NATчасть_2 новая Практическая часть 2013 (Лабораторный практикум)

Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка NAT/PAT на пограничном Сisco ASA» Rev. 021Настройка NAT/PAT на пограничном Сisco ASAПрактическая частьЦель работыИзучение технологии NAT/PAT инфраструктуры открытых ключей PKI и получениенавыков настройки NAT/PAT на пограничных устройствах Cisco ASA, обеспечив доступво внешнюю сеть к http-серверу.Схема лабораторной работыНа рисунке показана схема, которую вы должны будете исследовать в процессевыполнения лабораторной работы.Задание и порядок выполнения работыЗадание АСамостоятельная работа.1) Соберите физическую схему сети, представленную на рисунке.2) Выполните базовую настройку оборудования сети.

Запустите http сервера накомпьютерах для проверки соединений.3) Настройте Dynamic PAT на ASA #2 и проверьте его работу.4) Выполните проброс портов для одной из РС в сети за ASA #2.5) Настройте NAT с пулом адресов на ASA #1 и проверьте его работу.6) Настройте identity NAT на ASA #1 и проверьте его работу.7) Настройте статическую маршрутизацию для одной из РС за ASA #1.8) Сделайте выводы по исследованной вами работе.Список используемых командТаблица 1 - Команды Arch Linux рабочих станцийСинтаксисОписаниеifconfig <имя интерфейса> <ip адрес> Без параметров команда показывает списокработающих интерфейсовnetmask <маска сети> [up/down]Служитдлянастройкипараметровинтерфейсаroute add/del [-net|-host] [default] target [gw] Без параметров команда выводит таблицуМГТУ им.

БауманаКафедра ИУ-620131Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка NAT/PAT на пограничном Сisco ASA» Rev. 02маршрутизацииСлужитдлянастройкимаршрутизации.[netmask] [[dev] If]2статической/etc/rc.d/<имя сервиса>Служит для запуска программ-демонов вОС linuxlynx <ip/имя>Консольный браузерtcpdump [-XX] [-i интерфейс]Сниффер пакетов.

Без параметров слушаетвсе интерфейсы и показывает толькозаголовки пакетовТаблица 2 - Команды Cisco ASAСинтаксисОписаниеenВход в привилегированный режимconfigure terminalВход в режим конфигурацииsh <сервис>Просмотр настроекdhcp address <пул адресов> <интерфейс> Настройка dhcp сервера на интерфейсеint <имя интерфейса>Вход в режим конфигурации интерфейсаnameif <имя>Настройка имени интерфейсаsecurity-level <значение>Настройка параметра защищенности сетиip address <значение> <маска>Настройка адреса интерфейсаswitchport access <имя vlan>Размещение интерфейса в указанной vlanroute <имя интерфейса> <сеть> <маска> Настройка статической маршрутизации<адрес шлюза>nat (<интерфейс>)<сеть> <маска><номерправила> Настройка NAT\PAT для замещения адресаиз сети указанного интерфейсаaccess-list<имя\номер>[permit\deny] Создание списка доступа для выделенияextended <тип трафика> <источник> необходимого трафика.<маска> <цель> <маска>static (inside,outside) <тип трафика> Создание статичного маршрута.

Здесь<внешний ip> <порт> <внутренний ip> (inside,outside) указывает направлениетрафика. Всегда проверяйте созданный<порт> netmask <маска>статический маршрут после его описания.access-group <имя ACL> <in/out> interface Применение ACL на интерфейсе.<имя>global (<имя>) <номер> <пул адресов>Определяет пул внешних адресов навнешнем интерфейсе.

Номер 0 для IdentityNAT. Остальные – для обычного. Строкаinterface в поле пула адресов означаетзамену внутренних адресов на адресвнешнего интерфейса с применением PAT.sh xlate detailПросмотр соответствий адресов.МГТУ им. БауманаКафедра ИУ-620132Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка NAT/PAT на пограничном Сisco ASA» Rev. 023Очистка созданных соответствийclear xlateЗадание В Самостоятельная работа с указаниями пошагового выполнения.1) Соберите физическую схему сети, изображенную на рисунке.2) Выполните базовую настройку оборудования:2.1) Пропишите ip-адреса на всех РС и сетевых устройствах, включив их вуказанные vlan и прописав статическую маршрутизацию.2.2) Запустите на РС, с которыми будет проводиться проверка соединения ,http-сервера.2.3) Проверьте соединение всех рабочих станций с сервером,расположенным на роутере.2.4) Изучите передаваемый трафик, запустив сниффер на роутере.3) Настройте Dynamic PAT на ASA #2 и проверьте его работу.3.1) Отключите стандартную трансляцию адресов nat3.2) Укажите внутреннюю сеть 172.27.20.0/24 в качестве внутренней длятрансляции адресов nat3.3) Соединитесь с роутером с рабочих станций, расположенных внутрисети.3.4) Изучите передаваемые заголовки при помощи сниффера.4) Выполните проброс портов для одной из РС в сети за ASA #24.1) Настройте проброс портов для одной из РС внутри сети для http трафика.4.2) Соединитесь с этой РС с маршрутизатора.5) Настройте NAT с пулом адресов на ASA #1 и проверьте его работу.5.1) Отключите PAT на внешнем интерфейсе (трансляцию внутреннихадресов в один глобальный адрес).5.2) Опишите пул из двух адресов на внешнем интерфейсе.5.3) Настройте список доступа, разрешающий ICMP трафик во внутреннююсеть извне и примените его на внешнем интерфейсе.5.4) Пропингуйте роутер с трёх РС.

Проанализируйте результаты.5.5) Пропингуйте одну из внутренних РС с роутера, используя IP, которыйобнаружен с помощью tcpdump.5.6) Отключите стандартное определение NAT за внешним интерфейсом.6) Настройте identity NAT на ASA #1 и проверьте его работу.6.1) Настройте Identity NAT для внутренней сети (это nat, у которого номерправила - 0).6.2) Попробуйте снова пропинговать сначала роутер, а затем внутреннюю РСпо обратному адресу. Сделайте выводы.6.3) Снова верните прежние настройки NAT.7) Настройте статическую маршрутизацию для одной из РС за ASA #1.7.1) Очистите таблицу соответствия адресов.7.2) Настройте статический маршрут на одну из внутренних РС.7.3) Пропингуйте РС с роутера.7.4) Сбросьте настройки ASA Cisco.8) Сделайте выводы по исследованной вами работе.Задание С Самостоятельная работа пошагового выполнения задания В с ключевымиуказаниями преподавателя.Требования к оформлению лабораторной работыОтчет студента по проделанной работе оформляется в электронном и печатном виде идолжен содержать:МГТУ им.

БауманаКафедра ИУ-620133Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка NAT/PAT на пограничном Сisco ASA» Rev. 0241) титульный лист по принятой форме с название работы, ФИО студента,2) цель работы, схему сети с обозначением всех сконфигурированных портов иинтерфейсов,3) последовательность выполнения всех действий, а именно: введенные команды, листинги команд с соответствующими комментариями, скриншоты по каждому действию,4) анализ и выводы по работе,5) ответы на контрольные вопросы.Контрольные вопросы1.

Опишите принцип работы NAT.2. Опишите принцип работы PAT.3. В каких случаях используется технология трансляции адресов?4. Почему в пункте 5.8 не удалось пропинговать РС по обратному адресу?5. Что такое технология Identity NAT?6. В каких случаях используется статическая трансляция адресов?7. Как технология PAT использует несколько внешних адресов?8. Почему для возможности передачи ICMP трафика понадобился список доступа?9.

В каких случаях используется проброс портов (port-mapping)?10. Какая трансляция адресов была задана в Cisco ASA по умолчанию?Литература, источники1. James Boney, Cisco IOS in a Nutshell, O`Reilly, 20102. David Hucaby, Cisco ASA, PIX, and FWSM firewall handbook, Cisco Press, 20083. http://www.cisco.com/go/asa4. ru.wikipedia.org/wiki5. www.archlinux.org/6. www.linuxguide.it/command_line/linux_commands_ru.htmlМГТУ им.

БауманаКафедра ИУ-620134.