Continuamos a análise das tarefas do módulo de Rede do campeonato WorldSkills na competência "Administração de Redes e Sistemas".
No artigo serão discutidas as seguintes tarefas:
- Em TODOS os dispositivos, crie interfaces virtuais, subinterfaces e interfaces do tipo loopback. Atribua endereços IP de acordo com a topologia.
- Ative o mecanismo SLAAC para a atribuição de endereços IPv6 na rede MNG na interface do roteador RTR1;
- Nas interfaces virtuais na LAN 100 (MNG) nos switches SW1, SW2, SW3, ative o modo de autoconfiguração IPv6;
- Em TODOS os dispositivos (exceto PC1 e WEB), atribua manualmente endereços link-local;
- Em TODOS os switches, desative TODAS as portas não utilizadas na tarefa e atribua-as à VLAN 99;
- No switch SW1, ative o bloqueio por 1 minuto em caso de duas tentativas incorretas de senha em 30 segundos;
- Todos os dispositivos devem estar acessíveis para gerenciamento pelo protocolo SSH versão 2.
A topologia da rede no nível físico é apresentada no esquema a seguir:
A topologia da rede no nível de enlace é apresentada no esquema a seguir:
A topologia da rede no nível de rede é apresentada no esquema a seguir:
Configuração preliminar
Antes de realizar as tarefas mencionadas, é necessário configurar a comutação básica nos switches SW1-SW3, pois será mais conveniente verificar suas configurações posteriormente. A configuração da comutação será detalhadamente descrita no próximo artigo, por enquanto, apenas as configurações serão definidas.
Primeiramente, é necessário criar VLANs com os números 99, 100 e 300 em todos os switches:
SW1(config)#vlan 99
SW1(config-vlan)#exit
SW1(config)#vlan 100
SW1(config-vlan)#exit
SW1(config)#vlan 300
SW1(config-vlan)#exit
O próximo passo será atribuir a interface g0/1 no SW1 à VLAN com o número 300:
SW1(config)#interface gigabitEthernet 0/1
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 300
SW1(config-if)#exit
As interfaces f0/1-2, f0/5-6, que se conectam a outros switches, devem ser configuradas para o modo trunk:
SW1(config)#interface range fastEthernet 0/1-2, fastEthernet 0/5-6
SW1(config-if-range)#switchport trunk encapsulation dot1q
SW1(config-if-range)#switchport mode trunk
SW1(config-if-range)#exit
No switch SW2, em modo trunk estarão as interfaces f0/1-4:
SW2(config)#interface range fastEthernet 0/1-4
SW2(config-if-range)#switchport trunk encapsulation dot1q
SW2(config-if-range)#switchport mode trunk
SW2(config-if-range)#exit
No switch SW3, em modo trunk estarão as interfaces f0/3-6, g0/1:
SW3(config)#interface range fastEthernet 0/3-6, gigabitEthernet 0/1
SW3(config-if-range)#switchport trunk encapsulation dot1q
SW3(config-if-range)#switchport mode trunk
SW3(config-if-range)#exit
Nesta etapa, a configuração dos switches permitirá a troca de pacotes com marcação, o que será necessário para a realização das tarefas.
1. Em TODOS os dispositivos, crie interfaces virtuais, subinterfaces e interfaces do tipo loopback. Atribua endereços IP de acordo com a topologia.
O primeiro a ser configurado será o roteador BR1. De acordo com a topologia L3, aqui é necessário configurar uma interface do tipo loopback, chamada loopback, com o número 101:
// Создание loopback
BR1(config)#interface loopback 101
// Назначение ipv4-адреса
BR1(config-if)#ip address 2.2.2.2 255.255.255.255
// Включение ipv6 на интерфейсе
BR1(config-if)#ipv6 enable
// Назначение ipv6-адреса
BR1(config-if)#ipv6 address 2001:B:A::1/64
// Выход из режима конфигурирования интерфейса
BR1(config-if)#exit
BR1(config)#
Para verificar o estado da interface criada, pode-se usar o comando show ipv6 interface brief:
BR1#show ipv6 interface brief
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 //endereço link-local
2001:B:A::1 //endereço IPv6
...
BR1#
Aqui é possível ver que o loopback está ativo, seu estado UP. Se você olhar abaixo, poderá ver dois endereços IPv6, embora tenha sido usado apenas um comando para configurar o endereço IPv6. Isto se deve ao fato de que FE80::2D0:97FF:FE94:5022 — é um endereço link-local que é atribuído ao habilitar o ipv6 na interface com o comando ipv6 enable.
E para visualizar o endereço IPv4, utiliza-se um comando semelhante:
BR1#show ip interface brief
...
Loopback101 2.2.2.2 YES manual up up
...
BR1#
Para o BR1, deve-se configurar imediatamente a interface g0/0; aqui é necessário apenas atribuir um endereço IPv6:
// Переход в режим конфигурирования интерфейса
BR1(config)#interface gigabitEthernet 0/0
// Включение интерфейса
BR1(config-if)#no shutdown
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:B:C::1/64
BR1(config-if)#exit
BR1(config)#
As configurações podem ser verificadas com o mesmo comando show ipv6 interface brief:
BR1#show ipv6 interface brief
GigabitEthernet0/0 [up/up]
FE80::290:CFF:FE9D:4624 //endereço link-local
2001:B:C::1 //endereço IPv6
...
Loopback101 [up/up]
FE80::2D0:97FF:FE94:5022 //endereço link-local
2001:B:A::1 //endereço IPv6
Em seguida, será configurado o roteador ISP. Aqui, conforme a tarefa, será configurado o loopback com o número 0, mas também é preferível configurar a interface g0/0, que deverá ter o endereço 30.30.30.1, porque nas tarefas subsequentes nada será dito sobre a configuração dessas interfaces. Primeiro, o loopback com o número 0 é configurado:
ISP(config)#interface loopback 0
ISP(config-if)#ip address 8.8.8.8 255.255.255.255
ISP(config-if)#ipv6 enable
ISP(config-if)#ipv6 address 2001:A:C::1/64
ISP(config-if)#exit
ISP(config)#
Comando show ipv6 interface brief é possível verificar a correção da configuração da interface. Em seguida, configura-se a interface g0/0:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.1 255.255.255.252
BR1(config-if)#exit
BR1(config)#
Em seguida, será configurado o roteador RTR1. Aqui também é necessário criar um loopback com o número 100:
BR1(config)#interface loopback 100
BR1(config-if)#ip address 1.1.1.1 255.255.255.255
BR1(config-if)#ipv6 enable
BR1(config-if)#ipv6 address 2001:A:B::1/64
BR1(config-if)#exit
BR1(config)#
Além disso, no RTR1, é necessário criar 2 subinterfaces virtuais para os vlans com os números 100 e 300. Isso pode ser feito da seguinte maneira.
Para começar, deve-se ativar a interface física g0/1 com o comando no shutdown:
RTR1(config)#interface gigabitEthernet 0/1
RTR1(config-if)#no shutdown
RTR1(config-if)#exit
Em seguida, as subinterfaces com os números 100 e 300 são criadas e configuradas:
// Создание подынтерфейса с номером 100 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.100
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 100
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:100::1/64
RTR1(config-subif)#exit
// Создание подынтерфейса с номером 300 и переход к его настройке
RTR1(config)#interface gigabitEthernet 0/1.300
// Установка инкапсуляции типа dot1q с номером vlan'a 100
RTR1(config-subif)#encapsulation dot1Q 300
RTR1(config-subif)#ipv6 enable
RTR1(config-subif)#ipv6 address 2001:300::2/64
RTR1(config-subif)#exit
O número da subinterface pode ser diferente do número do vlan em que ela irá operar, mas para conveniência, é melhor usar o número da subinterface que coincide com o número do vlan. Caso o tipo de encapsulamento seja configurado ao ajustar a subinterface, deve-se especificar um número que coincida com o número do vlan. Assim, após o comando encapsulation dot1Q 300 a subinterface apenas permitirá pacotes do vlan com o número 300.
O último nesta tarefa será o roteador RTR2. A conexão entre SW1 e RTR2 deve estar no modo access, a interface do switch permitirá apenas pacotes destinados ao vlan com o número 300, conforme indicado na tarefa da topologia L2. Portanto, no roteador RTR2, apenas a interface física será configurada, sem criação de subinterfaces:
RTR2(config)#interface gigabitEthernet 0/1
RTR2(config-if)#no shutdown
RTR2(config-if)#ipv6 enable
RTR2(config-if)#ipv6 address 2001:300::3/64
RTR2(config-if)#exit
RTR2(config)#
Em seguida, a interface g0/0 é configurada:
BR1(config)#interface gigabitEthernet 0/0
BR1(config-if)#no shutdown
BR1(config-if)#ip address 30.30.30.2 255.255.255.252
BR1(config-if)#exit
BR1(config)#
Com isso, a configuração das interfaces dos roteadores para a tarefa atual está concluída. A configuração das outras interfaces será realizada à medida que as próximas tarefas forem executadas.
a. Ative o mecanismo SLAAC para atribuição de endereços IPv6 na rede MNG na interface do roteador RTR1.
O mecanismo SLAAC está ativado por padrão. A única coisa que precisa ser feita é habilitar o roteamento IPv6. Isso pode ser feito com o seguinte comando:
RTR1(config-subif)#ipv6 unicast-routing
Sem esse comando, o equipamento funciona como um host. Em outras palavras, graças ao comando mencionado acima, é possível utilizar funções adicionais do ipv6, incluindo a atribuição de endereços ipv6, configurar roteamento e outras funções.
b. Nas interfaces virtuais na VLAN 100 (MNG) nos switches SW1, SW2, SW3, ative o modo de autoconfiguração IPv6.
A topologia L3 mostra que os switches estão conectados à rede VLAN 100. Isso significa que é necessário criar interfaces virtuais nos switches e, em seguida, atribuir-lhes a obtenção de endereços ipv6 por padrão. A configuração inicial foi feita exatamente para que os switches pudessem receber endereços padrão do RTR1. Essa tarefa pode ser realizada com a seguinte lista de comandos, aplicáveis a todos os três switches:
// Создание виртуального интерфейса
SW1(config)#interface vlan 100
SW1(config-if)#ipv6 enable
// Получение ipv6 адреса автоматически
SW1(config-if)#ipv6 address autoconfig
SW1(config-if)#exit
É possível verificar tudo com o mesmo comando show ipv6 interface brief:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::A8BB:CCFF:FE80:C000 // endereço link-local
2001:100::A8BB:CCFF:FE80:C000 // endereço IPv6 obtido
Além do endereço link-local, um endereço ipv6 foi obtido do RTR1. Esta tarefa foi concluída com sucesso, e nos outros switches é necessário escrever os mesmos comandos.
c. Em TODOS os dispositivos (exceto PC1 e WEB), atribua manualmente os endereços link-local
Endereços ipv6 de trinta dígitos não agradam os administradores, por isso há a possibilidade de alterar manualmente o link-local, reduzindo-o ao mínimo. Nas tarefas, nada é mencionado sobre quais endereços escolher, portanto, há liberdade de escolha aqui.
Por exemplo, no switch SW1, deve-se definir o endereço link-local fe80::10. Isso pode ser feito com o seguinte comando no modo de configuração da interface escolhida:
// Вход в виртуальный интерфейс vlan 100
SW1(config)#interface vlan 100
// Ручная установка link-local адреса
SW1(config-if)#ipv6 address fe80::10 link-local
SW1(config-if)#exit
Agora a endereçamento parece muito mais atraente:
SW1#show ipv6 interface brief
...
Vlan100 [up/up]
FE80::10 // endereço link-local
2001:100::10 // endereço IPv6
Além do endereço link-local, o endereço IPv6 obtido também mudou, pois ele é emitido com base no endereço link-local.
No switch SW1, era necessário definir o endereço link-local em apenas uma interface. Com o roteador RTR1, mais configurações precisam ser feitas — é necessário definir o link-local em duas subinterfaces, no loopback, e, nas configurações subsequentes, aparecerá também a interface tunnel 100.
Para evitar escrever comandos desnecessários, pode-se atribuir o mesmo endereço link-local a todas as interfaces de uma só vez. Isso pode ser feito com a palavra-chave range seguida pela listagem de todas as interfaces:
// Переход к настройке нескольких интерфейсов
RTR1(config)#interface range gigabitEthernet 0/1.100, gigabitEthernet 0/1.300, loopback 100
// Ручная установка link-local адреса
RTR1(config-if)#ipv6 address fe80::1 link-local
RTR1(config-if)#exit
Ao verificar as interfaces, é possível ver que os endereços link-local foram alterados em todas as interfaces selecionadas:
RTR1#show ipv6 interface brief
gigabitEthernet 0/1.100 [up/up]
FE80::1
2001:100::1
gigabitEthernet 0/1.300 [up/up]
FE80::1
2001:300::2
Loopback100 [up/up]
FE80::1
2001:A:B::1
Todos os outros dispositivos são configurados da mesma forma.
d. Em TODOS os switches, desative TODAS as portas não utilizadas no exercício e atribua-as ao VLAN 99.
A ideia principal está na mesma abordagem de seleção de várias interfaces para configuração através do comando. range, e depois escrever os comandos para transferência para o VLAN desejado e desativação das interfaces. Por exemplo, no switch SW1, de acordo com a topologia L1, as portas f0/3-4, f0/7-8, f0/11-24 e g0/2 serão desativadas. Para este exemplo, a configuração ficará assim:
// Выбор всех неиспользуемых портов
SW1(config)#interface range fastEthernet 0/3-4, fastEthernet 0/7-8, fastEthernet 0/11-24, gigabitEthernet 0/2
// Установка режима access на интерфейсах
SW1(config-if-range)#switchport mode access
// Перевод в VLAN 99 интерфейсов
SW1(config-if-range)#switchport access vlan 99
// Выключение интерфейсов
SW1(config-if-range)#shutdown
SW1(config-if-range)#exit
Verificando as configurações com um comando já conhecido, é importante observar que todas as portas não utilizadas devem ter o status administratively down, indicando que a porta está desligada:
SW1#show ip interface brief
Interface IP-Address OK? Method Status Protocol
...
fastEthernet 0/3 unassigned YES unset administratively down down
Para ver em qual vlan a porta está, pode ser utilizado outro comando:
SW1#show ip vlan
...
99 VLAN0099 active Fa0/3, Fa0/4, Fa0/7, Fa0/8
Fa0/11, Fa0/12, Fa0/13, Fa0/14
Fa0/15, Fa0/16, Fa0/17, Fa0/18
Fa0/19, Fa0/20, Fa0/21, Fa0/22
Fa0/23, Fa0/24, Gig0/2
...
Aqui devem estar todas as interfaces não utilizadas. Vale ressaltar que não será possível transferir interfaces para o vlan se esse vlan não foi criado. Essa foi a finalidade de criar todos os vlans necessários na configuração inicial.
e. No switch SW1, ative o bloqueio por 1 minuto em caso de duas entradas incorretas de senha dentro de 30 segundos.
Isso pode ser feito com o seguinte comando:
// Блокировка на 60с; Попытки: 2; В течение: 30с
SW1#login block-for 60 attempts 2 within 30
Você também pode verificar essas configurações da seguinte forma:
SW1#show login
...
Se houver mais de 2 falhas de login em 30 segundos ou menos,
os logins serão desativados por 60 segundos.
...
Onde fica claro que após duas tentativas malsucedidas em 30 segundos ou menos, a possibilidade de login será bloqueada por 60 segundos.
2. Todos os dispositivos devem estar acessíveis para gerenciamento pelo protocolo SSH versão 2.
Para que os dispositivos estejam acessíveis via SSH versão 2, é necessário configurar o equipamento previamente; portanto, para fins informativos, primeiro será configurado o equipamento com as configurações de fábrica.
A versão do protocolo pode ser alterada da seguinte forma:
// Установить версию SSH версии 2
Router(config)#ip ssh version 2
Please create RSA keys (of at least 768 bits size) to enable SSH v2.
Router(config)#
O sistema solicita a criação de chaves RSA para o funcionamento do SSH versão 2. Seguindo o conselho do sistema inteligente, as chaves RSA podem ser criadas com o seguinte comando:
// Создание RSA ключей
Router(config)#crypto key generate rsa
% Please define a hostname other than Router.
Router(config)#
O sistema não permite executar o comando porque o hostname não foi alterado. Após alterar o hostname, é necessário executar o comando de geração de chaves novamente:
Router(config)#hostname R1
R1(config)#crypto key generate rsa
% Por favor, defina um nome de domínio primeiro.
R1(config)#
Agora o sistema não permite criar chaves RSA devido à ausência de um nome de domínio. Somente após a definição do nome de domínio será possível criar chaves RSA. O comprimento das chaves RSA deve ser de pelo menos 768 bits para garantir o funcionamento do SSH versão 2:
R1(config)#ip domain-name wsrvuz19.ru
R1(config)#crypto key generate rsa
Quantos bits no módulo [512]: 1024
% Gerando chaves RSA de 1024 bits, as chaves não serão exportáveis...[OK]
Como resultado, para o funcionamento do SSHv2 é necessário:
- Alterar o hostname;
- Alterar o nome de domínio;
- Gerar as chaves RSA.
No artigo anterior, foi apresentada a configuração para alterar o hostname e o nome de domínio em todos os dispositivos, portanto, continuando a configuração dos dispositivos atuais, é necessário apenas gerar as chaves RSA:
RTR1(config)#crypto key generate rsa
Quantos bits no módulo [512]: 1024
% Gerando chaves RSA de 1024 bits, as chaves não serão exportáveis...[OK]
O SSH versão 2 está ativado, mas os dispositivos ainda não estão configurados completamente. A etapa final será a configuração dos consoles virtuais:
// Переход к настройке виртуальных консолей
R1(config)#line vty 0 4
// Разрешение удаленного подключения только по протоколу SSH
RTR1(config-line)#transport input ssh
RTR1(config-line)#exit
No artigo anterior, foi configurado o modelo AAA, onde a autenticação nos consoles virtuais foi definida utilizando a base de dados local, e o usuário, após a autenticação, deveria acessar diretamente o modo privilegiado. A verificação mais simples do funcionamento do SSH é uma tentativa de se conectar ao próprio equipamento. No RTR1, há um loopback com o endereço IP 1.1.1.1, pode-se tentar conectar-se através deste endereço:
//Подключение по ssh
RTR1(config)#do ssh -l wsrvuz19 1.1.1.1
Password:
RTR1#
Após a chave --selector é necessário inserir o login de um usuário existente e, em seguida, a senha. Após a autenticação, ocorre uma transição direta para o modo privilegiado, o que significa que o SSH está configurado corretamente.
Fonte: habr.com
