Laboratório b Listas de acesso simples e estendidas

Transcrição

1 Laboratório b Listas de acesso simples e estendidas CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

2 Objetivo Situação Neste laboratório, configurar listas de acesso estendido para tráfego entre redes, de hosts para redes e de redes para hosts. Uma empresa de marketing possui dois escritórios. A sede fica em Birmingham (BHM)e a filial, em Gadsden (GAD). O administrador de telecomunicações de ambos os escritórios precisa planejar e implementar listas de controle de acesso para obter maior segurança e melhor desempenho. No escritório de Birmingham, há dois grupos de usuários de rede. Esses grupos são o Administrativo e o de Produção e cada um está localizado em redes separadas. Ambas as redes estão interconectadas por um roteador. O escritório de Gadsden é uma rede stub, que tem somente uma LAN conectada a ela. Etapa 1 Configurações do host e do roteador básico a. Interconecte os roteadores e os hosts conforme mostra o diagrama. Configure todas as opções básicas do roteador, tais como nome de host, ative a senha, acesso Telnet e interfaces do roteador. Use o diagrama e as tabelas anteriores como referência. Observação:O roteador BHM precisa ter duas interfaces Ethernet. b. As configurações em cada roteador devem ser conforme segue abaixo: BHM#show running-config <Output Omitted> hostname BHM enable secret class interface FastEthernet0 ip address interface Serial0 ip address clock rate interface FastEthernet 1 ip address router rip network network line vty 0 4 password cisco login end BHM# GAD#show running-config <Output Omitted> CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

3 hostname GAD enable password class interface FastEthernet0 ip address interface Serial0 ip address router rip Rede line vty 0 4 password cisco login no scheduler allocate end GAD# c. Configure os hosts com as informações apropriadas, usando as informações definidas anteriormente. Antes de aplicar qualquer tipo de lista de acesso, é importante verificar a alcançabilidade entre sistemas. Verifique a alcançabilidade, fazendo ping para todos os sistemas e roteadores de cada sistema. d. Todos os hosts devem ser capazes de fazer ping uns com os outros e com as interfaces de roteador. Caso o ping para algumas interfaces não seja bem sucedido, o problema precisará ser encontrado e corrigido. Sempre verifique as conexões de camada física, pois elas costumam ser a fonte mais comum de problemas de conectividade. Em seguida, verifique as interfaces do roteador. Certifique-se de que elas não estejam desligadas, configuradas inadequadamente ou de que o RIP esteja configurado corretamente. Por fim, lembre-se de que além de endereços IP válidos, os hosts também devem ter gateways padrão especificados. e. Agora que a infra-estrutura está montada, é hora de começar a proteger a internetwork. Etapa 2 Evitar que os usuários de produção acessem a rede Gadsden a. A política da empresa especifica que somente o grupo Administrativo deve ter acesso a Gadsden. O grupo de Produção deve ter acesso restrito à rede. b. Configure uma lista de acesso estendida para permitir que o grupo Administrativo acesse Gadsden. O grupo de produção não deve ter acesso a Gadsden. c. Depois de uma análise cuidadosa, ficou decidido que seria melhor usar uma lista de acesso estendida e aplica-la à interface S0 de saída no roteador BHM. Observação: Lembre-se de que quando a lista de acesso é configurada, cada instrução na lista é processada pelo roteador na ordem em que foi criada. Não é possível reordenar uma lista de acesso, saltar, editar ou excluir instruções de uma lista de acesso numerada. Por esse motivo, pode ser vantajoso criar a lista de acesso em um editor de texto, como o Notepad, e depois colar os comandos no roteador, em vez de digitar tudo diretamente em um roteador. d. Insira o seguinte: BHM#conf terminal Enter configuration commands, one per line. End with CNTL/Z. BHM(config)#access-list 100 deny ip CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

4 e. Esta instrução define uma lista de acesso estendido chamada 100. Ela irá negar acesso IP a qualquer usuário na rede caso ele esteja tentando acessar a rede Apesar de ser possível definir uma lista de acesso menos específica, esta lista de acesso poderia permitir que os usuários de produção acessassem outros locais (se disponíveis), usando a interface S0. f. Lembre-se de que há um deny all implícito em cada lista de acesso. Agora, devemos nos certificar de que o grupo administrativo tenha acesso à rede Gadsden. Apesar de podermos ser mais restritivos, simplesmente liberamos qualquer outro tipo de tráfego. Insira a seguinte instrução: BHM(config)#access-list 100 permit ip any any g. Agora precisamos aplicar a lista de acesso a uma interface. Poderíamos aplicar a lista a qualquer tráfego que chega em direção à interface Fa0/1 da rede de produção. No entanto, se houver uma grande quantidade de tráfego entre a rede administrativa e a rede de produção, o roteador terá que verificar cada pacote. Existe a preocupação de que isso possa gerar uma sobrecarga indesejada no roteador. Portanto, a lista de acesso é aplicada a qualquer tráfego de saída que passe pela interface S0 do roteador BHM. Digite o seguinte: BHM(config)#interface s0 BHM(config-if)#ip access-group 100 out h. Verifique a sintaxe da lista de acesso, com o comando show running-config. O material a seguir lista as instruções válidas que devem estar na configuração. interface Serial0 ip access-group 100 out <Output Omitted> access-list 100 deny ip access-list 100 permit ip any any i. Outro comando útil é show access-lists. O material abaixo é um exemplo de saída. BHM#show access-lists Extended IP access list 100 deny ip permit ip any any j. O comando show access-lists também exibe contadores, indicando quantas vezes a lista foi usada. Não se encontram contadores listados aqui, já que ainda não tentamos verificá-lo. Observação: Use o comando clear access-list counters para reiniciar os contadores da lista de acesso. k. Agora teste a lista de acesso, verificando a alcançabilidade à rede Gadsden pelos hosts da administração e da produção. O host de produção (B) consegue fazer ping no host de Gadsden (D)? CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

5 O host de produção (C) consegue fazer ping no host de Gadsden (D)? O host de administração (A) consegue fazer ping no host de Gadsden (D)? O host de produção (B) consegue fazer ping no host de administração (A)? O host de produção (B) consegue fazer ping na interface serial do roteador Gadsden? l. Os hosts de produção (B) e (C) devem conseguir fazer ping no host de administração (A) e na interface serial do roteador Gadsden. No entanto, eles não devem conseguir fazer ping no host de Gadsden (D). O roteador deve devolver uma mensagem de resposta ao host, afirmando Rede de destino inalcançável. Emita o comando show access-lists. Quantas correspondências existem? Observação: O comando show access-lists exibe o número de correspondências por linha. Portanto o número de correspondências de negação pode parecer estranho, até que se perceba que os pings correspondem à instrução de negação e à de permissão. m. Para ajudar a entender como a lista de acesso está operando, emita periodicamente o comando show access-lists. Etapa 3 Permitir que um usuário de produção acesse a rede Gadsden a. É recebida uma chamada de um usuário do grupo de produção (B). Eles são responsáveis pela troca de certos arquivos entre a rede de produção e a rede Gadsden. A lista de acesso estendida precisa ser alterada para permitir acesso à rede Gadsden, ao mesmo tempo negando acesso a qualquer outra pessoa na rede de produção. b. Configure uma lista de acesso estendida, que permita àquele usuário ter acesso a Gadsden. c. Infelizmente, não é possível reordenar uma lista de acesso, saltar, editar ou excluir instruções de uma lista de acesso numerada. Com listas de acesso numeradas, qualquer tentativa de excluir uma única instrução faz com que toda a lista seja apagada. d. Portanto, a lista de acesso estendida inicial também precisa ser excluída e uma nova precisa ser criada. Para excluir a lista de acesso 100, digite o seguinte: BHM#conf t Enter configuration commands, one per line. End with CNTL/Z. BHM(config)#no access-list 100 Verifique se ela foi excluída, com o comando show access-lists. e. Agora crie uma nova lista de acesso estendida. Sempre filtre do mais específico para o mais genérico. Sendo assim, a primeira linha da lista de acesso deve permitir acesso a um host de produção (B) à rede Gadsden. O restante da lista de acesso deve ser igual à anterior inserida. f. Para filtrar o host de produção (B), a primeira linha da lista de acesso deve ser a seguinte: BHM(config)#access-list 100 permit ip host Portanto, a lista permite ao host de produção (B) ter acesso à rede Gadsden. g. Agora, negue a todos os hosts de produção restantes acesso à rede Gadsden e permita qualquer outra pessoa. Consulte a etapa anterior para saber quais são as duas linhas seguintes de configuração. O comando show access-list exibiria uma saída semelhante ao seguinte: CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

6 BHM#show access-lists extended IP access list 100 permit ip host deny ip permit ip any any BHM# h. Agora teste a lista de acesso, verificando a alcançabilidade à rede Gadsden pelos hosts administrativo e de produção. O host de produção (B) consegue fazer ping no host de Gadsden (D)? O host de produção (C) consegue fazer ping no host de Gadsden (D)? O host de produção (B) não deve conseguir fazer ping no host de Gadsden (D). No entanto, todos os outros hosts de produção (C) não devem conseguir fazer ping no host de Gadsden (D). Novamente, o roteador deve devolver ao host (C) uma mensagem de resposta ao host, afirmando Rede de destino inalcançável. Etapa 4 Permitir que os usuários de Gadsden acessem o servidor de folha de pagamento da administração a. O grupo de administração abriga o servidor de folha de pagamento. Os usuários de Gadsden precisam de acesso por FTP e HTTP ao servidor de folha de pagamento em intervalos regulares para fazer upload e download de relatórios de folha de pagamento. b. Configure uma lista de acesso estendida para permitir que os usuários de Gadsden tenham acesso somente por FTP e HTTP ao servidor de folha de pagamento. Decidiu-se que também se deve permitir a eles acesso ICMP para fazer ping no servidor. Os usuários de Gadsden não devem conseguir fazer ping em qualquer outro host na rede administrativa. c. Como não desejamos ter tráfego desnecessário entre os locais, decidimos configurar uma lista de acesso estendida no roteador Gadsden. d. Previu-se que seria necessário ter acesso EXEC privilegiado ao Gadsden em intervalos regulares. Esse é o motivo pelo qual o acesso Telnet a Gadsden deve ser configurado. Caso contrário seria necessário viajar até Gadsden para realizar a configuração. e. Faça Telnet com o roteador Gadsden a partir do roteador Birmingham e entre no modo ativação. Solucione o problema conforme necessário. Observação: Uma armadilha comum ao se configurar listas de acesso em roteadores remotos é inadvertidamente bloquear-se. Isso não é um problema grave quando o roteador está fisicamente localizado no local. No entanto, trancar-se pode ser um problema grave se o roteador estiver fisicamente localizado em outra localização geográfica. f. Por este motivo, recomenda-se enfaticamente que o comando reload in 30 seja emitido no roteador remoto. O comando faz com que o roteador remoto seja recarregado dentro de 30 minutos a partir da emissão do comando. Assim sendo, se o administrador foi bloqueado, o roteador irá recarregar a configuração anterior, novamente permitindo acesso ao roteador. Use o comando the reload cancel para desativar o recarregamento pendente. g. Configure uma lista de acesso estendida, para permitir acesso por FTP ao servidor de folha de pagamento. A instrução da lista de acesso deve ser semelhante à seguinte: GAD(config)#access-list 110 permit tcp any host eq ftp CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

7 Esta linha irá permitir que qualquer host da rede Gadsden tenha acesso por FTP ao servidor de folha de pagamento pelo endereço O que poderíamos ter definido em vez de usar a palavra-chave any (qualquer)? O que poderíamos ter definido em vez de usar a palavra-chave host? O que poderíamos ter definido em vez de usar a palavra-chave ftp? h. Agora, configure a linha seguinte da lista de acesso, para permitir acesso por HTTP ao servidor de folha de pagamento. A instrução da lista de acesso deve ser semelhante à seguinte: GAD(config)#access-list 110 permit tcp any host eq www Esta linha irá permitir que qualquer host da rede Gadsden tenha acesso por HTTP ao servidor de folha de pagamento pelo endereço O que mais poderíamos ter definido em vez de usar a palavra-chave www? i. Agora, configure a linha seguinte da lista de acesso, para permitir acesso ICMP ao servidor de folha de pagamento. A instrução da lista de acesso deve ser semelhante à seguinte: GAD(config)#access-list 110 permit icmp any host Esta linha irá permitir que qualquer host da rede Gadsden faça ping no servidor de folha de pagamento pelo endereço j. Por fim, nenhum usuário de Gadsden deve conseguir acessar qualquer outro host na rede de administração. Apesar de não ser necessário, não deixa de ser uma boa idéia incluir uma instrução de recusa. A adição da instrução é um bom lembrete e facilita a leitura da lista de acesso. A instrução da lista de acesso deve ser semelhante à seguinte: GAD(config)#access-list 110 deny ip any k. Agora, precisamos aplicar a lista de acesso a uma interface. Para reduzir o tráfego W AN indesejado, decidiu-se aplicar a lista de acesso a qualquer tráfego de saída que passe pela interface S0 dos roteadores Gadsden. Digite o seguinte: GAD(config)#interface s0 GAD(config-if)#ip access-group 110 out l. Agora teste a lista de acesso, verificando a alcançabilidade ao servidor de folha de pagamento por um host Gadsden (D). O host Gadsden (D) consegue fazer ping no servidor de folha de pagamento? O host Gadsden (D) consegue fazer ping no host (A)? CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.

8 O host Gadsden deve conseguir fazer ping somente no servidor de folha de pagamento. O roteador deve retornar a mensagem Rede de destino inalcançável quando tentar fazer ping no host administrativo (D). Etapa 5 Documentar a ACL a. Como parte de todo o gerenciamento de rede, é preciso criar documentação. Usando um arquivo de texto criado para a configuração, adicione comentários extras. O arquivo também deve conter a saída dos comandos show access-lists eshow ip interface. b. O arquivo deve ser salvo com outras documentações de rede. O padrão de nomeação de arquivos deve refletir a função do arquivo e a data de implementação. c. E, assim, este laboratório sobre ACL estendida está concluído. d. Quando terminar, apague a configuração de inicialização nos roteadores, remova e guarde os cabos e o adaptador. E faça logoff e desligue o roteador CCNA 2: Roteadores e Roteamento, Conc. Básicos v Laboratório b Copyright 2003, Cisco Systems, Inc.