Wir setzen die Analyse der Aufgaben im Modul Network der WorldSkills Meisterschaft in der Disziplin „Netzwerk- und Systemadministration“ fort.
In diesem Artikel werden die folgenden Aufgaben behandelt:
- Erstellen Sie auf ALLEN Geräten virtuelle Schnittstellen, Unterschnittstellen und Loopback-Schnittstellen. Weisen Sie zu IP-Adressen entsprechend der Topologie.
- Aktivieren Sie den SLAAC-Mechanismus zur Vergabe von IPv6-Adressen im MNG-Netzwerk an der Schnittstelle des Routers RTR1;
- Aktivieren Sie auf den virtuellen Schnittstellen im VLAN 100 (MNG) auf den Switches SW1, SW2, SW3 den IPv6-Autokonfigurationsmodus;
- Weisen Sie auf ALLEN Geräten (außer PC1 und WEB) manuell Link-Local-Adressen zu;
- Deaktivieren Sie auf ALLEN Switches alle im Auftrag nicht verwendeten Ports und setzen Sie diese in VLAN 99;
- Aktivieren Sie auf dem Switch SW1 eine Blockierung von 1 Minute bei zwei falschen Passworteingaben innerhalb von 30 Sekunden;
- Alle Geräte müssen über SSH-Protokoll Version 2 für die Verwaltung erreichbar sein.
Die Netzwerktopologie auf physikalischer Ebene ist in folgendem Diagramm dargestellt:
Die Netzwerktopologie auf der Datenlink-Ebene ist im folgenden Diagramm dargestellt:
Die Netzwerktopologie auf der Netzwerkschicht ist im folgenden Diagramm dargestellt:
Alles, was Sie brauchen, ist ein Kubernetes-Cluster und ein konfiguriertes Tool
Vor der Ausführung der oben genannten Aufgaben sollte die grundlegende Switching-Konfiguration auf den Switches SW1-SW3 eingerichtet werden, da dies die Überprüfung ihrer Einstellungen erleichtern wird. Die detaillierte Konfiguration des Switchings wird im nächsten Artikel beschrieben, während hier zunächst nur die Einstellungen festgelegt werden.
Zuerst müssen die VLANs mit den Nummern 99, 100 und 300 auf allen Switches erstellt werden:
SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit
Der nächste Schritt besteht darin, das Interface g0/1 auf SW1 in das VLAN mit der Nummer 300 zu versetzen:
SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit
Die Interfaces f0/1-2, f0/5-6, die zu anderen Switches führen, sollten in den Trunk-Modus versetzt werden:
SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk
SW1(config-if-range)#exit
Auf dem Switch SW2 werden die Interfaces f0/1-4 im Trunk-Modus sein:
SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk
SW2(config-if-range)#exit
Auf dem Switch SW3 werden die Interfaces f0/3-6, g0/1 im Trunk-Modus sein:
SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk
SW3(config-if-range)#exit
In diesem Schritt ermöglichen die Switches den Austausch von getaggten Paketen, was für die Ausführung von Aufgaben erforderlich ist.
1. Erstellen Sie an ALLEN Geräten virtuelle Schnittstellen, Unterinterfaces und Loopback-Schnittstellen. Weisen Sie IP-Adressen gemäß der Topologie zu.
Zuerst wird der Router BR1 konfiguriert. Laut der L3-Topologie muss hier eine Loopback-Schnittstelle mit der Nummer 101 eingerichtet werden:
// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#
Um den Status der erstellten Schnittstelle zu überprüfen, kann der Befehl verwendet werden show ipv6 interface brief:
BR1#show ipv6 interface brief
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 //link-lokale Adresse
2001:B:A::1 //IPv6-Adresse
...
BR1#
Hier ist zu sehen, dass das Loopback aktiv ist, sein Zustand UP. Wenn man weiter nach unten schaut, erkennt man zwei IPv6-Adressen, obwohl nur ein Befehl zur Festlegung der IPv6-Adresse verwendet wurde. Das liegt daran, dass FE80::2D0:97FF:FE94:5022 — dies eine link-lokale Adresse ist, die beim Aktivieren von IPv6 auf der Schnittstelle mit dem Befehl ipv6 enable.
Und um die IPv4-Adresse anzuzeigen, verwendet man einen ähnlichen Befehl:
BR1#show ip interface brief
...
Loopback101 2.2.2.2 YES manual up up
...
BR1#
Für BR1 sollte sofort die Schnittstelle g0/0 konfiguriert werden; hier muss einfach eine IPv6-Adresse zugewiesen werden:
// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#
Die Einstellungen können mit demselben Befehl überprüft werden. show ipv6 interface brief:
BR1#show ipv6 interface brief
GigabitEthernet0/0 [up/up]
FE80::290:CFF:FE9D:4624 // link-lokale Adresse
2001:B:C::1 // IPv6-Adresse
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 // link-lokale Adresse
2001:B:A::1 // IPv6-Adresse
Als Nächstes wird der ISP-Router konfiguriert. Hier wird gemäß den Vorgaben eine Loopback mit der Nummer 0 eingerichtet. Es ist jedoch besser, das Interface g0/0 zu konfigurieren, auf dem die Adresse 30.30.30.1 gesetzt wird, da in den späteren Aufgaben nichts zur Konfiguration dieser Interfaces gesagt wird. Zuerst wird die Loopback mit der Nummer 0 konfiguriert:
ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#
Mit dem Befehl show ipv6 interface brief Es kann überprüft werden, ob die Konfiguration des Interfaces korrekt ist. Danach wird das Interface g0/0 konfiguriert:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#
Als Nächstes wird der Router RTR1 konfiguriert. Hier muss ebenfalls eine Loopback mit der Nummer 100 erstellt werden:
BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#
Auf RTR1 müssen zusätzlich 2 virtuelle Unterinterfaces für die VLANs mit den Nummern 100 und 300 erstellt werden. Dies kann wie folgt erfolgen:
Zu Beginn sollte das physische Interface g0/1 mit dem Befehl no shutdown aktiviert werden:
RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit
Anschließend werden die Unterinterfaces mit den Nummern 100 und 300 erstellt und konfiguriert:
// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit
Die Nummer des Unterinterfaces kann von der Nummer des VLANs abweichen, in dem es arbeiten wird, aber zur Vereinfachung ist es besser, die Unterinterface-Nummer mit der VLAN-Nummer übereinstimmen zu lassen. Bei der Festlegung des Kapselungstyps während der Konfiguration des Unterinterfaces sollte die Nummer angegeben werden, die mit der VLAN-Nummer übereinstimmt. Nach dem Befehl encapsulation dot1Q 300 wird das Unterinterface nur Pakete des VLANs mit der Nummer 300 weiterleiten.
Das letzte Element in dieser Aufgabe wird der Router RTR2 sein. Die Verbindung zwischen SW1 und RTR2 sollte im Access-Modus sein, wobei das Switch-Interface nur Pakete zum RTR2 weiterleiten wird, die für das VLAN mit der Nummer 300 bestimmt sind; dies ist im Aufgabenblatt zur L2-Topologie angegeben. Daher wird auf dem Router RTR2 nur das physische Interface ohne Unterinterfaces konfiguriert:
RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#
Dann wird die Schnittstelle g0/0 konfiguriert:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#
Damit ist die Konfiguration der Router-Schnittstellen für den aktuellen Auftrag abgeschlossen. Die Konfiguration der restlichen Schnittstellen erfolgt im Rahmen der nächsten Aufgaben.
a. Aktivieren Sie den SLAAC-Mechanismus für die Vergabe von IPv6-Adressen im MNG-Netzwerk auf der Router-Schnittstelle RTR1.
Der SLAAC-Mechanismus ist standardmäßig aktiviert. Alles, was Sie tun müssen, ist, die IPv6-Routing-Funktion zu aktivieren. Dies kann mit dem folgenden Befehl erfolgen:
RTR1(config-subif)#ipv6 unicast-routing
Ohne diesen Befehl fungiert die Hardware als Host. Mit dem oben genannten Befehl wird es möglich, zusätzliche IPv6-Funktionen zu nutzen, einschließlich der Vergabe von IPv6-Adressen, der Konfiguration des Routings und mehr.
b. Aktivieren Sie den IPv6-Autoconfigurationsmodus auf den virtuellen Schnittstellen im VLAN 100 (MNG) auf den Switches SW1, SW2, SW3.
Aus der L3-Topologie ist zu erkennen, dass die Switches mit dem VLAN 100 verbunden sind. Das bedeutet, dass auf den Switches virtuelle Schnittstellen erstellt werden müssen, bevor sie dann die Standard-IPv6-Adressen erhalten. Die ursprüngliche Konfiguration wurde genau zu diesem Zweck vorgenommen, damit die Switches von RTR1 die Standardadressen erhalten können. Diese Aufgabe kann mit folgendem Befehlssatz erledigt werden, der für alle drei Switches geeignet ist:
// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit
Überprüfen können Sie dies mit dem gleichen Befehl show ipv6 interface brief:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::A8BB:CCFF:FE80:C000 // Link- lokale Adresse
2001:100::A8BB:CCFF:FE80:C000 // erhaltene IPv6-Adresse
Neben der link-lokalen Adresse ist eine IPv6-Adresse von RTR1 erhalten worden. Diese Aufgabe wurde erfolgreich erledigt, und auf den anderen Switches müssen die gleichen Befehle ausgeführt werden.
c. Weisen Sie auf ALLEN Geräten (außer PC1 und WEB) manuell link-lokale Adressen zu
Dreißigstellige IPv6-Adressen sind für Administratoren unangenehm, daher besteht die Möglichkeit, die link-lokale Adresse manuell zu ändern, um sie auf ein Minimum zu kürzen. In den Aufgaben wird nichts darüber gesagt, welche Adressen ausgewählt werden sollen, daher ist hier eine freie Wahl möglich.
Zum Beispiel muss auf dem Switch SW1 die link-lokale Adresse fe80::10 festgelegt werden. Dies kann mit dem folgenden Befehl im Konfigurationsmodus des gewählten Interfaces durchgeführt werden:
// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit
Jetzt sieht die Adressierung viel ansprechender aus:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::10 //link-lokale Adresse
2001:100::10 //IPv6-Adresse
Neben der link-lokalen Adresse hat sich auch die erhaltene IPv6-Adresse geändert, da die Adresse auf der Grundlage der link-lokalen Adresse vergeben wird.
Auf dem Switch SW1 musste nur an einem Interface die link-lokale Adresse festgelegt werden. Beim Router RTR1 sind mehr Einstellungen erforderlich – die link-lokale Adresse muss an zwei Sub-Interfaces und an der Loopback-Schnittstelle festgelegt werden, und in den folgenden Einstellungen wird auch ein Tunnel-Interface 100 erscheinen.
Um überflüssige Befehlseingaben zu vermeiden, kann dieselbe link-lokale Adresse auf allen Interfaces gleichzeitig festgelegt werden. Dies kann mit dem Schlüsselwort Bereich und der anschließenden Aufzählung aller Interfaces erfolgen:
// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit
Bei der Überprüfung der Interfaces wird ersichtlich sein, dass die link-lokalen Adressen aller ausgewählten Interfaces geändert wurden:
RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100 [up/up]
FE80::1
2001:100::1
gigabitEthernet 0/1.300 [up/up]
FE80::1
2001:300::2
Loopback100 [up/up]
FE80::1
2001:A:B::1
Alle anderen Geräte werden auf ähnliche Weise konfiguriert.
d. Deaktivieren Sie an ALLEN Switches ALLE im Auftrag nicht verwendeten Ports und setzen Sie sie in VLAN 99.
Die Hauptidee besteht darin, mehrere Schnittstellen zur Konfiguration mit dem Befehl auszuwählen. BereichAnschließend sollten die Befehle zum Wechseln in das gewünschte VLAN und zum Deaktivieren der Schnittstellen folgen. Zum Beispiel werden bei Switch SW1 gemäß der Topologie L1 die Ports f0/3-4, f0/7-8, f0/11-24 und g0/2 deaktiviert. Für dieses Beispiel lautet die Konfiguration wie folgt:
// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit
Wenn Sie die Einstellungen mit dem bereits bekannten Befehl überprüfen, sollten Sie darauf achten, dass alle nicht verwendeten Ports den Status besitzen. administratively down, was anzeigt, dass der Port deaktiviert ist:
SW1#show ip interface brief
Interface IP-Address OK? Method Status Protocol
...
fastEthernet 0/3 unassigned YES unset administratively down down
Um zu sehen, in welchem VLAN sich der Port befindet, können Sie einen anderen Befehl verwenden:
SW1#show ip vlan
...
99 VLAN0099 active Fa0/3, Fa0/4, Fa0/7, Fa0/8
Fa0/11, Fa0/12, Fa0/13, Fa0/14
Fa0/15, Fa0/16, Fa0/17, Fa0/18
Fa0/19, Fa0/20, Fa0/21, Fa0/22
Fa0/23, Fa0/24, Gig0/2
...
Hier sollten alle ungenutzten Schnittstellen aufgelistet sein. Es ist zu beachten, dass Schnittstellen nicht in ein VLAN übertragen werden können, wenn dieses VLAN nicht erstellt wurde. Genau dafür wurden in der ursprünglichen Konfiguration alle erforderlichen VLANs eingerichtet.
e. Aktivieren Sie auf dem Switch SW1 für 1 Minute die Sperre im Falle von zweimaliger falscher Passworteingabe innerhalb von 30 Sekunden.
Dies kann mit folgendem Befehl durchgeführt werden:
// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30
Diese Einstellungen können auch auf folgende Weise überprüft werden:
SW1#show login
...
Wenn mehr als 2 Anmeldefehler innerhalb von 30 Sekunden auftreten,
werden Anmeldungen für 60 Sekunden deaktiviert.
...
Hier wird deutlich erklärt, dass nach zwei fehlgeschlagenen Versuchen innerhalb von 30 Sekunden oder weniger der Zugang für 60 Sekunden gesperrt wird.
2. Alle Geräte müssen über das Protokoll SSH Version 2 zugänglich sein.
Damit die Geräte über SSH Version 2 erreichbar sind, ist es erforderlich, die Hardware zunächst entsprechend zu konfigurieren. Daher wird zu Informationszwecken zuerst die Hardware mit den Werkseinstellungen konfiguriert.
Die Version des Protokolls kann wie folgt geändert werden:
// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#
Das System verlangt die Erstellung von RSA-Schlüsseln für die Funktionalität von SSH Version 2. Befolgen Sie die Empfehlung des intelligenten Systems, um RSA-Schlüssel mit dem folgenden Befehl zu erstellen:
// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#
Das System erlaubt die Ausführung des Befehls nicht, da der Hostname nicht geändert wurde. Nach der Änderung des Hostnamens muss der Befehl zur Generierung der Schlüssel erneut eingegeben werden:
Router(config)#hostname R1
R1(config)#crypto key generate rsa
% Bitte definieren Sie zuerst einen Domainnamen.
R1(config)#
Jetzt erlaubt das System nicht die Erstellung von RSA-Schlüsseln aufgrund des Fehlens eines Domainnamens. Erst nach der Festlegung eines Domainnamens wird es möglich sein, RSA-Schlüssel zu generieren. Die Länge der RSA-Schlüssel sollte mindestens 768 Bit betragen, um die Funktionalität von SSH Version 2 zu gewährleisten:
R1(config)#ip domain-name wsrvuz19.de
R1(config)#crypto key generate rsa
Wie viele Bits im Modulus [512]: 1024
% Generiere 1024 Bit RSA-Schlüssel, Schlüssel werden nicht exportierbar sein...[OK]
Zusammenfassend ist festzuhalten, dass für die Funktionalität von SSHv2 Folgendes erforderlich ist:
- Den Hostnamen ändern;
- Den Domainnamen ändern;
- RSA-Schlüssel generieren.
Im vorherigen Artikel wurde die Konfiguration zur Änderung des Hostnamens und des Domainnamens auf allen Geräten beschrieben. Daher ist es bei der fortzuführenden Konfiguration der aktuellen Geräte nur notwendig, RSA-Schlüssel zu generieren:
RTR1(config)#crypto key generate rsa
Wie viele Bits im Modulus [512]: 1024
% Generiere 1024 Bit RSA-Schlüssel, Schlüssel werden nicht exportierbar sein...[OK]
SSH Version 2 ist aktiv, jedoch sind die Geräte noch nicht vollständig konfiguriert. Der letzte Schritt besteht darin, die virtuellen Konsolen einzurichten:
// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit
Im vorherigen Artikel wurde das AAA-Modell konfiguriert, bei dem die Authentifizierung für die virtuellen Konsolen mithilfe einer lokalen Datenbank festgelegt wurde. Nach der Authentifizierung sollte der Benutzer sofort in den privilegierten Modus gelangen. Der einfachste Test zur Überprüfung der SSH-Funktionalität besteht darin, sich mit der eigenen Hardware zu verbinden. Auf RTR1 gibt es ein Loopback mit der IP-Adresse 1.1.1.1; versuchen Sie, sich über diese Adresse zu verbinden:
//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password:
RTR1#
Nach dem Schlüssel -l wird der Benutzername eines bestehenden Benutzers eingegeben, gefolgt von dem Passwort. Nach der Authentifizierung erfolgt der direkte Übergang in den privilegierten Modus, was bedeutet, dass SSH korrekt konfiguriert ist.
Quelle: habr.com
