Imię Nazwisko ZADANIE.05 Cisco.&.Juniper Tworzenie sieci VLAN (VLAN, trunk, inter-vlan routing) dr inż. Łukasz Sturgulewski luk@kis.p.lodz.pl http://luk.kis.p.lodz.pl/ http://tinyurl.com/gngwb4l 1. Zbudować sieć laboratoryjną 2. Czynności wstępne 3. Skonfigurować sieci VLAN 4. Skonfigurować łącze trunk i routing pomiędzy sieciami VLAN 5. Skonfigurować translację adresów 6. Czynności końcowe - 1 -
Zadanie 1. Zbudować sieć laboratoryjną Zbudować sieć laboratoryjną zgodnie z przedstawioną poniżej topologią. Topologia sieci laboratoryjnej 79.96.21.160 / 28 OUTSIDE dmz security-level 50 outside security-level 0 212.191.89.128 / 25 subinterfaces, trunk 172.18.0.0 / 16 10.2.0.0 / 16 VLAN Admin sec.lev.95 10.10.0.0 / 16 VLAN Dyrekcja sec.lev.85 10.20.0.0 / 16 VLAN Pracownicy sec.lev.80-2 -
2. Czynności wstępne Usunąć, jeśli istnieją, hasła i konfiguracje urządzeń. Przywrócić konfiguracje urządzeń z poprzedniego zadania (z serwera TFTP albo metodą Crtl+C, Crtl+V albo load override terminal). Sprawdzić za pomocą programu ping działanie interfejsów: o z hosta wewnątrz sieci inside adres interfejsu inside Firewall: o z hosta wewnątrz sieci dmz adres interfejsu dmz Firewall: o z hosta wewnątrz sieci outside adres interfejsu Routera: o z hosta wewnątrz sieci outside adres interfejsu outside Firewall: Zainstalować w strefie dmz i outside po jednym serwerze FTP (np. TYPSoft FTP Server). Utworzyć na każdym serwerze FTP przynajmniej jedno konto z uprawnieniami do dowolnego folderu na dysku. Przeprowadzić testy: o Czy można połączyć się ze strefy inside do serwera FTP w strefie dmz? o Czy można połączyć się ze strefy inside do serwera FTP w strefie outside? o Czy można połączyć się ze strefy dmz do serwera FTP w strefie outside? o Czy można połączyć się ze strefy outside do serwera FTP w strefie dmz? - 3 -
Zadanie 3. Skonfigurować sieci VLAN (ang. Virtual Local Area Network) Skonfigurować sieci VLAN na switch zgodnie z tabelą: Numer Porty przełącznika Urządzenie Nazwa VLAN Adres IP VLAN należące do VLAN 1-0/1-99 Admin 0/2 0/4 10 Dyrekcja 0/5 0/9 20 Pracownicy 0/10 0/24 Dowolny, zgodny z topologią i adresacją sieci. - - Materiał pomocniczy Segmentacja sieci przy użyciu VLAN - 4 -
Konfiguracja sieci VLAN Tworzenie sieci VLAN: Switch# vlan database Switch(vlan)# vlan VLAN_ID name nazwa_sieci_vlan Usuwanie sieci VLAN: Switch# vlan database Switch(vlan)# no vlan VLAN_ID Przypisanie portu do sieci VLAN: Switch(config)# interface fastethernet nr_portu Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan VLAN_ID Usunięcie portu z sieci VLAN: Switch(config)# interface fastethernet nr_portu Switch(config-if)# no switchport access vlan VLAN_ID Weryfikacja sieci VLAN Informacja o wszystkich sieciach VLAN: Switch# show vlan Informacja o wybranej sieci VLAN: Switch# show vlan id VLAN_ID Informacja o portach switch: Switch# show interface Informacja o trybie pracy wybranego portu switch: Switch# show interface fastethernet nr_portu switchport Wyjaśnienie pojęć: VLAN_ID identyfikator sieci VLAN, najważniejsza liczba określająca sieć VLAN. nazwa_sieci_vlan dowolna nazwa opisująca sieć VLAN. nr_portu numer portu na switch. - 5 -
Konfiguracja sieci VLAN: {master:0[edit] user@switch-1# show vlans nazwa_vlan1 { vlan-id id_vlan1; nazwa_vlan2 { vlan-id id_vlan2; Przypisanie portu do sieci VLAN: {master:0[edit] user@switch-1# show interfaces ge-x/y/z unit 0 { family ethernet-switching { port-mode access; vlan { members nazwa_vlan1; 4. Skonfigurować łącze trunk i routing pomiędzy sieciami VLAN Zadanie Skonfigurować łącze trunk na switch zgodnie z tabelą: Urządzenie Port trunk Protokół enkapsulacji 0/1 802.1q - 6 -
Skonfigurować podinterfejsy / strefy na Firewall tak aby możliwy był routing pomiędzy sieciami VLAN: VLAN Admin VLAN Dyrekcja VLAN Pracownicy Urządzenie podinterfejs / strefa podinterfejs / strefa podinterfejs / strefa Firewall Opis: dowolny VLAN ID: 99 Nazwa podinterfejsu / strefy: inside_admin Poziom bezpieczeństwa: 95 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci Opis: dowolny VLAN ID: 10 Nazwa podinterfejsu / strefy: inside_dyrekcja Poziom bezpieczeństwa: 85 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci Opis: dowolny VLAN ID: 20 Nazwa podinterfejsu / strefy: inside_pracownicy Poziom bezpieczeństwa: 80 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci Materiał pomocniczy Idea działania łącza trunk - 7 -
Konfiguracja łącza trunk (do połączeń Switch-Switch, Switch-Router, Switch-Firewall) Switch(config)# interface fastethernet nr_portu Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk encapsulation [isl dot1q] Wyjaśnienie pojęć: nr_portu numer portu na switch. Idea routingu pomiędzy sieciami VLAN Konfiguracja routingu pomiędzy sieciami VLAN router(config)# interface fastethernet nr_podinterfejsu router(config-subif)# description opis_podinterfejsu router(config-subif)# encapsulation [isl dot1q] VLAN_ID router(config-subif)# ip address adres_ip maska_sieci Firewall ASA(config)# interface ethernet nr_podinterfejsu ASA(config-subif)# descritption opis_podinterfejsu ASA(config-subif)# vlan VLAN_ID ASA(config-subif)# nameif nazwa_podinterfejsu ASA(config-subif)# security-level wartosc ASA(config-subif)# ip address adres_ip maska_sieci - 8 -
Wyjaśnienie pojęć: VLAN_ID identyfikator sieci VLAN, najważniejsza liczba określająca sieć VLAN. nr_podinterfejsu numer podinterfejsu, np. podinterfejs 1 na interfejsie 0/0 zapisuje się jako 0/0.1 opis_podinterfejsu dowolny opis podinterfejsu. nazwa_podinterfejsu nazwa za pomocą, której ASA będzie identyfikowała podinterfejs. wartość poziom bezpieczeństwa dla podinterfejsu (liczba całkowita z zakresu <0, 100>). adres_ip adres IP z sieci obsługiwanej przez podinterfejs. maska_sieci maska sieci obsługiwanej przez podinterfejs. Konfiguracja portu typu Trunk: {master:0[edit] user@switch-1# show interfaces ge-k/l/m unit 0 { family ethernet-switching { port-mode trunk; vlan { members [ nazwa_vlan1 nazwa_vlan2 ]; Konfiguracja VLAN na interfejsie L2 Konfiguracja portu typu Trunk: interfaces { ge-a/b/c { unit 0 { family ethernet-switching { port-mode trunk; vlan { members [ nazwa_vlan1 nazwa_vlan2 ]; - 9 -
Konfiguracja interfejsów VLAN: interfaces { vlan { unit id_vlan1 { family inet { address adres/maska; unit id_vlan2 { family inet { address adres/maska; Połączenie interfejsów VLAN z ID_VLAN: vlans { nazwa_vlan1 { vlan-id id_vlan1; l3-interface vlan.id_vlan1; nazwa_vlan2 { vlan-id id_vlan2; l3-interface vlan.id_vlan2; Konfiguracja VLAN na interfejsie L3 Konfiguracja interfejsu typu Trunk: interfaces { ge-a/b/c { vlan-tagging; unit id_vlan1 { vlan-id id_vlan1; family inet { address adres/maska; - 10 -
Sprawozdanie Przeprowadzić testy: o Czy z hosta z sieci VLAN Dyrekcja działa ping do podinterfejsu inside_dyrekcja Firewall? o Czy z hosta z sieci VLAN Pracownicy działa ping do podinterfejsu inside_pracownicy Firewall? o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci dmz? Dlaczego? o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci outside? Dlaczego? o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci VLAN Pracownicy? Dlaczego? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP w sieci dmz? Dlaczego? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP w sieci outside? Dlaczego? Zadanie 5. Skonfigurować translację adresów Skonfigurować translację adresów na Firewall zgodnie z poniższą tabelą: Urządzenie Parametry translacji adresów Firewall Z sieci Do sieci Rodzaj inside_pracownicy dmz NAT albo PAT inside_pracownicy outside NAT albo PAT inside_dyrekcja dmz NAT albo PAT inside_dyrekcja outside NAT albo PAT inside_dyrekcja inside_pracownicy NAT albo PAT Z sieci Do sieci Rodzaj inside_pracownicy outside NAT albo PAT inside_dyrekcja outside NAT albo PAT - 11 -
Sprawozdanie Przeprowadzić testy: o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci dmz? o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci outside? o Czy z hosta z sieci VLAN Dyrekcja można się połączyć z serwerem FTP w sieci VLAN Pracownicy? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP w sieci dmz? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP w sieci outside? o Czy z hosta z sieci VLAN Admin można się połączyć z serwerem FTP w sieci dmz? Zweryfikować także: o Czy z hosta z sieci dmz można się połączyć z serwerem FTP w sieci outside? - 12 -
o Czy z hosta z sieci outside można się połączyć z serwerem FTP w sieci dmz? 6. Czynności końcowe Zapisać konfiguracje urządzeń na serwer TFTP/FTP. Zgrać konfiguracje na pendrive. - 13 -