Skip to main content

VLAN, Router-on-a-Stick, EtherChannel og Port Security

Formål

I denne opgave skal I opbygge et nyt netværk fra bunden i Cisco Packet Tracer.

Netværket skal bygges med:

  • to routere

  • to switche

  • Router-on-a-Stick og HSRP

  • en central DHCP-server

  • EtherChannel mellem switchene

  • Port Security på computerportene

Formålet er at sikre forbindelsen mellem switchene mod kabelfejl og begrænse, hvilke computere der kan tilsluttes netværket.

I skal lære at:

  • konfigurere VLANs, access-porte og trunks

  • konfigurere Router-on-a-Stick og HSRP

  • konfigurere central DHCP og ip helper-address

  • samle to forbindelser i en EtherChannel med LACP

  • konfigurere Port Security med sticky MAC-adresser

  • undersøge og genåbne en port efter en sikkerhedsovertrædelse

  • teste og dokumentere løsningen i Excel

Der lægges lige så stor vægt på dokumentationen som på den tekniske løsning.

Opgaven

Virksomheden Holmehave IT ønsker et driftssikkert netværk med bedre sikkerhed på computerportene.

Forbindelsen mellem virksomhedens to switche skal bestå af to kabler, som samles i én logisk forbindelse med EtherChannel.

Hvis ét kabel afbrydes, skal kommunikationen kunne fortsætte gennem det andet kabel.

Virksomheden ønsker desuden, at hver computerport kun accepterer én computer. Hvis en anden computer tilsluttes, skal porten lukkes automatisk.

Hele løsningen skal opbygges i en ny og tom Packet Tracer-fil.

Topologi

Netværket skal indeholde:

  • 2 × Cisco 2911-routere: R1 og R2

  • 2 × Cisco 2960-switche: SW1 og SW2

  • 1 × DHCP-server: DHCP-SRV01

  • 6 × klientcomputere

  • 1 × ekstra computer til test af Port Security

R1 forbindes til SW1, og R2 forbindes til SW2.

SW1 og SW2 forbindes med to kabler, som skal indgå i samme EtherChannel.

DHCP-serveren forbindes til SW1 i VLAN 40.

Der placeres én computer fra hvert klient-VLAN på hver switch.

VLAN- og IP-plan

Alle netværk anvender subnetmasken 255.255.255.0.

VLAN Navn Virtuel gateway HSRP-gruppe R1 R2
10 Administration 192.168.10.1 10 192.168.10.2 192.168.10.3
20 Support 192.168.20.1 20 192.168.20.2 192.168.20.3
30 Kontor 192.168.30.1 30 192.168.30.2 192.168.30.3
40 Server 192.168.40.1 40 192.168.40.2 192.168.40.3

Adressen .1 er den virtuelle HSRP-gateway i hvert VLAN.

Portplan

Anvend følgende portplan på begge switche:

Port SW1 forbindes til SW2 forbindes til Funktion
GigabitEthernet0/1 R1 R2 Trunk til router
FastEthernet0/23 SW2, Fa0/23 SW1, Fa0/23 EtherChannel-medlem
FastEthernet0/24 SW2, Fa0/24 SW1, Fa0/24 EtherChannel-medlem
FastEthernet0/1 ADM-PC01 ADM-PC02 Access, VLAN 10
FastEthernet0/2 SUP-PC01 SUP-PC02 Access, VLAN 20
FastEthernet0/3 KON-PC01 KON-PC02 Access, VLAN 30
FastEthernet0/10 DHCP-SRV01 Ikke anvendt Access, VLAN 40 på SW1

Ubenyttede porte skal lukkes.

Basisopsætning

Alle routere og switche skal som minimum konfigureres med:

  • korrekt hostname

  • deaktivering af DNS-opslag ved fejltastninger

  • enable secret

  • adgangskode på console- og VTY-linjerne

  • kryptering af adgangskoder

  • MOTD-banner

  • beskrivelser på benyttede interfaces

  • gemt konfiguration

VLAN og Router-on-a-Stick

På begge switche skal I:

  1. Oprette og navngive VLAN 10, 20, 30 og 40.

  2. Konfigurere computerportene som access-porte i de korrekte VLANs.

  3. Placere serverporten i VLAN 40.

  4. Konfigurere forbindelsen til routeren som trunk.

  5. Tillade de nødvendige VLANs på trunk-forbindelserne.

På begge routere skal I oprette ét subinterface til hvert VLAN.

Hvert subinterface skal have:

  • korrekt 802.1Q VLAN-ID

  • IP-adresse fra planen

  • interfacebeskrivelse

  • korrekt HSRP-gruppe og virtuel IP-adresse

Det fysiske routerinterface skal aktiveres, men må ikke have sin egen IP-adresse.

HSRP

Router Prioritet Normal rolle
R1 110 Active
R2 100 Standby

Preempt skal aktiveres på R1, så routeren genoptager Active-rollen efter en fejl.

DHCP

DHCP-SRV01 skal have følgende statiske konfiguration:

Indstilling Værdi
IP-adresse 192.168.40.10
Subnetmaske 255.255.255.0
Default gateway 192.168.40.1

Opret følgende DHCP-puljer på serveren:

VLAN Adresseområde Default gateway
10 192.168.10.100–199 192.168.10.1
20 192.168.20.100–199 192.168.20.1
30 192.168.30.100–199 192.168.30.1

Konfigurer ip helper-address til 192.168.40.10 på subinterfaces til VLAN 10, 20 og 30 på begge routere.

Der må ikke oprettes DHCP-puljer på routerne.

EtherChannel

De to forbindelser mellem SW1 og SW2 skal samles i Port-channel 1.

EtherChannel skal konfigureres med:

  • LACP

  • mode active på begge switche

  • FastEthernet0/23 og FastEthernet0/24 som medlemmer

  • Port-channel 1 som trunk

  • VLAN 10, 20, 30 og 40 som tilladte VLANs

Medlemsportene skal have ens indstillinger, herunder hastighed, duplex og trunkkonfiguration.

I skal kontrollere, at begge fysiske porte indgår i EtherChannel.

I skal kunne forklare:

  • forskellen på en fysisk port og en Port-channel

  • hvad LACP bruges til

  • hvad der sker, hvis ét medlemskabel afbrydes

  • hvorfor én enkelt dataforbindelse ikke nødvendigvis får dobbelt hastighed

Port Security

Port Security skal konfigureres på alle seks computerporte.

Anvend følgende indstillinger:

Indstilling Krav
Porttype Access
Maksimalt antal MAC-adresser 1
Indlæring Sticky
Violation mode Shutdown

Den korrekte computer skal tilsluttes og sende trafik, så switchen lærer dens MAC-adresse.

Konfigurationen skal derefter gemmes.

Port Security skal ikke konfigureres på router-trunks eller EtherChannel-portene.

Test med en anden computer

  1. Kontroller den indlærte MAC-adresse.

  2. Frakobl den godkendte computer.

  3. Tilslut den ekstra testcomputer på samme port.

  4. Giv testcomputeren en ledig statisk adresse i portens VLAN.

  5. Send trafik fra testcomputeren, eksempelvis et ping.

  6. Undersøg portens status og sikkerhedstællere.

  7. Tilslut den godkendte computer igen.

  8. Genåbn porten og kontroller, at kommunikationen fungerer.

I skal kunne forklare, hvorfor porten blev lukket, og hvordan den gendannes.

Funktionskrav

Når netværket fungerer, skal følgende være opfyldt:

  • Alle klienter modtager korrekte DHCP-indstillinger.

  • Computere i samme og forskellige VLANs kan kommunikere.

  • HSRP fungerer mellem R1 og R2.

  • Begge forbindelser mellem switchene indgår i Port-channel 1.

  • Kommunikationen fortsætter, hvis ét EtherChannel-kabel afbrydes.

  • Computerportene accepterer kun den indlærte MAC-adresse.

  • En anden computer udløser Port Security shutdown.

  • Porten kan gendannes, så den godkendte computer fungerer igen.

Test af netværket

Test Handling Forventet resultat
1 Kontroller klienternes IP-indstillinger Korrekt DHCP-adresse, maske og gateway
2 Ping mellem computere i samme VLAN på hver sin switch Ping lykkes
3 Ping mellem forskellige VLANs Ping lykkes
4 Kontroller EtherChannel-status Begge medlemsporte er samlet i Port-channel 1
5 Afbryd ét EtherChannel-kabel og gentag ping Kommunikationen fortsætter
6 Tilslut kablet igen Begge porte indgår igen i EtherChannel
7 Kontroller Port Security på en computerport Én sticky MAC-adresse er registreret
8 Tilslut testcomputeren og send trafik Porten lukkes af Port Security
9 Kontroller violation-tælleren og portstatus Sikkerhedsovertrædelsen fremgår
10 Tilslut korrekt computer og genåbn porten Kommunikationen fungerer igen
11 Afbryd R1’s forbindelse til SW1 R2 overtager som Active
12 Tilslut R1 igen R1 genoptager Active-rollen

Eventuelt pakketab under fejl og gendannelse skal observeres og dokumenteres.

Dokumentation og aflevering

Hele løsningen skal dokumenteres i Excel.

Dokumentationen skal indeholde topologi, portplan, VLAN- og IP-plan samt alle konfigurationer.

For EtherChannel skal medlemsporte, LACP-mode, Port-channel og trunkindstillinger fremgå.

For Port Security skal indstillinger, indlærte MAC-adresser, sikkerhedsovertrædelsen og gendannelsen dokumenteres.

Alle test skal have forventet resultat, faktisk resultat og dokumentation i form af skærmbilleder eller kommandooutput.

Aflever:

  • GruppeXX_EtherChannel_PortSecurity.pkt

  • GruppeXX_EtherChannel_PortSecurity_Dokumentation.xlsx

Alt, hvad der konfigureres, skal dokumenteres. Dokumentationen skal kunne bruges af en anden tekniker til at forstå og fejlfinde løsningen.