Kerntaak 3 Opdracht 4 1. Testactiviteiten Procedures opstellen (Vervangen van routers, Gebruiksinstructies) Kale procedure van bijlage 8 is als sjabloon terug te vinden onderin. Bijlage 8: Werkwijze zo uitgebreid mogelijk aanvullen. Zoals bijvoorbeeld het toevoegen van een laptop aan het netwerk en wat hierbij komt kijken. Denk aan procedures etc. Richtlijnen, computergebruik etc.: Aangeven wat wel mag en niet mag. Wel beschikbaarheid tot streamen en bekijken van video’s, maar richtlijnen geven dat dit niet wenselijk is. Aanpassen van bijlage 8 met procedure: Is deze procedure goed verwoord en past deze bij het verhaal dat in de opdracht gegeven word. Welke stappen moet ik doorlopen om de router te vervangen. Denk aan configureren van de interfaces, routing , security en remote toegang., Pingen naar eindpunten. Merk en Type, versie IOS. Mappenindeling: Computergebruik, logische indeling, beschrijf vooral waarom de indeling zo gemaakt is. Inzien van essentiële stappen die er gedaan moeten worden ... View more

4 1. Testactiviteiten <Uitgewerkte punten> •  Het beveiligen van apparatuur met wachtwoorden Het versleutelen van wachtwoorden Het beheer van op een veilige manier remote beheren van netwerkapparatuur Dynamisch MAC-adressen leren Reactie op overtredingen van het securitybeleid (niet zeker) Het beveiligen van niet gebruikte poorten Het beperken van toegang tot VLAN’s 1.1 Het beveiligen van apparatuur met wachtwoorden. Het is belangrijk dat alle apparatuur in een netwerk voorzien worden van een wachtwoord. Een switch en router hebben een aantal lagen waarbij het mogelijk is deze van een wachtwoord te voorzien. Deze zijn hieronder genoteerd: Switch en Router a. Privilege interface mode wachtwoord instellen: Router> enable Router# conf t Router (Config)#enable password (wachtwoord) Router (Config)# Info: Hiermee stel je een wachtwoord in op de privileged execution mode. Wanneer je de privilege mode wilt enteren door het commando ‘enable’, dien je dus voortaan het wachtwoord: ‘cisco’ op te geven. Echter word dit wachtwoord opgeslagen als ‘clear’ tekst in de configuratie. Om dit te vermijden dien je altijd twee commando’s in te voeren om het wachtwoord te encrypten. Namelijk : enable secret (wachtwoord) en serivce password-encryption . Daarbij is het ook mogelijk om per privilege laag te voorzien van een specifiek wachtwoord met een encryptie type 7. Het volgende commando moet daarvoor ingevoerd worden: enable password level (0 tot 16 levels) (encryptie type) (encrypted wachtwoord) b. Console wachtwoord instellen: Router> enable Router# conf t Router (Config)#line console 0 Router (Config-line)#password cisco Router (Config-line)#login Router (Config-line)#exit Router (Config)# Info: Met deze commando’s stel je een wachtwoord in voor het configureren van de switch d.m.v. een console kabel dat is aangesloten aan je computer of laptop. Na het opstarten van de switch moet je dit wachtwoord invoeren voordat je gebruikt kunt maken van de user interface. c. Telnet wachtwoord instellen: Router> enable Router# conf t Router (Config)#line vty 0 15 Router (Config-line)#password cisco Router (Config-line)#login Router (Config)# Info: Met deze commando’s stel je een wachtwoord in voor het op afstand configureren van een switch d.m.v. SSH verbinding. Om het wachtwoord ‘cisco’ te gebruiken voor je daarom de commando in op de switch: password cisco . De commando: line vty 0 15 geeft aan dat je alle beschikbare lines van line 0 tot line 15 van wachtwoord voorziet. d. Wachtwoord herstellen uitschakelen: Router> enable Router# conf t Router (Config)#system disable password recovery switch all Info: Door middel van deze commando kun je de herstelfunctie van de wachtwoorden uitschakelen. Dit verhoogd het veiligheidsniveau. e. Auxiliary wachtwoord instellen: Router> enable Router# conf t Router (Config)#line con 0 Router (Config-line)#login Router (Config-line)#password (wachtwoord) Router (Config-line)#exit Router (Config)# Info: Met dit commando stel je een wachtwoord in voor de Auxiliary poort. 1.2 Het versleutelen van wachtwoorden Het versleutelen van de gebruikte wachtwoorden zijn essentieel in een netwerkomgeving. Hiermee verhoog je het veiligheidsniveau. a. Commando: Router (config)# service password-encryption. Info: Met dit commando versleutel je alle wachtwoorden die er zijn ingesteld. Dit houd in dat de wachtwoorden niet in de switch- of routerconfiguratie worden weergegeven. b. Commando: Router (config)# enable secret (wachtwoord). Info: Dit commando gebruik je om de privilege interface mode te voorzien van een sterk encrypted wachtwoord. c. Commando: Router (config)# username (inlognaam) secret (wachtwoord) Info: Dit commando is een andere manier om je wachtwoord te encrypten. Je kan deze commando gebruiken in plaats van de service password-encryption. 1.3 Het beheer van op een veilige manier remote beheren van netwerkapparatuur Configureren van SSH en Telnet op een router: Telnet: Om een Telnet verbinding in te stellen dien je de volgende commando’s in te voeren op de router: Router> enable Router# conf t Router (Config)#line vty 0 15 Router (Config-line)#password (wachtwoord) Router (Config-line)#login Router (Config-line)#exit Router (Config)#enable secret (wachtwoord) Router (Config)# Info: Deze commando’s zorgen ervoor dat de Telnet verbinding op de router word opengezet. Het is belangrijk dat je alvorens het configureren van deze verbindingen, de router voorziet van juiste configuratie, denk aan ip adressering etc.  Om Telnet verbinding te maken met een router, dien je de volgende commando’s uit te voeren op je computer:  PC>telnet 192.168.1.1 Trying 192.168.1.1 …open User Acces Verification Password: Router> SSH: Om een SSH verbinding in te stellen dien je de volgende commando’s in te voeren op de router: Router> enable Router# conf t Router (Config)#ip domain-name www.cisco.nl Router (Config)#crypto key generate rsa modulus 2048 Router (Config)#line vty 0 15 Router (Config-line)#transport input ssh Router (Config-line)#login local Router (Config-line)#password (wachtwoord) Router (Config-line)#exit Router (Config)#enable secret (wachtwoord) Info: Deze commando’s zorgen ervoor dat de SSH verbinding toegankelijk en veilig is. Om SSH verbinding te maken met een router, dien je de volgende commando’s uit te voeren op je computer:  PC>ssh -l 192.168.1.1 open Password: Router> 1.4 Dynamisch MAC-adressen leren Een switch heeft o.a. een functie om alle MAC adressen dynamisch te leren in plaats van handmatig. De switch leert dus automatisch de MAC adressen die verbonden zijn. Het woord ‘sticky’ in de commando word ‘dynamisch’ bedoeld. Het is ook mogelijk om de switch een beperkt aantal MAC adressen dynamisch te laten leren, maar dat is nu niet van toepassing. Om dit te configureren dien je de volgende commando uit te voeren op een switch:  Router> enable Router# conf t Router (Config)#interface fastethernet 0/1 Router (Config-if)#switchport port-security mac-address sticky Router (Config-if)#exit Router (Config)# 1.5 Reactie op overtredingen van het securitybeleid Het instellen van een logboek kan erg handig zijn om verschillende redenen, waaronder het securitybeleid. Er is een simpele manier Een van de meest gebruikte logboekconfiguratie is Syslog. Deze kan gelinkt worden met meerdere servers waarbij de router of switch binnen een bepaalde tijd, statusberichten verzend naar de server(s). Daarnaast kun je ook instellen dat de statusberichten alleen naar de voorgrond worden gehaald en gezien kunnen worden. Om Syslog  in te stellen op de router kun je de volgende commando’s invoeren: Router> enable Router# conf t Router (Config)#service timestamps (type) datetime msec (localtime/ show-timezone) Router (Config)#logging (ip adres van host of hostnaam) Router (Config)#logging trap (level 0 tot 7) Router (Config)#logging facility local7 Router (Config)#end Router (Config)# Info: Er zijn een aantal levels beschikbaar met de commando: logging trap, namelijk 0 tot 7. Levels bestaan uit; Emergency: 0, Alert: 1, Critical: 2, Error: 3, Warning: 4, Notice: 5, Informational: 6, Debug: 7 Om Syslog  in te stellen op de switch (Cisco CatOS-based) kun je de volgende commando’s invoeren: Switch>(enable)set logging timestamp enable Switch>(enable)set logging server (ip adres, maximaal 3 servers) Switch>(enable)set logging server severity (server severity level) Switch>(enable)set logging server facility (local7 - dit is de standaard level) Switch>(enable)set logging server enable Je kunt ook de statusberichten laten weergeven d.m.v. de volgende commando’s: Router> enable Router# conf t Router (Config)# logging console (level 0 tot 7) 1.6 Het beveiligen van niet gebruikte poorten Er is een mogelijkheid om de niet gebruikte poorten te beveiligen. Natuurlijk is het logisch deze altijd uit te schakelen, maar er is nog een mogelijkheid om de poorten te beveiligen. Namelijk door het uitvoeren van de volgende commando’s:  Switch> enable Switch# conf t Enter configuration commands, one per line.  End with CNTL/Z. Switch(config)#interface (interface poort) Switch(config-if)#switchport port-security maximum Switch(config-if)#switchport port-security mac-address sticky Switch(config-if)#switchport port-security Switch(config-if)# Info: Deze commando’s zorgen ervoor dat de poorten van de desbetreffende interaface(s) worden beveiligd. 1.7 Het beperken van toegang tot VLAN’s Het beperken van toegang tot VLAN’s is erg belangrijk voor een beveiligd netwerk. Hierdoor voorkom je het risico dat gebruikers op hun computers binnen een afdeling en eventueel 3 e partijen geen verbinding kunnen maken tot de ingestelde VLAN’s. Om de toegang te beperken zijn er o.a. Acces-list nodig. Switch> enable Switch# conf t Switch(config)#ip access-list extended (naam VLAN) Switch(config)#access-list (1 tot 99) deny ip (VLAN ip adres) (Wildcard adres van VLAN)any Switch(config)#access-list (gekozen nummer) permit ip any any (of gewenste ip adres om toe te staan) Info: Deze commando’s configureren een acces-list. Dit houd het volgende in; Na de acceslist nummer te hebben gekozen, stel je een deny ip adres in van de VLAN. Deny betekend ‘Negeer en Accepteer niet’. Hierdoor word de toegang van de desbetreffende VLAN gelsoten. De switch heeft nog een functie, namelijk het toestaan van specifieke ip adressen. Daarvoor voer je de commando: permit ip (ip adres) of je kan er voor kiezen om alle ip adressen toegang te verlenen door het toevoegen van ‘any any’ ... View more

2 Let op: Alleen de nummers die gecorrigeerd moesten worden of aan verbetering toe waren, zijn in dit document genoemd. De rest kan je terug vinden in het document van meneer Mahendra. Stap 1. Nummer 2. Noteer de reden waarom je gekozen hebt om eeerst deze verbinding te controleren. Resultaat van nummer 2 klopt niet. * Oftewel altijd de reden benoemen van het testen. Nummer 3. Subinterface 0.10 hoeft niet gekoppeld te zijn aan VLAN 10, want je kan subinterface 0.30 ook toevoegen aan VLAN 20 of 10. Gewenste resultaat: Dat de subinterface gekoppeld is aan de VLAN. Resultaat: Alleen subinterface .30 ontbreekt toevoegen, de rest moet je weg laten, omdat deze een conclusie inhouden. Nummer 4. Na 3 vermoeden dat het probleem is gevonden. Handeling: Bij het vermoeden van het probleem van acceslist, deze ook als stap benomen, namelijk: Controleren of er een probleem is met de beveiliging waardoor de verbinding met de VLAN geblokkeerd word. Handeling: Controleren of er geen beveiliging in de weg zit. Acceslist: Er staat geen permit statement. ''in: input'' AL het data afkomstig van VLAN geblokkerd worden. ICMP Type 8 bericht. Destination unreachable kan het zo zijn dat het een teken is van een acceslist. Uitzetten van Acceslist: int gigabit no ip... Documenteren wat je bewust veranderd hebt en wat je gelaten hebt. Stap2 Nummer 1. Ping hebben we niet genoemd, deze moet wel genoemd worden. Gewenst resultaat: Alle computers kunnen de hostname bereiken en resolven(omzetten van dns) Nummer 2. Resultaat: Benoem welke computers niet geconfigureerd zijn. Handeling toevoegen: Stappenplan om op de Host de DNS configuratie te checken. Let erop dat je met het oplossen van een probleem, niet een ander probleem veroorzaken. Conclusie: - In deze stappen zijn jullie specifiek bezig geweesst met het zoeken van het probleem. Maar we moeten nog meer speciefer zijn. Bijvoorbeeld waarom een ping bericht niet werkt. - Benoem ook de ip adressen en technische informatie noteren bij resultaat. - Als een scenario al is opgelost door een ander probleem, dan moet je alsnog bij de opgeloste scenario, het probleem beschrijven en ook het resultaat opschrijven. Bijvoorbeeld, Handeling: 'pingen naar...' Resultaat: 'PC geeft een reply. Dit probleem is verholpen. door de vorige scenario.' - Volledig proberen in te vullen van de systeemdocumentatie. Controleren en invullen. - Stappen moeten logisch op elkaar opeenvolgend zijn, oftewel goed gestructureerd. Nieuwe adressering ... View more

1 In de situatie staat omschreven dat de switches op fabrieksinstellingen werken…). Het probleem lijkt te liggen aan routing. Om dit te bevestigen moet de connectiviteit worden getest op de punten waar problemen gemeld zijn. De connectiviteit kan worden getest d.m.v. ICMP ping en traceroute. Met de ping kan worden getest of datacommunicatie tussen twee apparaten ‘überhaupt’ mogelijk is. De traceroute kan inzicht geven in de genomen route tussen twee apparaten. De volgende tests zullen worden uitgevoerd om de problemen te lokaliseren. LAN 4 naar server 1. Ping van PC6 naar de Server 2. Traceroute van PC6 naar de Server 3. Stapsgewijs de route doorlopen van LAN 4 naar de server aan de hand van routing tables en IP addressering LAN 4 naar Internet 1. Ping van PC6 naar www.cisco.com 2. Traceroute van PC6 naar het internet (www.cisco.com) 3. Stapsgewijs de route doorlopen van LAN 4 naar het internet- waar www.cisco.com zich bevindt aan de hand van routing tables en IP addressering LAN2 naar Internet 1. Ping van PC6 naar www.cisco.com 2. Traceroute van PC6 naar het internet (www.cisco.com) 3. Stapsgewijs de route doorlopen van LAN 2 naar het internet- waar www.cisco.com zich bevindt aan de hand van routing tables en IP addressering 1.2 Testresultaten 1.3 Conclusie en advies Om mijn conclusie te onderbouwen heb ik hieronder drie printscreens toegevoegd. Op elke printscreen is te zien hoe de pakketten lopen van punt A naar B (source naar destination). 1.4 Verbetervoorstel ... View more

1 Stukje tekst, antwoord op de vragen in het grijs. Waarom pingen etc. Routingtable: ip adrssen van alle groene lampjes. Local adressen: groene punten. Show Ip route is het enige wat van belang is. Routing ttable langs. Als hier het IP adres niet tussen zit van de server. 0.0.0.0/0 verwijzig dafault route. gaat via 220.68.93.18 Serial 0/0/0. Route volgen via het netwerk. Ook terugweg. Testresultaten: Resultaat. Conclusie en advies over wat je gezien hebt. routes lopen. In een tekening zetten van hoe de paketten verzonden worden. show ip route Als je wilt weten waar de router pakettje naar verstuurd. Heenroute controlleren, maar ook de terugweg controleren. Wanneer het ip adres Vraag: Wat is er met het paketje in de terugweg.   ... View more

2 1.1 Testactiviteiten Scenario: Een aantal pc’s kan de router niet benaderen. Uitvoerder: PieterJan Aantal stappen Handeling Gewenste resultaat Resultaat Stap 1 Op elke computer pingen naar de router en vaststellen welke computers de router niet kunnen benaderen.  Alle computers geven een reply als antwoord. Computer 0, 2 … ontvangen geen reply van de router en geeft de error: request timeout. Computer 1, 4 en.. krijgen wel een reply van de router. Stap 2 Vaststellen dat de computers die geen reply hebben gekregen in welke VLAN ze behoren en nogmaals pingen naar de router om erachter te komen welke computers in  VLAN 10, 20 en 30 wel of niet de router kunnen benaderen d.m.v. nogmaals pingen. De computers van alle VLAN’s kunnen de router wel bereiken. De Computers van VLAN 10 en 30 kunnen de router niet bereiken. Computers van VLAN 20 wel. Stap 3 Achterhalen of trunking voor de verbinding tussen switch 2 en de router zijn ingesteld. De computers van alle VLAN’s kunnen de router wel bereiken. De Computers van VLAN 10 en 30 kunnen de router niet bereiken. Computers van VLAN 20 wel. A Een aantal pc’s kan de router niet benaderen. . 1 2 3 4 5 6.   7. Vaststellen welke PC’s de router niet kunnen benaderen, door vanaf Van iedere pc pingen naar de router pingen. Omdat het lijkt alsof  alleen de PC’s van VLAN 10 en 30 de router niet kunnen benaderen, ga ik bevestigen dat trunking voor de link tussen switch 2 en de router staat ingesteld voor alle drie de VLANs. show interfaces trunk Omdat trunking tussen switch 2 en de router goed staat ingesteld, ga ik kijken of de router zijn subinterfaces goed heeft geconfigureerd. show ip int brief op router invoeren. Daarbij show access lists. Connectiviteit tussen VLAN 10 en router blijft een probleem. Nu ga ik de running-config bekijen om andere configuraties te vinden welke dit probleem veroorzaken. Subinterface .30 toevoegen aan de router en de juiste ip configuratie instellen. Ip adressering van PC 8 controleren, indien nodig aanpassen. Acceslist op vlan 10. Bijwerken, zodat deze onderaan explicit allow all heeft. Piet Elke PC krijgt een reply De port van Switch 2, waarmee deze is verbonden met de router, staat ingesteld om VLAN 10, 20 en 30 te trunken. Sub interface 10, 20 en 30 zijn aangemaakt en de ip adressering klopt.     Dat er geen configurratie in de running-config dat onterecht de communictie tussen VLAN 10 en router belemmerd. PC van VLAN 30 kunnen de router bekijken. Ip adressering van PC8 valt in het juiste netwerk. De PC van VLAN 10 kan de router bereiken. PC0, 2, 3, 5, 6 en 8 krijgen geen reply van de router. PC1, 4 en 7 krijgen wel een reply Dit klopt, De port van Switch 2, waarmee deze is verbonden met de router, staat ingesteld om VLAN 10, 20 en 30 te trunken. Alleen subinterface 30 ontbreekt op de router. Dit is mogelijk de oorzaak van het problem van de connectivieteit tussen vlan 30 en de router Router 0: Show ip int brief: show acces lists: Extended IP access list 101  10 deny ip 172.16.10.0 0.0.0.255 172.16.20.0 0.0.0.255 Er is een deny acces-list ingesteld het verkeer van VLAN 10 naar VLAN 20. Echter staat deze in een acceslist, wat betekend dat alle paketten gedropt worden. Echter staat in deze acces kust geen explicit allow voor de rest van het verkeer. Alle PC’s van VLAN 30 kunnen de router bereiken behalve PC8. Dit klopt niet vanwege een verkeerd IP adres. Hierbij het juiste ip adres bijwegerkt. Dit werkt commando acces list permit any any ... View more