jobb-CTRL a host gomb, jobb-CTRL+Del a küldött Ctrl+Alt+Del
Eszközök > Hálózat > Hálózati beállítások
A Hálózati adapter csatlakoztatása opció “kihúzza a kábelt”.
Csatlakoztatva ide:
NAT - így nincs forgalom a virtuális és a gazdagép között, de van internetelérés.
Bridge-elt kártya: a fizikai gépünk hálókártyáját használja, abba az alhálózatba tartozó IP-t fog kapni.
Belső hálózat: virtual boxon belüli gépek közt van hálózat.
Host-only: jelen esetben a fizikai gépet látja a hálózaton.
NAT hálózat: Kilát az internetre, és a virtual boxban lévő gépek látják egymást. (A Virtual Boxban ezt előre konfigurálni kell. Hálózat > Nat-hálózatok > Létrehozás.)
Hard Disk: alapból maximális foglalást állít be a méret, de lehet preallokálni.
Failed to boot, be kell tallózni az ISO-t, Mount and retry boot.
Ha nem ugrik fel, akkor Eszközök > Optikai meghajtók > Lemezkép választása.
Verziók esetében a Core azt jelenti, hogy csak CLI van. Simában is hiányzik a nagy része. A Dekstop Experience tartalmaz teljes GUI-t.
Gép exportálása
Fájl > Gép exportálása
Pillanatkép
Át kell állítani itt a megjelenítést:
Készítés.
Bármikor vissza lehet állni rá.
Winserver 2022
user: Administrator
Jelszó: Admin1234
Virtual Box > Eszközök > Integrációs szolgáltatások telepítése
(teljes képernyős módhoz, gazdagépen lévő mappák eléréséhez, USB-portok megosztásához stb.)
Mountol egy lemezt.
Abból lehet telepíteni a programot.
Ne indítsuk újra.
Gép átnevezése (winserver)
Újraindítás
Virtuális gép bezárása > Kikapcsolni a gépet
Domain-szerver és DNS-szerver beállítása
Server Manager > Manage > Add roles and features > Role based:
Active Directory Domain Services
DNS Server
Adjunk IP-t a szerverünknek.
Server Managerben az eszköztáron lévő zászlón felkiáltójel:
Promote this computer to domain controller
Add new Forest
Domain név megadása
Optionsben jelszó megadása
DHCP-szerver beállítása
Server Manager > Manage > Add roles and features > Role based:
DHCP Server
Zászló > Complete DHCP configuration > Next > Commit > Close
Server Manager > Tools > DHCP
New Scope
Ez ugyanaz, mint a pool, azokat a lehetőségeket is kéri be. A DHCPOFFER delay in ms szignifikanciáját még nem tudjuk, micsoda.
WINS Servert nem adunk hozzá.
Scope-on belül Address leases alatt megnézhetjük a kiosztott IP-címeket. Reservations alatt pedig az adott MAC-címhez rendelt fixen kiosztandó IP-címeket.
Ha nem jelenik meg a zöld pipa az IPv4 mellett, akkor jobb gomb rajta és Refresh.
Ha piros x van a domain neve mellett, akkor jobb gomb rá, és nyomni egy Authorize-t.
Server Manager > Tools > Active Directory Users and Computers.
Az eotvos.localon belül lévő dolgok a szervezeti egységek (organizational unit).
Users mappán belül vannak a felhasználók és a csoportok alapból.
De hozhatunk létre saját szervezeti egységet. (Alapból Protect from accidental deletion beállításal ajánlja, amit a View > Advanced Features bekapcsolása után a Properties menüből lehet kivenni.)
Ezekre különböző házirendek vonatkozhatnak.
Domainbe való első belépéshez olyan felhasználó kell, akinek a jelszava Never expires beállítású.
Felhasználók hozzáadása csoporthoz
Felhasználó beállításai között AD-ben Member of-ban lehet hozzáadni csoporttagságokat.
Apply-olni kell OK előtt!
Windows 10 beléptetése tartományba:
Rendszer > Számítógépnév szekció > Beállítások Módosítása > Módosítás > Tartomány
(Újabb verzió esetén le kell tekerni és van egy link Számítógép átnevezése (speciális) névvel)
Ha nem kér azonnal autentikációt akkor valamiért nem találja a Domain servert.
Windows Serveren > Tools > DNS:
Forward lookup zones > eotvos.local, itt ha van bejegyzés a winserverre, akkor rendben kellene, hogy legyen, és csak egy kis idő kell.
Ha nem, akkor jobb egérgomb > New Host és itt meg kell adni, hogy megtörténjen a névfeloldás.
Ha NAT hálózatot használunk, akkor a DNS-szervernek meg kell adni a Winserver címét, hogy fel tudja oldani az általunk létrehozott tartományt, mert amúgy az iskola DNS-szervere próbálná feloldani.
Az autentikációs ablakban tartományi felhasználóval kell autentikálni.
A szerveren korábban létrehozott admin alapvetően helyi felhasználó, de a tartománykiszolgáló szolgáltatás aktiválás után már tartományi felhasználó lett.
Csoportházirend beállítása
Server Manager > Tools > Group policy management
Ugyanazok a szervezeti egységek vannak, mint AD-ben.
Default Domain Policy objektum vonatkozik mindenre. Ebben alapból csak a jelszóházirend van.
Jobb gomb csoporton > Create GPO and link it here
Létrehozott GPO-n jobb egérgomb > Edit
Csoportházirend újratöltése kliensen
cmd > gpupdate /force
Vezérlőpult elérésének a letiltása Group Policy-vel
User Configuration > Administrative Templates > Control Panel > Prohibit Access to Control Panel and PC Settings
File Screening Management - fájlok szűrése név és kiterjesztés alapján
Quota Management
Templateket is lehet létrehozni.
Be lehet állítani értesítést, logolást vagy akár scriptek futását is.
Új kvóta létrehozása:
File Screening Management
Fájlok szűrése név és kiterjesztés alapján.
Csak csillagot kezel, wildcard-okat vagy konkrétan regexet?
Template
File Groups
Include-ot tiltjuk.
Exclude-dal kivétellistát csinálunk az include-hoz.
Ezzel pl. letiltunk mindent, kivétellistára tesszük a képformátumokat, így csak képeket lehet majd elhelyezni a mappában.
Új File Screen
Proxy
Virtual Boxban ki kell engednünk a gépet a netre, a Hálózatban állítsuk be a Brigde-elt kártyát.
Ezzel a host és a virtuális gép közt is lesz hálózati kapcsolat és kilát a netre is.
A NAT hálózat opció segítségével a gépek látnák egymást és kilátnának a netre is, anélkül, hogy hozzáférnének a gazdagép hálózatához, de ez Windows 11-en jelenleg nem működik.
Ezután be tudjuk léptetni a helyi tartományba, mint tartományvezérlő.
Rá kell kattintani a Change-re, és megadni egy olyan felhasználót, amely létezik az első szerveren (nem kötelező, hogy Domain Admin legyen).
Meg kell adni egy helyreállító jelszót (nem okvetlen az első szerverét, ez egy egyedi jelszó).
Be lehetne állítani, hogy átvegye a beállításokat egy másik Domain Controllerről.
Domainek (tartományok) felépítése
Van Forest (erdő), ezen belül lehet Tree és Child tartományt definiálni. A Tree tartományok ugyanabban a Forestben vannak, de nincs köztük összefüggés.
Minden Tree-ből további Child tartományok ágazhatnak le.
Ez kb. akkor történhetne meg a valóságban, ha egy világcégnek van egy Tree-je Európára és egy Tree-je az USA-ra.
Csoportok létrehozásakor például a Group Scope lehet:
Domain local: csak az adott tartományban érhető el.
Global: az adott Tree minden ágán elérhető (a többi Childban is).
Universal: a Forest minden tartományában elérhető.
Distributed File System szolgáltatás
Mappa létrehozása és megosztása mindenkivel, mindkét szerveren
Distributed File System (DFS) szolgáltatások telepítése
Tools > DFS Management
Namespaces > New Namespace
Megadjuk a futtató gép nevét. Elsődlegesen ez a gép szolgálja ki az igényeket, a második csak akkor jön képbe, ha ez kiesett. Nincs terhelésmegosztás.
El kell nevezni a létrehozott Namespace-t, ez bármi lehet.
A Windows Server 2008 mode garantálja, hogy azok, akikkel ez a Namespace nincs megosztva, nem férhetnek hozzá.
Namespace > New Folder
Add
Ez meg kell ismételni a kettes szerveren lévő mappával is. El is kell nevezni.
Yes
Next
Primary Member: Server01
Full Mesh
Ne legyen Full
Create
Adatok itt
Visszaellenőrzéshez a kliensgépnek nem kell a tartományban lennie, de fontos, hogy meg legyen adva neki a DNS-cím.
A kliensgépen be kell gépelni az elérési útvonalat, ami látszik a szerver DFS Managementjében, utána autentikálni valakivel, akivel meg van osztva a mappa.
Group Policy Managementben megszokott módon, csak a namespaces elérési utat kell megadni.
DHCP terheléselosztás és hot standby
DHCP folyamat
Discover - kliens (ha nincs a routeren megadva helper address, akkor a teljes hálózaton)
Offer - szerver (ebben benne van, milyen IP-címet tud felajánlani)
Request - kliens (a felajánlott IP-címet kéri)
Acknowledge - szerver
Lease lejárása esetén csak Request-Acknowledge van.
Hot standby
Terheléselosztás
Server 2
Server 1 - Server 2
Server 1
DHCP
DHCP
Konfiguráció
Átállás belső hálózatra (mert a VirtualBox DHCP szervere elsőbbséget élvez)
Egyéni IP-k kiosztása
DHCP szolgáltatás telepítése
DHCP scope felvétele
Szükség esetén DNS-szerver módosítása a Scopeban
Jobb gomb a Scope-on > Configure Failover (Terheléselosztás beállítása)
Másodlagos szerver nevének megadása.
Részletek konfigurálása
Standby esetén be kell állítani, hogy hány százalékot tartson fent a másodlagos szervernek.
Hogyha pillanatnyi kimaradás van, akkor ebből a fenntartott készletből oszt IP-t, hogyha az első szerver teljesen elszáll, akkor az egész tartományból oszt.
Shared Secretet is meg kell adni.
Ha sikeres a beállítás, akkor megjelenik a második szerveren is a Scope.
A működő Failovert narancssárga nyíl jelöli az IPv4-en.
Teszteléshez nem kell kikapcsolni az elsődleges szervert, elég a Gép > Megállítás lehetőséget használni.
Távoli elérési lehetőségek
Remote Server Administration Tool
Windows 10-re le kell tölteni a Remote Server Administration Tool-t.
Ha letöltünk egy szolgáltatást, akkor azt nem a saját mappánkba fogja tenni, hanem jellemzően a /etc vagy a /var mappába.
sudoapt update Az Ubuntu központi szerveréről frissíti az elérhető szolgáltatások csomaglistáit. Érdemes minden szolgáltatás telepítése előtt frissíteni a listát.
könyvtár | tulajdonos | csoport | others tulajdonos csoport tulajdonosa méret dátum file.txt
A tulajdonosi szintű beállítás felülírja a csoportszintű jogosultságokat. Szóval ha a tulajdonosnak nincs írási jogosultsága, hiába tagja annak a csoportnak, aminek amúgy van, nem fogja tudni írni.
Jogosultság módosítása
chownfelhasználó:csoport file.txt
Fájl tulajdonosának megváltoztatása.
Itt a csoport amúgy bármi lehet, nem a felhasználótól függ.
chmod jogosultság módosítása
(ha nem a saját könyvtárunkban lévő fájlon akarjuk, akkor sudo)
chmod 777 file.txt A három számjegy a három csoportot jelöli.
A szám pedig úgy jön ki, hogy:
érték
r
4
w
2
x
1
Így az összeadás egyértelműen meghatározza, hogy milyen jogosultsággal rendelkezik.
Van egy betűs megoldás is:
chmod
u (user)
+
r
file.txt
g (group)
-
w
o (others)
x
Pl. chmod g+w file.txt írási jogosultságot adna a csoportnak.
Ez nem írja felül, mint a számos, hanem ki kell venni és hozzá kell adni, hogy elérjük a kívánt hatást.
Ez hozzáadja az administrator felhasználót Samba felhasználóként.
Ki kell engedni a tűzfalon
sudoufwallowsamba
Az ufw az Uncomplicated FireWall rövidítése.
Újra kell indítani a szolgáltatást
sudo service smbd restart
Mert változtattunk a configfájlon.
sudo service smbd status
Teszteléshez megnézhetjük, hogy eléri-e a Host gép.
Ehhez át kell állítani a hálózati módot Host-only kártyára, hogy lássa.
Az IP-cím megismerése
ip a
Virtual Boxban mindig enp0s3 azonosítójú hálókártyát kell keresni.
Windowson Fájlkezelőben \\IP-cím és fel kell dobnia egy hitelesítőablakot.
Ahhoz, hogy lássák egymást, mind a Windows szervernek, mind az Ubuntunak a megfelelő hálózati módban kell lennie. (Pl. Belső hálózat, Nat-hálózat, Bridge-elt kártya.)
Squid telepítése (Proxy szerver)
Szolgáltatás telepítése
sudoaptinstallsquid
Konfigurációs fájl szerkesztése
sudonano /etc/squid/squid.conf
Ctrl + W a Ctrl + F helyi megfelelője:
acl localnet-re keressünk rá
Benne kell lennie annak az IP-tartománynak, ami nekünk kell.
acl oldalak dstdomain “/etc/squid/oldalak.txt/”
http_accessdeny oldalak
Keresés segítségével kikeresni, majd
http_accessdenyall kifejezést át kell ütni http_accessallowall -ra.
Létre is kell hozni azt a fájlt, amire az előbb hivatkoztunk.
sudonano /etc/squid/oldalak.txt
Ezután újra kell indítani a service-t.
sudosystemctl restart squid
IP-cím lekérése
ip a
3128-as port
DHCP beállítása
A szolgáltatás telepítése
sudoaptinstallisc-dhcp-server
Meg kell nézni a hálózati kártya azonosítóját, mert hozzá kell rendelni a hálózati kártyát ehhez a DHCP szerverhez. Itt az azonosító az enp0s3.
ip a
Hálózati kártya hozzárendelése
sudonano /etc/default/isc-dhcp-server
INTERFACESv4=”” sorba kell beírni az azonosítót
Meg kell adni a hatóköröket (scope).
sudonano /etc/dhcp/dhcpd.conf
Fájl legaljára:
option routers a default gateway
lease time-ok másodpercben vannak megadva
Utána újra kell indítani
sudosystemctl restart isc-dhcp-server
Majd ellenőrizni a státuszt
sudosystemctl status isc-dhcp-server
DHCP Reservation beállítása
Szükség van hozzá a MAC-címre, utána fel kell venni a konfigurációs fájlba.
sudonano /etc/dhcp/dhcpd.conf
A MAC-címet kettőspontokkal kell megadni
Ha több címet szeretnénk lefoglalni, akkor további ilyen blokkokat kell felvenni. A host pc sorban a pc igazából a foglalás neve, ez bármi lehet, de egyedinek kell lennie.
Statikus IP beállítása Linuxon
sudonano /etc/netplan/50-cloud-init.yaml
(50 után kitabolható)
Fontos a spacek száma!
Be kell kapcsolni ezt a konfigurációt.
sudonetplanapply
Kiegészítés a Sambához
Hoztunk létre felhasználókat.
Mindegyiket külön csoportba tettük.
Az administrator mappához beállítottuk a 777 jogosultságot.
Mappákat hoztunk létre az Administrator mappában.
sudo chwon administrator:elso elso/
(így az admin felhasználó és az első csoport lesz beállítva tulajdonosnak)
sudo chmod 770 elso/
Így a “mindenki más” kategóriától elveszünk minden jogosultságot.
sudo apt update
sudo apt upgrade
Samba beállítása, mindegyik mappa hozzáadása.
Statikus IP-cím beállítása
Webkiszolgáló telepítése mindkét Ubuntu szerverre
sudo apt install apache2
Virtuális IP beállításához szükséges szolgáltatás redundanciához
sudo apt install keepalived
Konfigurálás
sudo nano /etc/keepalived/keepalived.conf
Ez egy üres fájl lesz, keepalived.conf.sample néven van egy mintafájl.
Elsődleges szerveren master konfigurációt kell megadni.
vrrp_instance név {
state MASTER (a másikon BACKUP)
interface enp0s3 (virtualboxnak ez az alap)
virtual_router_id 33 (bármi lehet)
priority 200 (tetszőleges, de a masternek kell a legmagasabbnak lennie)
A letöltött telepítőfájl futtatásához adni kell jogosultságot.
hostname -f
Kiírja, hogy mi a hostname-ünk.
sudohostnamectlset-hostname eotvos.hu
Ez átállítja a hostnamet.
sudonano /etc/hosts
127.0.0.1 eotvos.hu
Hozzá kell adni a hosts fájlhoz is az új hostnamet, hogy feloldja.
sudo ./install.sh
Ezzel futtatjuk a telepítőfájlt.
Át kell tenni Host-only kártyára a Linuxot, ezután a gazdagép böngészőjében menyithatjuk az Ubuntu IP-címét a 10000-es porttal kiegészítve. Az IP-cím mindig más lesz.
lease [nap] [óra] [perc] Beállítja a bérleti időt (nem bírja a Packet Tracer)
show ip dhcp pool Alap információk a létrehozott készletekről
show ip dhcp binding Megmutatja a kiosztott címeket
show running-config | section dhcp DHCP beállítások kiíratása a futó konfigból
no service dhcp A dhcp szolgáltatás letiltása a routeren.
DHCP/DNS Relay beállítása
(config)# interface [kliensek felé néző interfész] (config-if)#ip helper-address [a DHCP szerver IP-címe]
Az ip helper-address a következő szolgáltatások irányába menő kéréseket továbbítja:
Port 37: Time Port 49: TACACS Port 53: DNS Port 67: DHCP/BOOTP server Port 68: DHCP/BOOTP client Port 69: TFTP Port 137: NetBIOS name service Port 138: NetBIOS datagram service
IPv6 beállítása Routeren
Az Auto, Other és Manual flagek állítgatásáról szól.
ipv6 unicast-routing Bekapcsolja az IPv6-ot és az Auto flaget 1-re állítja, így bekapcsolva a SLAAC-et.
ipv6 nd other-config-flag Bekacspolja a stateless DHCPv6-ot (no-zva visszaáll SLAAC-re) az Other flag 1-re állításával. Ezt már adott interfészen kell kiadni.
ipv6 nd managed-config-flag Bekapcsolja a stateful DHCPv6-ot, az M flag 1-re állításával. Ezt is adott interfészen kell bekapcsolni. Az A flaget kézzel 0-ra kell állítani!
ipv6 nd prefix default no-autoconfig 0-ra állítja az A flaget. Enélkül bizonyos kliensek generálnak maguknak egy címet, és kérnek egyet a DHCPv6 szervertől is, hisz IPv6 címből lehet több egy eszköznek.
Router beállítása Stateless DHCPv6-szerverként
ipv6 unicast-routing Ha egyébként nem volt, be kell kapcsolni az IPv6-ot. ipv6 dhcp pool [név] Létre kell hozni egy poolt dns-server [IPv6-cím] Megadja a DNS-szerver címét domain-name [név.com] Megadja a domaint
Az alapértelmezett átjárót mindig a Router Router Announcement üzenete adja meg, nem a DHCP-szerver, így ezt nem kell konfigurálni.
Miután definiáltuk a Poolt, ezt hozzá kell kötni a Router egy adott interfészéhez, ahol címeket fog osztani. Az interfésznek adni kell címet, és az O flaget 1-re kell állítani.
int [interfész] Adott interfészen kell csinálni ipv6 address [cím] link-local Adni kell link-local címet ipv6 address [cím]/64 Adni kell Global Unicast Addresst ipv6 nd other-config-flag Az O flaget 1-re kell állítani ipv6 dhcp server [pool neve] Ezzel bindoljuk a poolt
Router beállítása Stateful DHCPv6-szerverként
ipv6 unicast-routing Ha egyébként nem volt, be kell kapcsolni az IPv6-ot. ipv6 dhcp pool [név] Létre kell hozni egy poolt address prefix 2001:db8:acad:1::/64 Ez határozza meg, hogy miben osszon dns-server [IPv6-cím] Megadja a DNS-szerver címét domain-name [név.com] Megadja a domaint int [interfész] Adott interfészen kell csinálni ipv6 address [cím] link-local Adni kell link-local címet ipv6 address [cím]/64 Adni kell Global Unicast Addresst ipv6 nd managed-config-flag Az M flaget 1-re kell állítani ipv6 nd prefix default no-autoconfig Az A flaget 0-ra kell állítani ipv6 dhcp server [pool neve] Ezzel bindoljuk a poolt
Router beállítása DHCPv6-kliensként
ipv6 unicast-routing Bekapcsolja az IPv6-ot int [interfész] ipv6 enable Létrehoz egy link-local címet EUI-64 alapon ipv6 address autoconfig Engedélyezi a SLAAC használatát az adott interfészen ipv6 address dhcp Stateful DHCPv6 szervertől kér címet
Show parancsok
show ip dhcp pool Alap információk a létrehozott készletekről
show ip dhcp binding Megmutatja a kiosztott címeket (csak Stateful)
DHCPv6 Relay beállítása
interface [interfész, ami a kliens felé néz] ipv6 dhcp relay destination [cím] [kimenő interfész, ami a DHCP felé néz]
IPv6 címből több is lehet egy interfészen, ezért ha változtatni szeretnénk, ki kell törölni az előzőt, nem lehet átállítani az ipv6 address paranccsal!
Alapértelmezett átjáró beállítása Switchen
(conf)#ip default-gateway [IP-cím] beállítja az alapértelmezett átjárót a Switchen
DNS Server megadása
(conf)# ip domain lookup
(conf)# ip name-server 8.8.8.8 1.1.1.1
VLAN
Access portok
(conf)# interface g0/1
(conf-if)# switchport mode access
(conf-if)# switchport access vlan 10
Trunk portok
(conf-if)# switchport trunk encapsulation dot1q
(conf-if)# switchport mode trunk
(conf-if)# switchport trunk allowed vlan 10,20 (vagy all, except, none)
(conf-if)# switchport trunk remove vlan 20
(conf-if)# switchport trunk native vlan 111
(conf-if)# no switchport trunk allowed vlan
(conf-if)# no switchport trunk native vlan
Csak azokat a VLAN-okat kell engedélyezni, amelyekhez van kliens, aminek el kell látni a Router-on-a-Stickig.
Router-on-a-Stick
(conf)# interface g0/0
(conf-if)# no shutdown
(conf-if)# interface g0/0.10
(conf-subif)# encapsulation dot1q 10
(conf-subif)# ip address [cím] [maszk]
(conf-subif)# encapsulation dot1q 111 native
# show vlan brief
# show interfaces trunk
# show ip interface brief
(conf)# vlan 10 létrehoz egy VLANt, vagy belép rá
(conf)# name akármi beállít egy nevet a VLAN-nak
(conf)# no shutfelkapcsolja
(conf)# default interface g0/0 visszaállítja az interface-t az alapértelmezett beállításaira
Ha csak SVI-t (Swtich Virtual Inteface) állítunk be egy VLAN-nak, az nem hozza létre automatikusan, és amíg nincs létrehozva, addig down/down lesz az az interface. Ha nincs hozzárendelve interface-hez, akkor is.
STP
Spanning Tree Protocol (Feszítőfa-protokoll)
Root bridge: Gyökérponti híd, legkisebb BID-val rendelkező Switch
BID kialakítása: Priority value, MAC-address, Extended System ID
Switch# show spanning-tree [detail | summary | vlan x ]
Root guard (hogy a gyökérponti kapcsoló ne változzon a hálózaton):
Switch(config)#spanning-tree guard root
VTP
VLAN Trunking Protocol
Lépései:
Tartomány megadása
Jelszó beállítása
Verzió megadása
Üzemmód beállítása
Szerver üzemmód:
S_Server(config)#vtp domain Minta
S_Server(config)#vtp password Jelszo
S_Server(config)#vtp version 2
S_Server(config)#vtp mode server
Kliens üzemmód:
S_Client(config)#vtp domain Minta
S_Client(config)#vtp password Jelszo
S_Client(config)#vtp version 2
S_Client(config)#vtp mode client
Lekérdezés:
S_Server#show vtp status
S_Server#show vlan
VTP Pruning:
A kapcsolók nem továbbítják a trönk túlsó felére olyan VLAN-ok adatait, amikbe tartozó állomások nem léteznek a túloldalon, ezáltal kisebb lesz a felesleges hálózati forgalom.
Switch(config)# vtp pruning
Etherchannel
PagP - Port Aggregation Protocol (Cisco-only)
LACP - Cisco és más termékek közt is működik
Azonos VLAN, sebesség és duplexitás kell, hogy létrejöjjön a kapcsolat.
(config-if)# switchport port-security maximum [érték] Elfogadható MAC-címek maximális száma
(config-if)# switchport port-security mac-address [MAC-cím] Cím manuális megadása (config-if)# switchport port-security Aktuálisan csatlakoztatott eszköz megtanulása, nem menti a configba, újraindítás után újratanul
(config-if)# switchport port-security mac-address sticky Config mentésekor menti
(config-if)# switchport port-security aging time 10 A beállított MAC-cím lejár (config-if)# switchport port-security aging type inactivity Csak adatforgalom hiánya esetén
Ha ez shutdown-ra van állítva, akkor a megsértése esetén err-disabled állapotba kerül a port. Ebből úgy lehet kihozni, hogy ki kell adni egy shutdown és egy no shutdown parancsot.
Portfast and BPDU Guard
(config-if)# spanning-tree portfast Portfast bekapcsolása az adott interfészen
(config)# spanning-tree portfast default Portfast alapértelmezett bekapcsolása minden porton. Ezután a switchekhez kapcsolódó portokon kézzel ki kell kapcsolni.
(config-if)# spanning-tree bpduguard enable BPDU Guard bekapcsolása az adott interfészen
(config)# spanning-tree portfast bpduguard default BPDU Guard alapértelmezett bekapcsolása minden porton, ahol aktív a Portfast. Ezután a switchekhez kapcsolódó portokon kézzel ki kell kapcsolni.
Megbízható DHCP-üzenet forrásokat kell meghatározni. Switchek, routerek, szerverek. Az Access portok alapértelmezés szerint megbízhatatlanok.
(config)# ip dhcp snooping Globális bekapcsolás (config-if)# ip dhcp snooping trust Adott interfész beállítása megbízhatóként (config-if)# ip dhcp snooping limit rate [szám] Hány DHCP-discover üzenet jöhet erről a portról/mp (config)# ip dhcp snooping [VLAN-szám]
show ip dhcp snooping show ip dhcp snooping binding
Ha bekapcsolt ip dhcp snooping mellet (jó beállításokkal) nem kap címet a gép, akkor valószínűleg az option 82 információk okozzák a problémát.
no ip dhcp snooping information option parancs letiltja, ezután így néz ki a show dhcp snooping
Mitigate ARP attacks
A rosszakaró fél olyan kéretlen ARP-kéréseket küld ki, amelyben a saját MAC-címét párosítja az alapértelmezett átjáró IP-címével.
Dynamic ARP Inspection
DHCP Snooping kell hozzá, mert használja a binding table-t.
(config)# ip dhcp snooping Globális bekapcsolás (config)# ip dhcp snooping vlan 10 Vlan 10-en is engedélyezve (config)# ip arp inspection vlan 10 ARP Inspection beállítása (config-if)# ip dhcp snooping trust Adott interfész beállítása megbízhatóként (config-if)# ip arp inspection trust Adott interfész beállítása megbízhatóként
(config)# ip arp inspection validate src-mac dst-mac ip Megnézi, hogy az Ethernet-keretben és az ARP-kérésben lévő forrás MAC-cím és cél MAC-cím megegyezik-e. Ellenőrzi, hogy van-e fura (0.0.0.0, 255.255.255.255), vagy multicast IP-cím az ARP-kérésben.
Routing
# show ip route
Statikus
ip route [hálózat címe] [alhálózati maszk] [kimenő interfész/következő ugrás IP-címe]
R1(config-router)# network x.x.x.x (minden routing tableben C-ként szereplő hálózat)
R1(config-router)# passive interface G0/0
(minden interfész, amely felé nincs több router)
R1(config-router)# redistribute static (hirdeti az alapértelmezett útvonalat)
OSPF
OSPF bekapcsolása
R1(config)# router ospf [szám, pl. 100]
R1(config-router)# log-adjacency-changes
Router azonosítójának meghatározása
R1(config-router)# router-id 1.1.1.1 (router azonosító megadása, EZ NEM AZ IP!)
Ha nem adjuk meg kézzel, akkor a legmagasabb IP-jű loopback interface IP-címe lesz.
Ha nincs loopback interfész, akkor a legmagasabb IP-jű interfész címe lesz.
Hirdetendő hálózatok meghatározása
R1(config-router)# network [hálózat címe] [wildcard-maszk] area [szám, pl. 0] (meghatározza, hogy mely interfészek vesznek részt az OSPF folyamatban, megadható interfészen is)
Ha nem akarunk wildcard maskokat megadni, akkor az interfész IP-címét is meg lehet 0-s wildcarddal. R1(config)# router ospf [szám, pl. 100]
R1(config-if)# network [interfész IP-címe] 0.0.0.0 area [szám]
Ha még csak ezt sem, akkor konkrétan az interfészen is be lehet állítani. R1(config-if)# ip ospf [process id] area [szám]
Passzív interfészek meghatározása
R1(config-router)# passive interface G0/0 (minden interfész, amely felé nincs több router, ISP is)
Alapértelmezett útvonal hirdetése
R1(config-router)# default-information originate (hirdeti az alapértelmezett útvonalat)
Autentikáció beállítása
R1(config-router)# area [szám] authentication (gyenge hitelesítés beállítása)
R1(config-if)# ip ospf authentication-key [jelszó] (ezt már interfészre, passzívakra nem)
VAGY
R1(config-router)# area [szám] authentication message-digest (MD5 autentikáció beállítása areára)
R1(config-if)# ip ospf authentication message-digest (MD5 autentikáció beállítása interfészre)
R1(config-if)# ip ospf message-digest-key [szám, pl. 1] md5 [jelszó] (ezt már interfészre, passzívakra nem)
Példa:
R1(config)#router ospf 20
R1(config-router)#log-adjacency-changes
R1(config-router)#router-id 1.1.1.1
R1(config-router)#do show ip route (minden C-s hálózat)
R1(config-router)#network 1.0.0.0 0.255.255.255 area 0
R1(config-router)#network 192.168.1.0 0.0.0.255 area 0
Integer kell, hogy legyen, a Fast Ethernet esetében a cost 1. Gigabit Ethernet esetében a cost már csak 0,1 lenne, amit felkerekít egyre, így nem tud differenciálni gyorsabb hálózatok esetén. Ennek orvoslására van parancs, amelyet minden routeren ki kell adni.
ip nat pool [pool neve] [külső IP-címtartomány kezdete] [külső IP-címtartomány vége] netmask [netmaszk]. Ha egy cím, és nem tartomány, akkor meg kell adni kétszer.
R1(config)#ip nat pool public_access 209.165.200.242 209.165.200.253 netmask 255.255.255.224
ip nat inside source list [szám] pool [pool neve] [lehet overload]
R1(config)#ip nat inside source list 1 pool public_access
PAT
R1(config)#ip nat inside source list 1 interface Serial 0/0/0 overload
Alapértelmezett útvonal megadása a külvilág eléréséhez:
R1(config)#ip route 0.0.0.0 0.0.0.0 ser 0/0/0
# show ip nat translations
# show ip nat statistics
FHRP
HSRP
R1(config)# interface g/1
R1(config-if)# standby version 2
R1(config-if)# standby ip 192.168.1.1
R1(config-if)# standby priority [szám] az alapértelmezett 100, a magasabb az aktív
permit - permits access if the condition is matched
remark - kommentet lehet írni vele, de ebben az utasításban mást nem.
log - Ha egy ACE végére hozzátesszük a log operátort, akkor minden alkalommal, amikor egy csomag aktiválja az adott ACE-t, ír egy syslog üzenetet a csomag adataival.
source-wildcard - Ha 0.0.0.0, akkor a konkrét IP-címre alkalmazódik, megegyezik a host operátorral. Ha 255.255.255.255 az bármit elfogad, megegyezik az any operátorral.
Router(config)# ip access-list standardaccess-list-name
Be-/kikapcsolás
Router(config-if)# (no) ip access-group {access-list-number | access-list-name} {in | out}
Módosítás
R1# show access-lists Kiírja a szekvenciaszámokat, ez után belépve a szerkesztőbe a nevesített módszerrel, lehet szerkeszteni, pl. törölni a 10-es szekvenciaszámút, majd beírni a helyére valami mást.
R1(config)# ip access-list standard 1
R1(config-std-nacl)# no 10
R1(config-std-nacl)# 10 deny host 192.168.10.10
R1(config-std-nacl)# end
Köztes számokat is be lehet szúrni (pl. 15), a szekvenciaszámok alapján hajtódik végre, hiába veszi a show parancs a hostokat előre.
Statisztika
R1# show access-lists R1# clear access-list counters access-list-number/name
Újraindítja a számlálókat.
VTY line-ok biztosítása
R1(config)# line vty 0 15
R1(config-line)# access-class {access-list-number | access-list-name} { in | out }
Az out-nak azért nagyon ritkán van értelme, az in-re kell beállítani, hogy ne SSH-zhasson be bárki.
port - TCP vagy UDP port neve vagy száma, ?-lel ki lehet íratni mindet, és a lista függ a megadott protokolltól. Az SSH (22) és a HTTPS (443) viszont hiányzik a listából!
established - csak TCP protocol esetén, csak akkor enged vissza csomagot, ha létező kérésre érkezik válaszul.
R1(config)# access-list 120 permit tcp any 192.168.10.0 0.0.0.255 established
R1(config)# interface g0/0/0
R1(config-if)# ip access-group 120 out
R1(config-if)# end
Szóval a hálózatunk felőli interfészre kell beállítani out irányba, és akkor matchel, ha a TCP szegmensben van ACK vagy RST flag.
Nevesített
Router(config)# ip access-list extendedaccess-list-name
VPN
Remote login
! AAA for VPN users
aaa new-model
aaa authentication login VPN-AUTH local
aaa authorization network VPN-AUTHOR local
username vpnuser secret cisco123
! Phase 1 (ISAKMP)
crypto isakmp policy 10
encryption 3des
hash sha
authentication pre-share
group 2
lifetime 3600
! Client group settings (pushed to the client)
ip local pool VPN-POOL 10.10.10.1 10.10.10.50
access-list 101 permit ip 192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255
crypto isakmp client configuration group VPNGROUP
key cisco123
pool VPN-POOL
acl 101 (Packet Tracer ezt nem támogatja, nem kell az ACL-t sem definiálni)
Amikor laptopon bedugunk egy RS-232 kábelt, akkor megjelenik az eszközkezelőben LPT vagy COM portként, és ott mutatja, hogy melyik COM porton figyel.
Ezt kell megadni a PUTTY-ban.
Bits per seconds – 9600
Data bits – 8
Parity – None
Stop bits – 1
Flow control – None
Eszköz bővítése új porttal Packet Tracerben
Soros port:
Mint a laptopon, NIM-2T modult kell hozzáadni (vagy kikeresni, ami kell, a listából)
Előtte ki kell kapcsolni.
A Miscellanious mappában a 1841-es eleve rendelkezik soros porttal.
Piros S a soros kábel, az órás (DCE) szinkronizálni tudja a két routert.
Billentyűparancsok
Ctrl+Shift+6 Leállítható egy parancs futása
Ctrl+C Leállítható egy folyamat futása
Show parancs szűrése
terminal length – Meg lehet adni, hogy hány sort írjon ki egyszerre. Alapértelmezetten 24. Ha 0-t adunk meg, akkor kiír mindent.
| cső karakterrel szűrhető
CASE SENSITIVE!
section
include
több paraméter is megadható egyszerre a | karakterrel elválasztva
exclude
begin
Egyéb
Adminisztratív VLAN címet kell adni a Switchnek, ha IP-t akarunk adni neki.
Packet Tracerben mindig nevezzük el az eszközöket. A Telnet/SSH elérés nem működik eszköz neve nélkül. Még a klienseket is (Config/Global/Display name)! A hálózati eszközöknél nem csak a HOSTNAME-et kell megadni, hanem a Display Namet is!
ping 192.168.2.1 source g0/0/0 Pingeléskor meg lehet adni, hogy melyik interfészről induljon a csomag!
show tech-support Elvileg kiír egy csomó show parancsot egyben.
New Scope
