Материал: Обеспечение безопасности сетей на маршрутизаторах и коммутаторах (90

Задание 4. Используя исходные данные Задания 3, сформировать список доступа в виде именованного (имя ACL):

Router_А(config)#ip access-list standard ACL

Router_А(config)#deny host 192.168.20.11

Router_А(config)#deny host 192.168.30.24

Router_А(config)#permit any

Router_А(config)#int f0/0

Router_А(config-if)#ip access-group ACL out

Проверить работоспособность списка доступа!

Задание 5. На маршрутизаторе А (рис.2.1) необходимо установить расширенный список доступа, который:

1.блокирует рабочим станциям Сети 2 доступ в Сеть1 по telnet;

2.разрешает рабочим станциям Сети 2 доступ в Сеть1 по другим

протоколам, например, по команде ping протокола ICMP.

Для этого необходимо сконфигурировать пароли на маршрутизаторе А:

Router_A(config)#line vty 0 15

Router_A(config-line)#password cisco-1

Router_A(config-line)#login

Router_A(config-line)#exit

Router_A(config)#enable secret cisco-2

Выполнить удаленный доступ к маршрутизатору Router_A с конечного узла

192.168.20.11:

РС>telnet 192.168.10.1

…

Password: Router_A>ena

Password: (ввести пароль) Router_A#conf t

Изменить конфигурацию маршрутизатора, например, изменить имя:

Router_A(config)#hostname R_A R_A(config)#

Выполнить команду:

11

РС>ping 192.168.10.1

Прокомментировать результаты выполнения команд telnet и ping!

Сформировать список доступа, блокирующий рабочим станциям Сети 2 доступ в Сеть1 по telnet и разрешающий доступ в Сеть1 по команде ping.:

R_А(config)#access-list 102 deny tcp 192.168.20.0 0.0.0.255 192.168.10.0

0.0.0.255 eq 23

R_А(config)#access-list 102 permit ip any any

R_А(config)#int s1/1

R_А(config-if)#ip access-group 102 in

Выполнить удаленный доступ к маршрутизатору R_A (адрес 192.168.10.1) с

конечного узла 192.168.20.11.

РС>telnet 192.168.10.1

Выполнить команду РС>ping 192.168.10.1

Прокомментировать результаты выполнения команд telnet и ping!

Лабораторная работа № 3 Конфигурирование безопасности коммутатора

Лабораторная работа выполняется для сети (рис.3.1), адреса – в табл. 3.1.

Port 1 Port 2 Port 3

Рис.3.1. Схема сети

1.Собрать схему сети рис.3.1.

2.Сконфигурировать адресную информацию на компьютерах РС1, РС2, РС3 согласно табл. 3.1.

3.Выполнить последовательность команд:

Switch>en

Switch#sh run

Switch#sh start

Switch#sh vlan brief

Switch#sh int vlan 1

Switch#sh ip int vlan 1

Switch#sh int f0/1

Обратить внимание на состояние устройств и интерфейсов (включен – up или выключен down), их IP-адреса и МАС-адреса, к каким виртуальным сетям vlan приписаны порты коммутатора.

4. Сконфигурировать имя коммутатора и пароли на нем:

Switch(config)#hostname Sw-A Sw-A(config)#line console 0 Sw-A(config-line)#password cisco-1 Sw-A(config-line)#login Sw-A(config-line)#line vty 0 15 Sw-A(config-line)#password cisco-2 Sw-A(config-line)#login Sw-A(config-line)#exit

Sw-A(config)#enable secret cisco-3

5. Используя команды exit, вернуться в пользовательский режим. Затем вновь войти в привилегированный режим. Объяснить действие паролей. Проверить пароли по команде sh run. Какие пароли представлены в открытой форме, а какие криптографированы? Как зашифровать пароли на консольной и виртуальных линиях?

Выполнить шифрование всех паролей. Произвести проверку!

6. Сконфигурировать IP-адрес на коммутаторе для управления с удаленного устройства. По умолчанию управляющей является виртуальная локальная сеть vlan 1, на которую и выполняют атаки хакеры. Поэтому в качестве управляющей рекомендуется использовать виртуальную сеть с другим

13

номером, например vlan 101, на интерфейс которой устанавливается адрес шлюза по умолчанию (10.1.10.11) компьютеров РС1, РС2, РС3.

Sw-A(config)#vlan 101

Sw-A(config-vlan)#exit Sw-A(config)#int vlan 101

Sw-A(config-if)#ip add 10.1.10.11 255.255.255.0

Sw-A(config-if)#no shutdown

7. Выполнить команды верификации:

Sw-A#sh vlan brief Sw-A#sh int vlan 101

Прокомментировать полученные результаты.

8. Приписать порт f0/1 к vlan 101:

Sw-A(config)#int f0/1

Sw-A(config-if)#switchport access vlan 101

9. Установить шлюз по умолчанию: Sw-A(config)#ip default-gateway 10.1.10.1

10. Выполнить команды верификации:

Sw-A#sh run

Sw-A#sh vlan brief Sw-A#sh int vlan 101 Sw-A#sh mac-address-table

Прокомментировать полученные результаты.

11. С компьютера РС1 выполнить удаленный доступ к коммутатору:

РС1>telnet 10.1.10.11

12. С компьютера РС1 в режиме удаленного доступа произвести изменение конфигурации коммутатора, например, изменить имя коммутатора на S1.

13.Завершить сеанс удаленного доступа, используя команды exit.

14.Убедиться в изменении конфигурации коммутатора, войдя в режим конфигурирования коммутатора CLI.

15.Выполнить команду:

S1#sh mac-address-table

Команду повторить через 5 минут.

14

Объяснить полученный результат.

16. Определить физические адреса сетевых карт компьютеров по команде ipconfig /all для компьютеров РС1, РС2 и РС3. Записать МАС-адреса..

17. Сконфигурировать статическую запись в таблице маршрутизации, приписав МАС-адрес компьютера РС1 к порту Fa0/1 коммутатора:

S1(config)#mac-address-table static Мас-адрес vlan 101 interface fastethernet

0/1

Проверить таблицу коммутации.

18. Удалить статическую запись из таблицы коммутации. Проверить таблицу коммутации.

Конфигурирование безопасности порта коммутатора

19. Сконфигурировать безопасность порта f0/1:

S1(config)#int f0/1

S1(config-if)#switchport mode access S1(config-if)#switchport port-security

Задать количество безопасных адресов, равное 1:

S1(config-if)#switchport port-security maximum 1

Установить режим безопасных адресов sticky: S1(config-if)#switchport port-security mac-address sticky

Установить режим реагирования на нарушение безопасности shutdown: S1(config-if)#switchport port-security violation shutdown

20. Проверить текущую конфигурацию и таблицу коммутации по командам show running-configuration и show mac-address-table. Прокомментировать полученные результаты.

21. Выполнить команду ping 10.1.10.11 с компьютера РС1. Вновь проверить таблицу коммутации и прокомментировать полученный результат.

22. Выполнить команду ping 10.1.10.11 с компьютера РС2. Порт коммутатора должен выключиться.

23. Выполнить команду show port-security int f0/1 и прокомментировать полученный результат.

15