Versuch Nr. 2 Switch Konfiguration

Transkript

1 Praktikumsgruppe: A Name Matrikelnummer Studierender 1 Oguzhan Semiz Studierender 2 Sabrina Pott Part 1: Lernziel Die Konfiguration von Sicherheits-Features auf einem Switch kennen lernen und anwenden können. Part 2: Aufgabenbeschreibung Drucken Sie sich diese Anleitung aus und bringen Sie sie mit ins Praktikum. Ohne Ausdruck keine Teilnahme am Praktikum! Bilden Sie eine Gruppe zu je zwei Personen. Für jede 2er-Gruppe stehen ein PC, ein Switch und ein Router zur Verfügung. Führen Sie die Aufgaben durch und beantworten Sie die gestellten Fragen. Sie können Ihre Antworten direkt in die Word-Version dieses Dokuments schreiben. Wenn Sie Ihre Antworten separat dokumentieren, geben Sie zu jeder Antwort jeweils die Nummer der entsprechenden Frage an. Achten Sie darauf, dass Sie in der Lösung Ihre Praktikumsgruppe sowie Ihre Namen und Ihre Matrikelnummern angeben. Schicken Sie Ihre Ergebnis-Dokumentation bis spätestens eine Woche nach Ihrem Praktikumstermin an [email protected]. Verspätet eingegangene Lösungen werden nicht akzeptiert. Schreiben Sie in das Betreff-Feld Ihrer bitte folgenden Text: DNU-Aufgabe 2 <Matrikelnummer Stud. 1>, <Matrikelnummer-Stud. 2> Antestat Lesen Sie zur Vorbereitung folgende Abschnitte aus CCNA 2 Routing & Switching Essentials durch: Chapter 2: Basic Switching Concepts and Configuration Über folgende URL erhalten Sie Zugriff auf die CCNA-Materialien: dann Cisco Academy Curricula klicken (username: ciscoprobe; passwort: dnm_4all) Ich werde zu Beginn des Praktikums mit einigen Verständnisfragen überprüfen, ob sich jede(r) Teilnehmer(in) entsprechend vorbereitet hat! 1

2 Eine Kurzübersicht über die in diesem Versuch benötigten Cisco IOS-Befehle finden Sie in dem Dokument Befehlsliste für Versuch 2, Variante A auf meiner Webseite. 2

3 Hintergrund Genau wie Endgeräte (PCs, Server) müssen Netzwerkgeräte abgesichert werden. In diesem Praktikum werden Sie gemäß allgemein bewährten Sicherheitsempfehlungen einen LAN Switch so konfigurieren, dass Remote Access über die vty-lines nur per SSH möglich ist. Weiterhin werden Sie nur abgesicherte HTTPS-Sessions zulassen und Port Security implementieren, so dass Geräte mit einer unzulässigen MAC-Adresse über den Switch keinen Netzzugang erhalten. Part 3: Netztopologie Part 4: Adressierungstabelle Device Interface IP Address Subnet Mask Default Gateway R1 F0/ N/A S1 VLAN PC-A NIC Aufgabe 1: Verkabeln der Topologie und Initialisierung der Geräte Step 1: Step 2: Verkabeln Sie das in der Topologie dargestellte Netzwerk. Versetzen Sie den Switch und den Router in de n Grundzustand (falls erforderlich). Aufgabe 2: Grundkonfiguration und Überprüfung der Konnektivität Step 3: Nehmen Sie die Grundkonfiguration auf dem Router R1 vor und dokumentieren Sie die erforderlichen Befehle Hostname. router>enable router#config t router(config)#hostname R DNS Lookup deaktivieren. R1(config)#no ip domain-lookup IP Adresse von F0/1 R1(config)#interface F0/1 R1(config-if)#ip address R1(config-if)#exit 3

4 2.3.4 Passwörter für privilegierten Modus (class) und für die Konsolen- und vty-zugänge (cisco). R1(config)#enable secret class R1(config)#line con 0 R1(config-line)#password cisco R1(config-line)#login R1(config-line)#exit R1(config)#line vty 0 4 R1(config-line)#password cisco R1(config-line)#login R1(config-line)#exit Verschlüsselung der Passwörter aktivieren R1(config)#service password-encryption Running-config als Startup-Config speichern R1(config)#exit R1#copy running-config startup-config Step 4: Nehmen Sie die Grundkonfiguration auf dem Switch S1 vor und dokumentieren Sie die erforderlichen Befehle: Hostname. Switch>enable Switch#config t Switch(config)#hostname S DNS Lookup deaktivieren S1(config)#no ip domain-lookup Passwörter für privilegierten Modus (class) und für den Konsolenzugang (cisco). Die vty-zugänge auf dem Switch werden wir später gesondert absichern (s. Aufgabe 3). S1(config)#enable secret class S1(config)#con line 0 S1(config-line)#password cisco S1(config-line)#login S1(conifg-line)#exit IP-Adresse von R1 als Default-Gateway von S1 S1(config)#ip default-gateway Verschlüsselung der Passwörter aktivieren S1(config)#service password-encryption Speichern des running-config als startup-config S1#copy running-config startup-config VLAN 99 auf Switch S1 erzeugen und den Namen Management geben 4

5 Step 5: S1(config)#vlan 99 S1(config-vlan)#name Management Interface-IP-Adresse laut Tabelle konfigurieren und aktivieren S1(config-vlan)#exit S1(config)#interface vlan 99 S1(config-if)#ip adress S1(config-if)#no shutdown Übersicht über die VLANS ausgeben lassen. Wie lautet der Status von VLAN 99? S1(config-if)#exit S1#show vlan Der Status von VLAN 99 lautet active Kurz Übersicht über den Zustand der Interfaces geben lassen. Wie ist Status und Protokoll-Zustand von VLAN 99? S1#show ip interface brief VLAN 99 is up, line-protocol is down Warum ist das Protokol down? Weil dem line-protocol noch nichts zugewiesen wurde Dem VLAN 99 Port0/5 und Port0/6 zuweisen S1(config)#interface F0/5 S1(config-if)#switchport mode access S1(config-if)#switchport access vlan 99 S1(config-if)#exit S1(config)#interface F0/6 S1(config-if)#switchport mode access S1(config-if)#switchport access vlan 99 S1(config-if)#exit Nochmal eine Zustands-Kurzübersicht geben lassen.wie sieht jetzt der Status aus? S1#show ip interface brief Jetzt steht beides auf up. Die Einstellungen verifizieren Von PC-A das Default-Gateway anpingen R1#ping Pakete erfolgreich gesendet Von PC-A aus die Management-Adresse von S1 anpingen. R1#ping

6 4 Pakete erfolgreich gesendet Von S1 das Default-Gateway anpingen S1>enable S1#ping Pakete (5) erfolgreich gesendet Konnten Sie auf das Webinterface zugreifen? Ja. Aufgabe 3: SSH Zugang auf S1 konfigurieren Aufgabe 3.1 vty-lines auf S1 so konfigurieren, dass ein Remote Zugang nur per SSH über einen Benutzer-Account möglich ist Erzeugen Sie den Domänennamen CCNA-Lab.com S1(config)#ip domain-name CCNA-Lab.com Lokalen Nutzer mit Namen admin und Passwort sshadmin anlegen, der die Rechte eines Admins hat. S1(config)#username admin privilege 15 secret sshadmin vty 0-15: Nur ssh. Im line-modus: terminal monitor S1(config)#line vty 0 15 S1(config-line)#transport input ssh S1(config-line)#login local S1(config-line)#terminal monitor S1(config-line)#exit RSA Schlüssel mit einem Modus von 1024 Bit erzeugen S1(config)#crypto key generate rsa modules Verifizieren+SSH Infos anzeigen lassen S1#show ip ssh Welche SSH Version? 1.99 Wie viele Einloggversuche erlaubt? 3 Versuche Default Einstellung für den Timeout? 120 Sekunden Ändern: Timeout auf 75 Sekunden, Versuche auf 2: S1(config)#ip ssh time-out 75 retries 2 Aufgabe 3.2 Überprüfung der SSH Konfigurationen War die Verbindung erfolgreich? Ja, war Sie Welcher Prompt wird auf S1 gezeigt? Warum? Es wird nichts angezeigt Aufgabe 4 Absicherung des Switch S1 6

7 Aufgabe 4.1 Konfiguration der allgemeinen Sicherheitseinstellungen Ein MOTD konfigurieren mit passender Meldung S1(config)#banner motd#unbefugter Zugriff verboten!# Zustand aller Interfaces anzeigen lassen S1#show ip interface brief Über welche physichen Ports verfügt das Interface und welche sind up? F0/1-F0/24 & Gigabit Ethernetports 0/1 & 0/2. UP sind F0/5 und F0/ Deaktivieren Sie alle unbenutzten physikalischen Ports mittels interface range Befehl S1(config)#interface range f0/1-4 S1(config-if-range)#shutdown S1(config-if-range)#exit S1(config)#interface range f0/7-24 S1(config-if-range)#shutdown S1(config-if-range)#exit S1(config)#interface range Gigabit Ethernet 0/1-2 S1(config-if-range)#shutdown S1(config-if-range)#exit Lassen Sie sich den Zustand anzeigen S1#show ip interface brief Wie lautet der Status von F0/1-4? Administrateively down Lassen Sie sich Infos über den http Dienst auf S1 anzeigen? S1#show ip http server status http ist Enabled Welcher Server Port? 80 Https Secure Sever Status? Enabled Welcher Secure Server Port? Schalten Sie den http auf S1 aus S1 conf t S1(config)#no ip http server Auf PC-A im Browser aufrufen. Wie lautet das Resultat? 7

8 Verbindung fehlgeschlagen Das gleiche mit https, wie ist nun das Ergebnis? Das komplette Webinterface wird angezeigt. Aufgabe 4.2 Einstellen von Port-Security auf S Lassen Sie sich auf dem Router R1 Interface-Infos zum Interface Fa0/1 anzeigen. Wie lautet dessen MAC Adresse? MAC Adresse: be.eb21 (bia be.eb21) Lassen Sie sich auf dem Switch S1 die MAC Adresstabelle anzeigen. S1#show mac adress-table MAC Adresse an F0/5? be.eb21 MAC Adresse an F0/6? 001b.2153.bab Port F0/5 auf S1 runterfahren, und Port-Security einstellen S1(config)#interface F0/5 S1(config-if)#shutdown S1(config-if)#switchport port-security Konfigurieren Sie die MAC Adresse des F0/1Interfaces von R1, die Sie oben ermittelt haben, statisch als einzig auf dem Port0/5 von S1 erlaubte MAC Adresse S1(config-if)#switchport port-security mac-adress be.eb Aktivieren Sie den Port wieder S1(config-if)#no shutdown Verifizieren Sie die Einstellungen der port security auf S1 von F0/5 mittels des show port-security interface F0/5 Kommandos S1(config-if)#exit S1#show port-security interface F0/5 Wie lautet der Port Status? Enabled Wie lautet der violation mode? Shutdown Wie hoch ist die maximale Anzahl erlaubter MAC Adressen? 1 Wie hoch ist der Security Violation Count? Zur Verifikation von R1 aus PC-A npingen. War der ping erfolgreich? R1>enable R1#ping 172,

9 Ja, der Ping war erfolgreich Sie sollen nun bewusst die Port Security auf dem Switch-Port F0/5 verletzen, indem Sie dem daran angeschlossenen Interface vom Router R1 eine neue MAC-Adresse verpassen. Gehen Sie dazu in R1 in den Interface Konfigurationsmodus von F0/1 und geben Sie folgende Befehle ein: R1# config t R1(config)# interface F0/1 R1(config-if)# shutdown Ändern Sie die MAC-Adresse wie folgt in aaaa.bbbb.cccc: R1(config-if)# mac-address aaaa.bbbb.cccc Während Sie mit der Konsole auf R1 sind, öffnen Sie eine ssh-session von Ihrem PC-A auf den Switch, um gleichzeitig die Meldungen des Switch sehen zu können. Sie sollten verschiedene Meldungen über eine Verletzung der Port Security-Einstellungen auf Port F0/5 sehen, sobald Sie das F0/1 Interface auf R1 wieder hochfahren. Fahren Sie nun auf R1 das Interface F0/1 mit no shutdown wieder hoch. R1(config-if)#no shutdown Den Router aus den PC-A anpingen. War der Ping erfolgreich? Begründen Sie die Antwort. R1(config-if)#exit R1(config)#exit R1#ping 172, Nein, es war nicht erfolgreich, weil nun die Port Security verletzt wird Ausgabe S1 allgemeine Statistiken zur Port-Security ausgeben lassen mittels show port-security Wie viele Security-Violations wurden auf welchen Ports festgestellt? Es gibt eine Violation von Port F0/5. Speziell für Port F0/5 die Port-Security Infos ausgeben lassen. S1>enable S1#show port-security Interface F0/5 Wie lautet der Port Status? Secure-Shutdown Auf Router R1 Interface F0/1 runterfahren, die zuvor eingestellte MAC Adresse mit no mac-address aaaa.bbbb.cccc und fahren Sie das Interface wieder hoch. R1(config)#interface F0/1 R1(config-if)#shutdown R1(config-if)#switchport port-security no mac-address aaaa.bbbb.cccc R1(config-if)#no shutdown R1(config-if)#exit R1(config)#exit Pingen Sie nun von R1 aus den PC-A an, war es nun erfolgreich? R1#ping 172,

10 Nein, er war nicht erfolgreich Lassen Sie sich auf den Switch den Zustand von Interface F0/5 anzeigen. Woran liegt es, dass der letzte Schritt gescheitert ist? Das liegt daran, das der Status des Ports auf Error-Disabled war Löschen Sie den error-disabled Status, indem Sie den Port herunter und wieder raufffahren. S1(config)#interface F0/5 S1(config-if)#shutdown S1(config-if)#no shutdown Lassen Sie sich auf dem Switch erneut den Interface-Zustand für das Interface F0/5 ausgeben. Ist der Port immer noch im Error-Disabled Zustand? Nein, jetzt ist er auf Secure-Up Pingen Sie nun R1 aus dem PC-A an, jetzt sollte er erfolgreich sein. Ja, ist er. Aufgabe 5: Aufräumen Speichern Sie die aktuelle Konfigurationen Ihres Switch S1 und Routers R1, indem Sie show running-config eingeben und die Ausgabe in eine Textdatei speichern. Löschen Sie alle auf R1 und S1 vorgenommenen Konfigurationen mithilfe des Befehls erase startup-config. Schalten Sie den Switch und den Router aus und entfernen Sie alle von Ihnen gesteckten Kabel. Schicken Sie die Dokumentation des Praktikumsversuchs bis spätestens eine Woche nach Ihrem Praktikumstermin an Verspätet eingegangene Lösungen werden nicht akzeptiert. Schreiben Sie in das Betreff-Feld Ihrer bitte folgenden Text: DNU-Aufgabe 2 <Matrikelnummer Stud. 1>, <Matrikelnummer-Stud. 2> Zur Dokumentation gehören: die beantworteten Fragen in diesem Dokument die Konfigurationsdatei von S1 und R1 10