Cisco ASA – jak wgrać ponownie plik z Image jak właściwy jest uszkodzony

Ostatnio aktualizowałem Cisco ASA i po wgraniu nowego pliku z softem i zmianie parametry boot w konfiguracji zrobiłem reload i lipa urządzenie nie wstaje. w konsoli widzę:


Booting system, please wait... 
 

CISCO SYSTEMS 
Embedded BIOS Version 1.0(11)5 08/28/08 15:11:51.82

Low Memory: 631 KB
High Memory: 1024 MB
PCI Device Table.
Bus Dev Func VendID DevID Class              Irq
 00  00  00   8086   2578  Host Bridge        
 00  01  00   8086   2579  PCI-to-PCI Bridge  
 00  03  00   8086   257B  PCI-to-PCI Bridge  
 00  1C  00   8086   25AE  PCI-to-PCI Bridge  
 00  1D  00   8086   25A9  Serial Bus         11
 00  1D  01   8086   25AA  Serial Bus         10
 00  1D  04   8086   25AB  System             
 00  1D  05   8086   25AC  IRQ Controller     
 00  1D  07   8086   25AD  Serial Bus         9
 00  1E  00   8086   244E  PCI-to-PCI Bridge  
 00  1F  00   8086   25A1  ISA Bridge         
 00  1F  02   8086   25A3  IDE Controller     11
 00  1F  03   8086   25A4  Serial Bus         5
 00  1F  05   8086   25A6  Audio              5
 02  01  00   8086   1075  Ethernet           11
 03  01  00   177D   0003  Encrypt/Decrypt    9
 03  02  00   8086   1079  Ethernet           9
 03  02  01   8086   1079  Ethernet           9
 03  03  00   8086   1079  Ethernet           9
 03  03  01   8086   1079  Ethernet           9
 04  02  00   8086   1209  Ethernet           11
 04  03  00   8086   1209  Ethernet           5

Evaluating BIOS Options ...
Launch BIOS Extension to setup ROMMON

Cisco Systems ROMMON Version (1.0(11)5) #0: Thu Aug 28 15:23:50 PDT 2008

Platform ASA5510

Use BREAK or ESC to interrupt boot.
Use SPACE to begin boot immediately.
                                                
Launching BootLoader...
Boot configuration file contains 1 entry.


Loading disk0:/asa916-11-k8.bin... Booting...
Platform ASA5510

Loading...
IO memory blocks requested from bigphys 32bit: 13805


Booting system, please wait... 
 
// NASTĘPUJE SAMOCZYNNY REBOOT
CISCO SYSTEMS 
Embedded BIOS Version 1.0(11)5 08/28/08 15:11:51.82

Booting system, please wait...

CISCO SYSTEMS

Embedded BIOS Version 1.0(11)5 08/28/08 15:11:51.82

Low Memory: 631 KB

High Memory: 1024 MB

PCI Device Table.

Bus Dev Func VendID DevID Class Irq

00 00 00 8086 2578 Host Bridge

00 01 00 8086 2579 PCI-to-PCI Bridge

00 03 00 8086 257B PCI-to-PCI Bridge

00 1C 00 8086 25AE PCI-to-PCI Bridge

00 1D 00 8086 25A9 Serial Bus 11

00 1D 01 8086 25AA Serial Bus 10

00 1D 04 8086 25AB System

00 1D 05 8086 25AC IRQ Controller

00 1D 07 8086 25AD Serial Bus 9

00 1E 00 8086 244E PCI-to-PCI Bridge

00 1F 00 8086 25A1 ISA Bridge

00 1F 02 8086 25A3 IDE Controller 11

00 1F 03 8086 25A4 Serial Bus 5

00 1F 05 8086 25A6 Audio 5

02 01 00 8086 1075 Ethernet 11

03 01 00 177D 0003 Encrypt/Decrypt 9

03 02 00 8086 1079 Ethernet 9

03 02 01 8086 1079 Ethernet 9

03 03 00 8086 1079 Ethernet 9

03 03 01 8086 1079 Ethernet 9

04 02 00 8086 1209 Ethernet 11

04 03 00 8086 1209 Ethernet 5

Evaluating BIOS Options ...

Launch BIOS Extension to setup ROMMON

Cisco Systems ROMMON Version (1.0(11)5) #0: Thu Aug 28 15:23:50 PDT 2008

Platform ASA5510

Use BREAK or ESC to interrupt boot.

Use SPACE to begin boot immediately.

Launching BootLoader...

Boot configuration file contains 1 entry.

Loading disk0:/asa916-11-k8.bin... Booting...

Platform ASA5510

IO memory blocks requested from bigphys 32bit: 13805

Booting system, please wait...

// NASTĘPUJE SAMOCZYNNY REBOOT

CISCO SYSTEMS

Embedded BIOS Version 1.0(11)5 08/28/08 15:11:51.82

przychodzi nam z pomocą ROMMON co nam będzie potrzebne: pc/laptop z tftp dostęp fizyczny do urządzenia połączenie ethernet ASA – PC/LAPTOP

Marzec 30, 2016Kwiecień 10, 2016Michał Iwańczuk Leave a comment

ASAv – Active/Standby konfiguracja – minimalna

Witam, wcześniej napisałem jak w labie postawić Cisco ASAv, dziś pokażę jak szybko i bez problemów skonfigurować dwie wirtualki w trybie failover A/P – jedyny tryb który obsługuje na chwilę obecną. Rysunek poglądowy: Założenia konfiguracyjne: Interfejs Praimary Secondary zona GigabitEthernet 0/0 192.168.1.80 192.168.1.81 NET_LAB GigabitEthernet 0/1 172.16.1.1 172.16.1.2 LAN GigabitEthernet 0/8 10.255.255.1 10.255.255.2 Sync

Marzec 9, 2016Kwiecień 10, 2016Michał Iwańczuk Leave a comment

ASAv – pierwsze uruchomienie w labie

Pierwsze uruchomienie Cisco ASAv w Labie. Pokazuję podstawową konfigurację od importu po zalogowanie się po ssh lub asdm.

Marzec 6, 2016Marzec 23, 2016Michał Iwańczuk Leave a comment

Cisco ASA – Ograniczenie dostępu do SSL VPN oraz IKE

Dla szukających jak ograniczyć dostęp do usług uruchamianych na Cisco ASA, mam na myśli SSL VPN, czy IKE na samy dole jest aktualizacja jak to zrobić dla IKE przy podatności CVE-2016-1287 Poniżej przedstawię jak ograniczyć dostęp do SSL VPN dla określonych ip lub sieci. definiujemy Grupę w która będzie zawierać listę hostów lub sieci które będą miały dostęp do SSL VPN


ASA(config)# object-group network access_ssl_vpn
ASA(config-network-object-group)# network-object host ip_które_wpóścimy
ASA(config-network-object-group)# network-object adres_sieci 255.255.255.0

ASA(config)# object-group network access_ssl_vpn

ASA(config-network-object-group)# network-object host ip_które_wpóścimy

ASA(config-network-object-group)# network-object adres_sieci 255.255.255.0

Definiujemy ACL’kę z użyciem wcześniej zdefiniowanej grupy


ASA(config)# access-list internet extended permit tcp object-group access_ssl_vpn any eq 443

ASA(config)# access-list internet extended permit tcp object-group access_ssl_vpn any eq 443

Dodajemy …

Grudzień 30, 2015Marzec 30, 2016Michał Iwańczuk Leave a comment

Konfiguracja synchronizacji czasu z NTP na urządzeniach Cisco

Konfiguracja NTP na urządzeniach Cisco, na samym dole jest tabelka ze strefami czasowymi. Switch catalyst 2960 Config


#clock timezone CEST +2 // ustawiamy strefę czasowej dla Polski

#clock timezone CEST +2 // ustawiamy strefę czasowej dla Polski


#ntp server 10.XxX.YyY.101 prefer // Ustawiamy serwer czasu NTP

#ntp server 10.XxX.YyY.101 prefer // Ustawiamy serwer czasu NTP

sprawdzenie:


 #show ntp status
 Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101
 nominal freq is 286.1023 Hz, actual freq is 286.0868 Hz, precision is 2**21
 ntp uptime is 334718600 (1/100 of seconds), resolution is 3496
 reference time is D8F31637.DE5891AD (12:13:11.868 CEST Tue May 5 2015)
 clock offset is -1.9457 msec, root delay is 17.10 msec
 root dispersion is 19.63 msec, peer dispersion is 0.12 msec
 loopfilter state is 'CTRL' (Normal Controlled Loop), drift is 0.000053953 s/s
 system poll interval is 512, last update was 1019 sec ago.

#show ntp status

Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101

nominal freq is 286.1023 Hz, actual freq is 286.0868 Hz, precision is 2**21

ntp uptime is 334718600 (1/100 of seconds), resolution is 3496

reference time is D8F31637.DE5891AD (12:13:11.868 CEST Tue May 5 2015)

clock offset is -1.9457 msec, root delay is 17.10 msec

root dispersion is 19.63 msec, peer dispersion is 0.12 msec

loopfilter state is 'CTRL' (Normal Controlled Loop), drift is 0.000053953 s/s

system poll interval is 512, last update was 1019 sec ago.


#show clock detail 
18:34:57.719 cest Tue May 5 2015 
Time source is NTP

#show clock detail

18:34:57.719 cest Tue May 5 2015

Time source is NTP

Nexus Config


# ntp server 10.XxX.YyY.101 prefer use-vrf management // ustawiamy serwer NTP oraz jaki vrf ma zostać użyty do komunikacji z NTP
# clock timezone cest 2 0 //Ustawiamy strefę czasową dla Polski

# ntp server 10.XxX.YyY.101 prefer use-vrf management // ustawiamy serwer NTP oraz jaki vrf ma zostać użyty do komunikacji z NTP

# clock timezone cest 2 0 //Ustawiamy strefę czasową dla Polski

sprawdzenie


# show ntp peer-status
 Total peers : 2
 * - selected for sync, + - peer mode(active),
 - - peer mode(passive), = - polled in client mode
 remote local st poll reach delay vrf
 -------------------------------------------------------------------------------
 *10.XxX.YyY.101 0.0.0.0 1 16 377 0.00067 management
# show ntp peers
 --------------------------------------------------
 Peer IP Address Serv/Peer
 --------------------------------------------------
10.XxX.YyY.101 Server (configured)

# show ntp peer-status

Total peers : 2

* - selected for sync, + - peer mode(active),

- - peer mode(passive), = - polled in client mode

remote local st poll reach delay vrf

-------------------------------------------------------------------------------

*10.XxX.YyY.101 0.0.0.0 1 16 377 0.00067 management

# show ntp peers

--------------------------------------------------

Peer IP Address Serv/Peer

--------------------------------------------------

10.XxX.YyY.101 Server (configured)

Cisco Cat 4500-x Config


#ntp server vrf mgmtVrf 10.XxX.YyY.101 prefer

#ntp server vrf mgmtVrf 10.XxX.YyY.101 prefer


#clock timezone cest 2

#clock timezone cest 2

Sprawdzenie:


#show clock detail
18:43:07.566 cest Tue May 5 2015
Time source is NTP

#show clock detail

18:43:07.566 cest Tue May 5 2015

Time source is NTP


#show ntp associations
address          ref clock st when poll reach delay offset disp
*~10.XxX.YyY.101 .PPSa.     1  621 1024 377   1.852 3.391  1.074
 * sys.peer, # selected, + candidate, - outlyer, x falseticker, ~ configured

#show ntp associations

address ref clock st when poll reach delay offset disp

*~10.XxX.YyY.101 .PPSa. 1 621 1024 377 1.852 3.391 1.074

* sys.peer, # selected, + candidate, - outlyer, x falseticker, ~ configured


#show ntp status
Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101
nominal freq is 250.0000 Hz, actual freq is 249.9999 Hz, precision is 2**10
ntp uptime is 2146500 (1/100 of seconds), resolution is 4016
reference time is D8F36F35.5F3B6560 (18:32:53.372 cest Tue May 5 2015)
clock offset is 3.3910 msec, root delay is 1.85 msec
root dispersion is 15.82 msec, peer dispersion is 1.07 msec
loopfilter state is 'CTRL' (Normal Controlled Loop), drift is 0.000000160 s/s
system poll interval is 1024, last update was 626 sec ago.

#show ntp status

Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101

nominal freq is 250.0000 Hz, actual freq is 249.9999 Hz, precision is 2**10

ntp uptime is 2146500 (1/100 of seconds), resolution is 4016

reference time is D8F36F35.5F3B6560 (18:32:53.372 cest Tue May 5 2015)

clock offset is 3.3910 msec, root delay is 1.85 msec

root dispersion is 15.82 msec, peer dispersion is 1.07 msec

loopfilter state is 'CTRL' (Normal Controlled Loop), drift is 0.000000160 s/s

system poll interval is 1024, last update was 626 sec ago.

Cisco ASA Config:


#ntp server 10.XxX.YyY.101 source vlan242 prefer // gdzie vlan242 to interfejs którym  ma odbywać się komunikacja z NTP.

#ntp server 10.XxX.YyY.101 source vlan242 prefer // gdzie vlan242 to interfejs którym ma odbywać się komunikacja z NTP.


#clock timezone CEST 1
#clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00

#clock timezone CEST 1

#clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00


# show ntp status
Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101
nominal freq is 99.9984 Hz, actual freq is 99.9889 Hz, precision is 2**6
reference time is d8f37cb6.5e32efba (19:30:30.367 CEDT Tue May 5 2015)
clock offset is 14.7114 msec, root delay is 0.53 msec
root dispersion is 32.18 msec, peer dispersion is 17.18 msec
t# show ntp associations
 address              ref clock st  when poll reach delay offset disp
*~10.176.22.101      .PPSa.     1   748  1024 377   0.5   14.71  17.2
 * master (synced), # master (unsynced), + selected, - candidate, ~ configured

# show ntp status

Clock is synchronized, stratum 2, reference is 10.XxX.YyY.101

nominal freq is 99.9984 Hz, actual freq is 99.9889 Hz, precision is 2**6

reference time is d8f37cb6.5e32efba (19:30:30.367 CEDT Tue May 5 2015)

clock offset is 14.7114 msec, root delay is 0.53 msec

root dispersion is 32.18 msec, peer dispersion is 17.18 msec

t# show ntp associations

address ref clock st when poll reach delay offset disp

*~10.176.22.101 .PPSa. 1 748 1024 377 0.5 14.71 17.2

* master (synced), # master (unsynced), + selected, - candidate, ~ configured

Strefy czasowe Cisco Common Time Zone Acronyms Acronym Time Zone Name and UTC Offset Europe GMT Greenwich Mean Time, as UTC BST British Summer …

Maj 5, 2015Michał Iwańczuk Leave a comment

SafeKom Blog

Notatki konsultanta IT

asa

Cisco ASA – jak wgrać ponownie plik z Image jak właściwy jest uszkodzony

ASAv – Active/Standby konfiguracja – minimalna

ASAv – pierwsze uruchomienie w labie

Cisco ASA – Ograniczenie dostępu do SSL VPN oraz IKE

Konfiguracja synchronizacji czasu z NTP na urządzeniach Cisco