Организация сетевого администрирования в EVE-NG на примере сети организации «Кибер-Щит Сервисез» (1 часть)

2-я часть.

Параметры сетевых устройств

Обратите внимание, что у Virtual PC с наименованиями Client-1 и Client-2 изменены иконки на «PC-2D-Laptop-Generic-S».

Подключения между устройствами

Топология сети

На топологии можно заметить облако «INTERNET», которое не является устройством. Это абстрактный объект, который позволяет данной виртуальной сети организовать физической выход в сеть Интернет.

Чтобы поставить это облако, необходимо нажать на вкладку «Add an object»:

Выбрать пункт «Network»:

И выставить в соответствии с изображением ниже:

После нажать кнопку «Save». Появится облако «INTERNET», которое необходимо будет добавить к топологии.

Организация настройки сети

После того, как топология сети будет сформирована в соответствии с изображением выше, необходимо включить все устройства!

Настройка сети будет осуществляться поэтапно. Первично необходимо выполнить базовую настройку сетевых устройств. В базовую настройку входит ряд пунктов, которые необходимо будет проделать как на коммутаторах, так и на маршрутизаторах.

Пример базовой настройки маршрутизатора RTR-Main:

Router>enable
Router#config terminal
Router(config)#hostname rtr-main
rtr-main(config)#no ip domain-lookup
rtr-main(config)#enable secret P@ssw0rd
rtr-main(config)#line console 0
rtr-main(config-line)#password P@ssw0rd
rtr-main(config-line)#login
rtr-main(config-line)#exit
rtr-main(config)#line vty 0 15
rtr-main(config-line)#password P@ssw0rd
rtr-main(config-line)#login
rtr-main(config-line)#exit
rtr-main(config)#ip domain name ditk.local
rtr-main(config)#crypto key generate rsa 
The name for the keys will be: rtr-main.ditk.local
Choose the size of the key modulus in the range of 360 to 4096 for your
  General Purpose Keys. Choosing a key modulus greater than 512 may take
  a few minutes.

How many bits in the modulus [512]: 2048
rtr-main(config)#ip ssh version 2
rtr-main(config)#username admin privilege 15 password P@ssw0rd
rtr-main(config)#line vty 0 15
rtr-main(config-line)#transport input ssh
rtr-main(config-line)#login local
rtr-main(config-line)#logging synchronous
rtr-main(config-line)#exit
rtr-main(config)#do write

Из команд можно понять, что в стандартную настройку входит следующее:

• настройка имени устройства;
• отключение поиска по доменным именам;
• включение пароля при входе в привилегированный режим;
• включение пароля для консольного порта;
• включение пароля для виртуальных линий (протоколов Telnet и SSH);
• настройка доменного имени, чтобы можно было сгенерировать RSA-ключ;
• переключение версии протокола SSH;
• создание учетной записи «admin» с максимальными привилегиями и задание пароля;
• разрешение подключения по протоколу SSH;
• синхронный вывод команд в терминал (ситуация, когда появляются служебные команды во время написания команд в терминале и сбивает написание команды, больше не повторится).

Базовую настройку необходимо повторить на всех сетевых устройствах, кроме ISP!

Настройка ISP

Поскольку маршрутизатор ISP напрямую не относится к нашей организации, а выступает лишь в качестве посредника между сетью организации и Интернет, его необходимо настроить определенным образом:

Router>enable
Router#config terminal
Router(config)#hostname isp
isp(config)#no ip domain-lookup
isp(config)#interface gi0/0
isp(config-if)#no shutdown
isp(config-if)#ip address dhcp
isp(config-if)#exit
isp(config)#interface gi0/1
isp(config-if)#no shutdown
isp(config-if)#ip address 1.1.1.1 255.255.255.252
isp(config-if)#exit
isp(config)#interface gi0/2
isp(config-if)#no shutdown
isp(config-if)#ip address 2.2.2.1 255.255.255.252
isp(config-if)#exit
isp(config)#do write

Чтобы убедиться, что все правильно настроено, необходимо выполнить команду «do show ip interface brief».

IP-адрес на интерфейсе «Gi0/0» может отличаться!

Также можно выполнить команду «do ping 77.88.8.8»:

Настройка VLAN и коммутаторов

Агрегирования каналов и создание VLAN-ов неоднократно выполнялась в других практических работах, поэтому в качестве самостоятельной работы настройте все необходимые VLAN-ы и технологию EtherChannel между коммутаторами.

Для проверки используйте команды:

show etherchannel summary
show vlan brief
show interfaces trunk

На коммутаторе SW-B-Public должно быть так:

На коммутаторе SW-B-Private должно быть так:

На коммутаторе SW-M-Floor2 должно быть так:

На коммутаторе SW-M-Floor1 должно быть так:

Только после того, как вы это сделаете, необходимо приступать к последующей настройке сети!

Настройка маршрутизаторов

На RTR-Branch:

Password: P@ssw0rd
rtr-branch>enable
Password: P@ssw0rd
rtr-branch#config terminal
rtr-branch(config)#access-list 1 permit 192.168.101.0 0.0.0.255
rtr-branch(config)#access-list 1 permit 172.16.10.0 0.0.0.255
rtr-branch(config)#ip nat inside source list 1 interface gi0/0 overload
rtr-branch(config)#interface gi0/0
rtr-branch(config-if)#no shutdown
rtr-branch(config-if)#ip address 2.2.2.2 255.255.255.252
rtr-branch(config-if)#ip nat outside
rtr-branch(config-if)#exit
rtr-branch(config)#ip route 0.0.0.0 0.0.0.0 2.2.2.1       
rtr-branch(config)#interface gi0/1
rtr-branch(config-if)#no shutdown
rtr-branch(config-if)#exit
rtr-branch(config)#interface gi0/1.10
rtr-branch(config-subif)#encapsulation dot1q 10
rtr-branch(config-subif)#ip address 172.16.10.1 255.255.255.0
rtr-branch(config-subif)# ip helper-address 10.1.99.2
rtr-branch(config-subif)#ip nat inside
rtr-branch(config-subif)#exit
rtr-branch(config)#interface gi0/1.101
rtr-branch(config-subif)#encapsulation dot1q 101
rtr-branch(config-subif)#ip address 192.168.101.1 255.255.255.0
rtr-branch(config-subif)# ip helper-address 10.1.99.2
rtr-branch(config-subif)#ip nat inside
rtr-branch(config-subif)#exit
rtr-branch(config)#interface tunnel 0
rtr-branch(config-if)#ip address 10.10.10.2 255.255.255.252
rtr-branch(config-if)#ip mtu 1400
rtr-branch(config-if)#ip tcp adjust-mss 1360
rtr-branch(config-if)#tunnel source 2.2.2.2
rtr-branch(config-if)#tunnel destination 1.1.1.2
rtr-branch(config-if)#exit
rtr-branch(config)#router ospf 1
rtr-branch(config-router)#router-id 20.20.20.20
rtr-branch(config-router)#passive-interface default
rtr-branch(config-router)#no passive-interface tunnel0
rtr-branch(config-router)#area 0 authentication 
rtr-branch(config-router)#network 172.16.10.0 0.0.0.255 area 0
rtr-branch(config-router)#network 192.168.101.0 0.0.0.255 area 0
rtr-branch(config-router)#network 10.10.10.0 0.0.0.3 area 0
rtr-branch(config-router)#exit
rtr-branch(config)#interface tunnel 0
rtr-branch(config-if)#ip ospf authentication-key P@ssw0rd
rtr-branch(config-if)#exit
rtr-branch(config)#do write

На RTR-Main:

Password: P@ssw0rd
rtr-main>enable
Password: P@ssw0rd
rtr-main#config terminal
rtr-main(config)#access-list 1 permit 172.16.1.0 0.0.0.255
rtr-main(config)#access-list 1 permit 172.16.2.0 0.0.0.255
rtr-main(config)#access-list 1 permit 172.16.99.0 0.0.0.255
rtr-main(config)#ip nat inside source list 1 interface gi0/0 overload
rtr-main(config)#interface gi0/0
rtr-main(config-if)#no shutdown
rtr-main(config-if)#ip address 1.1.1.2 255.255.255.252
rtr-main(config-if)#ip nat outside
rtr-main(config-if)#exit
rtr-main(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1       
rtr-main(config)#interface gi0/1
rtr-main(config-if)#no shutdown
rtr-main(config-if)#exit
rtr-main(config)#interface gi0/2
rtr-main(config-if)#no shutdown
rtr-main(config-if)#ip address 10.1.99.1 255.255.255.252
rtr-main(config-if)#exit
rtr-main(config)#interface gi0/1.10
rtr-main(config-subif)#encapsulation dot1q 10
rtr-main(config-subif)#ip address 172.16.1.1 255.255.255.0
rtr-main(config-subif)#ip helper-address 10.1.99.2
rtr-main(config-subif)#ip nat inside
rtr-main(config-subif)#exit
rtr-main(config)#interface gi0/1.11
rtr-main(config-subif)#encapsulation dot1q 11
rtr-main(config-subif)#ip address 172.16.2.1 255.255.255.0
rtr-main(config-subif)#ip helper-address 10.1.99.2
rtr-main(config-subif)#ip nat inside
rtr-main(config-subif)#exit
rtr-main(config)#interface gi0/1.99
rtr-main(config-subif)#encapsulation dot1q 99
rtr-main(config-subif)#ip address 172.16.99.1 255.255.255.0
rtr-main(config-subif)#ip nat inside
rtr-main(config-subif)#exit
rtr-main(config)#interface tunnel 0
rtr-main(config-if)#ip address 10.10.10.1 255.255.255.252
rtr-main(config-if)#ip mtu 1400
rtr-main(config-if)#ip tcp adjust-mss 1360
rtr-main(config-if)#tunnel source 1.1.1.2
rtr-main(config-if)#tunnel destination 2.2.2.2
rtr-main(config-if)#exit
rtr-main(config)#router ospf 1
rtr-main(config-router)#router-id 10.10.10.10
rtr-main(config-router)#passive-interface default
rtr-main(config-router)#no passive-interface gi0/2
rtr-main(config-router)#no passive-interface tunnel0
rtr-main(config-router)#area 0 authentication
rtr-main(config-router)#network 172.16.1.0 0.0.0.255 area 0
rtr-main(config-router)#network 172.16.2.0 0.0.0.255 area 0
rtr-main(config-router)#network 172.16.99.0 0.0.0.255 area 0
rtr-main(config-router)#network 10.1.99.0 0.0.0.3 area 0
rtr-main(config-router)#network 10.10.10.0 0.0.0.3 area 0
rtr-main(config-router)#exit
rtr-main(config)#interface gi0/2
rtr-main(config-if)#ip ospf authentication-key P@ssw0rd
rtr-main(config-if)#exit
rtr-main(config)#interface tunnel 0
rtr-main(config-if)#ip ospf authentication-key P@ssw0rd
rtr-main(config-if)#exit
rtr-main(config)#do write

На RTR-M-DHCP:

Password: P@ssw0rd
rtr-m-dhcp>enable
Password: P@ssw0rd
rtr-m-dhcp(config)#interface gi0/0
rtr-m-dhcp(config-if)#no shutdown
rtr-m-dhcp(config-if)#ip address 10.1.99.2 255.255.255.252
rtr-m-dhcp(config-if)#exit
rtr-m-dhcp(config)#router ospf 1
rtr-m-dhcp(config-router)#router-id 11.11.11.11
rtr-m-dhcp(config-router)#passive-interface default
rtr-m-dhcp(config-router)#no passive-interface gi0/0
rtr-m-dhcp(config-router)#area 0 authentication
rtr-m-dhcp(config-router)#network 10.1.99.0 0.0.0.3 area 0
rtr-m-dhcp(config-router)#exit
rtr-m-dhcp(config)#interface gi0/0
rtr-m-dhcp(config-if)#ip ospf authentication-key P@ssw0rd
rtr-m-dhcp(config-if)#exit
rtr-m-dhcp(config)#ip dhcp pool BR-VLAN101
rtr-m-dhcp(dhcp-config)#network 192.168.101.0 255.255.255.0
rtr-m-dhcp(dhcp-config)#default-router 192.168.101.1
rtr-m-dhcp(dhcp-config)#dns-server 77.88.8.8
rtr-m-dhcp(dhcp-config)#exit
rtr-m-dhcp(config)#ip dhcp pool BR-VLAN10
rtr-m-dhcp(dhcp-config)#network 172.16.10.0 255.255.255.0
rtr-m-dhcp(dhcp-config)#default-router 172.16.10.1
rtr-m-dhcp(dhcp-config)#dns-server 77.88.8.8
rtr-m-dhcp(dhcp-config)#exit
rtr-m-dhcp(config)#ip dhcp pool MAIN-VLAN10
rtr-m-dhcp(dhcp-config)#network 172.16.1.0 255.255.255.0
rtr-m-dhcp(dhcp-config)#default-router 172.16.1.1
rtr-m-dhcp(dhcp-config)#dns-server 77.88.8.8
rtr-m-dhcp(dhcp-config)#exit
rtr-m-dhcp(config)#ip dhcp pool MAIN-VLAN11
rtr-m-dhcp(dhcp-config)#network 172.16.2.0 255.255.255.0
rtr-m-dhcp(dhcp-config)#default-router 172.16.2.1
rtr-m-dhcp(dhcp-config)#dns-server 77.88.8.8
rtr-m-dhcp(dhcp-config)#exit
rtr-m-dhcp(config)#ip dhcp excluded-address 192.168.101.1
rtr-m-dhcp(config)#ip dhcp excluded-address 172.16.10.1  
rtr-m-dhcp(config)#ip dhcp excluded-address 172.16.1.1 
rtr-m-dhcp(config)#ip dhcp excluded-address 172.16.2.1
rtr-m-dhcp(config)#do write

Проверка конфигурации сети

В первую очередь необходимо проверить сходимость сегментов сети через протокол динамической маршрутизации OSPF. Необходимо зайти на маршрутизаторы и выполнить команды «show ip route» и «show ip ospf neighbor».

На RTR-Branch:

На RTR-Main:

На RTR-M-DHCP:

Если соседство было установлено, то можно из каждого из VLAN-сегментов, кроме VLAN 99, выполнить команду «ip dhcp», которая позволит запросить у DHCP-сервера IP-конфигурацию.

На Client-1:

На Client-2:

На PC-B-Priv-1:

На PC-B-Priv-2:

На PC-M-F1-1:

На PC-M-F2-1:

На PC-M-Admin. Компьютер администратора не должен получать DHCP-конфигурацию. Необходимо выполнить конфигурирование самостоятельно:

После того, как все узлы получили IP-конфигурацию, можно посмотреть выдачу на DHCP-сервере командой «show ip dhcp binding»:

На десерт – проверка входа по SSH через маршрутизатор RTR-M-DHCP на маршрутизатор RTR-Branch командой «ssh -l admin 192.168.101.1»:

А также необходимо запретить прохождение любого трафика из VLAN 101 в любой другой VLAN, доступен только выход в Интернет.

Для этого изначально необходимо проверить, есть ли связь со всеми сегментами:

Как видно, публичная сеть может взаимодействовать с локальной, что является потенциальной проблемой безопасности сети. Чтобы исправить это, необходимо зайти на маршрутизатор RTR-Branch:

Password: P@ssw0rd
rtr-branch>enable
Password: P@ssw0rd
rtr-branch#config terminal
rtr-branch(config)#access-list 101 deny ip 192.168.101.0 0.0.0.255 172.16.0.0 0.0.255.255
rtr-branch(config)#access-list 101 permit ip any any
rtr-branch(config)#interface gi0/1.101
rtr-branch(config-if)#ip access-group 101 in
rtr-branch(config-if)#exit
rtr-branch(config)#do write

После этого повторно проверяем связь:

Как видно, связь с компьютерами в локальной сети заблокирована, однако выход в Интернет присутствует. На этом сеть считается настроенной.