Index. Indledning/formål...2 Hardware...3. Cisco 2501 Router... 3 Routerens interfaces...3

Transkript

1 Index Indledning/formål...2 Hardware...3 Cisco 2501 Router... 3 Routerens interfaces...3 N-port server, Moxa DE Cisco Catalyst switch... 5 KT-10T, Ethernet 10Base-T, transciever... 6 Commandoer til konfigurationer...8 Password recovery... 8 Anvendelse af CLI til Cisco IOS, til opsætning af interfaces til netværket til vores LAB Access via Consol-port/Telnet Opsætning at interfacene Access lister Standard ACL:...14 Extended ACL:...14 Named ACL...15 Check af ACL s...15 Andre brugbare kommandoer...16 Adgang fra LAB til Internettet...17 Konklusion...18

2 Side 2 af 18 Dato: Indledning/formål I denne øvelse har det gået ud på at konfigurerer en Cisco 2501 router, og prøve at sætte interfacene op i den, til forskellige netværk, og lave forskellige access lister (ACL) Formålet med denne opgave/rapport er at prøvet at konfigurer en router på en lidt anderledes måde end man er ved at være vant til at man gør, med f.eks. web-interface, som de fleste nye routere bliver leveret med i dag. Så derfor en god idé, at prøve at gøre det på en lidt anden måde. Endvidere skulle vi så lave en rapport over opgaven. Klassen blev det så der var folk på alle 5 routere, de var så forbundet til en N-port server, Moxa DE- 308 og en Switch, Cisco Catalyst 1900, men jeg vil vende tilbage til hardwaren, og hvordan det er forbundet senere. Hele skabet og alt hardwaren i det, var forbundet, så vi kun skulle koncentrere os om, at konfigurer Routeren.

3 Side 3 af 18 Dato: Hardware Selvom det er Cisco 2501 routeren vi koncentreret os om i denne opgave, vil jeg alligevel komme kort ind på den andre stykker hardware der har været i brug i denne øvelse. Cisco 2501 Router Cisco 2500 routere bliver leveret med Flash EPROM teknologi for at forenkle software vedligeholdelse. Disse systemer, understøtter en stor del af Cisco Internetworking Operating System (IOS) karakteristiske set, så man kan vælge set der understøtter ens specifikke protokol miljø. Cisco 25xx serien består af minimum 8 MB Flash memory, derudover indeholder den også DRAM, hvor mange, afhænger af hvilket Cisco IOS der bruges (da jeg ikke ved / har fundet ud af hvilket IOS der er i de routere vi har arbejdet med, kan jeg ikke lige fortælle hvor mange DRAM der i vores Cisco 2501). Processoren, der sidder i routeren er en 20 MHz 68030, og hvad jeg har kunnet finde ud af blev den brugt fra 1988 (September) til 1995 (november). Herunder en illustration af routeren, set fra bagsiden, da det er det der mest interessant i denne sammenhæng. Routerens interfaces Fra venstre mod højre er der først en AUI-tilgang (DB-15), hvor der sættes (i vores tilfælde) en transciever (KT-10T) til som er forbundet ned til switchen, og det er den fordi der skal være signal på hele tiden, ellers virker routeren ikke, men det er også i AUI man sætter sin PC til hvis man skal konfigurer routeren direkte. Dernæst er der to Serielle stik (DB-60), som bruges til at connecte to routere til hinanden, dette gøres med et DB-60 cross-over kabel, med DB-60 stik i begge ender: DB60 kabel:

4 Side 4 af 18 Dato: Forbindelse Seriel Seriel: Jeg vil ikke komme nærmere ind på seriel-stikkene, men det er en måde, hvormed man kan forbinde routerne direkte. Efter seriel stikkene er der to RJ-45 stik, hvor den ene er forbundet til switchen og den er forbundet til N-port serveren. Så er der en power on/off-knap, og til sidst power-suply. N-port server, Moxa DE-308 N-port serveren er der for at agere RS232-port, de RJ45 indgange der er i den, vil Windows (og Linux) se som RS232 porte. Her er afbildning af front og bagside af N-port serveren: Front-view Dette er en illustration af DE-303, så på DE-308, som vi brugte, er der kun 8 porte.

5 Side 5 af 18 Dato: Back-view Det er til RJ45 serielle portene, at vores Cisco 2501 router er forbundet, og som så udgør det for RS232 interface for Windows. Og det er så den port routeren fysisk er forbundet til der fortæller os hvilket port-nr, vi skal bruge når vi skal snakke med vores router, vores router, Router C, er forbundet til port 3, så når vi skulle Telnette routeren gjorde vi det med den IP, som N-Port serveren har, og så port-nr; :4003. Det er via 10/100Base Tx Ethernet porten, vi får kontakt til vores router, da den er forbundet til vores lokalnet, via en switch, ikke den switch der sidder i skabet, men den som vi normalt bruger i klassen. Cisco Catalyst switch Det eneste switchen er brugt til her er, at sørge for øvelsen kan virke, dvs. routerne er forbundet fra DB-15 stikket ned til switchen, og det er gjort for at der skal være et signal ind på DB-15 på routeren for at det vil virke. Her et billede af switchen: Dette er en illustration af DE-303, så på DE-308, som vi brugte, er der kun 8 porte. Dette er en 24 ports switch vi har haft til rådighed, Cisco Catalyst 1900, fås også i en 12 ports version.

6 Side 6 af 18 Dato: KT-10T, Ethernet 10Base-T, transciever Denne transciever er en AUI til UTP adapter, der gør at vi kan forbinde et UTP-kabel til AUIforbindelsen på routeren, og den er enten forbundet til switchen som tidligere nævnt, eller hvis vi skal konfigurerer routeren direkte tilsluttes Pc en direkte transcieveren. Her et billede af hvordan den ser ud: Næste side, et billede af hele opsætningen:

7 Side 7 af 18 Dato: Hele opsætningen: Cisco 2501 Routere KT-10T, Ethernet 10Base-T, Transciever Cisco Catalyst 1900 Switch N-port server, Moxa DE-308 Cisco 2501 Routere KT-10T, Ethernet 10Base-T, Transciever

8 Side 8 af 18 Dato: Commandoer til konfigurationer Password recovery Password recovery bruges, hvis man ikke kan huske password til routeren, eller vedkommende der har bestemt password, ikke er tilgængelig (f.eks. holdt i firmaet og ikke har skrevet det ned). For at lave en Password recovery eller cold boot, kræver det at man har tilsluttet sin PC direkte til routeren, igennem KT-10T transcieveren ved DB-15 indgangen på routeren, ellers vil det ikke virke, da man ikke kan gøre det over netværket, dernæst følges denne procedure: 1. Sluk (hvis den er tændt) og tænd så routeren igen. 2. Tryk CTRL + Break - keys, inden der er gået 60 sekunder. 3. Indtast nu o? Enter ved < prompten, og notér værdien af configurations registeret (som regel 0x2102, eller 0x102): >o!--- Shows the configuration register option settings Configuration register = 0x2102 at last boot Bit# Configuration register option settings: 15 Diagnostic mode disabled. 4. Dernæst indtastes en config register kode, som er; o/r 0x2142? Enter, denne kode betyder: Boot System from Flash Consol Baud Rate, 9600 Ignore Configuration in Startup Disable the Break key Boot Rom if Netboot 5. Derefter taste i, hvilket gør at routeren rebooter, men ignorer dets gemte konfiguration. 6. Så taster man n eller no (det er åbenbart lige meget, alt efter hvor man kigger på nettet) efter hvert setup-spørgsmål, eller også kan man trykke CTRL + C for at springe over setup-proceduren. 7. Tast enable ved Router> prompt, så kommer man i enable mode, og vil se Router# prompt.

9 Side 9 af 18 Dato: Derefter indtastes, configure memory eller copy startup-config runningconfig for at kopiere NVRAM en til hukommelsen. Man skal ikke indtaste write memory eller copy running startup-config 9. Derefter tastes write terminal eller show running-config write terminal og show running-config kommandoerne viser konfigurationen af routeren. I denne konfiguration vil man under alle interfacene se shutdown kommandoen, som betyder at alle interfacene er lukket ned for øjeblikket, Samtidig kan man se Passwordet enten krypteret eller i ikke krypteret format. 10. Indtast nu configure terminal og lav ændringerne. Prompten er nu: Hostname(config)# Hostname vil enten vise Router eller det navn man har givet routeren man vil senere se at vi har givet vores router navnet Gruppe Indtast nu enable secret <password> 12. Afslut no shutdown kommandoen for hvert interface der er i brug. Hvis man får udsendt et show ip interface brief kommando efter man har forladt configuration mode, skulle hvert interface som man vil bruge være up up 13. Indtast nu config register kode, som er; o/r 0x2102? Enter, eller værdien som man har noteret i punkt 3. Dette vil få routeren til at loade Cisco IOS softwaren fra Flashen med konfigurationen fra NVRAM ved næste reload. Ox2102 koden betyder: Boot System from Flash Disable the Break key Boot Rom if Network fails 14. Tryk nu CTRL + z for at forlade konfigurations-mode Prompten er nu: Hostname# 15. Indtast nu write memory eller copy running-config startup-config for at gemme ændringerne. 16. Til sidst indtast nu reload for at genstarte routeren med Cisco IOS softwaren, som så boote fra Flashen.

10 Side 10 af 18 Dato: Jeg vil lige tilføje her, ang. Password Recovery, at da jeg ikke har fået det testet, skal jeg ikke kunne sige om denne metode virker, grunden til at jeg skriver det, er at vi har fået udleveret to forskellige måder at gøre det, og denne måde, som her har beskrevet har jeg fundet på nettet, og der fandt jeg også to tre andre måder at gøre det på. Anvendelse af CLI til Cisco IOS, til opsætning af interfaces til netværket til vores LAB Jeg vil først her vise en oversigt over vores Router LAB Topologi: Den router som jeg/vi arbejde med var Router C, og de interfaces der skal sættes op Serial 0 s0, Serial 1 s1 og Ethernet 0 e0. CLI: Command Line Interface Cisco IOS: Cisco Internetworking Operating System

11 Side 11 af 18 Dato: Access via Consol-port/Telnet Men først skal vi i kontakt med routeren, og til det brugte vi Telnet til (hyperterminalen), med IPadresse som er den IP som er blevet tildelt N-port serveren. Og så port nummeret som er 4003, port-nummeret hænger, som tidligere nævnt, sammen med hvilken port routeren fysisk er forbundet til på N-port serveren. Så dvs. at opsætninger kommer til at se sådan ud i hyperterminalen: Når den så er ved at connecte, vil man se dette, i toppen af terminal vinduet: Her kan man så se hvordan man er forbundet til routeren, og der hvor der står Gruppe3-4 vil der stå Router hvis man ikke har navngivet sin router. Derefter vil man blive bedt om password for at logge ind på routeren:

12 Side 12 af 18 Dato: Første pass er (ligesom det er default vi har ikke ændret det) cisco. Så vil prompten vise Gruppe3-4>, kaldet User EXEC level her kan man se mange ting, men kan ikke konfigurerer noget. Vil man så ind og konfigurer med det samme og det vil man jo her, da vi skal have sat routeren op til netværket skrives enable for at komme i Privileged EXEC level, og så bliver man så bedt om andet pass, som igen er default, class, og så er prompten Gruppe3-4#. Så er vi klar til at konfigurerer routeren. Opsætning at interfacene Opsætning af Serial 0: Som man kan se, indtastes der ved prompt, Gruppe3-4# config, for at komme i konfigurations tilstand, og så indtaster man int s0 for at komme til det interface man vil sætte op. Dernæst indtaster man ip-adresse og subnetmaske, som vist. IP adressen er valgt ud fra det net den er tilsluttet, her er det net , og så har vi valgt, for at gøre det nemt for alle grupper, at s0 skal hedde 1 og s1 skal hedde 2. Så skal man fortælle hvilken Clock rate, interfacet kører, og det er kun Serial 0, man skal det, da de andre retter sig ind efter den. Og vi kører en clock rate Og til giver man med kommandoen no shutdown besked om at, router skal tage de nye indstillinger i brug uden at genstarte. Dernæst er det Serial 1, der skal sættes op, og det er stort set samme måde, med undtagelse af at, her skal som nævnt ikke sættes Clock Rate op:

13 Side 13 af 18 Dato: Men for at forklaringerne ikke skal være helt ens, vil jeg her fortælle, hvad man gør efter indtastningen af no shutdown, fordi vi jo skal ud af (config-if) mode, og det gøre ved, som man også får at vide ved indgangen til config, med kommandoen CTRL + z, og så står man ved prompt Gruppe3-4#, og vil man helt ud af Priveliged-mode, indtastes disable. Opsætningen af Ethernet 0 op, foregår på samme måde som Serial 1: Access lister Access-lister (ACL) bruges til at give klient-maskinerne på netværket, forskellige rettigheder på nettet/netværket. Dvs. om hvilke porte / ip-adresser, klienterne må bruger eller ikke bruge. Der findes flere forskellige slags ACL, inden for TCP/IP findes der tre standarder 1 99: IP Standard ACL : IP Extended ACL Named ACL (det er dem jeg vil forklarer om her) og så er der 6 andre standarder:

14 Side 14 af 18 Dato: : AppleTalk ACL : IPX Standard ACL : IPX Extended ACL : IPX SAP ACL : 48-bit MAC adr. ACL : Extended 48-bit MAC adr. ACL (Disse access-lister vil jeg slet ikke komme ind på her.) Standard ACL: Det er den mest simple form for access liste, hvor man simpelthen giver et givent net ret til, eller ikke ret, til noget. Eksemplet herunder vil virke som et spoofingfilter, som vil tillader at alle de IP adresser der er end de nævnte i at tilgå interfacet indgående. Denne access-liste har vi givet navnet 5. Jeg vil her tillade mig at skrive af, fra udleveret materiale om hvordan standard ACL, fungerer, som en lille efter vejledning: Trigges udelukkende af source adr. Permit / deny Implicit sluttes altid med deny any Der bruges wildcard masks til at maske net ud ( omvendt subnetmaske ): Eks Masker ud Access-lister laves i (config)#mode Extended ACL: Denne form for access-liste er noget mere avanceret, da man her kan sætte flere betingelser op i den samme ACL. Her i eksemplet tillader nettet at Telnette til , lave DNS forespørgsler og køre webtrafik. Der er spærret for ALT anden trafik. Her har vi givet ACL navnet 110.

15 Side 15 af 18 Dato: Og igen tillader jeg mig at skrive af fra materialet: Mere finmasket access-control Kan sortere på Source/destination Source-port(e) v. tcp / udp Destination-port(e) v. tcp/udp Tcp/udp/IP Named ACL Den sidste form for access-liste man kan lave, kan bruges både i standard og i extended ACL, da man her i stedet for at nummerer sine access-lister navn-giver dem: Her i eksemplet ovenover, har vi givet ACL, navnet spoofingfilter, og man kan sige at det da gør arbejdet for administratoren noget nemmere da han ikke skal hen og slå de forskellige ACL op for at se hvilket nummer der gør hvad, men bare kan kalde sin ACL ved navn. Check af ACL s Man kan derudover, når man har fået lavet sine access-lister, få dem vist, hvis f.eks. man er i tvivl om hvilke net man har fået dem tilknyttet, eller man bare tjekke op på dem, og der er kommandoen show (ip) access-lists

16 Side 16 af 18 Dato: show running men så får man vist hele listen af konfigurationen, med interface osv. Her bliver kun vist det der har med access-lister at gøre. Her er også noget man får vist i running-kommandoen, det er info om Serial 0, med IP, accessgroup osv. Andre brugbare kommandoer Derudover er der et par andre kommandoer jeg lige vil hive frem: Vil man nu have vist alle interfaces på én gang, skal der skrives show interfaces.

17 Side 17 af 18 Dato: Og her bliver alle så vist på én gang. Adgang fra LAB til Internettet For at vores LAB skal få adgang til det store net, Internettet, kræver det selvfølgelig en forbindelse ud af huset, men lad os antage at den er der. Så sættes én router til at være den første, og den tilsluttes så fra Eth0 til net-stikket som f.eks. TDC har sat op, og derefter tilsluttes de andre så til den router, f.eks. igennem en switch, og derefter kan man så sætte access-listene op, i den første router for de efterfølgende. Endvidere skal man sætte nr 1 router op med de oplysninger man har fået fra sin ISP, så som IP, gateway, subnetmaske osv.

18 Side 18 af 18 Dato: Konklusion En meget mere omfattende opgave end jeg lige havde regnet, da vi fik den udleveret. Der mange ting at tænke på, når man skal forklare hvordan denne opsætning fungerer. Jeg må sige at da man først kom i gang, og fik sig sat ind i hvordan access-lister og de andre ting vi skulle arbejde med i opgaven, var det ret en ret spændene opgave. Det der med at styre andre ting over nettet er jo altid sjovt, hvis man kan bruge det ord. Her bagefter kan jeg godt ærgre mig lidt over at man ikke nåede at, afprøve access-listerne i praksis. Nu har man jo kunnet indtaste dem, så havde det jo været spændene og se om de nu også virkede. Jeg vil da helt klart konkludere at, det var en god øvelse, da de routere som jeg ellers har prøvet at sætte op har været med web-interface, og det er jo noget nemmere end at gøre det på denne måde vi gjorde her. Nu stod der jo i opgave beskrivelsen at, det skulle laves som håndbog, så ikke-indviede skulle kunne bruge den til at konfigurerer efter, det ved jeg ikke om det er lykkes. Derudover håber jeg at jeg har fået alt med. Men det er godt med noget rapport skrivning, bare en skam at det først er her sidst på året at vi får dem, man burde starte noget før på semesteret (ved ikke om det er det forkerte sted at skrive det).