LAN 301 - Cisco CCNA Security

LAN 301: Lab 05

 Usando ACLs IP para mitigar ataques.

 Tempo estimado: 60 minutos

Objetivo: Aplicar os conceitos de lista de controle de acesso.

Arquivo: \CCNA Security\Labs\Lab 05\Lan_301 - Lab 05.pkt

Topologia:
 3 roteadores
 3 switches
 2 servidores
 4 PCs Windows

172.16.2.0/24
Router1 PC0
Fa0/0
Se0/0/0
10.0.0.0/30
Se0/0/1

Server0 172.16.1.0/24 Se0/0/0

PC1
Fa0/0
Router0 10.1.1.0/30

Se0/0/1

10.2.2.0/30
Se0/0/1
PC2
Se0/0/0
Server1 Fa0/0

Router2
172.16.3.0/24

PC3

Exercícios:
1. Configurar os roteadores e PCs usando como base as informações abaixo e o gráfico apresentado.

Router0:
Hostname: rt-0
Interface f0/0:
Endereço IP: 172.16.1.1/24
Description: LAN_172.16.1.0
Interface s0/0/0:
Endereço IP: 10.0.0.1/30
Description: Link_to_rt-1
Clock rate: 4Mbps

1/6
 Interface s0/0/1:
Endereço IP: 10.2.2.1/30
Description: Link_to_rt-2
Clock rate: 4Mbps

Router1:
Hostname: rt-1
Interface f0/0:
Endereço IP: 172.16.2.1/24
Description: LAN_172.16.2.0
Interface s0/0/0:
Endereço IP: 10.0.0.2/30
Description: Link_to_rt-0
Interface s0/0/1:
Endereço IP: 10.1.1.1/30
Description: Link_to_rt-2
Clock rate: 4Mbps

Router2:
Hostname: rt-2
Interface f0/0:
Endereço IP: 172.16.3.1/24
Description: LAN_172.16.3.0
Interface s0/0/0:
Endereço IP: 10.2.2.2/30
Description: Link_to_rt-0
Interface s0/0/1:
Endereço IP: 10.1.1.2/30
Description: Link_to_rt-1

PC0: PC3:
Endereço IP: 172.16.2.2/24 Endereço IP: 172.16.3.3/24
Gateway: 172.16.2.1 Gateway: 172.16.3.1

PC1: Server0:
Endereço IP: 172.16.2.3/24 Endereço IP: 172.16.1.100/24
Gateway: 172.16.2.1 Gateway: 172.16.1.1

PC2: Server1:
Endereço IP: 172.16.3.2/24 Endereço IP: 172.16.1.101/24
Gateway: 172.16.3.1 Gateway: 172.16.1.1

2. Configurar EIGRP (AS 100) como protocolo de roteamento dinamico nos roteadores 0, 1 e 2.

3. Desabilitar nos roteadores 0, 1 e 2 a sumarização automática do EIGRP.

4. Verificar tabela de roteamento nos roteadores 0, 1 e 2.

5. Criar e aplicar uma ACL padrão filtrando todo tráfego com origem no host PC-0 para os servidores 0 e 1.

6. Testar ACL padrão criada no exercício anterior.

7. Criar e aplicar uma ACL extendida filtrando somente tráfego web com origem no host PC1 para o Server1.

8. Testar ACL extendida criada no exercício anterior.

9. Criar e aplicar uma ACL extendida nomeada filtrando somente tráfego ICMP com origem na subrede 172.16.3.0/24
para todos a subrede 172.16.1.0/24.

10. Testar ACL extendida criada no exercício anterior.

2/6
Resolução do LAB 05

Arquivo: \CCNA Security\Labs\Lab 05\LAN_301 - Lab 05-resolucao.pkt

1. Configurar os roteadores e PCs usando como base as informações abaixo e o gráfico apresentado.

Router0:

Hostname: rt-0
Router#config t
Router(config)#hostname rt-0
rt-0(config)#

Interface f0/0:
rt-0#config t
rt-0(config)#int f0/0
rt-0(config)#description LAN_to_172.16.1.0
rt-0(config-if)#ip address 172.16.1.1 255.255.255.0
rt-0(config-if)#no shut

Interface s0/0/0:
rt-0#config t
rt-0(config)#int s0/0/0
rt-0(config)#description Link_to_rt-1
rt-0(config-if)#ip address 10.0.0.1 255.255.255.252
rt-0(config-if)#clock rate 4000000
rt-0(config-if)# bandwidth 4000
rt-0(config-if)#no shut

Interface s0/0/1:
rt-0#config t
rt-0(config)#int s0/0/1
rt-0(config)#description Link_to_rt-2
rt-0(config-if)#ip address 10.2.2.1 255.255.255.252
rt-0(config-if)#clock rate 4000000
rt-0(config-if)# bandwidth 4000
rt-0(config-if)#no shut

Router1:

Hostname: rt-1
Router#config t
Router(config)#hostname rt-1
rt-1(config)#

Interface f0/0:
rt-1#config t
rt-1(config)#int f0/0
rt-1(config)#description LAN_172.16.2.0
rt-1(config-if)#ip address 172.16.2.1 255.255.255.0
rt-1(config-if)#no shut

Interface s0/0/0:
rt-1#config t
rt-1(config)#int s0/0/0
rt-1(config)#description Link_to_rt-0
rt-1(config-if)#ip address 10.0.0.2 255.255.255.252
rt-1(config-if)# bandwidth 4000
rt-1(config-if)#no shut

3/6
 Interface s0/0/1:
rt-1# config t
rt-1(config)# int s0/0/1
rt-1(config)# description Link_to_rt-2
rt-1(config-if)# ip address 10.1.1.1 255.255.255.252
rt-1(config-if)# clock rate 4000000
rt-1(config-if)# bandwidth 4000
rt-1(config-if)# no shut

Router2:

Hostname: rt-2
Router# config t
Router(config)# hostname rt-2
rt-2(config)#

Interface f0/0:
rt-2# config t
rt-2(config)# int f0/0
rt-2(config)# description LAN_172.16.3.0
rt-2(config-if)# ip address 172.16.3.1 255.255.255.0
rt-2(config-if)# no shut

Interface s0/0/0:
rt-2# config t
rt-2(config)# int s0/0/0
rt-2(config)# description Link_to_rt-0
rt-2(config-if)# ip address 10.2.2.2 255.255.255.252
rt-2(config-if)# bandwidth 4000
rt-2(config-if)# no shut

Interface s0/0/1:
rt-2# config t
rt-2(config)# int s0/0/1
rt-2(config)# description Link_to_rt-1
rt-2(config-if)# ip address 10.1.1.2 255.255.255.252
rt-2(config-if)# bandwidth 4000
rt-2(config-if)# no shut

PCs, Server0 e Server1:

Tab “Physical”: Ligar host

Tab ”Desktop”: Clicar em IP Configuration e configurar os endereços conforme solicitado no enunciado do exercício.

2. Configurar EIGRP (AS 100) como protocolo de roteamento dinamico nos roteadores 0, 1 e 2.

Router0:
rt-0# config t
rt-0(config)# router eigrp 100
rt-0(config-router)# network 10.0.0.0 0.0.0.3
rt-0(config-router)# network 10.2.2.0 0.0.0.3
rt-0(config-router)# network 172.16.1.0 0.0.0.255
rt-0(config-router)# exit

Router1:
rt-1# config t
rt-1(config)# router eigrp 100
rt-1(config-router)# network 10.0.0.0 0.0.0.3
rt-1(config-router)# network 10.1.1.0 0.0.0.3
rt-1(config-router)# network 172.16.2.0 0.0.0.255
rt-1(config-router)# exit

4/6
 Router2:
rt-2# config t
rt-2(config)# router eigrp 100
rt-2(config-router)# network 10.1.1.0 0.0.0.3
rt-2(config-router)# network 10.2.2.0 0.0.0.3
rt-2(config-router)# network 172.16.3.0 0.0.0.255
rt-2(config-router)# exit

3. Desabilitar nos roteadores 0, 1 e 2 a sumarização automática do EIGRP.

rt-0# config t
rt-0(config)# router eigrp 100
rt-0(config-router)# no auto-summary
rt-0(config-router)# exit

rt-1# config t
rt-1(config)# router eigrp 100
rt-1(config-router)# no auto-summary
rt-1(config-router)# exit

rt-2# config t
rt-2(config)# router eigrp 100
rt-2(config-router)# no auto-summary
rt-2(config-router)# exit

4. Verificar tabela de roteamento nos roteadores 0, 1 e 2.

rt-0# show ip protocols

rt-0# show ip route

rt-1# show ip protocols

rt-1# show ip route

rt-2# show ip protocols

rt-2# show ip route

5. Criar e aplicar uma ACL padrão filtrando todo tráfego com origem no host PC-0 para os servidores 0 e 1.

rt-0# config t
rt-0(config)# ip access-list standard 1
rt-0(config-std-nacl)#
rt-0(config-std-nacl)# deny host 172.16.2.2
rt-0(config-std-nacl)# permit any
rt-0(config-std-nacl)# exit

rt-0(config)# int f0/0

rt-0(config-if)# ip access-group 1 out

6. Testar ACL padrão criada no exercício anterior.

A partir do prompt de comando do PC0 e PC1:

PC> ping 172.16.1.100
PC> ping 172.16.1.101

5/6
7. Criar e aplicar uma ACL extendida filtrando somente tráfego web com origem no host PC1 para o Server1.

rt-1#config t
rt-1(config)#ip access-list extended 100
rt-1(config-ext-nacl)#deny tcp host 172.16.2.3 host 172.16.1.101 eq www
rt-1(config-ext-nacl)#permit ip any any
rt-1(config-ext-nacl)#exit
rt-1(config)#int f0/0
rt-1(config-if)#ip access-group 100 in

8. Testar ACL extendida criada no exercício anterior.

A partir do prompt de comando do PC1:

PC>ping 172.16.1.101

A partir do PC0 e PC1:

Tab ”Desktop”: Clicar em Web Browser e adicionar o endereço do Server1 (172.16.1.101) na barra de endereços.

9. Criar e aplicar uma ACL extendida nomeada filtrando somente tráfego ICMP com origem na subrede 172.16.3.0/24
para todos a subrede 172.16.1.0/24.

rt-2#config t
rt-2(config)#ip access-list extended Block_Ping
rt-2(config-ext-nacl)#deny icmp 172.16.3.0 0.0.0.255 172.16.1.0 0.0.0.255
rt-2(config-ext-nacl)#permit ip any any
rt-2(config-ext-nacl)#exit

rt-2(config)#int f0/0
rt-2(config-if)#ip access-group Block_Ping in
rt-2(config-if)#exit

10. Testar ACL extendida criada no exercício anterior.

Efetuar o comando ping a partir dos computadores PC2 e PC3.

A partir do PC2 e PC3:

Tab ”Desktop”: Clicar em Web Browser e adicionar o endereço do Server0 (172.16.1.100) na barra de endereços.
Tab ”Desktop”: Clicar em Web Browser e adicionar o endereço do Server1 (172.16.1.101) na barra de endereços.

6/6