Konfiguracja Cisco i przełączników Catalyst

Co najczęściej wymaga poprawki

W konfiguracjach, które zastajemy, wracają te same rzeczy. Natywny VLAN zostawiony domyślny na trunkach. Listy dostępu ułożone tak, że reguła zezwalająca na wszystko stoi przed regułami szczegółowymi. Dostęp administracyjny po telnecie, ze wspólnym hasłem. Konfiguracja zmieniana od miesięcy i ani razu niezapisana, więc restart urządzenia cofa wszystko.

Żadna z tych rzeczy nie przeszkadza w codziennej pracy. Wszystkie stają się problemem dokładnie wtedy, gdy nie ma na to czasu.

Dlaczego przełącznik dostępowy dostaje najwięcej uwagi

To do niego wpięta jest cała firma: komputery, telefony, drukarki, punkty dostępowe i kamery. Konfiguracja Catalysta decyduje o dwóch rzeczach: czy ruch jest podzielony na segmenty i co się stanie, gdy ktoś popełni błąd, na przykład zapętli kabel.

Dlatego najwięcej uwagi poświęcamy nie wydajności, tylko zabezpieczeniom i opisowi. Przełącznik pracuje latami bez ingerencji, więc liczy się to, jak zachowa się w dniu, w którym coś pójdzie nie tak. Pięć ustawień wchodzi na każdy przełącznik, niezależnie od modelu i wieku:

• Opis każdego portu. Co jest wpięte i gdzie fizycznie się znajduje. To pół godziny przy konfiguracji i kilka godzin oszczędności przy każdym późniejszym problemie, bo przy awarii albo przeprowadzce nikt nie pamięta, co jest wpięte w port dwudziesty trzeci.
• Wyłączenie nieużywanych portów. Wolne gniazdo w korytarzu nie powinno dawać dostępu do sieci firmowej.
• Ochronę przed pętlą. Zabezpieczenie, które wyłącza port, zamiast pozwolić ruchowi krążyć w kółko.
• Kontrolę DHCP. Żeby przypadkowy router wpięty przez pracownika nie zaczął rozdawać adresów całemu piętru.
• Ograniczenie adresów na porcie. Prosty sposób na wykrycie nieautoryzowanego przełącznika pod biurkiem.

Starsze modele Catalyst konfigurujemy tak samo, także te bez aktywnego wsparcia producenta. Uprzedzamy wtedy, że urządzenie nie dostanie już poprawek bezpieczeństwa i nie zostanie wymienione przy awarii, więc w warstwie brzegowej jest to ryzyko, a nie oszczędność.

Zasilanie po kablu, czyli liczba, o której się zapomina

Każdy przełącznik ma budżet mocy dla urządzeń zasilanych po kablu. Telefon potrzebuje kilku watów, kamera więcej, punkt dostępowy najwięcej. Przy dokładaniu kolejnych urządzeń budżet kończy się cicho: sprzęt po prostu przestaje się uruchamiać, zwykle ten podłączony jako ostatni.

Liczymy to przed zakupem i zostawiamy zapas, bo wymiana przełącznika z powodu brakujących kilkunastu watów jest najbardziej frustrującym możliwym wydatkiem.

Jak pracujemy w konsoli

Najpierw zrzut obecnej konfiguracji do pliku poza urządzeniem. Potem zmiany, wprowadzane etapami i zapisywane po sprawdzeniu, że sieć nadal działa. Na końcu druga kopia i opis, który mówi, po co jest każda reguła, a nie tylko co zawiera.

Przy pracy zdalnej ustalamy wcześniej plan powrotu. Przy zmianach na urządzeniu brzegowym umawiamy okno serwisowe, bo tam pomyłka odcina całą firmę, a nie jedno stanowisko.

Czym różni się to od pracy na Meraki

Klasyczne Cisco konfiguruje się poleceniami, a stan urządzenia wynika z pliku konfiguracyjnego. Meraki konfiguruje się w panelu, a urządzenie pobiera ustawienia z chmury i bez niej nie da się nim zarządzać. To zupełnie inny sposób pracy i inny model kosztów, opisany przy Cisco Meraki.

Kiedy warto zlecić, a kiedy zrobić samemu

Zmiana opisu portu, dodanie VLAN-u do trunku i podobne prace przy dobrej dokumentacji spokojnie zostają po Waszej stronie. Zlecenie ma sens przy projektowaniu adresacji, przy listach dostępu na brzegu i przy migracjach, czyli tam, gdzie pomyłka kosztuje więcej niż praca.

Co zostaje po pracy

Kopia konfiguracji poza urządzeniem, opis portów, schemat połączeń między przełącznikami i lista VLAN-ów. Przy wymianie sprzętu wgranie kopii na nowe urządzenie skraca powrót do godzin.

Projekt i uruchomienie całej sieci opisaliśmy przy wdrożeniu sieci Cisco, a wymianę uszkodzonego sprzętu przy serwisie urządzeń Cisco.

Treść sprawdzona i zaktualizowana: 7 września 2026