pyats を使うことでネットワーク機器の操作を自動化することが出来ます。 CML 上に作成したラボであれば virl2_client を使うことで pyATS 用の testbed 用意などを簡略化しつつ、簡単にノードの操作を自動化することが出来ます。 但し、実際に virl2_client から pyats の機能を呼び出すには少しコツがあるようです。 今回は CML 上のノードを pyats 経由で操作するスクリプトの「問題があるバージョン」「修正したバージョン」をメモしておきます。
Cisco CML 2.7.2 がリリースされていたので、Cisco CML のバージョンアップ手順をメモしておきます。 今回は「2.7.1 → 2.7.2」へのバージョン変更です。 正式な手順は公式サイトの Upgrading to New Version に記載されています。
尚、今回は「Reference Platform の追加」については説明しません。 公式サイトの Copy Refplat ISO to Disk に詳細が書かれていますが、Reference Platform に含まれるイメージを追加したい場合は Cockpit 上から操作を行う必要があります。
以前に以下のメモを書きました。
VyOS は Get VyOS から VyOS nightly builds 版をダウンロード出来、現時点ではバージョン 1.5 系 (circinus) が公開されています。 ですが、公開されているのは .iso ファイルだけであり .qcow2 ファイルはリリースされていません。 そこで今回は CML 上で利用出来る VyOS の .qcow2 イメージを作成します。 尚、後述する理由から「cloud-init は無効」のイメージを作成します。
Cisco CML で動作させるノードのイメージファイルは Reference Platform として提供されています。 現時点では下記の 2 種類、リリースされています。
| ファイル名 | 収録しているイメージ |
|---|---|
refplat-20240322-supplemental.iso |
Cisco Catalyst SD-WAN 関連のイメージのみを収録 |
refplat-20240623-fcs.iso |
SD-WAN 以外の Cisco 製品とサードパーティ製イメージ |
これらに含まれる各イメージがデフォルトで要求する CPU / メモリリソースを一覧にまとめておきます。
通称「regreSSHion」こと CVE-2024-6387 ですが、Remote Unauthenticated Code Execution Vulnerability in OpenSSH Server (regreSSHion): July 2024 には ASA の修正バージョンは以下と記載されています。
- 9.18.4.34
- 9.20.3 (Aug 2023)
CSCwk62296 - Address SSP OpenSSH regreSSHion vulnerability には以下の記載があります。
Conditions:
Please not that not all past software releases are affected, this is due to the fact that OpenSSH is either not in use or included in a version that is not affected by this CVE.
For ASA:
- releases up to 9.16 (included) are NOT affected
- releases 9.17 and 9.18 are affected, only if CiscoSSH is configured on the ASA. By default, CiscoSSH is not configured.
For FTD:
- releases up to 7.0.6 (included) are NOT affected
今回は「ASAv の CiscoSSH スタック有効時 / 無効時」各々で CVE-2024-6387 の影響有無を確認してみます。
Cisco CML の Reference Platform には Windows のクライアント / サーバは含まれません。 その為、CML 上で Windows Server を利用したい場合は自身で追加する必要があります。 Windows Server 2019 評価版のダウンロード先は GitHub の cml-community に書かれていますが、詳細な手順は書かれていません。 今回はこの手順を噛み砕いてメモします。
Cisco CML で動作させるノードのイメージファイルは Reference Platform として提供されています。 現時点で最新となる Reference Platform「refplat-20240623-fcs.iso」に含まれる Cisco 機器のうち、個人的によく使うものの初期コンフィグをメモしておきます。
現時点で最新の Cisco CML は バージョン 2.7.0 です。 CML は「CML 本体」と別に「起動するノードイメージ」を集めた Reference Platform を併せて利用するのが一般的です。 CML へノードを追加するには「ノードそのもののイメージファイル」とは別に、下記のふたつが必要になります。
今回は現時点で最新の Reference Platform に含まれている Node definition と Image definition の .yaml ファイルをメモしておきます。
CML 上でワークベンチ上へノードライセンス数を超えるデバイスを配置することは可能ですが、「同時に起動出来るノード数は、ノードライセンス以下」です。 但し、一部のノードはノードライセンスを消費しません。 今回は「CML でのノードライセンス上限や消費数の確認方法」や「ノードライセンスを消費する・しないノード」をメモしておきます。
Cisco CML で Timezone 設定を変更する手順をメモしておきます。 但し、CML 上で Workbench を新規作成した際、Workbench 名に含まれる日時は Timezone を無視し、UTC になるようです。
詳細は後述しますが、Web サイトを日本語表示した状態で Cockpit から Timezone 設定を変更しようとするとエラーになってしまいました。 英語表示へ変更することで解決し、設定出来ました。 但し、CLI で設定変更した方が簡単だと思います。