Vi fortsætter med at gennemgå opgaverne i module Network fra WorldSkills konkurrencen indenfor kompetencen "Netværks- og systemadministration".

Artiklen vil behandle følgende opgaver:

1. Opret virtuelle grænseflader, undergrænseflader og loopback-grænseflader på ALLE enheder. Tildel IP-adresser i overensstemmelse med topologien.
   • Aktiver SLAAC mekanismen for tildeling af IPv6-adresser i MNG-netværket på routerens grænseflade RTR1;
   • Aktiver automatisk IPv6-konfiguration på de virtuelle grænseflader i VLAN 100 (MNG) på switchene SW1, SW2, SW3;
   • Tildel link-local adresser manuelt på ALLE enheder (undtagen PC1 og WEB);
   • Deaktiver ALLE unyttige porte på ALLE switches, og sæt dem i VLAN 99;
   • Aktiver en 1 minuts blokering på switchen SW1 ved to fejlagtige passwordindgange inden for 30 sekunder;
2. Alle enheder skal være tilgængelige for administration via SSH protokol version 2.

Netværkstopologien på det fysiske niveau er vist på følgende diagram:

Netværkstopologien på datalink-niveau er præsenteret i følgende diagram:

Netværkstopologien på netværksniveau er præsenteret i følgende diagram:

Forudkonfiguration

Før de ovennævnte opgaver udføres, bør den grundlæggende switching konfigureres på switches SW1-SW3, da det vil være lettere at verificere deres indstillinger senere. Switching konfigurationen vil blive beskrevet detaljeret i den næste artikel; i mellemtiden vil kun indstillingerne blive angivet.

Først skal der oprettes VLANs med numre 99, 100, og 300 på alle switches:

SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit

Næste skridt vil være at sætte grænsefladen g0/1 på SW1 til VLAN nummer 300:

SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access 
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit

Grænsefladerne f0/1-2, f0/5-6, der peger mod andre switches, skal sættes til trunk mode:

SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk 
SW1(config-if-range)#exit

På switchen SW2 vil grænsefladerne f0/1-4 være i trunk-tilstand:

SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk 
SW2(config-if-range)#exit

På switchen SW3 vil grænsefladerne f0/3-6, g0/1 være i trunk-tilstand:

SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk 
SW3(config-if-range)#exit

I denne fase af switch-konfigurationen vil det tillade udveksling af taggede pakker, hvilket er nødvendigt for at løse opgaverne.

1. Opret virtuelle interfaces, underinterfaces og loopback-interfaces på ALLE enheder. Tildel IP-adresser i henhold til topologien.

Først vil routeren BR1 blive konfigureret. Ifølge L3-topologien skal der her opsættes en loopback-interface med nummer 101:

// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#

For at kontrollere tilstanden for den oprettede interface kan følgende kommando anvendes: show ipv6 interface brief:

BR1#show ipv6 interface brief 
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//link-local adresse
    2001:B:A::1			//IPv6-adresse
...
BR1#

Her kan vi se, at loopback er aktiv, dens tilstand UP. Hvis man ser længere nede, kan man se to IPv6-adresser, selvom kun én kommando blev brugt til at sætte IPv6-adressen. Dette skyldes, at FE80::2D0:97FF:FE94:5022 — dette er en link-local adresse, der tildeles når ipv6 aktiveres på interfacet med kommandoen ipv6 enable.

Og for at se IPv4-adressen bruges en lignende kommando:

BR1#show ip interface brief 
...
Loopback101        2.2.2.2      YES manual up        up 
...
BR1#

For BR1 bør interface g0/0 straks konfigureres, her skal der blot angives en IPv6-adresse:

// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#

Indstillingerne kan kontrolleres med den samme kommando show ipv6 interface brief:

BR1#show ipv6 interface brief 
GigabitEthernet0/0         [up/up]
    FE80::290:CFF:FE9D:4624	//link-local adresse
    2001:B:C::1			//IPv6-adresse
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//link-local adresse
    2001:B:A::1			//IPv6-adresse

Dernæst vil routeren ISP blive konfigureret. Her vil der ifølge opgaven blive opsat en loopback med nummer 0, men det er også bedre at konfigurere interface g0/0, som skal have adressen 30.30.30.1, da der i de efterfølgende opgaver ikke vil blive sagt noget om konfigurationen af disse interfaces. Først opsættes loopback med nummer 0:

ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable 
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#

Med kommandoen show ipv6 interface brief man kan sikre sig, at konfigurationen af interfacet er korrekt. Derefter konfigureres interface g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown 
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Dernæst vil routeren RTR1 blive konfigureret. Her skal der også oprettes en loopback med nummer 100:

BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#

Derudover er det nødvendigt at oprette 2 virtuelle underinterfaces for VLAN'er med numrene 100 og 300 på RTR1. Dette kan gøres som følger.

Først skal den fysiske interface g0/1 aktiveres med kommandoen no shutdown:

RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit 

Derefter oprettes og konfigureres under-interface med numrene 100 og 300:

// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit

Nummeret på under-interfacet kan adskille sig fra nummeret på VLAN'et, hvor det vil fungere, men for nemheds skyld er det bedre at bruge et under-interface-nummer, der svarer til nummeret på VLAN'et. I tilfælde af installation af indkapslingstype under konfigurationen af under-interfacet, skal nummeret angives, så det svarer til nummeret på VLAN'et. Så efter kommandoen encapsulation dot1Q 300 vil under-interfacet kun tillade pakker fra VLAN'et med nummer 300.

Det sidste i denne opgave vil være routeren RTR2. Forbindelsen mellem SW1 og RTR2 skal være i access-tilstand, switchens interface vil kun tillade pakker rettet mod VLAN'et med nummer 300, som angivet i opgaven om L2-topologi. Derfor skal der på routeren RTR2 kun konfigureres det fysiske interface uden at oprette under-interfacer:

RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown 
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#

Derefter konfigureres interface g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown 
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Med dette er konfigurationen af routerens interfaces i denne opgave afsluttet. Konfigurationen af de resterende interfaces vil blive udført, efterhånden som de næste opgaver udføres.

a. Aktivér SLAAC-mekanismen til tildeling af IPv6-adresser i netværket MNG på routerens interface RTR1.
SLAAC-mekanismen er som standard aktiveret. Det eneste, der skal gøres, er at aktivere IPv6-routing. Dette kan gøres med følgende kommando:

RTR1(config-subif)#ipv6 unicast-routing

Uden denne kommando fungerer udstyret som en vært. Med andre ord, takket være den ovennævnte kommando, gives der mulighed for at anvende yderligere IPv6-funktioner, herunder at tildele IPv6-adresser, konfigurere routing og mere.

b. På de virtuelle interfaces i VLAN 100 (MNG) på switchene SW1, SW2, SW3 skal autokonfigurationsmetoden til IPv6 aktiveres.
Fra L3-topologien kan vi se, at svitsjerne er forbundet til VLAN 100-netværket. Det betyder, at der skal oprettes virtuelle grænseflader på svitsjerne, og derefter skal de tildeles modtagelse af IPv6-adresser som standard. Den indledende konfiguration blev lavet for at sikre, at svitsjerne kunne modtage standardadresser fra RTR1. Denne opgave kan udføres med følgende kommandoer, der er passende for alle tre svitsjere:

// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit

Det kan kontrolleres med den samme kommando. show ipv6 interface brief:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::A8BB:CCFF:FE80:C000		// link-local adresse
    2001:100::A8BB:CCFF:FE80:C000	// modtaget IPv6-adresse

Udover link-local adressen er der opstået en IPv6-adresse, der er modtaget fra RTR1. Denne opgave er udført med succes, og der skal skrives de samme kommandoer på de øvrige svitsjere.

c. På ALLE enheder (undtagen PC1 og WEB) skal link-local adresser tildeles manuelt.
Det er ikke sjovt for administratorer at arbejde med tredivecifrede IPv6-adresser, derfor er det muligt at ændre link-local adressen manuelt og forkorte den til et minimum. Opgaverne angiver ikke, hvilke adresser der specifikt skal vælges, så her er der fri valg.

For eksempel, på svitsjeren SW1 skal link-local adressen sættes til fe80::10. Det kan gøres med følgende kommando fra konfigurationsmodus på den valgte grænseflade:

// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса 
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit

Nu ser adresseringen meget mere attraktiv ud:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::10		//link-local adresse
    2001:100::10	//IPv6-adresse

Udover link-local adressen er den modtagne IPv6-adresse også ændret, da adressen tildeles baseret på link-local adressen.

På svitsjeren SW1 skulle link-local adressen kun sættes på én grænseflade. Med routeren RTR1 skal der foretages flere indstillinger — det er nødvendigt at angive link-local på to undergrænseflader, på loopback'en, og der vil senere blive tilføjet en tunnelgrænseflade 100.

For at undgå at skrive for mange kommandoer kan samme link-local adresse angives på alle grænseflader på én gang. Det kan gøres med det nøgleord range og efterfølgende opregning af alle grænseflader:

// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса 
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit

Når grænsefladerne kontrolleres, vil det kunne ses, at link-local adresserne er blevet ændret på alle de valgte grænseflader:

RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100		[up/up]
    FE80::1
    2001:100::1
gigabitEthernet 0/1.300		[up/up]
    FE80::1
    2001:300::2
Loopback100            		[up/up]
    FE80::1
    2001:A:B::1

Alle andre enheder konfigureres på samme måde.

d. Deaktiver alle ubrugte porte på ALLE switcher i opgaven og overfør dem til VLAN 99
Hovedideen er den samme metode til at vælge flere grænseflader til konfiguration ved hjælp af kommandoen range, og derefter skal man skrive kommandoerne for at overføre til den ønskede VLAN og derefter slukke for grænsefladerne. For eksempel vil switchen SW1, ifølge topologien L1, have deaktiverede porte f0/3-4, f0/7-8, f0/11-24 og g0/2. For dette eksempel vil konfigurationen være som følger:

// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access 
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit

Når man tjekker indstillingerne med den allerede kendte kommando, bør man være opmærksom på, at alle ubrugte porte skal have status administratively down, som indikerer, at porten er slukket:

SW1#show ip interface brief
Interface          IP-Address   OK? Method   Status                  Protocol
...
fastEthernet 0/3   unassigned   YES unset    administratively down   down

For at se, hvilken VLAN en port befinder sig i, kan man bruge en anden kommando:

SW1#show ip vlan
...
99   VLAN0099     active    Fa0/3, Fa0/4, Fa0/7, Fa0/8
                            Fa0/11, Fa0/12, Fa0/13, Fa0/14
                            Fa0/15, Fa0/16, Fa0/17, Fa0/18
                            Fa0/19, Fa0/20, Fa0/21, Fa0/22
                            Fa0/23, Fa0/24, Gig0/2
...                          

Her skal alle ubrugte grænseflader være. Det er værd at bemærke, at det ikke er muligt at overføre grænseflader til VLAN, hvis den VLAN ikke er oprettet. Det var netop derfor, alle nødvendige VLAN'er blev oprettet i den oprindelige konfiguration.

e. På switchen SW1 aktiverer du blokeringen i 1 minut ved to forkerte indtastninger af adgangskoden inden for 30 sekunder
Dette kan gøres med følgende kommando:

// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30

Man kan også kontrollere disse indstillinger på følgende måde:

SW1#show login
...
   If more than 2 login failures occur in 30 seconds or less,
     logins will be disabled for 60 seconds.
...

Hvor det er tydeligt forklaret, at efter to mislykkede forsøg inden for 30 sekunder eller mindre, vil muligheden for login blive blokeret i 60 sekunder.

2. Alle enheder skal være tilgængelige for administration via SSH version 2-protokollen

For at enhederne skal være tilgængelige via SSH version 2, kræves det, at udstyret først er konfigureret, så i informativ hensigt vil udstyret blive konfigureret med fabriksindstillingerne først.

Versionsprotokollen kan ændres på følgende måde:

// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#

Systemet beder om at oprette RSA-nøgler for at aktivere SSH version 2. I henhold til det kloge systems råd kan RSA-nøgler oprettes med følgende kommando:

// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#

Systemet tillader ikke at udføre kommandoen, fordi hostname ikke er ændret. Efter ændring af hostname skal kommandoen til generering af nøgler skrives igen:

Router(config)#hostname R1
R1(config)#crypto key generate rsa 
% Definer venligst først et domænenavn.
R1(config)#

Nu tillader systemet ikke at oprette RSA-nøgler på grund af fraværet af et domænenavn. Først efter installationen af domænenavnet vil det være muligt at oprette RSA-nøgler. Længden af RSA-nøglerne skal være mindst 768 bit for at SSH version 2 kan fungere:

R1(config)#ip domain-name wsrvuz19.ru
R1(config)#crypto key generate rsa
Hvor mange bits i modulus [512]: 1024
% Genererer 1024 bit RSA-nøgler, nøgler vil ikke være eksporterbare...[OK]

Det viser sig, at for at SSHv2 skal fungere, er det nødvendigt:

1. At ændre hostname;
2. At ændre domænenavnet;
3. At generere RSA-nøgler.

I den tidligere artikel blev der givet en opsætning af ændring af hostname og domænenavn på alle enheder, så for at fortsætte opsætningen af de nuværende enheder er det kun nødvendigt at generere RSA-nøgler:

RTR1(config)#crypto key generate rsa
Hvor mange bits i modulus [512]: 1024
% Genererer 1024 bit RSA-nøgler, nøgler vil ikke være eksporterbare...[OK]

SSH version 2 er aktiv, men enhederne er stadig ikke helt konfigureret. Den sidste fase vil være konfiguration af virtuelle konsoller:

// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit

I den tidligere artikel blev AAA-modellen konfigureret, hvor der var indstillet autentificering på de virtuelle konsoller ved brug af den lokale database, og brugeren skulle blive sendt direkte til privilegeret tilstand efter autentificeringen. Den enkleste test af SSH's funktionalitet er at forsøge at oprette forbindelse til sit eget udstyr. På RTR1 er der en loopback med IP-adressen 1.1.1.1, man kan prøve at oprette forbindelse til denne adresse:

//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password: 
RTR1#

Efter nøglen -l indtastes login for en eksisterende bruger, efterfulgt af adgangskoden. Efter autentificeringen går man direkte ind i privilegeret tilstand, hvilket betyder, at SSH er korrekt konfigureret.

Kilde: habr.com