Cisco packet tracer dasturida port havfsizligini

15 labaratoriya ishi
Cisco packet tracer dasturida port xavfsizligini ta’minlash
CISCO PACKET TRACER DASTURIDA PORT HAVFSIZLIGINI 

TA`MINLASH 

  

Ishdan maqsad : Cisco Packet Tracer dasturida kommutatorning port havfsizligini funksiyasi bilan tanishish va amaliy ko`nikmalarga ega bo`lish . 


Nazariy qism.


Port xavfsizligi - Cisco catalyst kommutatorlari tavsifi va ularni sozash

Port xavfsizligi 

Cisco catalyst kommutatorlarida foydalanish kerak
bo'lgan xususiyatdir. Ethernet freymlari tugmachadan o'tib , MAC manzil jadvalini ushbu freymlarda ko'rsatilgan yuboruvchi manzilidan foydalanib to'ldiradi . Ushbu jadvalning maksimal hajmi cheklangan, tajovuzkor uchun uni to'ldirish qiyin bo'lgani kabi qiyin emas, tasodifiy qaytish manzillari bilan ko'plab freymlarni yaratadigan maxsus dasturlardan foydalanish kifoya. 
Nega sizga kerak bo'lishi mumkin? MAC-manzil jadvali to'lib toshgan 
taqdirda, kommutator markaz vazifasini bajarishi mumkin - ya'ni barcha qabul 
qilingan kadrlarni barcha portlarga yuborish. Hujumchining keyingi harakati -
snaynerni ishga tushirish   Bizning switch vahima holatida buyon, barcha kiruvchi 
paketlarni ko'rish uchun dastur, va tajovuzkor ning portiga bir xil VLAN unga 
o'tib, barcha paketlari ko'rinadigan bo'ladi tajovuzkor . Bunday vaziyatni oldini 
olish uchun siz port xavfsizligi barcha kommutatorlarda ishlashiga oldindan e'tibor 
berishingiz kerak . 
Ushbu funktsiyaning mohiyati nimada: u yoki bu tarzda har bir port uchun 
unda paydo bo'lishi mumkin bo'lgan MAC-manzillar ro'yxati (yoki raqami) 
cheklangan, agar portda juda ko'p manzillar ko'rinadigan bo'lsa, u holda port 
o'chadi. Shunday qilib, ko'rish qiyin emasligi sababli tasodifiy qaytish manzillari 
bilan freymlarni yaratish g'oyasi tezda muvaffaqiyatsiz bo'ladi. 
MAC manzillariga cheklovlarni kiritishning ikki yo'li mavjud: 
1. 

Statik - administrator qaysi manzillarga ruxsat berilganligini ro'yxatlashganda 

2. 
Dinamik - ma'mur nechta manzilga ruxsat berilishini 
aniqlaganda va o'tish tugmasi bilib oladi, qaysi manzilga hozirda ko'rsatilgan port 
orqali kirish mumkinligini eslab qoladi 
O'z navbatida, dinamik ravishda o'rganilgan manzillar kommutatorning 
RAM-da saqlanishi mumkin, bu holda qayta ishga tushirilgandan so'ng "o'rganish" 
ni takrorlash kerak bo'ladi; yoki konfiguratsiyada - keyin konfiguratsiyani 
saqlash mumkin va qayta yuklangandan keyin ham manzillar qoladi. Ikkinchi rejim 
"yopishqoq" ( yopishqoq ) deb nomlanadi , chunki u portga qanday yopishish 
kerakligi haqida gapiradi, shundan so'ng "unstick" ularni faqat administrator 
qilishlari mumkin - qo'lda. Yana bir savol - agar xavfsizlik buzilgan bo'lsa 
va portga xavfsizlikni sozlashimizga qaraganda ko'proq manzillar kirsa nima qilish 
kerak ? Ushbu holatdagi o'tish rejimiga uchta rejimdan biri javobgardir: 


Himoya qilish - yangi MAC-manzillarga ega bo'lgan ramkalar e'tiborga 

olinmaydi, qolganlari ham ishlashda davom etmoqda. Rejim yaxshi, chunki port 

ishlashda davom etmoqda, ammo yomon tomoni shundaki, administrator o'z 
tarmog'ida bunday g'alati narsalar yuz berayotganini hech qachon bilmaydi


Cheklash - himoya qilish rejimiga o'xshaydi, faqat kommutator SNMP 

orqali bunday noxush holat yuz berganligi to'g'risida xabar beradi, bundan tashqari, 
bu haqda syslog- ga ma'lumot yozadi (agar tuzilgan bo'lsa)


O'chirish - nomidan ko'rinib turibdiki, syslog va SNMP orqali xabarlarga 

qo'shimcha ravishda port o'chadi. Bu tarmoq xatolariga bardoshlik nuqtai 
nazaridan unchalik yaxshi emas, lekin biz portni qo'lda yoqmagunimizcha 
tajovuzkor o'z 
tarmog'imizni 
o'rganish 
bo'yicha 
tajribalarini 
davom 
ettira olmasligini aniq bilamiz .

Endi biz butun nazariyani bilamiz, keling, port xavfsizligini sozlashga harakat 

qilaylik : 
S1#configure terminal 
S1(config)#interface fastEthernet 0/11 
S1(config-if)#switchport mode access 
S1(config-if)#switchport port-security 
Shunday qilib, biz ushbu funktsiyani interfeysda standart qiymatlari bilan 
yoqdik, ya'ni: 


Har bir port uchun maksimal 1 MAC-manzil



Xotira rejimi dinamikasi (RAMda, yopishqoq emas )



Ikkinchi MAC-manzil paydo bo'lganda harakat - portni o'chirib qo'ying

Bu siz portiga 11, uchun, kompyuterni ulash tekshirish oson Ping narsa, 

so'ngra MAC o'zgartirish va harakat Ping yana . Port o'chiriladi va xato-o'chirib 

qo'yilgan holatga kiradi . Portni qayta yoqish uchun uni o'chirib yoqishingiz kerak: 
S1(config)#interface fastEthernet 0/11 
S1(config-if)#shutdown
%LINK-5-CHANGED: Interface FastEthernet0/11, changed state to 
administratively down 
S1(config-if)#no shutdown
%LINK-5-CHANGED: Interface FastEthernet0/11, changed state to up 
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/11, 
changed state to up 
Amaldagi port xavfsizligini quyidagi buyruq bilan ko'rish mumkin: 

S1#show port-security

Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action 
(Count) (Count) (Count) 
-------------------------------------------------------------------- 
Fa0/11 1 1 0 Shutdown 
---------------------------------------------------------------------- 
Jadvalda siz maksimal 1 MAC ekanligini ko'rishingiz mumkin va u 
allaqachon o'rganilgan, harakat O'chirish . 
Qayta switch, saqlanishi MAC unutiladi va bu oldini olish uchun qayta-
o'rganish kerak bo'lsa, u MAC- yod "yopishqoq" o'z ichiga zarur s . Shu bilan 
birga, keling, ularning sonini beshdan oshiraylik: 
S1(config)#interface fastEthernet 0/11 
S1(config-if)#switchport port-security mac-address sticky 
S1(config-if)#switchport port-security maximum 5 
Agar biz manzillarni statik ravishda qo'lda ro'yxatlashni istasak, 
unda yopishqoq so'z o'rniga (yoki unga parallel ravishda - alohida satrda) ularni 
quyidagi buyruq bilan ro'yxatlashimiz mumkin: 
S1 ( config -if) # switchport port-security mac-address 1234.abcd.1234
Ammo 

biz 
MACni 

statik 
ravishda 
qo'shmadik, 
shunchaki yopishqoq rejimni yoqdik . Biz kompyuterdan ping qilishga 
harakat 
qilamiz , shundan so'ng biz konfiguratsiyani ko'rib chiqamiz : 
S1#show running-config
Building configuration... 
Current configuration : 1185 bytes 
! 
version 12.2 

no service timestamps log datetime msec 

no service timestamps debug datetime msec 
no service password-encryption 
! 
hostname S1 

… 
interface FastEthernet0/1 

switchport mode access 
switchport port-security 
switchport port-security mac-address sticky
switchport port-security mac-address sticky 0001.4276.96B5 
… 

Biz 
nimani 

ko'ramiz? «switchport 
port-security mac-address sticky 
0001.4276.96B5» qatori kompyuter manzilini eslab qolganligini va "portga 
yopishib qolgan" degan ma'noni anglatadi, go'yo biz o'zimiz uni statik ravishda 
haydab 
yubordik. Agar 

siz 
hozirda konfiguratsiyani saqlasangiz, qayta yoqilgandan so'ng manzil yo'qolmaydi 

va kommutatorni qayta tayyorlash kerak bo'lmaydi. 
Xulosa shuki, port xavfsizlik xususiyati hisoblanadi modernizatsiya qilish 

uchun juda oson va juda yaxshi hujumlar ba'zi turlariga qarshi yordam beradi. 

Начало формы
Barchalarga salom, bugun men Cisco 3560 misolidan foydalanib OSI modelidagi cisco 3 darajali kalitlarni qanday sozlash haqida savolni ko'rib chiqmoqchiman. Shuni eslatib o'tamanki, cisco 3 darajali kalitlar Internetga shlyuz sifatida kirish uchun ishlatilmaydi, lekin faqat mahalliy tarmoqdagi vlan o'rtasida marshrut trafigi ... Cisco, barcha sotuvchilar singari, Internetga kirish uchun yo'riqchini taqdim qiladimi? eng keng tarqalgan ulanish diagrammasi quyida ko'rsatilgan.
Uskunalar va tarmoq diagrammasi
Menda cisco 3560 Layer 3 tugmachasi bor, u 24 ta portga ega, deylik.

U mening mahalliy tarmog'imdagi vlan o'rtasida trafikni yo'naltiradi va OSI modelining 2 darajasidagi 3 ta kalit, kirish darajasi, cisco 2960 kalitlari va cisco 3560 o'zi tarqatish darajasida ishlaydi. Eslatib o'taman, ikkinchi darajadagi trafik mac manzillari asosida almashtiriladi. Kirish darajasi - bu so'nggi qurilmalar ulangan joy, bizning holatlarimizda kompyuterlar, serverlar yoki printerlar .. Quyida diagramma mavjud.

Layer 2 Switch nima?
Ikkinchi qavat kaliti - bu OSI tarmoq modelining ikkinchi qavatida ishlaydigan apparatning bir qismi

• 
  Ko'knori manzillari asosida trafikni almashtiradi
  
• 
  Kirish darajasi sifatida ishlatiladi
  
• 
  Mahalliy tarmoqlarni birlamchi segmentatsiyasi uchun xizmat qiladi
  
• 
  Port / foydalanuvchi uchun eng past narx
  

Texnik hujjatlarda ushbu piktogramma shaklida ikkinchi darajali kalit ko'rsatilgan
3-darajali almashtirish nima?
Uchinchi darajali kalit - bu OSI modelining uchinchi darajasida ishlaydigan temir bo'lagi, u quyidagilarga qodir:

• 
  IP-marshrutlash
  
• 
  Kirish katlamini birlashtirish
  
• 
  Tarqatish qatlami kalitlari sifatida foydalaning
  
• 
  Yuqori ishlash
  

Texnik hujjatlarda uchinchi darajali kalit ushbu belgi shaklida ko'rsatilgan

Sinov skameykasini yaratishda menga tarmoq simulyatori, Cisco packet tracer 6.2 yordam beradi. Siz Cisco packac tracer 6.2-ni bu yerdan yuklab olishingiz mumkin. Mana mening test saytimning batafsil diagrammasi. Yadro sifatida menda 3560 cisco katalizatori bor, uning ikkita vlani bor: 2 va 3, statik ip adreslari VLAN2 192.168.1.251 va VLAN3 192.168.2.251. Quyida VLAN-larni tashkil qilish uchun va yuqori darajadagi ulanish sifatida ishlatiladigan ikkita kirish darajasining kalitlari mavjud. Mahalliy tarmoqda 4 ta kompyuter mavjud, har bir vlanda ikkitadan. Vlan2 dan PC3 vlan3 dan PC5ni pinglashi kerak.

Biz qaror qilgan maqsad bilan siz boshlashingiz mumkin. Men bu erda vlan nima ekanligini o'qiy olmayman.
Cisco Layer 2 kalitini sozlash
Layer 2 tugmachasini sozlash juda oddiy. Cisco katalizatori 2960 ni sozlashni boshlaymiz, chunki mening PC03 va PC04 kompyuterlarim Switch0 ga ulangan, fa0 / 1 va fa0 / 2 portlari. Rejaga ko'ra, bizning Switch0-da ikkita vlan bo'lishi kerak. Keling, ularni yaratishga kirishamiz. Biz imtiyozli rejimga o'tamiz va buyruqni kiritamiz
endi konfiguratsiya rejimiga o'ting

Biz VLAN2 va VLAN3 ni yaratamiz. Buning uchun buyruqni yozing
nomini qo'ying, VLAN2 bo'lsin
Biz uni qoldiramiz
Xuddi shu tarzda VLAN3-ni yarating.

Endi vlan 2 ga fa0 / 1 interfeysini, vlan 3 ga esa fa0 / 2 interfeysini qo'shamiz.
int fa 0/1
Port kirish rejimida ishlaydi deb aytamiz
switchport rejimiga kirish
biz uni VLAN2 ga tashlaymiz
switchport kirish vlan 2
Endi vlan 3 ga fa0 / 2 qo'shamiz.
switchport rejimiga kirish
switchport kirish vlan 3

Endi bularning hammasini buyruq yordamida kalit xotirasida saqlaylik
Endi magistral portini sozlaymiz. Magistral port sifatida men gigabit port gig 0/1 ga ega bo'laman. Gig 0/1 portini sozlash uchun buyruqni kiritamiz.
Uni magistral rejimiga o'tkazamiz
switchport rejimi magistrali
Va kerakli vlanlarni magistral orqali hal qilamiz
Sozlamalarni saqlaymiz. Ikkinchi qatlam kalitining barcha konfiguratsiyasi deyarli yakunlandi.

Endi xuddi shu usul VLAN2-da Switch1 va PC5 kalitlarini va VLAN3-da PC6-ni sozlaydi. Biz hamma narsani OSI modelining ikkinchi darajasida tugatdik, uchinchi darajaga o'ting.
Cisco 3560-ni sozlash
Cisco 3560-ni sozlash quyidagicha amalga oshiriladi. chunki bizning yadro ichki mahalliy trafikni yo'naltirishi kerak, biz bir xil vlanni yaratishimiz, ularga ip-manzillarni o'rnatishimiz kerak, chunki ular standart shlyuzlar va magistral portlari sifatida ishlaydi.
Magistral portlardan boshlaymiz, bizda gig 0/1 va gig 0/2 mavjud.
interfeys sozlamalariga o'ting gig 0/1 va gig 0/2
int oralig'i gig 0 / 1-2
Magistral rejimini yoqishga harakat qilaylik
switchport rejimi magistrali
ammo oxir-oqibat sizga shunday ishora keladi: Buyruq rad etildi: Magistral kapsulasi "Avtomatik" bo'lgan interfeysni "magistral" rejimiga sozlash mumkin emas. Uning ma'nosi shundan iboratki, sizga avval paketlarni kapsulalashni yoqish taklif etiladi. Keling, Cisco 3560-ga inkapsulyatsiya o'rnatamiz.
switchport magistral kapsulasi dot1q
Endi biz rejim va ruxsat berilgan vlanni ko'rsatamiz
switchport rejimi magistrali
switchport magistraliga ruxsat berilgan vlan 2,3
Cisco sozlamalarini saqlang

(Uyga vazifa: ip 172.10.10.1, 172.10.10.2, 172.10.10.3 uchta kalitni ulang
- shifrlangan parol bilan ikkita mahalliy foydalanuvchi yaratish
burch plevel 5 o'tish: qo'llab-quvvatlash
administrator plevel 15 pass: root
- barcha kalitlarda telnetni ochish
- barcha 3 kalitlarga kompyuter va telnet ulang