Imię Nazwisko ZADANIE.05 Tworzenie sieci VLAN (VLAN, trunk, inter-vlan routing) 2,5h 1. Zbudować sieć laboratoryjną 2. Czynności wstępne 3. Skonfigurować sieci VLAN 4. Skonfigurować łącze trunk i routing pomiędzy sieciami VLAN 5. Skonfigurować translację adresów 6. Czynności końcowe - 1 -
1. Zbudować sieć laboratoryjną Zadanie Zbudować sieć laboratoryjną zgodnie z przedstawioną poniżej topologią. Topologia sieci laboratoryjnej 79.96.21.160 / 28 OUTSIDE dmz security-level 50 outside security-level 0 212.191.89.128 / 25 subinterfaces, trunk 172.18.0.0 / 16 10.2.0.0 / 16 VLAN Admin sec.lev.95 10.10.0.0 / 16 VLAN Dyrekcja sec.lev.85 10.20.0.0 / 16 VLAN Pracownicy sec.lev.80-2 -
2. Czynności wstępne Usunąć, jeśli istnieją, hasła i konfiguracje urządzeń. Przywrócić konfiguracje urządzeń z poprzedniego zadania (z serwera TFTP albo metodą Crtl+C, Crtl+V ). Sprawdzić za pomocą programu ping działanie interfejsów: o z hosta wewnątrz sieci inside adres interfejsu inside ASA: o z hosta wewnątrz sieci dmz adres interfejsu dmz ASA: o z hosta wewnątrz sieci outside adres interfejsu Routera: o z hosta wewnątrz sieci outside adres interfejsu outside ASA: Zainstalować w strefie dmz i outside po jednym serwerze FTP (np. TYPSoft FTP Server). Utworzyć na każdym serwerze FTP przynajmniej jedno konto z uprawnieniami do dowolnego folderu na dysku. Przeprowadzić testy: o Czy można połączyć się ze strefy inside do serwera FTP w strefie dmz? o Czy można połączyć się ze strefy inside do serwera FTP w strefie outside? o Czy można połączyć się ze strefy dmz do serwera FTP w strefie outside? o Czy można połączyć się ze strefy outside do serwera FTP w strefie dmz? - 3 -
3. Skonfigurować sieci VLAN (ang. Virtual Local Area Network) Zadanie Skonfigurować sieci VLAN na switch zgodnie z tabelą: Urządzenie Numer VLAN Nazwa VLAN Porty przełącznika należące do VLAN Adres IP 1 - Fa0/1, Gi0/1, Gi0/2-2 Admin Fa0/2 Fa0/4 Dowolny, zgodny z topologią i adresacją sieci. 10 Dyrekcja Fa0/5 Fa0/9-20 Pracownicy Fa0/10 Fa0/24 - Materiał pomocniczy Segmentacja sieci przy użyciu VLAN - 4 -
Konfiguracja sieci VLAN Tworzenie sieci VLAN: Switch# vlan database Switch(vlan)# vlan <VLAN_ID> name <nazwa_sieci_vlan> Usuwanie sieci VLAN: Switch# vlan database Switch(vlan)# no vlan <VLAN_ID> Przypisanie portu do sieci VLAN: Switch(config)# interface fastethernet <nr_portu> Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan <VLAN_ID> Usunięcie portu z sieci VLAN: Switch(config)# interface fastethernet <nr_portu> Switch(config-if)# no switchport access vlan <VLAN_ID> Weryfikacja sieci VLAN Informacja o wszystkich sieciach VLAN: Switch# show vlan Informacja o wybranej sieci VLAN: Switch# show vlan id <VLAN_ID> Informacja o portach switch: Switch# show interface - 5 -
Informacja o trybie pracy wybranego portu switch: Switch# show interface fastethernet <nr_portu> switchport Wyjaśnienie pojęć: VLAN_ID identyfikator sieci VLAN, najważniejsza liczba określająca sieć VLAN. nazwa_sieci_vlan dowolna nazwa opisująca sieć VLAN. nr_portu numer portu na switch. Sprawozdanie Podłączyć jeden host do sieci VLAN Dyrekcja (adres IP z puli sieci inside). Podłączyć drugi host do sieci VLAN Pracownicy (adres IP z puli sieci inside). Zainstalować w sieci VLAN Pracownicy serwer FTP (np. TYPSoft FTP Server). Utworzyć na tym serwerze FTP przynajmniej jedno konto z uprawnieniami do dowolnego folderu na dysku. Podłączyć ASA do portu Switch należącego do sieci VLAN Dyrekcja. Przeprowadzić testy: o Czy z hosta z VLAN Dyrekcja działa ping do interfejsu inside ASA? o Czy z hosta z VLAN Pracownicy działa ping do interfejsu inside ASA? w sieci VLAN Pracownicy? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP - 6 -
4. Skonfigurować łącze trunk i routing pomiędzy sieciami VLAN Zadanie Skonfigurować łącze trunk na switch zgodnie z tabelą: Urządzenie Port trunk Protokół enkapsulacji Fa0/1 albo Gi0/1 802.1q Skonfigurować podinterfejsy na ASA tak aby możliwy był routing pomiędzy sieciami VLAN: Urządzenie VLAN Admin VLAN Dyrekcja VLAN Pracownicy Opis: dowolny VLAN ID: 2 Nazwa podinterfejsu: inside_admin Poziom bezpieczeństwa: 95 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci Opis: dowolny VLAN ID: 10 Nazwa podinterfejsu: inside_dyrekcja Poziom bezpieczeństwa: 85 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci Opis: dowolny VLAN ID: 20 Nazwa podinterfejsu: inside_pracownicy Poziom bezpieczeństwa: 80 Adres IP: zgodnie z topologią sieci Maska sieci: zgodnie z topologią sieci - 7 -
Materiał pomocniczy Idea działania łącza trunk Konfiguracja łącza trunk (do połączeń Switch-Switch, Switch-Router, Switch-ASA) Switch(config)# interface fastethernet <nr_portu> Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk encapsulation <isl dot1q> Wyjaśnienie pojęć: nr_portu numer portu na switch. - 8 -
Idea routingu pomiędzy sieciami VLAN Konfiguracja routingu pomiędzy sieciami VLAN Router(config)# interface fastethernet <nr_podinterfejsu> Router(config-subif)# description <opis_podinterfejsu> Router(config-subif)# encapsulation <isl dot1q> <VLAN_ID> Router(config-subif)# ip address <adres_ip> <maska_sieci> ASA(config)# interface ethernet <nr_podinterfejsu> ASA(config- subif)# descritption <opis_podinterfejsu> ASA(config- subif)# vlan <VLAN_ID> ASA(config- subif)# nameif <nazwa_podinterfejsu> ASA(config- subif)# security-level <wartość> ASA(config- subif)# ip address <adres_ip> <maska_sieci> - 9 -
Wyjaśnienie pojęć: VLAN_ID identyfikator sieci VLAN, najważniejsza liczba określająca sieć VLAN. nr_podinterfejsu numer podinterfejsu, np. podinterfejs 1 na interfejsie 0/0 zapisuje się jako 0/0.1 opis_podinterfejsu dowolny opis podinterfejsu. nazwa_podinterfejsu nazwa za pomocą, której ASA będzie identyfikowała podinterfejs. wartość poziom bezpieczeństwa dla podinterfejsu (liczba całkowita z zakresu <0, 100>). adres_ip adres IP z sieci obsługiwanej przez podinterfejs. maska_sieci maska sieci obsługiwanej przez podinterfejs. Sprawozdanie Przeprowadzić testy: o Czy z hosta z sieci VLAN Dyrekcja działa ping do podinterfejsu inside_dyrekcja ASA? o Czy z hosta z sieci VLAN Pracownicy działa ping do podinterfejsu inside_pracownicy ASA? w sieci VLAN Pracownicy? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP - 10 -
5. Skonfigurować translację adresów Zadanie Skonfigurować translację adresów na ASA zgodnie z poniższą tabelą: Urządzenie Parametry translacji adresów Z sieci Do sieci Rodzaj inside_pracownicy dmz NAT albo PAT inside_pracownicy outside NAT albo PAT inside_dyrekcja dmz NAT albo PAT inside_dyrekcja outside NAT albo PAT inside_dyrekcja inside_pracownicy NAT albo PAT Sprawozdanie Przeprowadzić testy: w sieci VLAN Pracownicy? o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP - 11 -
o Czy z hosta z sieci VLAN Pracownicy można się połączyć z serwerem FTP o Czy z hosta z sieci VLAN Admin można się połączyć z serwerem FTP Zweryfikować także: o Czy z hosta z sieci dmz można się połączyć z serwerem FTP o Czy z hosta z sieci outside można się połączyć z serwerem FTP 6. Czynności końcowe Zapisać konfiguracje urządzeń na serwer TFTP. Zgrać konfiguracje na pendrive. - 12 -