Konfigurace síťových zařízení – praktický návod pro switche a routery

Proč systematická konfigurace záleží

Správa síťových zařízení (routery, switche) vyžaduje konzistentní postupy, aby byla síť stabilní, bezpečná a snadno udržovatelná. Tento návod popisuje ověřený krok za krokem postup od plánování přes prvotní přístup až po automatizaci, monitoring a řešení problémů. Uvádí univerzální principy a ilustrační příkazy pro běžné platformy (např. Cisco IOS/IOS-XE, Juniper Junos, MikroTik RouterOS) formou krátkých vložek v textu.

Krok 1: Plánování a příprava

Definujte cíle: kapacita, dostupnost, segmentace (VLAN), bezpečnostní úroveň, požadavky na QoS.
Vypracujte adresační plán: rozsahy IPv4/IPv6, délky prefixů, vyhrazené management segmenty, loopbacky pro směrovače.
Topologie: fyzická (kabeláž, porty, PoE) a logická (VLAN, L3 rozhraní, routovací domény).
Inventář a verze: modely, sériová čísla, verze OS, dostupné licence/feature sady, podpora.
Bezpečnostní zásady: politika přístupu, správa klíčů a certifikátů, standardy šifrování, požadavky na logování.
Plán rollbacku: jak rychle vrátit konfiguraci při potížích, kde jsou zálohy a kdo má pravomoci.

Krok 2: Fyzické zapojení a základní kontrola

Zkontrolujte štítky portů, typy SFP/optické moduly a podporované rychlosti/duplexní režimy.
Ověřte napájení a chlazení (počet napájecích zdrojů, proudění vzduchu, PoE budget).
Proveďte základní test linky: link up, vyjednání rychlosti, kontrola chybovosti (CRC).
Připravte konzolový přístup (USB/RS-232) jako nouzový kanál, i když bude preferován vzdálený management.

Krok 3: První přístup a zabezpečení managementu

Prvním krokem po připojení je zabezpečit management. Ideálně provádějte konfiguraci na izolovaném portu v management VLAN.

Účty a AAA: vytvořte lokální administrátorský účet a nastavte AAA integraci (RADIUS/TACACS+). Např. Cisco: username admin privilege 15 secret <heslo>, aaa new-model.
SSH a vypnutí Telnetu: vygenerujte klíče a povolte pouze SSHv2. Např. Cisco: crypto key generate rsa, ip ssh version 2.
Management ACL: omezte zdrojové IP, které se mohou připojit k VTY. Např.: access-list 10 permit <IP-subnet správy>, line vty 0 4, access-class 10 in.
Banner a audit: přidejte právní upozornění (banner motd) a zapněte logování změn (Syslog, RADIUS accounting).
Čas a NTP: synchronizujte čas (ntp server, clock timezone) a povolte secure NTP, pokud platforma umožňuje.

Krok 4: Základní identita zařízení

Hostname a doména: např. hostname R1-EDGE-PRA, ip domain-name example.local.
Management rozhraní: statická IP adresa v management VLAN/VRF, maska, výchozí brána, DNS.
Loopback: na routerech definujte Loopback0 pro stabilní identifikátor v IGP/BGP.
Vypnutí nepoužívaných portů: deaktivujte nepoužité porty a nastavte zásady port-security.

Krok 5: Segmentace sítě (VLAN, VRF)

Návrh VLAN: jednoznačné číslování a názvy (např. VLAN 10 USERS, VLAN 20 VOICE, VLAN 99 MGMT).
Trunky: vyhraďte uplinkové porty jako trunk, omezte povolené VLAN (zásada: povolujte jen nezbytné).
Native VLAN: sjednoťte napříč sítí a pokud možno ji nepoužívejte pro produkční provoz.
VRF: oddělte směrovací tabulky (např. vrf definition MGMT) pro management, partnery nebo zákazníky.

Krok 6: L2 hygienické mechanismy

Spanning Tree: nastavte RSTP/MSTP, určete root bridge, aktivujte BPDU Guard, Root Guard a Loop Guard.
Storm Control: limitujte broadcast/multicast/unicast bouře na přístupových portech.
Portfast: povolte na edge portech připojených k hostům, nikdy na trunk portech k dalším switchům.
EtherChannel/LACP: agregujte uplinky pro vyšší kapacitu a redundanci.

Krok 7: L3 konfigurace a směrování

SVI/Layer3 porty: na distribuční vrstvě vytvořte SVI pro jednotlivé VLAN a přiřaďte IP adresy (např. interface Vlan10, ip address 10.10.10.1/24).
IGP (OSPF/IS-IS): inzerujte loopbacky a tranzitní linky, nastavte passive-interface pro přístupové VLAN.
BGP (edge): definujte ASN, sousedy, politiky (import/export), ochranu max-prefix a filtry (prefix-list).
Statické trasy: používejte s rozvahou, ideálně pro výchozí bránu nebo speciální cesty.
ECMP: povolte vyvážení zatížení u paralelních tras, kontrolujte hashovací algoritmy.

Krok 8: Služby v síti (DHCP, DNS, NAT)

DHCP: definujte pooly, rezervace a option 43/60 pro VoIP/AP, omezte relay jen na známé VLAN (ip helper-address).
DNS: nastavte resolvery a split-horizon podle potřeby; filtrujte dotazy ze zakázaných segmentů.
NAT/PAT: na edge routerech konfigurujte pravidla, logování a vyjímky pro interní služby.

Krok 9: Bezpečnostní zpevnění (Hardening)

Řízení přístupu: ACL/Firewall politiku na rozhraních, implicitní deny, povolujte pouze požadované porty/protokoly.
Control Plane Protection: omezujte a filtrujte provoz do CPU (např. CoPP třídy pro BGP, OSPF, ICMP).
802.1X/MAB: autentizace koncových zařízení na přístupových portech, VLAN přiřazení po úspěchu/selhání.
MACsec/IPsec: šifrování na L2/L3 spojích dle politiky nebo legislativy.
Oddělení managementu: MGMT VRF, out-of-band přístup a pouze SSH.
Bezpečné protokoly: preferujte SNMPv3, HTTPS pro GUI, vypněte nepotřebné služby (CDP/LLDP pouze tam, kde dávají smysl).

Krok 10: QoS a řízení provozu

Identifikace (class-map): rozlišujte hlas, video, kritické aplikace, management a best-effort provoz.
Označování (marking): stanovte konzistentní DSCP/CoS model na hranách sítě.
Fronty a shaping: definujte LLQ pro hlas, WRED pro datové třídy, případně policing na vstupech.
Konec-konec: QoS musí být konzistentní napříč doménami (switche, routery, WLAN, WAN).

Krok 11: Monitorování, telemetrie a logování

SNMPv3: nastavte uživatele s authPriv, posílejte trapy/informace na NMS.
Syslog: odesílejte do centralizovaného syslog serveru (minimálně úroveň warning a výše pro kritické události).
NetFlow/IPFIX: exportujte statistiky toků pro kapacitní plánování a detekci anomálií.
Model-driven telemetrie: kde je podpora, využijte streamované YANG/GPB protokoly.
Práh a alerty: definujte metriky (CPU, paměť, teplota, chybovost portů, BGP sezení) a eskalační politiku.

Krok 12: Zálohování, verzování a řízení změn

Konfigurační zálohy: automaticky ukládejte po každé změně do verzovacího systému (např. Git) s komentářem.
Golden image: uchovávejte ověřené verze OS a balíčků odděleně od nejnovějších verzí.
Řízení změn: každá změna musí mít tiket, plán, plánované okno, testování, rollback a post-implementační kontrolu.

Krok 13: Automatizace a škálování

Šablony: standardizujte hostname, banner, AAA, NTP, SNMP, Syslog, QoS a ACL pomocí šablon.
Infrastructure as Code: ukládejte deklarativně (např. Ansible, Terraform, Nornir) a spouštějte přes CI/CD pipeline s validací.
Modely/YANG: kde je podpora, využijte NETCONF/RESTCONF pro idempotentní změny a audit.
Zero Touch Provisioning (ZTP): bootstrap bez manuálních zásahů, ověřování přes certifikáty a podepisování image.

Krok 14: Testování a předání do provozu

Test konektivity: pingy/traceroute v rámci VLAN i napříč, ověření gateway, DNS, DHCP, NAT.
Test protokolů: ověření sousedství OSPF/BGP, konvergence, prahových hodnot CPU/RAM při zátěži.
Test redundance: simulace výpadku linky, přepnutí HSRP/VRRP, LACP failover, STP změny.
Bezpečnostní testy: skeny portů, ověření ACL/Firewallu, chování 802.1X, míra CoPP droppů.
Dokumentace: aktualizujte diagramy, IP plány, hesla v trezoru, provozní manuály.

Praktické mini-recepty (ilustrační příkazy)

Cisco – základ managementu: hostname SW-ACC-01, ip domain-name corp.local, username netops secret ***, aaa new-model, crypto key generate rsa modulus 4096, ip ssh version 2, line vty 0 4, transport input ssh.
Cisco – VLAN a trunk: vlan 10, name USERS, interface Gi1/0/24, switchport mode trunk, switchport trunk allowed vlan 10,20,99.
Cisco – SVI a OSPF: interface Vlan10, ip address 10.10.10.1 255.255.255.0, router ospf 10, network 10.10.10.0 0.0.0.255 area 0.
Junos – SSH a uživatel: set system host-name EX-ACC-01, set system services ssh, set system login user admin class super-user authentication plain-text-password.
Junos – VLAN a L3: set vlans USERS vlan-id 10, set interfaces irb unit 10 family inet address 10.10.10.1/24, set vlans USERS l3-interface irb.10.
RouterOS – management a bridge: /user add name=admin group=full password=***, /ip ssh set strong-crypto=yes, /interface bridge add name=br1, /interface bridge port add bridge=br1 interface=ether2, /ip address add interface=br1 address=10.10.10.2/24.

Standardní bezpečnostní baseline

Vynucené MFA pro administrátory, rotace klíčů a hesel, trezor pro ukládání tajemství.
Konfigurační standard pro bannery, AAA, NTP, Syslog, SNMPv3, NetFlow, CoPP.
Minimalizace plochy útoku: vypněte nepoužívané služby, filtrujte L2/L3 kontrolní provoz.
Segmentace managementu: samostatná VRF/VLAN, přístup pouze z bezpečných jump hostů.
Šifrování end-to-end: SSHv2, HTTPS s TLS 1.2+, IPsec/MACsec dle potřeby.