Konfigurace síťových zařízení krok za krokem: praktický návod pro switche a routery

Správa síťových zařízení (Routery, Switche)
Natália Šimková
Konfigurace síťových zařízení krok za krokem: Praktický návod pre switche a routery

Proč záleží na systematické konfiguraci

Správa síťových zařízení (routerů, switchů) vyžaduje konzistentní postupy, aby byla síť stabilní, bezpečná a snadno udržovatelná. Tento návod popisuje ověřený postup krok za krokem od plánování přes prvotní přístup až po automatizaci, monitoring a řešení problémů. Uvádí univerzální principy a ilustrační příkazy pro běžné platformy (např. Cisco IOS/IOS-XE, Juniper Junos, MikroTik RouterOS) v podobě krátkých vložek v textu.

Krok 1: Plánování a příprava

  • Definujte cíle: kapacitu, dostupnost, segmentaci (VLAN), úroveň zabezpečení a požadavky na QoS.
  • Vypracujte adresní plán: rozsahy IPv4/IPv6, délky prefixů, vyhrazené segmenty pro správu a loopbacky pro směrovače.
  • Topologie: fyzická (kabeláž, porty, PoE) a logická (VLAN, rozhraní L3, směrovací domény).
  • Inventář a verze: modely, sériová čísla, verze OS, dostupné licence/sady funkcí a podpora.
  • Bezpečnostní zásady: politika přístupu, správa klíčů a certifikátů, standardy šifrování a požadavky na logování.
  • Plán návratu k předchozímu stavu: jak rychle obnovit konfiguraci při potížích, kde jsou zálohy a kdo má potřebná oprávnění.

Krok 2: Fyzické zapojení a základní kontrola

  • Zkontrolujte označení portů, typ optických modulů SFP a podporované rychlosti/duplexní režim.
  • Ověřte napájení a chlazení (počet napájecích zdrojů, proudění vzduchu, rozpočet PoE).
  • Proveďte základní test linky: link up, vyjednání rychlosti a chybovost (CRC).
  • Připravte konzolový přístup (USB/RS-232) jako nouzový kanál, i když bude upřednostněna vzdálená správa.

Krok 3: První přístup a zabezpečení správy

Prvním krokem po připojení je zabezpečení správy zařízení. Ideálně ho provádějte přes izolovaný port ve VLAN pro správu.

  • Účty a AAA: vytvořte lokální administrátorský účet a nastavte integraci AAA (RADIUS/TACACS+). Např. Cisco: username admin privilege 15 secret <heslo>, aaa new-model.
  • SSH a vypnutí Telnetu: vygenerujte klíče a povolte pouze SSHv2. Např. Cisco: crypto key generate rsa, ip ssh version 2.
  • ACL pro správu: omezte zdrojové IP adresy, které se mohou připojit k VTY. Např. access-list 10 permit <IP-subnet správy>, line vty 0 4, access-class 10 in.
  • Banner a audit: přidejte právní upozornění (banner motd) a zapněte logování změn (Syslog, účtování RADIUS).
  • Čas a NTP: synchronizujte čas (ntp server, clock timezone) a povolte secure NTP, pokud to platforma podporuje.

Krok 4: Základní identifikace zařízení

  • Název zařízení a doména: např. hostname R1-EDGE-PRA, ip domain-name example.local.
  • Rozhraní pro správu: statická IP adresa ve VLAN/VRF pro správu, maska, brána a DNS.
  • Loopback: na routerech definujte Loopback0 jako stabilní identifikátor v IGP/BGP.
  • Vypnutí nepoužívaných portů: zakažte nepoužívané porty a nastavte zásady port-security.

Krok 5: Segmentace sítě (VLAN, VRF)

  • Návrh VLAN: používejte jednoznačné číslování a názvy (např. VLAN 10 USERS, VLAN 20 VOICE, VLAN 99 MGMT).
  • Trunky: vyhraďte uplinky jako trunky a omezte povolené VLAN (pravidlo: povolujte jen ty potřebné).
  • Nativní VLAN: sjednoťte ji napříč sítí a pokud možno ji nepoužívejte pro produkční provoz.
  • VRF: oddělte směrovací tabulky (např. vrf definition MGMT) pro správu, partnery nebo zákazníky.

Krok 6: Ochranné mechanismy L2

  • Spanning Tree: nastavte RSTP/MSTP, určete root bridge a aktivujte BPDU Guard, Root Guard a Loop Guard.
  • Storm Control: omezte broadcastové/multicastové/unicastové bouře na přístupových portech.
  • Portfast: povolte na okrajových portech připojených k hostitelům, nikdy ne na trunku k dalším switchům.
  • EtherChannel/LACP: agregujte uplinky pro vyšší kapacitu a redundanci.

Krok 7: Konfigurace L3 a směrování

  • SVI/porty L3: na distribuční vrstvě vytvořte SVI pro VLAN a přiřaďte jim IP adresy (např. interface Vlan10, ip address 10.10.10.1/24).
  • IGP (OSPF/IS-IS): inzerujte loopbacky a tranzitní linky, pro přístupové VLAN nastavte passive-interface.
  • BGP (okrajová vrstva): definujte ASN, sousedy, politiky (import/export), ochranu max-prefix a filtry (prefix-list).
  • Statické trasy: používejte je střídmě, ideálně pro výchozí bránu nebo speciální cesty.
  • ECMP: povolte vyvažování zátěže mezi paralelními trasami a kontrolujte hashovací algoritmy.

Krok 8: Síťové služby (DHCP, DNS, NAT)

  • DHCP: definujte pooly, rezervace a option 43/60 pro VoIP/AP, relay omezte na známé VLAN (ip helper-address).
  • DNS: nastavte resolvery a podle potřeby split-horizon; filtrujte dotazy z nežádoucích segmentů.
  • NAT/PAT: na okrajových směrovačích nastavte pravidla a logování a definujte výjimky pro interní služby.

Krok 9: Zpevnění zabezpečení (hardening)

  • Řízení přístupu: nastavte ACL/politiky firewallu na rozhraních, výchozí pravidlo deny a povolujte pouze požadované porty/protokoly.
  • Ochrana řídicí roviny: omezte a filtrujte provoz do CPU (např. třídy CoPP pro BGP, OSPF, ICMP).
  • 802.1X/MAB: autentizujte koncová zařízení na přístupových portech a přiřazujte VLAN při úspěšném/neúspěšném ověření.
  • MACsec/IPsec: šifrujte spojení na L2/L3 tam, kde to vyžaduje politika nebo legislativa.
  • Oddělení správy: použijte MGMT VRF, přístup mimo hlavní síť (out-of-band) a pouze SSH.
  • Bezpečné protokoly: upřednostňujte SNMPv3 a HTTPS pro grafické rozhraní, vypněte nepotřebné služby (CDP/LLDP používejte jen tam, kde to dává smysl).

Krok 10: QoS a řízení provozu

  • Identifikace (class-map): rozlišujte hlas, video, kritické aplikace, správu a provoz typu best-effort.
  • Označování (marking): stanovte konzistentní model DSCP/CoS na okrajích sítě.
  • Fronty a tvarování provozu: definujte LLQ pro hlas, WRED pro datové třídy a případně policing na vstupech.
  • Od začátku do konce: QoS musí být konzistentní napříč doménami (switche, routery, WLAN, WAN).

Krok 11: Monitoring, telemetrie a logování

  • SNMPv3: nastavte uživatele authPriv a posílejte trapy/informy do NMS.
  • Syslog: odesílejte zprávy na centralizovaný server Syslog (u kritických událostí minimálně úroveň warning a vyšší).
  • NetFlow/IPFIX: exportujte statistiky toků pro plánování kapacity a detekci anomálií.
  • Telemetrie založená na datových modelech: tam, kde je podporována, využijte streamované YANG/GPB.
  • Prahové hodnoty a upozornění: definujte metriky (CPU, paměť, teplota, chybovost portů, relace BGP) a pravidla eskalace.

Krok 12: Zálohování, verzování a řízení změn

  • Zálohy konfigurace: po každé změně automaticky ukládejte konfiguraci do systému pro správu verzí (např. Git) s komentářem.
  • Ověřený obraz systému: udržujte ověřené verze OS a balíčky odděleně od nejnovějších.
  • Řízení změn: každá změna má tiket, plán, časové okno, test, plán návratu k předchozímu stavu a kontrolu po implementaci.

Krok 13: Automatizace a škálování

  • Šablony: standardizujte názvy zařízení, bannery, AAA, NTP, SNMP, Syslog, QoS a ACL pomocí šablon.
  • Infrastruktura jako kód: ukládejte konfiguraci v deklarativní podobě (např. pomocí Ansible, Terraform, Nornir) a spouštějte ji přes CI/CD pipeline s validací.
  • Modely/YANG: tam, kde je podpora, využijte NETCONF/RESTCONF pro idempotentní změny a audit.
  • Zero Touch Provisioning (ZTP): proveďte zaváděcí konfiguraci bez manuálních zásahů a ověřujte ji pomocí certifikátů a podpisů obrazů systému.

Krok 14: Testování a předání do provozu

  • Test konektivity: proveďte testy ping/traceroute v rámci VLAN i mezi nimi a ověřte bránu, DNS, DHCP a NAT.
  • Test protokolů: ověřte sousedství OSPF/BGP, konvergenci a prahové hodnoty CPU/RAM při zátěži.
  • Test redundance: ověřte výpadek linky, přepnutí HSRP/VRRP, převzetí provozu LACP a změny STP.
  • Bezpečnostní testy: proveďte skenování portů a ověřte ACL/firewall, chování 802.1X a limity CoPP.
  • Dokumentace: aktualizujte diagramy, IP plán, hesla v trezoru a provozní příručky.

Praktické minipříklady (ilustrační příkazy)

  • Cisco – základní nastavení správy: hostname SW-ACC-01, ip domain-name corp.local, username netops secret ***, aaa new-model, crypto key generate rsa modulus 4096, ip ssh version 2, line vty 0 4, transport input ssh.
  • Cisco – VLAN a trunk: vlan 10, name USERS, interface Gi1/0/24, switchport mode trunk, switchport trunk allowed vlan 10,20,99.
  • Cisco – SVI a OSPF: interface Vlan10, ip address 10.10.10.1 255.255.255.0, router ospf 10, network 10.10.10.0 0.0.0.255 area 0.
  • Junos – SSH a uživatel: set system host-name EX-ACC-01, set system services ssh, set system login user admin class super-user authentication plain-text-password.
  • Junos – VLAN a L3: set vlans USERS vlan-id 10, set interfaces irb unit 10 family inet address 10.10.10.1/24, set vlans USERS l3-interface irb.10.
  • RouterOS – správa a bridge: /user add name=admin group=full password=***, /ip ssh set strong-crypto=yes, /interface bridge add name=br1, /interface bridge port add bridge=br1 interface=ether2, /ip address add interface=br1 address=10.10.10.2/24.

Standardní bezpečnostní základ

  • Povinné MFA pro administrátory, rotace klíčů a hesel a trezor pro tajné údaje.
  • Konfigurační standard pro bannery, AAA, NTP, Syslog, SNMPv3, NetFlow a CoPP.
  • Minimalizace plochy útoku: vypněte nepoužívané služby a filtrujte řídicí provoz L2/L3.
  • Segmentace správy: samostatná VRF/VLAN, přístup pouze ze zabezpečených skokových serverů (jump hostů).
  • Šifrování od konce do konce: SSHv2, HTTPS s TLS 1.2+, IPsec/MACsec podle potřeby.

Provozní kontrolní seznam před nasazením

  1. Název zařízení, doména, čas, NTP a časové pásmo.
  2. AAA a SSH, zakázaný Telnet, ACL pro správu.
  3. VLAN/VRF, trunky, kořenový bridge STP a ochranné mechanismy.
  4. SVI/rozhraní L3, směrování (OSPF/BGP), výchozí trasa.
  5. Zásady a výjimky pro DHCP/DNS/NAT.
  6. Třídy QoS, označování a fronty.
  7. SNMPv3, Syslog, NetFlow, prahové hodnoty a upozornění.
  8. Zálohování konfigurace, ověřený obraz systému, plán návratu k předchozímu stavu.
  9. Dokumentace a předávací protokol.

Řešení problémů krok za krokem

  • Vrstva 1 (fyzická): stav portu, link up/down, chybovost, typ SFP, napájení PoE.
  • Vrstva 2: přiřazení k VLAN, povolené VLAN na trunku, role/stavy STP, tabulka MAC adres (show mac address-table).
  • Vrstva 3: ARP/ND, směrovací tabulka, sousedství OSPF/BGP, ping/traceroute pro jednotlivé VRF.
  • Zabezpečení: počet shod ACL, tabulka relací firewallu, zahozené pakety CoPP, stav klientů 802.1X.
  • Výkon: CPU, paměť, fronty, zahozené pakety, nejaktivnější zdroje provozu podle NetFlow.
  • Metodika: vždy měňte pouze jednu věc najednou, zapisujte provedené změny a ověřujte stav před změnou i po ní; pro podrobnější analýzu využívejte zrcadlení portu (SPAN).

Dokumentace a provozní disciplína

  • Aktualizované fyzické/logické diagramy, IP plán a tabulka VLAN/VRF.
  • Seznam standardních šablon a výjimek včetně jejich odůvodnění.
  • Provozní postupy pro řešení incidentů (např. výpadek uplinku, nestabilní relace BGP, smyčky L2).
  • Pravidelné revize konfigurací (linting, kontrola souladu), penetrační testy a audit přístupů.

Tipy pro škálování a budoucí rozvoj

  • Upřednostňujte automatizaci založenou na deklarativním přístupu a validaci konfigurací před nasazením (syntaxe, soulad se standardy, zabezpečení).
  • Standardizujte hardware a obrazy systému, abyste zkrátili MTTR a zjednodušili testování.
  • Využívejte telemetrii pro plánování kapacity (trendy využití portů, latence p95, zahozené pakety ve frontách).
  • Postupně přecházejte na rozhraní založená na datových modelech (NETCONF/RESTCONF/gNMI) a na řízení založené na záměru (intent-based).

Závěr

Konfigurace síťových zařízení je nejefektivnější, pokud se řídí pevně stanovenou metodikou: plánovat, zabezpečit, segmentovat, směrovat, měřit a automatizovat. Dodržování uvedených kroků, základních bezpečnostních zásad a provozní disciplíny přináší předvídatelné chování sítě, vyšší zabezpečení a nižší náklady na provoz i rozvoj.