\chapter[Lab. úloha č. 1: Zabezpečení směrovače, technologie AAA, NAT, PAT a protokol SSH]{Lab.~úloha č.\,1: Zabezpečení\\ směrovače, technologie AAA, NAT,\\ PAT a protokol SSH}

Účelem laboratorní úlohy je seznámit studenty se základním zabezpečením směrovače, s~technologií AAA (Authentication, Authorization and Accounting), šifrovaným protokolem SSH (Secu\-re Shell) a~s~technologií překladu síťových adres NAT (Network Address Translation) i~PAT (Port Address Translation).

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Teoretický úvod}

\vspace{0.2cm}
\noindent \textbf{Technologie AAA}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Authentication, Authorization and Accounting (AAA, vyslovuje se „triple A“), česky autentizace, autorizace a~účtování, je systém, který kontroluje přístup uživatelů a~sleduje jejich aktivity v~síti. V~podstatě
se jedná o~vytvoření pravidel pro přístup k~síťovým zdrojům, posílení bezpečností politiky, využití auditu atd. Technologie AAA je často implementována pomocí serveru TACACS+ nebo RADIUS. Pro efektivní správu a~zabezpečení sítě je velmi důležitá kombinace všech tří procesů.

\vspace{0.2cm}
\begin{itemize}\itemsep2pt
	\item  \textbf{Autentizace} je proces identifikace jednotlivce, obvykle na základě uživatelského jména a~hesla. Další variantou je jednorázový kód, digitální certifikát apod.
	
	\item \textbf{Autorizace} je proces udělení či odepření přístupu uživateli k~síťovým službám na základě jeho autentizace. Jedná se tedy o~určení, jaké služby, informace a~příkazy může daný uživatel využívat.
	
	\item \textbf{Účtování} je proces sledování aktivity uživatele při přístupu k~síti či síťovému zařízení, včetně zaznamenávání stráveného času a~dat, přenesených v~průběhu relace. 
\end{itemize}
\vspace{0.2cm}

Jsou dva hlavní typy využití technologie AAA. Prvním je správa síťových
zařízení, kde jde o~kontrolu a~řízení uživatelů, kteří pomocí konzole, TELNET či SSH přistupují k~zařízení (TACACS+). Druhým využitím je síťový přístup, což znamená zabezpečení sítě proti neoprávněnému přístupu uživatele či zařízení (RADIUS).

\vspace{0.2cm}
\begin{itemize}\itemsep2pt
	\item  \textbf{TACACS+} je protokol vyvinutý společností Cisco Systems a~je otevřeným standardem pro technologii AAA. Využívá se pro řízení a~kontrolu přístupu k~síťovému zařízení. Pro komunikaci používá protokol TCP s~portem 49 a~během komunikace dochází k~šifrování celého paketu, což znemožňuje zachycení citlivých dat potenciálním útočníkem. Dokáže oddělit autentizaci, autorizaci i~účtování jako samostatné nezávislé funkce a~podporuje 15 úrovní oprávnění.
	
	\item \textbf{RADIUS} je protokol podporovaný všemi prodejci síťových zařízení a~je IETF standardem pro technologii AAA. Využívá se pro zabezpečení přístupu k~sítím a~síťovým službám proti neoprávněnému přístupu. Pro komunikaci používá protokol UDP s~porty 1645 či 1812 (autentizace) a~1646 či 1813 (účtování). Během komunikace zaručuje šifrování uživatelských hesel, ovšem další informace, jako je uživatelské jméno, účtování apod., šifrovány nejsou a~můžou být zachyceny třetí stranou. Kombinuje autentizace společně s~autorizací a~nerozlišuje úrovně oprávnění.
\end{itemize}

\vspace{0.2cm}
\noindent \textbf{Protokol SSH}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Secure Shell (SSH), česky bezpečný shell, je síťový protokol,
který poskytuje bezpečný způsob přístupu ke vzdálenému síťovému zařízení
a~zaručuje bezpečné šifrování datové komunikace mezi dvěma zařízeními, propojenými přes nezabezpečenou síť. Provádí také autentizaci komunikujících stanic a~uživatelů. Vychází z~architektury klient-server a~pro spolehlivý přenos využívá protokol TCP na portu 22. 

Secure Shell je široce využíván správci sítí pro správu systémů a~aplikací na dálku. Umožňuje jim přihlášení se k~jinému zařízení, spouštění příkazů a~přesouvaní souborů z~jednoho zařízení do druhého. Kombinuje tedy funkci nezabezpečených služeb FTP a~TELNET. Umožňuje také přesměrování portů pro tunelování, šifrování e-mailových spojení a~provádění autentizace pomocí veřejných a~privátních klíčů. Právě poslední metoda je hojně využívána pro automatizaci přihlašování ke vzdálenému zařízení, protože jde o~přístup bez nutnosti zadávání hesla. Bezpečnostní výhodou je znemožnění falšování paketů, zdrojové směrování paketů, šifrování veškeré komunikace a~zaručení integrity dat při přenosu přes síť.

\vspace{0.2cm}
\noindent \textbf{Technologie NAT}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Network Address Translation (NAT), česky překlad síťových adres, je proces, při kterém síťové zařízení, například směrovač nebo firewall, přiděluje veřejnou IP adresu hostitelskému zařízení, například PC, které se nachází uvnitř lokální sítě a~má nakonfigurovanou určitou privátní IP
adresu.

Soukromé IP adresy jsou jasně definované a~neměly by se objevit na Internetu, protože se využívají ke směrování uvnitř privátních sítí. Stejné adresy však využívá mnoho dalších zařízení v~jiných privátních sítích. Proto pro přístup k~prostředkům mimo privátní síť potřebuje každé zařízení jedinečnou veřejnou IP adresu. Těch je ale omezené množství. V~tento moment je potřeba využít překlad síťových adres, díky kterému můžou rozsáhlé privátní sítě, obsahující množství různých zařízení, vystupovat pod jedinou unikátní veřejnou IP adresou nebo pod určitým rozsahem veřejných IP adres. Tuto adresu či rozsah adres organizace získává, nebo spíše kupuje, od svého poskytovatele
internetových služeb (ISP).

Hlavním důvodem pro použití NAT je tedy snížení počtu veřejných IP adres,
které organizace využívá. NAT má však také velmi důležitou bezpečnostní
funkci a umožňuje přísnější kontrolu přístupu ke zdrojům na obou stranách
směrovače či firewallu. Existují čtyři různé režimy technologie NAT.

\vspace{0.2cm}
\begin{itemize}\itemsep2pt
	\item \textbf{Statický NAT} -- Používá se pro mapování jedna k jedné (one-to-one mapping) mezi privátní a~veřejnou IP adresou. Pokud chceme síťovým zařízením z~veřejné sítě umožnit přístup k~určitému zařízení uvnitř privátní sítě, tak použijeme právě statický NAT. Proto se
obvykle využívá pro servery (např.\,webový server) uvnitř privátní sítě, které mají být dostupné z Internetu. 

	\item \textbf{Dynamický NAT} -- Používá se v~situaci, kdy vlastníte rozsah veřejných IP adres, které chcete dynamicky přidělit privátním IP adresám uvnitř sítě (many-to-many mapping). Jakmile privátní zařízení uvnitř sítě odešle požadavek na zařízení ve veřejné síti, směrovač
dynamicky přiděluje dostupnou IP adresu z~rozsahu adres pro dynamický NAT. Je umožněno pouze tolik souběžných spojení s~veřejnou sítí, kolik máme k~dispozici veřejných IP adres.

	\item \textbf{NAT Overload} -- Opět se používá v~situaci, kdy vlastníte rozsah veřejných IP adres, které chcete přidělit privátním IP adresám uvnitř sítě (many-to-many mapping), ale v~tomto rozsahu není dostatek veřejných IP adres pro dynamický NAT. Směrovač používá první veřejnou IP adresu z~daného rozsahu a~pro spojení s~veřejnou sítí přiřazuje tuto IP adresu společně s~jedinečným číslem zdrojového portu. Jakmile dojde k využití všech dostupných portů pro první veřejnou IP adresu, přejde k~další veřejné IP adrese a~celý proces se tak opakuje. Je tak k dispozici několik stovek souběžných spojení s~veřejnou sítí, díky jedinečnému přiřazení zdrojového portu k~veřejné IP adrese z~daného rozsahu.

\item \textbf{Port Address Translation (PAT)} -- Jedná se o~nejčastěji používaný režim technologie NAT. Využívá se v~případě, kdy vlastníte pouze jednu veřejnou IP adresu. To znamená, že všechny privátní IP
adresy uvnitř sítě budou mapovány právě k~této jedné veřejné IP adrese (many-to-one mapping). Princip tohoto režimu je naprosto shodný s~režimem NAT Overload, není však využíván rozsah veřejných IP adres, ale pouze jedna veřejná IP adresa. To je pro malé a~střední sítě dostačující, protože i~s~jednou veřejnou IP adresou je k~dispozici velké množství souběžných spojení s~veřejnou sítí, právě díky jedinečnému přiřazení zdrojového portu k této adrese. 
\end{itemize}
\vspace{0.2cm}

\newpage

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Topologie sítě a adresní prostor}

												\begin{figure}[hc]
												\centering
							\includegraphics[scale=0.85]{obrazky/LAB1_topologie}
												%\caption{Topologie sítě středního rozsahu.}
												\label{fig:lab1sit}
												\end{figure}	
												
\begin{table}[ht]										
% \caption{Rozdělení adresního prostoru.}
	\label{tab:LAB1_prostor}
  \begin{center}
  	\small
	  \begin{tabular}{|c|c|c|c|c|}
			\hline
	    \textbf{Zařízení} & \textbf{Rozhraní} & \textbf{IP adresa} & \textbf{Maska sítě} & \textbf{Výchozí brána} \\ 
			\hline\hline
			Router\_END 	& Fa1/0 & 188.18.8.10	 & 255.255.255.252 & -- \\
			\hline
										& Fa0/0 & 172.16.1.1	 & 255.255.255.0 	 & -- \\
			\hline
										& Fa0/1 & 172.16.2.1	 & 255.255.255.0 	 & -- \\
			\hline
			Router\_ISP 	& Fa1/0 & 188.18.8.9	 & 255.255.255.252 & -- \\
			\hline
										& Lo0 	& 220.20.20.20 & 255.255.255.0 	 & -- \\
			\hline
			Switch\_A		  & --		& -- 	 				 & -- 						 & -- \\
			\hline
			Switch\_C		  & --		& -- 	 				 & -- 						 & -- \\
			\hline
			PC\_Chief		  & Fa0	  & 172.16.1.5 	 & 255.255.255.0 & 172.16.1.1 \\
			\hline
			PC\_Staffer  & Fa0 	& 172.16.1.6 	 & 255.255.255.0 & 172.16.1.1 \\
			\hline
			PC\_Admin	 	  & Fa0	  & 172.16.2.5 	 & 255.255.255.0 & 172.16.2.1 \\
			\hline			
			TACACS+		 	  & Fa0	  & 172.16.2.10	 & 255.255.255.0 & 172.16.2.1 \\
			\hline	
			RADIUS 		 	  & Fa0	  & 172.16.2.11	 & 255.255.255.0 & 172.16.2.1 \\
			\hline				
	  \end{tabular}
  \end{center}
\end{table}

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\vspace{-0.9cm}											
\section{Postup konfigurace}

V~Activity Wizard máte topologii sítě shodující se s~obrázkem výše. Koncová zařízení PC\_Chief, PC\_Staffer, PC\_Admin  a~server TACACS+ mají již nastavenou IP adresu, masku sítě a~výchozí bránu. Směrovač Router\_ISP má již také nakonfigurovány IP adresy na rozhraní Fa1/0 a~Lo0 (simulace Internetu). Můžete provést kontrolu správnosti celého nastavení dle adresního prostoru v~tabulce výše. Na serveru TACACS+ je dále přednastavena služba AAA. Prozkoumejte toto nastavení kliknutím na daný server, přepnutím se do záložky Services a~následným zvolením služby AAA. Pokud máte splněno, přejděte k~základní konfiguraci hraničního směrovače Router\_END.

\vspace{0.2cm}
\textbf{Základní konfigurace směrovače}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
\item Nastavte jméno směrovače na Router\_END.

				\texttt{Router(config)\#hostname Router\_END}
				
\item Vypněte překlad nerozpoznaných příkazů na IP adresy.

				\texttt{Router\_END(config)\#no ip domain-lookup}
				
\item Spusťte otisk všech hesel pomocí MD5 hashe. Z~hesel vytvoří nečitelný řetězec.

				\texttt{Router\_END(config)\#service password-encryption}
				
\item Nastavte omezení pro minimální délku (0--16) všech hesel směrovače.

				\texttt{Router\_END(config)\#security password min-length 5}
				
\item Nastavte šifrované heslo \uv{class} pro přechod z~uživatelského režimu do privilegovaného.

				\texttt{Router\_END(config)\#enable secret class}

\item Nastavte přihlašovací jméno \uv{ADMIN} úrovně oprávnění 15 a~zašifrovaného tajného hesla \uv{control} k~uložení do lokální databáze směrovače.

				\texttt{Router\_END(config)\#username ADMIN privilege 15 secret control}

\item Pokud nastanou více než 3 přihlašovací selhání během 60\,s, budou všechna přihlášení zablokována po dobu 120\,s. Nutné použít před všemi příkazy login.

				\texttt{Router\_END(config)\#login block-for 120 attempts 3 within 60}

\item Vytvářet záznamy logů všech úspěšných přihlášení do Syslog serveru.

				\texttt{Router\_END(config)\#login on-success log}

\item Vytvářet záznamy logů všech neúspěšných přihlášení do Syslog serveru.

				\texttt{Router\_END(config)\#login on-failure log}

\item Nastavte MOTD (message-of-the-day) banner k~varování neautorizovaných uživatelů.

				\texttt{Router\_END(config)\#banner motd \#Unauthorized access to this\\ device is prohibited! Authorized personnel only! Please enter\\ your username and password.\#}
				
\item Vstupte do konfigurační režimu pro ethernetová rozhraní a nastavte správné IP adresy dle tabulky adresního prostoru. Nezapomeňte rozhraní zapnout.

				\texttt{Router\_END(config)\#int Fa0/0}
				
				\texttt{Router\_END(config-if)\#ip address <IP adresa> <maska sítě>}
				
				\texttt{Router\_END(config-if)\#no shutdown}
				
				\bigskip
				
				\texttt{Router\_END(config-if)\#int Fa0/1}

				\texttt{Router\_END(config-if)\#ip address <IP adresa> <maska sítě>}
				
				\texttt{Router\_END(config-if)\#no shutdown}			
							
\item Zobrazte běžící konfiguraci.

				\texttt{Router\_END\#show running-config}
				
\item Uložte provedenou konfiguraci do NVRAM. Tento příkaz používejte na konci každé konfigurace.

				\texttt{Router\_END\#copy running-config startup-config}
\end{enumerate}
\vspace{0.2cm}

\noindent Uvedená konfigurace je naprosto základní a~je dobré si ji zapamatovat. Měla by být součástí každé první konfigurace jakéhokoliv směrovače! Nyní se podíváme, jak zabezpečit přístup ke směrovači přes konzoli pomocí autentizační technologie AAA s~využitím serveru TACACS+.

\vspace{0.2cm}
\textbf{Zabezpečení přístupu k~zařízení přes konzoli}%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
\item Nastavte IP adresu serveru TACACS+, aby směrovač věděl, kam zasílat autentizační požadavky.

				\texttt{Router\_END(config)\#tacacs-server host 172.16.2.10}
				
\item Nastavte bezpečnostní klíč, který je nakonfigurován na serveru TACACS+.

				\texttt{Router\_END(config)\#tacacs-server key TacAcs-Psw96}
	
\item Zapněte technologii AAA.

				\texttt{Router\_END(config)\#aaa new-model}

\item Vytvořte seznam autentizačních metod s~názvem \uv{TAC\_AUTH}. K~autentizaci budete využívat nejprve server TACACS+, při jeho nedostupnosti bude použita lokální databáze.

				\texttt{Router\_END(config)\#aaa authentication login TAC\_AUTH group\\ tacacs+ local}

\item Vstupte do režimu přístupu přes konzoli a~ vypněte výpis systémových i~informačních hlášek do psaného textu (synchronní logování).

				\texttt{Router\_END(config)\#line con 0}

				\texttt{Router\_END(config-line)\#logging synchronous}
				
\item Nastavte časový limit pro automatické odhlášení konzole. 
%Při zadání 0 0 (minuty sekundy) se nikdy automaticky neodhlásí.

				\texttt{Router\_END(config-line)\#exec-timeout 10 0}
				
\item Aplikujte na přístup přes konzoli vytvořený seznam autentizačních metod.

				\texttt{Router\_END(config-line)\#login authentication TAC\_AUTH}
\end{enumerate}
\vspace{0.2cm}

\noindent Vytvořené zabezpečení přístupu ke konzoli vyzkoušíte tak, že se nejprve odhlásíte ze směrovače sekvencí příkazů exit, a~následně budete vyzvání k zadání jména a~hesla. Použijte autorizovaného uživatele, vytvořeného pouze v~serveru TACACS+ (username:\,CCNA, password:\,cisco). Přístup k~zařízení bude povolen! Dále zadejte příkaz \texttt{enable} a~heslo (class) pro přechod z~uživatelského režimu do privilegovaného. Jelikož máte nastavenou úroveň privilegií 15 (nejvyšší možnou), přístup bude povolen! Nyní se podíváme, jak zabezpečit přístup ke směrovači přes virtuální linku pomocí šifrovaného SSH protokolu.

\vspace{0.2cm}
\textbf{Zabezpečení přístupu k zařízení přes virtuální linku}%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
\item Nastavte časový interval pro přihlášení pomocí SSH na 10\,s.

				\texttt{Router\_END(config)\#ip ssh time-out 10}
				
\item Nastavte maximální počet pokusů o~přihlášení pomocí SSH.

				\texttt{Router\_END(config)\#ip ssh authentication-retries 2}
				
\item Nastavte aktuální verzi protokolu SSH.

				\texttt{Router\_END(config)\#ip ssh version 2}
				
\item Vytvořte doménu s~názvem \uv{laborka.cz} pro přístup přes SSH.

				\texttt{Router\_END(config)\#ip domain-name laborka.cz}
				
\item Vygenerujte RSA šifrovací klíč pro přístup pomocí SSH. Použijte velikost 1024\,bitů. Nutné vždy provést až po nastavení jména zařízení a~názvu domény.

				\texttt{Router\_END(config)\#crypto key generate rsa}
				
\item Vytvořte seznam autentizačních metod s~názvem \uv{SSH\_LOGIN}. K~autentizaci budete využívat nejprve server TACACS+, při jeho nedostupnosti bude použita lokální databáze.

				\texttt{Router\_END(config)\#aaa authentication login SSH\_LOGIN group\\ tacacs+ local}
				
\item Vytvořte standardní přístupový list s~názvem \uv{PERMIT\_ADMIN}. Při aplikaci listu povolte přístup pouze správci sítě (PC\_Admin).

				\texttt{Router\_END(config)\#ip access-list standard PERMIT\_ADMIN}

				\texttt{Router\_END(config-std-nacl)\#permit host 172.16.2.5}
				
\item Vstupte do režimu pro vzdálený přístup na virtuálních linkách 0--4 a vypněte výpis systémových i~informačních hlášek do psaného textu (synchronní logování).

				\texttt{Router\_END(config)\#line vty 0 4}

				\texttt{Router\_END(config-line)\#logging synchronous}
				
\item Nastavte časový limit pro automatické odhlášení vzdáleného přístupu přes virtuální linky. Při zadání 0 0 (minuty sekundy) se nikdy automaticky neodhlásí.

				\texttt{Router\_END(config-line)\#exec-timeout 10 0}				
				
\item Aplikujte na přístup přes tyto linky vytvořený seznam autentizačních metod.

				\texttt{Router\_END(config-line)\#login authentication SSH\_LOGIN}
				
\item Povolte připojení k~těmto linkám pouze protokolem SSH. Jiný přístup, například protokolem TELNET, bude zamítnut.

				\texttt{Router\_END(config-line)\#transport input ssh}				
				
\item Zakažte jakékoliv odchozí spojení (SSH, TELNET) z~těchto virtuálních linek.

				\texttt{Router\_END(config-line)\#transport output none}					
				
\item Aplikujte vytvořený přístupový list na tyto virtuální linky v~příchozím směru.

				\texttt{Router\_END(config-line)\#access-class PERMIT\_ADMIN in}	
\end{enumerate}
\vspace{0.2cm}

\noindent Vytvořené zabezpečení přístupu přes virtuální linku vyzkoušíte tak, že se přepnete do PC\_Admin a~v~příkazovém řádku počítače zadáte příkaz \texttt{ssh -l CCNA 172.16.2.1}, následně budete vyzvání k~zadání hesla (cisco) a~bude otevřena SSH relace. Vyzkoušejte stejný postup např.\,z~PC\_Chief. Přístup bude na základě přístupového listu odmítnut! Přejděte ke konfiguraci technologie překladu síťových adres.

\vspace{0.2cm}
\textbf{Konfigurace NAT overload}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}

\item Vstupte do konfiguračního režimu optického rozhraní a~nastavte popisek i~správnou IP adresu dle tabulky adresního prostoru. Nezapomeňte rozhraní zapnout.

				\texttt{Router\_END(config)\#int Fa1/0}
				
				\texttt{Router\_END(config-if)\#description Connection to Router\_ISP}
				
				\texttt{Router\_END(config-if)\#ip address <IP adresa> <maska sítě>}
				
				\texttt{Router\_END(config-if)\#no shutdown}

\item Vytvořte standardní přístupový list s~názvem \uv{NAT\_TRAN}. Při aplikaci listu povolte přístup sítě, obsahující PC\_Chief a~PC\_Staffer. Povolte také přístup správci sítě (PC\_Admin).

				\texttt{Router\_END(config)\#ip access-list standard NAT\_TRAN}
						
				\texttt{Router\_END(config-std-nacl)\#permit 172.16.1.0 0.0.0.255}				

				\texttt{Router\_END(config-std-nacl)\#permit host 172.16.2.5}
				
\item Nastavte vnitřní (NAT Inside) a~vnější (NAT Outside) rozhraní.

				\texttt{Router\_END(config)\#int Fa0/0}
				
				\texttt{Router\_END(config-if)\#ip nat inside}
				
				\texttt{Router\_END(config-if)\#int Fa0/1}
				
				\texttt{Router\_END(config-if)\#ip nat inside}

				\texttt{Router\_END(config-if)\#int Fa1/0}
				
				\texttt{Router\_END(config-if)\#ip nat outside}

\item Vytvořte statické směrování z~privátní sítě do Internetu ve tvaru <adresa cílové sítě> <maska cílové sítě> <adresa dalšího skoku>. Při zadávání default cesty obsahuje adresa i~maska sítě samé nuly.

				\texttt{Router\_END(config)\#ip route 0.0.0.0 0.0.0.0 188.18.8.9}

\item Nastavte rozsah veřejných IP adres pro režim NAT Overload. Od poskytovatele internetových služeb (ISP) jste zakoupili adresní prostor s~adresou sítě 188.18.8.4/30, což vám poskytuje pouze dvě veřejné IP adresy.

				\texttt{Router\_END(config)\#ip nat pool NAT\_PUBLIC 188.18.8.5 188.18.8.6\\ netmask 255.255.255.252}
				
\item Povolte NAT Overload překlad privátních IP adres z~vytvořeného přístupového listu NAT\_TRAN na rozsah veřejných IP adres NAT\_PUBLIC.

				\texttt{Router\_END(config)\#ip nat inside source list NAT\_TRAN pool\\ NAT\_PUBLIC overload}
				
\item Zobrazte všechny překlady síťových adres.

				\texttt{Router\_END\#show ip nat translations}
\end{enumerate}
\vspace{0.2cm}

\noindent Funkčnost nakonfigurovaného překladu síťových adres vyzkoušejte následovně. Na všech třech povolených počítačích zadejte do příkazového řádku příkaz \texttt{ping -t 220.20.20.20}. Následně přejděte k~hraničnímu směrovači a~zadejte příkaz \texttt{show ip nat translations}. Zobrazí se vám překlad privátních IP adres na veřejné IP adresy spolu s~použitými porty. Poté ukončete ping na počítačích (Ctrl\,+\,C). Pokuste se o~stejný ping ze serveru TACACS+. Provoz bude zamítnut, protože IP adresa serveru TACACS+ nemá, na základě přístupového listu NAT\_TRAN, přístup k~Internetu. Dále vyzkoušejte směrovačem Router\_ISP pingnout jakékoliv koncové zařízení uvnitř sítě. Přístup z~veřejné sítě bude zamítnut!

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Samostatné úkoly}

Nyní budete mít za úkol vytvořit konfiguraci již bez ukázkových příkazů. Využívejte však výše uvedených příkazů, bude docházet pouze k~jistým úpravám. Také během konfigurace hojně využívejte znak~?, který vám poradí v~dalších možnostech daného příkazu. Pro smazání příkazu z~konfigurace zařízení využívejte klíčové slovo \texttt{no <daný příkaz>}.

\vspace{0.2cm}
\textbf{Konfigurace RADIUS serveru}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
	\item Nastavte IP adresu, masku sítě a~výchozí bránu serveru RADIUS na základě tabulky adresního prostoru. Povolte službu AAA na daném serveru a~vytvořte potřebné údaje. Vycházejte z~nastavení serveru TACACS+. Přidejte nového autorizovaného uživatele (username:\,CCNP, password:\,academy). Použijte klíč \uv{RadIus-Psw96}.
	
	\item Vytvořte zabezpečení přístupu k~zařízení přes konzoli pomocí autentizačního protokolu AAA s~využitím RADIUS serveru. Vycházejte z~ukázkových příkazů výše. Zadejte IP adresu a~klíč serveru RADIUS.
	
	\item Vytvořte seznam autentizačních metod s~názvem \uv{RAD\_AUTH}. Autentizace bude provedena pomocí serveru RADIUS, pokud však nebude dostupný, využijte lokální databázi směrovače. Následně vytvořený seznam aplikujte na přístup přes konzoli.	
\end{enumerate}
\vspace{0.2cm}
\bigskip
\bigskip

\noindent Vyzkoušejte autentizaci na směrovači s~nově vytvořeným uživatelem (CCNP). Když bude přístup povolen, provedli jste konfiguraci správně a~můžete přejít dále. Pokud je přístup zamítnut, zkuste tento problém vyřešit pomocí ukázkových příkazů, příkazů \texttt{show} a~vyhledáváním v~doporučené literatuře nebo na Internetu. Poté přejděte ke konfiguraci Port Address Translation (PAT).

\vspace{0.2cm}
\textbf{Konfigurace PAT}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}	
	\item Vymažte všechny dosavadní provedené překlady síťových adres.
	
					\texttt{clear ip nat translation *}
					
	\item Povolte PAT překlad privátních IP adres z~vytvořeného přístupového listu NAT\_TRAN na jednu veřejnou IP adresu (jedná se o~IP adresu optického rozhraní Fa1/0 směrovače Router\_ISP). Využívejte poznatků z~příkazu 6 v~části konfigurace NAT Overload a~používejte znak~?, který vám pomůže vymyslet správný příkaz pro PAT. 
\end{enumerate}
\vspace{0.2cm}

\noindent Zda jste konfiguraci provedli správně poznáte následovně. Z~jakéhokoliv PC proveďte ping do veřejné sítě (220.20.20.20) a~poté si zobrazte na směrovači Router\_END překlad síťových adres. Ping musí být funkční a~pakety odchází do veřejné sítě jen pod veřejnou IP adresou 188.18.8.10 s~přiřazeným portem. Z~veřejné sítě nesmí jít pingnout žádné zařízení uvnitř privátní sítě!

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Prezentace výsledků}

Pokud vše funguje tak, jak má, zobrazte si výsledky pomocí Check Results a~následně Assessment Items. Zkontrolujte, že jsou všechny příkazy správně provedeny a~výsledek předveďte vyučujícímu.

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Doporučená literatura}

Zájemcům doporučuji, k~prohloubení znalostí výše uvedených témat a~mnohých dalších, nahlédnout do této literatury, kterou dále doporučuji také pro řešení problému s~celou výše uvedenou konfigurací.
\bigskip

\noindent
MIKÉSKA,\,M.
\emph{Návrh a testování bezpečné počítačové sítě}.
Bakalářská práce. 
Brno: Vysoké učení technické v Brně, Fakulta elektrotechniky a komunikačních technologií, Ústav telekomunikací, 2016. 138 s. Vedoucí práce byl Ing.\,Lukáš Malina,\,Ph.D.