Материал: Обеспечение безопасности сетей на маршрутизаторах и коммутаторах (90

Router_B#telnet 192.168.10.1

Что при этом происходит? Почему?

7. Защита удаленного доступа

На маршрутизаторе А сконфигурировать пароль на виртуальные линии:

Router_A(config)#line vty 0 4 Router_A(config-line)#password cis-4 Router_A(config-line)#login

По команде telnet реализовать удаленный доступ с маршрутизатора В в маршрутизатор А:

Router_B#telnet 192.168.10.1

Что при этом происходит? Почему?

В режиме удаленного доступа изменить имя маршрутизатора А на R-A. Завершить удаленный доступ. Проверить, что имя изменено.

8.Реализовать удаленный доступ в маршрутизатор А с конечного узла

Host 2-n.

Внести изменения в конфигурацию маршрутизатора А, использовав команду:

R-A(config)#service password-encription

Проверить текущую конфигурацию. Прокомментировать информацию об установленных паролях. В какой форме представлены пароли?

Выйти из режима удаленного доступа.

На маршрутизаторе А отменить команду service password-encription.

Прокоментировать текущую конфигурацию.

9.Сохранить текущую конфигурацию!!!

R-A#copy run start

10.Восстановление утерянного пароля

Если пользователь позабыл пароль, то пароль enable password можно восстановить, а пароль enable secret можно заменить новым. Это реализуется только при физическом доступе к маршрутизатору через консольный порт

6

(console). При загрузке маршрутизатора необходимо обойти проверку паролей за счет изменения значения конфигурационного регистра.

11. Проверить значение конфигурационного регистра по команде:

R-A#show version

…

Configuration register is 0x2102

12. Выключить и вновь включить маршрутизатор

В течение 1 минуты, когда производится проверка (тестирование) аппаратных средств маршрутизатора, нажать клавишу Break на клавиатуре. При этом маршрутизатор переходит в режим

rommon 1>

13. Ввести команду rommon 1>confreg 0x2142,

которая позволяет при загрузке конфигурационного файла обойти проверку паролей.

14. Следующая команда rommon 2>reset

запустит процесс перезагрузки, который завершится вопросом: Continue with configuration dialog? [yes/no]:

на который нужно ответить отрицательно – no.

Маршрутизатор готов к переконфигурированию! Проверить текущую конфигурацию! Прокомментировать ее.

Router>ena Router#sh run

15. Для сохранения прежней конфигурации, хранящейся в памяти

NVRAM, выполнить команду:

Router#copy start run

…

R-A#

16. Проверить текущую конфигурацию!

R-A#sh run

7

17.Внести необходимые изменения в текущую конфигурацию. Изменить пароли, запомнить их!

18.Вернуть прежнее значение конфигурационного регистра

R-A(config)#config-register 0x2102

19. Сохранить текущий конфигурационный файл

R-A#copy run start

Лабораторная работа № 2 Конфигурирование списков доступа

Необходимо сконфигурировать стандартные списки доступа по защите Сети 1 (рис. 2.1).

Рис. 2.1. Схема сети

Сконфигурировать адреса в соответствии с табл. 2.1, сконфигурировать протокол RIP.

Проверить работоспособность сети!!!

Адреса конечных узлов:

Host 1-1 – 192.168.10.11, Host 1-n – 192.168.10.24, Host 2-1 – 192.168.20.11, Host 2-n – 192.168.20.24, Host 3-1 – 192.168.30.11, Host 3-n – 192.168.30.24.

Задание 1. Необходимо, чтобы серверы Сети 1 были доступны только узлу Host 2-1 Сети 2 с адресом 192.168.20.11, а все остальные узлы Сети 2 и Сети 3 не имели бы доступа в Сеть 1. Список доступа следует установить на интерфейс F0/0 маршрутизатора Router_A. Номер списка доступа (10) выбирается из диапазона 1 – 99. Адреса сетей, а также названия и адреса интерфейсов приведены в табл. 2.1.

Создание и установка списка доступа производится по командам:

Router_A(config)#access-list 10 permit 192.168.20.11

Router_A(config)#int f0/0

Router_A(config)#ip access-group 10 out

Согласно созданной конфигурации ко всем исходящим из маршрутизатора пакетам через интерфейс F0/0 будет применяться список доступа:

permit 192.168.20.11 – присутствует в списке в явном виде,

deny any – присутствует неявно в конце каждого списка доступа.

Некоторые версии операционных систем IOS маршрутизаторов требуют в обязательном порядке использование масок WildCard при задании адресов узлов и сетей, либо расширения host при задании адресов узлов.

Проверить работоспособность списка доступа!

Задание 2. Серверы Сети 1 должны быть доступны всем узлам Сети 2 и узлу Host 3-1 Сети 3 с адресом 192.168.30.11, остальные узлы Сети 3 не должны иметь доступа. Список доступа установить на интерфейс F0/0 Router_A. В списке доступа имеются адреса сети и отдельного узла, поэтому необходимо использовать маску WildCard. Нулевые значения маски WildCard означают требование обработки соответствующих разрядов адреса, а единичные значения – игнорирование соответствующих разрядов адреса при функционировании списка доступа. Таким образом, маска 0.0.0.0 предписывает

9

анализ и обработку всех разрядов адреса, т.е. в этом случае будет обрабатываться адрес каждого узла. Маска 0.0.0.255 показывает, что обрабатываться будет только сетевая часть адреса класса С.

Следовательно, список доступа будет следующим:

Router_A(config)#access-list 11 permit 192.168.30.11 0.0.0.0

Router_A(config)#access-list 11 permit 192.168.20.0 0.0.0.255

Router_A(config)#int f0/0

Router_A(config)#ip access-group 11 out

Согласно созданной конфигурации ко всем исходящим из маршрутизатора пакетам через интерфейс f0/0 будет применяться список доступа:

permit 192.168.30.11 – разрешение узлу с инвертированной маской WildCard

0.0.0.0,

permit 192.168.20.0 – разрешение сети с инвертированной маской WildCard

0.0.0.255,

deny any – присутствует неявно в конце списка доступа.

Записи 192.168.30.11 0.0.0.0 полностью соответствует другой вариант – host 192.168.30.11, который также предписывает обрабатывать адрес только одного узла. Проверить данный вариант!

Задание 3. В Сети рис.2.1 необходимо установить список доступа, который:

1.блокирует рабочей станции 192.168.20.11 Сети 2 доступ в Сеть1;

2.блокирует рабочей станции 192.168.30.24 Сети 3 доступ в Сеть1;

Для этого создается список доступа:

Router_А(config)#access-list 12 deny host 192.168.20.11 Router_А(config)#access-list 12 deny host 192.168.30.24 Router_А(config)#access-list 12 permit any

Router_А(config)#int f0/0 Router_А(config-if)#ip access-group 12 out

Данный список блокирует доступ в Сеть 1 только двум рабочим станциям 192.168.20.11 и 192.168.30.24, а всем остальным – доступ разрешен. Если бы отсутствовала третья строка списка доступа, то ни одна станция из других сетей не могла бы попасть в Сеть 1.

Проверить работоспособность списка доступа!

10