ZADANIE.09 Syslog, SNMP (Syslog, SNMP) 1,5h

Transkrypt

1 Imię Nazwisko ZADANIE.09 Syslog, SNMP (Syslog, SNMP) 1,5h 1. Zbudować sieć laboratoryjną 2. Czynności wstępne 3. Syslog 4. SNMP 5. Czynności końcowe - 1 -

2 1. Zbudować sieć laboratoryjną Zadanie Zbudować sieć laboratoryjną zgodnie z przedstawioną poniżej topologią. Topologia sieci laboratoryjnej / 28 OUTSIDE dmz security-level 50 outside security-level / 25 subinterfaces, trunk / / 16 VLAN Admin sec.lev / 16 VLAN Dyrekcja sec.lev / 16 VLAN Pracownicy sec.lev

3 2. Czynności wstępne Usunąć, jeśli istnieją, hasła i konfiguracje urządzeń. Przywrócić konfiguracje urządzeń z poprzedniego zadania. Sprawdzić za pomocą programu ping działanie interfejsów: o z hosta w sieci inside_admin adres podinterfejsu inside_admin ASA: o z hosta w sieci inside_dyrekcja adres podinterfejsu inside_dyrekcja ASA: o z hosta w sieci inside_pracownicy adres podinterfejsu inside_pracownicy ASA: o z hosta wewnątrz sieci dmz adres interfejsu dmz ASA: o z hosta wewnątrz sieci outside adres interfejsu Routera: o z hosta wewnątrz sieci outside adres interfejsu outside ASA: Zainstalować w strefie dmz, outside i inside_pracownicy po jednym serwerze FTP i HTTP (np. TYPSoft FTP Server oraz Apache). Utworzyć na każdym serwerze FTP przynajmniej jedno konto z uprawnieniami do dowolnego folderu na dysku. Utworzyć na każdym serwerze HTTP prostą stronę z informacją o położeniu serwera. Przeprowadzić testy: o Czy można połączyć się z sieci inside_admin do serwera FTP w dmz? o Czy można połączyć się z sieci inside_pracownicy do serwera HTTP w outside? o Czy można połączyć się z sieci inside_pracownicy do serwera HTTP w dmz? o Czy można połączyć się z sieci inside_pracownicy do serwera FTP w dmz? o Czy można połączyć się z sieci inside_pracownicy do serwera FTP w outside? o Czy można połączyć się z sieci inside_dyrekcja do serwera HTTP w outside? o Czy można połączyć się z sieci inside_dyrekcja do serwera FTP w inside_pracownicy? o Czy można połączyć się ze strefy dmz do serwera FTP w strefie outside? o Czy można połączyć się ze strefy outside do serwera FTP w strefie dmz? - 3 -

4 3. Syslog Zadanie Skonfigurować dwa serwery Syslog: (np. Kiwi Syslog sprawdzić po instalacji czy działa za pomocą wewnętrznego testu) o w sieci inside_admin o w sieci OUTSIDE Skonfigurować rejestrowanie zdarzeń na serwerach Syslog zgodnie z poniższą tabelą: Urządzenie Parametry Syslog Serwer: OUTSIDE Wysyłane poziomy ważności: 0 6 Znacznik czasowy: czas pracy urządzenia Kod źródła: local2 Serwer: inside_admin Wysyłane poziomy ważności: 0 4 Znacznik czasowy: czas pracy urządzenia Kod źródła: local1 Serwer: inside_admin Wysyłane poziomy ważności: 0 6 Znacznik czasowy: czas bieżący Kod źródła: local0 Materiał pomocniczy Idea Syslog Syslog służy do rejestrowania zdarzeń. Zdarzenia systemowe są zazwyczaj rejestrowane (zgłaszane) na konsoli systemu, chyba że funkcja ta zostanie wyłączona. Syslog to mechanizm przeznaczony dla aplikacji, procesów i systemu operacyjnego urządzeń Cisco, służący do raportowania aktywności i stanów błędów. Protokół Syslog umożliwia urządzeniom Cisco wysłanie z własnej inicjatywy komunikatów do stacji zarządzania siecią. Każdy zarejestrowany komunikat Syslog zawiera: znacznik czasowy, wskazanie urządzenia, poziom ważności oraz komunikat tekstowy. Te komunikaty to czasami jedyny sposób na uzyskanie wglądu w przyczyny nieprawidłowego działania urządzenia

5 Poziom ważności określa istotność komunikatu o błędzie. Istnieje osiem poziomów ważności, od 0 do 7, przy czym poziom 0 jest najbardziej istotny, a poziom 7 jest najmniej istotny

6 Konfiguracja urządzeń Włączenie rejestrowania zdarzeń do wszystkich miejsc docelowych: hostname(config)# logging on Wysyłanie komunikatów do serwera Syslog o podanym adresie IP: hostname(config)# logging <adres_ip> Ustawienie rejestrowania zdarzeń o wybranym poziomie ważności: hostname(config)# logging trap <nazwa_poziomu> Określenie znacznika czasowego dodawanego do rejestrowanego komunikatu: hostname(config)#service timestamps log <datetime uptime> Ustalenie kodu źródła: hostname(config)# logging facility <nazwa> Włączenie rejestrowania zdarzeń do wszystkich miejsc docelowych: ASA(config)# logging on Wysyłanie komunikatów do serwera Syslog o podanym adresie IP: ASA(config)# logging host <nazwa_interfejsu> <adres_ip> Ustawienie rejestrowania zdarzeń o wybranym poziomie ważności: ASA(config)# logging trap <nazwa_poziomu> Określenie znacznika czasowego dodawanego do rejestrowanego komunikatu: ASA(config)# logging timestamp - 6 -

7 Ustalenie kodu źródła: ASA(config)# logging facility <numer> Weryfikacja Syslog hostname# show logging show system syslog - 7 -

8 Sprawozdanie Przeprowadzić testy: o Rozpocząć konfigurację urządzenia poprzez SSH, następnie wejść i wyjść z trybu konfiguracji globalnej. Czy serwer Syslog otrzymał komunikat z Routera? Jaki jest poziom ważności tego komunikatu? Jaka jest treść tego komunikatu? Podać czas zawarty w komunikacie: o Odłączyć kabel od jednego z aktywnych interfejsów fizycznych (tylko nie ten, przez który urządzenie komunikuje się z serwerem Sysylog!). Czy serwer Syslog otrzymał komunikat z Routera? Jaki jest poziom ważności tego komunikatu? Podać czas zawarty w komunikacie: Przeprowadzić testy: o Rozpocząć konfigurację urządzenia poprzez TELNET, następnie wejść i wyjść z trybu konfiguracji globalnej. Czy serwer Syslog otrzymał komunikat ze Switch? Jaki jest poziom ważności tego komunikatu? Jaka jest treść tego komunikatu? Podać czas zawarty w komunikacie: o Odłączyć kabel od jednego z aktywnych interfejsów fizycznych (tylko nie ten, przez który urządzenie komunikuje się z serwerem Sysylog!). Czy serwer Syslog otrzymał komunikat ze Switch? Jaki jest poziom ważności tego komunikatu? Podać czas zawarty w komunikacie: - 8 -

9 Przeprowadzić testy: o Rozpocząć konfigurację urządzenia poprzez SSH, następnie wejść i wyjść z trybu konfiguracji globalnej. Czy serwer Syslog otrzymał komunikat z ASA? Jaki jest poziom ważności tego komunikatu? Jaka jest treść tego komunikatu? Podać czas zawarty w komunikacie: o Odłączyć kabel od jednego z aktywnych interfejsów fizycznych (tylko nie ten, przez który urządzenie komunikuje się z serwerem Sysylog!). Czy serwer Syslog otrzymał komunikat z ASA? Jaki jest poziom ważności tego komunikatu? Podać czas zawarty w komunikacie: o Połączyć się z sieci inside_pracownicy do serwera HTTP w outside. Czy serwer Syslog otrzymał komunikat z ASA? Jaki jest poziom ważności tego komunikatu? Jaka jest treść tego komunikatu? Podać czas zawarty w komunikacie: - 9 -

10 4. SNMP (ang. Simple Network Management Protocol) Zadanie Instalacja i konfiguracja serwera SNMP (AdRem SNMP Manager): Zainstalować w sieci inside-admin (VLAN 2) serwer/menadżer SNMP (np. AdRem SNMP Manager). Skonfigurować serwer/menadżer SNMP (klientami będą ASA i Switch): o Dodać profil dla ASA (Tools->Options->SNMP Profiles): Tryb Read: Wersja SNMP: 2c Hasło: dowolne Tryb Write: wyłączony o Dodać profil dla Switch (Tools->Options->SNMP Profiles): Tryb Read: Wersja SNMP: 3 auth Protokół uwierzytelniania: HMAC-MD5-96 Użytkownik: dowolny Hasło: dowolne Tryb Write: wyłączony o Skonfigurować węzeł dla ASA (Node->Add): Podać IP ASA. Wybrać profil ASA dla węzła (prawy przycisk myszy na wierszu węzła i pozycja Properties). o Skonfigurować węzeł dla Switch (Node->Add): Podać IP Switch. Wybrać profil Switch dla węzła (prawy przycisk myszy na wierszu węzła i pozycja Properties). o Włączyć odbieranie pułapek (w oknie głównym programu, na dolnym pasku włączanie/wyłączanie odbierania pułapek SNMP: Trap Receiver Started)

11 Instalacja i konfiguracja serwera SNMP (The Dude): Zainstalować w sieci inside-admin (VLAN 2) serwer/menadżer SNMP (np. The Dude network monitor)

12 Konfiguracja agentów SNMP na urządzeniach sieciowych: Skonfigurować agentów SNMP zgodnie z poniższą tabelą: Urządzenie Parametry agenta SNMP Serwer: inside_admin Wersja: 3 Poziom bezpieczeństwa: auth Protokół uwierzytelniania: HMAC-MD5-96 Grupa: dowolna Użytkownik: dowolny Hasło: dowolne Pułapki: interfejs up, interfejs down Serwer: inside_admin Wersja: 2c Hasło: dowolne Pułapki: interfejs up, interfejs down Materiał pomocniczy Idea SNMP SNMP (ang. Simple Network Management Protocol) jest protokołem warstwy aplikacji służącym do monitorowania i zarządzania pracą węzłów sieci komputerowej. Obecnie używane wersje SNMP to 1, 2c i 3. SNMP korzysta w warstwie transportowej z UDP (porty 161, 162)

13 Konfiguracja agenta SNMP (v2c) Ustawienie hasła do komunikacji z menadżerem SNMP: ASA(config)# snmp-server community <hasło> Konfiguracja ustawień menadżera SNMP: ASA(config)# snmp-server host <nazwa_interfejsu> <adres_serwera> community <hasło> version <1 2c> Ustalenie, które pułapki SNMP mają być wysyłane do managera: ASA(config)# snmp-server enable traps snmp <authentication> <coldstart> <linkup> <linkdown> Konfiguracja agenta SNMP (v3) Konfiguracja engineid dla SNMP v3: Switch(config)# snmp-server engineid remote <adres_serwera> <id_silnika> Konfiguracja grupy: Switch(config)# snmp-server group <nazwa_grupy> <v1 v2c v3> <auth noauth priv> Konfiguracja użytkownika z hasłem w wybranej grupie oraz do wybranego serwera: Switch(config)# snmp-server user <użytkownik> <nazwa_grupy> remote <adres_serwera> v3 auth <md5 sha> <hasło> Switch(config)# snmp-server user <użytkownik> <nazwa_grupy> v3 auth <md5 sha> <hasło>

14 Konfiguracja ustawień serwera/menedżera SNMP: Switch(config)# snmp-server host <adres_serwera> informs version 3 auth <użytkownik> config Włączenie przesyłania pułapek do managera SNMP: Switch(config)# snmp-server enable traps Wyjaśnienie pojęć: id_silnika - identyfikator urządzenia, minimum 10 hexadecymalnych znaków. adres_serwera adres IP serwera/menadżera SNMP. Weryfikacja działania SNMP Informacje o pakietach SNMP: hostname# show snmp-server statistics

15 Weryfikacja SNMP: show snmp Przejście MIB i pobranie danych: user@router> show snmp mib walk jnxoperatingdescr Sprawozdanie Przeprowadzić testy: o Kliknąć dwukrotnie na węźle ASA. Czy manager SNMP odczytał dane z ASA? Podaj adresy fizyczne interfejsów ASA (także podinterfejsów): o Wygenerować pułapkę (np. poprzez odłączenie kabla od interfejsu outside). Czy manager SNMP odebrał pułapkę z ASA? Podaj OID tej pułapki: Przeprowadzić testy: o Kliknąć dwukrotnie na węźle Switch. Czy manager SNMP odczytał dane ze Switch? Podaj adres fizyczny interfejsu FastEthernet 0/20: 5. Czynności końcowe Zapisać konfiguracje urządzeń na serwer TFTP. Zgrać konfiguracje na pendrive