La gestione operativa di una rete non riguarda solo instradare i pacchetti, ma anche sapere cosa succede sui dispositivi, monitorarli in modo strutturato, garantire priorità al traffico critico e accedere agli apparati in sicurezza. Syslog, SNMP, QoS e SSH sono i quattro pilastri di questo dominio nell’esame CCNA.

Syslog: il diario di bordo del dispositivo

Ogni evento generato da IOS/IOS-XE ha un severity level da 0 a 7: più basso è il numero, più grave è l’evento. Memorizzare l’ordine esatto è fondamentale.

Livello Nome Significato
0 Emergency Sistema inutilizzabile
1 Alert Azione immediata richiesta
2 Critical Condizione critica
3 Error Errore (es. interfaccia down)
4 Warning Avviso
5 Notification Evento normale ma significativo
6 Informational Messaggio informativo
7 Debug Output di debug

Un mnemonico diffuso: Every Awesome Cisco Engineer Will Need Ice-cream Daily. Quando configuri logging trap 4, il dispositivo invia al syslog server tutti i messaggi dal livello 0 al 4 compreso (cioè “warning e peggiori”). I messaggi viaggiano in UDP porta 514. Le destinazioni possibili sono console, terminal lines (monitor), buffer interno (logging buffered) e server esterno (logging host). Il timestamp accurato dipende da NTP: senza sincronizzazione i log sono difficili da correlare.

SNMP: monitoraggio strutturato

SNMP (Simple Network Management Protocol) mette in comunicazione un NMS/manager con gli agent sui dispositivi. I meccanismi chiave:

  • GET: il manager interroga l’agent (polling).
  • SET: il manager scrive un valore (richiede community/permessi read-write).
  • TRAP: l’agent notifica spontaneamente un evento al manager (non confermato).
  • INFORM: come la trap ma con acknowledgement.

Le versioni contano molto: SNMPv2c usa le community string (RO/RW) come unica autenticazione e le invia in chiaro — nessuna cifratura. SNMPv3 aggiunge i tre livelli di sicurezza: noAuthNoPriv, authNoPriv (autenticazione) e authPriv (autenticazione + cifratura del payload). Per un ambiente di produzione la scelta corretta è sempre SNMPv3 authPriv.

QoS: il modello PHB

Quando un link va in congestione, senza QoS voce e video degradano. Il modello Cisco si basa sul Per-Hop Behavior (PHB): ogni router applica un trattamento coerente in base alla marcatura. Le fasi:

  1. Classification: identificare il traffico (ACL, NBAR, protocollo).
  2. Marking: scrivere un valore di priorità. A layer 3 si usa il campo DSCP (6 bit nell’ottetto ToS, es. EF = Expedited Forwarding per la voce, valori AF per dati); a layer 2 il campo CoS (3 bit nel tag 802.1Q).
  3. Queuing: gestire code separate; LLQ (Low Latency Queuing) fornisce una priority queue per il traffico real-time.
  4. Congestion management/avoidance e condizionamento del traffico.

Il trust boundary stabilisce fin dove fidarsi delle marcature ricevute: idealmente il più vicino possibile all’endpoint (es. IP phone che marca EF).

Policing vs Shaping

Distinzione critica d’esame:

  • Policing: se il traffico supera la rate configurata, i pacchetti in eccesso vengono scartati (o re-marked). Non introduce ritardo, ma causa perdita e ritrasmissioni. Tipicamente applicato in ingresso.
  • Shaping: il traffico in eccesso viene bufferizzato e ritardato per rientrare nella rate, “livellando” i picchi. Introduce latenza/jitter ma non scarta. Tipicamente applicato in uscita.

SSH: accesso remoto sicuro

Telnet trasmette username e password in chiaro: va evitato per il management. SSH cifra l’intera sessione. Per abilitare SSH su IOS servono alcuni prerequisiti non ovvi:

hostname R1
ip domain-name example.com
crypto key generate rsa modulus 1024
username admin secret Cisco123
ip ssh version 2
line vty 0 4
 transport input ssh
 login local

L’hostname e l’ip domain-name sono obbligatori perché il nome della coppia di chiavi RSA deriva da hostname.domain-name. Per SSHv2 il modulo RSA deve essere almeno 768 bit. Con transport input ssh sulle linee VTY si blocca Telnet, e login local forza l’autenticazione tramite database utenti locale.

Trappole tipiche d’esame

  • Scenario: “logging trap 5” — quali log arrivano al server? → Tutti i livelli 0–5 (notification e peggiori), non solo il 5.
  • Scenario: l’esaminando confonde 0 e 7. → 0 = Emergency (più grave), 7 = Debug (meno grave/più verboso).
  • Scenario: serve confidenzialità nel monitoraggio → scegliere SNMPv3 (authPriv), non v2c che manda le community in chiaro.
  • Scenario: traffico in eccesso da scartare in ingresso → policing; da ritardare/bufferizzare e livellare in uscita → shaping.
  • Scenario: SSH non si attiva pur avendo generato le chiavi → verificare hostname + ip domain-name configurati e modulus ≥ 768 per SSHv2; ricordare che il management sicuro impone SSH al posto di Telnet.