\chapter[Lab. úloha č. 2: Zabezpečení přepínače, VLAN, Inter-VLAN Routing a funkce Port Security]{Lab.~úloha č.\,2: Zabezpečení\\ přepínače, VLAN, Inter-VLAN\\ Routing a funkce Port Security}

Účelem laboratorní úlohy je seznámit studenty se základním zabezpečením přepínače, s~vytvořením zabezpečené VLAN (Virtual Local Area Network), směrováním Inter-VLAN Routing pomocí technologie Router-on-a-Stick a~s~bezpečnostní funkcí Port Security.

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Teoretický úvod}

\vspace{0.2cm}
\noindent \textbf{Virtual Local Area Network}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Důležitou součástí konfigurace přepínačů je vytvoření VLAN (Virtual Local Area Network). Jde o~virtuální lokální síť, která umožňuje rozdělit privátní síť tak, aby odpovídala funkčním a~bezpečnostním požadavkům bez změny stávající síťové infrastruktury, tzn.\,logické rozdělení sítě bez závislosti na fyzickém uspořádání. Je to velmi využívaná technologie ve většině firem, protože s~sebou přináší spoustu výhod, tou největší je především redukce zatížení sítě všesměrovým vysíláním. Navíc správně nakonfigurované VLAN dokáží zvýšit zabezpečení vnitřní sítě. 

Pro bezpečnost je dobrým pravidlem nejprve manuálně vypnout všechna rozhraní přepínače a~pak postupně během konfigurace zapnout jen ta rozhraní, která budeme využívat. Kvůli bezpečnosti by také žádné rozhraní nemělo zůstat v~defaultní VLAN\,1 (automaticky nastavená na každém přepínači umožňující VLAN, nelze odstranit). Proto je vhodné všechna nevyužívaná rozhraní přiřadit do nepoužívané VLAN.

Pro automatické vyjednávání o~tom, zda je dané rozhraní v~trunk módu, slouží protokol DTP (Dynamic Trunk Protocol). Z~bezpečnostního hlediska je dobrým pravidlem vypnout vyjednávání trunk portu protokolem DTP.

\vspace{0.2cm}
\noindent \textbf{Inter-VLAN Routing}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Pro možnost komunikace mezi všemi VLAN je nutné nastavit směrování. Pokud nejsou přepínače propojeny navzájem fyzickým přenosovým médiem, je možné využít Inter-VLAN Routing pomocí technologie Router-on-a-Stick. Umožníme tak komunikaci VLAN jednoho přepínače s VLAN jiného přepínače. Tuto komunikaci můžeme dále řídit pomocí ACL (Access Control List).

Důležitou součástí komunikace mezi přepínačem a~směrovačem, či mezi dvěma a~více přepínači, je protokol IEEE 802.1Q, kterému se říká trunking protokol, a~je podporován na všech moderních přepínačích i~směrovačích umožňujících VLAN. Využívá tzv.\,taggování, což je rozšíření hlavičky rámce o~4\,B informaci. Konfigurace probíhá tak, že obě rozhraní dané linky nastavíme do trunk módu a~využijeme mezi nimi nativní VLAN. Nativní VLAN je součástí protokolu IEEE 802.1Q a~musí být vždy nakonfigurována shodně na obou stranách trunku. Rozhraní směrovače přiřadíme do trunk módu tak, že vytvoříme příslušné „podrozhraní“ (subinterface), kde nastavíme využívání protokolu IEEE 802.1Q a~přiřadíme správnou IP adresu, která bude defaultní bránou (gateway) pro zařízení v~dané VLAN.

\vspace{0.2cm}
\noindent \textbf{Bezpečnostní funkce Port Security}%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

Jedná se o~jednoduchou a~velice zajímavou metodu zabezpečení přístupu do sítě. K~portu přepínače je buď staticky nebo dynamicky přiřazen určitý počet bezpečných MAC adres. Pokud se poté na tento port připojí zařízení, které má jinou MAC adresu než byla zadána či automaticky naučena, může dojít k~vyřazení provozu nebo vypnutí portu. Tímto způsobem můžeme omezit přístup k~rozhraní tak, aby jej mohla používat pouze autorizovaná zařízení, což může zabránit útočníkovi v~připojení svého přístroje. 

Funkce Port Security brání útokům \textbf{MAC Address Spoofing} a~\textbf{MAC Address Table Overflow}. Pokud je počet bezpečných MAC adres omezen na jednu a~k~portu je přiřazena právě jedna bezpečná MAC adresa, potom zařízení připojené k~tomuto portu využívá plnou šířku pásma.

Konfigurace Port Security obsahuje několik důležitých kroků. Nejprve musíme nastavit, kolik maximálně bezpečných MAC adres může být k danému portu přiřazeno. Poté přejdeme k~zadávání bezpečných MAC adres. Pokud MAC adresy nezadáme manuálně jako statické adresy (spousta práce pro správce sítě), získávají se z~aktuálního provozu dynamicky až do zadaného maxima. Není-li však konfigurace uložena, dynamické záznamy se po restartu portu smažou, což je pro bezpečnost velmi nežádoucí. Tento problém řeší Sticky MAC adresy, které mají spoustu výhod jako statické MAC adresy, ovšem jsou získávány dynamicky a~zůstávají v~paměti přepínače i~po restartu portu. V~posledním kroku je nutné nastavit, co se má stát, pokud dojde k narušení bezpečnosti (security violation), což může nastat ve dvou situacích:

\vspace{0.2cm}
\begin{itemize}\itemsep2pt
	\item  Je-li dosaženo maximálního počtu bezpečných MAC adres a na port přepínače přijde provoz z MAC adresy, která není mezi definovanými bezpečnými MAC adresami.
	
	\item Je-li bezpečná MAC adresa, která je přiřazena k určitému portu, objevena na jiném portu stejného přepínače.
\end{itemize}
\vspace{0.2cm}

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Topologie sítě a adresní prostor}

												\begin{figure}[hc]
												\centering
							\includegraphics[scale=0.84]{obrazky/LAB2_topologie}
												%\caption{Topologie sítě středního rozsahu.}
												\label{fig:lab2sit}
												\end{figure}	
																
\begin{table}[ht]										
% \caption{Rozdělení adresního prostoru.}
	\label{tab:LAB2_prostor}
  \begin{center}
  	\small
	  \begin{tabular}{|c|c|c|c|c|}
			\hline
	    \textbf{Zařízení} & \textbf{Rozhraní} & \textbf{IP adresa} & \textbf{Maska sítě} & \textbf{Výchozí brána} \\ 
			\hline\hline
			%Router\_ISP 	& Fa1/0 	 & 188.18.8.9	 	 & 255.255.255.252 & -- \\
			%\hline
										%& Lo0 		 & 220.20.20.20  & 255.255.255.0 	 & -- \\
			%\hline
			%Router\_END 	& Fa1/0 	 & 188.18.8.10	 & 255.255.255.252 & -- \\
			%\hline
			Router\_END		& Fa0/0.10 & 172.16.1.1	   & 255.255.255.0 	 & -- \\
			\hline
										& Fa0/1.20 & 172.16.2.1	   & 255.255.255.0 	 & -- \\
			\hline
										& Fa0/1.50 & 172.16.5.1	   & 255.255.255.0 	 & -- \\
			\hline
										& Fa0/0.88 & 172.16.8.1	   & 255.255.255.0 	 & -- \\
			\hline
										& Fa0/1.99 & 172.16.9.1	   & 255.255.255.0 	 & -- \\
			\hline
			Switch\_A		  & VLAN\,10\,--\,Staffer		& 172.16.1.2 	 				 & 255.255.255.0 						 & -- \\
			\hline
										& VLAN\,88\,--\,Native		& 172.16.8.2 	 				 & 255.255.255.0 						 & 172.16.8.1\\
			\hline
			Switch\_C		  & VLAN\,20\,--\,Admin		& 172.16.2.2 	 				 & 255.255.255.0 						 & -- \\
			\hline
										& VLAN\,50\,--\,Servers		& 172.16.5.2 	 				 & 255.255.255.0 						 & -- \\
			\hline
										& VLAN\,99\,--\,Native		& 172.16.9.2 	 				 & 255.255.255.0 						 & 172.16.9.1 \\
			\hline
			PC\_Chief		  & Fa0	  & 172.16.1.5 	 & 255.255.255.0 & 172.16.1.1 \\
			\hline
			PC\_Staffer  	& Fa0 	& 172.16.1.6 	 & 255.255.255.0 & 172.16.1.1 \\
			\hline
			PC\_Admin	 	  & Fa0	  & 172.16.2.5 	 & 255.255.255.0 & 172.16.2.1 \\
			\hline			
			TACACS+		 	  & Fa0	  & 172.16.5.5	 & 255.255.255.0 & 172.16.5.1 \\
			\hline	
			RADIUS 		 	  & Fa0	  & 172.16.5.6	 & 255.255.255.0 & 172.16.5.1 \\
			\hline				
	  \end{tabular}
  \end{center}
	\vspace{-1.5cm}
\end{table}

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\vspace{0.5cm}											
\section{Postup konfigurace}

V~Activity Wizard máte topologii sítě shodující se s~obrázkem výše. Topologie je stejná jako v~předchozí laboratorní úloze. Změnil se však adresní prostor, kvůli následné tvorbě VLAN. Na směrovačích Router\_END a~Router\_ISP je vytvořena celá konfigurace z~předchozí úlohy. Také servery TACACS+ a~RADIUS jsou kompletně přednastavené. Můžete provést kontrolu nastavení serverů dle adresního prostoru v~tabulce výše. V~této úloze se zaměříte především na přepínače. Nejprve však na koncových zařízeních PC\_Chief a~PC\_Staffer nastavte podle adresního prostoru správnou IP adresu, masku sítě a~výchozí bránu. Pokud máte splněno, přejděte k~základní konfiguraci přepínače Switch\_A.

\vspace{0.2cm}
\textbf{Základní konfigurace přepínače}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
\item Nastavte jméno přepínače na Switch\_A.

				\texttt{Switch(config)\#hostname Switch\_A}
				
\item Vypněte překlad nerozpoznaných příkazů na IP adresy.

				\texttt{Switch\_A(config)\#no ip domain-lookup}
				
\item Spusťte otisk všech hesel pomocí MD5 hashe. Z~hesel vytvoří nečitelný řetězec.

				\texttt{Switch\_A(config)\#service password-encryption}
				
\item Nastavte šifrované heslo \uv{class} pro přechod z~uživatelského režimu do privilegovaného.

				\texttt{Switch\_A(config)\#enable secret class}

\item Nastavte přihlašovací jméno \uv{ADMIN} úrovně oprávnění 15 a~zašifrovaného tajného hesla \uv{control} k~uložení do lokální databáze přepínače.

				\texttt{Switch\_A(config)\#username ADMIN privilege 15 secret control}

\item Vstupte do režimu přístupu přes konzoli a~vypněte výpis systémových i~informačních hlášek do psaného textu (synchronní logování).

				\texttt{Switch\_A(config)\#line con 0}

				\texttt{Switch\_A(config-line)\#logging synchronous}
				
\item Nastavte časový limit pro automatické odhlášení konzole. Při zadání 0 0 (minuty sekundy) se nikdy automaticky neodhlásí.

				\texttt{Switch\_A(config-line)\#exec-timeout 10 0}
				
\item Povolte přístup ke konzoli pomocí přihlašovacího jména a hesla z lokální databáze přepínače. Vraťte se zpět do konfiguračního režimu.

				\texttt{Switch\_A(config-line)\#login local}
				
				\texttt{Switch\_A(config-line)\#exit}
				
\item Nastavte časový interval pro přihlášení pomocí SSH na 10\,s.

				\texttt{Switch\_A(config)\#ip ssh time-out 10}
				
\item Nastavte maximální počet pokusů o~přihlášení pomocí SSH.

				\texttt{Switch\_A(config)\#ip ssh authentication-retries 2}
				
\item Nastavte aktuální verzi protokolu SSH.

				\texttt{Switch\_A(config)\#ip ssh version 2}
				
				\bigskip
				
\item Vytvořte doménu s~názvem \uv{laborka.cz} pro přístup přes SSH.

				\texttt{Switch\_A(config)\#ip domain-name laborka.cz}
				
\item Vygenerujte RSA šifrovací klíč pro přístup pomocí SSH. Použijte velikost 1024\,bitů. Nutné vždy provést až po nastavení jména zařízení a~názvu domény.

				\texttt{Switch\_A(config)\#crypto key generate rsa}
				
\item Vytvořte standardní přístupový list s~názvem \uv{PERMIT\_ADMIN}. Při aplikaci listu povolte přístup pouze správci sítě (PC\_Admin).

				\texttt{Switch\_A(config)\#ip access-list standard PERMIT\_ADMIN}

				\texttt{Switch\_A(config-std-nacl)\#permit host 172.16.2.5}
				
\item Vstupte do režimu pro vzdálený přístup na virtuálních linkách 0--15 a~vypněte výpis systémových i~informačních hlášek do psaného textu (synchronní logování).

				\texttt{Switch\_A(config)\#line vty 0 15}

				\texttt{Switch\_A(config-line)\#logging synchronous}
				
\item Nastavte časový limit pro automatické odhlášení vzdáleného přístupu přes virtuální linky. 
%Při zadání 0 0 (minuty sekundy) se nikdy automaticky neodhlásí.

				\texttt{Switch\_A(config-line)\#exec-timeout 10 0}				
				
\item Povolte přístup k virtuálním linkám pomocí přihlašovacího jména a hesla z~lokální databáze přepínače.

				\texttt{Switch\_A(config-line)\#login local}
				
\item Povolte připojení k~těmto linkám pouze protokolem SSH. Jiný přístup, například protokolem TELNET, bude zamítnut.

				\texttt{Switch\_A(config-line)\#transport input ssh}				
				
\item Zakažte jakékoliv odchozí spojení (SSH, TELNET) z~těchto virtuálních linek.

				\texttt{Switch\_A(config-line)\#transport output none}					
				
\item Aplikujte vytvořený přístupový list na tyto virtuální linky v~příchozím směru. Vraťte se zpět do konfiguračního režimu.

				\texttt{Switch\_A(config-line)\#access-class PERMIT\_ADMIN in}
				
				\texttt{Switch\_A(config-line)\#exit}

\item Nastavte MOTD (message-of-the-day) banner k~varování neautorizovaných uživatelů.

				\texttt{Switch\_A(config)\#banner motd \#Unauthorized access to this\\ device is prohibited! Authorized personnel only! Please enter\\ your username and password.\#}
											
\item Zobrazte běžící konfiguraci.

				\texttt{Switch\_A\#show running-config}
				
\item Uložte provedenou konfiguraci do NVRAM. Tento příkaz používejte na konci každé konfigurace.

				\texttt{Switch\_A\#copy running-config startup-config}
\end{enumerate}
\vspace{0.2cm}

\noindent Uvedená konfigurace je naprosto základní a~je dobré si ji zapamatovat. Měla by být součástí každé první konfigurace jakéhokoliv přepínače! Nyní se podíváme, jak vytvořit bezpečné VLAN.

\vspace{0.2cm}
\textbf{Zabezpečené VLAN}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}
			
\begin{enumerate}		
\item Vstupte do konfiguračního režimu všech rozhraní na přepínači a~vypněte tato rozhraní. Poté se vraťte zpět do konfiguračního režimu.

				\texttt{Switch\_A(config)\#interface range Fa0/1-24, Gi0/1-2}
				
				\texttt{Switch\_A(config-if-range)\#shutdown}
				
				\texttt{Switch\_A(config-if-range)\#exit}
																
\item Vytvořte VLAN\,10 a~nastavte správné pojmenování podle adresní tabulky.

				\texttt{Switch\_A(config)\#vlan 10}
				
				\texttt{Switch\_A(config-vlan)\#name Staffer}
				
\item Vytvořte VLAN\,88 a~nastavte správné pojmenování podle adresní tabulky.

				\texttt{Switch\_A(config-vlan)\#vlan 88}
				
				\texttt{Switch\_A(config-vlan)\#name Native}
				
\item Vytvořte nepoužívanou VLAN\,100. Tato VLAN bude sloužit pro zařazení nevyužívaných rozhraní, což je velmi důležité pro bezpečnost!

				\texttt{Switch\_A(config-vlan)\#vlan 100}
				
				\texttt{Switch\_A(config-vlan)\#name Unused}
				
\item Nastavte všechna rozhraní (kromě Fa0/24, bude vysvětleno později) do
přístupového módu (access mode) a~zařaďte je do příslušné VLAN. Nevyužitá rozhraní nechejte vypnutá a~přiřaďte je do nepoužívané VLAN\,100. 
				
				\texttt{Switch\_A(config)\#interface range Fa0/1-2}	
						
				\texttt{Switch\_A(config-if-range)\#switchport mode access}	
				
				\texttt{Switch\_A(config-if-range)\#switchport access vlan 10}	
				
				\texttt{Switch\_A(config-if-range)\#switchport nonegotiate}	
				
				\texttt{Switch\_A(config-if-range)\#no shutdown}	
				
				\texttt{Switch\_A(config-if-range)\#interface range Fa0/3-23, Gi0/1-2}	
				
				\texttt{Switch\_A(config-if-range)\#switchport mode access}	
				
				\texttt{Switch\_A(config-if-range)\#switchport access vlan 100}	
				
				\texttt{Switch\_A(config-if-range)\#switchport nonegotiate}	
				
				\texttt{Switch\_A(config-if-range)\#shutdown}

\item Zobrazte si vytvořené VLAN a~překontrolujte správnost přiřazení daných rozhraní.

				\texttt{Switch\_A\#show vlan brief}	
										
				\texttt{Switch\_A\#show running-config}							
\end{enumerate}
\vspace{0.2cm}
				
\noindent Naše topologie je uspořádána tak, že přepínače nejsou fyzicky propojené, proto využijeme Inter-VLAN Routing pomocí technologie Router-on-a-Stick. Umožníme tak komunikaci VLAN\,10 s~VLAN\,20 i~VLAN\,50. Ke směrovači Router\_END přistupte pomocí uživatele z~lokální databáze (username:\,ADMIN, password:\,control). Pro přístup do privilegovaného režimu použijte příkaz \texttt{enable} a~následně zadejte heslo (password:\,class).								
				
\vspace{0.2cm}
\textbf{Inter-VLAN Routing -- část 1}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}	
				
\begin{enumerate}
\item Vytvořte subinterface (podrozhraní) pro VLAN\,10.
				
				\texttt{Router\_END(config)\#interface Fa0/0.10}	
				
\item Nastavte popis pro daný subinterface.
				
				\texttt{Router\_END(config-subif)\#description Connection to VLAN\,10.}	
	
\item Zařaďte subinterface do trunk módu a nastavte využívání protokolu IEEE 802.1Q pro VLAN\,10.
				
				\texttt{Router\_END(config-subif)\#encapsulation dot1Q 10}
					
\item Nastavte IP adresu pro VLAN 10. Jde o výchozí bránu (gateway) této VLAN. Následně subinterface nastavte jako vnitřní NAT a zapněte jej.
				
				\texttt{Router\_END(config-subif)\#ip address <IP adresa> <maska sítě>}
				
				\texttt{Router\_END(config-subif)\#ip nat inside}
	
				\texttt{Router\_END(config-subif)\#no shutdown}
				
\item Vytvořte subinterface (podrozhraní) pro nativní VLAN\,88 se všemi náležitostmi.
				
				\texttt{Router\_END(config-subif)\#interface Fa0/0.88}			
						
				\texttt{Router\_END(config-subif)\#description Connection to VLAN\,88.}	
				
				\texttt{Router\_END(config-subif)\#encapsulation dot1Q 88 native}
	
				\texttt{Router\_END(config-subif)\#ip address <IP adresa> <maska sítě>}
				
				\texttt{Router\_END(config-subif)\#ip nat inside}
	
				\texttt{Router\_END(config-subif)\#no shutdown}
				
\item Nezapomeňte zapnout rozhraní, na kterém pracují vytvořená podrozhraní (subinterface).
				
				\texttt{Router\_END(config-subif)\#interface Fa0/0}
				
				\texttt{Router\_END(config-if)\#no shutdown}	
\end{enumerate}	
\vspace{0.2cm}
				
\noindent Nyní nakonfigurujeme druhou část směrování. Rozhraní na přepínači Switch\_A, které je fyzicky připojeno k~rozhraní Fa0/0 na směrovači Router\_END, nastavte do trunk módu a~přiřaďte do stejné nativní VLAN. Z~důvodu bezpečnosti vypněte u~rozhraní v~trunk módu vyjednávání trunku DTP protokolem a~umožněte přenášet pouze vámi vytvořené VLAN.	

\vspace{0.2cm}
\textbf{Inter-VLAN Routing -- část 2}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}	

\begin{enumerate}
\item Vstupte do konfiguračního režimu správného rozhraní. Před začátkem konfigurace je vhodné rozhraní znovu vypnout.
				
				\texttt{Switch\_A(config)\#interface Fa0/24}	
	
				\texttt{Switch\_A(config-if)\#shutdown}	
				
\item Nastavte rozhraní do trunk módu.
	
				\texttt{Switch\_A(config-if)\#switchport mode trunk}	
				
\item Umožněte přes linku přenášet pouze námi vytvořené VLAN.
	
				\texttt{Switch\_A(config-if)\#switchport trunk allowed vlan 10,88}	
				
\item Zařaďte rozhraní do nativní VLAN\,88.
	
				\texttt{Switch\_A(config-if)\#switchport trunk native vlan 88}
					
\item Vypněte vyjednávání trunk portu protokolem DTP a zapněte dané rozhraní.
	
				\texttt{Switch\_A(config-if)\#switchport nonegotiate}
				
				\texttt{Switch\_A(config-if)\#no shutdown}
				
\item Zobrazte si konfiguraci trunk portu.
	
				\texttt{Switch\_A\#show interfaces trunk}		
\end{enumerate}
\vspace{0.2cm}

\noindent Následuje vytvoření SVI (Switch Virtual Interface), což je speciální virtuální rozhraní pro VLAN, které pracuje na 3.\,vrstvě (síťové) referenčního ISO/OSI modelu. Rozhraní SVI a~VLAN existuje nezávisle na sobě (defaultně vytvořeno pro VLAN\,1, nelze odstranit). Jestliže však chceme využít Inter-VLAN Routing, je nutné vytvořit SVI pro každou použitou VLAN a~přiřadit tomuto rozhraní správnou IP adresu.

\vspace{0.2cm}
\textbf{Inter-VLAN Routing -- část 3}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}	

\begin{enumerate}
\item Vytvořte SVI pro VLAN\,10 a přiřaďte IP adresu pro toto virtuální rozhraní z~adresního prostoru. Poté rozhraní zapněte.
				
				\texttt{Switch\_A(config)\#interface vlan 10}	
	
				\texttt{Switch\_A(config-if)\#ip address <IP adresa> <maska sítě>}	

				\texttt{Switch\_A(config-if)\#no shutdown}	

\item Vytvořte SVI pro nativní VLAN\,88 a přiřaďte IP adresu pro toto virtuální rozhraní z~adresního prostoru. Poté rozhraní zapněte.
				
				\texttt{Switch\_A(config-if)\#interface vlan 88}	
	
				\texttt{Switch\_A(config-if)\#ip address <IP adresa> <maska sítě>}	

				\texttt{Switch\_A(config-if)\#no shutdown}	

\item Nastavte výchozí bránu s~IP adresou směrovače v~nativní VLAN\,88.
				
				\texttt{Switch\_A(config)\#ip default-gateway <IP adresa>}	
\end{enumerate}
\vspace{0.2cm}

\noindent V~tuto chvíli jste dokončili konfiguraci Inter-VLAN Routing pomocí technologie Router-on-a-Stick. Prozatím nemůžete komunikovat s~ostatními VLAN, protože tato konfigurace bude součástí samostatných úkolů. Můžete však z~počítačů ve VLAN\,10 vyzkoušet přístup do Internetu. Do příkazového řádku v PC zadejte příkaz \texttt{ping 220.20.20.20}. Jedná se o~místní smyčku (local loopback) směrovače Router\_ISP, simulující přístup do Internetu. Ping musí mít kladnou odezvu.

Nyní přejdeme ke konfiguraci bezpečnostní funkce Port Security. Pokud chceme nakonfigurovat Port Security, musí být rozhraní ve statickém módu (trunk, access), nikoliv v~dynamickém (dynamic) nebo defaultním módu (default). V~naší síti již jsou všechna rozhraní ve statickém módu, což jste zajistili při konfiguraci Inter-VLAN Routing. 

\vspace{0.2cm}
\textbf{Konfigurace Port Security}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}	

\begin{enumerate}
\item Vstupte do konfiguračního režimu všech rozhraní na přepínači.
				
				\texttt{Switch\_A(config)\#interface range Fa0/1-24, Gi0/1-2}	
				
\item Zapněte funkci Port Security pro vybraná rozhraní.
				
				\texttt{Switch\_A(config-if-range)\#switchport port-security}	
				
\item Nastavte maximální počet bezpečných MAC adres pro vybraná rozhraní, rozsah je 1--132. 
				
				\texttt{Switch\_A(config-if-range)\#switchport port-security maximum 1}	
				
\item Zapněte ukládání dynamických Sticky MAC adres do tabulky MAC adres přepínače.
				
				\texttt{Switch\_A(config-if-range)\#switchport port-security mac-address\\ sticky}	
	
\item Nastavte pravidlo, které zajistí, že při narušení bezpečnosti dojde k zablokování daného rozhraní. Dále bude zaslán SNMP trap, zapsána Syslog zpráva a~navýšeno počítadlo narušení bezpečnosti.
				
				\texttt{Switch\_A(config-if-range)\#switchport port-security violation\\ shutdown}	
				
\item Zobrazte si tabulku MAC adres. Nejprve je však nutné uskutečnit síťový provoz, proto proveďte ping do Internetu.
				
				\texttt{Switch\_A\#show mac address-table}	
				
				\texttt{Switch\_A\#show port-security address}			
\end{enumerate}
\vspace{0.2cm}

\noindent Jak výše vidíme, funkce Port Security se vždy nastavuje pro vybraná rozhraní a~je na přepínačích defaultně vypnutá. 
%Pro rozhraní v módu trunk, které je připojeno ke směrovači, musíme povolit tolik MAC adres, kolik je vytvořeno subinterface. 
Funkci Port Security nenastavujeme na rozhraní v~módu trunk mezi přepínači.
				
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Samostatné úkoly}

Nyní budete mít za úkol vytvořit konfiguraci již bez ukázkových příkazů. Využívejte však výše uvedených příkazů, bude docházet pouze k~jistým úpravám. Také během konfigurace hojně využívejte znak~?, který vám poradí v~dalších možnostech daného příkazu. Pro smazání příkazu z~konfigurace zařízení využívejte klíčové slovo \texttt{no <daný příkaz>}.

\vspace{0.2cm}
\textbf{Základní konfigurace přepínače Switch\_C}%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
	\item Vytvořte základní konfiguraci přepínače Switch\_C. Pokuste se vzpomenout si na všechny potřebné příkazy a~proveďte tuto konfiguraci s~minimální pomocí výše uvedených příkazů.
\end{enumerate}

\vspace{0.2cm}
\textbf{Konfigurace VLAN a Inter-VLAN Routing}%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
	\item Vytvořte konkrétní VLAN na základě topologie a~tabulky adresního prostoru pro Switch\_C.
	
	\item Přiřaďte k~těmto nově vytvořeným VLAN správná rozhraní a~zapněte pouze využívané porty.
	
	\item Nevyužívané porty zařaďte do nepoužívané VLAN\,100.
	
	\item Vytvořte na směrovači Router\_END všechna potřebná podrozhraní (subinterface). Nezapomeňte na nativní VLAN.
	
	\item Nakonfigurujte správné rozhraní přepínače do trunk módu a~využijte také bezpečnostních příkazů. Vytvořte virtuální rozhraní pro každou novou VLAN a nastavte přepínači správnou výchozí bránu.
\end{enumerate}
\vspace{0.2cm}

\noindent Pokud jste celou konfiguraci provedli správně, můžete v~tuto chvíli pingnout navzájem všechna zařízení uvnitř privátní sítě. Zároveň máte také přístup do Internetu. Spusťte simulační režim a~podívejte se na průchod ICMP paketů sítí.

\vspace{0.2cm}
\textbf{Nastavení Port Security}%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
\vspace{0.2cm}

\begin{enumerate}
	\item Zapněte funkci Port Security a nastavte všechny potřebné parametry. Opět se snažte využívat předchozích ukázkových příkazů co nejméně.
\end{enumerate}
\vspace{0.2cm}

\noindent Přepínač by měl mít pro každé používané rozhraní uloženou jednu bezpečnou MAC adresu. Funkci můžete vyzkoušet tak, že navzájem zaměníte kabel mezi přepínačem a~dvěma koncovými zařízeními. Obě příslušná rozhraní by se měla přepnout do stavu error-disable. Také můžete vyzkoušet připojit nový počítač na některá z~používaných rozhraní. Opět by mělo dojít k~narušení bezpečnosti a~tudíž k~zablokování daného rozhraní.

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Prezentace výsledků}

Pokud vše funguje tak, jak má, zobrazte si výsledky pomocí Check Results a~následně Assessment Items. Zkontrolujte, že jsou všechny příkazy správně provedeny a~výsledek předveďte vyučujícímu.

%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

\section{Doporučená literatura}

Zájemcům doporučuji, k~prohloubení znalostí výše uvedených témat a~mnohých dalších, nahlédnout do této literatury, kterou dále doporučuji také pro řešení problému s~celou výše uvedenou konfigurací.
\bigskip

\noindent
MIKÉSKA,\,M.
\emph{Návrh a testování bezpečné počítačové sítě}.
Bakalářská práce. 
Brno: Vysoké učení technické v Brně, Fakulta elektrotechniky a komunikačních technologií, Ústav telekomunikací, 2016. 138 s. Vedoucí práce byl Ing.\,Lukáš Malina,\,Ph.D.