ProHoster > Blogi > Haldamine > WorldSkills modulite võrgutehnika ülesannete lahendamine „CISA“ kompetentsis. Osa 2 - Põhiseade

WorldSkills modulite võrgutehnika ülesannete lahendamine „CISA“ kompetentsis. Osa 2 - Põhiseade

Jätkame WorldSkills võistluse Network kompetentsi mooduli ülesannete analüüsi.

Artiklis käsitletakse järgmisi ülesandeid:

  1. Loo KÕIKIDES seadmetes virtuaalsed liidesed, alaliidesed ja silmaliidese tüübid. Määrake IP-aadressid vastavalt topoloogiale.
    • Lülitage sisse SLAAC mehhanism IPv6 aadresside jagamiseks MNG võrgus ruuteri RTR1 liidesel;
    • Lülitage SW1, SW2, SW3 lülitite virtuaalsetes liidestes VLAN 100 (MNG) sisse IPv6 automaatkonfiguratsiooni režiim;
    • Määrake KÕIKIDES seadmetes (välja arvatud PC1 ja WEB) käsitsi link-local aadressid;
    • Keela KÕIKIDES lülitites kõik mitte kasutatavad portid ja viia need VLAN 99.
    • Lülitil SW1 lülitage sisse lukustus 1 minutiks, kui parooli vale sisestamine toimub kaheksa sekundi jooksul kaks korda.
  2. Kõik seadmed peavad olema haldamiseks kergesti kätsetavad SSH protokolli versiooni 2 kaudu.


Füüsilisel tasandil kujutatakse võrgu topoloogiat järgmises skeemis:

WorldSkills modulite võrgutehnika ülesannete lahendamine „CISA“ kompetentsis. Osa 2 - Põhiseade

Kanalitasandi võrgutopoloogia on esitatud järgmisel skeemil:

WorldSkills modulite võrgutehnika ülesannete lahendamine „CISA“ kompetentsis. Osa 2 - Põhiseade

Võrgutasandi topoloogia on esitatud järgmisel skeemil:

WorldSkills modulite võrgutehnika ülesannete lahendamine „CISA“ kompetentsis. Osa 2 - Põhiseade

Eelsättimine

Enne ülaltoodud ülesannete täitmist on soovitatav seadistada põhikommutatsioon lülitites SW1-SW3, kuna edaspidi on nende seadistuste kontrollimine mugavam. Kommutatsiooni seadistamine käsitletakse järgmises artiklis, praegu määratletakse vaid seadistused.

Esimese asjana tuleb luua VLAN-id numbritega 99, 100 ja 300 kõigis lülitites:

SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit

Järgmiseks sammuks on liidese g0/1 viimine VLAN-i numbriga 300 lülitis SW1:

SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access 
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit

Liidesed f0/1-2, f0/5-6, mis suunavad teiste lülitite poole, tuleks viia trunk-režiimi:

SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk 
SW1(config-if-range)#exit

Lülitis SW2 on trunk-režiimis liidesed f0/1-4:

SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk 
SW2(config-if-range)#exit

Lülitis SW3 on trunk-režiimis liidesed f0/3-6, g0/1:

SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk 
SW3(config-if-range)#exit

Sellel seadistustasemel saavad lülitid võimaldama vahetada märgitud pakette, mis on vajalik ülesannete täitmiseks.

1. KÕIKIDES seadmetes looge virtuaalsed liidesed, alaliidesed ja silmusliidesed. Määrake IP-aadressid vastavalt topoloogiale.

Esimesena seadistatakse marsruuter BR1. L3 topoloogia kohaselt on siin vaja seadistada silmusliides, ehk loopback, numbriga 101:

// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#

Seadistatud liidese oleku kontrollimiseks saab kasutada käsku show ipv6 interface brief:

BR1#show ipv6 interface brief 
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//link-local aadress
    2001:B:A::1			//IPv6-aadress
...
BR1#

Siit on näha, et loopback on aktiivne, tema olek UP. Kui vaadata allapoole, siis võib näha kahte IPv6-aadressi, kuigi IPv6-aadressi määramiseks kasutati ainult üht käsku. Asi on selles, et FE80::2D0:97FF:FE94:5022 — see on link-local aadress, mis määratakse, kui ipv6 liideses aktiivseks tehakse käsuga ipv6 enable.

Ja IPv4-aadressi vaatamiseks kasutatakse sarnast käsku:

BR1#show ip interface brief 
...
Loopback101        2.2.2.2      YES manual up        up 
...
BR1#

BR1 jaoks on kohe vaja seadistada liides g0/0, siin tuleb lihtsalt määrata IPv6-aadress:

// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#

Seadeid saab kontrollida sama käsuga show ipv6 interface brief:

BR1#show ipv6 interface brief 
GigabitEthernet0/0         [up/up]
    FE80::290:CFF:FE9D:4624	//link-local aadress
    2001:B:C::1			//IPv6-aadress
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//link-local aadress
    2001:B:A::1			//IPv6-aadress

Edasi seadistatakse ISP marsruuter. Siin seadistatakse ülesande kaudu loopback numbriga 0, kuid eelistatult seadistatakse ka liides g0/0, millel peab olema aadress 30.30.30.1, kuna edaspidistes ülesannetes ei öelda midagi nende liideste seadistamise kohta. Esmalt seadistatakse loopback numbriga 0:

ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable 
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#

Käsk show ipv6 interface brief saab veenduda liidese seadistamise õigsuses. Seejärel seadistatakse liides g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown 
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Edasi seadistatakse marsruuter RTR1. Siin tuleb samuti luua loopback numbriga 100:

BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#

RTR1-s peab looma ka 2 virtuaalset alaliidest vlan-id numbritega 100 ja 300. Selle saab teha järgmiselt.

Esmalt tuleb füüsiline liides g0/1 aktiveerida käsuga no shutdown:

RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit

Seejärel luuakse ja seadistatakse alaliidese numbrid 100 ja 300:

// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit

Alaliidese number võib erineda vlani numbrist, milles see töötab, kuid mugavuse huvides on parem kasutada alaliidese numbrit, mis kattub vlani numbriga. Alaliidese seadistamisel kapseldustüübi määramisel tuleb näidata number, mis kattub vlani numbriga. Seega pärast käsku encapsulation dot1Q 300 alaliides edastab ainult vlani pakette numbriga 300.

Selle ülesande viimane element on marsruuter RTR2. Ühendus SW1 ja RTR2 vahel peab olema access-režiimis, lüliti liides edastab RTR2 poole ainult paketid, mis on mõeldud vlan’ile numbriga 300, nagu on öeldud L2 topoloogia ülesandes. Seega seadistatakse marsruuteris RTR2 ainult füüsiline liides ilma alaliideste loomata:

RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown 
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#

Seejärel seadistatakse liides g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown 
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Sellega on praeguse ülesande raames ruuteri liideste seadistamine lõppenud. Ülejäänud liideste seadistamine toimub järgmiste ülesannete täitmise käigus.

a. Lülitage slaac mehhanism IPv6 aadresside väljastamiseks MNG võrgus ruuteri liideses RTR1
SLAAC mehhanism on vaikevalik. Ainus, mida teha tuleb, on lubada IPv6 marsruutimine. Seda saab teha järgmise käsuga:

RTR1(config-subif)#ipv6 unicast-routing

Ilma selle käsuta käitub seade nagu host. Teisisõnu, eespool mainitud käsk avab võimaluse kasutada täiendavaid IPv6 funktsioone, sealhulgas IPv6 aadresside väljastamist, marsruutimise seadistamist ja muud.

b. Lülitage virtuaalsetes liidestes VLAN 100 (MNG) lülitites SW1, SW2, SW3 IPv6 automaatkonfiguratsiooni režiim sisse
L3 topoloogiast on näha, et lülitid on ühendatud VLAN 100 võrguga. See tähendab, et lülititel tuleb luua virtuaalsed liidesed ning seejärel määrata neile vaikimisi IPv6-aadresside saamine. Esialgne seadistus tehti just selleks, et lülitid saaksid RTR1-lt saada vaikimisi aadresse. Selle ülesande täitmiseks saab kasutada järgmist käskude loetelu, mis sobib kõigile kolmele lülitile:

// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit

Kõike seda saab kontrollida sama käsuga show ipv6 interface brief:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::A8BB:CCFF:FE80:C000		// link-local aadress
    2001:100::A8BB:CCFF:FE80:C000	// saadud IPv6-aadress

Lisaks link-local aadressile on ilmunud ka IPv6-aadress, mis on saadud RTR1-lt. See ülesanne on edukalt täidetud ja teistel lülititel tuleb kirjutada samad käsud.

c. KÕIKIDES seadmetes (v.a PC1 ja WEB) määrake käsitsi link-local aadressid
Kolmekümne numbriga IPv6-aadressid ei paku administratoritele meelerahu, seega on võimalik käsitsi muuta link-local aadressi, lühendades seda minimaalseks. Ülesannetes ei ole öeldud, millised aadressid valida, seega on siin vaba valik.

Näiteks tuleb lülitil SW1 määrata link-local aadress fe80::10. Seda saab teha järgmise käsuga valitud liidese konfiguratsioonirežiimis:

// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса 
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit

Nüüd näeb aadressimine palju atraktiivsem välja:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::10		//link-local aadress
    2001:100::10	//IPv6-aadress

Peale link-local aadressi on muutunud ka saadud IPv6-aadress, kuna aadress antakse välja link-local aadressi põhjal.

Lülitil SW1 tuli määrata link-local aadress ainult ühele liidesele. Ruuteril RTR1 tuleb teha rohkem seadistusi – link-local aadress tuleb määrata kahe alamliidese, loopback'i ja järgnevates seadistustes ilmub veel tunnel 100 liides.

Liigsete käskude kirjutamise vältimiseks saab sama link-local aadressi määrata kõigile liidesele korraga. Seda saab teha võtmesõnaga vahemik järgnevate kõikide liideste loetlemisega:

// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса 
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit

Liideste kontrollimisel saab näha, et kõigil valitud liideste link-local aadressid on muutunud:

RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100		[up/up]
    FE80::1
    2001:100::1
gigabitEthernet 0/1.300		[up/up]
    FE80::1
    2001:300::2
Loopback100            		[up/up]
    FE80::1
    2001:A:B::1

Kõik teised seadmed seadistatakse samamoodi

d. Kõikides lülitites deaktiveerige kõik ülesande jaoks mittekasutatavad pordid ja seadke need VLAN 99
Peamine idee seisneb sarnases mitme liidese valimise meetodis, et seadistada need käsu abil vahemik, seejärel tuleb kirjutada käskude tõlkimiseks soovitud VLAN-i ja järgnevate liideste väljalülitamiseks. Näiteks lülitil SW1, vastavalt skemaatilisele plaanile L1, on väljalülitatud pordid f0/3-4, f0/7-8, f0/11-24 ja g0/2. Selle näite seadistus on järgmine:

// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access 
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit

Kontrollides seadistusi juba tuntud käsuga, tuleb tähele panna, et kõigil mittekasutatavatel portidel peab olema staatus administratively down, mis teavitab, et port on välja lülitatud:

SW1#show ip interface brief
Interface          IP-Address   OK? Method   Status                  Protocol
...
fastEthernet 0/3   unassigned   YES unset    administratively down   down

Et vaadata, millises VLAN-is port asub, saab kasutada teist käsku:

SW1#show ip vlan
...
99   VLAN0099     active    Fa0/3, Fa0/4, Fa0/7, Fa0/8
                            Fa0/11, Fa0/12, Fa0/13, Fa0/14
                            Fa0/15, Fa0/16, Fa0/17, Fa0/18
                            Fa0/19, Fa0/20, Fa0/21, Fa0/22
                            Fa0/23, Fa0/24, Gig0/2
...

Siin peaksid olema kõik kasutamata liidesed. Oluline on märkida, et liideste viimine VLAN-i ei õnnestu, kui sellist VLAN-i ei ole loodud. Selleks loodi algse seadistuse käigus kõik tööks vajalikud VLAN-id.

e. Lülitage lülitil SW1 välja sisestamisblokeering 1 minutiks, kui parooli vale sisestamine toimub kaks korda 30 sekundi jooksul.
Seda saab teha järgmise käsuga:

// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30

Need seadistused on võimalik kontrollida järgmiselt:

SW1#show login
...
   Kui 30 sekundi jooksul esineb rohkem kui 2 sisselogimise ebaõnnestumist,
     siis keelatakse sisselogimine 60 sekundiks.
...

Kus on selgelt selgitatud, et pärast kahte ebaõnnestunud katset 30 sekundi jooksul vöönd kasutatakse 60 sekundiks sisselogimise blokeerimiseks.

2. Kõik seadmed peavad olema hallatavad SSH protokolli versiooni 2 kaudu.

Et seadmed oleksid ligipääsetavad SSH versiooni 2 kaudu, tuleb seade eelnevalt seadistada, seega seadistatakse esmalt tehase seaded informatiivsetel põhjustel.

Protokolli versiooni saab muuta järgmiselt:

// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#

Sistema palubab luua RSA võtmed SSH versiooni 2 tööks. Arvestades nutika süsteemi soovitust, saab RSA võtmeid luua järgmise käsuga:

// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#

Sistema ei luba käsku täita, kuna hostname'i ei ole muudetud. Pärast hostname'i muutmist tuleb taas sisestada võtmete genereerimise käsk:

Router(config)#hostname R1
R1(config)#crypto key generate rsa 
% Palun määrake kõigepealt domeeninimi.
R1(config)#

Nüüd ei luba süsteem RSA võtmete loomist, kuna domeeninimi puudub. Ja alles pärast domeeninime seadistamist on võimalik RSA võtmeid luua. RSA võtmete pikkus peab olema vähemalt 768 bitti SSH versiooni 2 tööks:

R1(config)#ip domain-name wsrvuz19.ru
R1(config)#crypto key generate rsa
Mitu bitti on moodulis [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]

Lõpuks selgub, et SSHv2 tööks on vajalik:

  1. Muuta hostname'i;
  2. Muuta domeeninime;
  3. Generaara RSA võtmed.

Eelmisel artiklil toodi välja hostname'i ja domeeninime muutmise seadistamine kõigis seadmetes, seega, jätkates käimasolevate seadmete seadistamist, tuleb ainult RSA võtmed genereerida:

RTR1(config)#crypto key generate rsa
Mitu bitti on moodulis [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]

SSH versioon 2 on aktiveeritud, kuid seadmed ei ole veel täielikult seadistatud. Viimane etapp on virtuaalsete konsoolide seadistamine:

// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit

Eelmisel artiklis seadistati AAA mudel, kus virtuaalsetes konsoolides oli määratud autentimine kasutades kohalikku andmebaasi, ja pärast autentimist pidi kasutaja viima otse privileegide režiimi. Lihtsaim SSH töökindluse test on proovida ühendada oma seadmega. RTR1-l on loopback ip-aadressiga 1.1.1.1, võib proovida ühendada selle aadressiga:

//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password: 
RTR1#

Pärast võtme -l sisestatakse olemasoleva kasutaja kasutajanimi ja seejärel parool. Pärast autentimist viiakse kohe privileegide režiimi, mis tähendab, et SSH on õigesti seadistatud.

Allikas: habr.com

Osta usaldusväärne veebihosting DDoS kaitsega, VPS VDS serverid 🔥 Osta usaldusväärne veebihosting DDoS kaitsega, VPS VDS serverid | ProHoster