GZ032 信息安全管理与评估赛项参考答案-模块1任务二 42-50

GZ032 信息安全管理与评估赛项参考答案-模块1任务二 42-50

42.由于公司IP地址为统一规划，原有无线网段IP地址为 172.16.0.0/22,为了避免地址浪费需要对ip地址进行重新分配；要求如下：未来公司预计部署ap 50台；办公无线用户vlan 10预计300人，来宾用户vlan20以及不超过30人；

这里我们之前就规划好了

SW

43.AC 上配置DHCP，管理VLAN 为VLAN100,为AP 下发管理地址，网段中第一个可用地址为AP 管理地址，最后一个可用地址为网关地址，AP通过DHCP opion 43注册，AC地址为loopback1地址；为无线用户VLAN10,20下发IP 地址，最后一个可用地址为网关；

AC

AC(config)#service dhcp                  
AC(config)#ip dhcp pool vlan10
AC(dhcp-vlan10-config)#network-address 172.16.0.0 255.255.254.0
AC(dhcp-vlan10-config)#lease 0 10 0
AC(dhcp-vlan10-config)#default-router 172.16.2.254                                       ^
AC(dhcp-vlan10-config)#dns-server 8.8.8.8
AC(dhcp-vlan10-config)#q
AC(config)#ip dhcp pool vlan20         
AC(dhcp-vlan20-config)#network-address 172.16.2.0 255.255.255.192
AC(dhcp-vlan20-config)#lease 0 10 0 
AC(dhcp-vlan20-config)#default-router 172.16.2.62
AC(dhcp-vlan20-config)#dns-server 8.8.8.8
AC(dhcp-vlan20-config)#q
AC(config)#ip dhcp pool vlan100 
AC(dhcp-vlan100-config)#network-address 172.16.2.64 255.255.255.192                                      
AC(dhcp-vlan100-config)#lease 0 10 0
AC(dhcp-vlan100-config)#default-router 172.16.2.126
AC(dhcp-vlan100-config)#dns-server 8.8.8.8         
AC(dhcp-vlan100-config)#option 43 hex 0104140101FE
DHCPD: Option 43 has been added to pool vlan100
AC(dhcp-vlan100-config)#q
AC(config)#wireless         
AC(config-wireless)#ap authentication none 
AC(config-wireless)#static-ip 20.1.1.254
AC(config)#show ip dhcp binding
Total dhcp binding items: 1, the matched: 1
IP address          Hardware address         Lease expiration         Type
172.16.2.65         00-03-0F-EA-F1-B0        Wed Aug 08 16:33:00 2007 Dynamic
AC(config)#wireless 
AC(config-wireless)#ap database 00-03-0F-EA-F1-B0 

SW

SW(config)#ip forward-protocol udp bootps 
SW(config)#service dhcp
DHCPD: dhcp SERVER has been enabled!!!
SW(config)#
SW(config)#interface vlan 10
SW(config-if-vlan10)#ip helper-address 20.1.1.254
SW(config-if-vlan10)#interface vlan 20           
SW(config-if-vlan20)#ip helper-address 20.1.1.254
SW(config-if-vlan20)#interface vlan 100          
SW(config-if-vlan100)#ip helper-address 20.1.1.254

验证

AC

44.在NETWORK下配置SSID，需求如下：

NETWORK 1下设置SSID ABC4321，VLAN10，加密模式为wpa-personal,其口令为43214321

AC

AC(config)#wireless 
AC(config-wireless)#network 1
AC(config-network)#vlan 10
AC(config-network)#security mode wpa-personal 
AC(config-network)#ssid ABC4321
AC(config-network)#wpa key 43214321
AC(config-network)#device-finger enable 
AC(config-network)#show running-config current-mode 

验证

AC

45.NETWORK 2下设置SSID GUEST，VLAN20不进行认证加密,做相应配置隐藏该SSID；

47.配置SSID GUEST每天早上0点到6点禁止终端接入; GUSET最多接入10个用户，并对GUEST网络进行流控，上行1M，下行2M；配置所有无线接入用户相互隔离；6分，限时配置1分，qos配置3分，最大用户1分，用户隔离1分。

这边45和47题可以一起配置

AC

AC(config-network)#network 2
AC(config-network)#hide-ssid 
AC(config-network)#client-qos enable 
AC(config-network)#client-qos bandwidth-limit down 2048
AC(config-network)#client-qos bandwidth-limit up 1024
AC(config-network)#max-clients 10
AC(config-network)#ssid GUEST
AC(config-network)#vlan 20
AC(config-network)#time-limit from 00:00 to 06:00 weekday all 
AC(config-network)#station-isolation

验证

46.NETWORK 2开启内置portal+本地认证的认证方式，账号为test密码为test4321

AC(config)#captive-portal 
进入捕获门户配置模式                  
AC(config-cp)#enable 
启用捕获门户配置模式
AC(config-cp)#authentication-type internal 
使用内部认证机制，用户通过设备内部数据库验证
AC(config-cp)#free-resource 1 destination ipv4 20.1.1.254/32 source any 
允许用户在认证之前访问某些特定的IP地址（例如捕获门户页面所在的服务器），20.1.1.254 是可以在认证前访问的目标地址。
AC(config-cp)#user test
创建用户test
AC(config-cp-local-user)#password test4321
设置用户test的密码为test4321
AC(config-cp-local-user)#group default
将用户分配到默认组（default）
AC(config-cp-local-user)#q
AC(config-cp)#q
AC(config)#captive-portal 
进入捕获门户配置模式
AC(config-cp)#configuration 1
进入捕获门户实例 1 的配置模式
AC(config-cp-instance)#enable 
启用该捕获门户实例
AC(config-cp-instance)#verification local 
使用本地验证
AC(config-cp-instance)#group default
使用默认用户组
AC(config-cp-instance)#mac-portal authentication 
使用mac认证
AC(config-cp-instance)#fast-mac-auth    
使用快速mac认证       
AC(config-cp-instance)#redirect attribute url-after-login enable
 
AC(config-cp-instance)#redirect attribute url-after-login name url
AC(config-cp-instance)#redirect attribute ssid enable                          
AC(config-cp-instance)#redirect attribute apmac enable 
AC(config-cp-instance)#redirect attribute usermac enable 
AC(config-cp-instance)#redirect attribute usermac name wlanusermac
AC(config-cp-instance)#ac-name AC
AC(config-cp-instance)#redirect url-head http://20.1.1.254:53727/Portal/Html/portal.html?id=default
AC(config-cp-instance)#free-resource 1
AC(config-cp-instance)#interface ws-network 2

48.配置当AP上线，如果AC中储存的Image版本和AP的Image版本号不同时，会触发AP自动升级；配置AP发送向无线终端表明AP存在的帧时间间隔为2秒；配置AP失败状态超时时间及探测到的客户端状态超时时间都为2小时；

49.为了提高wifi用户体验感，拒绝弱信号终端接入，设置阈值低于50的终端接入无线信号；为防止非法AP假冒合法SSID，开启AP威胁检测功能；

50.通过配置防止多AP和AC相连时过多的安全认证连接而消耗CPU资源，检测到AP与AC在10分钟内建立连接5次就不再允许继续连接，两小时后恢复正常。

48，49，50可以放在一起

AC(config)#wireless 
无线网络设置模式                
AC(config-wireless)#ap auto-upgrade 
配置 AP 的自动升级功能
AC(config-wireless)#agetime ap-failure 2
当检测到 AP 故障时，设置老化时间为 2 分钟。
AC(config-wireless)#agetime detected-clients 2
当检测AP故障时，设置客户端老化时间为 2 分钟
AC(config-wireless)#wids-security unknown-ap-managed-ssid
检测并管理未被识别的 AP 使用受控的 SSID
AC(config-wireless)#wireless ap anti-flood interval 10 
设置 AP 抗洪攻击的检测间隔为 10 秒。              
AC(config-wireless)#wireless ap anti-flood max-conn-count 5
限制每秒的最大连接数为 5。
AC(config-wireless)#wireless ap anti-flood agetime 120
设置抗洪攻击检测老化时间为 120 秒。
AC(config-wireless)#ap profile 1
配置 AP 配置文件 1。
AC(config-ap-profile)#radio 1
分别配置 AP 的第 1 
AC(config-ap-profile-radio)#beacon-interval 2000
设置信标设置时间为 2000
AC(config-ap-profile-radio)#client-reject rssi-threshold 50
拒绝接受rssi强度低于50的客户端连接
AC(config-ap-profile-radio)#vap 1
配置虚拟AP1
AC(config-ap-profile-vap)#enable  
启用虚拟AP1
AC(config-ap-profile-vap)#exit
AC(config-ap-profile-radio)#exit
AC(config-ap-profile)#radio 2
配置AP的第 2 个无线电
AC(config-ap-profile-radio)#beacon-interval 2000
设置信标时间为2000
AC(config-ap-profile-radio)#client-reject rssi-threshold 50
拒接接受rssi强度低于50的客户端
AC(config-ap-profile-radio)#vap 1
配置虚拟AP1
AC(config-ap-profile-vap)#enable  
启用虚拟AP1

验证