Packet Tracer - Layer 2 VLAN Security

最新推荐文章于 2024-05-25 14:58:14 发布
最新推荐文章于 2024-05-25 14:58:14 发布
阅读量1.2k 收藏 19
点赞数 46
分类专栏： CCNA思科实验 文章标签： 网络 智能路由器 服务器 运维 笔记 网络安全 CCNA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YueXuan_521/article/details/135418408
版权

Packet Tracer - 第二层VLAN安全配置任务

在这里插入图片描述

目标

  • 在SW-1和SW-2之间建立新的冗余链路。
  • 在新连接的SW-1和SW-2之间的干线链路上启用中继并配置安全措施。
  • 创建一个新的管理VLAN（VLAN 20）并将一台管理PC连接到该VLAN。
  • 实施ACL以防止外部用户访问管理VLAN。

背景/场景

一家公司的网络当前使用两个独立的VLAN：VLAN 5和VLAN 10。此外，所有干线端口都已配置为本征VLAN 15。网络管理员希望在交换机SW-1和SW-2之间添加一条冗余链路。这条链路必须启用中继功能，并确保所有必要的安全设置到位。

此外，网络管理员还希望将一台管理PC连接到交换机SW-A。管理员希望这台管理PC能够连接到所有交换机及路由器，但不希望任何其他设备能够连接到管理PC或这些交换机上。因此，管理员计划创建一个新的VLAN 20用于管理目的。

所有设备已经预先配置了以下信息：

  • 启用密码：ciscoenpa55
  • 控制台密码：ciscoconpa55
  • SSH用户名及密码：SSHadmin / ciscosshpa55

第一部分：验证连通性

步骤1：验证C2（VLAN 10）与C3（VLAN 10）之间的连通性。

在这里插入图片描述
在这里插入图片描述

步骤2：验证C2（VLAN 10）与D1（VLAN 5）之间的连通性。
注：如果使用简易PDU GUI包，请确保ping两次以允许ARP过程完成。

在这里插入图片描述
在这里插入图片描述

第二部分：在SW-1和SW-2之间创建冗余链路

步骤1：连接SW-1和SW-2。

使用交叉线缆将SW-1的F0/23端口与SW-2的F0/23端口相连。
在这里插入图片描述

步骤2：在SW-1和SW-2之间的链路上启用干线功能，包括所有干线安全机制。

已预先配置了所有现存干线接口的干线功能。新链接必须设置为干线，并包括所有干线安全机制。在SW-1和SW-2上，将端口设置为干线模式，将本征VLAN 15分配给干线端口，并禁用自动协商功能。

SW-1(config)#interface f0/23
SW-1(config-if)#switchport mode trunk
SW-1(config-if)#switchport trunk native vlan 15
SW-1(config-if)#switchport nonegotiate
SW-1(config-if)#no shutdown

SW-2(config)#interface f0/23
SW-2(config-if)#switchport mode trunk
SW-2(config-if)#switchport trunk native vlan 15
SW-2(config-if)#switchport nonegotiate
SW-2(config-if)#no shutdown

第三部分：启用VLAN 20作为管理VLAN

网络管理员希望通过管理PC访问所有交换机和路由设备。出于安全原因，管理员希望确保所有受管设备都在一个独立的VLAN中。

步骤1：在SW-A上启用管理VLAN（VLAN 20）。

a. 在SW-A上启用VLAN 20。

SW-A(config)#vlan 20
SW-A(config-vlan)#exit

b. 创建VLAN 20接口并在192.168.20.0/24网络内分配一个IP地址。

SW-A(config)#interface vlan 20
SW-A(config-if)#ip address 192.168.20.1 255.255.255.0

步骤2：在所有其他交换机上启用相同的管理VLAN。

a. 在SW-B、SW-1、SW-2和中央交换机上创建管理VLAN。

Central(config)#vlan 20
Central(config-vlan)#exit

SW-1(config)#vlan 20
SW-1(config-vlan)#exit

SW-2(config)#vlan 20
SW-2(config-vlan)#exit

SW-B(config)#vlan 20
SW-B(config-vlan)#exit

b. 在所有交换机上创建VLAN 20接口，并在192.168.20.0/24网络内分配一个IP地址。

Central(config)#int vlan 20
Central(config-if)#ip address 192.168.20.2 255.255.255.0

SW-1(config)#int vlan 20
SW-1(config-if)#ip address 192.168.20.3 255.255.255.0

SW-2(config)#int vlan 20
SW-2(config-if)#ip address 192.168.20.4 255.255.255.0

SW-B(config)#int vlan 20
SW-B(config-if)#ip address 192.168.20.5 255.255.255.0

步骤3：连接并配置管理PC。

将管理PC连接到SW-A的F0/1端口，并确保为其分配192.168.20.0/24网络内的可用IP地址。

在这里插入图片描述

在这里插入图片描述

步骤4：在SW-A上确保管理PC属于VLAN 20。

接口F0/1必须是VLAN 20的一部分。

SW-A(config)#int f0/1
SW-A(config-if)#switchport access vlan 20
SW-A(config-if)#no shutdown

步骤5：验证管理PC与所有交换机之间的连通性。

管理PC应能成功ping通SW-A、SW-B、SW-1、SW-2和中央交换机。

请添加图片描述
请添加图片描述

第四部分：使管理PC能够访问路由器R1

步骤1：在路由器R1上启用新的子接口。

a. 创建子接口g0/0.3，并设置封装类型为dot1q 20，以便支持VLAN 20。

R1(config)#int g0/0.3
R1(config-subif)#encapsulation dot1Q 20

b. 分配192.168.20.0/24网络内的IP地址。

R1(config)#int g0/0.3
R1(config-subif)#ip address 192.168.20.100 255.255.255.0

步骤2：验证管理PC与R1之间的连通性。

务必在管理PC上配置默认网关以实现连通性。

步骤3：启用安全性。

虽然管理PC必须能够访问路由器，但其他任何PC都不应能够访问管理VLAN。

a. 创建只允许管理PC访问路由器的ACL。

R1(config)#access-list 101 deny ip any 192.168.20.0 0.0.0.255
R1(config)#access-list 101 permit ip any any
R1(config)#access-list 102 permit ip host 192.168.20.6 any

b. 将ACL应用到适当的接口上。

R1(config)#int g0/0.1
R1(config-subif)#ip access-group 101 in
R1(config-subif)#int g0/0.2
R1(config-subif)#ip access-group 101 in

R1(config)#line vty 0 4
R1(config-line)#access-class 102 in

注：可以有多种方式创建ACL来满足必要的安全要求。因此，该活动这一部分的评分基于正确的连通性需求。管理PC必须能够连接到所有交换机和路由器，而所有其他PC则不能连接到管理VLAN内的任何设备。

步骤4：验证安全性。

a. 验证只有管理PC可以访问路由器。使用SSH从管理PC通过用户名SSHadmin和密码ciscosshpa55登录R1。

PC> ssh -l SSHadmin 192.168.20.100

在这里插入图片描述

b. 从管理PC尝试ping SW-A、SW-B和R1，是否成功？请解释结果。
在这里插入图片描述

VLAN20 中的设备不需要通过路由器进行路由，不受ACL的影响。

c. 从D1尝试ping管理PC，是否成功？请解释结果。
在这里插入图片描述

不同 VLAN 中的设备 ping VLAN20 中的设备，必须进行路由，而路由器具有阻止所有数据包访问 192.168.20.0 目标网络的 ACL。

步骤5：检查结果。

您的完成度应该为100%。点击“检查结果”查看反馈信息以及已完成的必要组件验证。

如果所有组件都看似正确，但活动仍显示未完成，则可能是由于验证ACL操作的连通性测试出现问题。

实验脚本：

Part 2:

SW-1、SW-2

连接SW-1、SW-2，使用交叉线路，要开端口
连接SW-A、PC，要开端口
interface f0/23
switchport mode trunk
switchport trunk native vlan 15
switchport nonegotiate
no shutdown

Part 3：

SW-A：

int f0/1
switchport access vlan 20
no shutdown

SW-1：

int f0/23
switchport trunk native vlan 15
switchport mode trunk 
switchport nonegotiate

SW-2:

int f0/23
switchport trunk native vlan 15
switchport mode trunk 
switchport nonegotiate

SW-A、B、1、2、Central：

vlan 20
int vlan 20
ip address 192.168.20.XXX 255.255.255.0

Part 4:

R1：

int g0/0.3
encapsulation dot1Q 20
ip address 192.168.20.20 255.255.255.0

R1：

access-list 101 deny ip any 192.168.20.0 255.255.255.0
access-list 101 permit ip any any 
access-list 102 permit ip host 192.168.20.6 any 

int g0/0.1
ip access-group 101 in 

int g0/0.2
ip access-group 101 in 

line vty 0 4
access-class 102 in

PC：

ssh -l SSHadmin 192.168.20.20
玥轩_521
关注
  • 46
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
11.6.1 Packet Tracer - Switch Security Configuration
05-27
11.6.1 Packet Tracer - Switch Security Configuration Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
4.5.1 Packet Tracer - Inter-VLAN Routing Challenge
05-27
4.5.1 Packet Tracer - Inter-VLAN Routing Challenge Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
6.4.1 Packet Tracer - Implement Etherchannel
05-27
6.4.1 Packet Tracer - Implement Etherchannel Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
6.3.1.3 Packet Tracer - Layer 2 VLAN Security
01-02
6.3.1.3 Packet Tracer - 第二层VLAN安全配置 在本实验任务中，你将使用Cisco Packet Tracer模拟环境来配置和实施第二层（数据链路层）的VLAN安全性措施。这可能包括以下几个方面： 1. **VLAN划分**：根据设备类型、部门或安全需求创建不同的VLAN，以实现网络分段。 ```shell vlan <vlan_id> name <vlan_name> ``` 2. **接口分配到VLAN**：将交换机端口分配到相应的VLAN中，确保只有同一VLAN内的设备才能相互通信。 ```shell interface <interface_id> switchport mode access switchport access vlan <vlan_id> ``` 3. **Trunking配置**：配置Trunk端口用于传输多个VLAN之间的流量，并设置允许通过的VLAN范围。 ```shell interface <trunk_interface_id>
Packet Tracer - Layer 2 Security
YueXuan_521的博客
01-10 1212
Packet Tracer - Layer 2 Security Packet Tracer - 第二层安全配置任务 目标 确保将中心交换机（3560型号）设置为根桥。 保护生成树协议参数以防止对STP的操控攻击。 启用端口安全功能以防止CAM表溢出攻击。
Cisco Packet Tracer部署wifi及其安全维护（二）
double_happy111的博客
12-31 1161
Cisco Packet Tracer部署wifi及其安全维护（二） 文章目录Cisco Packet Tracer部署wifi及其安全维护（二）前言实验要求实验拓扑图实验步骤总结 前言 之前，我们部署了简单的wifi实战项目，接下来，我们就开始提升难度了。 实验要求 完成所有设备以及PC的配置，通过配置三层交换机实现VLAN10和VLAN20之间PC的通信，同时不影响无线终端访问外币的服务器 实...
Packet Tracer 思科模拟器入门教程 之十九 交换机端口安全
热门推荐
柚子君的小窝
12-23 1万+
实验目的         掌握交换机的端口安全功能，控制用户的安全接入。 背景描述         你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的 IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP 地址，并 且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的 IP 地址是172.16.1.55/24，主机MAC...
Cisco Packet Tracer（静态路由+Trunk+VTP协议+单臂路由）
Zhangguohao666的博客
07-16 3082
文章目录路由静态路由配置交换机跨交换机vlan通信（Trunk配置）VTP协议路由器怎么通过交换机ping通主机（单臂路由配置） 路由 静态路由配置 Router3和Router6之间的网段是直连的，是通的 此时，Router3是ping不通10.10.10.11的 我们需要在Router3配置下一跳地址 ip route 第一个参数 子网掩码 第三个参数 第一个参数是Router6...
Cisco Switches Layer 2 Security
weixin_34101784的博客
10-14 288
■ Disable unneeded dynamic protocols like CDP and DTP. example: int fa0/0 no cdp enable switchport nonegotiate ■ Disable trunking by configuring these ports as access ports. exa...
6.3.1.8 Packet Tracer - 探索网络互联设备-熟悉Packet Tracer模拟器
qq_44652559的博客
02-02 2454
6.3.1.8 Packet Tracer - 探索网络互联设备-熟悉Packet Tracer模拟器、探索网络互联设备网络拓扑和设备链接表实验过程1 哪些管理端口可用？2 East 路由器上有哪些 LAN 和 WAN 接口可用？分别有几个？3 输入show ip interface brief4 输入show interface gigabitethernet 0/0，默认带宽5 输入show interface serial 0/0/0，默认带宽6 确定交换机上的模块扩展槽。7 选择正确的模块进行连接8
6.3.1.2 Packet Tracer - Layer 2 Security
01-02
2. **VLAN ACLs (VACLs)**：配置基于VLAN的访问控制列表，用于过滤在同一VLAN内的二层流量。 3. **802.1X认证**：设置交换机端口启用IEEE 802.1X身份验证，确保只有经过认证的设备才能通过该端口接入网络。 4. **...
Packet Tracer - 第 2 层 VLAN 安全
傻傻的心动的博客
05-11 3137
Packet Tracer - 第 2 层 VLAN 安全
Packet Tracer - VLAN的配置
m0_62949505的博客
10-10 1308
S3 F0/11 接口必须配置为支持使用 VLAN 10 向 PC4 传输用户 流量，以及使用 VLAN 150 向 IP 电话传输语音流量。这个 练习的重点是创建和命名 VLAN，并且把接入端口分配给 特定的VLAN。在S2 上研究以下命令的输出信息，并根据您对 VLAN 间通信 的了解回答以下问题。答：否，ping 失败，因为交换机之间的端口位于 VLAN 1 和 PC1 中，PC4 位于 VLAN 10 中。使用和步骤 1 中的相同命令，在 S2 和 S3 上创建相同的 VLAN，并对其命名。
6.3、VLAN间路由
养龟大学生的博客
07-07 432
6.3、VLAN间路由 前言 部署了VLAN的传统交换机不能实现不同VLAN间的二层报文转发，因此必须引入路由技术来实现不同VLAN间的通信。VLAN路由可以通过二层交换机配合路由器来实现，也可以通过三层交换机来实现 随着不同业务的需求，现在要求不同VLAN间进行转发，不同VLAN相当于不同的广播域，不同的广播域想要互通，势必需要路由功能来进行实现 实现路由功能可以通过路由器实现，但是多个路由器的使用从费用上来看是很不现实的。我们通过交换机来实现VLAN间路由，即三层交换机 ...
Linux网络编程：网络基础
weixin_73234157的博客
05-20 877
当我们形成计算机网络后，小明要给他的暗恋对象小红发一句“我喜欢你”，结果发给了小芳……，在计算机网络中会出现许许多多的主机，当我们进行网络通信时，我们要通过协议来找到指定的接收方。同理在单台主机中，数据从键盘中读入再转载到当前网卡也是需要协议的。简单来说：协议就是一种约定当计算机在读取数据时，发现数据中存在向网卡输送的标志（协议）时，就往网卡输送。当网卡读取到输送给小红，网卡就不会发送给小芳。
计算机网络
zengkui198513的博客
05-15 615
上面的每一个问题是每一层都必须面对的也都必须要解决的。每一层而且必须要覆盖上面的信息！
嵌入式学习
qq_46068832的博客
05-19 375
【代码】嵌入式学习。
用docker命令行操作远程的Dockerd daemon服务
zhang197093的博客
05-15 665
本地安装Dockerd服务太耗本机磁盘空间了，共用已有的Dockerd服务能够节省一部分空间。
计算机网络安全控制技术
最新发布
heikewhite的博客
05-25 198
防火墙技术是近年来维护网络安全最重要的手段，但是防火墙不是万能的，需要配合其他安全措施来协同。目前加密技术主要有两大类：对称加密和非对称加密。核心是识别网络者是否是属于系统的合法用户。入侵行为主要是指对系统资源的非授权使用。计算机病毒的数目和危害性都在飞速发展。控制不同的用户对信息资源的访问权限。漏洞检测和安全风险评估技术。6.网络安全漏洞扫描技术。
10.3.1.8packet tracer - 备份配置文件
06-09
要备份配置文件，可以使用以下步骤： 1. 打开Packet Tracer软件并打开要备份配置文件的设备。 2. 点击设备右侧的“CLI模式”选项卡。 3. 在命令提示符下，输入“show running-config”命令以显示当前运行的配置文件。 4. 将显示的文本复制到一个文本编辑器中，如记事本。 5. 将文本编辑器中的文本保存为一个文件，以备将来使用。 这样就可以备份设备的配置文件了。如果需要恢复配置文件，则可以将备份文件中的文本复制并粘贴到CLI模式下，并使用“config t”命令将其应用到设备中。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

玥轩_521

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值