Cisco 880, 890 und ISR Router Konfiguration mit xDSL, Kabel oder FTTH Anschluss plus VPN und IP-TV

Die Router Hardware:

Der Cisco 886va(w) und auch sein Gigabit Pendant 896 oder die derzeit aktuellen Cisco C926-4P oder Cisco_1112-8P, Cisco 1116-4P sind sog. "Multi Service" ISR Router mit einem integrierten Multimode xDSL Hybrid Modem für VDSL2 und ADSL2/2+ (Annex B+J (ADSL2+ over ISDN)) sowie SDSL mit ITU G.993.2 (VDSL2) Super Vectoring, Profil 35b.
Anwender ohne xDSL Anschluss z.B. mit einem Kabel TV Modem Anschluss oder FTTH, wählen 880, 890, 900 oder 1100er Modelle mit Breitband WAN Port. Der WAN/Internet Port dieser Modelle ist ein reiner Ethernet Breitband Port ohne ein integriertes Modem. Dieser kann dann direkt zum Anschluss an vorhandene Kabel TV Modems oder FTTH (Fiber to the Home, Glasfaser) Konverter genutzt werden.
Alle Modelle gibt es zusätzlich in einer Variante mit integriertem WLAN und/oder bei neueren Modellen auch mit 4G/5G Mobilfunk Modem sowie auch VoIP Anschlüssen. Eine Übersicht der 880er Modelle findet man hier.
Die der 890er Modelle hier und die aktuellen 900er oder 1100er Systeme findet man hier.
Alle Modelle besitzen durchgängig mindestens 4 integrierte Ethernet RJ-45 LAN Ports die VLAN fähig sind. Die 890er Modell haben durchgängig 8 LAN Ports die voll VLAN fähig sind und flexibel auch für weitere WAN Anbindungen genutzt werden können (Multi WAN Port Feature).
Das Cisco 886 Modell supportet bis zu 20 VPN Verbindungen gleichzeitig (890 supportet 50 Tunnel, 926 und 1112 bis zu 200 VPN Tunnel) und eignet sich damit für anspruchsvolle KMU Firmennetze, Telearbeiter, einer LAN zu LAN Firmenvernetzung auf ADSL/SDSL oder VDSL Basis oder dem eigenen privaten Heimnetzwerk.
Da er ein integriertes ADSL/VDSL fähiges Multimode Modem an Bord hat, eignet er sich insbesondere für solche xDSL Installationen bei denen zukünftiger Bandbreitenbedarf eine spätere Migration auf einen VDSL Anschlüsse erfordert. Dies ist dann sehr einfach mit einer simplen Konfig Änderung möglich, ohne neue Router Hardware beschaffen zu müssen. Das integrierte Modem ist auch SDSL fähig für Business Anschlüsse.
Die hier vorgestellte universelle Grundkonfiguration des Routers ist für beide vorgestellten xDSL Anbindungen (ADSL und VDSL) gleich. Sie unterscheidet sich lediglich in der Konfiguration der DSL bzw. VDSL Modemeinstellung die in separaten Kapiteln unten vorgestellt wird. Die Verbindung zum xDSL Anschluß (Telefondose TAE-F) erfolgt über einen handelsüblichen RJ-11 Port mit Mittelpin Belegung. Sofern der xDSL Anschluss also noch mit TAE-F Dose ausgerüstet ist, dann mit einem handelsüblichen TAE-F auf RJ-11 Standard Kabel. Der 900er Router hat rein nur noch RJ-45 Anschlüsse.
Mittlerweile bekommt man den Router auch recht preiswert auf Auktionsplattformen wie z.B. eBay usw. Neue Modelle sogar beim Discounter.

Als Beispiel dient hier eine Standardkonfiguration mit 2 angeschlossenen LAN Netzen z.B. ein Firmennetz und ein Gastnetz, aktivem DHCP und statischen DHCP Reservierungen z.B. für einen Server, NAS o.ä. und einer optionalen VPN Konfiguration mit IPsec oder L2TP Protokoll.
Damit ist eine problemlose Einwahl von remote für Home Office und mobile Mitarbeiter zum Datenaustausch oder für die Fernwartung gegeben.
Der Cisco Router ist ein aktiver VPN Router.
Er supportet damit eine VPN Client- und VPN Standortvernetzung auf IPsec Basis die zusätzlich als Konfigurations Beispiel in den weiterführenden Links aufgeführt ist um das hiesige Basis Tutorial nicht aufzublähen.
VPNs auf PPTP Protokoll Basis sind ebenso möglich aber durch die Unsicherheit von PPTP nicht mehr zu empfehlen.
Entfernte VPN Standorte müssen dabei nicht zwingend mit Cisco Hardware ausgestattet sein. IPsec VPN Verbindungen sind problemlos zwischen allen VPN Komponenten die IPsec entweder mit IKEv1 oder IKEv2 beherrschen möglich. Wichtig ist hierbei, das die eingesetzten Geräte (z.B. FritzBox, Lancom, NetGear, pfSense/OPNsense, Mikrotik, Microsoft, Linux, Apple Mac usw.) der Gegenstelle diese VPN Protokolle ebenfalls beherrschen was so gut wie immer der Fall ist.
Die weiterführenden Links am Ende weisen auf entsprechende Tutorials hin die gemischte IPsec Standort und Client VPN Lösungen näher beschreiben.
Für das Router Modell mit integriertem WLAN Accesspoint findet sich eine entsprechende WLAN Konfig im Abschnitt Wireless.

Die initiale Konfiguration des Cisco Routers macht man über den seriellen Konsolen Port (Console) und dem mitgeliefertem seriellen, blauen Konsolen RS-232 Kabel mit RJ-45 Stecker. Fehlt dieses Kabel kann man es über die einschlägigen Versender preiswert beschaffen.
Als Terminal Programme nutzt man die bekannten Windows Klassiker PuTTY oder TeraTerm mit den Parametern 9600 Baud, N, 8, 1 (Keine Parity, 8 Bit, ein Stopbit) und schaltet alle Arten von Flow Control (Hardware, Software) AUS in den seriellen Port Settings der Terminalprogramme.
Bei den Terminalprogrammen ggf. die COM Ports durchprobieren (Windows) da sie nicht überall gleich sind.
Weiter hilft hier wie immer ein Blick in den Windows Geräte-Manager unter Serielle und LPT Ports.
Apple Mac Benutzer nehmen hier ZTerm (Shareware) oder das bordeigene screen Kommando und Linuxer haben mit minicom gleich ein serielles Terminal immer mit an Bord.
Wer keinen seriellen COM Port (DB-9 Stecker) mehr hat am Rechner, nutzt einen preiswerten Seriell-USB Adapter den es für wenig Geld in jedem PC Shop oder einschlägigem Versandhandel (Reichelt, Amazon usw.) gibt.
Gute Erfahrungen gibt es mit:
USB Seriell Adapter
Wer nicht ganz so sattelfest mit den Cisco IOS Kommandos ist findet HIER einen guten grundlegenden Überblick der das nötige KnowHow für das Kommando Interface gibt. Bei Konfig Postings hier im Forum sollte man auf die Anonymisierung der Kennwörter achten bzw. auf das Vorhandensein des Kommandos service password-encryption.
Los gehts...

Allgemeine Router Grundkonfiguration mit ADSL Anschluss:

Die folgende, immer gleiche Standard Basiskonfiguration des 800er Routers ist in blau gehalten. Die zusätzlichen oder zu ändernden xDSL Modem spezifischen Abschnitte die für eine ADSL, SDSL Konfiguration erforderlich sind, sind jeweils rot eingefärbt. (VDSL hat ein eigenes Kapitel später)
Optionale Kommandos die nicht zwingend für den Betrieb bzw. Konfig erforderlich sind, sind immer in (...) Klammern dargestellt (Klammern bei der Konfig entfernen!) !
!
service timestamps log datetime localtime
service tcp-keepalives-in
service tcp-keepalives-out
!
hostname Cisco_Router
!
security authentication failure rate 3 log
security passwords min-length 6
logging buffered
enable algorithm-type scrypt secret Geheim123
!
clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
!
aaa new-model
aaa authentication login default local
aaa authorization network default local
aaa local authentication attempts max-fail 3
!
no ip source-route
no ip gratuitous-arps
!
ip dhcp excluded-address 192.168.100.1 192.168.100.149 <-- Schliesst diesen Adressbereich vom DHCP Pool AUS
ip dhcp excluded-address 192.168.100.200 192.168.100.254 (LAN DHCP Pool reicht somit von .150 bis .199 )
!
ip dhcp excluded-address 172.16.100.1 172.16.100.149 <-- DHCP Adress Pool für das Gastnetz (.150 bis .199)
ip dhcp excluded-address 172.16.100.200 172.16.100.254
!
ip dhcp pool Lokal
network 192.168.100.0 255.255.255.0
default-router 192.168.100.254
dns-server 192.168.100.254 <-- Optional: Weitere DNS Server durch Leerzeichen getrennt
(option 42 ip 130.149.17.8) <-- Optional: Zeitserver IP (NTP), (Zeile kann entfallen wer NTP nicht nutzt)
domain-name meinedomain.home.arpa
!
ip dhcp pool Gastnetz
network 172.16.100.0 255.255.255.0
default-router 172.16.100.254
dns-server 172.16.100.254
(option 42 ip 130.149.17.8 )
domain-name gast.meinedomain.home.arpa
!
ip dhcp pool WinServer <-- Optional ! Beispiel f. Zuweisung von fester IP auf MAC Adress Basis (IP zu Mac Binding)
host 192.168.100.170 255.255.255.0
client-identifier 01b0.0c6c.01c4.d2 <-- Hardware Mac Adresse dieses Clients (Schreibweise mit "01" beachten)
(hardware-address b00c.6c01.c4d2) <-- Hardware Mac Adresse bei Clients die keinen HW_Identifier schicken (Linux !)
default-router 192.168.100.254
dns-server 192.168.100.254
client-name winserver
domain-name meinedomain.home.arpa
!
ip domain name meinedomain.home.arpa
!
ip inspect name myfw http
ip inspect name myfw https
ip inspect name myfw pop3s
ip inspect name myfw imaps
ip inspect name myfw esmtp
ip inspect name myfw sip <-- Firewall Application Gateway f. VoIP
ip inspect name myfw rtsp <-- Firewall Application Gateway f. VoIP
ip inspect name myfw icmp router-traffic
ip inspect name myfw tcp router-traffic
ip inspect name myfw udp router-traffic
!
(Achtung: ip inspect... Kommandos entfallen vollständig wenn die u.a ZFW_Firewall_Konfig umgesetzt wird statt CBAC mit ip inspect !)
!
username admin privilege 15 algorithm-type scrypt secret Geheim123
!
controller VDSL 0
(firmware filename flash:VA_B_38V_d24m.bin) --> Optional bei Verwendung aktueller Modem Firmware !
!
interface Ethernet0
no ip address
shutdown
!
interface BRI0
no ip address
shutdown
!
interface ATM0
no ip address
no atm ilmi-keepalive
!
interface ATM0.1 point-to-point
pvc 1/32
pppoe-client dial-pool-number 1
!
interface FastEthernet0
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3 <-- LAN Port 4, hier Gastnetz anschliessen. (Kann entfallen wenn kein Gastnetz gewünscht.)
description Gastnetz
switchport access vlan 2 <-- (Gastnetz Interface VLAN 2)
no ip address
no cdp enable
!
interface Vlan1
description Lokales LAN (FastEthernet0 bis 2)
ip address 192.168.100.254 255.255.255.0
ip nat inside
ip tcp adjust-mss 1448
!
interface Vlan2
description Gastnetz (FastEthernet3)
ip address 172.16.100.254 255.255.255.0
ip access-group gastnetz in <-- (Optional: Wenn keine Gäste Einschränkungen gewollt sind, dann weglassen !)
ip nat inside
ip tcp adjust-mss 1448
!
interface Dialer0
description xDSL Einwahl Interface Internet
!
( band 10000) <-- (Bandbreiten Definition Upload = Beispiel hier VDSL 50/10Mbit, dieses Kommando ist optional !)
(band receive 50000) <-- (Bandbreiten Definition Download = Beispiel VDSL 50/10Mbit, dieses Kommando ist optional !)
(Diese Bandbreiten Kommandos sind nicht relevant für die xDSL Konfig und dienen ausschlieslich nur der Berechnung der Interface Last, deshalb optional !)
!
ip address negotiated
ip access-group 111 in <-- Firewall CBAC Inbound Access Liste. (Diese Zeile entfällt bei ZFW Firewall!)
no ip redirects
no ip unreachables
no ip proxy-arp
mtu 1488
ip nat outside
ip inspect myfw out <-- Firewall aktiv auf dem Internet Port. (Diese Zeile entfällt bei ZFW Firewall!)
ip virtual-reassembly in
encapsulation ppp
dialer pool 1
dialer-group 1
no keepalive
ppp authentication pap callin
ppp pap sent-username 001234567890123456780001@provider.de password 1234567
(Achtung: T-Business SDSL verwendet hier = t-online-com/<nutzer>@t-online-com.de )
ppp ipcp dns request
ppp ipcp mask request
ppp ipcp route default <-- Dafür kann die statische Route entfallen !
no cdp enable
!
ip dns server
!
ip nat inside source list 101 interface Dialer0 overload
!
ip access-list extended gastnetz <-- Diese Beispiel Gast ACL erlaubt nur DNS und Surfen (ggf. um weitere Dienste erweitern !)
permit udp any any eq bootpc
deny ip 172.16.100.0 0.0.0.255 192.168.100.0 0.0.0.255
permit tcp 172.16.100.0 0.0.0.255 any eq domain
permit udp 172.16.100.0 0.0.0.255 any eq domain
permit tcp 172.16.100.0 0.0.0.255 any eq www
permit tcp 172.16.100.0 0.0.0.255 any eq 443
deny ip any any
!
access-list 23 permit 192.168.100.0 0.0.0.255
access-list 101 permit ip 192.168.100.0 0.0.0.255 any
access-list 101 permit ip 172.16.100.0 0.0.0.255 any
!
(Achtung: Die folgende ACL111 entfällt vollständig wenn die u.a ZFW_Firewall_Konfig umgesetzt wird statt ip inspect (CBAC) !)
!
access-list 111 permit icmp any any administratively-prohibited <-- Lässt wichtige ICMP Steuerpakete durch die Firewall passieren.
access-list 111 permit icmp any any echo-reply
access-list 111 permit icmp any any packet-too-big
access-list 111 permit icmp any any time-exceeded
access-list 111 permit icmp any any unreachable
access-list 111 permit udp any eq 5060 any <-- VoIP (SIP) Port 5060. (Entfällt ohne VoIP Anlage, Telefone etc.) im lokalen LAN
(access-list 111 permit udp any eq bootps any) <-- Nur wenn Internet Port per DHCP IP Addresse bezieht ! Sonst weglassen !
access-list 111 deny ip any any (log*) <-- Log Parameter nur wenn man temporär Angriffe protokollieren will (Performance !)
!
!
dialer-list 1 protocol ip list 101 <-- NAT für die IP Netze in ACL 101 erlauben
!
ntp server 130.149.17.8 source Dialer0
!
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 3
!
line con 0
line aux 0
line vty 0 4
access-class 23 in <-- Telnet / SSH Zugriff nur aus lokalem LAN möglich (ACL 23)
login local
transport input telnet ssh <-- Telnet / SSH Zugriff. Ist zur Sicherheit nur SSH gewünscht "telnet" hier weglassen.
!
end
(130.149.17.8 ist ein öffentlicher NTP Zeitserver der TU Berlin. Siehe: https://www.heise.de/ct/hotline/Oeffentliche-Zeitquellen-322978.html )

Jetzt ist der richtige Zeitpunkt für ein write Befehl um diese Konfig zu sichern im Router ! Ohne Sicherung ist die Konfig nach einem Reboot verloren.

Hier noch ein wichtiger Hinweis für Nutzer die einen neuen ADSL2+ BNG Anschluss der Telekom haben, die ein VLAN 7 Tagging auf dem ADSL Interface erfordert.
Die Telekom (D) hat bereits 80 % aller Anschlüsse auf BNG ( Broadband Network Gateway) umgestellt hat. Bis Mitte 2019 sollen es 100% sein.
Es ist also davon auszugehen das neuere Anschlüsse allesamt BNG Anschlüsse sind.
Bei einem BNG Anschluss muss die Konfiguration des ATM Interfaces entsprechen angepasst werden, so das der Router genau wie bei VDSL ein VLAN 7 Tag mitschickt:

interface ATM0
description DTAG-BNG ADSL2plus
no ip address
no atm ilmi-keepalive
!
interface ATM0.7 point-to-point
pvc 1/32
bridge-dot1q encap 7
pppoe-client dial-pool-number 1
!

Das zusätzliche VLAN Tagging mit 4 Bytes Overhead hat auch Einfluss auf die MTU Werte bzw. das MSS Setting. Dieses muss entsprechend angepasst werden mit 1488 (MTU, Dialer) und 1448 (MSS f. LAN, VPN). Siehe zum Thema MTU auch hier.
Und noch ein weiterer Hinweis....
Man sollte sicherstellen das keines der Interfaces im sog. shutdown Status ist !! Shutdown bedeutet das das Interface deaktiviert ist.
Dies kann mit dem Kommando show ip interface brief geprüft werden.
Auch wenn man sich die aktuelle Konfig mit show run ansieht, dann sollte keines der Interfaces im "shutdown" Modus sein. Ausgenommen natürlich NICHT verwendete Interfaces wie das ATM Interface wenn man VDSL nutzt !
Wenn dennoch eins der aktiven Interfaces ein shutdown anzeigt, bekommt man das mit:
conf t
interface xyz
no shutdown
<ctrl z>
wr
...schnell wieder gefixt.
Man kann später, wenn alles rennt, alle nicht benutzten Interfaces natürlich in den Shutdown versetzen. Beim Aufsetzen der Konfig und Testen kann das aber fatale Fehler ergeben so das man darauf erstmal während der Konfiguration besser verzichtet !

Die Firewall richtig einstellen:

Für die erhöhte Passwortsicherheit sollte man ab Firmware Version 15.3.(3) unbedingt den Typ 9 der Passwortverschlüsselung verwenden. Das dazu benötigte Komando zum Erstellen eines User-accounts mit Typ 9 Verschlüsselung und Level 15 Zugriff lautet:
username <user> privilege 15 algorithm-type scrypt secret <password>
und ist in den hier aufgeführten Konfigurationen entsprechend berücksichtigt.

Wichtiger Tip zur CBAC Accessliste 111, um hier Problemen und Missverständnissen vorzubeugen!:
Die Internet Port Access Liste 111 oben in der Konfig funktioniert NUR im Zusammenhang mit der konfigurierten CBAC Router Firewall, also dem Aktivieren der FW mit dem Kommando "ip inspect myfw out" auf dem Dialer Interface !!
Sie darf nicht im Mischbetrieb mit der unten beschriebenen ZoneBasedFirewall verwendet werden. Auch nicht einzelne Zeilen.
Man muss sich also bei Konfiguration der Firewall für ein Konzept entscheiden. Entweder CBAC oder ZFW !

Übernimmt man die o.a. Konfig OHNE diese aktivierte Firewallfunktion auf dem Dialer muss man die Access List 111 ganz weglassen oder reduziert sie aufs Blocken von Ping, Traceroute und Redirect mit:
access-list 111 deny icmp any any echo <-- Weglassen wer den Router aus dem Internet pingen möchte (Sicherheit !)
access-list 111 deny icmp any any traceroute
access-list 111 deny icmp any any redirect
access-list 111 permit ip any any
Der Betrieb des Routers ohne aktive Firewall am Internet ist aus naheliegenden Gründen natürlich nicht zu empfehlen.
Nur mit der aktivierten CBAC Firewall Funktion wird diese ACL 111 dynamisch, sessionbasiert bei outgoing Sessions geöffnet (sog. CBAC FW Konfig) !:
http://www.cisco.com/en/US/products/sw/secursw/ps1018/products_tech_not ...
Ohne aktivierte Firewall Funktion passiert die FW Öffnung nicht und Antwortpakete aus dem Internet werden dann blockiert !!

Auch wer z.B. einen internen FTP oder Web Server im lokalen LAN vom Internet erreichen will muss den Zugriff mit einer ACL Regel explizit erlauben. Für FTP und HTTP sind das z.B. die folgenden zusätzlichen Statements in der ACL 111:
access-list 111 permit tcp any any eq ftp
access-list 111 permit tcp any any eq http
Erst dann kann man intern, im lokalen LAN, liegende eigene FTP oder HTTP Server (Web Server, NextCloud etc.) erreichen ! Einen entsprechenden statischen NAT Eintrag natürlich vorausgesetzt.

WAN Interface mit DHCP (Kabel TV, Glasfaser etc.):

Ganz wichtig ist hier auch DHCP für Nutzer die kein xDSL haben sondern den Router an einem Ethernet Glasfaser oder TV Kabelmodem betreiben müssen !
Wer das WAN Interface statt mit PPPoE wie bei xDSL in diesem Falle dann als DHCP Client definiert z.B an Kabel TV Modems oder direkter Provider Zugang usw., muss hier auch DHCP erlauben durch die Firewall, ansonsten scheitert natürlich die IP Adressvergabe am WAN/Internet Port !
access-list 111 permit udp any eq bootps any
Sorgt dann in der ACL 111 dafür das auch DHCP klappt. Eine entsprechende Ethernet Port Konfig sieht dann so aus: (Beispiel Internet auf Port FastEthernet 0):
!
interface FastEthernet0
description Internet (DHCP Adressvergabe !)
switchport access vlan 99
no ip address
no cdp enable
!
interface vlan 99
description Internet Interface
ip address dhcp
ip access-group 111 in <-- Firewall CBAC Inbound Access Liste
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip inspect myfw out <-- Firewall aktiv auf Port
no cdp enable

(*) Der Parameter "log" am Ende des letzten Filter Statements deny ip any any zeigt alle unerlaubten externen Zugriffe im Router Log an und damit diejenigen weltweit, die versuchen den Router anzugreifen.
Es ist sehr interessant (und auch erhellend) das hohe Ausmaß dieser Angriffsversuche mal zu sehen, wenn man show logg eingibt oder sich die Syslog Messages des Routers schicken_lässt.
Wen es nervt und das Log zu groß wird (denn es gibt sehr sehr viele dieser Angriffe im Minutentakt !) und wer Wichtigeres im Logging sehen möchte, kann das "log" Statement natürlich auch weglassen aus der ACL Definition.
Letztlich macht es den Router langsam (Perfomance !), deshalb ist es besser auf lange Sicht die Logging Statements in den ACLs immer zu deaktivieren.

VDSL Konfiguration:

VDSL Pakete müssen bekanntlich in Richtung Provider mit einem VLAN Tag (802.1q) mit der VLAN ID 7 (Telekom, ggf. anders bei alternativen Providern) versehen werden !
Das VDSL Modem ist wie oben schon beschrieben, logisch an die Router Ethernet Schnittstelle Ethernet0 gebunden und muss damit eine tagged VLAN Konfiguration bekommen. Das bewirkt ein sog. Subinterface Ethernet 0.7 in der Konfig auf dem Interface Ethernet0.
Physisch ist bei dem im Cisco integrierten xDSL Hybridmodem der ADSL2+ Modus auf das ATM0 Interface des Routers gemappt und bei VDSL Betrieb ist es das Ethernet0 Interface.
Wird der Router jetzt also im VDSL Mode betrieben, kann damit das ATM0 Interface mit "Shutdown" per Konfig deaktiviert werden und das ATM Subinterface mit no interface ATM0.1 point-to-point entfernt werden !
Entsprechendes gilt oben im ADSL2+ Mode für das Ethernet0 Interface. Das steht dann analog im "Shutdown" Mode in der Konfig wenn man nur ADSL macht.
Im Folgenden kommt aber jetzt ein VDSL Anschluß zum Einsatz und damit wird dann das ATM Interface abgeschaltet (shutdown).
!
-- Standard Grundkonfiguration wie oben --
!
controller VDSL 0
firmware filename flash:VA_B_38V_d24m.bin --> Optional ! Supportet aber Vectoring im VDSL !
!
interface Ethernet0
no ip address
no shutdown
!
interface Ethernet0.7
description VDSL Internet Verbindung - VLAN 7 tagged
encapsulation dot1Q 7
pppoe enable
pppoe-client dial-pool-number 1
!
interface BRI0
no ip address
shutdown
!
interface ATM0
no ip address
shutdown
pvc 1/32
pppoe-client dial-pool-number 1
!
-- Restliche Konfiguration nach dem Interface ATM0 von der Standart Grundkonfiguration oben übernehmen. --

Aufpassen: VDSL VLAN Tags bei alternativen VDSL Providern:

Andere VDSL Provider nutzen ggf. andere VLAN ID Tags statt der 7 bei der Telekom. Bei Vodafone z.B. ist das die VLAN ID 132.
Die korrekte Port Konfiguration für Vodafone VDSL sieht dann im Router entsprechend so aus:
!
interface Ethernet0
no ip address
no shutdown
!
interface Ethernet0.132
description VDSL Internet Verbindung - Vodafone
encapsulation dot1Q 132
no ip route-cache
pppoe enable
pppoe-client dial-pool-number 1

Vorsicht bei Vodafone. Vodafone ist auch ein Wiederverkäufer von Telekom VDSL Leitungen. In diesem Fall gilt dann weiterhin das VLAN 7 Tag !
Vodafone Usernamen sehen auf solchen Links dann so aus: vodafone-vdsl.komplett/ad123456789 Siehe dazu auch hier.
Bei M-Net München ist die VLAN ID z.B. 40 : https://www.administrator.de/forum/cisco-1921-probleme-interneteinwahl-3 ...
Der Provider Netcom Kassel verwendet ebenfalls das VLAN 132 für die PPPoE Einwahl wie Vodafone bei eigenen Leitungen.

Abschliessend noch ein warnendes Wort zu Vodafone Anschlüssen !
Vodafone nutzt statt PAP eine CHAP Authentisierung auf dem PPPoE Interface (Dialer 0) ! Die Dialer 0 Konfiguration muss deshalb um die folgenden 3 Kommandos (fett) erweitert werden damit die PPPoE Einwahl klappt:
(PPP Standardkommandos der Übersicht halber weggelassen) :
!
interface Dialer0
description xDSL Einwahl Interface Vodafone
ip address negotiated
...
ppp authentication chap pap callin
ppp chap hostname vodafone-vdsl.komplett/vb123543
ppp chap password Geheim123
ppp pap sent-username vodafone-vdsl.komplett/vb123543 password Geheim123
...
!

VoIP mit neuen sog. "All IP" Anschlüssen (Annex J):

Von Cisco ist das entsprechende Modell C886VA und 890er Modell in einer Annex-J-Variante erhältlich C886VA-J-K9.
Besitzer der nicht J Version die man derzeit preiswert bei eBay usw. findet, müssen aber keinerlei Sorge haben !
Die reguläre Annex-B-Variante Cisco C886VA-K9 ist auch voll am Annex-J-fähigen Anschluß funktionsfähig mit geringfügig reduziertem Upstream. Ebenso die Annex A Variante.
Da die aktuellste xDSL-Modem Firmware Vectoring supportet sollte, wenn immer möglich, diese auch verwendet werden. Ältere Modem Firmware, speziell die im IOS Firmware Image embeddete Modem Firmware, quittiert dies durch den fehlenden Vectoring Support oft mit deutlich geringeren Connect Raten am DSLAM !
Die embeddete Modem Firmware z.B. der 15.4.3.M7 Version hat bessere Connect Raten als z.B. der Patch davor.
Gleiches gilt für den Cisco C896VA sowie das Cisco EHWIC-VA-DSL-B Modul (WIC) in den 1800er und 1900er Modellen.
Best Practice ist also immer die aktuelle Modem Firmware zu verwenden und separat vom Flash zu laden.
Die aktuelleste Modem Firmware (derzeit VA_B_38V_d24m.bin ) lädt man von der Cisco Support Seite und lädt sie über einen TFTP Server (z.B. TFTP32/64 oder Pumpkin (Windows)) wie HIER beschrieben mit dem Komando copy tftp flash: in den Flash Speicher des Routers.
Alternativ besteht die Möglichkeit es einfach per USB Stick über die im Router integrierte USB Buchse zu laden: Die Modem Firmware Datei für die 880er Modelle und die des EHWIC-VA-DSL-B Modul (WIC) (1800er und 1900er Router Modell) sind vollkommen identisch und passen in allen Modellen mit dieser (Broadcom) Modem Hardware.
Dann passt man die Konfig des VDSL Controllers entsprechend an um die Firmware zu laden:
!
controller VDSL 0
firmware filename flash:VA_B_38V_d24m.bin
!
Mit dem Kommando show controllers vdsl 0 überprüft man das korrekte Laden der FW: Modem Firmware Download:
https://software.cisco.com/download/home/283122092/typ e/282821780/release/B2pvC038v

Bitte zum Thema "richtige Modem Firmware" unbedingt den Thread von @dog unten in den Weiterführenden Links lesen !
Die aktuelle Modem Firmware VA_A_39m_B_38u_24h.bin ist eine von der Telekom zertifizierte Firmware für VDSL Anschlüsse in D und sollte bevorzugt verwendet werden ! (Siehe Modem Firmware Release Notes).

Auch wenn der Router kein integriertes VoIP Telefonie Gateway hat (Cisco hat dafür andere Modelle) kann man ihn dennoch problemlos mit einem entsprechenden VoIP (SIP) zu Analog Adapter wie dem Cisco SPA 112 an den "All IP" Anschlüssen betreiben:
http://www.reichelt.de/CISCO-SPA112/3/index.html?&ACTION=3&LA=4 ...
Der Adapter wird einfach ins lokale LAN gehängt, die bestehenden analogen Telefone bzw. Fax dort angeschlossen und schon ist man mit den gewohnten Telefonen wieder per VoIP online und erreichbar.
Dieser Adapter funktioniert natürlich auch mit allen anderen xDSL und Kabel TV Routern, nicht nur mit dem hier beschriebenen.
Noch vorteilhafter ist natürlich eine kleine VoIP Telefon Anlage im lokalen LAN wie z.B. die Auerswald_C3000 oder C4000 die erheblich mehr VoIP Telefonkomfort inklusive Fax und Voice Mailboxen mit Mail Forward usw. und die Integration vorhandener analoger oder ISDN Telefone ermöglicht.
Oder last but not least man nimmt die all Cisco Lösung und richtet sich auch die VoIP Telefonie mit preiswerten Cisco Telefonen ein wie z.B.:HIER beschrieben.

WLAN AP Konfiguration:

Der Cisco 886va ist auch in einer WLAN Version erhältlich als Cisco886vaw. Unterschied zum 886va ist lediglich nur ein integrierter 2,4Ghz WLAN Access Point wie man es von gewöhnlichen Consumer xDSL Routern auch kennt. Die 890er Modelle haben einen Dual Radio AP mit 2,4 und 5 Ghz. Die o.a. Grundkonfiguration bleibt immer identisch bzw. gilt auch für andere Router Modelle.
Der integrierte WLAN Accesspoint ist dabei, WLAN-Router üblich, mit einer Bridge an ein virtuelles Gigabit Interface angehängt, was man je nach Bedarf mit einer Single SSID oder mit Multi SSIDs in ein oder mehrere LAN oder VLAN Segmente per Konfig hängen kann.
Damit ist auch dieser Router in der Lage mit einem einzigen physischen WLAN Accesspoint mehrere unabhängige virtuelle WLANs aufzuspannen die man in unterschiedliche Netz Segmente legen kann. (z.B. Gast- und Privat oder Firmen WLAN)
Somit sind kostengünstig 2 und mehrere WLANs mit einer Hardware zu realisieren z.B. in einem Firmenumfeld mit einem gesicherten Mitarbeiter WLAN und einem abgeschotteten Gäste WLAN mit Hotspot.
Der WLAN Accesspoint wird dabei genau so konfiguriert wie es z.B. in diesem_Tutorial beschrieben ist und entspricht damit der klassischen Standard Cisco IOS Konfiguration auf allen High End Accesspoints der Aironet Serie die es mittlerweile ebenfalls recht preiswert über Auktionsplattformen gibt.
Natürlich hat der AP auch ein entsprechendes grafisches Web Interface welches die WLAN Konfiguration erheblich erleichtert für Admins die nicht IOS affin sind. Allerdings ist dieses WebGUI erst erreichbar mit einer entsprechenden IP Konfiguration des WLAN AccessPoint Interfaces.
Als ersten Schritt gibt man dem WLAN AP Interface eine IP. Da diese in der Regel im lokalen LAN (VLAN1) liegt kann dies unnumbered erfolgen.
interface Vlan1
description Lokales LAN
ip address 192.168.100.254 255.255.255.0
ip nat inside
ip tcp adjust-mss 1448
!
interface wlan-ap0
description Internes Service Interface zum Management des internen WLAN APs
ip unnumbered Vlan1
!
Jetzt kann man mit dem Kommando service-module wlan-ap 0 session sich auf den internen Accesspoint verbinden.
Da das Kommando recht kryptisch ist und sich das keiner lange merken kann, kann man einen Kommando Alias dafür anlegen mit
alias exec zumwlanap service-module wlan-ap 0 session
Nun reicht die Eingabe des Kommandos zumwlanap um auf das WLAN AP Kommandointerface zu gelangen: Damit ist man nun auf dem Konfigurationsinterface des internen Accesspoints !
Der Default Username ist cisco mit dem Default Password cisco !
ACHTUNG: Mit der Eingabe von ctrl ^ und x (oder ctrl, shift 6 und x) und dann der Eingabe von disconnect
kommt man immer wieder auf den Router Kommando Prompt zurück.
Mit der nun folgenden IP Adressierung des internen APs ist diese Prozedur aber dann zukünftig nicht mehr nötig. Dann ist der interne Accesspoint bequem aus dem lokalen LAN direkt zu erreichen per Telnet (PuTTY oder TeraTerm) oder per Web Browser.

Eine funktionsfähige einfache WLAN Konfiguration mit WPA-2 Sicherung und WLAN SSID (Name) Bitschleuder lautet folgendermaßen:
Current configuration : 3242 bytes
!
service timestamps debug datetime localtime msec
service timestamps log datetime localtime
!
hostname ap
!
no aaa new-model
clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
ip domain name soho.intern
!
dot11 syslog
!
dot11 ssid Bitschleuder
authentication open
authentication key-management wpa
guest-mode
wpa-psk ascii 0 Geheim123
!
bridge irb
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm
!
ssid Bitschleuder
!
station-role root
no dot11 extension aironet
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
bridge-group 1 spanning-disabled
!
interface GigabitEthernet0
description the embedded AP GigabitEthernet 0 is an internal interface connecting AP with the host router
no ip address
no ip route-cache
bridge-group 1
no bridge-group 1 source-learning
bridge-group 1 spanning-disabled
!
interface BVI1
ip address 192.168.100.1 255.255.255.0
no ip route-cache
!
ip http server
no ip http secure-server
bridge 1 route ip
!
line con 0
privilege level 15
login local
line vty 0 4
login local
!
end

WICHTIG: Die interne IP Adresse des Accesspoints 192.168.100.1 muss immer außerhalb des DHCP Adresspools liegen damit es nicht zu IP Adresskonflikten kommt !
Im hiesigen Beispiel ist der DHCP Pool mit den IP Adressen von .100.150 bis .100.170 definiert so das wir mit der .100.1 im sicheren IP Bereich liegen !
Die Parameter dot11 ssid Cisco-887-WLAN und auch wpa-psk ascii 0 Geheim123 bestimmen den Namen des WLANs und das Zugangspasswort. Das muss entsprechend auf die eigenen Einstellungen angepasst werden !
Startet man nun einen Webbrowser im lokalen LAN und gibt dort als Ziel ein http://192.168.100.1 landet man direkt auf dem Web Interface des internen Accesspoints und kann diesen nun auch bequem per Web konfigurieren und diese Konfig Anpassungen vornehmen. (Siehe Screenshot)
Der direkte CLI Zugriff auf den AP mit seiner IP ist ebenfalls mit Telnet oder SSH so möglich

(Wird fortgesetzt mit einer Multi SSID und VLAN Konfiguration für Gastnetze)

IPv6 Protokoll aktivieren:

Viele Internet Provider Verbindungen supporten heute in der Mehrheit auch das neue IPv6 Protokoll in einem Dual Stack. Das bedeutet das klassisches IPv4 und IPv6 koexistieren auf dem Router.
Insbesondere die Telekom forciert die IPv6 Nutzung in ihrem Netz, so das es Sinn macht für das "neue" Internet Protokoll gerüstet zu dein. Die meisten der gängigen Betriebssysteme wie Windows, Mac OS oder Linux als auch die Smartphone Betriebssysteme supporten alle durch die Bank heute IPv6 im Dual Stack.
IPv6 hat den Vorteil das es dort keine NAT (IP Adress Translation) mehr gibt. Man kennt es durch die Bank von IPv4 aufgrund der aktuellen, weltweiten Adressen Knappheit bei IPv4.
Damit entfallen dann alle Problematiken mit Port Forwarding und auch die, die man in CGN Netzen (Provider NAT) mit DS-lite usw. kennt. Jeder bekommt also automatisch vom Provider sein eigenes bzw. mehrere öffentliche IPv6 Netzwerke für das eigene Netzwerk mit IPv6. Dadurch kann er mit IPv6 direkt angesprochen werden aus dem Internet.
Umso mehr ist deshalb natürlich die Firewall Funktion für IPv6 gefordert !
Wo vorher ein Großteil der Netzwerk Sicherheit bequem auf die NAT Funktion abgewälzt wurde, entfällt das nun bei IPv6 komplett und die Firewall muss allein für die Zugangssicherheit des lokalen IPv6 Netzes herhalten. Sie ist also ein sehr wichtiger zentraler Punkt der IPv6 Konfiguration bzw. Sicherheit !
Genau aus diesem Grund sollte man das moderne, Zonen basierte Firewall Konzept verwenden. Alles was dort für IPv4 eingestellt ist gilt automatisch auch für IPv6 ! Deshalb die gute Nachricht: An der Firewall muss also für IPv6 nichts mehr extra eingestellt werden !
Die folgenden IPv6 Kommandos werden einfach der bestehenden globalen oder Interface spezifischen Konfiguration des Dialer 0 und VLAN1 Interfaces hinzugefügt.
Los gehts mit IPv6...

Zuerst wird global IPv6 Routing aktiviert auf dem Router und der lokale DHCPv6 Server aktiviert der die per Prefix Delegation vom Provider vergebenen IPv6 Adressen an die lokalen Endgeräte verteilt:
!
ipv6 unicast-routing
ipv6 cef
ipv6 dhcp pool DHCPv6
(prefix-delegation pool v6pdpool) -->Optional !! Nur wer Prefixes an eigene v6 Router o. Firewall weiterreichen will. Sonst weglassen !!
dns-server 2003:180:2:3000::53 (T-Com IPv6 DNS Adressen !! Bei anderen Providern deren DNS v6 IPs anpassen !!)
dns-server 2003:180:2:4000::53 (Weitere DNS möglich z.B. OpenDNS 2620:119:53::53)
domain-name meinedomain.home.arpa
!
Weiter geht es mit der Interface Konfiguration vom lokalen LAN und vom Internet Interface:
!
interface Vlan1
description Lokales LAN (FastEthernet0 bis 2)
ipv6 address provider-v6-prefix ::1:0:0:0:1/64
( Hier /64 Maske ggf. nach Provider Prefix Vorgabe anpassen.)
(ipv6 address FE80:BADE:AFFE:CAFE::1 link-local) --> Optional wer eigene v6 Link Local Adressen FE80:: vergeben möchte !
ipv6 enable
ipv6 nd other-config-flag
ipv6 dhcp server DHCPv6
!
interface Dialer0
description xDSL Einwahl Interface Internet
ipv6 address autoconfig default
ipv6 enable
no ipv6 redirects
no ipv6 unreachables
ipv6 nd autoconfig default-route
ipv6 verify unicast reverse-path
ipv6 dhcp client pd provider-v6-prefix
ipv6 dhcp client pd provider-v6-prefix rapid-commit
Sollte der Provider keine two-message exchange Option supporten, dann lässt man den Parameter "rapid-commit" weg !
(ipv6 dhcp client pd provider-v6-prefix)
!
(ipv6 local pool v6pdpool 2003:BB:123:7B3A::/56 60) -->Optional !! Nur wer Prefixes lokal weiterreichen will. Sonst weglassen !! Prefix hier nur Beispiel, unbedingt auf eigenen ANPASSEN !!
Dieses Kommando vergibt einen /60er Prefix aus dem vom Provider erhaltenen /56er Prefix an eigene v6 Router oder Firewalls per eigener Delegation weiter. Das ist optional. Wer das nicht benötigt lässt diese Komandos ganz einfach weg !
!
(Bleibende IPv4 Interface Kommandos sind hier der Übersicht halber weggelassen !)

Damit ist die IPv6 Konfig fertig. Ggf. muss man das Dialer Interface einmal auf shut und danach wieder no shut setzen um eine neue PPPoE Negotiation und damit die Vergabe der IPv6 Adresse auszulösen. Ein einfacher Reboot des Router nach Sicherung der Konfig mit write tut es auch.

Mit show ipv6 interface kann man dann überprüfen ob es geklappt hat und der Router eine IPv6 Adresse bekommen hat:
cisco_router#show ipv6 interface
Dialer0 is up, line protocol is up
IPv6 is enabled, link-local address is FE80::CAFF:EBAD:EAFF:E123
No Virtual link-local address(es):
Description: xDSL Einwahl Interface Internet
Stateless address autoconfig enabled
Global unicast address(es):
2010:34:17BDF:2C5B:EAD6:F7FD:EF28:1F70, subnet is 2010:34:17BDF:2C5B::/64 [EUI/CAL/PRE]
valid lifetime 14259 preferred lifetime 1659
Joined group address(es):

Entsprechend klappt dann auch ein IPv6 Ping vom Router selber:
cisco_router#ping ipv6 www.heise.de
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 2A02:2E0:3FE:1001:7777:772E:2:85, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 12/12/16 ms
Und dann natürlich auch vom lokalen Netzwerk auf einen IPv6 Server im Internet:
Wer möchte kann natürlich auch noch das VLAN 2 Gastnetz mit IPv6 ausstatten:
!
interface Vlan2
description Gastnetz (FastEthernet3)
ipv6 address provider-v6-prefix ::2:0:0:0:1/64
(ipv6 address FE80::2) link-local --> Optional wenn eigene Link Local Adresse. Sonst weglassen.
ipv6 enable
ipv6 nd other-config-flag
ipv6 dhcp server DHCPv6
!

VLAN Segmentierung konfigurieren:

Um die Sicherheit zu erhöhen, ist es immer vorteilhafter das eigene Netzwerk in mehrere Segmente zu teilen.
Zum Beispiel 2 getrennte Firmennetze an einem Router zu betreiben oder das Heimnetz in Gastnetz und Hausautomation zu segmentieren.
Der Cisco Router hat vollen 802.1q VLAN Support mit an Bord so das diese VLAN Segmentierung einfach umzusetzen ist.
An dieser Stelle sei auf das hiesige_VLAN-Tutorial verwiesen, welches zusätzlich VLAN Konfigurationen für Switches im Detail behandelt.
Als Konfig Beispiel dient hier ein einfaches Hausnetz mit Segmentierung in privates LAN, Hausautomation und ein Gäste Netz. Letzteres wurde oben schon in der Grundkonfiguration als VLAN 2 realisiert, ist der Vollständigkeit halber hier nochmal aufgeführt.
So sähe dieses einfache Design aus:
Als ersten Konfigurations Schritt legt man die beiden zusätzlichen VLANs an:
vlan 2
name Gastnetz
vlan 3
name Hausautomation
Damit erzeugt man automatisch auch 2 neue (virtuelle) Router IP Interfaces denen man entsprechende IP Adressen zuordnet:
interface Vlan2
description Gastnetz
ip address 172.16.100.254 255.255.255.0
ip access-group gastnetz in <-- (Optional: Wenn keine Gäste Einschränkungen gewollt sind, dann weglassen !)
ip nat inside
!
interface Vlan3
description Hausautomation
ip address 10.3.3.254 255.255.255.0
ip access-group hausautomation in <-- (Optional: Wenn keine Zugangs Beschränkung gewollt ist, dann weglassen !)
ip nat inside <-- (Optional: Wenn kein Internet Zugang gewollt ist, dann weglassen !)
!
Eine wichtige Rolle spielen hier die Access Listen sofern man den Zugang zu den VLAN Netzwerken restriktiv handhaben möchte. Die folgende Liste am Hausautomations Netzwerk lässt z.B. einzig nur die Kommunikation mit dem privaten lokalen LAN zu:
!
ip access-list extended hausautomation
permit udp any any eq bootpc
permit ip 10.3.3.0 0.0.0.255 192.168.100.0 0.0.0.255
deny ip any any
!
Alle Optionen der VLAN Zugangssicherung hier zu diskutieren sprengt den Rahmen dieses Router Tutorials, denn es ist auch ein Konfigurations Unterschied ob man die Access Listen basierte Sicherung benutzt oder mit der unten im Tutorial besprochenen ZFW Zonen Firewall arbeitet. Das wäre Thema für einen separaten Thread.
Zurück zur VLAN Konfig... !:
Die 3 VLAN Netze 1 (Privat), 2 (Gäste) und 3 (Hausautomation) sind nun auf dem Router eingerichtet und nun gilt es diese Netze auf einen VLAN Switch zu bringen. Das passiert wie bei VLANs generell üblich mittels eines VLAN Tagged Uplinks, den wir auf das Router Interface Ethernet 3 legen.
!
interface FastEthernet3
description Tagged Uplink auf VLAN Switch
switchport mode trunk
switchport trunk allowed vlan all
no ip address
!
Hat man die entsprechenden VLANs 1, 2 und 3 auch auf der Switchseite eingerichtet und auch dort den Uplink Port zum Cisco Router Tagged für alle VLANs dort entsprechend konfiguriert so kann man jetzt aus jedem VLAN das dazu korrespondierende Cisco IP Interface anpingen und so die Erreichbarkeit prüfen.
Für Details zur Switchkonfiguration sei hier nochmals auf das bereits oben genannte VLAN-Tutorial verwiesen !

Dynamisches DNS:

Dynamisches DNS ist erforderlich für Benutzer die den Router bei wechselnden Provider xDSL IP Adressen unter einer festen Hostadresse von außen erreichen wollen oder müssen. Häufig ist das z.B. für den gesicherten VPN Zugang mobiler Clients aufs lokale Netzwerk oder für schlichtes Port Forwarding auf lokale Server (Mail, Exchange, NexctCloud usw.) zwingend erforderlich.
Für die dynamische Anpassung der IP Adresse bei wechselnden Provider xDSL Adressen (nächtliche Zwangstrennung) sollte man deshalb immer einen DynDNS Dienst einrichten. Damit kann der Router immer mit einem festen Hostnamen wie z.B. meinrouter.dnshome.de erreicht werden, egal welche Provider IP er aktuell hat.
Derzeit noch kostenfreie Anbieter wie dnsHome oder deSEC sowie diverse andere lokale DDNS Dienstleister bieten sich da an.
Der DynDNS Dienst wird wie folgt auf dem Cisco Routern aktiviert: (Update method "http" und "add url")
(Wenn ein "?" Bestandteil der DDNS URL ist und per CLI eingetragen werden soll, muß zuvor die Taste „STRG“ und „V“ zusammen gedrückt werden. Dann kann mit „Shift“ und ? das Fragezeichen in die CLI eingetragen werden, ohne das die sonst per "?" übliche Cisco CLI Hilfefunktion startet !)
!
ip ddns update method dnsHome
http
add
http://<Subdomain:password>@www.dnshome.de/nic/update?Subdomain=<h>&myip=<a>
interval maximum 1 0 0 0
!
interface Dialer0
ip ddns update hostname <hostname>.<dyndns.domain>
ip ddns update dnsHome
!
(Es sind nur die zur obigen Grundkonfiguration zusätzlichen Kommandos hier aufgeführt.)
Kostenfreie DynDNS Accounts gibt es z.B. bei deSEC und dnsHome die DSGVO konforme Server betreiben und kein kommerzielles Interesse haben. Hier reicht als Minimum eine einfache Subdomain.
Falls es hier dennoch einmal kneifen sollte, hilft immer ein debug ip ddns update um den DDNS Update Prozess zu überwachen und zu troubleshooten. ACHTUNG: Benutzt man eine Verbindung über Telnet oder SSH zum Router, muss vorher term mon eingegeben werden, damit man die Debug Meldungen im Telnet oder SSH Fenster sieht !
Abgesehen davon wird einem auch über das Kontaktformular der o.a. DynDNS Dienstleister geholfen.

Port Forwarding:

Der eine oder andere möchte z.B. einen lokalen Webserver oder Kameras usw. öffentlich von außen (Internet) erreichbar machen. Hier sollte man aber immer große Vorsicht walten lassen, denn man öffnet so das Internet ungeschützt auf lokale Resourcen. Wer also einen privaten NextCloud Server für die Familie oder ein öffentlich erreichbares NAS betreibt, sollte das tunlichst immer in einem geschützten und vom privaten IP Netz getrennten Segment machen !
Es sei also an dieser Stelle noch einmal dringenst darauf hingewiesen, daß man solche Endgeräte niemals ins lokale, private LAN setzen sollte sondern besser ein separates VLAN dafür anlegt im Cisco. Dies trennt man mit einer Accessliste dann vom lokalen LAN ab um das private LAN abzusichern.
Der Grund liegt auf der Hand, denn für den Zugriff muss man ein Loch in die Router Firewall bohren und da ist es besser das auf einem separaten DMZ IP Segment zu machen als im geschützten lokalen LAN.
Ist der Server ein lokaler privater Server sollte man generell aus Sicherheitsgründen vom Port Forwarding absehen !
Auch hier ist der Grund klar, denn diese Daten gehen ungeschützt und unauthorisiert über das öffentliche Internet und jeder kann mitlesen. Ein VPN sollte für jeden, der Wert auf seine Datensicherheit und Schutz legt, hier oberste Priorität haben !
Wie man ein sicheres VPN mit diesem Router einrichtet erklärt das Tutorial im weiteren Verlauf oder die weiterführenden Links am Ende.

Das Beispiel hier zeigt diese DMZ Variante mit Port Forwarding:
Zum Port Forwarding soll ein lokaler Webserver (Port TCP 80 und 443 = HTTP) wie z.B. NextCloud vom Internet aus erreichbar sein im neuen VLAN 3. (Standardkonfig von oben verkürzt wiedergegeben !)
interface Vlan3
description DMZ mit oeffentlichem Webserver
ip address 172.16.200.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
!
interface Dialer0
description DSL Einwahl Interface
ip address negotiated
ip access-group 111 in
...
!
ip nat inside source list 101 interface Dialer0 overload
ip nat inside source static tcp 172.16.200.151 80 interface Dialer0 80
ip nat inside source static tcp 172.16.200.151 443 interface Dialer0 443
!
access-list 101 permit ip 192.168.100.0 0.0.0.255 any
access-list 101 permit ip 172.16.100.0 0.0.0.255 any
access-list 101 deny ip host 172.16.200.151 any => Da statisches NAT für Host .151 und kein PAT mit overload !
!
access-list 111 permit icmp any any administratively-prohibited
access-list 111 permit icmp any any echo-reply
access-list 111 permit icmp any any packet-too-big
access-list 111 permit icmp any any time-exceeded
access-list 111 permit icmp any any unreachable
access-list 111 permit udp any eq domain any
access-list 111 permit tcp any eq domain any
access-list 111 permit udp any eq ntp any
access-list 111 permit tcp any any eq www => Zugriff von außen für TCP 80 und 443 erlauben !
access-list 111 permit tcp any any eq 443
access-list 111 permit udp any eq ntp host 10.1.1.88
access-list 111 permit udp any eq domain host 10.1.1.88
access-list 111 permit tcp any eq domain host 10.1.1.88
access-list 111 deny ip any any
Spricht man jetzt mit dem Browser von "außen" die WAN IP Adresse (Dialer0 IP) des Routers an, landet man auf dem lokalen Webserver in der DMZ der die lokale IP 172.16.200.151 hat.

VPN Einwahl auf den Router für Windows, MacOS, Linux iPhone, Android:

Eine gesicherte VPN Verbindung dient dazu von extern auf geschützte Daten im lokalen LAN zugreifen zu können.
(Die Konfiguration der ZFW Firewall für den IPsec VPN Zugang wird unten im Kapitel zur Zone Based Firewall beschrieben !)
Vorweg: Windows selber hat bis zur Version 10 keinen nativen IPsec Client an Bord. Leider fehlt dem bordeigenen Windows 10 Client auch weiterhin die Group Security. Alle anderen Betriebssysteme und Smartphones haben das integriert aber Microsoft ignoriert es leider weiterhin. Deshalb bleibt Windows Nutzern auch der aktuellen Version 10 weiterhin nur der allseits bekannte Klassiker in diesem Metier, der kostenfreie Shrew_VPN_Client.
Er funktioniert fehlerlos auf allen Windows Versionen und nicht nur für Cisco VPNs.
Wie es mit Windows 10 und dem bordeigenen IPsec Client geht erklärt ein separates_Tutorial hier im Forum.
Linux Nutzer verwenden wie immer den Strong Swan Client den es auch für Android gibt sofern die Android Version keinen eigenen IPsec Client an Bord hat.
Apple Komponenten haben alles schon fertig integriert in ihre bordeigenen Client ! Extra Software oder App ist nicht erforderlich.
Die o.a. Router Grundkonfig muss dann nur um diese Kommandozeilen erweitert werden:
!
aaa new-model
!
aaa authentication login clientauth local
aaa authorization network groupauth local
!
username vpntest privilege 0 algorithm-type scrypt secret Geheim123
username vpngroup privilege 0 algorithm-type scrypt secret test123
!
crypto isakmp policy 10
encr aes 256
authentication pre-share
group 14
!
crypto isakmp client configuration group vpngroup
key test123
dns 192.168.100.254 # => (oder, wenn vorhanden, lokale DNS Server IP)
domain vpn.test.intern
acl 107 => (Split VPN ACL, kann entfallen wenn gesamter VPN Traffic in den Tunnel soll)
save-password
max-users 10
banner # Willkommen im VPN von XYZ # (Optional !)
pool vpnpool
!
crypto isakmp profile VPNclient
description VPN Client Profil
match identity group vpngroup
client authentication list clientauth
isakmp authorization list groupauth
client configuration address respond
virtual-template 2
!
crypto ipsec transform-set myset esp-aes esp-sha-hmac
mode tunnel
!
crypto ipsec profile vpn-vti2
set transform-set myset
!
interface Virtual-Template2 type tunnel
description IPsec VPN Dialin
ip unnumbered Vlan1
(ip nat inside) --> Nur erforderlich wenn der gesamte Client VPN Traffic in den Tunnel soll !
ip virtual-reassembly in
tunnel mode ipsec ipv4
tunnel path-mtu-discovery
tunnel protection ipsec profile vpn-vti2
!
interface Vlan1
ip address 192.168.100.254 255.255.255.0
!
ip local pool vpnpool 192.168.100.240 192.168.100.250 (Anpassen auf eigenen Client IP Bereich im lokalen LAN außerhalb d. DHCP Range !)
!
end
Auch hier muss die Firewall ACL wieder angepasst bzw. erweitert werden damit man per IPsec von außen zugreifen darf.
Die folgenden Einträge müssen der bestehenden ACL 111 von oben hinzugefügt werden:
...
access-list 111 permit udp any any eq isakmp
access-list 111 permit udp host any any eq non500-isakmp
access-list 111 permit esp any any
...
Die ACL 107 die den VPN Traffic für das lokale Netz klassifiziert:
access-list 107 permit ip 192.168.100.0 0.0.0.255 any --> (Split VPN)
Wichtig: Diese ACL 107 kann entfallen wenn der gesamte Client Traffic in den VPN Tunnel soll. (Gateway Redirect)

Hier die entsprechende Konfig des iPhone / iPad IPsec Clients...:


...und hier des Mac OS-X onboard IPsec Clients:


Die IPsec VPN Client Einwahl Konfiguration entspricht der Lösung mit einer pfSense_Firewall und der dort realisierten Einwahl mit dem Shrew_Client.
Als VPN Client Alternative sei auch das Programm Cisco anyconnect genannt das per IPsec von jedem Endgerät ins eigene Netzwerk verbinden kann. Das Programm ist kostenfrei für Android im Play Store und für Apple im App Store erhältlich. Für Windows, findet man es hier: https://download.cnet.com/s/cisco-anyconnect/
Sinnvoll ist es aber statt externer VPN Software generell die Onboard Clients zu verwenden wenn immer möglich.
Eine Kombination mit den u.a. Standortvernetzung ist natürlich problemlos möglich !
Man erhält somit einen Router der feste IPsec Tunnel in die Standort Lokationen bedient plus einem VPN Dialin Server für remote Mitarbeiter. Alles auf einer kompakten Plattform.
Sollte es mit dem VPN Zugriff einmal klemmen, dann kann man sich mit folgenden Befehlen auf Fehlersuche machen:
"debug crypto isakmp" und "debug crypto ipsec". Mit "show crypto ipsec sa" und "show crypto engine connection active" werden noch weitere Info’s angezeigt.
Durch den Befehl "show crypto isakmp sa" kann man unter anderem sehen wieviele Pakete verschlüsselt (decrypted) und entschlüsselt (encrypted) wurden.

VPN Site to Site Standortkopplung per IPsec Tunnel:

(Die Konfiguration der ZFW Firewall für die IPsec VPN Standort Kopplung wird unten im Kapitel zur Zone Based Firewall beschrieben !)
Eine Standort VPN LAN to LAN Kopplung zweier oder mehrerer Standorte mit IPsec Verschlüsselung, sei es mit Cisco oder zu anderen VPN Routern, lässt sich ebenso bequem erledigen um z.B. gemeinsame Resourcen wie Server, NAS etc. standortübergreifend zu nutzen. IPsec ist ein weltweiter Standard so das auch VPN Tunnel zu anderen IPsec Routern oder Firewalls supportet ist. Praxiskonfigurationen dazu findet man unten in den weiterführenden Links dieses Tutorials.
Für die VPN Kopplung 2er Cisco Router sind die folgenden Konfigurationsschritte auf beiden Seiten des VPN Tunnels erforderlich, die man der obigen Standardkonfiguration hinzufügt:
!
crypto isakmp policy 10
encryption aes
authentication pre-share
crypto isakmp key test123 address <remote_feste_IP_Adr.>
!
crypto ipsec transform-set vpn esp-aes esp-sha-hmac
!
crypto map vpntunnel 10 ipsec-isakmp
description VPN Verbindung zu Standort B
set peer <remote_feste_IP_Adr.>
set transform-set vpn
match address 107
!
interface Dialer0
description DSL Einwahl Interface
crypto map vpntunnel
!
ip nat inside source list 101 interface Dialer0 overload
!
access-list 101 deny ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 --> Kein NAT für den VPN Tunnel !
access-list 101 permit ip 192.168.100.0 0.0.0.255 any --> NAT ins Internet
!
access-list 107 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255 --> Diese Pakete (Lokales LAN ins remote LAN) in den VPN Tunnel !
!
...
access-list 111 permit udp any any eq 500 --> IPsec darf die Firewall passieren (3 Zeilen wie oben hinzufügen)
access-list 111 permit udp any any eq non500-isakmp
access-list 111 permit esp any any
!
Die gleichen Konfigurationsschritte sind auf der gegenüberliegenden Standortseite, angepasst an die dortigen IP Adressen, auszuführen.
Das Beispiel oben geht davon aus das sich ein lokales LAN mit der IP Adresse 192.168.200. /24 dort befindet.
Diese IP Adressen sind entsprechend auch eigenen Belangen anzupassen. Ebenso natürlich das Platzhalter Passwort "test123" für die IPsec Verschlüsselung.
Der Parameter <remote_WAN_IP> muss in der Konfig durch die xDSL IP oder den Hostnamen / DynDNS ersetzt werden.
Ebenfalls kann man am obigen Beispiel sehen, daß das NAT etwas angepasst werden muss, denn IP Packete die lokal beide Netze über den IPsec Tunnel verbinden, dürfen natürlich nicht über den NAT (Adress Translation) Prozess laufen (ACL 101 nimmt diesen Traffic aus).
Die genauen Konfigs für die Praxis liefert dieses_Forums_Tutorial

Anbindung remoter VPN Standort Router/Firewalls ohne feste IP:

Befindet sich am remoten Standort ein IPsec VPN Router oder Firewall (FritzBox, Draytek, Mikrotik, Lancom, pfSense/OPNsense o.ä. hier mit lokalem Beispiel LAN 192.168.222.0 /24) der keine feste DSL IP hat, also eine wechselnde Provider IP, muss zusätzlich eine dynamische Crypto Map angelegt werden.
Dazu ist die Konfig wie folgt zu ergänzen:
!
crypto isakmp policy 10
encryption aes
authentication pre-share
!
crypto isakmp key test123 address <remote_feste_IP_Adr.>
crypto isakmp key dyntest123 address 0.0.0.0 0.0.0.0
!
crypto ipsec transform-set vpn esp-aes esp-sha-hmac
!
crypto map vpnpeer 10 ipsec-isakmp
description VPN Verbindung zu Standort B
set peer <remote_feste_IP_Adr.>
set transform-set vpn
match address 107
!
crypto dynamic-map dynvpn 20
description Dynamic VPN Dialin
set transform-set vpn
match address 108
!
crypto map vpnpeer 30 ipsec-isakmp dynamic dynvpn
!
access-list 108 permit ip 192.168.100.0 0.0.0.255 192.168.222.0 0.0.0.255

Damit können dann auch remote VPN Router/Firewalls wechselnden Provider IPs problemlos eine VPN Verbindung auf diesen Router herstellen.
Sind beide oder alle Standorte ohne feste IP konfiguriert, dann muss man wenigstens auf einem (zentraler) VPN Router mit DynDNS arbeiten.
Eine Cisco DynDNS Konfig sieht z.B. mit NO-IP.com so aus: Bei DynDNS dann entsprechend:

Home IP-TV Konfiguration (Entertain, Magenta-TV):

Wichtige Info Telekom IP TV (Entertain) !:
Seit Januar 2020 hat die Telekom die alten Entertain Multicast Streams abgeschaltet ! Siehe dazu auch HIER.
Wer also IP TV mit VLC oder KODI im heimischen Netz schaut muss auf die neuen Multicast Adressen umstellen. Magenta TV supportet nur noch SSM Multicast und erzwingt die Verwenung von IGMPv3.
Magenta TV funktioniert aber weiterhin fehlerlos mit den u.a. Einstellungen und kann so auch weiter mit dem Cisco problemlos mit VLC, Kodi, TV-Headend und anderen freien Tools gesehen werden.

Da der Router vollständigen Multicast Routing Support mit an Bord hat, ist die Aktivierung von IP TV auf dem Cisco Router kein großes Problem. Ggf. ist hier eine zusätzliche Advanced IP Lizenz erforderlich sofern diese fehlt. Mit show license lässt sich das überprüfen und ggf. eine Lizenz über jeden Cisco Distributor oder Cisco Systemhaus problemlos für kleines Geld beziehen.
Mit der neuen BNG Umstellung der Telekom ist die Magenta IP-TV Konfiguration um einiges einfacher geworden. Das folgende Beispiel zeigt eine funktionsfähige Konfiguration. (Kommandos in rot kommen zu den bestehenden in blau dazu !)
Generell funktioniert diese Konfiguration auch für alle anderen Cisco Router Modelle am IP-TV Anschluss der Telekom, da die IOS Syntax universell ist.
!
ip multicast-routing
ip pim ssm default
!
interface Vlan1
description Lokales LAN
ip address 192.168.100.254 255.255.255.0
ip pim sparse-mode
ip nat inside
ip virtual-reassembly in
ip tcp adjust-mss 1448
ip igmp helper-address 62.155.243.102
ip igmp version 3
ip igmp explicit-tracking
!
interface Dialer0
description VDSL PPPoE Einwahl Interface
ip address negotiated
ip access-group 111 in
no ip redirects
no ip unreachables
no ip proxy-arp
ip mtu 1488
ip pim sparse-mode
ip nat outside
ip inspect myfw out
ip virtual-reassembly in
encapsulation ppp
ip igmp version 3
dialer pool 1
dialer-group 1
no keepalive
ppp authentication pap callin
ppp pap sent-username xxxxxxxx@t-online.de password 0 xxxxxxx
ppp ipcp dns request
ppp ipcp mask request
ppp ipcp route default
no cdp enable
!
ip pim rp-address 62.155.243.102
!

Das Senden von Multicast Streams über das VLAN 8 (Tagging, Subinterface Ethernet0.8) ist nicht mehr supportet bei der Telekom bzw. Magenta TV. Der Vollständigkeit halber sei es aber noch angeführt hier sofern alternative IP-TV Provider diese Option noch nutzen.
!
ip multicast-routing
ip pim ssm default
!
interface Ethernet0.8
description VDSL Multicast Entertain
encapsulation dot1Q 8
ip dhcp client broadcast-flag clear
ip address dhcp
ip pim sparse-mode
no ip mroute-cache
ip igmp version 3
ip igmp query-interval 15
ip igmp proxy-service
!
interface Vlan1
ip pim sparse-mode
ip igmp helper-address 62.155.243.102
ip igmp version 3
ip igmp explicit-tracking
ip igmp query-interval 15
ip igmp proxy-service
!
ip pim rp-address 62.155.243.102

Damit ist die Konfigurationsanpassung zur Nutzung etwaiger IP-TV Entertain Optionen problemlos und schnell möglich.

Die Prozedur der Rendezvous Point IP Adress Ermittlung ist mittlerweile einfacher als im unten angegebenen PDF beschrieben. Mit show ppp all kann man diese ermitteln auf dem Router.
Die Multicast Rendezvous Point IP Adressen werden über DHCP mitgeteilt. Wenn das Sub Interface Ethernet0.8 (VLAN Tag 8) korrekt konfiguriert ist, kommt es mit einer 10.X.X.X IP Adresse hoch ("show ip int brief"), und es werden 2 Routen gelernt. Ein show dhcp lease zeigt dann abhängig vom jeweiligen Ort z.B. so etwas an:
Temp ip static route0: dest 193.158.132.189 router 10.34.63.254
Temp ip static route0: dest 87.141.128.0 router 10.34.63.254
(Dank an Forumsmitglied @cpt-haddock für seinen Hinweis im u.a. Tutorial Feedback Thread !)
Die IP-TV Multicast Adress Listen für Telekom Entertain z.B. für VLC, KODI und dvbviewer Clients findet man HIER.
(Achtung ! Multicast Adressänderung hier ab 09.01.2020)

Weitere Grundlagen und Tips zur IP-TV Konfiguration wie u.a. die Multicast Rendevous Point IP Adress Ermittlung beschreibt zusätzlich dieses_PDF_Tutorial.

Grafisches Web Browser Interface (GUI) installieren:

Die Kommandozeile ist sicher nicht immer jedermanns Freund und natürlich hat der Cisco auch ein grafisches Browser Interface zum Konfigurieren. Es nennt sich Cisco Configuration Professional Express kurz CP Express Admin View.
Neue Router kommen damit ausgestattet zum Käufer aber viele gebraucht erworbene oder solche wo es vom Flash gelöscht wurde, haben es nicht. Ob es bereits installiert ist, sieht man mit dem Befehl show flash:
Die Installation oder ein Update auf die aktuelle Version ist aber im Handumdrehen erledigt. Ggf. vorhandene alte Versionen sollte man dazu, wie unten beschrieben, immer VORHER vollständig löschen vom Flashspeicher des Routers !
Los gehts...
Zuerst läd man dazu das Cisco CP Express Tool von HIER herunter, was als Endanwender auch mit einem normalen Gastkonto funktioniert, das man vorher einrichten muß. Aktuell ist derzeit das Release 3.5.2 (Stand 07.2018)
Dann entZIPt man das ZIP Archiv und kopiert die .tar und die .gz Datei in ein Verzeichnis.

Um die Dateien auf das Router Flash zu bekommen ist ein TFTP Server erforderlich. Ideal hier der Klassiker TFTP32 oder der Pumpkin unter Windows. Apple und Linux User haben TFTP von sich aus gleich an Bord.
Die Prozedur den TFTP aufzusetzen ist immer gleich und HIER am Beispiel der Cisco Telefone genau beschrieben.
Gleiches macht man ebenso für den Router hier. Auch z.B. wenn man die Router Firmware einmal updaten möchte oder auch die Modem Firmware wie oben beschrieben anpasst.
Router und TFTP Server sollten sich zum Vorabcheck pingen lassen untereinander. Bei Windows an die lokale Firewall denken das diese TFTP Traffic passieren lässt !
Der Rest ist schnell gemacht:
router> enable
Password: password
router# copy tftp: flash
Address or name of remote host []? <---Hier die TFTP Server IP Adresse angeben
Source filename []? ccpexpressAdmin_x_y_en.tar <--- Hier den CP Express .tar Dateinamen angeben. (x und y ist die Versionsnummer)
Destination file name []? ccpexpressAdmin_x_y_en.tar <--- Einfach Dateiname mit <Return> Taste bestätigen !

Damit wird dann die .tar Datei auf das Router Flash übertragen.
Wer es ganz einfach machen will nimmt einen USB Stick kopiert den Cisco Express Admin View Tar File ohne Unterverzeichnis einfach darauf und steckt den Stick in den Router USB Port.
Ein copy usbflash0:ccpexpressAdmin_x_y_en.tar flash: (Dateiname wie im Download, x.y = Versionsnummer)
kopiert dann die Datei in den Router Flash Speicher.

Im Anschluss muss diese .tar Archiv Datei noch mit dem folgenden Kommando extrahiert werden. (.tar ist unter Unix sowas wie .zip unter Windows)
router# archive tar /xtract flash:ccpexpressAdmin_x_y_en.tar flash:/ (x_y = Versionsnummer)
Nun muss nur noch der HTTP Server auf dem Router mit
router> conf t
router-conf#> ip http server
aktiviert werden. Wer es gerne sicher verschlüsselt hätte, der nimmt entsprechend:
router-conf#> ip https server
Die Authentisierung sollte noch auf den lokalen Usernamen und Passwort eingestellt werden mit ip http authentication local und das das Web GUI ausschliesslich aus dem lokalen Netz erreichbar ist: ip http access-class 23
Jetzt ist das grafische Web GUI über die LAN IP des Routers mit dem Web Browser erreichbar.
Die HTTP Konfig sieht dann so aus:
!
aaa new-model
aaa authentication login default local
!
enable secret Geheim123
!
username admin password Geheim123
!
ip http server
(ip http secure-server) ---> WebGUI verschlüsselt. Durch die ACL 23 und damit nur lokalem Zugriff ist das nicht zwingend.
ip http access-class 23 ---> Ggf. weglassen wer das GUI von überall erreichen will. (Nicht empfehlenswert, Sicherheit !)
!
ACHTUNG: Der Webserver erfordert als Login immer den Usernamen der username xy password xyz Konfig aber als Passwort das enable secret Passwort !!!
Dies beachten wenn man keinen Frust beim Web Login erleben will.
Da hier in der Beispiel Grundkonfig oben enable secret Geheim123 und auch im Usernamen admin im Beispiel Geheim123 als Passwort gesetzt ist passt das hier im Beispiel zufälligerweise.
Wer aber aus gutem Grund hier unterschiedliche Passwörter für das enable secret und dem Usernamen verwendet hat sollte das zwingend beachten:
Web GUI Login Username=Username und das Passwort ist das enable-secret Passwort !

Zum Entfernen des GUIs vom Router Flash sind folgende 2 Schritte erforderlich.
router# delete /force /recursive home.shtml
router# delete /force /recursive flash:ccpexp
Die noch auf dem Flash befindliche .tar Archiv Datei kann man nach dem Installieren oder Update beruhigt löschen mit:
router# del flash:<Dateiname.tar>

Ein moderneres, Zonen basiertes Firewall Konzept benutzen (ZFW):

Die klassische, oben beschriebene, rein Interface bezogene Cisco stateful Inspection Firewall, auch als Context-Based Access Control, oder CBAC bekannt, wurde mit dem IOS Release 12.4.9T mit der flexibleren Zonen basierten Firewall (ZFW) ersetzt und wird die alte CBAC Firewall auf Sicht vollständig im IOS ersetzen. Beide Versionen koexistieren zur Zeit und mal hat (noch) die Wahl welche Art der Firewall man nutzen möchte.
Es macht also Sinn bei einer Neuinstallation die Firewall Konfig ggf. gleich durch eine modernere und flexiblere ZFW Konfiguration zu ersetzen. Zumal die ZFW Syntax weitgehend der der ASA Router entspricht.
Die ZFW Firewall bietet zudem eine Deep Packet Inspection bis auf URL und Content Basis und hat verbesserte Reporting Mechanismen gegen DoS Attacken. Zusätzlich ermöglicht sie durch die Zonen Struktur eine erheblich bessere und erhöhte Sicherheit als anfällige, Interface basierte Access Listen in der alten CBAC Struktur.

Die Zonen basierte Konfig unterscheidet sich erheblich von der klassischen Firewall Konfiguration mit ihren inspect Kommandos. Diese und die CBAC Accesslisten entfallen vollständig bei der moderneren ZFW Konfiguration ! In der o.a. Konfig Vorgabe ist das entsprechend markiert und sollte unbedingt beachtet werden.
Ein Mischen der neuen ZFW Firewall mit dem alten CBAC Modell sollte man besser immer vermeiden wenn möglich und sich fest für ein Firewall Konzept entscheiden:
Also entweder rein CBAC oder rein das modernere ZFW Firewall Modell zu nutzen. Kein Mischbetrieb !
Die Regeln sind einfach:

• Traffic innerhalb von Interfaces einer Zone wird normal geforwardet
• Traffic zwischen unterschiedlichen Zonen wird ohne Policy Regeln generell geblockt.
• Gleiches gilt für Interfaces die kein Zone Member sind mit entsprechend zugewiesenen Zonen Interfaces

Die ZFW Firewall wird hier anhand eines klassischen Beispiels mit einem internen Netzwerk, einem Gast Netzwerk, das auch DMZ sein kann, und dem Internet konfiguriert. Von außen ist remoter Zugriff via IPsec VPN erlaubt.
Gäste sollen hier im Beispiel nur mit dem Browser ins Internet dürfen und aus dem lokalen LAN soll ein Management von Komponenten (z.B. WLAN) im Gastnetz möglich sein, nicht aber darf das Gastnetz Zugriff auf das lokale LAN haben.

Bevor es los geht nochmal die Erinnerung:
Die oben im alten CBAC Firewall Modell enthaltene Interface Accessliste 111 und ip inspect name ... Kommandos entfallen bei einer Zonen ZFW Firewall Konfig vollständig !!
Man sollte, wie bereits betont, nur ein Firewall Konzept nutzen und NICHT zu mischen !
Etwaige CBAC ip inspect Kommandos müssen vollständig aus einer neuen ZFW Firewall Konfig entfernt werden.

Schotten dicht....!! (Die Beispiel Konfig enthält der Übersicht halber nur die Firewall relevanten Konfigurations Parameter!)
Zuerst richtet man die entsprechenden Zonennamen ein. Wir haben hier im Beispiel 3 davon (Gast, Lokales LAN und Internet) also somit 3 Zonen.
Kosmetischer Tip: Es macht Sinn die Map und Zonen Namen immer groß zu schreiben um sie von den Kommandos einfacher zu unterscheiden.
Zuerst bestimmt man die Netzwerk Protokolle zu die man zulassen und überwachen möchte. Wichtig: Die Reihenfolge zählt hier !:
!
class-map type inspect match-any GAST-ERLAUBT
match protocol http
match protocol https
match protocol dns
match protocol ntp
class-map type inspect match-all IPsec_VPN
match access-group name ISAKMP_IPSEC
class-map type inspect match-any LOKAL-ERLAUBT
match protocol http
match protocol https
match protocol dns
match protocol pop3s
match protocol imaps
match protocol smtp extended
(match protocol sip) --> (ggf. weglassen wenn interne VoIP Anlage oder Telefone Probleme machen)
match protocol sip-tls
match protocol rtsp
match protocol ftp
match protocol ftps
match protocol ssh
match protocol ntp
match protocol tcp
match protocol udp
match protocol icmp
class-map type inspect match-any ROUTER-PROTOCOLS
match class-map IPsec_VPN
match protocol tcp
match protocol udp
match protocol icmp
!
Dazu kommen nun die Policies was gemacht werden soll zwischen den Zonen:
!
policy-map type inspect GAST-INTERNET-POLICY
description Traffic Gast zum Internet
class type inspect GAST-ERLAUBT
inspect
class class-default
drop
policy-map type inspect ROUTER-INTERNET-POLICY
description Traffic Router zum Internet
class type inspect ROUTER-PROTOCOLS
inspect
class class-default
drop
policy-map type inspect LOKAL-INTERNET-POLICY
description Traffic Lokales LAN zum Internet
class type inspect LOKAL-ERLAUBT
inspect
class class-default
drop
policy-map type inspect INTERNET-ROUTER-POLICY
description Traffic Internet zum Router
class type inspect IPsec_VPN
pass
class class-default
drop
!
Dann werden die Zonen definiert (hier 3):
!
zone security LOKAL
zone security GAST
zone security INTERNET

Last but not least richtet man die Zonen Paare ein und aktiviert die dazu korrespondierende Security Policy und weist den Interfaces die Zonen zu:
!
zone-pair security LOKAL-INTERNET source LOKAL destination INTERNET
service-policy type inspect LOKAL-INTERNET-POLICY
zone-pair security GAST-INTERNET source GAST destination INTERNET
service-policy type inspect GAST-INTERNET-POLICY
zone-pair security INTERNET-ROUTER source INTERNET destination self
service-policy type inspect INTERNET-ROUTER-POLICY
zone-pair security ROUTER-INTERNET source self destination INTERNET
service-policy type inspect ROUTER-INTERNET-POLICY
!
interface Vlan1
description Lokales LAN
zone-member security LOKAL
!
interface Vlan10
description Gastnetz
zone-member security GAST
!
interface Virtual-Template1
description IPsec VPN Dialin
ip unnumbered Vlan1
zone-member security LOKAL
!
interface Dialer0
description DSL Internet Interface
zone-member security INTERNET
!
ip access-list extended ISAKMP_IPSEC
permit udp any any eq isakmp
permit udp any any eq non500-isakmp
permit esp any any
!
ACHTUNG !:
Die oben im alten CBAC Firewall Modell enthaltene Interface Accessliste 111 und ip inspect name ... Kommandos entfallen bei einer Zonen ZFW Firewall Konfig vollständig !!
Kein Mischen der beiden Firewall Konzepte !

Das Show Kommando: show policy-map type inspect zone-pair LokalZuInternet zeigt dann z.B. die Statistiken der inspizierten Protokolle aus dem lokalen LAN ins Internet.
sh policy-map type inspect zone-pair sessions zeigt alle Sessions an über alle Zonenpaare.

Neue Firmwaredatei vor der Installation auf dem Router verifizieren

Da mit Ausnahme des Cisco CCO Downloads nicht alle Quellen von Firmware Dateien immer zuverlässig oder fehlerfrei sind sollte man vor der Übertragung einer neuen Firmware-Datei auf den Router per TFTP oder USB immer einen Firmware Check vor der Installation durchführen.
So vermeidet man proaktiv eine aufwendige Wiederherstellung des Routers. Nach der Übertragung der Firmware Datei in den Flash Speicher sollte folgender Befehl ausgeführt werden:
verify flash: c800-universal9-mz.SPA.159-3.M2.bin
(Hier statt des Beispiels immer den aktuellen Firmware Datei Name verwenden !)
Dabei werden zwei SHA2 Hash‘s errechnet und ein MD5 Hash.
Der untenstehende MD5 Hash sollte mit dem Wert der entsprechenden Datei auf der Cisco Webseite verglichen werden. Stimmen beide SHA2 Werte und der MD5 Wert überein, kann man bedenkenlos die Firmware aktualisieren.

Cisco 880er Hardware

Mehr RAM Speicher für den Cisco 886va:

Vorbemerkung:
Die folgende Anleitung gilt nur für die älteren nicht K9 Modelle ! Wer also einen 88x K9 hat oder z.B. einen 886vaw (wireless) hat keinen internen RAM Slot mehr, sondern immer fest 512 MB onboard ohne Aufrüstmöglichkeit !
In der Regel erkennt man diese neueren Modelle daran das sie keinen Gehäuse Lüfter mehr haben.

Wer das 880er Model gebraucht erwirbt, sollte einen Blick auf die RAM Ausstattung des Routers werfen ! Die einfache Variante kommt mit 256 MB Onboard RAM daher. Für eine anspruchsvolle Konfiguration kann das schnell zu wenig sein, denn der Router braucht dann mehr RAM fürs Puffern von Daten, Firewall Prozess, Routing Tabelle usw.
Der Router bietet einen freien SO-DIMM Steckplatz wie man ihn auch aus Laptops oder Notebooks her kennt. Diesen kann man max. mit einem Standard 512 MB SO-DIMM bestücken um dann in Summe auf 768 MB RAM Speicher zu kommen. Diese Aufrüstung ist in jedem Falle empfehlenswert sollte der Router weniger RAM haben.

Auskunft über die aktuelle RAM Ausstattung bekommt man mit dem show version Kommando.
Dort sieht man u.a. eine Zeile mit folgendem Inhalt:
Cisco 886VA (MPC8300) processor (revision 1.0) with 708608K/77824K bytes of memory.
Wer diesen Output bekommt hat schon die Maximalausstattung.
Steht allerdings ein "...with 208608K/77824K bytes of memory" dort, läuft der Router nur mit dem schmalen 256 MB onboard Memory. (Leerer RAM Slot)
Der Cisco 886va verwendet Standard SO-DIMM Module mit 512MB wie man sie z.B. HIER recht preiswert neu bekommt.
Man erhält aber solche SO-DIMM Module mit der Spezifikation DDR2-533 PC2-4200S CL4 2Rx16 auch für noch weniger Geld wenn man bei den einschlägigen Auktionshäusern danach sucht. Sie sind sehr häufig auch in Laptops und Notebooks verwendet worden und bei einer RAM Aufrüstung dann übrig geblieben.

Die Aufrüstung des Cisco's ist schnell gemacht.
Man löst die 3 Gehäuseschrauben und klappt den Gehäusedeckel von hinten nach vorne in Richtung Frontpanel auf. Der SO-DIMM Slot befindet sich rechts. (Es gibt nur einen einzigen !)
Dort setzt man jetzt das SO-DIMM ein und arretiert es durch Runterdrücken wie bei einem Laptop oder Notebook.
Beim Booten sollte der Router dann die automatisch erkannten 768 MB melden oder eben mit dem o.a. show version Kommando.
Das 89x Modell kommt ab Werk mit 512MB onboard und kann auf max. 1Gig aufgerüstet werden. Auch hier sollte man mit dem show version Kommando vorher prüfen wieviel RAM verbaut ist.

PoE Nachrüstung:

Ab Werk ist kein 880er Router mit der nötigen PoE Erweiterungskarte ausgestattet. Ist man sich nicht sicher ob das Gerät bereits über eine PoE Erweiterungskarte verfügt, kann ein "show power inline" Befehl Aufschluss geben. Ohne PoE im Router quittiert dieser dies mit einer Fehlermeldung.
PoE LAN Ports können dann VoIP Telefone oder WLAN APs usw. bedienen.
Nach dem Öffnen des Routers, wie oben bei der RAM Nachrüstung, müssen beim 886 VAJ-K9 Model 5 Distanzstehbolzen in den dafür vorbereiteten Bohrungen handfest verschraubt sein bevor die Karte eingesetzt werden kann. Nun wird die Karte mit weißen Kontaktstecker korrekt eingeklipst und handfest mit den Schrauben verschraubt. Die Steckverbindung ist im Router absolut eindeutig da nur einmal vorhanden und ein Verwechseln damit sicher ausgeschlossen.
Je nach Variante muß noch intern ein Stromkabel montiert werden. Nach dem Anschluß des mitgelieferten, stärkeren Stecker Netzteils hat man nun auf den mit "PoE" beschrifteten LAN Ports eine Standard konforme PoE Stromversorgung anliegen.
Es können nur Geräte mit dem IEEE PoE Standard 802.3af angeschlossen werden. Zusätzliche Informationen zur PoE Aufrüstung findet man im YouTube Video in den weiterführenden Links.

Weiterführende Links:

Wie Anfängerprobleme bei der Cisco Konfig vermeiden ?:
https://www.administrator.de/content/detail.php?id=318708&token=385
https://www.administrator.de/content/detail.php?id=342545&token=867
https://www.administrator.de/forum/routing-telekom-vdsl-cisco-896va-3757 ...

Überblick grundlegende Cisco 800 IOS Kommando Syntax:
https://www.cisco.com/c/en/us/td/docs/routers/access/800/software/config ...
http://www.coufal.info/cisco_ios/index.shtml

880er Modelle, Annex-J Modem Software und VDSL Vectoring:
https://www.administrator.de/content/detail.php?id=307041&token=55
https://administrator.de/forum/vdsl-controller-bei-c886va-und-c896va-ein ...

800er Modelle für PoE erweitern:
https://www.youtube.com/watch?v=SObsjWkXciU

Cisco Router Konfig an einem T-Com Business VDSL Anschluss:
https://www.administrator.de/contentid/194411

Cisco Router Konfig an einem alternativen VDSL Provider (Wilhelm.Tel):
https://www.administrator.de/contentid/214857

IPv6 Konfiguration am Provider (Telekom u.a.) Anschluss:
https://administrator.de/content/detail.php?id=583139&token=620
https://www.administrator.de/wissen/cisco-880-890-router-konfiguration-a ...

IPv6 Konfiguration über Tunnel Broker (Hurricane Electric):
https://administrator.de/content/detail.php?id=448181&token=81

Port Forwarding vom Internet auf Rechner im lokalen LAN:
https://www.administrator.de/content/detail.php?id=239150

Cisco Router mit L3 VLAN Switch Cisco SG-Modellreihe sinnvoll koppeln:
https://www.administrator.de/content/detail.php?id=324168&token=62

Cisco Router mit Layer 3 Switch und DMZ generell:
https://www.administrator.de/content/detail.php?id=324168&token=716

Richtiger Umgang mit IP Access Listen auf dem Router:
https://www.administrator.de/contentid/227641

iPhone und iPad bzw. generelles Client VPN Dialin mit IPsec:
https://www.administrator.de/contentid/197412
und auch:
https://www.administrator.de/wissen/ipsec-vpn-mobile-benutzer-pfsense-fi ...

IPsec VPN als Client oder Standort zu Standort mit Cisco, pfSense, Mikrotik, IP-Cop oder FritzBox:
https://www.administrator.de/index.php?content=115798
https://www.administrator.de/wissen/ipsec-vpn-praxis-standort-kopplung-c ...
und auch:
https://www.administrator.de/contentid/113776

VPN Standort Kopplung mit VTI Tunnel Interface:
https://www.administrator.de/content/detail.php?id=332230&token=14#c ...
https://administrator.de/forum/2921-kaskadierung-fritzbox-ipsec-tunnel-6 ...

VPN IPsec Standort Kopplung Cisco-Mikrotik mit GRE Tunnel und dyn. Routing (RPv2 / OSPF):
https://administrator.de/wissen/cisco-mikrotik-vpn-standort-vernetzung-d ...
https://administrator.de/forum/zwischen-miktrotik-pfsense-gre-tunnel-ips ...

VPN IPsec IKEv2 Standort Kopplung Cisco mit pfSense oder Mikrotik:
https://administrator.de/wissen/ipsec-ikev2-standort-vpn-vernetzung-cisc ...

VPN mit Site to Site IPsec auf Cisco PIX / ASA konfigurieren:
https://www.administrator.de/index.php?content=117644

Tips zum SIP Setup (VoIP/Telefonie) Setup des Cisco 886 Routers:
https://www.administrator.de/contentid/225187

Cisco 880 mit Voice Option konfigurieren:
https://www.administrator.de/content/detail.php?id=294088&token=847

Zusatzinfo zum IP-TV Entertain mit Cisco Multicasting via VDSL:
https://www.administrator.de/contentid/356506
https://administrator.de/content/detail.php?id=614202&token=983
http://www.cisco-forum.net/topic_4350.0.html
(Non Cisco) Mikrotik Multicast Routing für TCom Entertain IP-TV:
https://www.administrator.de/content/detail.php?id=262139&token=173

Beispiele zum VLAN Setup der Switchports und WLAN mit MSSID:
https://www.administrator.de/wissen/vlan-installation-und-routing-mit-m0 ...

Filterliste bei DHCP statt PPPoE am WAN / Internet Port:
https://www.administrator.de/forum/cisco-2811-holt-dchp-adresse-fastethe ...

Tiefergehende Info und HowTo zur Cisco ZFW Firewall:
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_data_zbf/configura ...
http://brbccie.blogspot.com/2013/04/zone-based-firewall.html
https://www.cisco.com/en/US/prod/vpndevc/ps5708/ps5710/ps1018/prod_confi ...

Weitere Cisco Beispielkonfigurationen:
https://www.administrator.de/content/detail.php?id=326292&token=424
https://www.administrator.de/forum/cisco-internet-computer-329497.html
https://www.administrator.de/content/detail.php?id=374729&token=94 (Routing mit öffentlichem Subnetz)