Continuiamo l'analisi dei compiti del modulo Network del campionato WorldSkills nella competenza "Amministrazione di rete e sistemi".
L'articolo esaminerà i seguenti compiti:
- Su TUTTI i dispositivi, create interfacce virtuali, sottogestori e interfacce loopback. Assegnate Indirizzi IP in conformità con la topologia.
- Attivate il meccanismo SLAAC per l'assegnazione degli indirizzi IPv6 nella rete MNG sull'interfaccia del router RTR1;
- Sulle interfacce virtuali nel VPCS 100 (MNG) sugli switch SW1, SW2, SW3, abilitate la modalità di autoconfigurazione IPv6;
- Su TUTTI i dispositivi (eccetto PC1 e WEB) assegnate manualmente indirizzi link-local;
- Su TUTTI gli switch disabilitate TUTTI le porte non utilizzate per il compito e trasferitele nel VLAN 99;
- Sullo switch SW1 abilitate il blocco per 1 minuto in caso di due tentativi errati di inserimento della password entro 30 secondi;
- Tutti i dispositivi devono essere accessibili per la gestione tramite il protocollo SSH versione 2.
La topologia di rete a livello fisico è rappresentata nel seguente schema:
La topologia di rete a livello di collegamento è rappresentata nel seguente schema:
La topologia di rete a livello di rete è rappresentata nel seguente schema:
Configurazione preliminare
Prima di eseguire i compiti sopraindicati, è consigliabile configurare la commutazione di base sugli switch SW1-SW3, poiché sarà più comodo verificare le loro impostazioni in seguito. La configurazione della commutazione sarà descritta dettagliatamente nel prossimo articolo, mentre per ora verranno definite solo le impostazioni.
Per prima cosa, è necessario creare i VLAN con i numeri 99, 100 e 300 su tutti gli switch:
SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit
Il passo successivo consiste nel portare l'interfaccia g0/1 su SW1 nel VLAN con numero 300:
SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit
Le interfacce f0/1-2, f0/5-6, che si collegano ad altri switch, devono essere portate in modalità trunk:
SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk
SW1(config-if-range)#exit
Sul comutatore SW2, in modalità trunk, ci saranno le interfacce f0/1-4:
SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk
SW2(config-if-range)#exit
Sul comutatore SW3, in modalità trunk, ci saranno le interfacce f0/3-6, g0/1:
SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk
SW3(config-if-range)#exit
A questo punto della configurazione, gli switch permetteranno lo scambio di pacchetti taggati, necessario per completare i task.
1. Su TUTTI i dispositivi, crea interfacce virtuali, sottointerfacce e interfacce di tipo loopback. Assegna indirizzi IP secondo la topologia.
Il primo a essere configurato sarà il router BR1. Secondo la topologia L3, qui è necessario configurare un'interfaccia di tipo loopback, identificata con il numero 101:
// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#
Per controllare lo stato dell'interfaccia creata, puoi utilizzare il comando show ipv6 interface brief:
BR1#show ipv6 interface brief
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 //indirizzo link-local
2001:B:A::1 //indirizzo IPv6
...
BR1#
Qui si può vedere che il loopback è attivo, il suo stato UP. Se guardi più in basso, puoi vedere due indirizzi IPv6, anche se è stato utilizzato solo un comando per impostare l'indirizzo IPv6. Il fatto è che FE80::2D0:97FF:FE94:5022 è un indirizzo link-local, assegnato all'attivazione di ipv6 sull'interfaccia con il comando ipv6 enable.
Per visualizzare l'indirizzo IPv4 si usa un comando simile:
BR1#show ip interface brief
...
Loopback101 2.2.2.2 YES manual up up
...
BR1#
Per BR1 è consigliabile configurare immediatamente l'interfaccia g0/0, qui è necessario semplicemente assegnare un indirizzo IPv6:
// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#
Le impostazioni possono essere verificate con lo stesso comando show ipv6 interface brief:
BR1#show ipv6 interface brief
GigabitEthernet0/0 [up/up]
FE80::290:CFF:FE9D:4624 // indirizzo link-local
2001:B:C::1 // indirizzo IPv6
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 // indirizzo link-local
2001:B:A::1 // indirizzo IPv6
Successivamente sarà configurato il router ISP. Qui, secondo le istruzioni, sarà configurato il loopback con numero 0, ma preferibilmente sarà configurata l'interfaccia g0/0, che deve avere l'indirizzo 30.30.30.1, perché nelle istruzioni successive non verrà detto nulla sulla configurazione di queste interfacce. Prima viene configurato il loopback con numero 0:
ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#
Con il comando show ipv6 interface brief puoi verificare la correttezza della configurazione dell'interfaccia. Successivamente, si configura l'interfaccia g0/0:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#
Successivamente sarà configurato il router RTR1. Qui è necessario creare anche un loopback con numero 100:
BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#
In RTR1 è necessario creare anche 2 sottoporzione virtuali per le VLAN con i numeri 100 e 300. Questo può essere fatto nel seguente modo.
Per iniziare, è necessario attivare l'interfaccia fisica g0/1 con il comando no shutdown:
RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit
Successivamente, vengono create e configurate le sottoporzione con i numeri 100 e 300:
// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit
Il numero della sottoporzione può differire dal numero della VLAN in cui opererà, ma per comodità è meglio utilizzare un numero di sottoporzione che corrisponda al numero della VLAN. In caso di installazione del tipo di incapsulamento durante la configurazione della sottoporzione, è necessario specificare un numero che corrisponda al numero della VLAN. Così, dopo il comando encapsulation dot1Q 300 la sottoporzione passerà solo i pacchetti VLAN con il numero 300.
Infine, in questo compito ci sarà il router RTR2. La connessione tra SW1 e RTR2 deve essere in modalità access, e l'interfaccia dello switch passerà verso RTR2 solo i pacchetti destinati alla VLAN con il numero 300, come indicato nel compito sulla topologia L2. Pertanto, sul router RTR2 sarà configurata solo l'interfaccia fisica senza creare sottoporzione:
RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#
Successivamente, configura l'interfaccia g0/0:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#
A questo punto, la configurazione delle interfacce dei router per il compito attuale è completata. La configurazione delle restanti interfacce sarà eseguita man mano che si procederà con i prossimi compiti.
a. Attiva il meccanismo SLAAC per l'assegnazione degli indirizzi IPv6 nella rete MNG sull'interfaccia del router RTR1
Il meccanismo SLAAC è abilitato per impostazione predefinita. L'unica cosa da fare è abilitare il routing IPv6. Questo può essere fatto con il seguente comando:
RTR1(config-subif)#ipv6 unicast-routing
Senza questo comando, l'apparecchiatura funge da host. In altre parole, grazie al comando sopra citato, è possibile utilizzare ulteriori funzionalità ipv6, inclusa l'assegnazione di indirizzi ipv6, la configurazione del routing e altro ancora.
b. Sulle interfacce virtuali nella VLAN 100 (MNG) sugli switch SW1, SW2, SW3, attiva la modalità di autoconfigurazione IPv6
Dalla topologia L3 si evince che gli switch sono connessi alla rete VLAN 100. Questo significa che sugli switch è necessario creare interfacce virtuali e poi assegnare il ricevimento degli indirizzi IPv6 di default. La configurazione iniziale è stata effettuata proprio per consentire agli switch di ottenere gli indirizzi di default da RTR1. Questo compito può essere eseguito utilizzando il seguente elenco di comandi, adatti per tutti e tre gli switch:
// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit
È possibile controllare con lo stesso comando show ipv6 interface brief:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::A8BB:CCFF:FE80:C000 // indirizzo link-local
2001:100::A8BB:CCFF:FE80:C000 // indirizzo IPv6 ottenuto
Oltre all'indirizzo link-local, è comparso un indirizzo IPv6 ottenuto da RTR1. Questo compito è stato completato con successo e sugli altri switch è necessario eseguire gli stessi comandi.
c. Su TUTTI i dispositivi (eccetto PC1 e WEB) assegnare manualmente gli indirizzi link-local
Gli indirizzi IPv6 a 30 cifre non sono graditi agli amministratori, quindi è possibile modificare manualmente il link-local, riducendo la sua lunghezza al valore minimo. Non è specificato nei compiti quali indirizzi scegliere, quindi qui si offre completa libertà di scelta.
Ad esempio, sullo switch SW1 è necessario impostare l'indirizzo link-local fe80::10. Questo può essere fatto con il seguente comando in modalità di configurazione della porta selezionata:
// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit
Ora l'indirizzamento appare molto più attraente:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::10 //indirizzo link-local
2001:100::10 //indirizzo IPv6
Oltre all'indirizzo link-local, è cambiato anche l'indirizzo IPv6 ottenuto, poiché l'indirizzo è assegnato in base all'indirizzo link-local.
Sullo switch SW1 era necessario impostare l'indirizzo link-local solo su un'interfaccia. Con il router RTR1, è necessario effettuare ulteriori configurazioni: è necessario impostare il link-local su due sub-interfacce, su loopback, e nelle configurazioni successive apparirà anche l'interfaccia tunnel 100.
Per evitare di ripetere più volte i comandi, è possibile impostare lo stesso indirizzo link-local su tutte le interfacce contemporaneamente. Questo può essere fatto usando la parola chiave range seguendo il quale si devono elencare tutte le interfacce:
// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit
Controllando le interfacce, sarà possibile vedere che su tutte le interfacce selezionate gli indirizzi link-local sono stati modificati:
RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100 [up/up]
FE80::1
2001:100::1
gigabitEthernet 0/1.300 [up/up]
FE80::1
2001:300::2
Loopback100 [up/up]
FE80::1
2001:A:B::1
Tutti gli altri dispositivi si configurano in modo simile
d. Su TUTTI gli switch disattivare TUTTE le porte non utilizzate nel compito e assegnarle al VLAN 99
L'idea principale è la stessa scelta di più interfacce da configurare usando il comando range, e poi si devono scrivere i comandi per l'assegnazione al VLAN desiderato e la successiva disattivazione delle interfacce. Ad esempio, per lo switch SW1, secondo la topologia L1, saranno disattivate le porte f0/3-4, f0/7-8, f0/11-24 e g0/2. Per questo esempio la configurazione sarà la seguente:
// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit
Controllando le impostazioni con il comando già conosciuto, è importante notare che tutte le porte inutilizzate devono avere lo stato administratively down, che indica che la porta è disattivata:
SW1#show ip interface brief
Interface IP-Address OK? Method Status Protocol
...
fastEthernet 0/3 unassigned YES unset administratively down down
Per vedere in quale vlan si trova una porta, si può utilizzare un altro comando:
SW1#show ip vlan
...
99 VLAN0099 active Fa0/3, Fa0/4, Fa0/7, Fa0/8
Fa0/11, Fa0/12, Fa0/13, Fa0/14
Fa0/15, Fa0/16, Fa0/17, Fa0/18
Fa0/19, Fa0/20, Fa0/21, Fa0/22
Fa0/23, Fa0/24, Gig0/2
...
Qui dovrebbero essere tutte le interfacce non utilizzate. È importante notare che non sarà possibile trasferire le interfacce in un vlan se tale vlan non è stata creata. È per questo motivo che, durante la configurazione iniziale, sono stati creati tutti i vlan necessari per funzionare.
e. Sullo switch SW1, attivare il blocco per 1 minuto in caso di due tentativi di accesso non riusciti entro 30 secondi.
È possibile farlo con il seguente comando:
// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30
È possibile verificare queste impostazioni nel seguente modo:
SW1#show login
...
Se si verificano più di 2 tentativi di accesso non riusciti in 30 secondi o meno,
gli accessi verranno disabilitati per 60 secondi.
...
Dove è spiegato chiaramente che dopo due tentativi falliti in 30 secondi o meno, la possibilità di accesso sarà bloccata per 60 secondi.
2. Tutti i dispositivi devono essere accessibili per la gestione tramite il protocollo SSH versione 2.
Affinché i dispositivi siano accessibili tramite SSH versione 2, è necessario configurare preventivamente l'attrezzatura, quindi, a scopo informativo, inizialmente sarà configurata l'attrezzatura con le impostazioni di fabbrica.
È possibile modificare la versione del protocollo nel seguente modo:
// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#
Il sistema richiede di creare chiavi RSA per il funzionamento di SSH versione 2. Seguendo il consiglio del sistema intelligente, è possibile creare le chiavi RSA con il seguente comando:
// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#
Il sistema non consente di eseguire il comando a causa della mancata modifica del hostname. Dopo aver modificato l'hostname, è necessario inserire nuovamente il comando per generare le chiavi:
Router(config)#hostname R1
R1(config)#crypto key generate rsa
% Definire prima un nome di dominio.
R1(config)#
Ora il sistema non consente di creare chiavi RSA a causa dell'assenza di un nome di dominio. Solo dopo aver impostato un nome di dominio sarà possibile creare chiavi RSA. La lunghezza delle chiavi RSA deve essere di almeno 768 bit per il funzionamento di SSH versione 2:
R1(config)#ip domain-name wsrvuz19.ru
R1(config)#crypto key generate rsa
Quanti bit nel modulo [512]: 1024
% Generazione di chiavi RSA da 1024 bit, le chiavi saranno non esportabili...[OK]
Di conseguenza, è necessario per il funzionamento di SSHv2:
- Modificare l'hostname;
- Modificare il nome di dominio;
- Generare chiavi RSA.
Nell'articolo precedente è stata fornita la configurazione per modificare l'hostname e il nome di dominio su tutti i dispositivi, quindi, continuando la configurazione dei dispositivi attuali, è necessario solo generare le chiavi RSA:
RTR1(config)#crypto key generate rsa
Quanti bit nel modulo [512]: 1024
% Generazione di chiavi RSA da 1024 bit, le chiavi saranno non esportabili...[OK]
SSH versione 2 è attivo, ma i dispositivi non sono ancora completamente configurati. L'ultimo passo sarà la configurazione delle console virtuali:
// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit
Nell'articolo precedente è stato configurato il modello AAA, dove nelle console virtuali è stata impostata l'autenticazione utilizzando un database locale, e dopo l'autenticazione l'utente doveva accedere direttamente alla modalità privilegiata. La prova più semplice della funzionalità di SSH è provare a connettersi al proprio hardware. Su RTR1 c'è un loopback con l'indirizzo IP 1.1.1.1, puoi provare a connetterti a questo indirizzo:
//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password:
RTR1#
Dopo la chiave -l viene inserito il nome utente di un utente esistente e poi la password. Dopo l'autenticazione si passa direttamente alla modalità privilegiata, il che significa che SSH è configurato correttamente.
Fonte: habr.com
