ZADANIE.07. Procesy Bezpieczeństwa Sieciowego v.2011alfa ZADANIE.07. VPN RA Virtual Private Network Remote Access (Router) - 1 -

Wielkość: px

Rozpocząć pokaz od strony:

Download "ZADANIE.07. Procesy Bezpieczeństwa Sieciowego v.2011alfa ZADANIE.07. VPN RA Virtual Private Network Remote Access (Router) - 1 -"

Patrycja Żurek
8 lat temu
Przeglądów:

1 Imię Nazwisko ZADANIE.07 VPN RA Virtual Private Network Remote Access (Router) - 1 -

2 /28 ISP LDZ dmz security-level 50 ISP BACKBONE /28 outside security-level 0 subinterfaces, trunk / G.0.0/16 10.G.99.0/24 VLAN Admin sec.lev G.10.0/ /28 ISP WRO VLAN Dyrekcja sec.lev G.20.0/24 VLAN Pracownicy sec.lev.80 ISP GDA /28 dmz security-level 50 dmz security-level 50 outside security-level /26 outside security-level /26 subinterfaces, trunk G.0.0/16 subinterfaces, trunk G.0.0/16 10.G.99.0/24 VLAN Admin sec.lev G.99.0/24 VLAN Admin sec.lev G.10.0/24 10.G.10.0/24 VLAN Dyrekcja sec.lev G.20.0/24 VLAN Pracownicy sec.lev.80 VLAN Dyrekcja sec.lev G.20.0/24 VLAN Pracownicy sec.lev

191.89.128/26 outside security-level 0 212.191.89.64/26 subinterfaces, trunk 172.16+G.0.0/16 subinterfaces, trunk 172.16+G.0.0/16 10.G.99.0/24 VLAN Admin sec.lev.95 10.G.99.0/24 VLAN Admin sec.lev.95 10.G.10.0/24 10.

3 1. Konfigurowanie serwera VPN RA Zadania Skonfigurować serwer VPN RA na Router: Serwer ma przyjmować połączenia na interfejsie serial Możliwość realizacji połączeń do sieci outside Identyfikatorem serwera ma być adres IP interfejsu serial Pula adresów dla klientów VPN RA: G.0/24 Rodzaj tunelu: ipsec-ra IKE Phase 1: polityka ISAKMP (parametry wymagane w trakcie negocjacji połączenia z klientem VPN RA) o dowolnym priorytecie: o uwierzytelnianie: pre-share o szyfrowanie: 3des o funkcja hash: sha o grupa DH: 2 o czas życia: 1h IKE Phase 2: o protokół: esp o szyfrowanie: 3des o uwierzytelnianie: sha-hmac - 3 -

0/24 Rodzaj tunelu: ipsec-ra IKE Phase 1: polityka ISAKMP (parametry wymagane w trakcie negocjacji połączenia z klientem VPN RA) o dowolnym priorytecie: o

4 Materiał pomocniczy Ustawienie polityki AAA Włączyć AAA: Router(config)# aaa new-model (Opcja) Zmienić tekst wyświetlany kiedy użytkownik zostanie zapytany o hasło: Router(config)# aaa authentication password-prompt text-string (Opcja) Zmienić tekst wyświetlany kiedy użytkownik zostanie zapytany o nazwę użytkownika: Router(config)# aaa authentication username prompt text-string Ustawić metodę (bazę) uwierzytelniania AAA przy logowaniu (baza local i baza RADIUS mogą być ustawione jednocześnie, będą odpytywane w wybranej kolejności, do pierwszej aktywnej): Router(config)# aaa authentication login list-name method1 [method2...] Ustawić metodę (bazę) autoryzacji AAA dla usług sieciowych (baza local i baza RADIUS mogą być ustawione jednocześnie, będą odpytywane w wybranej kolejności, do pierwszej aktywnej): Router(config)# aaa authorization network list-name method1 [method2...] - 4 -

(bazę) uwierzytelniania AAA przy logowaniu (baza local i baza RADIUS mogą być ustawione jednocześnie, będą odpytywane w wybranej kolejności, do pierwszej aktywnej): Router(config)# aaa authentication

5 Zdefiniować użytkowników w bazie local jeśli RADIUS albo TACACS+ nie będą używane: Router(config)# username name password encryption-type password Utworzenie polityki ISAKMP Skonfigurować politykę ISAKMP: Router(config)# crypto isakmp policy nr Router(config-isakmp)# encryption method Router(config-isakmp)# hash method Router(config-isakmp)# authentication method Router(config-isakmp)# group nr Definiowanie polityki dla grupy Ustalić lokalną pulę adresów IP, która będzie użyta gdy klient VPN RA połączy się: Router(config)# ip local pool ippool start_ip end_ip Przejść do konfiguracji parametrów / polityki ISAKMP dla profilu grupy: Router(config)# crypto isakmp client configuration group group-name Określić klucz współdzielony dla grupy: Router(config-isakmp-group)# key name - 5 -

nr Definiowanie polityki dla grupy Ustalić lokalną pulę adresów IP, która będzie użyta gdy klient VPN RA połączy się: Router(config)# ip local pool ippool start_ip end_ip Przejść do konfiguracji

6 (Opcja) Określić podstawowy i zapasowy serwer DNS dla grupy: Router(config-isakmp-group)# dns primary-server secondary-server (Opcja) Określić podstawowy i zapasowy serwer WINS dla grupy: Router(config-isakmp-group)# wins primary-server secondary-server (Opcja) Określić domenę DNS, do której grupa należy: Router(config-isakmp-group)# domain name Określić lokalną pulę adresów dla klientów VPN RA (pule mogą być zdefiniowane niezależnie dla każdej grupy): Router(config-isakmp-group)# pool ippool (Opcja) Określić maskę podsieci, która zostanie przypisana klientowi VPN RA dla lokalnych połączeń (zaleca się stosowanie maski /32): Router(config-isakmp-group)# netmask IP_mask (Opcja) Skonfigurować split tunneling (ACL reprezentuje chronioną podsieć dla split tunneling): Router(config-isakmp-group)# acl number Utworzenie crypto map i dodanie do niej parametrów grupy oraz polityki AAA Konfiguracja trybu w jakim będą obsługiwane żądania od klientów VPN RA (Cisco clients require the respond keyword to be used; however, if - 6 -

klientów VPN RA (pule mogą być zdefiniowane niezależnie dla każdej grupy): Router(config-isakmp-group)# pool ippool (Opcja) Określić maskę podsieci, która zostanie przypisana klientowi VPN RA dla

7 the Cisco Secure VPN Client 1.x is used, the initiate keyword must be used; initiate and respond keywords may be used simultaneously): Router(config)# crypto map map-name client configuration address [initiate respond] Włączyć autoryzację IKE dla grupy kiedy jest żądana przez klienta VPN RA (argument list-name określa jaka polityka AAA skonfigurowana poleceniem aaa authorization network będzie użyta): Router(config)# crypto map map-name isakmp authorization list list-name Włączyć uwierzytelnianie (argument list-name określa jaka polityka AAA skonfigurowana poleceniem aaa authentication login będzie użyta): Router(config)# crypto map map-name client authentication list list-name Przypisać dynamic crypto map (wcześniej zdefiniować dynamic crypto map): Router(config)# crypto map map-name nr ipsec-isakmp dynamic dyn-map Włączenie Reverse Route Injection dla klientów VPN RA Określić metodę szyfrowania i funkcję skrótu jakie będą powiązane z dynamic crypto map: Router(config)# crypto ipsec transform-set t-set enc hmac Router(cfg-crypto-trans)# exit - 7 -

autoryzację IKE dla grupy kiedy jest żądana przez klienta VPN RA (argument list-name określa jaka polityka AAA skonfigurowana poleceniem aaa authorization network będzie użyta): Router(config)#

8 Utworzyć dynamic crypto map i przejść do trybu jej konfiguracji: Router(config)# crypto dynamic-map dyn-map nr Określić metodę szyfrowania i funkcję skrótu jakie będą dozwolone dla tej dynamic crypto map: Router(config-crypto-map)# set transform-set t-set Określić informację o proxy: Router(config-crypto-map)# reverse-route Przpisanie crypto map do wybranego interfejsu Router(config)# interface name nr Router(config-if)# crypto map map-name - 8 -

Router(config-crypto-map)# set transform-set t-set Określić informację o proxy: Router(config-crypto-map)#

9 2. Konfigurowanie klienta VPN RA Zadania Na hostach PC w strefach outside oraz Pracownicy lokalizacji LDZ, WRO i GDA zainstalować klienta Cisco VPN RA i skonfigurować 3 połączenia do każdej strefy outside przy lokalizacji LDZ, WRO i GDA wg poniższych wytycznych: o Utworzyć nowe połączenia. o Skonfigurować nazwę dla tego połączenia oraz podać adres IP Router. o W zakładce Authentication wybrać Group Authentication i wprowadzić dane (nazwę i hasło) utworzonej na Router grupy protokołów tunelowych. o W zakładce Transport zaznaczyć opcję Enable Transport Tunneling. o Zapisać wykonane ustawienia dla połączenia. o Nacisnąć przycisk Connect aby ustanowić połączenie tunelowe pomiędzy klientem VPN RA a Router. o Podać dane użytkownika dodanego do Router

o W zakładce Authentication wybrać Group Authentication i wprowadzić dane (nazwę i hasło) utworzonej na Router grupy protokołów tunelowych.

10 3. Weryfikacja działania połączenia tunelowego Zadania Pokazać statystyki w Cisco VPN RA potwierdzające przesyłanie zaszyfrowanych pakietów. Za pomocą poleceń show wykazać prawidłowe ustanowienie tuneli VPN. W razie problemów użyć trybu debug. Przeprowadzić testy przychwytywania ruchu: Czy na hoście Attacker widoczne są nieszyfrowane dane z protokołu FTP? Jeśli tak pokazać przechwycony login i hasło. Jeśli nie wyjaśnić dlaczego

11 Materiał pomocniczy Z menu klienta Cisco VPN RA wybrać opcję Statistics. Można odczytać między innymi liczbę przesłanych zaszyfrowanych pakietów oraz inne szczegóły dotyczące utworzonego połączenia tunelowego. Poniższe polecenia show pozwalają na weryfikację pracy oraz odczyt konfiguracji i statystyk połączeń tunelowych: Router# show aaa method-lists authentication Router# show aaa method-lists authorization Router# show crypto isakmp policy Router# show crypto ipsec transform-set Router# show crypto map? Router# show crypto isakmp? Router# show crypto ipsec? Router# show crypto session group Router# show crypto session summary Router# show crypto isakmp sa Router# show crypto ipsec sa W przypadku problemów z utworzeniem połączenia tunelowego można posłużyć się trybem debug: Router# debug crypto isakmp Router# debug crypto ipsec

Poniższe polecenia show pozwalają na weryfikację pracy oraz odczyt konfiguracji i statystyk połączeń tunelowych: Router# show aaa method-lists authentication Router# show aaa method-lists

12 4. Czynności końcowe Zgrać konfiguracje urządzeń na serwer TFTP. Zgrać konfiguracje urządzeń na pendrive/ /whatever

Podobne dokumenty

ZADANIE.02 Korporacyjne Sieci Bez Granic v.2013 ZADANIE.02. VPN L2L Virtual Private Network site-to-site (ASA) - 1 -

ZADANIE.02 Korporacyjne Sieci Bez Granic v.2013 ZADANIE.02. VPN L2L Virtual Private Network site-to-site (ASA) - 1 - Imię Nazwisko ZADANIE.02 VPN L2L Virtual Private Network site-to-site (ASA) - 1 - 212.191.89.192/28 ISP LDZ dmz security-level 50 ISP BACKBONE 79.96.21.160/28 outside security-level 0 subinterfaces, trunk