ProHoster > Blog > Administracja > Rozwiązanie zadań z modułu Network w kompetencji „CISS”. Część 2 — Podstawowe ustawienie

Rozwiązanie zadań z modułu Network w kompetencji „CISS”. Część 2 — Podstawowe ustawienie

Kontynuujemy analizę zadań modułu Network w ramach Mistrzostw WorldSkills w dziedzinie „Administracja sieci i systemów”.

W artykule omówione zostaną następujące zadania:

  1. Na WSZYSTKICH urządzeniach utwórz wirtualne interfejsy, podinterfejsy i interfejsy typu loopback. Przydziel adresy IP zgodnie z topologią.
    • Włącz mechanizm SLAAC do wydawania adresów IPv6 w sieci MNG na interfejsie routera RTR1;
    • Na wirtualnych interfejsach w VLSM 100 (MNG) na przełącznikach SW1, SW2, SW3 włącz tryb automatycznej konfiguracji IPv6;
    • Na WSZYSTKICH urządzeniach (z wyjątkiem PC1 i WEB) ręcznie przypisz adresy link-local;
    • Na WSZYSTKICH przełącznikach wyłącz WSZYSTKIE nieużywane porty w zadaniu i przenieś do VLAN 99;
    • Na przełączniku SW1 włącz blokadę na 1 minutę w przypadku dwukrotnego błędnego wprowadzenia hasła w ciągu 30 sekund;
  2. Wszystkie urządzenia muszą być dostępne do zarządzania protokołem SSH wersji 2.


Topologia sieci na poziomie fizycznym przedstawiona jest na następującym schemacie:

Rozwiązanie zadań z modułu Network w kompetencji „CISS”. Część 2 — Podstawowe ustawienie

Topologia sieci na poziomie łącza danych przedstawiona jest na następującym schemacie:

Rozwiązanie zadań z modułu Network w kompetencji „CISS”. Część 2 — Podstawowe ustawienie

Topologia sieci na poziomie sieci przedstawiona jest na następującym schemacie:

Rozwiązanie zadań z modułu Network w kompetencji „CISS”. Część 2 — Podstawowe ustawienie

Wstępna konfiguracja

Przed wykonaniem powyższych zadań warto skonfigurować podstawowe przełączanie na przełącznikach SW1-SW3, co ułatwi późniejsze sprawdzanie ich ustawień. Konfiguracja przełączania zostanie szczegółowo opisana w następnym artykule, a na razie zostaną określone jedynie ustawienia.

Na początku konieczne jest utworzenie VLAN-ów o numerach 99, 100 i 300 na wszystkich przełącznikach:

SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit

Następnym krokiem będzie przeniesienie interfejsu g0/1 na SW1 do VLAN-u o numerze 300:

SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit

Interfejsy f0/1-2, f0/5-6, które prowadzą do innych przełączników, powinny być skonfigurowane w trybie trunk:

SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk
SW1(config-if-range)#exit

Na przełączniku SW2 w trybie trunk będą interfejsy f0/1-4:

SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk
SW2(config-if-range)#exit

Na przełączniku SW3 w trybie trunk będą interfejsy f0/3-6, g0/1:

SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk
SW3(config-if-range)#exit

Na tym etapie konfiguracji przełączników umożliwią one wymianę pakietów z etykietami, co będzie wymagane do realizacji zadań.

1. Na WSZYSTKICH urządzeniach utwórz interfejsy wirtualne, podinterfejsy i interfejsy typu loopback. Przypisz adresy IP zgodnie z topologią.

Najpierw skonfigurujemy router BR1. Zgodnie z topologią L3 należy tutaj skonfigurować interfejs typu loopback, numer 101:

// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#

Aby sprawdzić stan utworzonego interfejsu, można użyć polecenia show ipv6 interface brief:

BR1#show ipv6 interface brief 
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//adres link-local
    2001:B:A::1			//adres IPv6
...
BR1#

Widać tutaj, że loopback jest aktywny, jego stan UP. Jeśli spojrzeć niżej, można zobaczyć dwa adresy IPv6, mimo że użyto tylko jednej komendy do ustawienia adresu IPv6. Chodzi o to, że FE80::2D0:97FF:FE94:5022 — to adres link-local, który jest przypisywany przy włączeniu ipv6 na interfejsie poleceniem ipv6 enable.

Aby zobaczyć adres IPv4, używa się podobnego polecenia:

BR1#show ip interface brief 
...
Loopback101        2.2.2.2      YES manual up        up 
...
BR1#

Dla BR1 należy od razu skonfigurować interfejs g0/0, tutaj wystarczy po prostu przypisać adres IPv6:

// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#

Można sprawdzić ustawienia tym samym poleceniem show ipv6 interface brief:

BR1#show ipv6 interface brief 
GigabitEthernet0/0         [up/up]
    FE80::290:CFF:FE9D:4624	//adres link-local
    2001:B:C::1			//adres IPv6
...
Loopback101                [up/up]
    FE80::2D0:97FF:FE94:5022	//adres link-local
    2001:B:A::1			//adres IPv6

Następnie skonfigurujemy router ISP. Tutaj w ramach zadania zostanie skonfigurowany loopback z numerem 0, ale poza tym lepiej skonfigurować interfejs g0/0, który powinien mieć adres 30.30.30.1, ponieważ w kolejnych zadaniach nic nie będzie powiedziane o konfiguracji tych interfejsów. Najpierw konfigurujemy loopback z numerem 0:

ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable 
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#

Komendą show ipv6 interface brief można upewnić się o poprawności konfiguracji interfejsu. Następnie konfiguruje się interfejs g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown 
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Następnie skonfigurujemy router RTR1. Tutaj również trzeba stworzyć loopback z numerem 100:

BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable 
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#

Na RTR1 należy również utworzyć 2 wirtualne podinterfejsy dla VLAN-ów z numerami 100 i 300. Można to zrobić w następujący sposób.

Na początek należy włączyć fizyczny interfejs g0/1 poleceniem no shutdown:

RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit

Następnie tworzone i konfigurowane są podinterfejsy o numerach 100 i 300:

// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable 
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit

Numer podinterfejsu może różnić się od numeru VLAN-u, w którym będzie działać, ale dla wygody lepiej używać numeru podinterfejsu zgodnego z numerem VLAN-u. W przypadku ustawienia typu enkapsulacji podczas konfigurowania podinterfejsu, należy podać numer zgodny z numerem VLAN-u. Tak więc po poleceniu encapsulation dot1Q 300 podinterfejs będzie przepuszczał tylko pakiety VLAN-u o numerze 300.

Ostatnim w tym zadaniu będzie router RTR2. Połączenie między SW1 a RTR2 powinno być w trybie access, interfejs przełącznika będzie przepuszczać w stronę RTR2 tylko pakiety przeznaczone dla VLAN-u o numerze 300, co zostało określone w zadaniu dotyczącym topologii L2. W związku z tym na routerze RTR2 będzie konfigurowany tylko fizyczny interfejs bez tworzenia podinterfejsów:

RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#

Następnie konfiguruje się interfejs g0/0:

BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#

Na tym konfiguracja interfejsów routerów w ramach bieżącego zadania została zakończona. Konfiguracja pozostałych interfejsów będzie realizowana w miarę wykonywania kolejnych zadań.

a. Włącz mechanizm SLAAC do przydzielania adresów IPv6 w sieci MNG na interfejsie routera RTR1.
Mechanizm SLAAC jest włączony domyślnie. Jedyną rzeczą, którą należy zrobić, jest włączenie routingu IPv6. Można to zrobić następującym poleceniem:

RTR1(config-subif)#ipv6 unicast-routing

Bez tego polecenia urządzenie pełni rolę hosta. Innymi słowy, dzięki powyższemu poleceniu, możliwe jest korzystanie z dodatkowych funkcji IPv6, w tym przydzielanie adresów IPv6, konfigurowanie routingu itp.

b. Na wirtualnych interfejsach w VLAN-ie 100 (MNG) na przełącznikach SW1, SW2, SW3 włącz tryb autokonfiguracji IPv6.
Z topologii L3 widać, że przełączniki są podłączone do sieci VLAN 100. Oznacza to, że na przełącznikach należy utworzyć wirtualne interfejsy, a następnie przypisać im pobieranie adresów ipv6 domyślnie. Początkowa konfiguracja została wykonana w celu umożliwienia przełącznikom uzyskania od RTR1 adresów domyślnych. To zadanie można wykonać za pomocą następującego zestawu poleceń, odpowiednich dla wszystkich trzech przełączników:

// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit

Można to sprawdzić tą samą komendą show ipv6 interface brief:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::A8BB:CCFF:FE80:C000		// adres link-local
    2001:100::A8BB:CCFF:FE80:C000	// otrzymany adres IPv6

Oprócz adresu link-local pojawił się także adres ipv6, uzyskany z RTR1. To zadanie zostało pomyślnie wykonane, a na pozostałych przełącznikach należy wpisać te same polecenia.

c. Na WSZYSTKICH urządzeniach (z wyjątkiem PC1 i WEB) ręcznie przypisz adresy link-local
Trzydziestoznakowe adresy ipv6 nie przynoszą radości administratorom, dlatego istnieje możliwość ręcznej zmiany adresu link-local, skracając jego długość do minimalnej wartości. W zadaniach nic nie powiedziano o tym, jakie adresy wybierać, więc tutaj pozostawiono swobodny wybór.

Na przykład, na przełączniku SW1 należy ustawić link-local adres fe80::10. Można to zrobić za pomocą następującej komendy z trybu konfiguracji wybranego interfejsu:

// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса 
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit

Teraz adresacja wygląda znacznie bardziej atrakcyjnie:

SW1#show ipv6 interface brief
...
Vlan100                [up/up]
    FE80::10		// adres link-local
    2001:100::10	// adres IPv6

Oprócz adresu link-local zmienił się także otrzymany adres IPv6, ponieważ adres jest wydawany na podstawie adresu link-local.

Na przełączniku SW1 należało ustawić link-local adres tylko na jednym interfejsie. Z routerem RTR1 trzeba przeprowadzić więcej ustawień — należy ustawić link-local na dwóch podinterfejsach, na loopbacku, a w kolejnych konfiguracjach jeszcze pojawi się interfejs tunelowy 100.

Aby uniknąć zbędnego pisania komend, można przypisać ten sam adres link-local do wszystkich interfejsów jednocześnie. Można to zrobić za pomocą słowa kluczowego range z następującym wyliczeniem wszystkich interfejsów:

// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса 
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit

Podczas sprawdzania interfejsów będzie można zobaczyć, że na wszystkich wybranych interfejsach zostały zmienione adresy link-local:

RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100		[up/up]
    FE80::1
    2001:100::1
gigabitEthernet 0/1.300		[up/up]
    FE80::1
    2001:300::2
Loopback100            		[up/up]
    FE80::1
    2001:A:B::1

Wszystkie pozostałe urządzenia konfiguruje się w podobny sposób

d. Na WSZYSTKICH przełącznikach wyłącz WSZYSTKIE nieużywane porty określone w zadaniu i przekaż je do VLAN 99
Główna idea polega na tym samym sposobie wyboru kilku interfejsów do konfiguracji za pomocą komendy range, a następnie należy wpisać komendy przekazywania do odpowiedniego VLAN i kolejno wyłączenia interfejsów. Na przykład, na przełączniku SW1, zgodnie z topologią L1, porty f0/3-4, f0/7-8, f0/11-24 oraz g0/2 zostaną wyłączone. Dla tego przykładu konfiguracja będzie następująca:

// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access 
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit

Sprawdzając ustawienia za pomocą już znanej komendy, warto zwrócić uwagę, że wszystkie nieużywane porty powinny mieć status administratively down, co informuje, że port jest wyłączony:

SW1#show ip interface brief
Interface          IP-Address   OK? Method   Status                  Protocol
...
fastEthernet 0/3   unassigned   YES unset    administratively down   down

Aby sprawdzić, w jakim VLAN znajduje się port, można użyć innej komendy:

SW1#show ip vlan
...
99   VLAN0099     active    Fa0/3, Fa0/4, Fa0/7, Fa0/8
                            Fa0/11, Fa0/12, Fa0/13, Fa0/14
                            Fa0/15, Fa0/16, Fa0/17, Fa0/18
                            Fa0/19, Fa0/20, Fa0/21, Fa0/22
                            Fa0/23, Fa0/24, Gig0/2
...

Tutaj powinny znajdować się wszystkie nieużywane interfejsy. Należy zauważyć, że nie uda się przekazać interfejsów do VLAN, jeśli taki VLAN nie został utworzony. To dlatego w pierwotnej konfiguracji stworzono wszystkie niezbędne VLAN do pracy.

e. Na przełączniku SW1 włącz blokadę na 1 minutę w przypadku dwukrotnego błędnego wprowadzenia hasła w ciągu 30 sekund
Można to zrobić za pomocą następującej komendy:

// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30

Można również sprawdzić te ustawienia w następujący sposób:

SW1#show login
...
   If more than 2 login failures occur in 30 seconds or less,
     logins will be disabled for 60 seconds.
...

Gdzie jasno wyjaśniono, że po dwóch nieudanych próbach w ciągu 30 lub mniej sekund, możliwość logowania zostanie zablokowana na 60 sekund.

2. Wszystkie urządzenia muszą być dostępne do zarządzania za pomocą protokołu SSH wersji 2

Aby urządzenia były dostępne za pomocą SSH wersji 2, trzeba najpierw skonfigurować sprzęt, dlatego w celach informacyjnych najpierw konfigurowany będzie sprzęt z fabrycznymi ustawieniami.

Można zmienić wersję protokołu w następujący sposób:

// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#

System prosi o stworzenie kluczy RSA dla działania SSH wersji 2. Postępując zgodnie z zaleceniem inteligentnego systemu, klucze RSA można stworzyć za pomocą następującej komendy:

// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#

System nie pozwala na wykonanie polecenia, ponieważ hostname nie został zmieniony. Po zmianie hostname należy ponownie wpisać polecenie generowania kluczy:

Router(config)#hostname R1
R1(config)#crypto key generate rsa 
% Proszę najpierw zdefiniować nazwę domeny.
R1(config)#

Teraz system nie pozwala na utworzenie kluczy RSA z powodu braku nazwy domeny. Dopiero po ustawieniu nazwy domeny będzie możliwe utworzenie kluczy RSA. Długość kluczy RSA powinna wynosić co najmniej 768 bitów, aby SSH w wersji 2 działało:

R1(config)#ip domain-name wsrvuz19.pl
R1(config)#crypto key generate rsa
Ile bitów w module [512]: 1024
% Generowanie 1024-bitowych kluczy RSA, klucze będą nieeksportowalne...[OK]

W rezultacie konieczne jest, aby dla działania SSHv2:

  1. Zmień hostname;
  2. Zmień nazwę domeny;
  3. Wygeneruj klucze RSA.

W poprzednim artykule podano konfigurację zmiany hostname i nazwy domeny na wszystkich urządzeniach, dlatego kontynuując konfigurację bieżących urządzeń, należy tylko wygenerować klucze RSA:

RTR1(config)#crypto key generate rsa
Ile bitów w module [512]: 1024
% Generowanie 1024-bitowych kluczy RSA, klucze będą nieeksportowalne...[OK]

SSH w wersji 2 jest aktywny, ale urządzenia nie są jeszcze w pełni skonfigurowane. Ostatecznym etapem będzie konfiguracja wirtualnych konsoli:

// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit

W poprzednim artykule skonfigurowano model AAA, w którym wirtualnym konsolom przypisano uwierzytelnianie z wykorzystaniem lokalnej bazy danych, a użytkownik po uwierzytelnieniu powinien od razu przechodzić do trybu uprzywilejowanego. Najprostsza kontrola działania SSH — próba połączenia się z własnym sprzętem. Na RTR1 jest loopback z adresem IP 1.1.1.1, można spróbować połączyć się pod tym adresem:

//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password: 
RTR1#

Po kluczu -l wprowadza się login istniejącego użytkownika, a następnie hasło. Po uwierzytelnieniu następuje przejście od razu do trybu uprzywielejowanego, co oznacza, że SSH jest skonfigurowane prawidłowo.

Źródło: habr.com

Kup solidny hosting stron z ochroną przed DDoS, serwery VPS VDS 🔥 Kup solidny hosting stron z ochroną przed DDoS, serwery VPS VDS | ProHoster