Współczesna infrastruktura IT rzadko opiera się na jednym ekosystemie. Administratorzy i inżynierowie bezpieczeństwa codziennie przełączają się między konsolami switchy Cisco IOS, serwerami Linux oraz stacjami roboczymi i kontrolerami domeny Windows (PowerShell). Co więcej — nowe regulacje unijne (NIS2, DORA) oraz standardy CIS Benchmarks i ISO/IEC 27001 wymagają natychmiastowego wykazania zgodności na każdym z tych poziomów.
Oto zintegrowane kompendium: od wymogu prawnego i audytowego do konkretnego polecenia w terminalu, z interaktywną wyszukiwarką i funkcją natychmiastowego kopiowania składni do schowka.
1. Wymogi Biznesowe i Audytowe (NIS2 / DORA / CIS)
🛡️ Checklista Audytowa Zgodności Infrastruktury:
- Kontrola Nieużywanych Portów (NIS2 art. 21 / CIS Control 4): Wszystkie fizyczne porty switchy oraz otwarte porty sieciowe w systemach operacyjnych muszą być wyłączone lub zablokowane zaporą sieciową.
- Polityka Ograniczania Sesji (ISO 27001 A.8.20): Automatyczne wylogowanie bezczynnego administratora (timeout) w sesjach SSH, VTY i konsoli.
- Ochrona Warstwy Dostępowej (Zero-Trust L2): Wdrożenie port-security (Sticky MAC, limit adresów MAC) w celu zapobiegania atakom typu CAM Overflow i DHCP starvation.
- Weryfikacja Ciągłości Czasu (NTP / DORA): Zsynchronizowany czas we wszystkich urządzeniach dla zapewnienia nienaruszalności i korelacji logów w SIEM.
🌐
Potrzebujesz fizycznej karty sieciowej A4 do szafy RACK?
Wydrukuj skondensowaną kartę poleceń "Kamień z Rosetty" (Cisco • Linux • Windows): 28 poleceń w układzie 1:1 gotowych do laminowania.
| Zadanie Administracyjne | 🌐 Cisco IOS | 🐧 Linux CLI | 🪟 Windows PowerShell | 📶 MikroTik RouterOS | 🛡️ Fortinet FortiOS |
|---|---|---|---|---|---|
| Tablica Routingu Podgląd tras i bramy |
show ip route |
ip route show |
Get-NetRoute |
/ip route print |
get router info routing-table all |
| Nasłuchujące Porty Weryfikacja usług |
show control-plane host open-ports |
ss -tulpn |
Get-NetTCPConnection -State Listen |
/ip service print |
diagnose sys top |
| Test Portu TCP Weryfikacja zapory (zamiast telnetu) |
telnet 10.0.0.1 443 |
nc -zv 10.0.0.1 443 |
Test-NetConnection 10.0.0.1 -Port 443 |
/tool fetch url="https://10.0.0.1" keep-result=no |
diagnose sniffer packet any "host 10.0.0.1 and port 443" 4 10 |
| Tablica Sąsiadów (ARP) Powiązania IP z adresem MAC |
show ip arp |
ip neigh show |
Get-NetNeighbor |
/ip arp print |
get system arp |
| Statystyki Interfejsu Liczba pakietów i błędy CRC |
show interfaces status |
ip -s link |
Get-NetAdapterStatistics |
/interface print stats |
diagnose hardware deviceinfo nic port1 |
| Restart Interfejsu Wyłączenie i włączenie łącza |
shutdown |
ip link set eth0 down && up |
Restart-NetAdapter -Name "Ethernet" |
/interface disable ether1 |
config system interface |
| Reguła Zapory (Port 443) Zezwolenie na ruch HTTPS |
permit tcp any any eq 443 |
ufw allow 443/tcp |
New-NetFirewallRule -Name "HTTPS" -Port 443 -Protocol TCP -Action Allow |
/ip firewall filter add chain=input protocol=tcp dst-port=443 action=accept |
config firewall policy |
| Czyszczenie Cache DNS Odświeżenie wpisów domenowych |
clear hosts cache |
resolvectl flush-caches |
Clear-DnsClientCache |
/ip dns cache flush |
diagnose test application dnsproxy 1 |
| Podgląd Adresów IP Wszystkie aktywne interfejsy |
show ip interface brief |
ip -br addr show |
Get-NetIPAddress -AddressFamily IPv4 |
/ip address print |
get system interface physical |
3. Moduł Cisco IOS — Niezbędnik Konfiguracyjny
Konfiguracja VLAN i Trunking 802.1Q
Utworzenie VLANu oraz konfiguracja portu magistrali (Trunk) z dozwoloną listą identyfikatorów.
vlan 10
name SERWERY_PROD
exit
interface GigabitEthernet0/1
description UPLINK-DO-ROUTERA
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20,30
no shutdown
Port-Security & Sticky MAC (Ochrona L2)
Zabezpieczenie portu dostępowego przed podłączeniem obcych urządzeń (automatyczne wyłączenie portu w razie naruszenia).
interface GigabitEthernet0/2
switchport mode access
switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
switchport port-security violation shutdown
Routing Dynamiczny OSPF v2
Aktywacja procesu OSPF oraz rozgłoszenie podsieci w obszarze Area 0.
router ospf 1
router-id 1.1.1.1
network 192.168.1.0 0.0.0.255 area 0
passive-interface GigabitEthernet0/0
Szybka Weryfikacja i Troubleshooting
Zestaw najważniejszych poleceń podglądu stanu switcha/routera.
show ip interface brief ! Stan portów i przydzielone adresy IP
show cdp neighbors detail ! Podgląd podłączonych urządzeń Cisco
show mac address-table dynamic ! Dynamiczna tablica adresów fizycznych
show running-config | section ospf ! Filtrowanie bieżącej konfiguracji
4. Moduł Linux (CLI) — Nowoczesna Administracja
Zarządzanie Adresacją i Trasami (iproute2)
Dodawanie statycznego adresu IP, maski CIDR oraz domyślnej bramy sieciowej bez restartu interfejsu.
sudo ip addr add 192.168.10.50/24 dev eth0
sudo ip link set dev eth0 up
sudo ip route add default via 192.168.10.1 dev eth0
Inspekcja Otwartych Portów i Socketów (`ss` / `lsof`)
Błyskawiczne wykrycie, jakie procesy nasłuchują na portach TCP/UDP (zamiennik przestarzałego netstat).
sudo ss -tulpn # Podgląd procesów nasłuchujących (PID i nazwa)
sudo lsof -i :80 # Który konkretnie proces zajmuje port 80?
sudo resolvectl status # Aktywne serwery DNS w systemd-resolved
Konfiguracja Zapory UFW (Hardening NIS2)
Domyślne zablokowanie całego ruchu przychodzącego i otwarcie wyłącznie autoryzowanych portów.
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp
sudo ufw allow 443/tcp
sudo ufw enable && sudo ufw status verbose
Analiza Logów i Usług (systemd / journalctl)
Podgląd logów awarii usług w czasie rzeczywistym z filtrowaniem po jednostce systemowej.
sudo journalctl -u nginx.service -f --no-tail
sudo journalctl -p err..emerg -b 0 # Tylko krytyczne błędy od startu
sudo systemctl list-units --type=service --state=failed
5. Moduł Windows PowerShell — NetOps & Bezpieczeństwo
Adresacja i Diagnostyka Adapterów Sieciowych
Nowoczesne polecenia PowerShell zastępujące klasyczne ipconfig i route print.
Get-NetIPConfiguration | Format-Table InterfaceAlias, IPv4Address, IPv4DefaultGateway
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 10.10.10.5 -PrefixLength 24 -DefaultGateway 10.10.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","8.8.8.8")
Zaawansowany Test Połączenia (`Test-NetConnection`)
Jednoczesny test pingu, rozwiązywania nazw DNS, routingu oraz otwarcia portu TCP.
Test-NetConnection -ComputerName dc01.corp.local -Port 389 -InformationLevel Detailed
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess
Zarządzanie Zaporą Windows Defender
Dodawanie bezpiecznych reguł blokujących lub zezwalających na dostęp administracyjny.
New-NetFirewallRule -DisplayName "SSH-Admin-Access" -Direction Inbound -LocalPort 22 -Protocol TCP -Action Allow -RemoteAddress 192.168.1.0/24
Get-NetFirewallRule -Enabled True | Where-Object Direction -eq "Inbound"
6. Moduł MikroTik RouterOS v7 — Brzeg Sieci & Triage Zapory
Tryb Bezpieczny (Safe Mode), Kopia Zapasowa & Dostęp RoMON
Włączenie automatycznego wycofywania zmian przy utracie łączności, eksport konfiguracji compact oraz awaryjny dostęp L2 bez IP.
# Wciśnij Ctrl + X aby włączyć Safe Mode (w konsoli pojawi się znacznik <SAFE>)
/export file=rescue_cfg compact hide-sensitive
/romon set enabled=yes secrets="RescuePass2026"
/system backup save name=before_change_backup
Triage Tablicy Połączeń (Conntrack) & Sprzętowy FastTrack
Analiza wyczerpania tablicy conntrack pod atakiem DDoS, czyszczenie zawieszonych sesji i akceleracja routingu regułą FastTrack.
/ip firewall connection print count-only
/ip firewall connection remove [find timeout>60s]
/ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related order=1
/ip firewall raw add chain=prerouting src-address-list=blackhole action=drop
Inspekcja Ruchu na Żywo w Konsoli (`/tool torch`)
Błyskawiczny podgląd pasma per-IP i per-port bezpośrednio w oknie terminala do namierzania przeciążeń łącza.
/tool torch interface=ether1 src-address=0.0.0.0/0 port=any
/tool profile cpu=all
7. Moduł Fortinet FortiOS CLI — Diagnostyka NGFW & Przepływ Pakietów
Triage Trybu Conserve Mode & Monitorowanie Procesów
Diagnoza przeciążenia pamięci RAM zapory (> 88%), restart procesów pomocniczych WAD/IPS oraz analiza crashlogu jądra.
diagnose sys top 2 20
fnsysctl killall wad
diagnose debug crashlog read
diagnose hardware sysinfo memory
Śledzenie Przepływu Pakietów (Packet Flow Trace)
Laboratoryjny zrzut decyzji routingowych i filtrowania firewall – dlaczego pakiet SYN jest odrzucany lub błędnie translacji NAT.
diagnose debug reset
diagnose debug flow filter saddr 192.168.1.50
diagnose debug flow filter dport 443
diagnose debug flow show function-name enable
diagnose debug flow trace start 10
diagnose debug enable
Triage Tuneli VPN IPsec Site-to-Site
Weryfikacja stanu fazy 1 (IKE SA) i fazy 2 (IPsec SA), czyszczenie błędnych negocjacji oraz wymuszenie re-keyingu.
diagnose vpn ike gateway list name "B2B_IPSEC"
diagnose vpn tunnel list
diagnose vpn ike gateway clear name "B2B_IPSEC"