Site-to-Site VPN IPSec новая Практическая часть 2013 (Лабораторный практикум)

Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 01Настройка Site-to-Site VPN IPSec с технологией NAT-TПрактическая частьЦель работыВ данной лабораторной работе необходимо настроить Site-to-Site VPN IPSec междудвумя Cisco ASA 5505, обеспечив при этом доступ во внешнюю сеть к http-серверу.Схема лабораторной работыНа данном рисунке приведена схема, которую вы должны исследовать в процессевыполнения лабораторной работы.Рисунок 1 – Схема физической топологии сетиЗадание и порядок выполнения работыЗадание АСамостоятельная работа.1).

Создайте IPSec туннель между двумя Cisco ASA.2). Запустите сниффер на РС2 для изучения передаваемого траффика.3). Запустите http сервер на РС1 для проверки IPSec соединения.4). Настройте шифрование трафика от локальной сети LAN_1 к РС1,расположенной в локальной сети LAN 2.5.

Обеспечьте доступ всех РС к http серверу, расположенному на РС2.6. Оформите отчет.МГТУ им. БауманаКафедра ИУ-62013Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 01Список используемых командТаблица 1 - Команды рабочих станций:СинтаксисОписаниеifconfig <имя интерфейса> <ip адрес>netmask <маска сети> [up/down]Без параметров команда показываетсписок работающих интерфейсовСлужит для настройки параметровинтерфейсаroute add/del [-net|-host] [default] target[gw] [netmask] [[dev] If]Без параметров команда выводит таблицумаршрутизацииСлужит для настройки статическоймаршрутизации./etc/rc.d/<имя сервиса>Служит для запуска программ-демонов вОС linuxlynx <ip/имя>Консольный браузерtcpdump [-XX] [-i интерфейс]Сниффер пакетов.

Без параметровслушает все интерфейсы и показываеттолько заголовки пакетовТаблица 2 - Команды Cisco ASA:СинтаксисОписаниеenВход в привилегированный режимconfigure terminalВход в режим конфигурацииsh <сервис>Просмотр настроекdhcpaddress<интерфейс><пуладресов>Настройка dhcp сервера на интерфейсеint <имя интерфейса>Вход в режим конфигурации интерфейсаnameif <имя>Настройка имени интерфейсаsecurity-level <значение>Настройка параметра защищенности сетиip address <значение> <маска>Настройка адреса интерфейсаswitchport access <имя vlan>Размещение интерфейса в указанной vlanroute <имя интерфейса><маска> <адрес шлюза><сеть>Настройка статической маршрутизацииnat (<интерфейс>) <номер правила><сеть> <маска>Настройка NAT\PAT для замещенияадреса из сети указанного интерфейсаisakmp policy<значение>Выбор метода шифрования<номер>encryptionМГТУ им.

БауманаКафедра ИУ-62013Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 01isakmp policy <номер> hash <значение>Выбор метода хешированияisakmp policy <номер> authentication<значение>Выбор метода аутентификацииisakmppolicy<значение>Выбор группы Диффи-Хелмана<номер>isakmppolicy<значение><номер>grouplifetimeВыбор lifetime соединенияisakmp enable <имя интерфейса>Включение ISAKMP на интерфейсеisakmp identity <значение>Определениесторонaccess-list <имя\номер> [permit\deny]Создание списка доступа для выделениянеобходимого трафика.extended <тип трафика> <источник>методаидентификации<маска> <цель> <маска>ipsec transform-set <имя> <значение>Определение политики шифрованияmap <имя> <номер> match addressВыделения трафика для шифрования<список доступа>map <имя> <номер> set peer <ip>Определение партнераmap <имя> <номер> set transform-setОбъединение настроек шифрования<имя>map <имя> interface <имя>Применение политики на интерфейсеisakmp key <значение> address <ip>Создание preshare ключа для партнера сзаданным ipstatic (inside,outside) <тип протокола>Проброс портов для доступа РС извнеinterface<внешнийназначения><портпорт><адресназначения>netmask 255.255.255.255Задание ВСамостоятельная работа с указаниями пошагового выполнения.1).

Соберите физическую топологию сети, представленную на рисунке 1.2). Выполните базовую настройку оборудования:2.1). Пропишите ip-адреса на всех РС и сетевых устройствах, включив их вМГТУ им. БауманаКафедра ИУ-62013Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 01указанные vlan и прописав статическую маршрутизацию.2.2).

Запустите на РС, с которыми будет проводиться проверка соединения ,http-сервера.2.3).Проверьтесоединениевсехрабочихстанцийссервером,расположенным на РС2.2.4). Изучите передаваемый трафик, запустив на РС2 сниффер.3). Выполните базовую настройку шифрования на ASA.3.1). Настройте isakmp, указав методы шифрования, хеширования,аутентификации, группы Диффи-Хелмана, lifetime соединения и идентификации.3.2). Включите функцию isakmp на внешнем интерфейсе.3.3). Опишите список доступа, который будет выделять http трафик на РС4для шифрования.3.4). Настройте IPSec transform-set.3.5).

Объедините настройки шифрования IPSec и ACL в policy map, указавадрес соседней ASA.3.6). Активируйте policy map на внешнем интерфейсе.3.7). Задайте статичный preshare_ключ для соседней ASA.3.8) Отключите NAT на интерфейсе по умолчанию.3.9) Повторите настройку на соседней ASA.4). Проверка соединения4.1) Проверьте соединение РС4 с РС1 с помощью консольного браузера.4.2) Изучите передаваемый трафик на рутере РС2.4.3) Попробуйте соединиться с РС2.5).Включение NAT\PAT.5.1) Включите NAT на внутрених интерфейсах ASA5.2) Пропишите статические маршруты (port-mapping) для доступа к РС,расположенным во внутренних сетях.5.3) Добавьте внешние адреса ASA в ACL для шифрованного трафика.5.4) Соединитесь с http сервером, расположенным на РС2.5.5) Соединитесь с http сервером, расположенным за ASA.6).

Сбросьте конфигурацию.МГТУ им. БауманаКафедра ИУ-62013Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 01Задание С Самостоятельная работа пошагового выполнения задания В с ключевымиуказаниями преподавателя.Контрольные вопросы:1.Что такое VPN?2.Какие технологии создания VPN существуют?3.Что такое IPSec?4.В чем его преимущество перед другими протоколами?5.Назовите основные режимы работы IPSec.6.Почему IPSec в чистом виде не совместим с технологией NAT?7.Опишите процедуру создания IPSec туннеля между двумя межсетевымиэкранами.8.Как возможно использовать IPSec вместе с NAT?9.Что такое lifetime соединения IPSec?10.Что такое ISAKMP?Требования к оформлению лабораторной работыОтчет студента по проделанной работе оформляется в электронном и печатном видеи должен содержать:1) титульный лист по принятой форме с название работы, ФИО студента,2) цель работы, топологию сети с обозначением всех сконфигурированных портов иинтерфейсов,3) последовательность пошагового выполнения всех действий в соответствии сзаданием В, а именно: листинги команд с комментариями, скриншоты выполнения команд,4) анализ и выводы по работе,5) ответы на контрольные вопросы.Литература, источники1.

James Boney, Cisco IOS in a Nutshell, O`Reilly, 20102. Wendell Odom, Interconnecting Networking Devices Cisco, Part 2, Cisco Press, 2010МГТУ им. БауманаКафедра ИУ-62013Сурков Л.В.Корпоративные сетиЛабораторный практикум«Настройка Site-to-Site VPN IPSec с технологией NAT-T» Rev. 013. ru.wikipedia.org/wiki4. www.archlinux.org/5. www.linuxguide.it/command_line/linux_commands_ru.htmlМГТУ им.

БауманаКафедра ИУ-62013.