1. Path with lower cost (regardless it's E1 or N1)
2. If equal cost than path E1

Example with better N1 path matric

Example with equal path matric

Example with better E1 path matric

Then in Group Settings in particular group in section Cisco Airespace RADIUS Attributes you will find previously enabled option. Now the only thing you have to do is to set interface name you created on WLC to which user have to be assigned after successful login.

And thats all. Now you can create one WLAN on your wireless network which will be used for user authentication before they can get access to your network. Using Aironet extensions in ACS you can tell controller to switch VLAN assignment per group basis after successful login. This way our Manager will have access to its VLAN and you are broadcasting only one SSID.

What you need to study except books is IP telephony lab. I had CallManager 6.0, 3 routers with FXS, FXO, E1 and ISDN cards, 1 switch, 4 different IP phones, 2 webcams, 2 laptops with software IP Phone and 2 analog telephones, one connected to SIP gateway and one to FXS port. Thats pretty much what you should have to practice. Of course you can have less phones, use more software phones or so, less routers but then you won't really practice advanced and semi-advanced functionality of Cisco Unified Communication Manager, and in new track there are two exams covering that product, not one like it was previously. With this lab you can practice almost everything except clustering.

What you also need is field practice. There are so many things that may go wrong, are not configured straight forward or just are pretty much complicated that only real experience can help you to understand all mechanisms and protocols that are working below IP Telephony. I think that so far, even in era of easy-to-find tests over internet, CCVP is still certification track which is chosen by those who really work with those technologies. Thats why there are less CCVP's in Poland that CCIE's. Dynamips won't help you here.

Zarządzać możemy albo całymi kategoriami sygnatur albo poszczególnymi sygnaturami. O ile zmiany wprowadzone dla całych kategorii widoczne są w show running-config, co widać w moim poprzednim wpisie, o tyle zmiany w poszczególnych sygnaturach już nie. Jak dla mnie jest to wielka niedogodność - nie widać jakie zmiany zostały wprowadzone w funkcjonalności podsystemu względem oryginalnej konfiguracji. Trzeba przekopywać się przez listing show ip ips signature sprawdzając stan interesującej nas sygnatury.

Konfiguracja sygnatur odbywa się poprzez wchodzenie do odpowiedniego podsystemu danej sygnatury.

C1841(config)#ip ips signature-definition
C1841(config-sigdef)#signature 1000 0
C1841(config-sigdef-sig)#?
Category Options for configuration:
  alert-severity   Alarm Severity Rating
  engine           Engine
  exit             Exit from Category Actions Mode
  fidelity-rating  Signature Fidelity Rating
  no               Negate or set default values of a command
  status           Status

W podsystemie engine definiujemy zachowanie się IPSa gdy dana sygnatura złapie ruch zgodny z jej charakterystyką

C1841(config-sigdef-sig-engine)#event-action ?
  deny-attacker-inline    Deny Attacker
  deny-connection-inline  Deny Connection
  deny-packet-inline      Deny Packet
  produce-alert           Produce Alert
  reset-tcp-connection    Reset TCP Connection

Za pomocą status włączamy oraz wyłączamy dane sygnatury

C1841(config-sigdef-sig-status)#?
Status options for signatures:
  enabled  Enable Category Signatures
  exit     Exit from status submode
  no       Negate or set default values of a command
  retired  Retire Category Signatures

Tu warto zauważyć różnicę między enabled a retired - pierwsza wyłącza sprawdzanie danej sygnatury dla analizowanego ruchu, druga wyłącza dodatkowo jej kompilację, czyli zapobiega ładowaniu do pamięci.

ip ips config location flash:/ips/
ip ips signature-category
  category all
   retired true

Pierwsza komenda wskazuje miejsce na pamięci flash gdzie będą składowane pliki powiązane z IPSem, następne wyłączają używanie jak i kompilację wszystkich kategorii sygnatur. Z tak przygotowanym systemem ładujemy bazę sygnatur bezpośrednio z flasha czy z tftp i podobnych.

copy flash:IOS-S334-CLI.pkg idconf

Aktywacja poszczególnej grupy sygnatur następuje poprzez wyłączenie dla niej opcji retired. Dla małych platform ładujemy jedynie kategorię ios_ips basic, która mniej więcej odpowiada zestawowi 128MB.sdf

ip ips signature-category
  category all
   retired true
  category ios_ips basic
   retired false

Kompilacja sygnatur może chwilę potrwać i w tym czasie mogą pojawić się znaczące opóźnienia w działaniu innych podsystemów. Przeciążenie routera zazwyczaj objawia się crashem albo całej maszyny albo procesu kompilującego. Na moim podręcznym 1841 próba załadowania pełnego zestawu sygnatur po około 20 minutach kompilacji zakończyła się komunikatem

%SYS-2-CHUNKEXPANDFAIL: Could not expand chunk pool for regex. No memory available -Process= "Chunk Manager", ipl= 3, pid= 1,  -Traceback= 0x60D82A54 0x6027CA1C

Co ciekawe router działał do czasu aż nie zachciało mi się ponownie zdeaktywować wszystkich sygnatur, wtedy poczęstował mnie crashem

*May 29 10:02:38.999: %SYS-2-MALLOCFAIL: Memory allocation of 385 bytes failed from 0x625FBA70, alignment 0
Pool: Processor  Free: 156052  Cause: Memory fragmentation
Alternate Pool: None  Free: 0  Cause: No Alternate pool
 -Process= "Exec", ipl= 0, pid= 3,  -Traceback= 0x60D82A54 0x6026B23C 0x60271078 0x60272184 0x6298FE04 0x625FBA78 0x625C6DF0 0x625CB600 0x625AEAB4 0x625C5394 0x625C544C 0x625CF68C 0x625CFF1C 0x625D17A0 0x60DCEAA4 0x60DF25B4

i musiałem się przejść do laba zrestartować maszynę z palca.

O nowych metodach zarządzania sygnaturami napiszę w najbliższym czasie.

peper