WorldSkills. Модуль C — М.В.Поликарпочкин

Содержание

Данное конкурсное задание состоит из следующих документов\файлов:

RC2021_TP39_ABC_001

ВВЕДЕНИЕ

Знание сетевых технологий на сегодняшний день становится незаменимым для тех, кто хочет построить успешную карьеру в области ИТ. Данное конкурсное задание содержит множество задач, основанных на опыте реальной эксплуатации информационных систем, в основном интеграции и аутсорсинге. Если вы можете выполнить задание с высоким результатом, то вы точно сможете обслуживать информационную инфраструктуру большого предприятия.

ОПИСАНИЕ КОНКУРСНОГО ЗАДАНИЯ

Данное конкурсное задание разработано с учетом различных сетевых технологий, соответствующих уровням сертификации CCNA R\S Задание разбито на следующие секции:

Базовая настройка
Настройка коммутации
Настройка подключений к глобальным сетям
Настройка маршрутизации
Настройка служб
Настройка механизмов безопасности
Настройка параметров мониторинга и резервного копирования
Конфигурация виртуальных частных сетей

Все секции являются независимыми друг от друга, но вместе образуют достаточно сложную сетевую инфраструктуру. Некоторые задания достаточно просты и понятны, некоторые могут быть неочевидными. Можно заметить, что некоторые технологии должны работать в связке или поверх других технологий. Например, может подразумеваться, что IPv6 маршрутизация должна работать поверх настроенной виртуальной частной сети, которая, в свою очередь, должна работать поверх IPv4 маршрутизации, которая, в свою очередь, должна работать поверх PPPoE и Multilink и т.д. Очень важно понимать, что если вам не удается решить какую-либо из задач по середине такого технологического стека, это не значит, что решенные задачи не будут оценены. Например, если вы не можете настроить динамическую маршрутизацию IPv4, которая необходима для работы виртуальной частной сети, вы можете использовать статическую маршрутизацию и продолжать работу над настройкой виртуальной частной сети и всем что должно работать поверх нее. В этом случае вы не получите баллы за динамическую маршрутизацию, но вы получите баллы за всё что должно работать поверх нее (в случае если функциональные тесты пройдены успешно).

ИНСТРУКЦИИ ДЛЯ УЧАСТНИКА

В первую очередь необходимо прочитать задание полностью и составить алгоритм выполнения работы. Вам предстоит вносить изменения в действующую, преднастроенную сетевую инфраструктуру предприятия, состоящую из головного офиса HQ и удаленного офиса BR1. Офисы имеют связь через провайдеров ISP1 и ISP2. Вы не имеете доступа к оборудованию провайдеров, оно полностью настроено и не требует дополнительного конфигурирования. Вам необходимо настраивать оборудование предприятия, а именно: SW1, SW2, SW3, HQ1, FW1 и BR1.

У вас отсутствует консольный доступ к устройствам, будьте очень внимательны при выполнении задания! В случае потери связи с оборудованием, вы будете виноваты сами. Разрешается перезагрузка оборудования – только техническими экспертами. Например, применили неправильный ACL, который закрыл доступ по telnet, но вы не успели сохранить конфигурацию.

Руководствуйтесь пословицей: Семь раз отмерь, один раз отрежь. Для выполнения задания у вас есть одна физическая машина (PC1 с доступом по Telnet и установленным ASDM), которую вы должны использовать в качестве:

PC2 Виртуальный ПК, Windows 10, Putty. Пользователь User пароль P@ssw0rd

SRV1 Виртуальный ПК, Debian пользователь root пароль toor, с предустановленными сервисами

1) SysLog папка для проверки /Cisco_Log

2) RADIUS — FreeRadius

3) SNMP – для проверки используется пакет Net-SNMP используйте команду snmp_test

4) NTP

5) TFTP папка для проверки /Cisco_TFTP

Следует обратить внимание, что задание составлено не в хронологическом порядке. Некоторые секции могут потребовать действий из других секций, которые изложены ниже. Например, задание 3 в секции «Настройка служб» предписывает вам настроить службу протокола автоматической конфигурации хостов, которая, разумеется, не будет работать пока не будут выполнены необходимые настройки в секции «Конфигурация коммутации». На вас возлагается ответственность за распределение своего рабочего времени.

Не тратьте время, если у вас возникли проблемы с некоторыми заданиями. Вы можете использовать временные решения (если у вас есть зависимости в технологическом стеке) и продолжить выполнение других задач. Рекомендуется тщательно проверять результаты своей работы.

Убедитесь в том, что ваши настройки на всех устройствах функционируют после перезагрузки всего оборудования.

ПОДКЛЮЧЕНИЕ К УСТРОЙСТВАМ

Для подключения к FW1 используете учетную запись с логином: cisco и паролем: cisco, для входа в привилегированный режим используйте пароль cisco. Для подключения к остальным сетевым устройствам используйте пароль: cisco и пароль для привилегированного режима: cisco

Базовая настройка
Задайте имя всех устройств в соответствии с топологией.
Назначьте для всех устройств доменное имя worldskills.ru
Создайте на всех устройствах пользователей wsruser с паролем network
- Пароль пользователя должен храниться в конфигурации в виде результата хэш-функции.
- Пользователь должен обладать максимальным уровнем привилегий.
На всех устройствах установите пароль wsr на вход в привилегированный режим.
- Пароль должен храниться в конфигурации в виде результата хэш-функции.
Настройте режим, при котором все пароли в конфигурации хранятся в зашифрованном виде. На FW1 используйте шифрование AES.
Для всех устройств реализуйте модель AAA.
- Аутентификация на линиях виртуальных терминалов с 0 по 15 должна производиться с использованием локальной базы учётных записей. (кроме маршрутизатора HQ1)
- После успешной аутентификации при удаленном подключении пользователи сразу должен получать права, соответствующие их уровню привилегий или роли (кроме межсетевого экрана FW1).
- Настройте необходимость аутентификации на локальной консоли.
- При успешной аутентификации на локальной консоли пользователи должны сразу должен получать права, соответствующие их уровню привилегий или роли.
На устройствах, к которым разрешен доступ, в соответствии с топологиями L2 и L3, создайте виртуальные интерфейсы, подынтерфейсы и интерфейсы типа петля, назначьте IP-адреса.
На маршрутизаторе HQ1 на виртуальных терминальных линиях с 0 по 15 настройте аутентификацию с использованием RADIUS-сервера.
- Используйте на линиях vty с 0 по 15 отдельный список методов с названием method_man
- Порядок аутентификации:
- Локальная
- RADIUS
- Используйте общий ключ cisco
- Используйте номера портов 1812 и 1813 для аутентификации и учета соответственно
- Адрес RADIUS-сервера 172.16.20.20
- Настройте авторизацию при успешной аутентификации
- Проверьте аутентификацию по протоколу RADIUS при удаленном подключении к маршрутизатору HQ1, используя учетную запись radius с паролем cisco
Все устройства должны быть доступны для управления по протоколу SSH версии 2.

Настройка коммутации
Создайте таблицу VLAN:
VLAN1000 с именем MGT.
VLAN1200 с именем DATA.
VLAN1300 с именем OFFICE.
VLAN1500 с именем NATIVE.
VLAN1600 с именем SHUTDOWN.

Отключите протокол VTP явным образом
Между всеми коммутаторами настройте транки с использованием протокола IEEE 802.1q.
Порты F0/10 коммутаторов SW2 и SW3, а также порт F0/1 коммутатора SW1 должны работать без использования согласования. Отключите протокол DTP явным образом.
Транк между коммутаторами SW2 и SW3 должен быть настроен без использования согласования. Отключите протокол DTP явным образом.
Транки между коммутаторами SW1 и SW2, а также между SW1 и SW3, должны быть согласованы по DTP, коммутатор SW1 должен инициировать создание транка, а коммутаторы SW2 и SW3 должны ожидать начала согласования параметров от соседа, но сами не инициировать согласование.
Для всех магистральных каналов назначьте native vlan 500.
Запретите пересылку по магистральным каналам все неиспользуемые VLAN, в том числе VLAN1
Настройте агрегирование каналов связи между коммутаторами.
Номера портовых групп:

1 – между коммутаторами SW1 (F0/5-6) и SW2 (F0/5-6);

2 – между коммутаторами SW1 (F0/3-4) и SW3 (F0/3-4);

Агрегированный канал между SW1 и SW2 должен быть организован с использованием протокола согласования LACP. SW1 должен быть настроен в активном режиме, SW2 в пассивном.
Агрегированный канал между SW1 и SW3 должен быть организован с использованием протокола согласования PAgP. SW1 должен быть настроен в предпочтительном, SW3 в автоматическом.
Конфигурация протокола остовного дерева:
Используйте протокол MST.
Сконфигурируйте имя региона WSR39
Сконфигурируйте 2 инстанса
- 1 — VLAN100, VLAN1200,VLAN1300
- 2 — VLAN 1500, VLAN 1600
В качестве корневого коммутатора для 1 инстанса сконфигурируйте SW1
В качестве корневого коммутатора для 2 инстанса сконфигурируйте SW2
Обеспечьте быстрое согласование магистральных каналов (Без ожидания MSTP)

Настройте порты F0/10 коммутаторов SW2 и SW3 в соответствии с L2 диаграммой.
Между HQ1 и FW1 настройте взаимодействие по протоколу IEEE 802.1Q.
На всех устройствах, отключите неиспользуемые порты.
На всех коммутаторах, неиспользуемые порты переведите во VLAN 1600.

Настройка подключений к глобальным сетям
Подключение FW1 к ISP1 и ISP2 осуществляется с помощью IPoE, настройте интерфейсы в соответствии с диаграммами L2 и L3.
- Передача данных между FW1 и ISP1 осуществляется не тегированным трафиком.
- Передача данных между FW1 и ISP2 осуществляется тегированным трафиком с использованием VLAN 901.
ISP3 предоставляет L2 VPN между офисами HQ и BR1.
Настройте передачу между HQ1, FW1 и BR1 тегированного трафика.

В зависимости от используемой модели межсетевого экрана, выберите один из двух следующих пунктов задания:

Для ASA5505:

Взаимодействие должно осуществляться по VLAN 10.

Для ASA5506:

b) Для обеспечения L2 связности между маршрутизатором BR1 и маршрутизатором HQ1, на межсетевом экране FW1 используйте Bridge group Virtual Interface (BVI) под номером 2. Для этого на межсетевом экране добавьте в BVI2, два подинтерфейса: с тегом 10 в сторону провайдера ISP3, с тегом 11 в сторону маршрутизатора HQ1. На маршрутизаторе HQ1 в сторону межсетевого экрана FW1, создайте соответствующий подинтерфейс.

Настройте подключение BR1 к провайдеру ISP1 с помощью протокола PPP.
- Настройте Multilink PPP с использованием двух Serial-интерфейсов.
- Используйте 1 номер интерфейса.
- Не используйте аутентификацию.
- BR1 должен автоматически получать адрес от ISP1.
Настройте подключение BR1 к провайдеру ISP2 с помощью протокола HDLC.

Настройка маршрутизации

ВАЖНО! При настройке протоколов динамической маршрутизации, будьте предельно внимательны и анонсируйте подсети в соответствии с диаграммой маршрутизации, иначе не получите баллы за протокол, в котором отсутствует необходимая подсеть, и за тот протокол, в котором эта подсеть оказалась лишней. Также, стоит учесть, что провайдеры фильтруют маршруты полученные по BGP, если они не соответствуют диаграмме маршрутизации.

В офисе HQ, на устройствах HQ1 и FW1 настройте протокол динамической маршрутизации OSPF.
- Включите в обновления маршрутизации сети в соответствии с Routing-диаграммой.
- HQ1 и FW1 между собой должны устанавливать соседство, только в сети 172.16.3.0/24.
- Отключите отправку обновлений маршрутизации на всех интерфейсах, где не предусмотрено формирование соседства.
Настройте протокол динамической маршрутизации OSPF в офисе BR1 с главным офисом HQ.
- Включите в обновления маршрутизации сети в соответствии с Routing-диаграммой.
- Используйте магистральную область для GRE туннелей.
- Соседства между офисами HQ и BR1 должны устанавливаться, как через канал L2 VPN, так и через защищенный туннель.
- Убедитесь в том, что при отказе выделенного L2 VPN, трафик между офисами будет передаваться через защищённый GRE туннель.
- Отключите отправку обновлений маршрутизации на всех интерфейсах, где не предусмотрено формирование соседства.
Настройте протокол BGP в офисах HQ и BR1 для взаимодействия с провайдерами ISP1 и ISP2.
- На устройствах настройте протокол динамической маршрутизации BGP в соответствии с таблицей 1

Таблица 1 – BGP AS

Устройство	AS
HQ1	65000
FW1	65000
ISP1	65001
ISP2	65002
BR1	65010

Настройте автономные системы в соответствии с Routing-диаграммой.
- Маршрутизаторы HQ1 и FW1 должны быть связаны с помощью iBGP. Используйте для этого соседства, интерфейсы, которые находятся в подсети 30.78.87.0/29.
- Включите в обновления маршрутизации сети в соответствии с Routing-диаграммой.
- Для офиса BR исключите из таблицы маршрутизации сеть 14.88.22.8
Настройте протокол динамической маршрутизации EIGRP поверх защищенного туннеля и выделенного канала L2 VPN между маршрутизаторами HQ1 и BR1.
- Включите в обновления маршрутизации сети в соответствии с Routing-диаграммой.
- Используйте номер автономной системы 6000.

Настройка служб
В сетевой инфраструктуре сервером синхронизации времени является SRV1. Все остальные сетевые устройства должны использовать его в качестве сервера времени.
- Передача данных между осуществляется без аутентификации.
- Настройте временную зону с названием MSK, укажите разницу с UTC +3 часов.
Настройте динамическую трансляцию портов (PAT):
- На маршрутизаторе HQ1 и BR1 настройте динамическую трансляцию портов (PAT) для сети 192.168.2.0/24 в соответствующие адреса петлевых интерфейсов.
- Убедитесь в том, что для PC2 для выхода в интернет использует один из каналов до ISP1 или ISP2 от BR1, при недоступности обоих каналов, PC2 должен осуществлять выход в сеть интернет через каналы офиса HQ.
- Убедитесь, в том, что есть все необходимые маршруты, иначе проверить корректность настроенной трансляции портов, будет невозможно.
Настройте протокол динамической конфигурации хостов со следующими характеристиками
На маршрутизаторе HQ1 для подсети OFFICE:
Адрес сети – 30.78.21.0/24.
Адрес шлюза по умолчанию интерфейс роутера HQ1.
Адрес NTP-сервера 172.16.20.20.
Компьютер PC1 должен получать адрес 30.78.21.10.

В офисе BR1 используется аутентификация клиентов с помощью протокола L2TP. Для этого настройте сервер L2TP на BR1.
- Аутентификация PC2 на сервере L2TP должна осуществляться по логину pc2user и паролю pc2pass.
- PC2 должен получать ip адрес от L2TP сервера автоматически.
- В качестве транспортного адреса используте адреса из подсети 192.168.2.0/24
- В качестве туннельных адресов используйте подсеть 10.8.8.0/24

Настройка механизмов безопасности
На маршрутизаторе BR1 настройте пользователей с ограниченными правами.
- Создайте пользователей user1 и user2 с паролем cisco
- Назначьте пользователю user1 уровень привилегий 5. Пользователь должен иметь возможность выполнять все команды пользовательского режима, а также выполнять перезагрузку, а также включать и отключать отладку с помощью команд debug.
- Создайте и назначьте view-контекст sh_view на пользователя user2
Команду show cdp neighbor
Все команды show ip *
Команду ping
Команду traceroute
1. Убедитесь, что пользователи не могут выполнять другие команды в рамках присвоенных контекстов и уровней привилегий.
На порту F0/10 коммутатора SW2, включите и настройте Port Security со следующими параметрами:
не более 2 адресов на интерфейсе
адреса должны динамически определяться, и сохраняться в конфигурации.
при попытке подключения устройства с адресом, нарушающим политику, на консоль должно быть выведено уведомление, порт не должен быть отключен.

На порту f0/10 коммутатора SW2 реализуйте защиту от перехвата трафика между двумя узлами в одном широковещательном домене
На коммутаторе SW2 включите DHCP Snooping для подсети OFFICE. Используйте флеш-память в качестве места хранения базы данных.
На коммутаторе SW2 включите динамическую проверку ARP-запросов в сети OFFICE.
На маршрутизаторе BR1 настройте расширенный список контроля доступа для подсети 192.168.2.0/24. Заблокируйте весь исходящий и входящий трафик от подсети 192.168.2.0/24 в интернет за исключением:
- Разрешите работу с DNS сервером 8.8.8.8.
- Разрешите исходящий TCP трафик по портам 80 и 443.
- Разрешите входящий трафик по TCP, только для тех соединений, если узел из подсети 192.168.2.0/24 инициирует это соединение.

Настройка параметров мониторинга и резервного копирования
На маршрутизаторе HQ1 и межсетевом экране FW1 настройте журналирование системных сообщений на сервер SRV1, включая информационные сообщения.
На маршрутизаторе HQ1 и межсетевом экране FW1 настройте возможность удаленного мониторинга по протоколу SNMP v3.
- Задайте местоположение устройств MSK, Russia
- Задайте контакт admin@wsr.ru
- Используйте имя группы WSR.
- Создайте профиль только для чтения с именем RO.
- Используйте для защиты SNMP шифрование AES128 и аутентификацию SHA1.
- Используйте имя пользователя: snmpuser и пароль: snmppass
- Для проверки вы можете использовать команду snmp_test на SRV1.
На маршрутизаторе HQ1 настройте резервное копирование конфигурации
- Резервная копия конфигурации должна сохраняться на сервер SRV1 по протоколу TFTP при каждом сохранении конфигурации в памяти устройства
- Для названия файла резервной копии используйте шаблон <hostname>-<time>.cfg

Конфигурация виртуальных частных сетей
Между HQ1 и BR1 настройте GRE туннель со следующими параметрами:
Используйте в качестве VTI интерфейс Tunnel1
Используйте адресацию в соответствии с L3-диаграммой
Режим — GRE multipoint
HQ1 является хабом
Параметры NHRP сконфигурируйте по своему усмотрению
Интерфейс-источник — Loopback-интерфейс на каждом маршрутизаторе.
Обеспечьте работу туннеля с обеих сторон через провайдера ISP1

Защита туннеля должна обеспечиваться с помощью IPsec между BR1 и FW1.
Обеспечьте шифрование только GRE трафика.
Используйте аутентификацию по общему ключу.
Параметры IPsec произвольные.

Конфигурация подсистемы телефонной связи

На маршрутизаторе HQ1 сконфигурируйте CME со следующими параметрами
- Зарегистрируйте программный телефон на PC1 с номером 104
- Зарегистрируйте программный телефон на PC2 с номером 107
- Обеспечьте возможность звонков с одного телефона на другой
- Произведите необходимые настройки BR1 для регистрации телефона на PC2 в HQ CME

Конфигурация служб удаленного доступа