Práctica de laboratorio 8.3.4: Planificación, configuración y verificación de las ACL extendidas

Transcripción

1 Práctica de laboratorio 8.3.4: Planificación, configuración y verificación de las ACL extendidas Dispositivo Nombre del Host Dirección IP de FastEthernet 0/0 Dirección IP Serial 0/0/0 Tipo de interfaz serial 0/0/0 Gateway predeterminado Contraseña secreta de enable Router 1 R / /30 DCE class cisco Router 2 R / /30 DTE class cisco Switch 1 S1 class cisco Host 1 H / Host 2 H / Host 3 H / Contraseña de enable, de vty y de consola Objetivos Configurar ACL extendidas para controlar el tráfico. Verificar el funcionamiento de las ACL. All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 1 de 5

2 Información básica / Preparación En esta práctica de laboratorio trabajará con ACL extendidas para controlar el tráfico de la red basado en direcciones IP del host. Se puede usar cualquier router que cumpla con los requisitos de interfaz que se muestran en el diagrama de topología. Por ejemplo, se pueden usar los routers serie 800, 1600, 1700, 1800, 2500, 2600, 2800 o cualquier combinación. La información en esta práctica de laboratorio se aplica a los routers serie También se aplica a otros routers, aunque la sintaxis de comandos puede variar. Las interfaces pueden variar según el modelo de router. Por ejemplo, en algunos routers, Serial 0 puede ser Serial 0/0 o Serial 0/0/0 y Ethernet0 puede ser FastEthernet 0/0. El switch Cisco Catalyst 2960 viene preconfigurado y sólo necesita que se le asigne información básica de seguridad antes de ser conectado a una red. Se necesitan los siguientes recursos: Un switch Cisco 2960 u otro switch similar Dos routers Cisco 1841 o similares, cada uno con una interfaz serial y una Ethernet Tres PC con Windows, al menos una con un programa de emulación de terminal y todas configuradas como hosts Al menos un cable conector de consola RJ-45 a DB-9 para configurar los routers y el switch Tres cables de conexión directa Ethernet Un cable de conexión cruzada Ethernet Un cable serial de conexión cruzada DTE/DCE de dos partes NOTA: asegúrese de que los routers y los switches se hayan eliminado y no tengan configuraciones de inicio. Las instrucciones para eliminar tanto el switch como el router se proporcionan en el Manual de Prácticas de Laboratorio, que se encuentra en la sección Tools (Herramientas) del sitio Web Academy Connection. NOTA: routers habilitados para SDM: si se elimina startup-config en un router habilitado para SDM, éste ya no aparecerá de manera predeterminada cuando se reinicie el router. Será necesario establecer una configuración básica de router usando los comandos IOS. Los pasos de esta práctica de laboratorio utilizan comandos IOS y no requieren el uso de SDM. Si desea utilizar SDM, consulte las instrucciones del Manual de Prácticas de Laboratorio, que se encuentra en la sección Tools (Herramientas) del sitio Web Academy Connection, o comuníquese con su instructor si fuera necesario. Paso 1: Conecte el equipo. a. Conecte la interfaz Serial 0/0/0 del Router 1 a la interfaz Serial 0/0/0 del Router 2 mediante un cable serial. b. Conecte la interfaz Fa0/0 del router 1 al puerto Fa0/1 del switch 1 mediante un cable de conexión directa. c. Conecte un cable de consola a cada PC para realizar configuraciones en los routers y el switch. d. Conecte el Host 1 al puerto Fa0/3 del switch 1 mediante un cable de conexión directa. e. Conecte el Host 2 al puerto Fa0/2 del switch 1 mediante un cable de conexión directa. f. Conecte un cable de conexión cruzada entre el Host 3 y la interfaz Fa0/0 del Router 2. All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 2 de 5

3 Paso 2: Realice la configuración básica del Router 1. a. Conecte una PC al puerto de consola del router para realizar configuraciones utilizando un programa de emulación de terminal. b. En el Router 1, configure el nombre del host, las interfaces, las contraseñas y el mensaje del día, y deshabilite las búsquedas de DNS según la tabla de direccionamiento y el diagrama de topología. Guarde la configuración. Paso 3: Realice la configuración básica del Router 2. Realice la configuración básica en el Router 2 y guarde la configuración. Paso 4: Realice la configuración básica del Switch 1. Configure el Switch 1 con un nombre de host, consola, Telnet y contraseñas privilegiadas según la tabla de direccionamiento y el diagrama de topología. Paso 5: Configure los hosts con la dirección IP, la máscara de subred y el gateway predeterminado. a. Configure los hosts con la dirección IP, la máscara de subred y el gateway predeterminado según la tabla de direccionamiento y el diagrama de topología. b. Cada estación de trabajo debe tener capacidad para hacer ping al router conectado. Si los pings no son satisfactorios, resuelva el problema según sea necesario. Verifique que se hayan asignado una dirección IP y un gateway predeterminado específicos a la estación de trabajo. Paso 6: Configure el enrutamiento RIP y verifique la conectividad de extremo a extremo en la red. a. En el R1, habilite el protocolo de enrutamiento RIP y configúrelo para publicar ambas redes conectadas. b. En el R2, habilite el protocolo de enrutamiento RIP y configúrelo para publicar ambas redes conectadas. c. Desde cada host, haga ping a los otros dos hosts. Los pings tuvieron éxito? Si la respuesta es negativa, resuelva el problema de las configuraciones del router y el host para detectar el error. Haga ping de nuevo hasta que todos sean satisfactorios. Paso 7: Configure las ACL extendidas para controlar el tráfico. El Host 3 en esta red contiene información de dominio privado. Los requisitos de seguridad para esta red establecen que sólo ciertos dispositivos podrán acceder a esta máquina. El Host 1 es el único host que podrá acceder a esta computadora. Todos los otros hosts en esta red se utilizan para acceso de invitado y no se les debe permitir el acceso al Host 3. Además, el Host 3 es la única computadora en la red que puede acceder a las interfaces de R1 para una administración remota. Las ACL extendidas se utilizarán para controlar el acceso en esta red. a. Confeccione una lista de requisitos para una mayor claridad: 1) El Host 1 puede acceder al Host 3. Todos los otros hosts (sólo en esa red) no pueden acceder al Host 3. Todo host adicional que se agregue en el futuro a otras redes debe tener acceso al Host 3, ya que no serán máquinas a las que se pueda tener acceso de invitado. 2) El Host 3 puede acceder a las interfaces de R1. Todos los otros dispositivos en la red no tendrán acceso. All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 3 de 5

4 b. Analice los requisitos y determine la ubicación de las listas de control de acceso extendidas. Según los requisitos, el tráfico que debe controlarse es el que sale de la interfaz Fa0/0 de R2 con destino al Host 3. Por lo tanto, la lista de control de acceso debe ubicarse en la interfaz Fa0/0 de R2. c. Cree una ACL extendida para realizar las tareas establecidas y aplíquela a R2. R2(config)#access-list 101 permit ip host host R2(config)#access-list 101 deny ip host R2(config)#access-list 101 permit ip any any R2(config)#access-list 101 deny ip any any NOTA: la sentencia deny implícita al final de una lista de control de acceso cumple esta misma función. No obstante, el agregado de la línea a la ACL facilita su documentación y se considera una buena práctica. Al agregar explícitamente esta sentencia, se lleva la cuenta de la cantidad de paquetes que coinciden con la sentencia y el administrador puede ver cuántos paquetes se rechazaron. d. Aplique la lista de acceso en la interfaz Fa0/0 de R2 en la dirección de salida. R2(config)#interface fastethernet 0/0 R2(config-if)#ip access-group 101 out e. Verifique la ACL en R2 con el comando show access-lists. El resultado del comando show access-lists muestra la ACL que se creó? El resultado del comando show access-lists muestra de qué manera se aplicó la ACL? f. Utilice el comando show ip interface fa0/0 en R2 para mostrar la aplicación de la ACL. Qué le indica el resultado del comando show ip interface acerca de la ACL? _ Paso 8: Pruebe la ACL. a. Haga ping al Host 3 desde los Hosts 1 y 2. Puede el Host 1 hacer ping al Host 3? Puede el Host 2 hacer ping al Host 3? b. Para verificar que las otras direcciones puedan hacer ping al Host 3, haga ping al Host 3 desde R1. El ping tuvo éxito? c. Muestre nuevamente la lista de control de acceso con el comando show access-lists. Qué información adicional se muestra además de las sentencias de la lista de acceso? d. Elimine esta lista de control de acceso antes de continuar. R2(config)#interface fastethernet 0/0 R2(config-if)#no ip access-group 101 out R2(config-if)#exit R2(config)#no access-list 101 All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 4 de 5

5 Paso 9: Configure y pruebe la ACL para el próximo requisito. a. El Host 3 es el único host al que se le debe permitir conectarse a R1 para la administración remota. Cree una lista de control de acceso que cumpla con este requisito. Esta ACL deberá ubicarse en R1, ya que R1 es el destino del tráfico. Ninguno de los otros hosts tendrá permitido el acceso. Éste es el único tráfico que se controla. El resto del tráfico debe estar autorizado. R1(config)#access-list 101 permit ip host host R1(config)#access-list 101 permit ip host host R1(config)#access-list 101 deny ip any host R1(config)#access-list 101 deny ip any host R1(config)#access-list 101 permit ip any any R1(config)#access-list 101 deny ip any any b. Dado que el tráfico de origen puede provenir de cualquier dirección, esta ACL debe aplicarse a ambas interfaces en R1. El tráfico que se controlará debe ser el que ingrese al router. R1(config)#interface fastethernet 0/0 R1(config-if)#ip access-group 101 in R1(config-if)#interface serial 0/0/0 R1(config-if)#ip access-group 101 in c. Ahora intente hacer telnet a R1 desde todos los hosts y R2. Intente hacer telnet a ambas direcciones de R1. Puede hacer telnet a R1 desde cualquiera de estos dispositivos? Si la respuesta es sí, desde cuáles? d. Muestre el resultado del comando show access-lists en R1. El resultado del comando show access-lists muestra que las sentencias coinciden? Paso 10: Reflexione. a. Por qué se requieren una planificación y una prueba más detalladas de las listas de control de acceso? b. Cuál es la ventaja de utilizar las ACL extendidas en comparación con las ACL estándar? All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 5 de 5