP/MSTP port states?
discarding,learning and forwarding
145
stp uplink fast:
uplink fast, si tu root port se va down, el puerto que tengas block pasa rapido al forwarding sin tener que calcular, listening-->learning,etc. Cuando lo configuras, el costo de este switch sube y puede que cambie la ruta que usan los otros switches para hacer forward de los frames.
146
STP - Backbone fast
backbone fast: es cuando hallas fallas indirectas en un switch que no sea el tuyo para llegar al root bridge, este converja rapido. ejemplo si tienes un switch de por medio y se le callo el puerto hacia el root port, puede que tengas que cambiar a otro switch para tener mejor ruta. tiene que estar activado en todos los switches para que funcione.
147
PBR
por default solo puedes cambiar el destino del paquete solo basado en el destination. Con PBR lo puedes hacer basado en source, tcp/udp port, incoming interface, etc.
148
spanning-tree bpdu filter global
| spanning-tree bpdu filter per interface
1-the switch stop sending/receiving bpdu, it only send 11 bpdu. if it receives bpdu, it stops the portfast feature and start the listening/learning state.
2-disable spanning tree on that interface
149
STP - loopguard
vigila los puertos blocked que reciban bpdu, si dejan de recibir entiene que puede haber un loop y bloquea el trafico
150
smartport macros
sirve para hacer macros en los switchs, que no es mas que un template de configuracion. ej:
```
macro name ale
switch mode acc
switch acc vlan 10
spann bpdufilter enable
@
```
int eth0/0
macro apply ale
151
DMVPN - hub problem with nhrp and static route?
the hub cannot have a static route pointing "TO THE INTERFACE" to reach the neighbors due to nhrp resolution, if you have a static route to point to neighbors, you should change the static route to point to a next hop or 2- configure static nhrp mapping tu reach the neighbors underlay address.
152
PBR Fact?
no usan el routing table para tomar su decision.
153
Gre protocol
47
154
ODR ?
routing protocol usado en DMVPN que depende de CDP, el cual los spokes anuncian sus redes directamente conectadas y el hub anuncia default routes a los spokes.
Requisitos para que funcione:
1-CDP enable en los tunnel interfaces.
2-no deberia de haber corriendo ningun otro routing protocol en los spokes
155
diferencia entre extended access-list en distribute list vs redistribution/BGP ?
1-cuando lo usas en distribute-list, el inicio es el source de quien se aprende el address y la segunda parte es la red que quieres permitir/negar de ese source.
2-en BGP/Redistribution, el inicio el el network address y la segunda parte es el destination address, es decir, permite a esta red, llegar a esta otra.
156
RIP Options to redistribute a default route?
```
With RIP protocol we have 4 options to generate default route, via:
network 0.0.0.0
default-information originate
redistribution
ip default-network
```
1-(config)#router rip
(config-router)#no auto
(config-router)#network 0.0.0.0
3-(config)#ip route 0.0.0.0 0.0.0.0 Null0
(config)#router rip
(config-router)# redistribute static metric 5
4-(config)#int lo1
(config-if)# ip add 1.0.0.1 255.0.0.0
(config-if)# ip default-network 1.0.0.0
requirements: The last option is using ip default-network command in global configuration mode; additionally prefix needs to be added under EIGRP/RIP process. Prefix needs to be classfull network. Of course local interface on router needs to exist and be in up state.
Reference :http://www.netcontractor.pl/blog/?p=897
157
uso de route-maps para default route (2)?
1-puedes usarlo para conditional default route advertisement.
2-Puedes usarlo para decidir por cual interfaz vas a mandar el default route.
158
neighbor command in RIP vs EIGRP/ospf ?
RIP: the neighbor command send unicast but don't supress multicast, to supress you need " passive-interface"
EIGRP/ospf: enable unicast and supress multicast.
159
BGP - Default route methods ?
1 - network 0.0.0.0 0.0.0.0 (works if there is a default in the RIB), la envia a todos los neighbors
2- neighbor x.x.x.x default-information originate. se lo envia solo al neighbor , no requiere default en el RIB/BGP Table.
160
EIGRP - Offset-list?
le suma a tu feasible distance la cantidad que le pongas, ideal para redundancia y traffic-engineering de una sola ruta.
ej:
R7#sh ip eigrp topo 150.1.3.3/32
Composite metric is (200/100), Internal
access-list 1 permit host 150.1.3.3
router eigrp 100
offset-list 1 in 100
new composite metric:
Composite metric is (300/100), Internal
161
EIGRP - variance
se utiliza para hacer unequal-cost load balance en EIGRP. para que funcione se necesita lo siguiente:
The route must be loop- free. This condition is satisfied when the reported distance is less than the total distance or when the route is a feasible successor.
The metric of the route must be lower than the metric of the best route (the successor) multiplied by the variance configured on the router.
162
EIGRP - filter methods?
all access-list/route-maps
2-maximum-hops
3-distance
4-eigrp router-id (only apply on external routes) : denies external routes if you have the same router-id in both routers.
163
OSPF - what is needed to form a neighbor relationship (7)?
(area,timers,authentication,stub flags,mtu and compatible network types,different router-id)
164
ip ospf flood-reduction?
en OSPF, los LSA duran 60 min, y se refrescan cada 30 min. este refresh de 30 min se considera un "paranoid update". Flood-reduction le añade "do not age bit (DNA)" a los updates, previniendo ese refresh de 30 min en toda la red.
165
ospf path selection rules?
1-longest match
2-intra-area > inter area > E1>E2
3-cost
166
difference between a stub area and a NSSA area?
1-stub area don't include the forward address in the LSA.
| 2-stub area generate a default-route automatically, NSSA don't.
167
OSPF - NSSA and totally NSSA - con que tipo de LSA estos equipos redistribuyen el default route? (importante para traffic engineering)
nssa: por default no anuncia default route, hay que ponerlo manual y cuando lo pones, lo hace con un SLA type 7, por lo tanto la ruta se ve como externa.
totally nssa: este anuncia la default con un LSA-type 3, por lo tanto es el preferido.
168
ospf lsa-filtering notes?
lo que pongas en deny del prefix list, son las redes que van a ser filtradas.
169
troubleshooting mpls L3VPN?
1-verificar ldp neighbor relationships are up (relationship with loopbacks and /32 loopbacks, udp hellos are permitted (udp - 646). Debug ip packet detail me muestra los udp.
2- sh mpls ldp neigh: verificar con cual interfaz/ip estas haciendo el peering de ldp
debug ip packet detail: me deja ver los udp packets por el puerto udp-646, puedo ver si estan pasando los hellos
sh mpls ldp bindings: te muestra todos los labels aprendidos de los routers (lfib). Para el decidir cual usar, el busca de los labels recibidos por los routers, cual igp esta usando para llegar a ese prefijo, esto tiene que sincronizar, ejemplo, digamos que en mi ldp path me diga que para el prefijo 150.1.8.8, lo aprendo usando ospf del mismo router, pero digamos que tenga otro path, que no sea ldp enable, que reciba este prefijo, el rib y lrib no van a estar syncronizados y va a fallar el ldp label.
mas en evernote.
170
IPv6 - RIPng metric manipulation?
se usa offset-list, no es granular como ipv4, no se usa access-list, se configura en la interfaz y tiene significado local de a cuantos saltos usando de destino la interfaz que pusiste esta el prefijo que quieres alcanzar.
171
Auto-RP - send 2 discovery announcements with same group with 2 different RPs, wich one will be selected?
the announcement with the highest ip address in the RP.
172
Auto-RP - Redundancy and load-balance?
If you want to achieve both load-balancing and redundancy, you may map RP1 to a specific group range, say 224.0.0.0-231.255.255.255, and permit 224.0.0.0 15.255.255.255 in the end of the respective ACL.
Use the entry to permit the range 232.0.0.0–239.255.255.255 for RP2 along with the entry 224.0.0.0 15.255.255.255 in the end. This will ensure that RP1 and RP2 are used for specific group ranges, while RP1 is used for the rest of the groups when RP2 fails or vice versa. This is based on the longest match selection criteria used by the multicast routers and the fact that for overlapping ranges, the MA will only advertise the RP with the highest IP address.
173
NAT- order of operations ?
Inside nat: 1-Routing - 2- Translation.
| Outside NAT: 1-translation , 2- routing
174
NAT- order of operations ?
Inside nat: 1-Routing - 2- Translation.
| Outside NAT: 1-translation , 2- routing
175
summarize ospf fact?
solo puedes sumarizar rutas que pertenescan a tu misma area (sh ip route ospf - "O") no puedes sumarizar interarea routes.
176
MST - Inter-region
Es cuando switches en un region y switches en otro region no hacen match
177
OSPF - capability vrf-lite?
MP-BGP sets the Downbit or Domain TAG when redistributing from MP-BGP into OSPF. VRF-based-OSPF only performs the checking, (also forwards them) but doesn't set them.
Whenever OSPF is enabled via a VRF process, by default the process becomes "no capability vrf-lite" which means DOWN-BIT and DOMAIN-TAG checks are turned ON.
When checking is enabled –
If the DN bit is set, the Type-3 LSA is not considered during the SPF calculation.
If the Tag in the LSA is equal to the VPN-tag, the Type-5 or-7 LSA is not considered during the SPF calculation.
http://eminent-ccie.blogspot.com/2009/09/ospf-capability-vrf-lite-command-down.html
178
port security fact ?
port-security para que funcione tiene que habilitarlo con "switchport port-security" , por default te acepta todos los comandos y si te descuidas ni te das cuenta que te falto ese.
verificacion: show port-security interface x
179
BGP - cluster-list ( show ip bgp) ?
cantidad de route reflectors que tuvo que pasar la ruta para llegar a mi.
180
MPLS - why a /32 loopback is needed for bgp peering in LDP.
to guarantee that the transport Label switch path terminates on the particular PE router and not some shard segment.
181
port security fact ?
port-security para que funcione tiene que habilitarlo con "switchport port-security" , por default te acepta todos los comandos y si te descuidas ni te das cuenta que te falto ese.
verificacion: show port-security interface x
182
spanning tree rapid transition to forwarding state?
solo lo puede hacer si el puerto esta point to point /full-duplex, en half, no puede.
183
OSPF - Discontiguous area 0
Si recibes un inter-area LSA de una red que no es area 0 y tu router tiene adjacencia con otro router en area 0 (no un loopback, otro router) el router va a rechazar el LSA, porque no vino de area 0. Si en lugar de tener adjacencia, tienes un loopback, ahi si lo va a aceptar.
referencia: foundation lab 3 - INE
184
BGP - cluster-list ( show ip bgp) ?
cantidad de route reflectors que tuvo que pasar la ruta para llegar a mi.
185
Rip - redistribution other protocols warning?
trata en la medica que sea posible, no redistribuir con transparent, puede ocultarte rutas.
186
RIP - Redistributing loopbacks into rips from external ?
by default they are /32. you can fix this doing summarization.
187
IPsec - VTI
ipsec VTI es crear un tunnel sin tener que usar GRE, la ventaja de esto que es elimina el mtu overhead que ocurre en GRE. para hacerlo dinamico, puedes correrlo con MGRE o con Dynamic virtual tunnel interface (DVTI), el cual usa un virtual template interface para hacero dinamico.
configuracion:
spokes:
lo mismo solo añades en el tunnel interface
tunnel mode ipsec ipv4
tunnel protection ipsec profile x
dynamic hub (2 cosas hay que añadir):
1-isakmp profile: sirve para que los spokes puedan autenticar con el hub. esto lleva un key ring, pero es opcional, ya que puedes poner "crypto keyring default"
2-crear un interface virtual-template, el cual vas a poner lo mismo que pondrias en una interfaz de tunel:
interface virtual-template 124 type tunnel
ip unnumbered lo241
tunnel mode ipsec ipv4
tunnel protection IPsec profile vti_profile
Reference :
https: //www.m00nie.com/2011/11/dynamic-point-to-point-ipsec-vpn-tunnels-using-dtvis-gns3-lab/
http: //www.cciebootcamp.com/Cisco-support-resources/Cisco-Certifications-Articles-Static-Virtual-Tunnel-Interfaces-by-ccbootcamp.html
188
OSPF - non broadcast neighbor?
neighbor command: solo te utiliza en el DR/BDR, nunca en los "others", cuando hagas "show ip ospf neighbors" solo vas a ver relationship entre los dr y bdrs, nunca en los otros spokes.
La razon por la cual se usa el comando "neigbor" solo en el DR/BDR es porque si envias un hello, tu neighbor te va a responder sin tener que tener el comando.
189
Multicast - Auto-RP fact?
necesitas " sparse-dense-mode " para correr este.
190
EIGRP - using delay command on interface
cuando te pidan que pongas el delay en la interfaz en microsegundos, tienes que poner la cantidad que te pidan, dividida entre "10"
191
URPF - How unicast reverse path forwarding works?
When Unicast RPF is enabled on an interface, the router examines all packets received as input on that interface to make sure that the source address and source interface appear in the routing table and match the interface on which the packet was received. This "look backwards" ability is available only when Cisco express forwarding (CEF) is enabled on the router, because the lookup relies on the presence of the Forwarding Information Base (FIB).
Unicast RPF checks to see if any packet received at a router interface arrives on the best return path (return route) to the source of the packet. Unicast RPF does this by doing a reverse lookup in the CEF table. If the packet was received from one of the best reverse path routes, the packet is forwarded as normal. If there is no reverse path route on the same interface from which the packet was received, it might mean that the source address was modified. With Unicast RPF, all equal-cost "best" return paths are considered valid
192
URPF - modes?
strict mode: cuando te llega un paquete verifica 2 cosas en el siguiente orden:
1-Tengo ruta hacia el source?
2-si la tengo, la ruta es por la misma interfaz que me llego el paquete? si es asi, delajo pasar
Loose mode: verifica si cuando recibes un paquete, si tienes una ruta por cualquier interfaz para llegar al source, si la tienes, el paquete se permite.
Nota: si pones un access-list al final de activarlos, puedes excluir ciertos ip que no quieres que verifiquen source con un "permit statement" .
193
Port security - switching mac address aging in port-security enable port?
swichport port-security aging-time 3
194
remote access- control a user where to log from the router.
username ale access-class test.
195
icmp - control pmtud rate-limit ?
ip icmp rate-limit df
196
logging buffered + (type of log)
puedes especificar cuantos bytes quieres disponible para un log en especifico
197
logs - asignale numeros en secuencia a los logs
service sequence-numbers
198
Managing configuration files - how to monitor the running config?
```
archive
log config
logging enable
logging size 1000
notify syslog contenttype plaintext
hidekeys
```
199
remote access - changing telnet source interface
ip telnet source-interface
200
telnet features ?
ip telnet
201
snmp- restric access to a particular view?
1-creas el view (ejemplo usa view cisco)
snmp-server view TESTView cisco included
snmp-server community ale view TESTview ro/rw
202
http - configure http settings ?
ip http
203
ip ftp passive?
With passive FTP, the file transfer session originates from the client, not the server, which makes firewalls more likely to allow it.
204
ntp - trusted-key
le dice al router que el acepta paquetes ntp si vienen con ese key.
205
MPLS - ospf domain-id
nota importante: en mplsl3vpn, cuando exportas ospf a bgp, este crea un OSPF domain ID. si las rutas entre los 2 CE compartiendo ospf tienen el mismo domain ID, se consideran Inter-Area routes en ospf si tienen difernetos domain ID, son external. Lo que determina si el ospf domain ID va a ser igual o no es el process ID que se utilizen en los CE:
206
spanning tree standard siglas:
```
iee = 802.1d
rstp = 802.1w
mst = 802.1s
```
207
bgp - local preference notes
si la red viene de un ibgp peer, va a tener un local preference de 100 por default.
208
MPLS - RIB, FIB , LIB, LFIB?
```
RIB = routing table
FIB = Cef
LIB = label information base, contiene los labels que le envian todos los routers de los prefijos.
```
LFIB = este contiene el forwarding table de los paquetes que llegen con label, se formal tomando informacion del LIB.
Importante: el FIB y LFIB deben de estar sincronizados todo el tiempo a nivel de prefijos, principalmente los loopbacks (la mascara sobre todo) sino da problemas.
porque se necesita CEF (FIB) y LFIB si las rutas en CEF tienen labels?
porque cef solo trabaja cuando un paquete llega sin label, este verifica su tabla y lo envia al nexthop y le inserta un label.
si un paquete llega con label, el LFIB es que se encarga de trabajar con este.
209
MPLS - Conditional label advertisement
Enables the selective advertisement of only the necessary labels to certain LDP neighbors.
the "FOR" keyword specifies which routes should have their labels advertised.the optional "TO" keyword specifies which LDP peers should receive the label advertisements. this mst match the LDP router-id.
ej:
no mpls ldp advertise-labels: diables the default behavior to advertise all labels
access-l 10 permit permit 10.1.1.0 0.0.0.255
access-list 11 permit host 4.4.4.4
mpls ldp advertise-labels for 10 to 11 = permite labels de los prefijos del acl 10 a los neighbors que hagan match al acl 11.
210
pim dense-mode notes:
an incoming interface of: rpf nbr 0.0.0.0 indicates that the device connected
is the source of the group.
an incoming interface of: Null: rpf nbr 0.0.0.0 indicates that the source
is unknown
pim sparse-mode notes:
an incoming interface of: Null: rpf nbr 0.0.0.0 means that the router is
the rp
an outgoing interface of: Null: indicates that the RP don't know of any
clients
211
NTP - why the server dont need the "trusted-key" command?
because the ntp authentication is always initiated by the client.
212
MPLS Import-maps/export-maps
by default, a PE routers import all routes that match the route-target, you can filter certain routes with an import map:
export-maps: decides cuales rutas se van a exportar hacia el otro PE (con que route, las rutas que no lleven no hagan "match"al route-map, van a ser exportadas de todas formas, con el route-map configurado por default.
Tambien sirve para añadirle otro community en lugar del default a una ruta.
213
MPLS - ospf down bit - capability vrf-lite.
OSPF instala el donwbit para prevenir routing loops, este lo pone el PE antes de darle la ruta al CE a todas los lsa type 3. Los unicos routers que van a calcular el SPF algorithm para esto son los que no tengan vrf o los que tengan vrf pero con MP-BGP. Los que tengan vrf-lite no van a instalar esta ruta.
Para que los que tengan vrf-lite instalen esta ruta debes de usar debes te poner el comando "capability vrf-lite" en la seccion de ospf que usa.
214
Multicast - difference between "ip pim accept-rp" y "IP pim accept-register"
accept register: esto solo se aplica en el source del multicast, se encarga de decir de que source el va a aceptar "registers" para el enviar trafico a un multicast group.
accept-rp: esto solo aplica para los receivers, el pim router dice de que multicast group el va a aceptar IGMP joints.
215
ipv6 - RIPng off-set list notes.
no ofrece cambiar la metrica granular por ruta, o cambias todo o nada.
216
1-underlay address
| 2-overlay address
1- internet
| 2-tunnel network
217
IPV6 - eigrp network advertisement note
Note that EIGRPv6 automatically adds all IPv6-enabled interfaces to the process.This excludes interfaces that are members of other routing tables (in a VRF instead of the global table).
To remove a link from the process, we must add the shutdown command under the EIGRP address-family IPv6 instance.
218
GRE -TS recursive routing?
si tienes problemas configurando tuneles porque hay un igp, ospf en este caso, que te anuncia el source del tunnel por el underlay, cambia el network type en el tunel para que no hable ospf.
219
Spanning-tree - mst note
2- si configuras spanning-tree mode mst, por default este va a funcionar en el instance 0 si necesidad de configurar mas cosas
220
STP Facts
si vas a activar spanning-tree portfast bpduguard/filter default. Tienes que tener habilitado "spanning-tree portfast default"
221
OSPF - P-Bit
se usa en NSSA, le dice al nssa-ABR_router si va a hacer el translation de type 7 a type 5
222
OSPF - cuales networks no cambian next-hop
broadcast
| non-broadcast.
223
OSPF - compatible network types?
Broadcast to Non-Broadcast (adjust hello/dead timers)
| Point-to-Point to Point-to-Multipoint (adjust hello/dead timers)
224
vtp version 3
VTP version 3
diferencias:
primary server: es el unico que puede realizar cambios, si viene alguien con un higher revision number, aqui no aplica.
new advertisements: extended vlans, private vlans, MST Configuration
vtp can now be disable: globally or per link.
puedes elegir si quieres que el primary server sea solo para vlan o solo para mst o para los 2
vtp primary vlan
vtp primary mst.
para apagar vtp:
int f0/1
no vtp
225
gre - recursive lookup
es cuando para tu llegar al destination que tienes en el tunnel, usas como next-hop el mismo tunnel.
como evitarlo:
no publiques el network de tu source en el tunnel.
si esta publicado, ponle distribute-list para que no se lo aprenda.
226
DHCP - how to reserve and ip address (get client-id) ?
1-Necesitas el client-id del cliente:
en el server usas el comando:
debug ip dhcp server packet
2- en el cliente haces un release de tu ip actual: "release dhcp ethernet x"
3-en el server vas a ver el siguiente mensaje:
DHCPD: DHCPRELEASE message received from client 0056.4c41.4e32.365f.5236"
4-el mac address que ves es el client-id del cliente, copia esta informacion y pegala debajo del pool que configuraste para el cliente que reservaste el IP.
5-renew dhcp ethernet x - en el cliente.
227
EIGRP - porque es importante limitar queries en eigrp?
Razon por la que quieres limitar los queries:
* ahorro en cpu, ya que no vas a recibir todos esos queries y vas a tener que procesarlos.
* convergencia mas rapida, ya que un router no puede tomar otro succesor hasta que todo el mundo le responda el query
228
eigrp dmvpn note:
lo importante saber cuando estas usando eigrp en un dmvpn tunnel es que por default, cuando desabilitas split horizon, para todas las rutas los spokes tienen que ir al hub y el hub lo envia al otro spoke, al menos que desabilites no next-hop self. si usas dmvpn phase 3, no necesitas desabilitar esto.
229
OSPF - no llego al 2 way state.
Si no llego al 2-way state, significa que hay algo mal en layer 2.
230
OSPF P-bit
OSPF en general:
si cuando estas viendo networks en el ospf database y encuentras que no hay "Routing bit set on" significa que la ruta no va a ser instalada en el RIB, menos en el FIB, por lo tanto va a ser unreachable. La parte de arriba es un LSA que si lo tiene, la parte de abajo No. Esto lo puedes ver con el debug ip ospf database summary.
231
OSPF - ABR- 0.0.0.0
si haces un show ip ospf database external, y te aparece que una de las rutas tiene un forward address de 0.0.0.0, significa que el router que le estas haciendo el request para esa ruta es a travez de un LSA 1, es decir, que esta en tu misma area. En la imagen de abajo se muestra la diferencia entre la ruta aprendida por LSA 1 y LSA 3:
