Tarmoq xavfsizligi qo'llanmasi: Konfiguratsiya va nosozliklarni bartaraf etish

O‘ZBEKISTON RESPUBLIKASI RAQAMLI TEXNOLOGIYALAR VAZIRLIGI MUHAMMAD AL-XORAZMIY NOMIDAGI TOSHKENT AXBOROT TEXNOLOGIYALARI UNIVERSITETI QARSHI FILIALI “OPTIK ALOQA TIZIMLARI VA TARMOQ XAVFSIZLIGI” KAFEDRASI TARMOQ XAVFSIZLIGI fanidan USLUBIY KO‘RSATMA Qarshi - 2024 Ushbu uslubiy ko‘rsatma Muhammad al-Xorazmiy nomidagi Toshkent axborot texnologiyalari universiteti Qarshi filiali Kengashining 2024-yil ___ - avgustdagi ___ “____” - son majlis bayonnomasida tasdiqlangan “Tarmoq xavfsizligi” fani o‘quv dasturiga asosan tayyorlangan. Muhammad al-Xorazmiy nomidagi Toshkent axborot texnologiyalari universiteti Qarshi filiali Kengashining 2024-yil ___ - sentyabr ___ - son yig‘ilish bayonnomasi, “Optik aloqa tizimlari va tarmoq xavfsizligi” kafedrasining 2024-yil ____ - sentyabrdagi kafedra yig‘ilishi bayonnomasi bilan tasdiqlangan. Kafedra mudiri: ____________ B.O.Tuychiyev Tuzuvchi: ____________ O.SH.Uzaqov TATU Qarshi filiali Uslubiy kengashi raisi: p.f.f.d.(PhD) S.J. Yaxyayev MUNDARIJA KIRISH……………………………………………………………………. 1. 2. 3. 4. Tarmoq qurilmalarida dastlabki xavfsizlik sozlamalarini o’rnatish. Telnet, SSH…………………………………………………………………………. Kommutatorlarni port xavfsizligi (Port security) ni sozlash……………….. Rezervlash protokollari - STP, PVSTP hamda agrigasiyalash protokollari – LACP, PAgP……………………………………………………………… VTP protokolini sozlash 5. OSPF, RIP, EIGRP va BGP protokollari asosida dinamik mashrutlashni sozlash……………………………………………………………………… 6. ACL ro’yxatini sozlash (satndart extended)………………………………... 7. Mashrutizatorlarda NAT/PAT texnologiyasini sozlash…………………….. 8. Tarmoq marshruzatorida DMZ ni o’rnatish………………………………… Korxona yoki tashkilotlarda axborot kommunikatsiya tizimlarida VPN tarmoq qurish……………………………………………………………….. 10. DHCP Snooping – xavfsizlik texnologiyasi………………………………... 9. 11. ASA xavfsizlik texnologiyasini sozlash……………………………………. 12. AAA serverida autentifikatsiya rejimini sozlash (RADIUS,TACACS+)….. 13. Tarmoq muammolarini izlash va bartaraf etish. Troubleshooting………….. KIRISH Uslubiy ko‘rsatmada tarmoq qurilmalarida - Telnet, SSH masofadan ulanish protokollarini sozlash, komutatorlarda Port Securityni sozlash, tarmoq qurilmalari xavfsizligini tahlil qilish, STP, RSTP, LACP, PAgP, VTP, OSPFni sozlash, RIP, EIGRP va BGP, kirish ro'yxatini sozlash (standart, kengaytirilgan), NAT / PAT texnologiyasini sozlash, SCP, SNMP protokollarini o'rnatish va jurnal fayllarini tekshirish, shuningdek AAA serverlarida autentifikatsiya rejimini o'rnatish (RADIUS, TACACS+) ), DHCP Snooping - xavfsizlik texnologiyasini tahlil qilish, tarmoqdagi ARP Poisoning hujumlarini tahlil qilish, ASA xavfsizlik texnologiyasini o'rnatish, PPTP, L2F, L2TP va IPSec protokollarini o'rganish, korxonalarda VPN tarmog'ini yaratish, tarmoq marshrutizatorlarida DMZ o'rnatish, tarmoq muammolarini bartaraf etish. Troubleshooting, firewall, IDS / IPS dasturini o'rnatish va sozlash uchun asosiy xavfsizlik sozlamalarini o'rnatish bo'yicha laboratoriya ishlari shaklida keltirilgan. "Tarmoq xavfsizligi" fani ixtisoslik fani bo'lib, ta‗lim yo‗nalishining 3bosqichida o'qitiladi. Ushbu fanni o'rganish uchun "Axborot xavfsizligi" va "Ma'lumotlar bazasi xavfsizligi" kabi axborot xavfsizligi bilan bog'liq fanlar bo'yicha bilim va ko'nikmalar talab etiladi. Uslubiy ko'rsatmalar laboratoriya ishlarning mavzusi, ishning maqsadi, laboratoriya ishlarning tartibi, laboratoriya ishlar uchun topshiriqlar va nazorat savollari kabi tarkibiy qismlardan iborat. O'quv semestri davomida talabalar laboratoriya ishi ko'rsatmalariga asosan topshiriqlarni bajarish va yozma hisobotlarni topshirishlari shart. Laboratoriya mavzusidan qat'i nazar, har bir hisobot quyidagi tarkibiy qismlardan iborat bo'lishi kerak: 1. Sarlavha. 2. Ishning mavzusi va maqsadi. 3. Asosiy qism. 4. Nazorat savollariga javoblar. 5. Foydalanilgan adabiyotlar ro‘yxati. 4 1 – Amaliy ishi Mavzu: Tarmoq qurilmalarida dastlabki xavfsizlik sozlamalarini o'rnatish telnet,ssh. Ishdan maqsad : Kommutator qurilmasining tuzilishi, ishlash tamoyillari, masofadan kirishni ta‗minlash usullari hamda xavfsizlik ko‗rsatkichlarini sozlash qoidalarini tadqiq qilishdan iborat. Ushbu laboratoriya ishida 1.1 – rasmda keltirilgan tarmoq tuzilishi bo`yicha konfiguratsiya ishlari amalga oshiriladi. 1.1 – rasm. Tadqiq qilinayotgan tarmoq tuzilishi 1.1-jadval Manzillash jadvali Qurilma Interfeys IP-manzil Tarmoq maska Asosiy shlyuz S1 VLAN 1 192.168.1.100 255.255.255.0 192.168.1.1 PC-A Tarmoq adapteri 192.168.1.2 255.255.255.0 192.168.1.1 Topshiriq 1. Tarmoq qurilmasini asosiy ko'rsatkichlarini sozlash – Console porti orqali kommutatorning asosiy ko'rsatkichlarini sozlang – kompyuter uchun IP- manzilni o'rnating. – Telnet protokoli yordamida masofadan kirishni sozlang – SSH protokoli yordamida masofadan kirishni sozlang 2. Tarmoq bog'lanishni tekshiring 5 – qurilmaning konfiguratsiyasini ko'rsating – telnet yordamida uzoqdan boshqarishni testlang – kommutatorning hozirgi konfiguratsiyasini saqlang. Qisqacha nazariy ma'lumotlar Cisco IOS qurilmalarining buyruqlar satri interfeysi (CLI- Command Line Interface) ga kirishning bir necha yo'llari mavjud. Qo'yida eng keng tarqalgan usullar keltirilgan: – Console – Telnet yoki SSH – Port AUX Console port — Konsol porti Cisco qurilmasini sozlash uchun tashqaridan kirishni ta‗minlaydigan boshqaruv portidir. Konsol portidan foydalanishning afzalligi shundan iboratki, qurilmaga tarmoq xizmatlarini konfiguratsiya qilmasdan ham kirish mumkin, masalan, tarmoq qurilmasining dastlabki konfiguratsiyasi holatida. Boshlang'ich konfiguratsiya bajarilganda, kompyuterning maxsus kabeli (RS232) yordamida qurilmaning konsol portiga ulanadi va sozlash ishlari amalga oshiriladi. TELNET (terminal network) — tarmoq bo'ylab qurilmalarga murojat qilish uchun mo'ljallangan tarmoq protokoli. Protokolning zamonaviy standarti RFC 854 da yozilgan. TELNET protokolining vazifasi terminal qurilmalar o'rtasida o'zaro ishlashni ta‗minlashdan iborat. Bu protokol terminal-terminal ko'rinishdagi aloqada ishlatiladi. Protokol Secureshell (SSH) — bu protokol uzoqdagi qurilmalarni boshqarish uchun xavfsiz (shifrlangan) bog'lanishni ta‗minlaydi. Uzoqdagi qurilmalarni boshqarish uchun Telnet protokoli o'rniga SSH protokolini qo'llash tavsiya etiladi. Lokal tarmoqlarda Telnet ni qisqa vaqt uchun ishlatish mumkin. Telnet eskirgan protokol hisoblanib, qurilmalar o'rtasida ishlashda shifrlanmagan xavfsiz ma‗lumot 6 ko'rinishiga o'xshaganday identifikatsiya axborotlari (foydalanuvchi nomi va paroli) ham ochiq uzatiladi. SSH uzoqdagi qurilmalar bilan bog'lanishda himoyani ta‗minlaydi. Qurilmalarni autentifikatsiya (foydalanuvchi nomi va paroli) ma‗lumotlarini ishonchli shifrlaydi. Shuningdek qurilmalar o'rtasidagi uzatilayotgan ma‗lumotlarni ham himoyalaydi. SSH TCP- port 22 ni, Telnet TCPport 23 ni ishlatadi. AUX-Buyruqlar satri interfeysi (CLI) seansini o'rnatish uchun eskirgan usul xisoblanadi, u telefondagi dial-up bog'lanishi yordamida routerning yordamchi portiga (AUX) ulanadi. Shu tarzda, konsol aloqasi yordamida, yordamchi usul ham tarmoqdan tashqari ulanishni ta‗minlaydi va konfiguratsiya yoki tarmoq xizmatlarini talab qilmaydi. Agar tarmoq xizmatlarining ishlashi buzilgan bo'lsa, masofadan boshqaruvchi kalit yoki routerga telefon liniyasidan kira oladi. Kerakli resurslar: – 1 ta kommutator (Cisco 2960 operatsion tizimi Cisco IOS 15.0(2), obraz lanbasek9); – 1 ta kompyuter (operatsion tizimi Windows 7, Vista yoki XP da emulyator terminal dasturi, Masalan: Tera Term, Patty); – cisco IOS qurilmasini konsol porti orqali sozlash uchun console kabeli; – ethernet kabeli. 1. Kommutatorni sozlashni tekshirish 1.1. Topologiyaga mos ravishda kabellarni ulang a. Topologiyaga mos ravishda konsolli ulanishni o'rnating. Bunda Ethernet kabelini PC-A ga ulamang (bu real qurilmaga ulanishda). b. Tarmoq qurilmasini sozlashda konsolli port yoki Telnet / SSH ulanish uchun terminal (m: komp‗yuter)da emulyatsiya dasturlari mavjud bo'lishi kerak. Ushbu dasturlardan ba‗zilari quyidagilardir: PuTTY; Tera Term; 7 SecureCRT; HyperTerminal; Terminal OS X. Laboratoriya ishini bajarishda topologiyani qurish va Cisco kommutatoriga konsol kabeli bilan bog'lanish yoki uzoqdan kirish usuli (telnet yoki SSH) orqali kirishga ruxsat olish kerak. Kommutatorning asosiy ko'rsatkichlarini sozlashdan oldin kommutatorning dastlabki xolatini tekshirish kerak. Kommutatorning bu ko'rsatkichlariga qurilmaning nomi, interfeysning nomi, lokal parollar, MOTD (qurilmaga kirishda kiruvchini ogohlantiruvchi xabar) banneri, IP manzil, statik MAC manzilni qo'yilganligi kiradi. 1.2. Kommutatorni dastlabki xolatini tekshiring. Kommutatorni dastlabki xolati: IOS ma‗lumotlari, interfeys xususiyatlari, VLAN va flesh – xotira to'g'risidagi ma‗lumotlarni tekshiramiz. Kommutator IOS ning barcha buyruqlari imtiyoz rejimida bajarish mumkin. Imtiyoz rejimiga kirishda begonalarni qurilmadan foydalanishini oldini olish va global konfiguratsiya rejimiga to'g'ridan to'g'ri o'tib ketmaslik hamda ishchi ko'rsatkichlarni sozlash uchun ishlatiladigan buyruqlarga kirmaslik uchun parol yordamida cheklash kerak. Imtiyoz to'plamiga foydalanuvchi rejimining buyruqlari kiradi. Shuningdek boshqa buyruqli rejimlarga o'tishni bajaruvchi configure buyrug'i kiradi. Imtiyoz rejimiga kirish uchun Enable buyrug'ini kiriting. a. Imtiyoz rejimiga o'tish uchun foydalanuvchi rejimida kommutatorga Switch> enable buyrug'ini yozing. Switch> enable Switch# Qatordagi o'zgarish imtiyoz rejimiga otganligiga e‗tibor bering. Kommutatorning konfiguratsiyasini tekshirish uchun imtiyoz rejimida show running-config buyrug'ini kiriting. Agar kommutatorda sozlangan fayllar saqlangan bo'lsa, ularni o'chirib tashlang. b. "Running configuration" faylini o'rganing 8 Switch# show running-config 2960 kommutatori nechta FastEthernet interfeyslari mavjud? 2960 kommutatori nechta Gigabit Ethernet interfeyslari mavjud? VTY-kanalining diapazon qiymati qancha? c. VLAN 1 uchun SVI harakteristikalarini o'rganing. Switch# show interface vlan1 VLAN 1 tarmog'i uchun IP-manzil qo'yilganmi? SVI qanday MAC-manzilga ega? Ushbu interfeys yoqilganmi? Switch# show ip interface vlan1 qanday ma‗lumotlar chiqdi? d. Kommutatorning ma‗lumotni Cisco IOS operatsion tizimi to'g'risidagi o'rganing. Switch# show version Hozirda ishlab turgan kommutator qaysi Cisco IOS operatsion tizimda ishlaydi? Tizimning fayl obrazi qanday nomlanadi? 2. Tarmoq qurilmasini asosiy ko„rsatkichlarini sozlash 2.1. Kommutatorning asosiy parametrlari: qurilmaning nomi, lokal parollar, MOTD (qurilmaga kirishda kiruvchini ogohlantiruvchi xabar) banneri, boshqaruv manzili va Telnet orqali kirishlarni sozlang a. Agar kommutatorning NVRAM xotirasida konfiguratsiyaning fayli saqlanmagan bo'lsa, siz imtiyoz rejimda bo'lasiz. Agar qator Switch> ga o'zgargan bo'lsa enable ni yozing. 9 Switch> enable Switch# b. Global konfiguratsiya rejimiga o'ting. Switch# configure terminal Switch(config)# Global konfiguratsiya rejimini ko'rsatish uchun qator yana o'zgardi. c. Kommutatorga nom bering. Switch(config)# hostname S1 S1(config)# d. Parolni shifrlanishini sozlang. S1(config)# service password-encryption S1(config)# e. Imtiyoz rejimiga kirish uchun maxfiy parol sifatida class bering. S1(config)# enable secret class S1(config)# f. MOTD (qurilmaga kirishda kiruvchini ogohlantiruvchi xabar) bannerini sozlang. S1(config)# banner motd # Qurilmaga kirish taqiqlanadi# g. Rejimlarga o'tishdagi o'tishlarni sozlanganligini tekshiring. S1(config)# exit S1# exit Foydalanuvchi rejimidan imtiyoz rejimiga o'ting. Parol so'ralganda class ni kiriting. S1> enable Password: S1# Izoh: kiritishda Parol ko'rinmaydi. i. Kommutatorning SVI siga IP manzil qo'yish uchun global rejimga kiring. Bu esa kommutatorni uzoqdan boshqarish imkoniyatini beradi. 10 S1 kommutatorni uzoqdagi PC-A kompyuter orqali boshqarishdan oldin kommutatorga IP manzil qo'yish kerak. Kommutatorning dastlabki xolatidagi konfiguratsiyaga asosan kommutatorni boshqarish VLAN 1 orqali amalga oshiriladi. Kommutatorning ichki virtual interfeys (SVI) VLAN 1 ga IP manzil 192.168.1.100 va tarmoq maskasi 255.255.255.0 ni sozlang. S1(config)# interface vlan1 S1(config-if)# ip address 192.168.1.100 255.255.255.0 S1(config-if)# no shutdown S1(config-if)# exit S1(config)# 3. Console konfiguratsiyasini sozlash Konsol port orqali kirishni ham chegaralash kerak. Dastlabki xolatdagi konfiguratsiyaga asosan barcha konsolli ulanishlar parolsiz sozlangan bo'lishi kerak. Konsol xabarlarini uzluksizligini ta‗minlash uchun logging synchronous buyrug'i kiritiladi. S1(config)# line console 0 S1(config-line)# password cisco S1(config-line)# login S1(config-line)# logging synchronous S1(config-line)# exit S1(config)# 4. Telnet konfiguratsiyasini sozlash Kommutator telnet orqali kirishga ruxsat berishi uchun, ya‗ni uzoqdan boshqarish uchun virtual bog'lanish kanali (vty) ni sozlash kerak. Agar vty paroli qo'yilmasa telnet orqali qurilmaga kirib bo'lmaydi. S1(config)# line vty 0 15 S1(config-line)# password cisco S1(config-line)# login S1(configline)# end 11 5. SSH konfiguratsiyasini sozlash SSH protokolini sozlashdan oldin kommutatorda tugunning maxsus nomini va tarmoq ulanishining mos keluvchi ko`rsatkichlarini ko'rsatish lozim. 1 – qadam. SSH protokolini borligini tekshirish SSH protokoli borligini bilish uchun show ip ssh buyrug'i beriladi. Agar kommutatorda kriptografik funksiyani qo'llab quvvatlovchi IOS bo'lmasa, bu buyruq ishlamaydi. 2 – qadam. IP domenni sozlash Tarmoqning IP domenini global konfiguratsiya rejimida ip domain-name domen nomi yordamida ko'rsating. 1.2 – rasmda domen nomi cisco.com qilib olingan. 1.2 – rasm. Uzoqdagi qurilmani boshqarish uchun SSH protokolini sozlash 3– qadam. RSA kalitlarini yaratish IOS ning hamma versiyalarida ham SSH ning 2 versiyasi ishlatilmaydi. SSH ning 1 versiyasida ma‗lum zaifliklar mavjud. SSH ni sozlash uchun global konfiguratsiya rejimida ip ssh version 2 buyrug'i beriladi. Juft RSA kalitlari yaratilganda SSH protokoli avtomatik ishga tushadi. Kommutatorda SSH serverini ishlatish va juft RSA kalitlarini generatsiya qilish uchun global konfiguratsiya rejimida crypto key generate rsa buyrug'i kiritiladi. RSA kalitlarini yaratishda administratordan modulni uzunligini kiritish talab etiladi. Modulning uzunligi 12 1024 bit bo'lishi tavsiya etiladi. Uzun modul ishlatilsa xavfsiz bo'ladi, lekin uni yaratishda va ishlatishda ko'p vaqt ketadi. 4 – qadam. Foydalanuvchining autentifikatsiyasini sozlash SSH-server foydalanuvchilarni lokal yoki autentifikatsiya serveri yordamida himoyalashi mumkin. Autentifikatsiyaning lokal usulini ishlatish uchun global konfiguratsiya rejimida username foydalanuvchi nomi secret password buyrug'i beriladi. Foydalanuvchi uchun admin parol uchun ccna olindi. 5 – qadam. VTY kanalini sozlash Transport input ssh kanal konfiguratsiya rejimida VTY kanalida SSH protokoli yoqiladi. Kommutatorlarda VTY kanalining diapazoni 0 dan 15 gacha bo'ladi. Bunday sozlash SSH protokolidan boshqa barcha ulanishlar (Masalan; Telnet)ni bekor qiladi va kommutatorga faqat SSH protokoli bo'yicha ulanishga ruxsat beradi. Global konfiguratsiya rejimida line vty buyrug'i beriladi, so'ng SSH ulanish paytida foydalanuvchilarning lokal ma‗lumotlar bazasidan lokal autentifikatsiya ishlatilishi uchun kanalning konfiguratsiya rejimida login local buyrug'i beriladi. 6 – qadam. SSH versiya 2 ni qo‘llash Tinch xolatda SSH ikkala versiya (1 va 2)ni qo'llab quvvatlaydi. Agar ikkala versiya ishlasa, u holda show ip ssh buyrug'ining natijasi 1.99 versiya deb xabar beradi. 1 versiyada ko'p zaifliklar mavjud. Shu sababli faqat 2 - versiyani ishlatish tavsiya qilinadi. Uni ishlatish uchun global konfiguratsiya rejimida ip ssh version 2 buyrug'i beriladi. Uzoqdagi qurilmaga xavfsiz ulanishni boshqarish uchun Telnet protokolini o'rniga SSH protokolini qo'llash tavsiya etiladi. Telnet da ochiq shifrlanmagan matnli almashish ishlatiladi. SSH protokoli qurilmalar o'rtasida uzatilayotgan barcha ma‗lumotlarni ishonchli shifrlash orqali uzoqdagi qurilma bilan xavfsiz ulanishni ta‗minlaydi. 6. PC-A kompyuteri uchun IP manzil qo'ying. 13 Manzillash jadvaliga muvofiq kompyuterga IP manzil va tarmoq maskasini o'rnating. Ko'rilayotgan tarmoq uchun asosiy shlyuz kerak emas. 1) ekranning o'ng tomondagi pastki burchagidagi sichqonchaning chap tugmasini 2 marta bosing belgiga ―Подключение по локальной сети belgisiga 2 marta 2) sichqonchaning chap tugmasini bosing Chiqqan oynadan ―Protokol Interneta TCP/IP‖ qatori 3) tanlanib, ―свойства tugmasi bosiladi 4) Chiqqan oynadan IP-manzil va tarmoq maskasi kiritiladi. 7. Tarmoq bog'nishni tekshiring 7.1. Kommutatorning konfiguratsiyasini chiqaring. Console orqali ulangan PC-A kompyuterda kommutatorning konfiguratsiyasini chiqaring. Show run buyrug'i hozirgi konfiguratsiyani sahifa ko'rinishida chiqaradi. Keyingi qatorlarni ko'rish uchun PROBEL tugmasi bosiladi. a. Bu erda konfiguratsiyaga misol keltirilgan. Kiritgan sozlanishlar sariq rangda ajratilgan. Konfiguratsiyaning boshqa ko`rsatkichlari IOS ning o'zida o'rnatilgan sozlanish hisoblanadi. S1# show run Building configuration... Current configuration : 2206 bytes ! version 15.0 no service pad service timestamps debug datetime msec service hostname S1 ! boot-start-marker enable secret 4 06YFDUHH61wAE/kLkDq9BGho1QM5EnRtoyr8cHAUg.2 no aaa new-model system mtu routing 1500 ! ! b. Administrativ VLAN 1 ni ko`rsatkichlarini tekshiring. 7.2. To‘g‘ridan to‘g‘ri bog‘lanishni exo so‘rov jo‘natish orqali tekshiring. a. PC-A kompyuterdan kommutatorning SVI interfeysining administrativ 14 manziligi exo so'rov jo'nating C:\Users\User1> ping 192.168.1.100 PC-A kompyuter S1 kommutatorning MAC manzilini ARP protokoli yordamida olishi kerak. Birinchi paket uzatmada kutish vaqti tugashi mumkin. Lekin exo – so'rov amalga oshmasa, qurilmaning bazaviy sozlanishidagi nosozlikni tekshiring va sozlang. 7.3. S1 kommutatorni uzoqdan boshqarishni tekshiring. Qurilmaga uzoqdan kirishni Telnet orqali amalga oshiring. Bizning misolda kompyuter va kommutator yonma – yon joylashgan. Ishlab chiqarishda esa kompyuter 1 qavatda, kommutator boshqa qavatda joylashgan bo'lishi mumkin. SHu sababli kommutatorni uzoqdan boshqarish uchun Telnet dan foydalaniladi. a. PC-A kompyuterning kommutatorga cmd oynasida S1 SVI administrativ manzil orqali ulanish uchun telnet /SSH buyrug'ini kiriting. C:\Users\User1> telnet 192.168.1.100 C:\Users\User1> ssh –l admin 192.168.1.100 b. cisco parolini kiritgandan so'ng foydalanuvchi rejimiga o'tgan hisoblanadi. Imtiyoz rejimiga o'ting. c. Telnet yoki SSH seansini tugatish uchun exit ni kiriting. 7.4. Kommutatorga kiritilgan o‘zgarishlarni saqlang. Konfiguratsiyani saqlang. S1# copy running-config startup-config Destination filename [startup-config]? [Enter] Building configuration... Nazorat savollari 1. Console porti qaysi holatda ishlatiladi? 2. Kommutator uchun nima sababdan VTY kanalini sozlash kerak? 3. Parolni shifrlanmagan ko'rinishda uzatilmasligi uchun nima qilish kerak? 4. Telnet va SSH protokollari nima maqsadda ishlatiladi? 15 2-Amaliy ishi Mavzu: Kommutatorda port xavfsizligi (port security) ni sozlash. Ishdan maqsad: Kommutatsiya jadvallari to`ldirilishiga yo`naltirilgan hujumlardan, tarmoqni himoya qilish imkonini beruvchi kommutatorning ― port- security funksiyasini sozlash bo`yicha amaliy ko`nikmalarga ega bo‗lish. Qisqacha nazariy ma‟lumotlar Port-security funksiyasi kommutatorning biror bir porti orqali tarmoqqa faqat ko`rsatilgan qurilmalar kirishini sozlashga imkon beradi. Ushbu portga kirishga ruxsat berilgan qurilmalar MAC-manzillar bo`yicha aniqlanadi. MAC- manzillar dinamik yoki tarmoq administrator tomonidan qo`lda sozlanishi mumkin. Bundan tashqari Port-security funksiyasi portga ulanuvchi tugunlar sonini cheklashga imkoniyat yaratadi, bu esa portga MAC-manzillar sonini ko`rsatish orqali amalga oshiriladi. Yana bir funksiyasi MAC-manzillar jadvali to`ldirilishiga yo`naltirilgan hujumlardan kommutatorni himoyalash hisoblanadi (2.1-rasm.). 2.1-rasm. Kommutatorda Port Security funksiyasining ishlash tartibi MAC-manzillarga cheklov kiritishning ikkita usuli mavjud: 1. Statik – administrator qaysi manzillar kirishini ko`rsatadi (2.3-rasm); 16 2. Dinamik – administrator nechta manzil kirishini ko`rsatadi va kommutator qaysi manzillar shu vaqtda ko`rsatilgan port orqali murojat qilayotganini eslab qoladi (2.3-rasm). Windows OS da Ethernet adapterining MAC-manzilini ipconfig /all buyrugì yordamida aniqlanadi. Quyidagi 2.2-rasmga kompyuterning MAC-manzili 00-18DE-C7-F3-FB ko`rinishda keltirilgan. 2.2-rasm. Kompyuter qurilmasining MAC-manzilini ko`rish Kommutator qurilmasining MAC-manzillar jadvalini ko`rish uchun show mac-address-table buyrugì orqali aniqlanadi (2.3-rasm). 2.3-rasm. Kommutator qurilmasining MAC-manzilini ko`rish Kommutatorni himoya qilishning oddiy usullaridan biri bu – ishlatilmayotgan portlarni o`chirib qo`yish hisoblanadi. Ishlatilmayotgan portlarni o`chirish Ishlatilmayotgan portlarni o`chirish – bu ko`pchilik administratorlar foydalanadigan, tarmoqni ruxsatsiz kirishdan himoya qilishda oddiy usullardan biri. Masalan, agar Catalyst 2960 kommutatori 24 portga ega va unda 3 ta FastEthernet 17 portlari ishlatilayotgan bo`lsa, qolgan 21 ta ishlatilmayotgan portlarni o`chirib qo`yish tavsiya etiladi. Buni amalga oshirish uchun har bir ishlatilmayotgan portga alohida kiritiladi va o`chirib qo`yish buyrugì beriladi: Cisco IOSda shutdown Sw1(config)#interface range fastEthernet 0/5-24 Sw1(config-if-range)#shutdown Agar keyinchalik portlarni yana ishga tushurish kerak bo`lsa, no shutdown buyrugìdan foydalaniladi: Sw1(config)#interface range fastEthernet 0/5-24 Sw1(config-if-range)#no shutdown Cisco kommutatorlarida Port-security Port-securityni sozlash Port-security interfeysni sozlash kommutatorning port rejimlar orqali amalga oshiriladi. Ko`pchilik Cisco kommutatorlarida portlar odatda dynamic auto rejimida turadi, ushbu rejim port-security funksiyasiga to`g`ri kelmaydi. Shuning uchun interfeysni trunk yoki access rejimiga o`tkazish kerak: switch(config-if)# switchport mode <access | trunk> Interfeysda port securityni ishga tushurish: switch(config-if)# switchport port-security Xavfsiz MAC-manzillarni sozlash Manzillarni dinamik saqlash (sticky) buyrugì orqali ishga tushurish: switch(config-if)# switchport port-security mac-address sticky Agar manzillarni statik tarzda kiritish kerak bo`lsa sticky buyrugì o`rniga manzillar yoziladi: 18 switch (config) # interface ethernet 0/1 switch (config-if) # switchport port-security mac- address 0050.3e8d.6400 Xavfsiz MAC-manzillarning maksimal soni switchport port-security maximum N – bu bir vaqtda N sonli MAC-manzillar interfeysda ishlashini anglatadi. Masalan: switch(config)# interface Fastethernet0/3 switch(config-if)# switchport mode access switch(config-if)# switchport port-security maximum 3 switch(config-if)# switchport port-security Xavfsizlik buzilishiga javob berish (реагирование) rejimini sozlash Xavfsizlik buzilishiga javob berish ning uchta usuli mavjud: switch(config-if)# switchport port-security violation <protect | restrict | shutdown> switchport port-security violation restrict – buzilishga javob berish rjimini ko`rsatish. Bunda, agar interfeysda uchinchi notanish MAC-manzil paydo bo`lsa, undan keluvchi barcha paketlar qabul qilinmaydi. Undan tashqari syslog, SNMP trap, violetion counter ka`bi jurnallashtiruvchilarga xabar jo`natiladi. switchport port-security violation shutdown - buzilish aniqlangand a interfeysni error-disabled holatiga o`tkazadi va o`chiradi. Undan tashqari syslog, SNMP trap, violetion counter ka`bi jurnallashtiruvchilarga xabar jo`natiladi. Ushbu holatdan chiqarish uchun shutdown va no shutdown buyruqlaridan foydalaniladi. 19 Agar interfeysga switchport port-security violation protect buyrugì kiritilgan bo`lsa, unda notanish MAC-manzil paketlari qabul qilinmaydi va xech qanday xabar yaratilmaydi, hamda port shutdown holatiga o`tmaydi. Ushbu usullardan switchport port-security violation restrict ko`pchilik hollarda tavsiya etiladi. MAC-manzillar jadvalini tozalash Boshqa qurilmalar ulanishi uchun MAC-manzillar jadvalini tozalash: switch# clear port-security [all|configured|dynamic|sticky] [address <mac>|interface <int-id>] switch #clear port-security all switch #clear port-security configured switch #clear port-security dynamic switch #clear port-security sticky Port-security sozlanishlari haqidagi ma‟lumotlarni ko`rish switch# show port-security switch# show port-security interface fa0/3 switch# show port-security address Topshiriq 2.4-rasmda keltirilgan tarmoq topologiyasini Cisco Packet Tracer dasturida tuzish talab qilinadi; Har bir kompyuter uchun IP manzilni sozlang va MAC manzillarni 2.2- rasmda ko`rsatilgandek aniqlang; Kommutatorning har bir portlariga xavfsizlik ko`rsatkichlarini sozlang; 2.1-jadvalga yuqorida keltirilgan topshiriqlarni kiriting. 20 2.4-rasm. Tarmoq topologiyasi. 2.1-jadval Qurilma IP-manzil МАС-manzil Interfeys Port rejimlari Laptop0 192.168.1.1 00E0.F902.D683 Fa0 n/a Laptop1 192.168.1.2 000B.BE9B.EE4A Fa0 n/a Laptop2 192.168.1.3 00D0.5819.04E3 Fa0 n/a Laptop3 192.168.1.4 0004.9AB9.DAC2 Fa0 n/a Laptop4 192.168.1.5 00D0.BAC2.8C58 Fa0 n/a Laptop5 192.168.1.6 0000.0C6E.01E0 Fa0 n/a SW1 N/A N/A Fa0/1 sticky SW1 N/A N/A Fa0/2 mac-address 00D0.5819.04E3 SW1 N/A N/A Fa0/3 violation protect SW1 N/A N/A Fa0/5-24 Shutdown SW2 N/A N/A Fa0/1 restrict SW2 N/A N/A Fa0/2 restrict SW2 N/A N/A Fa0/3 Protect SW2 N/A N/A Fa0/4 maximum 4 Ishni bajarish tartibi Switch>enable Switch#configure terminal Switch(config)#hostname Sw1 21 Sw1(config)#interface fa0/1 1. Portni access rejimiga o`zgartirish Sw1(config-if)#switchport mode access 2. Portda port-securityni ishga tushurish Sw1 (config-if)#switchport port-security 3. Secure-MAC ni dinamik aniqlashni ko`rsatish Sw1 (config-if)#switchport port-security mac-address sticky Sw1 (config-if)#exit 4. Secure-MAC ni statik aniqlashni ko`rsatish Sw1(config)#interface fastEthernet 0/2 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport port-security Sw1(config-if)#switchport port-security mac-address 000B.BE9B.EE4A Sw1(config-if)#end 5. Xavfsizlik buzilishigi javob berish rejimini sozlash Sw1(config)#interface fastEthernet 0/3 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport port-security Sw1(config-if)#switchport port-security mac-address sticky Sw1(config-if)#switchport port-security violation protect Sw1(config-if)#end 6. Ishlatilmayotgan portlarni o`chirish Sw1(config)#interface range fastEthernet 0/5-24 Sw1(config-if-range)#shutdown 7. Portda secure-MAC maksimal soni N ni ko`rsatish (Bu buyruq Sw2 kommutatorga tavsiya etiladi) Switch>enable Switch#configure terminal Switch(config)#hostname Sw2 Sw2(config)#interface fa0/4 Sw2(config-if)#switchport mode trunk Sw2(config-if)#switchport port-security maximum 4 Sw1(config-if)#switchport port-security violation restrict 8. Natijani tekshirish Switch#show port-security interface fa 0/1 Port Security : Enabled 22 Port Status : Secure-up Violation Mode : Shutdown Aging Time : 0 mins Aging Type : Absolute SecureStatic Address Aging : Disabled Maximum MAC Addresses : 1 Total MAC Addresses : 0 Configured MAC Addresses : 0 Sticky MAC Addresses : 0 Last Source Address:Vlan : 0001.63B4.E4A6:1 Security Violation Count : 0 9. Sozlamalarni saqlash Switch#copy running-config startup-config Topshiriq Har bir talaba yuqorida keltirilgan ma‗lumotlar bo`yicha Cisco Packet tracer muhitida laboratoriya ishini bajaradi. Nazorat savollari 1. MAC-manzil bu nima va qurilmalarda qanday aniqlanadi? 2. Kommutatorda port xavfsizligi funksiyasini nima uchun ishlatiladi? 3. Secure-MAC maksimal sonini N qaysi holatlarda ishlatiladi? 4. Port security asosiy atributalari keltiring. 5. Kommutatorning xavfsizligini ta`minlashning yana qanday chorlarini bilasiz ? 23 3-Amaliy ish Mavzu: Rezervlash protokollari - STP, RSTP va agregatsiyalash protokollari - LACP, PAgP ni sozlash. Ishdan maqsad: Kanal pog‗onasi protokollari-STP (spanning-tree protocol), RSTP protokollari va LACP, PAGP аgregatsiyalash protokollarining sozlash va ishlash tamoyillari bo`yicha amaliy ko`nikmaga ega bo`lish. Topshiriq: 1. STP (spanning-tree protocol), RSTP protokollari bo`yicha topshiriq: –SW1, SW2 va SW3 kommutatorlar interfeyslarining 4.1-rasmda ko`rsatilgandek sozlang va tekshiring. –STP protokoli bo`yicha root switch va root secondary kommutatorlarni sozlang va tekshiring. –Har bir kommutatorni ildiz kommutator (root) qilib, kadrning harakat yo`nalishlarini o`zgartiring. –Har bir kommutator konfiguratsiya natijalarini tahlil qiling. 4.1 - rasm. STP protokoli asosida tuzilgan tarmoq topologiyasi 2. LACP, PAGP аgregatsiyalash protokollarining sozlash va ishlash tamoyillari bo`yicha topshiriq S1, S2 kommutatorlarning interfeyslarini rasmda ko`rsatilgandek sozlang va tekshiring 24 LACP yoki PAgP protokollari yordamida kanal agregatsiya konfiguratsiyalarini amalga oshiring Har bir kommutatorda yozilgan buyruqlarning vazifalarini o`rganing. 1 - topshiriq bo`yicha qisqacha nazariy ma‟lumot STP protokoli OSI modelining kanal pogònasi protokoli bo`lib, IEEE 802.1d standartida asosida tavsiflangan. STP protokoli 1985 yilda Radia Perlman tomonidan ishlab chiqilgan. Protokolning quyidagi spetsifikatsiyalari mavjud: PVSP+, RSTP, MSTP, SPM. STP protokolining asosiy maqsadi Ethernet tarmogìdagi ixtiyoriy topologiyada bir-biriga bog`langan bir nechta kommutatorlar o`rtasidagi kanalda pet (petel) hosil bo`lishini oldini olishga qaratilgan. STP protokoli tarmoqda kommutatorlar bir-biri bilan bog`lanishlarning mantiqiy daraxtini yaratishga asoslangan. Daraxtning yuqori qismida ildiz kommutator (Root switch) va undan keyingi filial (otvetvleniya), ya‗ni ildiz bo`lmagan kommutatorlar joylashadi. Kommutatorlar bir-biri bilan bog`langan holatda, asosiy magistral kanalni ishlatib, boshqa kanallarni fizik jihatdan bog`lab, lekin mantiqiy jihatdan avtomatik bloklab qo`yish imkoniyatini beradi (4.2-rasm). Daraxtni qurish jarayoni quyidagi bosqichlardan iborat: Ildiz kommutatorni tanlash (root switch); Ildiz portlarni tanlash (root port); Belgilangan portlarni tanlash (designated port). 4.2-rasm. STP protokolidagi port turlari 25 Tarmoqda asosiy bo`lgan ildiz kommutatorni tanlashda kommutatorlarning eng kichik imtiyoz (prioritet) qiymati yoki uning ID qiymati asosida tanlanadi. Bu yerda ID qiymati kommutatorning MAC manzili anglatadi, ya‗ni eng kichik qiymati tarmoqda ildiz kommutator hisoblanadi. Kommutatorlar har 2 soniyada bir-biriga Hello BPDU kadrlarni jo`natib qaysi biri ildiz kommutatorligini belgilab olishadi. Qo`shnilardan olingan kadrlarning imtiyoz va ID identifikator qiymatlarini taqqoslanadi va ularning qiymatlari yuqoriroq bo`lsa, u ildiz lavozimiga da‗vo qilishni to`xtatadi va gòlibga Hello BPDU xabarini tarqatishni boshlaydi. Shuni bilishimiz kerakki, imtiyozlar taqqoslanganda ular teng qiymat bo`lib qolsa, u holda ularning ID taqqoslash orqali ildiz kommutator tanlanadi. Multiple Spanning Tree Protocol (MSTP) IEEE 802.1s standartida tavsiflangan va keyinchalik IEEE 802.1Q-2003 bilan qo`shimchalar kiritilgan. MSTP protokoli bir nechta STP protokoli nusxasini qo`llab-quvvatlash maqsadida IEEE 802.1w (RSTP) standartini takomillashtirilgan ko`rinishi. U tarmoqni tezroq ishlashini, VLAN sozlangan tarmoqda yuklamani balanslash imkoniyatini ta‗minlaydi. 802.1s MSTP standartiga qo`shimcha 802.1Q standartida qo`shimcha kiritilgan. Ishni bajarish tartibi 4.3-rasmda ko`rsatilgan topologiya bo`yicha Sw1, Sw2, Sw3, Sw4 kommutatorlar uchun asosiy konfiguratsiyalarni sozlang. 4.3-rasm. Tadqiqot qilinayotgan tarmoq tuzilishi 26 Yuqorida keltirilgan tarmoq topologiyasida kommutatorlar orasida asosiy ildiz kommutator (root) Sw1 hisoblanadi. Chunki bu topologiyada Sw1 boshqa kommutatorlarga nisbatan MAC adresi kichik. Shu sababli Sw1 kommutatorga barcha kirish va chiqish interface portlari yashil holatdagini ko`rishimiz mumkin. Buni tekshirish uchun Sw1#show spanning-tree buyrugì orqali amalga oshiriladi. Natijada Sw1 kommutatorning MAC-Address 000D.BD2C.15B9 yoki asosiy bo`lgan kommutatorni (This bridge is the root) bilishimiz mumkin (4.4-rasm). 4.4-rasm. Sw1 bo`yicha spanning-tree natijalari 4.3-rasmda Sw2 kommutatorning show spanning-tree buyrugì orqali ko`rishimiz mumkinki, asosiy bo`lgan ildiz kommutatorni belgilaydigan qismida fastEthernet 0/4 ko`rsatilgan. Sw2 FastEthernet 0/4 portida root switch (sw1) joylashgan. 4.5-rasm. Sw1 bo`yicha spanning-tree natijalari 27 Tarmoq topologiyasida asosiy bo`lgan kommutatorni (ildiz kommutatorni) belgilashimiz uchun bir nechta usullar mavjud: 1-usul. Tarmoqda asosiy bo`lgan kommutatorni aniq tayinlash: spanning-tree vlan vlan-id root primary – tarmoq uchun asosiy bo`lgan kommutatorni (ildiz kommutatorni) ko`rsatish uchun foydalaniladi (masalan, spanning-tree vlan 1 root primary) spanning-tree vlan vlan-id root secondary tarmoq uchun asosiy bo`lgan kommutatorga (ildiz kommutatorga) zahira kommutatorni ko`rsatish uchun foydalaniladi (masalan, spanning-tree vlan 1 root secondary) Misol uchun tarmoqda asosiy bo`lgan kommutator (root)ni boshqasiga ya`ni Sw2 o`zgartiramiz. Sw2 konfiguratsiyasi Switch>enable Switch#configure terminal Switch(config)#hostname sw2 sw2(config)#spanning-tree vlan 1 root primary sw2(config)#exit sw2#show spanning-tree 4.6-rasmda Sw2 kommutatorning root switch bo`lganligini ko`rishimiz mumkin. 4.6-rasm. Root switchni almashtirish jarayoni 28 2-usul Kommutatorning muhimliligi (priority) bo`yicha Rootni tayinlash: spanning-tree vlan vlan-id priority value - tarmoq uchun asosiy bo`lgan kommutatorni (ildiz kommutatorni) ko`rsatish uchun foydalaniladi. Muhimliligi (priority) kichik kommutator asosiy kommutator hisoblanadi. (masalan, spanning- tree vlan 1 priority 24576). Tarmoqdagi kommutatorlar dastlabki holatda barchasi bir xil bo`ladi (Priority 32769). Priorityni o`rnatishda qadamlar soniga e‗tibor beriladi, ya‗ni har bir qadam uzunliligi 4096 ga teng. Bu usul bo`yicha sw4 ni root switch qilib sozlaymiz (Eslatma: sw2ga sozlangan kommandani olib tashlang. sw2(config)#no spanning-tree vlan 1 root primary). Switch>enable Switch#configure terminal Switch(config)#hostname sw4 sw4(config)#spanning-tree vlan 1 priority 24576 Sw4(config)#exit Yuqorida keltirilgan tarmoq parametrlari sozlangandan keyin kommutatorlar bir-biriga xabar jo`natib, LAN tarmogì uchun ildiz kommutatorni tanlab oladi. Xozirgi mavjud konfiguratsiyalarni ko`rish uchun: show spanning-tree – kommutator uchun ko`prik (most) muhimliliklarini ko`rishda foydalaniladi show spanning-tree active - spanning-tree protokolida ishlayotgan faqat faol interfeyslarning konfiguratsiyasini ko`rsatadi. show spanning-tree summary —port holatlari haqida ma‗lumot beradi. show spanning-tree root — ildiz ko`prigining konfiguratsiyasi haqida ma‗lumot beradi. show spanning-tree detail —port haqida batafsil ma‗lumot olish show spanning-tree interface — STP interfeysi va konfiguratsiyasi holati haqida ma‗lumot beradi. 2-topshiriq bo`yicha qisqacha nazariy ma‟lumot Agregatsiya kanal (ingilizcha link aggregation) – bir nechta fizik kanalni bitta mantiqiy kanalga birlashtirish imkonini beradigan texnologiya. Agregatsiya kanal fizik kanal bo`ylab mantiqiy kanalda trafiklarni taqsimlash va bitta yoki bir nechta jismoniy kanallarni bitta mantiqiy kanalda ichki rad etilish holati sodir bo`lganda zahiralash imkonini beradi. Bunday texnologiya kanal o`tkazish 30 qobilyatini va ishonchligini oshirish imkonini beradi. Tarmoq topologiyasi 4. 6rasmda keltirilgan 4.6 - rasm. Kommutatorlar o`rtasida agregatsiya kanalning tashkil etilishi Agregatsiya kanallar to`g`risida umumiy axborotlar Agregatsiya kanallar ikkita masalani echish imkonini beradi: - Kanalni o`tkazish qobiliyatini oshirish - Kanallardan biri qatordan chiqqanda zahirani ta‗minlaydi. Agregatsiya kanallar ikkita kommutator, kommutator va marshrutizator, kommutator va xostlar o`rtasida yaratilishi mumkin. Cisco da kanallarni agregatsiyalash uchun quyidagi uchta variantdan biridan foydalanish mumkin: LACP (Link Aggregation Control Protocol) standart protokol; PAgP (Port Aggregation Protocol); Protokoldan foydalanmaydigan statik agregatsiyalash. EtherChannel mantiqiy kanal fizik kanal bo`ylab kadrlarni taqsimlaydi, raqamli belgiga ega kadrda manzil to`g`risida axborotlarga tegishli ikkilik shablonda ifodalaydi, dastlabki bosqichida mantiqiy kanalda fizik kanallardan biri tanlaniladi. EtherChannel kanallarni taqsimlash Cisco xeshlash algoritmiga asoslanadi. Cisco qurilmasida kanalni agregatsiyalashni sozlashda bir nechta terminlardan foydalaniladi: - EtherChannel — kanallarni agregatsiyalash texnologiyasi. Termin kanallarni agregatsiyalash uchun Cisco da foydalaniladi. EtherChannel dan ekranlanmagan juft o`ramli kabellar (UTP) yoki bir va ko`p moddali optik tolali 31 kabellar orqali lokal tarmoqda kommutatorlarni, marshrutizatorlar, serverlar, mijozlar bir-biri bilan bog`lashda foydalaniladi. – port-channel — mantiqiy interfeys, ya‗ni fizik interfeyslarni birlashtiradi. – channel-group — bu buyruq qaysi mantiqiy interfeys fizik interfeysda joylashganligini va qaysi agregatsiyalash rejimidan foydalanishi ko`rsatadi. 4.7-rasm. Port-channel mantiqiy interfeys Bu terminlar kanallarni agregatsiyalashda foydalaniladi. Sxemada channel-group buyrugìdan keyingi son Port-channel mantiqiy interfeys raqamini bildiradi. Ikki tarafi Agregatsiyalangan kanalli mantiqiy interfeys raqami bir-biriga mos kelishi kerak. Raqam bitta kommutatorda turli port guruxlarini farqlashda foydalaniladi. channel-group buyruqlari sw(config-if)# channel-group <channel-group-number> mode <<auto [non-silent] | desirable [non-silent] | on> | <active | passive>> Buyruq parametrlari: active —LACP ulaydi, passive —faqat agar LACP xabari kelayotgan bo`lsa LACP ulaydi , desirable —PAgP ulaydi, auto —faqat agar PAgP xabari kelayotgan bo`lsa PAgP ulaydi, on —faqat Etherchannel ulaydi. LACP asosida kanal pogònasida EtherChannel konfiguratsiyasini sozlash 32 4.8-rasm. LACP asosida EtherChannel Agregatsiyalashni sozlashdan avval jismoniy interfeyslarni o`chirib qo`yish kerak bo`ladi. Ularni bir tarafini o`chirib qo`yish etarli bo`ladi (misolda sw1 taraf o`chirilgan), so`ng ikki tarafda agregatsiyalash sozlanadi va interfeyslar ulaniladi. Ishni bajarish tartibi Sw1 da EtherChannel sozlash: sw1(config)# interface range f0/11-14 sw1(configif-range)# shutdown sw1(config-if-range)# channelgroup 1 mode active Creating a port-channel interface Port-channel 1 Sw2 da EtherChannel sozlash: sw2(config)# interface range f0/11-14 sw2(configif-range)# channel-group 1 mode passive Creating a port-channel interface Port-channel 1 sw1 ga jismoniy interfeyslarni ulash: sw1(config)# interface range f0/11-14 sw1(config-ifrange)# no shutdown Etherchannel to`g`risida axborotlar sw2 portchannel to`g`risida axborotlar: 33 PAgP yordami bilan kanal pogòna EtherChannel sozlash 4.9-rasm. PAgP asosida EtherChannel Agregatsiyalashni sozlashdan avval jismoniy interfeyslarni o`chirib qo`yish kerak bo`ladi. Ularni bir tarafini o`chirib qo`yish etarli bo`ladi (misolda sw1 taraf o`chirilgan), so`ng ikki tarafda agregatsiyalash sozlanadi va interfeyslar ulaniladi. Sw1 da EtherChannel sozlash: sw1(config)# interface range f0/11-14 sw1(config-ifrange)# shutdown sw1(config-if-range)# channelgroup 2 mode desirable Creating a port-channel interface Port-channel 2 Sw2 da EtherChannel sozlash: sw2(config)# interface range f0/11-14 sw2(config-if-range)# channel-group 2 mode auto Creating a port-channel interface Portchannel 2 Sw1 ga jismoniy interfeyslarni ulash: sw1(config)# interface range f0/11-14 sw1(config-if-range)# no shut Axborotlarni ko`rib chiqamiz Etherchannel to`g`risida axborotlar 34 4-Amaliy ishi Mavzu: VTP protokoli sozlash. Ishdan maqsad: Lokal tarmoqda yaratilgan VLAN lar o‗rtasida marshrutizatsiyani amalga oshirish va VTP protokolini ishlash tamoyili bo`yicha amaliy ko`nikmaga ega bo`lish. Ushbu laboratoriya ishi bo`yicha topshiriq 2 qismdan tashkil topgan. 1- topshiriq: – Cisco Packet tracer muhitida lokal tarmoq yarating va qurilmalarning bazaviy parametrlarini sozlang (5.2-rasm); – Har bir kommutatorda VLAN ID yarating va kommutatorlar o`rtasida trank rejimini sozlang; – VLAN lar o'rtasida marshrutizatsiyani Router-on-a-Stick usuli bo`yicha sozlang (5.3-rasm); – Har bir kommutator konfiguratsiya natijalarini tahlil qiling. 2- topshiriq: – Qurilgan tarmoq bo`yicha VTP protokolini sozlang va ishlash tamoyilini tushuntiring (5.4). – Har bir kommutator konfiguratsiya natijalarini tahlil qiling. 1 - topshiriq bo`yicha qisqacha nazariy ma‟lumot Ma‗lumot uzatish tarmoqlarining samaradorligini oshirish va xavfsizligini ta‗minlashda lokal tarmoqlarda VLAN lar tashkil etiladi. VLAN tarmogì fizik emas, mantiqiy bog`lanishga asoslangan bo`lib, lokal tarmoqda qurilmalarni guruhlaydi. VLAN tarmogì doirasidagi qurilmalar guruhi xuddi qurilmalar bitta o`tkazgich yordamida ulangandek bo`ladi. VLAN tarmogì administratorga foydalanuvchilarni yoki qurilmalarni qayerda joylashganligiga bog`liq bo`lmagan holda qo`llanilish sohasi yoki loyihalash guruhi funktsiyasi bo`yicha segmentatsiyani amalga oshirishga yordam 35 beradi. Kommutatorning ixtiyoriy porti VLAN ga tegishli bo`lishi mumkin. Bir adresli (unicast), ko`p adresli (multicast) va keng eshittirishli (broadcast) paketlarni uzatish va qabul qilish faqat o`sha VLAN doirasida bo`ladi. Har bir VLAN alohida mantiqiy tarmoq hisoblanadi. VLAN ga tegishli bo`lmagan stantsiyalar paketlarni jo`natish uchun marshrutizatorlar orqali uzatiladi. VLAN tarmogì LAN ning bir nechta segmentlarini qamrab oluvchi mantiqiy keng eshittirishli (broadcast) domenni yaratadi. VLAN tarmogì quyidagi avzalliklarga ega: Xavfsizlik: muhim ma`lumotlarga ega bo`lgan guruhlarni tarmoqning boshqa qismlaridan ajratiladi. Uning yordamida axborotni maxfiyligini buzilish extimolligini kamaytiradi; Xarajatlarni kamaytirish: o`tkazish qobiliyatidan samarali foydalanish va qimmat tarmoq inrastrukturalari yangilanishini arzonligi; Samaradorlikni oshirish: tarmoqni ikkinchi pogònada bir nechta mantiqiy guruhlarga bo`lish (keng eshittirishli domen) ortiqcha tarmoq trafigini sonini kamaytiradi va samaradorlikni oshiradi; Keng eshittirishli domenlarni kamaytiradi: tarmoqni VLANlarga ajratish keng eshittirishli domendagi qurilmalar sonini kamaytiradi. Аxborot texnologiyalari bo`limining samaradorligini oshirish: VLAN tarmogì tarmoqni boshqarishni soddalashtiradi. Yangi kommutatorni ekspluatatsiyaga kiritishda ko`rsatilgan portlarda kerakli qoida va jarayonlarni amalga oshiradi. Аxborot texnologiyalari mutaxassislari VLAN ga tegishli nom bilan tarmoqni funktsiyasini tezda aniqlashadi. Har bir VLAN tarmoqda qaysidir bir IP tarmoqqa tegishli bo`ladi. VLAN ni loyihalashda tarmoq adreslashining ierarxik tizimini amalga oshirishni inobatga olish lozim. Ierarxik adreslash degenda tarmoqni to`liq ishlashida VLAN tarmogì yoki IP tarmoqning segmentlarini tartibli berilgan raqamlanishi tushiniladi. Vlan tarmoqlari asosan 2 xil diapazoda bo`ladi: 1. Standart – 1 dan 1005 gacha 2. Kengaytirilgan – 1006 dan 4094 gacha 36 Kommutator portlari VlAN 1 ga oldindan biriktirilgan bo`ladi (default vlan, native vlan = 1) 5.1-rasm. VLAN 1 ga biriktirilgan portlar ro‗yxati 1 topshiriq bo`yicha laboratoriya ishini bajarish tartibi 5.2-rasmda ko`rsatilgan topologiya bo`yicha Sw1, Sw2 kommutatorlar uchun asosiy konfiguratsiyalarni sozlang. 5.2-rasm. VLAN tarmogì asosida tuzilgan tarmoq topologiyasi 37 5.1-jadval Qurilma IP-manzil Laptop0 Gateway VLAN ID Interface 192.168.10.1 192.168.10.254 vlan 10 Fa0/1 Port rejimlari Access Laptop1 192.168.10.2 192.168.10.254 vlan 10 Fa0/2 Access Laptop2 192.168.30.1 192.168.30.254 vlan 30 Fa0/5 Access Laptop3 192.168.30.2 192.168.30.254 vlan 30 Fa0/6 Access Laptop4 192.168.20.1 192.168.20.254 vlan 20 Fa0/3 Access Laptop5 192.168.20.2 192.168.20.254 vlan 20 Fa0/4 Access Laptop6 192.168.10.3 192.168.10.254 vlan 10 Fa0/1 Access Laptop7 192.168.10.4 192.168.10.254 vlan 10 Fa0/2 Access Laptop8 192.168.20.3 192.168.20.254 vlan 20 Fa0/3 Access Laptop9 192.168.20.4 192.168.20.254 vlan 20 Fa0/4 Access Laptop10 192.168.30.3 192.168.30.254 vlan 30 Fa0/5 Access Laptop11 192.168.30.4 192.168.30.254 vlan 30 Fa0/6 Access SW1 - - Vlan 10,20,30 Fa0/7 Trunk SW2 - - Vlan 10,20,30 Fa0/7 Trunk Sw1 va Sw2 kommutatorlarda VLAN (10, 20, 30) yaratish va unga mos ravishda nom berilishi (bugalteriya, student, dekanat). Switch>enable Switch#conf terminal Switch(config)#hostname Sw1 Sw1(config)#vlan 10 38 Sw1(config-vlan)#name bugalteriya Sw1(config-vlan)#exit Sw1(config)#vlan 20 Sw1(config-vlan)#name student Sw1(config-vlan)#exit Sw1(config)#vlan 30 Sw1(config-vlan)#name dekanat Sw1(config-vlan)#exit Switch>enable Switch#conf terminal Switch(config)#hostname Sw2 Sw2(config)#vlan 10 Sw2(config-vlan)#name bugalteriya Sw2(config-vlan)#exit Sw2(config)#vlan 20 Sw2(config-vlan)#name student Sw2(config-vlan)#exit Sw2(config)#vlan 30 Sw2(config-vlan)#name dekanat Sw2(config-vlan)#exit Switch da yaratilgan Vlanlarni ko`rish Kommutator portlarini Vlan ID larga biriktirish Sw1(config)#interface fastEthernet 0/1 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport access vlan 10 Sw1(config-if)#exit Sw1(config)#interface fastEthernet 0/2 Sw1(config)#interface fastEthernet 0/3 39 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport access vlan 20 Sw1(config-if)#exit Sw1(config)#interface fastEthernet 0/4 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport access vlan 20 Sw1(config-if)#exit Sw1(config)#interface fastEthernet 0/5 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport access vlan 30 Sw1(config-if)#exit Sw1(config)#interface fastEthernet 0/6 Sw1(config-if)#switchport mode access Sw1(config-if)#switchport access vlan 30 Sw1(config-if)#exit Sw2(config)#interface fastEthernet 0/1 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 10 Sw2(config-if)#exit Sw2(config)#interface fastEthernet 0/2 Sw2(config)#interface fastEthernet 0/3 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 20 Sw2(config-if)#exit Sw2(config)#interface fastEthernet 0/4 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 20 Sw2(config-if)#exit Sw2(config)#interface fastEthernet 0/5 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 30 Sw2(config-if)#exit Sw2(config)#interface fastEthernet 0/6 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 30 Sw2(config-if)#exit 40 Sw1 va Sw2 kommutatorlar o`rtasida trunk rejimini sozlash va magistral liniya bo`yicha aniq VLAN ID ta‗yinlash. Sw1(config)#interface fastEthernet 0/7 Sw1(config-if)#switchport mode trunk Sw1(config-if)#switchport trunk allowed vlan 10,20,30 Sw1(config-if)#end Sw1#show running-config Yuqorida keltirilgan buyruq bitta kommutatorga sozlansa yetarli boladi, sababi 2 chi kommutator 1 chi kommutatorga ulangan interfeysini (fa0/7) avtomatik trank rejimini o`tkazadi VLAN lar o„rtasida marshrutizatsiyani sozlash Lokal tarmoqda yaratilgan VLAN lar o'rtasida marshrutizatsiyani sozlashning 3 xil usuli mavjud: - Demonstrating the legacy inter-VLAN routing. - Router-on-a-Stick - Switch Based Inter Vlan Routing Bu laboratoriya ishida VLAN lar o'rtasida marshrutizatsiyani Router-on-astick (ROS) usulidan foydalanamiz. 41 5.3-rasm. VLAN o'rtasida marshrutizatsiyalashning ROS usuli Sw1(config)#interface fastEthernet 0/8 Sw1(config-if)#switchport mode trunk Router>enable Router#conf t Router(config)#interface fastEthernet 0/1 Router(config-if)#no shutdown Router(config)#interface fastEthernet 0/1.10 Router(config-subif)#encapsulation dot1Q 10 Router(config-subif)#ip address 192.168.10.254 255.255.255.0 Router(config-subif)#exit Router(config)#interface fastEthernet 0/1.20 Router(config-subif)#encapsulation dot1Q 20 Router(config-subif)#ip address 192.168.20.254 255.255.255.0 Router(config-subif)#exit Router(config)#interface fastEthernet 0/1.30 Router(config-subif)#encapsulation dot1Q 30 Router(config-subif)#ip address 192.168.30.254 255.255.255.0 Router(config-subif)#exit 42 2 - topshiriq bo`yicha qisqacha nazariy ma‟lumot VTP (ingliz. VLAN Trunking Protocol) - lokal hisoblash tarmogì protokoli bo`lib, tanlangan trank portda VLAN haqida axborot almashish uchun xizmat qiladi. VTP – vlan larni dinamik tarzda sinxronizatsiyalash uchun ishlatiladi; 3 xil rejimi mavjud: 1.Client – VLAN larni o`zgartirish, o`chirish, yaratish mumkin emas; 2.Transparent – bunda, switch da sinxronizatsiya amalga oshirilmaydi, switch faqat o`tkazuvchi vazifasini bajaradi; 3. Server – VLAN bilan istalgan funktsiyalarni bajarish mumkin; Vtp serverda vlan yaratiladi Clientlar avtomatik serverda yaratilgan VLAN larni qabul qiladi. Xavfsizlik ta 'minlash maqsadida bu protokolda Client switch vlan yarata olmaydi, faqat foydalanuvchilarni o`zlariga biriktira oladi. Tarmoqda qandaydir o‗zgarish yuz bersa (masalan yangi vlan qo`shilishi yoki olib tashlash) faqat VTP server orqali amalga oshiriladi. VTP-da uchta xabar turi mavjud: 1. Advertisement requests Summary Advertisement Alert uchun mijozdan serverga so'rov taqdim etadi 2. Summary advertisements 43 Ushbu standart xabar server har 5 daqiqada yoki konfiguratsiyani o'zgartirgandan so'ng darhol yuboradi. 3. Subset advertisements VLAN konfiguratsiyasini o'zgartirgandan so'ng, shuningdek, ogohlantirish so'rovidan keyin darhol yuboriladi. VLAN ma'lumotlar bazasining yangi versiyasi serverdan olgan mijoz uni boshqa barcha trank portlarga uzatadi, agar uning orqasida yana VTP Client lari va VTP Transparent lari bo`lsa, ular ham ushbu yangilanishlarni oladi. VTP protokolining bazaviy sozlamasi switch(config)#vtp mode - bu yerda kerakli rejim tanlanadi: server, client, transparent yoki off. Protokol versiyasi tanlanadi: Switch(config)# vtp version 2 Domen va parol kiritiladi: Switch(config)# vtp domain - domen nomi Switch(config)# vtp password parol [hidden | secret] Kerakli rejimga o‘tiladi: Switch(config)# vtp mode server | client | transparent | off Yuqoridagi buyruqlardan so‘ng VTP yoqiladi, biroq, zarur vaqtda uni ma’lum bir interfeyslarda o‘chirib qo‘yish ham mumkin: Switch(config-if) # no vtp Protokol sozlamalarini ko‘rish uchun quyidagi buyruqlarni kiritish kerak: Switch# show vtp status Switch# show vtp devices Switch# show vtp interface Ishni bajarish tartibi 5.4-rasmda keltirilgan topologiyani yarating. O'zingiz uchun topologiyadagi qaysi kommutatorlar Client, Transparent, Server ekanligini belgilab oling. 44 5.4-rasm. VTP bo`yicha tuzilgan tarmoq topologiyasi VTP SERVER Switch(config)#vtp version 2 Switch(config)#vtp mode server Switch(config)#vtp domain tuit Switch(config)#vtp password cisco Switch(config)#vlan 10 Switch(config)#name student Switch(config-vlan)#exit Switch(config)#vlan 20 Switch(config)#name kafedra Switch(config-vlan)#exit Switch(config)#vlan 30 Switch(config-vlan)#name test Switch(config-vlan)#exit Switch(config)#interface range fastEth 0/1-2 Switch(config-if-range)#switchport mode trunk VTP Transparent Switch(config)#vtp version 2 Switch(config)#vtp mode transparent Switch(config)#vtp domain tuit Switch(config)#vtp password cisco Switch(config)#vlan 10 Switch(config)#name student Switch(config-vlan)#exit 45 Switch(config)#vlan 20 Switch(config)#name kafedra Switch(config-vlan)#exit Switch(config)#vlan 30 Switch(config-vlan)#name test Switch(config-vlan)#exit Switch(config)#interface fastEthernet 0/2 Switch(config-if-range)#switchport mode trunk VTP client Switch(config)#vtp version 2 Switch(config)#vtp mode client Switch(config)#vtp domain tuit Switch(config)#vtp password cisco Switch(config)#interface fastEthernet 0/1 Switch(config-if)#switchport mode access Switch(config-if)#switchport access vlan 10 Switch(config-if)#exit Switch(config)#interface fastEthernet 0/2 Switch(config-if)#switchport mode access Switch(config-if)#switchport access vlan 20 Switch(config-if)#exit Switch(config)#interface fastEthernet 0/4 Switch(config-if)#switchport mode access Switch(config-if)#switchport access vlan 30 Switch(config-if)#exit Transparent switch natijalari 46 Client switch natijalari Nazorat savollari 1. VLAN adreslar diapazoni qancha? 2. Bitta kommutator qurilmasida nechtagacha vlan ID yaratish mumkin? 3. Vlan lar o`rtasida marshrutizatsiyaning qanday usullari mavjud. 4. VTP da client switch nimani anglatadi? 5. VTP da server switch nimani anglatadi? 6. VTP da transparent switch nimani anglatadi? 7. Qaysi turdagi switch asosiy tashabbuskor hisoblanadi? 47 5-Amaliy ishi Mavzu: OSPF, RIP, EIGRP, va BGP protokollari asosida dinamik marshrutlashni sozlash. Ishdan maqsad: Dinamik marshrutizatsiya RIP, EIGRP, OSPF, BGP protokollari asosida qurilgan tarmoqda xavfsizlikni ta‗minlash bo`yicha amaliy ko`nikmaga ega bo`lish. Topshiriq Dinamik marshrutizatsiya protokollari (RIP, EIGRP, OSPF, BGP) asosida yaratilgan tarmoq topologiyasini yarating. R1, R2 va R3 marshrutizatorlarining interfeyslarini sozlang va tekshiring. Har-bir dinamik marshrutizatsiya protokoli doirasida axborot oqimlarining autentifikatsiya masalalarini sozlang Har bir marshrutizatorning marshrutizatsiya jadvalini o'rganing. RIP, EIGRP, OSPF, BGP Authentication 6.1-rasm. Tadqiq qilinayotgan tarmoq topologiyasi Qisqacha nazariy ma‟lumotlar IP - texnologiyasida marshrutlash jarayoni umuman tarmoqning unumdorligi va samaradorligiga ta‗sir qiladigan asosiy omillardan biri hisoblanadi. 48 Marshrutlash - bu tarmoqning turli segmentlarida joylashgan oxirgi tizimlar o'rtasida ma‗lumotlarini uzatishga imkon beruvchi mexanizm hisoblanadi. Marshrutizatsiya protokollari static va dinamik turlarga bo`linadi. Statik marshrutlash deganda vaqt davomida o'zgarmaydigan marshrutlar va jadval bo'yicha o'zgaradigan marshrutlar nazarda tutiladi. Dinamik marshrutizatsiya protokollari IP-tarmoq marshrutizatorlariga optimal marshrut jadvalini (tanlangan mezonlar asosida) avtomatik ishlab chiqish va tarmoq topologiyasida sodir bo'ladigan o'zgarishlarga mos holda uni dinamik ravishda o'zgartirib borish imkonini beradi. Dinamik marshrutlash quyidagicha klassifikatsiyalanadi (6.1-rasm). Dinamik marshrutizatsiya protokollari Ichki marshrutizatsiya protokollari Masofa-vektor protokollari RIPv1 IGRP RIPv2 EIGRP Tashqi marshrutizatsiya protokollari Aloqa kanal holati bo‗yicha marshrutizatsiya protokollari IS-IS OSPF Vektor yo‗li bo‗yicha marshrutizatsiya protokollari BGP 6.1-rasm. Dinamik marshrutizatsiya protokollari klassifikatsiyasi RIP. RIP protokoli distansion-vektor algoritmi asoslangan va keng tarqalgan. Eng sodda metrikadan foydalanadi – qabul qilib oluvchi tomongacha oraliq marshrutizatorlar soni. Protokolning asosiy afzalligi sozlashning osonligi, xizmat ko'rsatuvchi texnik xizmat xodimlardan yuqori malaka talab qilmasligidir. 49 Protokol ochiq hisoblanadi va deyarli barcha tarmoq qurilmalarini ishlab chiqaruvchilarning tarmoq qurilmalarini qo'llab quvvatlaydi. RIP protokolining ikkinchi versiyasi MD5 kaliti asosida autentifikatsiyalangan marshrut axborotlarini almashish vositalari, ochiq matnlar (shifrlanmagan) ni qo'llab quvvatlaydi. 6.2-rasm. RIPv2 protokol autentifikatsiyasi Protokol tarmoq ishonchliligiga yuqori talablarni qo`ymaydigan lokal tarmoqlar va malakasi yuqori bo'lmagan tarmoq ma‗murlari o`rtasida keng tarqalgan. RIPv2 protokol autentifikatsiyasi GNS3 muhitida qo`llab quvatlaydi (6.3-rasm). 6.3-rasm. GNS3 muhitida RIPv2 protokol bo`yicha qurilgan tarmoq topologiyasi 50 RIP protokol bo`yicha qurilgan tarmoq uchun ishni bajarish tartibi 6.3-rasmda tasvirlanga tarmoqda R1 va R2 routerlar o`rtasida axborot almashinuvini autentifikatsiyalash asosida va boshqa routerlar o`rtasida autentifikatsiyasiz sozlamalarini amalga oshiramiz, hamda ular o`rtasidagi farqlarni taqqoslaymiz. R1 konfiguratsiyasi Router(config)#hostname R1 R1(config)#router rip R1(config-router)#version 2 R1(config-router)#no auto-summary R1(config-router)#network 192.168.10.0 R1(config-router)#network 10.10.10.0 R1(config-router)#network 11.11.11.0 R1(config-router)#exit R1(config)#key chain cisco R1(config-keychain)#key 1 R1(config-keychain-key)#key-string cisco1 R1(config-keychain-key)#exit R1(config-keychain)#exit R1(config)#interface serial 0/0 R1(config-if)#ip rip authentication mode md5 R1(config-if)#ip rip authentication key-chain cisco R1(config-if)#exit R2 konfiguratsiyasi Router(config)#hostname R2 R2(config)#router rip R2(config-router)#version 2 R2(config-router)#no auto-summary R2(config-router)#network 192.168.20.0 R2(config-router)#network 10.10.10.0 R2(config-router)#network 12.12.12.0 R2(config-router)#exit R2(config)#key chain cisco R2(config-keychain)#key 1 R2(config-keychain-key)#key-string cisco1 R2(config-keychain-key)#exit 51 R2(config-keychain)#exit R2(config)#interface serial 0/0 R2(configif)#ip rip authentication mode md5 R2(config-if)#ip rip authentication key-chain cisco R2(configif)#exit 6.4-rasm. R1 va R2 routerlar o`rtasida autentifikatsiyali axborot almashinuvi EIGRP. Cisco Systems kompaniyasining EIGRP protokoli IGRP protokolining dastlabki versiyasining takomillashtirilgan ko'rinishi hisoblaniladi. Protokol gibrid hisoblanadi va Diffusing-Update Algorithm (DUAL) algoritmiga asoslangan. EIGRP ning oxirgi versiyasi marshrutizatsiya jadvali elementlarini buzg'unchilar yozib olishga imkon bermaydigan va MD5 kaliti asosida autentifikatsiyalaydigan himoyalash vositasiga ega (6.5-rasm). 6.5-rasm. EIGRP protokol autentifikatsiyasi sozlamasi 52 6.6-rasm. EIGRP protokol asosida qurilgan tarmoq topologiyasi EIGRP protokol bo`yicha qurilgan tarmoq uchun ishni bajarish tartibi 6.6-rasmda tasvirlanga tarmoqda R1 va R2 routerlar o`rtasida axborot almashinuvini autentifikatsiyalash asosida va boshqa routerlar o`rtasida autentifikatsiyasiz sozlamalarni amalga oshiramiz, hamda ular o`rtasidagi farqlarni taqqoslaymiz. R1 konfiguratsiyasi Router(config)#hostname R1 R1(config)#router eigrp 1 R1(config-router)#eigrp router-id 1.1.1.1 R1(config-router)#network 192.168.10.0 0.0.0.255 R1(config-router)#network 10.10.10.0 0.0.0.3 R1(config-router)#network 11.11.11.0 0.0.0.3 R1(config-router)#no auto-summary R1(config-router)#exit R1(config)#key chain EIGRP_KEY R1(config-keychain)#key 1 R1(config-keychain-key)#key-string cisco R1(config-keychain-key)#exit R1(config-keychain)#exit R1(config)#interface serial 0/3/0 R1(config-if)#ip authentication mode eigrp 1 md5 53 R1(config-if)#ip authentication key-chain eigrp 1 EIGRP_KEY R1(configif)#exit R2 konfiguratsiyasi Router(config)#hostname R2 R2(config)#router eigrp 1 R2(config-router)#eigrp router-id 2.2.2.2 R2(config-router)#network 192.168.20.0 0.0.0.255 R2(config-router)#network 10.10.10.0 0.0.0.3 R2(config-router)#network 12.12.12.0 0.0.0.3 R2(config-router)#no auto-summary R2(config-router)#exit R2(config)#key chain EIGRP_KEY R2(config-keychain)#key 1 R2(config-keychain-key)#key-string cisco R2(config-keychain-key)#exit R2(config-keychain)#exit R2(config)#interface serial 0/3/0 R2(config-if)#ip authentication mode eigrp 1 md5 R2(config-if)#ip authentication key-chain eigrp 1 EIGRP_KEY R2(configif)#exit R3 konfiguratsiyasi Router(config)#hostname R3 R3(config)#router eigrp 1 R3(config-router)#eigrp router-id 3.3.3.3 R3(config-router)#network 192.168.30.0 0.0.0.255 R3(config-router)#network 12.12.12.0 0.0.0.3 R3(config-router)#network 11.11.11.0 0.0.0.3 R3(config-router)#no auto-summary 6.7-rasm. R1 va R2 routerlar o`rtasida autentifikatsiya asosida axborot almashinuvi 54 6.8-rasm. R1 va R3 routerlar o`rtasida autentifikatsiyasiz axborot almashinuvi OSPF. Hozirda korporativ tarmoqlarda sozlash nisbatan universal va qulay bo`lgan dinamik marshrutizatsiya protokoli birinchi qisqa yo'lni tanlash ochiq protokoli Open Short-est Path First Protocol — OSPF) hisoblanadi. Dastlab protokol murakab topologiyali katta tarmoqlar (65536 tagacha marshrutizator) da ishlashga mo'ljallangan. U aloqa kanali holati algoritmiga asoslangan va tarmoq holati o'zgarishiga yuqori chidamlikka ega. 6.9-rasm. OSPF protokol autentifikatsiyasi sozlamasi EIGRP protokol bo`yicha qurilgan tarmoq uchun ishni bajarish tartibi 6.6-rasmda tasvirlanga tarmoqda R1 va R2 routerlar o`rtasida axborot almashinuvini autentifikatsiyalash asosida va boshqa routerlar o`rtasida autentifikatsiyasiz sozlamalarni amalga oshiramiz, hamda ular o`rtasidagi farqlarni taqqoslaymiz. 55 6.10-rasm. EIGRP protokol asosida qurilgan tarmoq topologiyasi R2 konfiguratsiyasi R2(config)#router ospf 10 R2(config-router)#router-id 2.2.2.2 R2(config-router)#network 10.10.10.0 0.0.0.3 area 0 R2(config-router)#network 12.12.12.0 0.0.0.3 area 0 R2(config-router)#network 192.168.20.0 0.0.0.255 area 2 R2(config-router)#exit R2(config)#router ospf 10 R2(config-router)#area 0 authentication message-digest R2(config-router)#exit R2(config)#interface serial 0/3/0 R2(config-if)#ip ospf message-digest-key 1 md5 cisco123 R2(configif)#exit R1 konfiguratsiyasi R1(config)#router ospf 10 R1(config-router)#router-id 1.1.1.1 R1(config-router)#network 192.168.10.0 0.0.0.255 area 1 R1(config-router)#network 11.11.11.0 0.0.0.3 area 0 R1(config-router)#network 10.10.10.0 0.0.0.3 area 0 R1(config-router)#exit R1(config)#router ospf 10 56 R1(config-router)#area 0 authentication message-digest R1(config-router)#exit R1(config)#interface serial 0/3/0 R1(config-if)#ip ospf message-digest-key 1 md5 cisco123 R1(configif)#exit R3(config)#router ospf 10 R3(config-router)#router-id 3.3.3.3 R3(config-router)#network 192.168.30.0 0.0.0.255 area 3 R3(config-router)#network 12.12.12.0 0.0.0.3 area 0 R3(config-router)#network 11.11.11.0 0.0.0.3 area 0 R3(configrouter)#exit BGP (ing. Border Gateway Protocol, chegaraviy shlyuz protokoli) Internetdagi asosiy dinamik marshrutlash protokoli hisoblanadi. BGP protokoli boshqa dinamik marshrutlash protokollaridan farqli o'laroq, marshrut ma‗lumotlarini alohida marshrutlagichlar o'rtasida emas, balki butun avtonom tizimlar o'rtasida almashish uchun mo'ljallangan va shu sababli, tarmoqdagi marshrutlar haqida ma‗lumotlardan tashqari, avtonom tizimlarga yo'nalishlar to'g'risida ham ma‗lumot olib boradi. 57 6.11-rasm. BGP protokol asosida qurilgan tarmoq topologiyasi BGP protokol bo`yicha qurilgan tarmoq uchun ishni bajarish tartibi Kompyuterlarga 6.11-rasmda ko'rsatilgan topologiya manzillarni kiriting. a) R1 marshrutizatorning konfiguratsiyasini sozlaymiz. R1(config)#router bgp 65100 R1(config-router)#bgp router-id 1.1.1.1 R1(config-router)#neighbor 172.16.0.2 remote-as 65200 R1(config-router)#neighbor 172.16.13.2 remote-as 65300 R1(config-router)#network 192.168.1.0 mask 255.255.255.0 R1(config-router)#exit b) R1 marshrutizatorning konfiguratsiyasini sozlaymiz R2(config)#router bgp 65200 R2(config-router)#bgp router-id 2.2.2.2 R2(config-router)#neighbor 172.16.0.1 remote-as 65100 R2(config-router)#neighbor 172.16.23.2 remote-as 65300 R2(config-router)#network 192.168.2.0 mask 255.255.255.0 R2(config-router)#exit s) R1 marshrutizatorning konfiguratsiyasini sozlaymiz R3(config)#router bgp 65300 R3(config-router)#bgp router-id 3.3.3.3 R3(config-router)#neighbor 172.16.13.1 remote-as 65100 R3(config-router)#neighbor 172.16.23.1 remote-as 65200 58 bo'yicha IP R3(config-router)#network 192.168.3.0 mask 255.255.255.0 R3(configrouter)#exit 6.12-rasm. Tarmoq elementlari konfiguratsiyalari listinglari Laboratoriya ishi bo'yicha hisobot quyidagilardan iborat bo'lishi kerak: ishning nomeri va nomi; ishing maqsadi; topshiriq; Cisco Packet Tracer da tarmoq modelining tasviri; tarmoqdagi IP-manzillarni taqsimlanishi, ulanish (interfeyslar nomerlarini) o'z ichiga olgan tavsifi; tarmoq elementlari konfiguratsiyalari listinglaridan iborat Nazorat savollari 59 sxemasini 1. RIP protokoli qaysi algoritm asosida ishlaydi? 2. RIP protokoli metrikani nimaga asoslanib hisoblaydi? 3. RIP protokolining administrativ distansiyasi nimaga teng? 4. RIPv1 va RIPv2 protokollarining farqi nimada? 5. OSPF protokoli qaysi algoritm asosida ishlaydi? 6. EIGRP protokoli qaysi algoritm asosida ishlaydi 7. EIGRP protokolining afzalliklari qanday? 8. Administrativ masofa deganda nimani tushunasiz? 9. Dinamik marshrutizatsiya protokollarining turlarini ayting? 10.Dinamik marshrutizatsiya statik marshrutizatsiyadan farqi nimada? 11.BGP tashqi marshrutizatsiya protokolini tavsiflang. 12.BGP protokoli administrativ masofa nechaga teng. 13.BGP protokoli qaysi algoritm asosida ishlaydi. 14.Avtonom tizim deganda nimani tushunasiz? 60 6– Amaliy ishi Mavzu: ACL ro`yxatini sozlash (standart, extended). Ishdan maqsad: Ma‗lumot uzatish tarmoqlarida qo'llaniluvchi ACLro`yxati tuzish, sozlash va tekshirish qoidalarini tadqiq qilish. Topshiriq – Standart ACL bo`yicha tarmoq yarating va qoidalar ro`yxati bo`yicha konfiguratsiya sozlamalarini kiriting. – Extended ACL bo`yicha tarmoq yarating va qoidalar ro`yxati bo`yicha konfiguratsiya sozlamalarini kiriting. – Ikkala usul bo`yicha marshrutizator kiritilgan qoidalar ro`yxatini tahlil qiling Qisqacha nazariy ma‟lumotlar Tarmoq trafigini filtrlash uchun ACL marshrutizatorning infterfeysida uzatilayotgan paketni o'tkazishni yoki blokka tushirishni tekshiradi. Marshrutizator har bir paketni tekshiradi va ACL da o'rnatilgan mezonlarga asosan paketni nima qilish: uzatish yoki tashlab yuborish kerakligini aniqlaydi. ACL ni mezonlari quyidagilar: – trafikni uzatuvchi manzili; – trafikni qabul qiluvchi manzili; – yuqori pog'ona protokollari. IP ACL – bu IP paketga qo'llaniladigan rad etish va ruxsat berish xolatlarining ketma – ket buyruqlar to'plami. Marshrutizator ACL ni shartlariga mos ravishda bittalab paketni tekshiradi.IP ACL ni quyidagi turlari sozlanishi mumkin: – standart ACL; – kengaytirilgan ACL; – dinamik ACL (qulf va kalit); – nomlangan ACL IP – ro'yxatlar; 61 – refleksif ACL; – proksi – autentifikatsiya; – Turbo ACL. Standart ACL buyrug'ini ko'rinishi quyidagicha: 1. Standart ACL (faqat ro'yxatdan o'tgan mijozlar uchun) IP paketlarni uzatuvchi manzili bilan ro'yxatga kiritilgan manzillarni solishtirish orqali trafikni boshqaradi. ACL ro„yxatini qabul qiluvchi Standart manziliga yaqinroq joylashtirilishi maqbul hisoblanadi, chunki ushbu trafikning ACL qo'llaniladigan interfeysidagi boshqa tarmoqlarga yetib borishini oldini oladi. Kirish ro'yxatlari ramziy nomlar yoki nomerlar bilan belgilanadi: standart: 1 dan 99 gacha; kengaytirilgan: 100 dan 199 gacha. Standart ACL ro„yxati Router(config)#access-list <ro'yxat nomeri 1 dan 99 gacha > {permit | deny | remark} {address | any | host}[source-wildcard] [log] permit: ruhsat; deny: rad etish; remark: kirish ro‘yxati bo‘yicha sharx; address: tarmoqqa ruxsat berish yoki rad etish; any: barcha ruxsat yoki rad etish; host: hostga ruxsat yoki rad etish; source-wildcard: WildCard tarmoq maskasi; log: ushbu ACL yozuvidan o‘tadigan paketlarni jurnalga yozishni yoqish. INTERFEYSGA BIRIKTIRISH Router(config-if)#ip access-group < ACL nomi yoki ro'yxat nomeri> {in | out} in: kiruvchi yo‘nalish; access-list out: chiquvchi yo‘nalish; access-list-number 62 {permit|deny} {host|source source- wildcard|any}. Standart ACL (faqat ro`yxatdan o'tgan mijozlar uchun) IP paketlarni uzatuvchi manzili bilan ro`yxatga kiritilgan manzillarni solishtirish orqali trafikni boshqaradi. Standart ACL ro`yxat bo`yicha tanlangan hostni tarmoqqa kirishiga ruxsat berish 7.1- rasm. Standart ACL ro`yxat bo`yicha tarmoq tuzilishi 7.1 – rasmda Hostni tarmoqqa kirishiga ruxsat berilishi ko'rsatilgan. B tarmoqdagi xost 192.168.10.1 dan A tarmoqqa yo'naltirilgan barcha trafiklarni qabul qiladi va bir vaqtda boshqa B tarmoqdan A tarmoqqa yo'naltirilgan barcha trafiklar rad etiladi. R1 marshrutizatorning jadvali tarmoq xostga qanday kirishga ruxsat berishini ko'rsatadi. Chiqish ma‗lumotlari quyidagicha: – bu konfiguratsiya xostni R1 IP manzili 192.168.10.1 bo'lgan marshrutizatorga Ethernet 0 interfeys orqali o'tkazadi; – bu xostda A tarmoqning IP xizmatlariga kirish mavjud; – B tarmoqning boshqa xostlari A tarmoqqa kira olmaydi; – ACL da ruxsat bermaslikning boshqa instruksiyasi sozlanmagan. Har bir ACL ning oxirida noaniq sharoitda deny all (barchani ta‗qiqlash) mavjud. Barchasi ruxsat etilmasa, barchasi bekor qilinadi. 63 ACL B tarmoqdan A tarmoqqa yo'naltirilgan IP paketlarni, B tarmoqdan chiquvchi paketlardan boshqa barcha paketlarni filtrlaydi. B xostdan A tarmoqqa yo'naltirilgan paketlar ruxsat etiladi. ACL ni sozlashni boshqa usuli: access-list 1 permit 192.168.10.1 0.0.0.0. Tarmoqqa tanlangan xostni kirishini ta‟qiqlash 7.2 – rasmda B xostdan A tarmoqqa yo'naltirilgan barcha trafiklarni o'tishi bekor qilinadi va shu vaqtda B tarmoqdan A tarmoqqa yo'naltirilgan boshqa barcha trafiklarni o'tishi ruxsat etiladi. 7.2- rasm. Tarmoq tuzilishi Bu konfiguratsiya 192.168.10.1/32 xostdan qabul qilingan barcha paketlarni Ethernet 0 yoki R1 orqali ta‗qiqlaydi va boshqa barcha paketlarni qabul qilinishiga ruxsat beradi. Boshqa barcha paketlarga ruxsat berish uchun quyidagi buyruqni ishlatish kerak: access list 1 permit any. Har bir ACL ning ohirida noaniq sharoitda deny all (barchani ta‗qiqlash) mavjud. SHartni qo'yilishi ACL ro`yxatini ishlashi uchun muhim. Agar yozuvni teskari tartibda joylashtirsak, ushbu buyruqda ko'rsatilganidek, birinchi qator paketning ixtiyoriy uzatuvchi manziliga mos keladi. SHu sababli A tarmoqqa 64 192.168.10.1/32 xostini kirishini blokka tushira olmaydi. access-list 1 permit any access-list 1 deny host 192.168.10.1 Kengaytirilgan ACL ro'yxati Kengaytirilgan ACL (faqat ro'yxatdan o'tgan mijozlar uchun) IP paketni uzatuvchi va qabul qiluvchi manzili bilan ro'yxatga kiritilgan manzillarni solishtirish orqali trafikni boshqaradi. Kengaytirilgan ACL ni ishlashini aniq berish mumkin. Kengaytirilgan ACL ro'yxati IPv4 paketlarini bir nechta mezonlarga asoslanib filtrlashni amalga oshiradi: protokol turi; manbaning IPv4 manzili; qabul qiluvchining IPv4-manzili; manbaning TCP yoki UDP portlari ; qabul qiluvchining TCP yoki UDP portlari; samarali nazorat qilish uchun protokol turi haqidagi qo'shimcha ma‗lumotlar. Kengaytirilgan ACL (faqat ro`yxatdan o'tgan mijozlar uchun) IP paketni uzatuvchi va qabul qiluvchi manzili bilan ro`yxatga kiritilgan manzillarni solishtirish orqali trafikni boshqaradi. Kengaytirilgan ACL ni ishlashini aniq berish mumkin. Trafikni filtrlash quyidagi me‗zonlar bilan ishlatilishi mumkin: – protokol; – port nomeri; – DSCP qiymati; – imtiyoz qiymati; – SYN bitini xolati. Kengaytirilgan ACL buyrug'i quyidagi ko'rinishga ega. Kengaytirilgan ACL ro'yxati 65 Router(config)#access-list < ro'yxat nomeri 100 dan 199 gacha > {permit | deny | remark} protocol source [source-wildcard] [operator operand] [port <port yoki protokol nomi> [established] protocol source: qaysi protokolga ruhsat berish yoki rad etish (ICMP, TCP, UDP, IP, OSPF va boshqa); deny: rad etish; operator; A.B.C.D — qabul qiluvchi manzili; any — har qanday yakuniy test; eq — fakat ushbu portdagi paketlar; gt — faqat yuqori port raqamiga ega paketlar; host — bitta oxirgi host; range —port diapazioni; port: port raqami (TCP yoki UDP) yoki nomini ko‘rsatish ham mumkin; established: avvaldan yaratilgan TCP-sessiyalarining bir qismi bo‘lgan TCP-segmentlarini o‘tkazishga ruxsat berish. 7.3 – rasm. Kengaytirilgan ACL ro`yxati bo`yicha tuzilgan tarmoq topologiyasi Kengaytirilgan ACL ro`yxati bo`yicha topshiriq Barcha komp‗yuterlardan serverlarga ping o'tsin lekin: 66 1. 192.168.1.0 tarmoqdagi komp‗yuterlar daryo.uz saytiga kirishga ruxsat berilsin, boshqa serverlarga kirish cheklansin; 2. 192.168.2.0 tarmoqdagi kompyuterlar soft.uz saytiga kirishga ruxsat berilsin, boshqa serverlarga kirish cheklansin; 3. 192.168.3.0 tarmoqdagi komp‗yuterlar mail.ru saytiga kirishga ruxsat berilsin, boshqa serverlarga kirish cheklansin; 4. 192.168.3.0 tarmoqdagi komp‗yuterlar ftp ga kirishga ruxsat berilsin, boshqa serverlarga kirish cheklangan bo'lishi kerak; Yuqoridagi shartlarni bajarish uchun Assess list ning kengaytirilgan ACL dan foydalanamiz. Ishni bajarish tartibi Serverlarni vlan 50 ga biriktiramiz. Switch 1 ni sozlash Switch>enable Switch#conf t Switch(config)#hostname Sw1 Sw1 (config)#vlan 50 Sw1 (config-vlan)#exit Sw1 (config)#interface range fastEthernet 0/1-4 Sw1 (config-if-range)#switchport mode access Sw1 (config-if-range)#switchport access vlan 50 Sw1 (config-if-range)#exit Sw1 (config)#int fa0/5 Sw1 (config-if)#switchport mode trunk Switch(config-if)#switchport trunk allowed vlan 50 Switch(config-if)#exit Switch 2 sozlash Switch>en Switch#conf t Switch(config)#hostname Sw2 Sw2 (config)#vlan 10 Sw2 (config-vlan)#vlan 20 Sw2(config-vlan)#vlan 30 Sw2(config-vlan)#vlan 40 67 Sw2 (config-vlan)#vlan 50 Sw2 (config-vlan)#exit Sw2(config)# interface fastEthernet 0/1 Sw2(config-if)#switchport mode trunk Sw2(config-if)#switchport trunk allowed vlan 50 Sw2(config-if)#exit Sw2(config)# interface fastEthernet 0/3 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 10 Sw2(config-if)#exit Sw2(config)#interface fastEthernet 0/4 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 20 Sw2(config-if)#exit Sw2(config)# interface fastEthernet 0/5 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 30 Sw2(config-if)#exit Sw2(config)# interface fastEthernet 0/6 Sw2(config-if)#switchport mode access Sw2(config-if)#switchport access vlan 40 Sw2(config-if)#exit Sw2(config)# interface fastEthernet 0/2 Sw2(config-if)#switchport mode trunk Sw2(config-if)#switchport trunk allowed vlan 10,20,30,40,50 Sw2(configif)#exit Router ni sozlash Router>en Router#configure terminal Router(config)#int fa 0/0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)#int fa 0/0.10 Router(config-subif)#encapsulation dot1Q 10 Router(config-subif)#ip address 192.168.1.1 255.255.255.0 Router(config-subif)#exit Router(config)#int fa 0/0.20 Router(config-subif)#encapsulation dot1Q 20 Router(config-subif)#ip address 192.168.2.1 255.255.255.0 Router(config-subif)#exit 68 Router(config)#int fa 0/0.30 Router(config-subif)#encapsulation dot1Q 30 Router(config-subif)#ip address 192.168.3.1 255.255.255.0 Router(config-subif)#exit Router(config)#int fa 0/0.40 Router(config-subif)#encapsulation dot1Q 40 Router(config-subif)#ip address 192.168.4.1 255.255.255.0 Router(config-subif)#exit Router(config)#int fa 0/0.50 Router(config-subif)#encapsulation dot1Q 50 Router(config-subif)#ip address 192.168.5.1 255.255.255.0 Router(configsubif)#exit Routerga quyidagi buyruqlar yoziladi: Router(config)# Router(config)#ip access-list extended TEST Router(config-ext-nacl)#permit icmp any any Router(config-ext-nacl)#permit tcp 192.168.1.0 0.0.0.255 host 192.168.5.2 eq 80 Router(config-ext-nacl)#permit tcp 192.168.2.0 0.0.0.255 host 192.168.5.3 eq 80 Router(config-ext-nacl)#permit tcp 192.168.3.0 0.0.0.255 host 192.168.5.4 eq 20 Router(config-ext-nacl)#permit tcp 192.168.3.0 0.0.0.255 host 192.168.5.4 eq 21 Router(config-ext-nacl)#permit tcp 192.168.4.0 0.0.0.255 host 192.168.5.5 eq 80 Router(config-ext-nacl)#exit Router(config)#int fastEthernet 0/0.50 Router(config-subif)#ip access-group TEST out Router(configsubif)#exit 69 7.4-rasm Topologiyani testlash natijalari Nazorat savollari 1. ACL nima? 2. ACL ning qanday turlari mavjud? 3. ACL qanday maqsadlarda ishlatiladi? 4. Video trafikni o'tkazmaslik uchun qanday buyruq yoziladi? 5. Internet trafigini o'tkazish uchun qanday buyruq yoziladi? 6. ACL ro'yxati tarmoqning qaysi mezonllar bo'yicha trafiklarni filtrlaydi? 70 7 – Amaliy ishi Mavzu: Marshrutizatorlarda NAT/PAT texnologiyasini sozlash Ishdan maqsad: Manzillarni translatsiya qilish (NAT) tamoyillari va vazifalarini tadqiq qilish va amaliy ko`nikmaga ega bo‗lish. Topshiriq – Cisco packet tracer muhiti asosida tarmoqni tuzilishini yarating – Tamoqdag har bir R1, R2 marshrutizatorlarining interfeyslarini sozlang va tekshiring – Statik NAT bo`yicha tarmoq konfiguratsiyalarini sozlang va tekshiring – Dinamik NAT bo`yicha tarmoq konfiguratsiyalarini sozlang va tekshiring – PAT bo`yicha tarmoq konfiguratsiyalarini sozlang va tekshiring Qisqacha nazariy ma‟lumotlar NAT (Network Address Translation) - bu TCP / IP tarmoqlarida tranzit paketlarning IP-manzillarini translatsiya qilish (o‗zgartirish, almashtirish) imkonini beradigan mexanizm. NAT bu TCP/IP tarmoqlarida, paketlarning IP addressini bir tarmoq segmentidan boshqa tarmoq segmentiga o'tish paytida o'zgartirish texnologiyasidir. NAT da xususiy (Private) IP manzilni ro'yxatdan o'tkazilgan ommaviy (Public) IP manzilga translatsiya qilishdan iborat. Umuman olganda, tarmoqda 2 xil ip adreslar ishlatiladi: 1.Public - ommaviy adreslar(Белый ip-аdres) 2.Private – xususiy adreslar(Серый ip-аdres) Xususiy ip adreslar – bu lokal tarmoqda ishlatiladigan ip adreslar hisoblanadi. Deyarli barcha ishxonalarda quyidagi 3 xil diapozondagi xususiy ip adreslar ishlatiladi: 10.0.0.0/8 (10 dan boshlanadigan ip adreslar) 172.16.0.0/12 (172.16.0.0 dan 172.31.255.255 gacha) 71 192.168.0.0/16 (192.168.0.0 dan 192.168.255.255 gacha) Public (ommaviy) adreslarga misol qilib quyidagilarni ko‗rsatishimiz mumkin: Nimaga bunday bo‗lingan? Lokal tarmoqdagi ip adreslar marshrutizatsiyalanmaydi. Public ip adreslar marshrutizatsiyanadi. Bu degani yuqoridagi 3 ta diapozondagi ip adreslarga internet orqali boshqa joyidan turib ulanib bo‗lmaydi. Public ip adreslarga ulanib bo‗ladi. Shuning uchun vebserverlar, onlayn o‗yin serverlari va boshqalar public ip adresga ega. 8.1-rasm. Manzillarni translatsiya qilish NAT texnologiyasining 2 ta asosiy vazifasi mavjud: 1. Ichki tarmoq ip adreslarini tashqi tarmoqqa ko'rsatmaslik. 2. Ipv4 adreslarning yetmay qolish muammosini ma'lum darajada hal etish. Bundan tashqari NATning bir necha nomlari bor: IP Masquerading, Network Masquerading va Native Address Translation. Translatsiya IP-manzil yoki port raqamlari bo`yicha amalga oshiriladi. Ushbu texnologiya bir tomondan, IPv4 manzillarining yetishmasligini oldini oladi hamda boshqa tomondan tarmoqning xavfsizligini oshirish imkoniyatini yaratadi. 72 NAT ko'pincha korporativ tarmoqdagi qurilmalar uchun, Internet tarmog‗iga ulanish uchun yoki aksincha Internetdan LAN tarmoq ichidagi istalgan manbaga kirish uchun qo‗llaniladi. Manzillarni translatsiya qilishning uchta asosiy turi mavjud: – statik (Static Network Address Translation); – dinamik (Dynamic Address Translation); – PAT (NAPT, NAT Overload, PAT). 8.2-rasm. Manzillarni translatsiya qilish mexanizmi 1. Static Network Address Translation Statik NAT - ro'yxatdan o'tmagan IP manzilni ro'yxatdan o'tkazilgan IP manzilga yakka tartibda translatsiya qilishdan iborat, yani bitta hususiy (Private) manzilga bitta ommaviy (Public) manzil to‗gri keladi. Statik NAT bo`yicha ishni bajarish tartibi 73 Cisco IOS Routerlarida NATni sozlash quyidagi bosqichlarni o'z ichiga oladi 1. Ichki va tashqi interfeyslarni tayinlang 2. Translatsiya kim uchun (qaysi IP manzillari) amalga oshirilishini aniqlang. 3. Qaysi translatsiya ishlatishni tanlang 4. Translatsiyani tekshiring 8.3 – rasm. Statik NAT tamoyili asosida qurilgan tarmoq tuzilishi Birinchi navbatda 8.3 - rasmdagi tarmoq topologiyasi bo‗yicha Router1 va Router2 larga ixtiyoriy yo‗nalishda ip route beriladi. Chunki Internetdagi qismidagi IP - adresslarni oldindan bilmaymiz. Router1(config)#ip route 0.0.0.0 0.0.0.0 11.11.11.2 Router2(config)#ip route 0.0.0.0 0.0.0.0 11.11.11.1 74 8.4-rasm. Manzillarni translatsiyasi bo‗yicha olingan natijalar NAT-statik konfiguratsiyasini Router1 ga sozlash uchun birinchi navbatda translyatsiya bo‗luvchi manzilar ko`rsatiladi, yani Private 192.168.1.2 IP-adres manzilni Public 195.158.1.10 manzilga yoki Private 192.168.1.3 manzil Public 195.158.1.11 manzilga translyatsiya qilinadi. Router1(config)#ip nat inside source static 192.168.1.2 195.158.1.10 Router1(config)#ip nat inside source static 192.168.1.3 195.158.1.11 Keyingi jarayon Statik NAT ni kiruvchi va chiquvchi router interfesga biriktiriladi. Router1(config)#interface fastEthernet 0/1 Router1(config-if)#ip nat outside Router1(config-if)#exit Router1(config)#interface fastEthernet 0/0 Router1(config-if)#ip nat inside Router1(config-if)#end Router1#show ip nat translations 75 Bu yerda: 192.168.1.2 manzil-lokal tarmoqdagi PC mazili hisoblanadi. Shu Private manzilini internetga chiqishi uchun Public manziliga (195.158.1.10) o‗zgartirildi. Bu jarayonda faqat bitta PC 1 manzil internetga ulana oladi, ammo boshqa PC internetga ulana olmaydi. Agar boshqa PC lar tashqi tarmoqqa chiqishi uchun shu holat qayta takrorlanadi. Manzillarni translatsiya jarayonini ko‗rish uchun quyidagi komandalar orqali amalga oshiriladi: Router1# show ip nat translations Router1# show ip nat statistics 8.5-rasm. Manzillarni translatsiyasi bo‗yicha olingan natijalar 2. Dynamic Address Translation Dinamik NAT - ro'yxatdan o'tmagan IP manzilni ro'yxatdan o'tgan IPmanzillar guruhiga translatsiya qilishdan iborat. 76 Dinamik NAT ning Statik NAT dan farqi shuki, bu yerda bir nechta xususiy (Private) adresga bir nechta ommaviy (public) adreslar to'gri keladi. Ushbu holatni amalga oshirish uchun access list va Pool dan foydalanimiz Dinamik NAT bo`yicha ishni bajarish tartibi 8.6 – rasm. Dinamik NAT tamoyili asosida qurilgan tarmoq tuzilishi Birinchi navbatda Router-1 va Router-2 larga statik ip route beriladi. Chunk i internet qismidagi adreslarni oldindan bilmaymiz. Router1(config)#ip route 0.0.0.0 0.0.0.0 11.11.11.2 Router2(config)#ip route 0.0.0.0 0.0.0.0 11.11.11.1 195.158.1.1 dan 195.158.1.10 gacha public IP adreslarni tarqatishimiz uchun TATU nomli Pool yaratamiz. Router(config)#ip nat pool TATU 195.158.1.1 195.158.1.10 netmask 255.255.255.240 LAN tarmoqlar ichida aynan 192.168.1.0/24 tarmoq internetga chiqishi uchun Access list foydalanamiz Router1(config)#access-list 10 permit 192.168.1.0 0.0.0.255 Access list ni TATU nomli yaratilgan NAT ga biriktiramiz. Router1(config)#ip nat inside source list 10 pool TATU 77 Router ning kirish va chiqish portlariga NAT ni biriktiramiz Router1(config)#interface fastEthernet 0/0 Router1(config-if)#ip nat inside Router1(config-if)#exit Router1(config)#interface fastEthernet 0/1 Router1(config-if)#ip nat outside Router1(config-if)#exit 78 Router1# show ip nat translations Router1#show running-config 8.7-rasm. Manzillarni translatsiyasi bo‗yicha olingan natijalar 3. NAPT, NAT Overload, PAT PAT- dinamik NATning bir shakli bo'lib, bir nechta ro'yxatdan o'tmagan manzillarni turli xil portlardan foydalangan holda bitta ro'yxatdan o'tgan IP manzilga translatsiya qilishdan iborat. PAT bo`yicha ishni bajarish tartibi 79 8.5 – rasm. PAT tamoyili asosida qurilgan tarmoq tuzilishi Router1(config)#ip route 0.0.0.0 0.0.0.0 12.12.12.2 Router1(config)#ip nat pool nad_pat 195.158.1.1 195.158.1.4 255.255.255.240 Router1(config)#access-list 10 permit 192.168.1.0 0.0.0.255 Router1(config)#ip nat inside source list 10 pool nad_pat overload Router1(config)#interface fastEthernet 0/0 Router1(config-if)#ip nat inside Router1(config-if)#exit Router1(config)#interface fastEthernet 0/1 Router(config-if)#ip nat outside Router(config-if)#exit Router(config)#end Router#copy run startup-config Router 2 konfiguratsiyasi Router(config)#ip route 0.0.0.0 0.0.0.0 12.12.12.1 80 netmask LAN tarmogìdagi barcha Private adreslar bitta 195.158.1.1 Public adres orqali translatsiya bo`ladi faqat port har xil. Nazorat savollari 1. Manzillarni translatsiya qilish (NAT) usullarini keltiring? 2. Statik NAT Dinamik NAT dan qanday farqlanadi? 3. PAT ning ishlash prinsipini tushuntirib bering. 4. Tarmoqda qanday turdagi manzillar mavjud. 81 8-Amaliy ishi Mavzu: Tarmoq marshruzatorida DMZ ni o‘rnatish. Ishdan maqsad. Tarmoq marshruzatorida DMZ ni o‘rnatish ko`nikmalarini hosil qilish. Qisqacha nazariy ma'lumotlar DMZ - bu mahalliy tarmoq va Internet o'rtasida bufer vazifasini bajaradigan jismoniy yoki virtual server. U mahalliy tarmoq foydalanuvchilariga elektron pochta xizmatlari, masofaviy serverlar, veb-ilovalar va World Wide Web-ga kirishni talab qiladigan boshqa dasturlarni taqdim etish uchun ishlatiladi. Ichki manbalarga tashqi tomondan kirish uchun avtorizatsiya tartibidan o'tish kerak, ruxsatsiz foydalanuvchilar uchun tizimga kirish urinishi muvaffaqiyatli bo'lmaydi. Ko'pgina hollarda, bu marshrutizator sozlamalarida amalga oshiriladi. Bu nom inglizcha qisqartirishdan kelib chiqib, aloqa qilinayotgan hududlar o'rtasida to'siq bo'lib xizmat qiladi. Ushbu texnologiya Internetga ulangan har qanday kompyuterdan kirish kerak bo'lgan uy serverini yaratishda ishlatiladi. Ichki xavfsizligi yuqori bo'lgan yirik korporativ tarmoqlarda haqiqiy ajratilgan zonasi qo'llaniladi. Routerlarning uy modellari Internetga kirish uchun kompyuterni to'liq ochadi. Service Leg konfiguratsiyasi 82 DMZ tarmog'ining konfiguratsiyalaridan biri "service leg" deb nomlangan xavfsizlik devori konfiguratsiyasi. Ushbu konfiguratsiyada xavfsizlik devori kamida uchta tarmoq interfeysiga ega. Bir tarmoq interfeysi Internetga, ikkinchisi ichki tarmoqqa ulanadi va uchinchi tarmoq interfeysi DMZ tarmog'ini tashkil qiladi. Ushbu konfiguratsiya DMZ tarmog'ida joylashgan xizmatlarga yo'naltirilgan DoS hujumida xavfsizlik devori uchun xavfni oshirishi mumkin. Oddiy DMZ konfiguratsiyasida veb-server kabi DMZ tarmog'ida joylashgan manbaga qarshi DoS hujumi faqat ushbu maqsad resursga ta'sir qiladi. DMZ tarmog'i konfiguratsiyasining xizmat ko'rsatish qismida xavfsizlik devori DoS hujumining asosiy yukini oladi, chunki u trafik DMZ-da joylashgan manbaga etib borguncha barcha tarmoq trafigini tekshirishi kerak. Natijada, agar veb-serverida DoS hujumi amalga oshirilsa, bu tashkilotning barcha trafiklariga ta'sir qilishi mumkin. Ishni bajarish tartibi 1. Cisco packet tracer dasturi ishga tushiriladi. 2. Laboratoriya ishi uchun cisco 2960 kommutatori, 2911 marshruzatori, ASA0 5505 firewalli, server va kompyuterlar tanlanadi. 3. Quyida keltirilgan topologiya quriladi. 4. Qurilgan topologiya testlab ko`riladi. 1-rasm. Tadqiq qilinayotgan tarmoq topologiyasi 83 ASA0 ga quyidagi buyruqlar ketma ketligi kiritiladi. ciscoasa>en ciscoasa#conf t ciscoasa#no dhcpd enable inside ciscoasa#no dhcpd address 192.168.1.5-192.168.1.36 inside ciscoasa(config)#interface vlan 1 ciscoasa(config-if)#ip address 192.168.100.1 255.255.255.0 ciscoasa(configif)#exit ciscoasa(config)#dhcpd enable inside ciscoasa(config)#dhcpd address 192.168.100.22-192.168.100.50 inside ciscoasa(config)#dhcpd dns 8.8.8.8 ciscoasa(config)#interface vlan 2 ciscoasa(config-if)#ip address 195.158.18.18 255.255.255.0 ciscoasa(config-if)#exit ciscoasa(config)#route outside 0.0.0.0 0.0.0.0 195.158.18.1 ciscoasa(config)#object network NAT ciscoasa(config-networkobject)#subnet 192.168.100.0 255.255.255.0 ciscoasa(confignetwork-object)#nat (inside,outside) dynamic outside ciscoasa(config-network-object)#exit ciscoasa(config)#class-map qoida ciscoasa(config-if)#match default-inspectiontraffic ciscoasa(config-if)#exit ciscoasa(config)#policy-map toplam ciscoasa(config)#class qoida ciscoasa(config)#inspect http ciscoasa(config)#inspect icmp ciscoasa(config)#exit ciscoasa(config)#service-policy toplam global ciscoasa(config)#exit ciscoasa(config)#enable salom ciscoasa(config)#username admin password tatu123 ciscoasa(config)#hostname ASA ASA(config)#domainname tatu.uz ASA(config)#ssh 192.168.100.0 255.255.255.0 inside ASA(config)#aaa authentication ssh console LOCAL ASA(config)#aaa authentication telnet console LOCAL ASA(config)#ssh 8.8.8.8 255.255.255.255 outside ASA(config)#interface vlan 3 ASA(config-if)#no forward interface vlan 1 ASA(config-if)#nameif DMZ ASA(config-if)#ip address 192.168.70.1 255.255.255.0 ASA(config-if)#exit 84 ASA(config)#interface vlan 3 ASA(config-if)#security-level 70 ASA(config-if)#exit ASA(config)#object network DMZ ASA(config-network-object)#nat (DMZ,outside) static 195.158.18.88 ASA(config-network-object)#exit ASA# ASA#conf t ASA(config)#access-list DMZ permit icmp any host 195.158.18.88 ASA(config)#access-group DMZ in interface outside ASA(config)#access-list DMZ permit tcp any host 195.158.10.88 eq www ASA(config)#end ROUTERga quyida buyruqlar ketma ketligi kiritiladi. continue with configuration dialog? [yes/no]: no Router>enable Router#conf t Router(config)#interface gigabitEthernet 0/1 Router(config-if)#no shutdown Router(config-if)#ip address 195.158.18.1 255.255.255.0 Router(config-if)#exit Router(config)#interface gigabitEthernet 0/0 Router(config-if)#no shutdown Router(config-if)#ip address 8.8.8.1 255.255.255.0 Router(configif)#do wr 2-rasm. Qurilgan topologiyani testlash 85 Topshiriq: Amaliy ish mavzusi bo'yicha hisobot tayyorlash. Hisobotning mazmuni: - ishning raqami va mavzusi; - Cisco PacketTracerda topologiyasining tasviri; tadqiq qilinayotgan tarmoq - tarmoqdagi IP-manzillarni taqsimlash, ulanish diagrammasi (interfeys raqamlari), shu jumladan modelning tavsifi; - foydalanuvchi nomlari va parollari; - tarmoq elementlarini sozlash ro'yxati; - tarmoq elementlariga kirishga urinishlar natijalari. Nazorat savollari 1. DMZ nima? 2. Korporativ tarmoqlarda nima uchun DMZ zonalar tashkil etiladi? 3. DMZ ning ishlash tamoyilini tushuntirib bering? 86 9-Amaliy ishi Mavzu: Korxona va tashkilot axborot komunikatsiya tizimlarida VPN tarmoq qurish. Ishdan maqsad. Routerlarda site-to-site texnologiyasi asosida virtual himoyalangan tarmoq qurish ko`nikmalarini hosil qilish. Qisqacha nazariy ma‟lumot VPN (Virtual Private Network - virtual xususiy tarmoq) -mantiqiy tarmoq bo'lib, o'zidan yuqoridagi boshqa tarmoq, masalan, Internet asosida quriladi. Bu tarmoqda kommunikatsiyalarda umumiy xavfsiz bo'lmagan tarmoq protokollaridan foydalanilishiga qaramay, shifrlashdan foydalangan holda, axborot almashinishda bеgonalarga bеrk bo'lgan kanallar tashkil qilinadi. VPN tashkilotning bir nеcha ofislarini ular o'rtasida nazorat qilinmaydigan kanallardan foydalangan holda yagona tarmoqqa birlashtirish imkonini bеradi. O'z navbatida, VPN alohida tarmoq xususiyatlarini qamrab olgan, lеkin bu tarmoq umumiy foydalanish tarmog'i, masalan, Intеrnеt orqali amalga oshiriladi. Tunnеllashtirish mеtodi yordamida ma‗lumotlar pakеti umumiy foydalanish tarmog'i orqali xuddi oddiy ikki nuqtali bog'lanishdagi kabi translyatsiya qilinadi. Har qaysi «ma‗lumot jo'natuvchi-qabul qiluvchi» juftligi o'rtasida ma‗lumotlarni bir protokoldan ikkinchi protokolga inkapsulyatsiya qilish imkonini bеruvchi o'ziga xos tunnеl - xavfsiz mantiqiy bog'lanish o'rnatiladi. 87 1-rasm. Virtual himoyalangan tarmoq strukturasi Ishni bajarish tartibi 1. Cisco packet tracer dasturi ishga tushiriladi. 2. Quyida keltirilgan topologiya quriladi. 3. Qurilgan topologiya testlab ko`riladi. 2-rasm. Tadqiq qilinayotgan tarmoq topologiyasi ROUTER_1 ga kiritiladigan buyruqlar ketma-ketligi. Router>enable Router#conf t Router(config)#int fa 0/0 Router(config-if)#no shut Router(config-if)#ip nat inside Router(config-if)#ip address 192.168.1.1 255.255.255.0 Router(config)#int fa 0/1 Router(config-if)#no shut Router(config-if)#ip address 1.1.1.1 255.255.255.252 88 Router(config-if)#ip nat outside Router(config-if)#exit Router(config)#ip access-list extended for-nat Router(config-ext-nacl)#deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 Router(config-ext-nacl)#permit ip 192.168.2.0 0.0.0.255 any Router(config-ext-nacl)#exit Router(config)#ip nat inside source list for-nat int fa 0/1 overload Router(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.2 Router(config)#ip dhcp pool vl2 Router(dhcp-config)#network 192.168.2.0 255.255.255.0 Router(dhcp-config)#default-router 192.168.2.1 Router(dhcp-config)#dns-server 8.8.8.8 Router(dhcp-config)#exit Router(config)#crypto isakmp policy 1 Router(config-isakmp)#encryption aes Router(config-isakmp)#hash md5 Router(config-isakmp)#authentication pre-share Router(config-isakmp)#group 2 Router(config)#crypto isakmp key 123 address 2.2.2.1 Router(config)#crypto ipsec transform-set ts esp-aes esp-md5-hmac Router(config)#ip access-list extended for-vpn Router(config-ext-nacl)#permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 Router(config-ext-nacl)#exit Router(config)#crypto map kriptokarta 10 ipsec-isakmp Router(config-crypto-map)#match address for-vpn Router(config-crypto-map)#set peer 2.2.2.1 Router(config-crypto-map)#set transform-set ts Router(config-crypto-map)#exit Router(config)#int fa 0/1 Router(config-if)#crypto map kriptokarta *Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON Router(config-if)#exit (VPN qurish jarayoni) ROUTER_2 kiritiladigan buyruqlar ketma-ketligi. Router>enable Router#conf t Router(config)#int fa 0/0 Router(config-if)#no shut Router(config-if)#ip nat inside 89 Router(config-if)#ip address 192.168.3.1 255.255.255.0 Router(config-if)#exit Router(config)#int fa 0/1 Router(config-if)#no shut Router(config-if)#ip address 2.2.2.1 255.255.255.0 Router(config-if)#ip nat outside Router(config-if)#exit Router(config)#ip access-list extended for-nat Router(config-ext-nacl)#deny ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255 Router(config-ext-nacl)#permit ip 192.168.3.0 0.0.0.255 any Router(config-ext-nacl)#exit Router(config)#ip nat inside source list for-nat int fa 0/1 overload Router(config)#ip route 0.0.0.0 0.0.0.0 2.2.2.2 Router(config)#ip dhcp pool vl3 Router(dhcp-config)#network 192.168.3.0 255.255.255.0 Router(dhcp-config)#default-router 192.168.3.1 Router(dhcp-config)#dns-server 8.8.8.8 Router(dhcp-config)#exit Router(config)#crypto isakmp policy 1 Router(config-isakmp)#encryption aes Router(config-isakmp)#hash md5 Router(config-isakmp)#authentication pre-share Router(config-isakmp)#group 2 Router(config-isakmp)#exit Router(config)#crypto isakmp key 123 address 1.1.1.1 Router(config)#crypto ipsec transform-set ts esp-aes esp-md5-hmac Router(config)#ip access-list extended for-vpn Router(config-ext-nacl)#permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255 Router(config-ext-nacl)#exit Router(config)#crypto map kriptokarta 10 ipsec-isakmp Router(config-crypto-map)#match address for-vpn Router(config-crypto-map)#set peer 1.1.1.1 Router(config-crypto-map)#set transform-set ts Router(config-crypto-map)#exit Router(config)#int fa 0/1 Router(config-if)#crypto map kriptokarta *Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON Router(config-if)#exit ROUTER_3 ga kiritiladigan buyruqlar ketma-ketligi: 90 Router>enable Router#conf t Router(config)#int fa 0/0 Router(config-if)#no shut Router(config-if)#ip address 1.1.1.2 255.255.255.252 Router(config)#int fa 0/1 Router(config-if)#no shut Router(config-if)#ip address 2.2.2.2 255.255.255.0 Router(configif)#exit 2-rasm. ROUTER_1 ni sozlanmasi. Bajarilgan laboratoriya ishi testlab ko`riladi, ya`ni PC0 dan PC2 icmp protokoli orqali aloqa tekshirib ko`riladi. 91 3-rasm. PC0 va PC2 kompyuterlarning manzillari 4-rasm. Topologiyani testlash natijalari VPN kanal orqali yuborilgan ma`lumotlar statistikasini ko`rish uchun quyidagi buyruq kiritiladi: Show crypto ipsec sa 5-rasm VPN kanal orqali yuborilgan ma`lumotlar statistikasi 92 15.6-rasm. Topologiyani orqali yuborilgan xabarning harakati Topshiriq: Amaliy ish mavzusi bo'yicha hisobot tayyorlash. Hisobotning mazmuni: - ishning raqami va mavzusi; - Cisco PacketTracerda tadqiq qilinayotgan tarmoq topologiyasining tasviri; - tarmoqdagi IP-manzillarni taqsimlash, ulanish diagrammasi (interfeys raqamlari), shu jumladan modelning tavsifi; 93 - foydalanuvchi nomlari va parollari; - tarmoq elementlarini sozlash ro'yxati; - tarmoq elementlariga kirishga urinishlar natijalari. Nazorat savollari 1. VPN tarmoq nima? 2. Himoyalangan tarmoqlarni qurishning qanday usullari mavjud? 3. VPN ning ishlash tamoyilini tushuntirib bering? 4. Himoyalangan tarmoqlar nima maqsadda ishlatiladi? 94 10-Amaliy ishi Mavzu: DHCP Snooping – xavfsizlik texnologiyasi. Ishdan maqsad. DHCP Snooping – xavfsizlik texnologiyasi sozlash ko`nikmalarini hosil qilish. Qisqacha nazariy ma'lumotlar DHCP Snooping - bu qabul qilinmaydigan deb topilgan DHCP trafigini o'chirib tashlaydigan real tarmoq komutatorining operatsion tizimiga o'rnatilgan 2- darajali xavfsizlik texnologiyasi. DHCP Snooping, DHCP mijozlariga IPmanzillarni taklif qiladigan noto'g'ri DHCP-serverlarning oldini oladi. DHCP Snooping quyidagilarni amalga oshiradi: Ishonchsiz manbalardan kelgan DHCP xabarlarini tekshiradi va yaroqsiz xabarlarni filtrlaydi. IP-manzillari ijaraga olingan ishonchli bo'lmagan xostlar haqida ma'lumotlarni o'z ichiga olgan ma'lumotlar bazasini yaratadi va saqlaydi. Ishonchsiz xostlardan keyingi so'rovlarni tekshirish uchun yaratilgan ma'lumotlar bazasidan foydalanadi. DHCP Snoopingni faqat simli tarmoq foydalanuvchilar uchun qo‗llasa bo‗ladi. Kirish qatlami xavfsizligi xususiyati sifatida, asosan, DHCP tomonidan xizmat ko'rsatiladigan VLANga kirish portlarini o'z ichiga olgan har qanday komutatorda yoqiladi. DHCP Snoopingni o'rnatishda himoya qilmoqchi bo'lgan VLANda DHCP Snoopingni yoqishdan oldin ishonchli portlarni (DHCPserverning tegishli xabarlari o'tadigan portlarni) sozlash kerak. Bu CLIda ham, veb-interfeysda ham amalga oshirilishi mumkin. CLI buyruqlari DHCP Snooping konfiguratsiyasida FS S3900 seriyali komutatorlarida berilgan. Ishni bajarish tartibi 1. Cisco packet tracer dasturi ishga tushiriladi. 2. Laboratoriya ishi uchun cisco 2960 kommutatori, 2911 marshruzatori tanlanadi. 95 3. Quyida keltirilgan topologiya quriladi. 4. Qurilgan topologiya testlab ko`riladi. 1-rasm. Tadqiq qilinayotgan topologiya. SWITCHga quyidagi buyruqlar ketma ketligi kiritiladi. Switch> Switch>en Switch#conf t Switch(config)#ip dhcp snooping Switch(config)#ip dhcp snooping vlan 1 Switch(config)#interface fastEthernet 0/5 Switch(config-if)#ip dhcp snooping trust Switch(config-if)#ip dhcp snooping limit rate 2048 Switch(config-if) do wr Switch(config)#end ROUTERga quyida buyruqlar ketma ketligi kiritiladi. continue with configuration dialog? [yes/no]: no Router>enable Router#conf t Router(config)#interface gigabitEthernet 0/0 Router(config-if)#no shutdown Router(config-if)#ip address 192.168.100.1 255.255.255.0 Router(config-if)#ip helper-address 10.10.10.10 Router(config-if)#ex 96 Router(config)#interface gigabitEthernet 0/1 Router(config-if)#no shutdown Router(config-if)#ip address 10.10.10.1 255.255.255.0 Router(configsubif)#do wr Router(config-subif)#exit 2-rasm. Serverga DHCP xizmatini yoqish. 3-rasm. Hostlarni IP manzil olganligini ko‗rish. 97 4-rasm. Soxta serverda DHCP xizmatini yoqish. 5-rasm. Soxta serverdan IP manzil olgan host. 98 6-rasm. DHCP Snooping xizmatidan so‗ng hostning haqiqiy serverdan IP manzil olishi. Bu ish bo'yicha hisobot quyidagilardan iborat bo'lishi kerak: ishning nomeri va nomi; topshiriq; Cisco Packet Tracer da tarmoq modelining tasviri; tarmoqdagi IP-manzillarni taqsimlanishi, ulanish sxemasini (interfeyslar nomerlarini) o'z ichiga olgan tavsifi; ishda foydalanilgan foydalanuvchilar nomlari va parollari; tarmoq elementlariga ulana olishga urinishlar natijalari. Nazorat savollari 1. DHCP xizmati nima? 2. DHCP xizmatida qanday zaifliklar mavjud? 3. DHCP-Snooping tarmoq hujumi nima va uning oldini olish usuli? 99 11-Amaliy ishi Mavzu: ASA xavfsizlik texnologiyasini sozlash. Ishdan maqsad. ASA xavfsizlik texnologiyasini sozlash ko`nikmalarini hosil qilish. Qisqacha nazariy ma'lumotlar Cisco Systems - Frost & Sulivanning 2018 yildagi hisoboti bo‗yicha olib borilgan tadqiqotlar asosida xavfsizlik devorlari bo'yicha jahon bozorida yetakchi hisoblanadi. Kompaniyaning eng mashhur xavfsizlik mahsuloti Cisco ASA hisoblanadi. Cisco ASA tarmoqlararo ekrani(firewall) PIX seriyasining davomchisi bo'lib, ular Cisconing birinchi xavfsizlik devorlari bo'lgan va kompaniyaning tarmoq qurilmalarining ushbu segmentida ustunligini ta'minlagan. Infografikada muhim voqealar xronologiyasi keltirilgan. Muhim voqealardan biri Cisco kompaniyasi, Snort - hujumlarni oldini olish tizimi(IPS) va AMP antivirusini ishlab chiquvchi SourceFire tashkilotini sotib olishi bo'ldi. Kompaniyaning texnologiyalari 5500-X mahsulot qatoriga kiritilgan va FirePower xizmatlari sifatida tanilgan. O'shandan beri qurilmalar himoya mexanizmlari ta‗minlash va boshqarish bo‗yicha qulayligi oshirilib kelinmoqda. 100 Funksional xususiyatlar Cisco ASA - bu quyidagi texnologiyalarni birlashtirgan ko'p funksiyali xavfsizlik vositasi: • keyingi avlod xavfsizlik devori (NGFW); • dasturlarni donadorlik bilan kuzatish va boshqarish tizimi (Cisco AVC); • VPN tunnellarini qurish tizimi (site-to-site IPsec); • yangi avlod hujumlarni bartaraf etish tizimlari (NGIPS); • retrospektiv himoya xususiyatlariga ega rivojlangan zararli dasturlardan himoya qilish (AMP) • muhimlik darajasi va tasniflash algoritmlari asosida URL-filtrlash; • zaifliklarni boshqarish tizimi va SIEM. Cisco Adaptive Security Appliance (ASA) Moslashuvchan va ko‗p-funksiyali xavfsizlik imkoniyatlarini qadrlaydigan korxonalar uchun Cisco o'zining ASA texnologiyasini yaratdi. Ammo bu shunchaki firewall emas, balki ko'p imkoniyatlarga ega vositadir. 1-rasm. Cisco Adaptive Security Appliance (ASA) 101 Cisco ASA bu firewall imkoniyatlarini antivirus himoya tizimi, IPS va umuman virtual xususiy tarmoq taqdim etadigan barcha xususiyatlar birlashtiruvchisidir. ASAning asosiy ustunligi bu potensial tahdid tarmoq orqali tarqalish imkoniyatidan oldin tahdidni to'xtatishdir. Oldin keng tarqalgan bir necha soniya ichida barcha qurilmalarda ransomware paydo qiluvchi xavfli elektron pochta fayllariga qarshi kurashda bu eng maqbul tanlov hisoblanadi. Cisco ASA tahdidlarni faol ravishda qidirib topish va ularni to'xtatish orqali buni to'xtatadi. Bu barcha ma'lumotlar va aktivlarini himoya qiladigan kichik, o'rta va katta biznes tarmoqlar uchun qimmatli xavfsizlik vositasidir. Kompyuter tarmog'ida Cisco ASA 5500 - bu Cisco-ning 2005 yil may oyida taqdim etilgan tarmoq xavfsizligi qurilmasi bo'lib, u mashhur uchta Cisco mahsulotlarining jamlanmasi hisoblanadi, ular: • Firewall va (NAT) funksiyalarini ta'minlovchi Cisco PIX. • Ruxsatsiz kirishlarni oldini olish tizimlari (IPS) sifatida ishlaydigan Cisco IPS 4200 qurilmasi. • Cisco VPN 3000 seriyali virtual xususiy tarmoqni (VPN) bilan ta'minlaydigan kontsentrator. Eng so'nggi Cisco ASA 5500 seriyasi Cisco PIX 500 ― firewalining o'rnini egallaydi va uning imkoniyatlarini oshiradi va yanada faol xavfsizlik choralarini ta'minlaydi. Bu turli xil ma'lumotlar markazlari va tarmoqlarini eng kichigidan eng kattasiga va eng murakkabigacha himoya qilishga qaratilgan keng ko'lamli xavfsizlik moslamalaridir. Dunyo bo'ylab bir milliondan ortiq Cisco ASA qurilmalari tarqatilganligi kiberxavfsizlik sohasida uning yuksak o‗rnini isbotlaydi. Ajoyib tarmoq xavfsizligi platformasi va ― firewall yordamida oxirgi foydalanuvchilar har qanday qurilmadan, istalgan vaqtda va istalgan joyda maxfiy ma'lumotlar, hujjatlar va ma'lumotlarga tezkor, xavfsiz va samarali kirish imkoniyatiga ega bo‗lishadi. 102 ASA dasturi xavfsizlikni yanada oshirish uchun qo'shimcha xavfsizlik dasturlari to'plamiga ulanishi mumkin. Cisco ASA dasturiy ta'minoti bir qator funksiyalar va imkoniyatlarga ega. Masalan: • IPS, VPN imkoniyatlarini taklif etadi; • Yuqori samarali, ko'p saytli va ko'p tugunli klasterlash orqali tashkilotlarga imkoniyatlarni oshirishga va ish faoliyatini yaxshilashga yordam beradi; • Yuqori bardoshli dasturlar uchun yuqori imkoniyatlarni taqdim etadi; • Jismoniy va virtual qurilmalar o'rtasida hamkorlikni ta'minlaydi; • Ham tarmoq, ham ma'lumotlar markazining o'ziga xos ehtiyojlarini qondiradi; • Cisco TrustSec xavfsizlik guruhi teglari va identifikatsiyalashga asoslangan xavfsizlik devori texnologiyasi bilan kontekstni xabardor qilishni ta'minlaydi; • Har bir kontekst asosida dinamik marshrutni va saytdan saytga VPN o‗tishni osonlashtiradi. Cisco ASA dasturiy ta'minoti, shuningdek, ―Suite B kriptografik algoritmlari to'plamini o'z ichiga olgan yangi avlod shifrlash standartlarini qo'llab-quvvatlaydi. Shuningdek, u xalqaro darajadagi veb-tahdidlardan himoya qilish uchun ―Cisco Cloud Web Security‖ yechimi bilan birlashadi. Cisco ASA Modellari Cisco ASA 5510 - masofadan turib ishlashni hisobga oladigan kichik va o'rta biznes korxonalar uchun mukammal model, bu iqtisodiy jihatdan xavfsiz yechim hamdir. Barcha xavfsizlik xizmatlarini onlayn boshqarish platformasi orqali boshqarish mumkin. Cisco 5510-da siz kutgan yuqori samarali firewall va tarmoq xavfsizligi yechimlari mavjud. Xavfsizlik xizmatlari moduli buzilishning oldini olish imkoniyatlarini to'liq boshqarish imkoniyatini beradi va mustahkam antivirus xizmatini bajaradi. Biznes kelajakda kengayishini inobatga olgan holda himoya qilish mexanizmlarini sinflarga ajratadi, shuning uchun Cisco ASA 5510 kompaniyaga kerak bo'lganda funksiyalarni kengaytirishga imkon beradi. 103 Cisco ASA 5525-X - Cisco SecureX freymidan foydalangan holda, ushbu model xavfsizligi yanada murakkab tarmoqqa ega bo'lgan o'rta kompaniyalar uchun juda mos keladi. SecureX texnologiyasi Cisco taqdim etadigan xavfsizlik yechimlarining eng so'nggi versiyasidir. Ishni bajarish tartibi 1. Cisco packet tracer dasturi ishga tushiriladi. 2. Laboratoriya ishi uchun cisco 2960 kommutatori, 2911 marshruzatori, ASA0 5505 firewalli, server va kompyuterlar tanlanadi. 3. Quyida keltirilgan topologiya quriladi. 4. Qurilgan topologiya testlab ko`riladi. 2-rasm. Tadqiq qilinayotgan tarmoq topologiyasi. Qurilgan topologiyada quyidagi buyruqlar teriladi: ASA0 ga quyidagi buyruqlar ketma ketligi kiritiladi. ciscoasa>en ciscoasa#conf t ciscoasa(config)#interface vlan 1 ciscoasa(configif)#no ip address ciscoasa(config-if)#ip address 192.168.100.1 255.255.255.0 ciscoasa(configif)#exit ciscoasa(config)#dhcpd address 192.168.100.22-192.168.100.50 inside ciscoasa(config)#dhcpd dns 8.8.8.8 ciscoasa(config)#enable password salom ciscoasa(config)#username elshod password admin 104 ciscoasa(config)#ssh 192.168.100.22 255.255.255.255 inside ciscoasa(config)#ssh timeout 1 ciscoasa(config)#aaa authentication ssh console LOCAL ciscoasa(config)#interface vlan 2 ciscoasa(configif)# no ip address ciscoasa(config-if)#ip address 195.158.0.2 255.255.255.252 ciscoasa(configif)#exit ciscoasa(config)#route outside 0.0.0.0 0.0.0.0 195.158.0.1 ciscoasa(config)#object network NET ciscoasa(config-networkobject)#subnet 192.168.100.0 255.255.255.0 ciscoasa(confignetwork-object)#nat (inside,outside) dynamic interface ciscoasa(config-network-object)#ex ciscoasa#conf t ciscoasa(config)#access-list NAT extended permit icmp any any ciscoasa(config)#access-group NAT in interface outside ROUTERga quyida buyruqlar ketma ketligi kiritiladi. continue with configuration dialog? [yes/no]: no Router>enable Router#conf t Router(config)#interface gigabitEthernet 0/0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)#hostname IP IP(config)#interface gigabitEthernet 0/0 IP(config-if)#ip address 195.158.0.1 255.255.255.252 IP(config-if)#ex IP(config)#interface gigabitEthernet 0/1 IP(config-if)#no shutdown IP(config-if)#ip address 8.8.8.1 255.255.255.0 Router(config-if)#do wr Router(config-if)#exit 3-rasm Server ga IP manzil berish. 105 4-rasm. Hostning ASA firewall orqali avtomatik IP manzil olishi. 5-rasm. SSH protokoli yordamida firewallga masofaviy ulanish. 1-rasm. Qurilgan topologiyani testlab ko‗rish. Topshiriq: 106 Amaliy ish mavzusi bo'yicha hisobot tayyorlash. Hisobotning mazmuni: - ishning raqami va mavzusi; - Cisco PacketTracerda topologiyasining tasviri; tadqiq qilinayotgan tarmoq - tarmoqdagi IP-manzillarni taqsimlash, ulanish diagrammasi (interfeys raqamlari), shu jumladan modelning tavsifi; - foydalanuvchi nomlari va parollari; - tarmoq elementlarini sozlash ro'yxati; - tarmoq elementlariga kirishga urinishlar natijalari. Nazorat savollari: 1. FireWall nima? 2. ASA firewallining qanday imkoniyatlari mavjud? 3. Cisco ASA firewallining qanday turlari mavjud? 4. NGFW nima? 5. Cisco AVC nima? 6. NGIPS nima? 107 12-Amaliy ishi MAvzu: AAA serverda autentifikatsiya rejimini sozlash (RADIUS, TACACS+) Ishdan maqsad: Ma‗lumot uzatish tarmoqlarida autentifikatsiya, avtorizatsiya va hisobga olish protokollarini sozlash, hamda amaliy ko‗nikmaga ega bo‗lish. Topshiriq Bu ishda quyidagilar zarur: - 10.1-rasmda keltirilgan sxemaga muvofiq tarmoqning modelini qurish; 1- rasm. Tadqiq qilinayotgan tarmoq tuzilishi AAA-serverni kompyuter va marshrutizatorga ulanishi ta‗minlanadigan tarzda sozlashni o‗rnatish. Serverda ro'yxatga olish yozuvlari qayt etilishi kerak; marshrutizatorlarda AAA-mijozni sozlash; noto'g'ri foydalanuvchi paroli yoki nomidan foydalanish bilan Telnet orqali marshrutizatorga ulana olishga urinish; 108 to'g'ri foydalanuvchi paroli yoki nomidan foydalanish bilan Telnet orqali marshrutizatorga ulana olishga urinish. Qisqacha nazariy ma‟lumotlar AAA (Authentication, Authorization, Accounting) mexanizmi ulanishni taqdim etish jarayonini tavsiflash va uning ustidan nazorat qilish uchun ishlatiladi. Autentifikatsiyalash (Authentication) - bu so'rovni xavfsizlik tizimidagi mavjud ro'yxatga olish yozuvi bilan taqqoslash hisoblanadi. Bu login, parol, sertifikat, smart-karta va boshqalar bo'yicha amalga oshiriladi. Avtorizatsiya (Authorization) (vakolatlarni, ulanish darajasini tekshirish) – tizimidagi mavjud ro'yxatga olish yozuvi (autentifikatsiyalashdan o'tgan shaxsni) va ma‗lum vakolatlarni (yoki ulanishga ta‗qiqlashni) taqqoslash hisoblanadi. Hisobga olish (Accounting) - bu foydalanuvchi tomonidan tizimning resurslaridan foydalanilishi haqida ma‗lumotlarni to'plash hisoblanadi. AAA ni ishlatadigan protokollaridan biri RADIUS (Remote Authentication Dial-In User Service) va TACACS (Terminal Access Controller Access Control System) protokollari hisoblanadi (10.2-rasm). TACACS va RADIUS tizimlari markaziy tarmog'ida bir necha olisdan ulanish serverlari ishlatiladigan tashkilotlar uchun mo'ljallangan. Bu tizimlarda ma‗mur foydalanuvchilar identifikatorlarining bazaviy ma‗lumotlarini va parollarini boshqarishi, ularga ulanish imtiyozlarini taqdim etishni va tizim resurslariga murojaatlarni hisobga olishni olib borishi mumkin. 2-rasm. TACACS va RADIUS protokollarining ishlash mexanizmi 109 TACACS va RADIUS protokollari alohida autentifikatsiyalash serverining qo'llanilishini talab qiladi. Bu server foydalanuvchilar haqiqiyligini tekshirish va ularning vakolatlarini aniqlash uchun ma‗lumotlar omborini ishlatadi. RADIUS protokoli haqiqiylikni, avtorizatsiyalashni va ro'yxatga olishni tekshirishni amalga oshirish uchun ishlatiladi. RADIUS-mijoz (odatda olisdan ulanish server, VPN -server, simsiz tarmoqqa ulanish nuqtasi va h.k.) foydalanuvchining ro'yxatga olish ma‗lumotlarini va RADIUS xabar shaklidagi ulanish parametrlarini RADIUS serverga jo'natadi. Server haqiqiylikni tekshiradi va mijozning so'rovini avtorizatsiyalaydi, keyin esa teskari javob xabarini jo'natadi. Mijozlar serverlarga ro'yxatga olish xabarlarni ham jo'natadi. Bundan tashqari, RADIUS standarti proksi-serverlardan foydalanishni qo'llaydi. RADIUS ning proksi-serveri bu RADIUS protokolini qo'llaydigan tugunlar orasida RADIUS -xabarlarni qayta uzatadigan kompyuter hisoblanadi. RADIUS - xabarlarni uzatilishi uchun UDP (User Datagram Protocol Foydalanuvchi deytagramm protokoli) protokoli ishlatiladi. RADIUS haqiqiylikni tekshirish xabarlari uchun 1812 UDP-port, ro'yxatga olish xabarlari uchun esa 1813 UDP-port ishlatiladi. Tarmoqqa ayrim ulanish serverlari RADIUS haqiqiylikni tekshirish xabarlari uchun 1645 UDP-portni va RADIUS xisobga olish xabarlari uchun esa 1646 UDP-portni ishlatishi mumkin. RADIUS protokoli yo'qotiladigan paketlar 5...10% dan kam bo'ladigan tarmoqlarda samarador bo'ladi, boshqa tarmoqlarda TASASS+ protokoli ishlatilishi yaxshi bo'ladi. Shifrlashda RADIUS protokoli parolda faqat clear text shifrlanadi, qolgan butun paket «ochiq» qoladi (xavfsizlik nuqtai nazaridan xatto foydalanuvchining nomi juda muhim parametr bo'lsada). TACASS+ protokolida paketning faqat sarlavhasi ochiq (hech qanday qimmatli axborotni tashimaydigan) qoladi, paketning butun tanasi esa shifrlanadi. 110 Bajarish bo„yicha ko„rsatmalar AAA-serverni sozlash uchun sichqonchaning chapki tugmasini serverning modeli bo'yicha bosish, konfiguratsiyalash oynasini ochish, «Config» qismiga o'tish (10.3-rasm, 1-marker) va «AAA» tugmasini bosish (10.3-rasm, 2marker). User Name (10.3-rasm, 7-marker) – tarmoq elementiga ulanish uchun foydalanuvchining nomi (logini); Password (10.3-rasm, 8-marker) – tarmoq elementiga ulanish uchun parol; yuqorida sanab o'tilgan parametrlar qiymatlari ko'rsatilganidan keyin AAA-serverga mos yozuvlarni qo'shish uchun «+» tugmasini bosish (10.3-rasm, 6-va 9-markerlar) kerak bo'ladi. 3 - rasm. AAA-serverni konfiguratsiya oynasi Marshrutizatorlarning interfeyslari aktivlashtirilganidan keyin marshrutizatordagi AAA-mijozni sozlash kerak bo'ladi. Buning uchun quyida keltirilgan komandalar ketma-ketligini bajarish kerak. 1. AAA- serverning IP-manzilini ko'rsatish: R1(config)#radius-server host 192.168.2.100 bu erda <IP-adres> – AAA-serverning IP-manzili. 2. RADIUS protokoli uchun shifrlash kalitini ko'rsatish : R1(config)#radius-server key burgut 111 3. Marshrutizatordagi barcha AAA-xizmatlarni aktivlashtirish: R1(config)#aaa new-model 4. Marshrutizatorda autentifikatsiyalash jarayonini sozlash: R1(config)#aaa authentication login default group radius local bu erda <metod> – autentifikatsiyalash usuli. RADIUS protokoli bo'yicha autentifikatsiyalash usuliga bu parametrning «group radius» qiymati mos keladi 5. Marshrutizatorda avtorizatsiya jarayonini sozlash: - boshqarish seansini boshlanishi uchun avtorizatsiyalash: - tarmoq seanslari uchun avtorizatsiyalash: bu erda <metod> – mualliflashtirish usuli. RADIUS protokoli bo'yicha autentifikatsiyalash usuliga bu parametrning «group radius» qiymati mos keladi. Cisco Packet Tracerda ro'yxatga olish funksiyalari mumkin emas. Ishni bajarish tartibi R1 konfiguratsiyasi Router>enable Router#configure terminal Router(config)# hostname R1 R1 (config)# enable secret 123456 R1(config)#username admin password admin R1 (config)# aaa new-model R1 (config)# radius-server host 192.168.2.100 key burgut 112 Routerga masofadan kirishda username admin password foydalaniladi R1 (config)# aaa authentication login default local group radius admin Agar group radius ishlatilsa, u holda rasmda ko`rsatilgan username cisco va parol cisco orqali kiritiladi R1 (config)# aaa authentication login default group radius group radius 113 AAA mexanizmi yordamida enable kirish parolini ham nazorat qilsa boladi. R1 (config)# aaa authentication enable default group radius enable Bu ish bo‘yicha hisobot quyidagilardan iborat bo'lishi kerak: ishning nomeri va nomi; topshiriq; Cisco Packet Tracer da tarmoq modelining tasviri; tarmoqdagi IP-manzillarni taqsimlanishi, ulanish sxemasini (interfeyslar nomerlarini) o'z ichiga olgan tavsifi; ishda foydalanilgan foydalanuvchilar nomlari va parollari; tarmoq elementlari konfiguratsiyalari listinglari; ulana olishga urinishlar natijalari. Nazorat savollari 1. Autentifikatsiyalash tushunchasiga ta‗rif bering? 114 tarmoq elementlariga 2. Avtotizatsiyalash tushunchasiga ta‗rif bering? 3. Identifikatsiyalash tushunchasiga ta‗rif bering? 4. TACACS va RADIUS protokollarini taqqoslang? 5. Hisobga olish (Accounting) deganda nimani tushunasiz? 6. RADIUS xabarlarini uzatish uchun qaysi protokol ishlatiladi? 7. UDP protokolining ishlash tamoyilini tushuntiring 115 13-Amaliy ishi Mavzu: Tarmoq muammolarini izlash va bartaraf etish: Troubleshooting. Ishdan maqsad: Tarmoq qurilmalarini sozlangandan so‗ng kelib chiqadigan muammolarni aniqlash va ularni bartaraf etish ko‗nikmalarini hosil qilish. Qisqacha nazariy ma‟lumot Tarmoqning normal rejimda qanday ishlashi haqida to'liq ma'lumotga ega bo'lgan odamgina tarmoqdagi muammolarni muvaffaqiyatli aniqlay oladi va tuzatadi. Faqatgina ushbu sharoitda me'yordan chetga chiqishni tezda aniqlash va muammoni aniqlash mumkin. Yaxshi texnik mutaxasis avvalo o'zida mavjud bo'lgan barcha ma'lumotlarni batafsil o'rganib chiqadi, barcha tarkibiy qismlarning ishini yaxshilab tushunishga harakat qiladi va ularni qanday qilib to'g'ri ishlashni o'rganadi. Tajribali tarmoq muhandislari katta muvaffaqiyatsizlikni dasturni noto'g'ri ishlatilishi yoki "inson omili" deb nomlangan natijalar bilan xato qilish mumkinligini bilishadi. Muammolarni izlash va tuzatishning bir qator tuzilgan usullari mavjud. 116 1-rasm. Muammolarni izlash usullari: yuqoridan pastga, pastdan yuqoriga va taqsimlash va aniqlash‖ Ushbu tuzilgan usullarning barchasi ko'p qatlamli tarmoqlarni o'z ichiga oladi. Qatlamli tarmoqqa misol qilib OSI modeli keltirilgan bo'lib, unda barcha aloqa funksiyalari qat'iy ravishda yetti darajaga bo'linadi. Ushbu modeldagi muammolarni bartaraf qilish orqali siz muammo lokalizatsiya qilinmaguncha har bir darajadagi barcha funksiyalarning ishlashini doimiy ravishda sinab ko'rishingiz mumkin. "Yuqoridan pastga" usuli ilova darajasidan pastga o'tishni o'z ichiga oladi. Muammo foydalanuvchi va dastur nuqtai nazaridan o'rganiladi. Faqat bitta dastur ishlamayaptimi yoki barcha dasturlarmi? Masalan, elektron pochta mavjud bo'lmaganda foydalanuvchi veb-sahifalarga kira oladimi? Shunga o'xshash hodisalar boshqa ish stantsiyalarida ham paydo bo'ladimi? ―Pastdan yuqoriga usuli fizik sathdan yuqori sathga o'tishni o'z ichiga oladi. Fizik sathda uskunalar va simli ulanishlar tekshiriladi. Kabellar rozetkasidan tushib ketganmi? Agar uskunada ko'rsatkichlar mavjud bo'lsa, ko'rsatkichlar yoniqmi? 117 ―Taqsimlash va aniqlash‖ usuli bilan tahlil o'rta darajalardan birida boshlanadi, undan keyin yuqori yoki pastki darajalar tekshiriladi. Masalan, diagnostika IP-konfiguratsiyani tekshirish orqali tarmoq sathidan boshlanishi mumkin. Ishni bajarish tartibi 5. Cisco packet tracer dasturi ishga tushiriladi. 6. Laboratoriya ishi uchun bizga 2911 versiyadagi router, 2960 switch va kompyuterlar kerak bo‗ladi. 7. Quyida keltirilgan topologiya quriladi. 8. Qurilgan topologiya testlab ko`riladi. 2-rasm. Tadqiq etilayotgan tarmoq topologiyasi SWITCH ga kiritiladigan komandalar. Switch>en Switch#conf t Switch(config)#interface range fastEthernet 0/1-4 Switch(config-if-range)#switchport mode access Switch(config-if-range)#switchport access vlan 10 Switch(config-if-range)#ex Switch(config)#interface range fastEthernet 0/5-8 118 Switch(config-if-range)#switchport mode access Switch(config-if-range)#switchport access vlan 20 Switch(config-if-range)#ex Switch(config)#interface fastEthernet 0/9 Switch(config-if)#switchport mode trunk Switch(config-if)#switchport trunk allowed vlan 10 Switch(configif)#do wr ROUTER ga kiritiladigan komandalar. Router>en Router#conf t Router(config)#interface gigabitEthernet 0/0 Router(config-if)#no shutdown Router(config-if)#ex Router(config)#interface gigabitEthernet 0/0.10 Router(config-subif)#encapsulation dot1Q 10 Router(config-subif)#ip address 192.168.10.1 255.255.255.0 Router(config-subif)#ex Router(config)#interface gigabitEthernet 0/0.20 Router(config-subif)#encapsulation dot1Q 20 Router(config-subif)#ip address 192.168.20.1 255.255.255.0 Router(config-subif)#ex Router(config)#ip dhcp pool t1 Router(dhcp-config)#network 192.168.10.0 255.255.255.0 Router(dhcp-config)#default-router 192.168.10.1 Router(dhcp-config)#ex Router(config)#ip dhcp pool t2 Router(dhcp-config)#network 192.168.20.0 255.255.255.0 Router(dhcp-config)#default-router 192.168.20.1 Router(dhcp-config)#do wr Qurilgan topologiyani sozlashda xatolikka yo‗l qo‗yilgan. Ushbu xatolik qayerda sodir bo‗lganligini toppish uchun har bir vlandagi bitta hostga static IP address va qolgan hostlarga dinamik IP address berib chiqish kerak. 119 3-rasm. Vlan 10 va Vlan 20 dagi hostlarga static IP address berish 17.4-rasm. Vlan 10 dagi hostlar dinamik IP addresslarni sozlash 120 17.5-rasm. Vlan 10 dagi hostlar dinamik IP address berish Yuqoridagi rasmlardan ko‗rish mumkinki(17.3 va 17.4-rasmlar). Vlan 10 dagi hostlar ip address olgan lekin vlan 20 dagi hostlar ip address olmagan. Demak, vlan 20 nima uchun ip address olmaganligini aniqlab ushbu xatolikni bartaraf etishimiz kerak. Komutator va marshrutizator qurilmalarida muammolarni aniqlash uchun quyidagi buyruqlardan foydalaniladi: – Komutator uchun: Show vlan – vlanlarni ko‗rish Show vlan briefShow interface trunkShow ip arpShow mac-address-tableShow ip interface brief show interface fastEthernet 0/1… – Marshrutizator uchun: Show ip arp- Show dhcp lease- Show ip dhcp pool- Show ip dhcp binding-… 121 6-rasm. Show vlan 17.6-rasmdan Vlanlarda muammo yo‘qligini ko‘rish mumkin. 7-rasm. Show interface trunk 7-rasmdan muammo interfaceda ekanligini ko‗rish mumkin. Vlanlarni trunk portlarga biriktirishda vlan 20 biriktirilmasdan qolib ketgan shuning uchun vlan 20 dagi hostlarda dhcp xizmati ishlamagan. Topilgan muammo quyidagicha bartaraf etiladi: Switch# Switch#conf t Switch(config)#interface fastEthernet 0/9 Switch(config-if)#switchport trunk allowed vlan add 20 Switch(config-if)# Muammo bartaraf etilganligini testlab ko‗rish kerak(17.7-rasm) 122 8-rasm Testlash natijalari Topshiriq: Amaliy ish mavzusi bo'yicha hisobot tayyorlash. Hisobotning mazmuni: - ishning raqami va mavzusi; - Cisco PacketTracerda topologiyasining tasviri; tadqiq qilinayotgan tarmoq - tarmoqdagi IP-manzillarni taqsimlash, ulanish diagrammasi (interfeys raqamlari), shu jumladan modelning tavsifi; - foydalanuvchi nomlari va parollari; - tarmoq elementlarini sozlash ro'yxati; - tarmoq elementlariga kirishga urinishlar natijalari. Nazorat savollari 1. Troubleshooting nima? 2. Troubleshootingning qanday usullar mavjud? 3. ―Yuqoridan pastga usulini tushuntiring? 4. ―Pastdan yuqoriga usulni tushuntiring? 5. ―Taqsimlash va aniqlash usulini tushuntiring? 123 Adabiyotlar ro‘yxati 1. O‗zbеkiston Rеspublikasi Prеzidеntining PF 4947-sonli farmoni ― O‗zbеkiston Rеspublikasini yanada rivojlantirish bo‗yicha harakatlar stratеgiyasi to‗g‗risida‖. 6 (766)-son. 2017 y 7 fеvral. 2. Олифер В.Г., Олифер Н.А. ― Безопасность компьютерных сетей. 2017 г. 3. Роджер А. Гримс ― Взламываем хакера. Часть I. (Учимся у экспертов барьбе с хакерами). 4. Роджер А. Гримс ― Взламываем хакера. Часть II. (Учимся у экспертов барьбе с хакерами). 5. Роджер А. Гримс ― Взламываем хакера. Часть III. (Учимся у экспертов барьбе с хакерами). 6. Зайцев А.П., Шелупанов А.А., Мещеряков Р.В. и др. Технические средства и методы защиты информации: Учебник для вузов / – М.: ООО «Издательство Машиностроение», 2009 – 508 с. 7. Нестеров информации: С. А. Информационная безопасность и защита Учеб.пособие. – СПб.: Изд-во Политехн. ун-та, 2009. – 126 с. 8. Чефранова А.О., Игнатов В.В., Уривский А.В. и др. Технология построения VPN: курс лекций: Учебное пособие.- Москва: Прометей, 2009. -180 с. 9. Шаньгин В. Ф. Защита информации в компьютерных системах и сетях - М: ДМК Пресс, 2012. - 596 с. Internet manbalari 1. http://www.infotecs.ru/solutions/VРN/ 2. http://hostinfo.ru/articles/501/ 3. http://hamachi.ru.softonic.com/ 4. ViPNet Администратор: Руководство администратора 5. ViPNet Координатор: Руководство администратора 6. http://hostinfo.ru/articles/501/ 124

Tarmoq xavfsizligi qo'llanmasi: Konfiguratsiya va nosozliklarni bartaraf etish

Products

Support

Tarmoq xavfsizligi qo'llanmasi: Konfiguratsiya va nosozliklarni bartaraf etish

Add this document to collection(s)

Add this document to saved

Suggest us how to improve StudyLib