11 2 4 8 Lab - Securing Network Devices

© 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 1 de 8 Laboratório \u2013 Protegen do Dispositivos de Red e Topologia Tabela de Endereçamento Dispositivo Interface Endereço IP Máscara de Sub - Rede Gateway Padrão R1 G0/1 192.16 8.1.1 255.25 5.255.0 N/D S1 VLAN 1 192.168.1.11 255.25 5.255.0 192.16 8.1.1 PC -A NIC 192.168.1.3 255. 255.255.0 192.16 8.1.1 Objetivos Parte 1: Implem entar as Confi gurações Bási cas dos Disposi tivos Parte 2: Implem entar as Medidas Básicas de Segu rança no Roteador Parte 3: Implem entar as Medidas Básicas de Segu rança no S witch Histórico/cenário É recomendáv el configurar t odos os dispositivos de r ede com, pelo m enos, um conjunto m ínimo de comandos de seguran ça de práticas re comendadas. I sso inclui dispositiv os de usuário final , servidore s e dispositivos de rede, como rotead ores e switches. Neste laborat ório, você configura rá os dispositivos d e rede na topol ogia para aceit ar sessões SSH para gerenciamento remot o. Você també m usará a CLI do IOS para configura r medidas de seguranç a de práticas recomendadas co muns e básicas. Você testará as me didas de segurança p ara verificar s e foram i mplementadas e s e funcionam corret amente. Observação : os rote adores usados no s laboratórios práticos de CCNA s ão Cisco 1941 IS Rs com o Cisco IOS 15.2(4)M 3 (imagem universal k9). Os switche s usados são Cis co Catalyst 2960s com a versão 15.0 (2) (imagem lanbasek9 ) do Cisco IOS. Out ros roteadore s, switches e ve rsões do Cisco IOS podem ser usados. De acordo com o m odelo e a versão do Cisco I OS, os comando s disponíveis e a saída produzida pod erão variar em relação a o que é mostrado nos laboratórios. Con sulte a tabela R esumo das Interfa ces dos Roteadores no fi nal do laboratório pa ra obter os ident ificadores de interface corretos. Observação : v erifique se os switche s foram apagad os e não têm config urações iniciais. Se tiver dúvida s, fale com o instruto r. Recursos Necessários \u2022 1 roteador (Cisco 194 1 com software Ci sco IOS, vers ão 15.2(4)M3, imagem universal o u equi valente) \u2022 1 switch (Cisco 2960 c om Cisco IOS ve rsão 15.0(2) imagem lanbasek9 ou simi lar) \u2022 1 PC (Windows 7 ou 8 co m um programa emula dor de terminal, como o Tera T erm) Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 2 de 8 \u2022 Cabos de console par a configurar os di spositivos Cis co IOS por meio da s portas de console \u2022 C abos ethernet confo rme mostrado n a topologia Parte 1: Implementar as C onfigurações B ásicas dos Disp ositivos Na Parte 1, você vai c onfigurar a topolo gia de rede e implem entar as confi gurações bási cas, como os endereços IP das int erfaces, o aces so a dispositivos e as senhas nos dispositiv os. Etapa 1: Instalar os cabos da rede conforme mostrado na topologia. Conecte os disposit ivos mostrados n a topologia e inst ale os cabos, confor me necessário. Etapa 2: Inicializar e recarregar o roteador e o switch. Etapa 3: Configure o roteador e o switch. a. Use o console para se con ectar ao dispositi vo e habilite o modo E XEC privilegiado. b. Atribua o nome do dis positivo conform e a Tabela de E ndereçamento. c. Desative a pesqui sa DNS para evitar q ue o roteador te nte converter comandos inserido s incorretament e como se f ossem nomes de host. d. Atribua class como a senha criptogr afada do EXEC pr ivilegiado. e. Atribua cisco como a senha de console e habilite o login. f. Atribua cisco como a senha VTY e habilit e o login. g. Crie um banner pa ra avisar às pess oas que o acesso não autorizado é proibido. h. Configure e ativ e a interface G0/1 no r oteador usando as informaçõ es contidas na Tabela d e Endereçamento. i. Configure a SVI padrão no switch com a s informaçõe s de endereço IP cont idas na Tabela de Endereçamento. j. Salve a configuraçã o atual no arquivo d e configuração inicial . Parte 2: Implementar as M edidas Básicas d e Segurança no Roteador Etapa 1: Criptografar as senhas em texto simples. R1(config)# service password - encryption Etapa 2: Reforçar as senhas. Um administrador d eve assegurar que as senhas atendam à s diretrizes padr ão para senhas f ortes. Estas orientações podem in cluir a combina ção de letras, númer os e caracteres esp eciais na senh a e a definição de um compriment o mínimo. Observação : as práti cas recomendada s exigem o uso de sen has fortes, com o as previstas aqui, em um ambiente de produç ão. Entretanto, os outros laborat órios deste cu rso usam as senha s cisco e class para facilitar a sua realiz ação. a. Altere a senha cripto grafada do EX EC privilegiado pa ra atender às di retrizes. R1(config)# enable secret Enablep@55 Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 3 de 8 b. Estabeleça o uso d e, no mínimo, 10 ca r acter es para todas as senhas. R1(config)# security passwords min - length 10 Etapa 3: Habilitar conexões SSH. a. Atribua o nome de dom ínio como CCNA - lab.com . R1(config)# ip domain - name CCNA - lab.com b. Crie uma entrada no banco de dados de usuário local para ser usada ao conectar - se ao roteador via SSH. A senha deve at ender aos padrões de senha forte e o usuá rio deve ter acess o ao EXEC usuário. Se o nível de privilégio não é especific ado no comando, o usuário terá, por pad rão, acesso ao EXEC usuário (nível 15). R1(config)# username SSHadmin privilege 1 secret Admin1p@55 c. Configure a ent rada de transporte para as linhas VT Y de modo que aceit em conexões SSH , mas não permitam conexões Telnet. R1(config)# line vty 0 4 R1(config - line)# transport input ssh d. As linhas VT Y devem usar o banco de dados de u suário local par a a autenticação. R1(config - line)# login local R1(config - line)# exit e. Gere uma chav e de criptografia RS A usando um mó dulo de 1024 bits. R1(config)# crypto key generate rsa modulus 1024 Etapa 4: Proteger o console e as linhas VTY. a. Você pode conf igurar o roteador pa ra encerrar a con exão que tenha fi cado inativa por um tempo específico. Se um administrado r de redes se regist rar em um di spositivo de rede e ficar ausente de repente, esse coman do desconecta aut omaticament e o usuário após o temp o especificado. Os seguintes comandos fazem com que a linha se d esconecte apó s cinco minutos de in atividade. R1(config)# line console 0 R1(config - line)# exec - timeout 5 0 R1(config - line)# line vty 0 4 R1(config - line)# exec - timeout 5 0 R1(config - line)# exit R1(config)# b. O seguinte comand o impede tentat ivas de login de f orça bruta. O rot eador bloqueia as t entativas de logi n por 30 segundos se alg uém tiver duas f alhas de tent ativas dentro de 120 segundos. A definiç ão deste temporizador é es pecialme nte baixa para o objet ivo deste laborat ório. R1(config)# login block - for 30 attempts 2 within 120 O que significa o 2 within 120 no comando acima? ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ O que significa o bl ock- for 30 no comando acima? ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 4 de 8 Etapa 5: Verificar se todas as portas não utilizadas estão desa tivadas. Por padrão, as porta s do roteador são d esativadas, m as é sempre prudent e verificar se t odas as portas n ão utilizadas est ão em um estado \u201cadmini stratively down\u201d. Isso pode ser verificado rapi damente com o com ando show ip interface brief . Toda s as portas não utili zadas que não estão em um estado \u201cadmi nistratively down\u201d devem ser desativada s usando o coman do shutdown no modo de conf iguração de int erface. R1# show ip interface brief Interface IP-Address OK? Method Status Protocol Embedded-Service-Engine0/0 unassigned YES NVRAM administratively down down GigabitEthernet0/0 unassigned YES NVRAM administratively down down GigabitEthernet0/1 192.168.1.1 YES manual up up Serial0/0/0 unassigned YES NVRAM administratively down down Serial0/0/1 unassigned YES NVRAM administratively down down R1# Etapa 6: Verificar se as medidas de segurança foram implementadas corretamente. a. Use o Tera Term pa ra usar Telnet pa ra R1. O R1 aceita a conexã o Telnet? Expli que. ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ b. Use o Tera Term pa ra usar SSH para R 1. O R1 aceita a conexã o SSH? __ ___ ___ __ c. Digite errado i ntencionalmente as inf ormações de u suário e senha para v er se o acesso de logi n é bloqueado após du as tentativas. O que aconteceu apó s o login falhar pel a segunda vez? ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ d. De sua sessão de cons ole no roteado r, use o comando sho w login para examinar o stat us de login. No exemplo abaix o, o comando sho w login foi utilizado no períod o de bloqueio de l ogin de 30 segund os e mostra que o rotead or está no Modo sil encioso (Quiet - M ode). O roteado r não aceitará ne nhuma tentativ a de login por mais 14 seg undos. R1# show login A default login delay of 1 second is applied. No Quiet-Mode access list has been configured. Router enabled to watch for login Attacks. If more than 2 login failures occur in 120 seconds or less, logins will be disabled for 30 seconds. Router presently in Quiet-Mode. Will remain in Quiet-Mode for 14 seconds. Denying logins from all sources. R1# Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 5 de 8 e. Após os 30 segundos, use SSH para R1 novament e e o faça login usando o nome de us uário SSHadmi n e a senha Admin1p@55 . Após você fazer o login c om êxito, o que foi exibido? _____ ___ __ ____ ____ ___ f. Entre no modo EXE C privilegiado e use a sen ha Enablep@55 . Se você escrever er rado a senha, será desconectad o da sessão SSH apó s dua s tentativas fracas sadas dentro de 120 segund os? Explique. ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ___ g. Use o comando sho w running - config no prompt do E XEC privilegiado p ara visualizar as configurações de segurança aplica das. Parte 3: Implementar as M edidas Básicas d e Segurança no Switch Etapa 1: Criptografar as senhas em texto simples. S1(config)# service password - encryption Etapa 2: Reforçar as senhas no switch. Altere a senha cripto grafada do EX EC privilegiado pa ra atender às di retrizes de senha f orte. S1(config)# enable secret Enablep@55 Observação : o coman do de segurança pass word min - length não está disponível no switch 2960. Etapa 3: Habilitar conexões SSH. a. Atribua o nome de domí nio como CCNA - lab.com S1(config)# ip domain - name CCNA - lab.com b. Crie uma entrada no b anco de dados de usuário local para se r usada quando você se conectar ao swit ch via SSH. A senha d eve atender aos pa drões de senha forte e o usuário deve t er acesso ao EXE C usuário. Se o nív el de privilégio não é es pecificado no coman do, o usuário te rá, por padrão, a cesso ao EXEC usuário (nív el 15). S1(config)# username SSHadmin privilege 1 secret Admin1p@55 c. Configure a entrada d e transporte pa ra que as linhas VTY permitam conex ões SSH, mas nã o permitam conexões Telnet . S1(config)# line vty 0 15 S1(config - line)# transport input ssh d. As linhas VTY devem usar o banco de dados de u suário local par a a autenticação. S1(config - line)# login local S1(config - line)# exit e. Gere uma chave de criptografia RSA usando um módulo de 1024 bits. S1(config)# crypto key generate rsa modulus 1024 Etapa 4: Proteger o console e as linhas VTY. a. Configure o swit ch para encerrar um a linha que esteja inativa há 10 m inutos. S1(config)# line console 0 Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 6 de 8 S1(config - line)# exec - timeout 10 0 S1(config - line)# line vty 0 15 S1(config - line)# exec - timeout 10 0 S1(config - line)# exit S1(config)# b. Para impedir t entativas de login de f orça bruta, conf igure o switch para bl oquear o acesso de login por 30 segundos, se houv er 2 tentativ as fracassadas dentr o de 120 segund os. A definição deste temporizador é especialmente bai xa para o objetivo de ste laboratóri o. S1(config)# login block - for 30 attempts 2 within 120 S1(config)# end Etapa 5: Verificar se todas as portas não utilizadas estão desativadas. Por padrão, as porta s do switch são h abilitadas. Desa tive todas as port as que não estejam em uso no swit ch. a. Você pode verifi car o status da port a do switch usan do o comando sho w ip interface brief . S1# show ip interface brief Interface IP-Address OK? Method Status Protocol Vlan1 192.168.1.11 YES manual up up FastEthernet0/1 unassigned YES unset down down FastEthernet0/2 unassigned YES unset down down FastEthernet0/3 unassigned YES unset down down FastEthernet0/4 unassigned YES unset down down FastEthernet0/5 unassigned YES unset up up FastEthernet0/6 unassigned YES unset up up FastEthernet0/7 unassigned YES unset down down FastEthernet0/8 unassigned YES unset down down FastEthernet0/9 unassigned YES unset down down FastEthernet0/10 unassigned YES unset down down FastEthernet0/11 unassigned YES unset down down FastEthernet0/12 unassigned YES unset down down FastEthernet0/13 unassigned YES unset down down FastEthernet0/14 unassigned YES unset down down FastEthernet0/15 unassigned YES unset down down FastEthernet0/16 unassigned YES unset down down FastEthernet0/17 unassigned YES unset down down FastEthernet0/18 unassigned YES unset down down FastEthernet0/19 unassigned YES unset down down FastEthernet0/20 unassigned YES unset down down FastEthernet0/21 unassigned YES unset down down FastEthernet0/22 unassigned YES unset down down FastEthernet0/23 unassigned YES unset down down FastEthernet0/24 unassigned YES unset down down GigabitEthernet0/1 unassigned YES unset down down GigabitEthernet0/2 unassigned YES unset down down S1# b. Use o comando interfac e range para desativar vá rias interface s de uma vez. S1(config)# interface range f0/1 \u2013 4 , f0/7 - 24 , g0/1 -2 Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 7 de 8 S1(config - if - range)# shutdown S1(config -if- range)# end S1# c. Verifique se toda s as interfaces inativ as foram admini strativament e desligadas. S1# show ip interface brief Interface IP-Address OK? Method Status Protocol Vlan1 192.168.1.11 YES manual up up FastEthernet0/1 unassigned YES unset administratively down down FastEthernet0/2 unassigned YES unset administratively down down FastEthernet0/3 unassigned YES unset administratively down down FastEthernet0/4 unassigned YES unset administratively down down FastEthernet0/5 unassigned YES unset up up FastEthernet0/6 unassigned YES unset up up FastEthernet0/7 unassigned YES unset administratively down down FastEthernet0/8 unassigned YES unset administratively down down FastEthernet0/9 unassigned YES unset administratively down down FastEthernet0/10 unassigned YES unset administratively down down FastEthernet0/11 unassigned YES unset administratively down down FastEthernet0/12 unassigned YES unset administratively down down FastEthernet0/13 unassigned YES unset administratively down down FastEthernet0/14 unassigned YES unset administratively down down FastEthernet0/15 unassigned YES unset administratively down down FastEthernet0/16 unassigned YES unset administratively down down FastEthernet0/17 unassigned YES unset administratively down down FastEthernet0/18 unassigned YES unset administratively down down FastEthernet0/19 unassigned YES unset administratively down down FastEthernet0/20 unassigned YES unset administratively down down FastEthernet0/21 unassigned YES unset administratively down down FastEthernet0/22 unassigned YES unset administratively down down FastEthernet0/23 unassigned YES unset administratively down down FastEthernet0/24 unassigned YES unset administratively down down GigabitEthernet0/1 unassigned YES unset administratively down down GigabitEthernet0/2 unassigned YES unset administratively down down S1# Etapa 6: Verificar se as medidas de segurança foram implementadas corretamente. a. Verifique se o Telnet foi desativado no switch. b. Use SSH no swit ch e digite errado inte ncionalmente as informaçõ es de usuário e senha par a ver se o acesso de login está bl oqueado. c. Após os 30 segundos, use SSH para S1 nov amente e o faça login usando o nome de usuário SSHadmin e a senha Admin1p@55 . O banner foi exibido apó s o login com ê xito? _____ _ ____ d. Entre no modo EXE C privilegiado usando a senha Enablep@ 55 . e. Use o comando sho w running - config no prompt do E XEC privilegiado p ara visualizar as configurações de segurança aplica das. Laboratório \u2013 Protegend o Dispositivos de Rede © 2016 Cisco e/ou suas afi liadas. Todos os direitos reservados . Este documento contém i nformações públicas da Cisco. Página 8 de 8 Reflexão 1. O comando pass word cisco foi inse rido para o console e linhas VTY em sua c onfiguração bási ca na Parte 1. Quando essa senh a é usada depois que as medidas de segura nça de práticas re comendada s foram aplicadas? ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ 2. As senhas pré - confi guradas com m enos de 10 caractere s, são afetada s pelo comando securi ty pass words min - length 10 ? ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ ___ ____ ____ __ Tabela de Resumo das Interface dos Roteadores Resumo das In terfaces dos Rotead ores Modelo do Roteador Interface Eth ernet 1 Interface Et hernet 2 Interface Serial 1 Interf ace Serial 2 1800 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) 1900 Gigabit Ether net 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/ 0/0) Serial 0/0/1 ( S0/0/1) 2801 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/1/0 (S0/ 0/0) Serial 0/1/1 ( S0/0/1) 2811 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/ 0/0) Serial 0/0/1 ( S0/0/1) 2900 Gigabit Ether net 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/ 0/0) Serial 0/0/1 ( S0/0/1) Observação : para de scobrir como o rot eador é configurad o, observe as int erfaces para identi ficar o tipo de roteador e quant as interfaces ele tem . Não há como li star efetivam ente todas as combin ações de configu rações para cada classe de rote ador. Esta tabel a inclui identifi cadores para as com binações possív eis de Ethernet e Interfaces seriai s no dispositivo. A tabela não tem nenhum out ro tipo de interfa ce, embora um rot eador específico poss a ter. Um exemplo disso poderia ser u ma interface IS DN BRI. A string ent re parêntese s é a abreviatura legal que pode ser usada no comando do Cisco I OS para represe ntar a interfa ce.

11 2 4 8 Lab - Securing Network Devices

Exatas

Redes de Computadores

Continue navegando

Materiais relacionados

Perguntas relacionadas

The Internet emerged in the 1960s, during the Cold War. Today it is impossible to imagine society without devices connected to the worldwide comput...

The concept of encapsulation also applies to network communications and the internet, and in this context, the number of encapsulations in each tra...

Which statement about OCI shared security model is true? • You are responsible for securing the hypervisor within OCI Compute service (Incorreto)...

ANATOMIA BUCAL ©SINTESEODONTO lábio superior 1 8 úvula palatina 1 2 frênulo do lábio parte posterior superior 2 3 da orofaringe gengiva 3 10 língua...

Outros materiais