Cvičenie 10

  • Home   /  
  • Cvičenie 10

Na tomto cvičení si ukážeme riadenie prístupu do siete pomocou prístupových zoznamov – ACL, dynamické pridelenie IPv4 a IPv6 adries.

Vo dvojiciach sa prepojte a dajte názvy smerovačom podľa obrázka. Smerovačom prideľte adresy z daných podsietí a to na prepoje do lokálnych sietí prvú použiteľnú adresu a na prepoj medzi R1-R2 dajte R1 prvú a R2 druhú adresu.

  1. DHCP

DHCP je protokol, ktorý slúži na prideľovanie sieťových nastavení ako IP adresa, maska, default-gateway, DNS a pod. Smerovač sa stáva DHCP serverom, ak na ňom nakonfigurujeme DHCP pool. IP adresy, ktoré sú staticky nakonfigurované v sieti – napr. tlačiareň/server je potrebné vyradiť z DHCP poolu.

R1(config)#ip dhcp excluded-address 192.168.10.1
R1(config)#ip dhcp pool LAN10
R1(dhcp-config)#default-router 192.168.10.1
R1(dhcp-config)#network 192.168.10.0 255.255.255.0
R1(dhcp-config)#dns-server 8.8.8.8
R1(dhcp-config)#domain-name cnl.sk

Z pohľadu koncového zariadenie je z príkazového riadka potrebné zadať príkazy:
C:\>ipconfig /release
C:\>ipconfig /renew

Poznámka:
Konfiguráciu overujeme príkazom show ip dhcp pool a mapovanie pridelených adries príkazom show ip dhcp binding.
Poznámka: Relay agent
Ak smerovač nie je priamo DHCP serverom, tak ho konfigurujeme ako relay agenta, ktorý DHCP požiadavku unicastovo prepošle na dhcp server.
R1(config)#interface fa0/0
R1(config-if)#ip helper-address 192.168.20.1
Poznámka:
Ak je samotný smerovač DHCP klientom, tak na rozhraní zadáme príkaz ip address dhcp.
  1. ACL

Štandardný ACL je prístupový zoznam, ktorý dokáže filtrovať sieťovú prevádzku na základe zdrojovej IP adresy v kontrolovanom pakete. Definujeme akciu permit / deny podľa toho, či chceme paket poslať, alebo ho zahodiť. Následne za použitia adresy a wilcard masky vieme definovať rozsah kontrolovaných adries, prípadne pre zjednodušenie vieme použiť aj kľúčové slová ako host/any. Prístupový zoznam je potrebné aplikovať na miesto v sieti, kde bude dochádzať ku kontrole paketov (fyzické rozhranie, terminál, subrozhranie) a zároveň určiť aj smer kontroly. Štandardný ACL aplikujeme čo najbližšie k cieľu a číslujeme ho od 1 do 99.

  • Vytvorme ACL, ktorý umožní prístup k PC1 a smerovaču R1 len z PC2.

R1(config)#access-list 1 permit host 192.168.20.ip_na_pc2
R1(config)#int se0/0/0
R1(config-if)#ip access-group 1 in

Je možné vytvoriť aj pomenovaný ACL – zmena je len v syntaxe príkazov.
R1(config)#ip access-list standard ACL
R1(config-std-nacl)#permit host 192.168.20.ip_na_pc2

Poznámka:
na konci každého ACL je implicitne deny any.
  • Zabezpečte, aby prístup na SSH na smerovači R1 mal zo siete 192.168.20.0/24 len PC2. SSH zo všetkých ostatných sieti je povolený. V tomto prípade ACL aplikujeme priamo na vty.

R1(config)#ip access-list standard SSH
R1(config-std-nacl)#permit host 192.168.20.ip_na_pc2
R1(config-std-nacl)#deny 192.168.20.0 0.0.0.255
R1(config-std-nacl)#permit any
R1(config)#line vty 0 4
R1(config-line)#access-class SSH in

Poznámka:
Kontrola ACL je možná príkazom show access-list.
  1. DHCPv6
  • Pre IPv6 použite adresy:
    • 2001:db8:0:1::/64 – pre sieť kde je PC1, na smerovač dajte prvú použiteľnú adresu
    • 2001:db8:0:abcd::/64 – na prepoj R1-R2, na R1 dajte prvú použiteľnú a na R2 druhú adresu
    • 2001:db8:0:2::/64 – pre sieť kde je PC2, na smerovač dajte prvú použiteľnú adresu
  • a. SLAAC
    • Najjednoduchšia forma získania sieťovej adresy. Smerovač po zapnutí ipv6 smerovania a nakonfigurovaní globálnej unicastovej adresy na rozhraní začne posielať tzv. RA, v ktorom je informácia o sieťovej adrese, dĺžke prefixu a default-gateway. Koncová stanica sa skonfiguruje sama po prijatí RA – k prijatej sieťovej adrese si sama dogeneruje host časť adresy (EUI-64 alebo random).
  • b. Stateless DHCP
    • Koncové zariadenie si IPv6 adresu skonfiguruje na základe RA, ale o zvyšné sieťové nastavenia (DNS, Domain-name …) požiada DHCP server. Smerovač to oznámi koncovému používateľovi nastavením tzv. other-config-flag v RA.
      R1(config)#ipv6 unicast-routing
      R1(config)#ipv6 dhcp pool IPV6-stateless
      R1(config-dhcpv6)#dns-server 2001:db8:0:1::1
      R1(config-dhcpv6)#domain-name cnl.sk
      R1(config)#int fa0/0
      R1(config-if)#ipv6 add 2001:db8:0:1::1/64
      R1(config-if)#ipv6 dhcp server IPV6-stateless
      R1(config-if)#ipv6 nd other-config-flag
  • c. Stateful DHCP
    • Koncové zariadenia ignorujú informáciu prijatú v RA a všetky sieťové informácie si vyžiadajú od DHCP servera. Túto skutočnosť im oznamuje smerovač v RA nastavením tzv. managed-config-flag.
      R1(config)#ipv6 unicast-routing
      R1(config)#ipv6 dhcp pool IPV6-stateful
      R1(config-dhcpv6)#address prefix 2001:db8:0:1::/64 lifetime infinite infinite
      R1(config-dhcpv6)#dns-server 2001:db8:0:1::1
      R1(config-dhcpv6)#domain-name cnl.sk
      R1(config)#int fa0/0
      R1(config-if)#ipv6 add 2001:db8:0:1::1/64
      R1(config-if)#ipv6 dhcp server IPV6-stateful
      R1(config-if)#ipv6 nd managed-config-flag

Z pohľadu koncového zariadenie je z príkazového riadka potrebné zadať príkazy:
C:\>ipconfig /release6
C:\>ipconfig /renew6

Poznámka:
Na overenie funkčnosti a konfigurácie DHCP používame príkazy show ipv6 dhcp pool alebo show ipv6 dhcp binding.
Prílohy:
TOPOLOGIA