Práctica de laboratorio 8.3.3: Configuración y verificación de las ACL estándar

Transcripción

1 Práctica de laboratorio 8.3.3: Configuración y verificación de las ACL estándar Dispositivo Nombre del Host Dirección IP de FastEthernet 0/0 Dirección IP Serial 0/0/0 Tipo de interfaz serial 0/0/0 Direcciones de interfaz loopback Contraseña secreta de enable Router 1 R / /30 DCE n/c class cisco Router 2 R2 n/c /30 DTE Lo /32 Lo /32 Switch 1 S1 n/c n/c n/c n/c class cisco class Contraseña de enable, de vty y de consola cisco Objetivos Configurar las ACL estándar para limitar el tráfico. Verificar el funcionamiento de las ACL. All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 1 de 5

2 Información básica / Preparación En esta práctica de laboratorio trabajará con las ACL estándar para controlar el tráfico de red basado en direcciones IP del host. Se puede usar cualquier router que cumpla con los requisitos de interfaz que se muestran en el diagrama anterior. Por ejemplo, se pueden usar los routers serie 800, 1600, 1700, 1800, 2500, 2600, 2800 o cualquier combinación. La información en esta práctica de laboratorio se basa en el router serie Se pueden utilizar otros routers; sin embargo, la sintaxis del comando puede variar. Las interfaces pueden variar según el modelo de router. Por ejemplo, en algunos routers Serial 0 puede ser Serial 0/0 o Serial 0/0/0 y Ethernet 0 puede ser FastEthernet 0/0. El switch Cisco Catalyst 2960 viene preconfigurado y sólo se le debe asignar información básica de seguridad antes de conectarlo a una red. Se necesitan los siguientes recursos: Un switch Cisco 2960 u otro switch similar Dos routers Cisco serie 1841 o similares, cada uno con una interfaz Ethernet y una serial Una PC con Windows, con un programa de emulación de terminal y configurada como host Al menos un cable de consola RJ-45 a DB-9 para configurar los routers y el switch Dos cables Ethernet de conexión directa Un cable serial de conexión cruzada DTE/DCE de dos partes NOTA: asegúrese de que los routers y los switches se hayan eliminado y no tengan configuraciones de inicio. Las instrucciones para eliminar tanto el switch como el router se proporcionan en el Manual de Prácticas de Laboratorio, que se encuentra en la sección Tools (Herramientas) del sitio Web Academy Connection. NOTA: routers habilitados para SDM: si se elimina startup-config en un router habilitado para SDM, éste ya no aparecerá de manera predeterminada cuando se reinicie el router. Será necesario establecer una configuración básica de router usando los comandos IOS. Los pasos de esta práctica de laboratorio utilizan comandos IOS y no requieren el uso de SDM. Si desea utilizar SDM, consulte las instrucciones del Manual de Prácticas de Laboratorio, que se encuentra en la sección Tools (Herramientas) del sitio Web Academy Connection, o comuníquese con su instructor si fuera necesario. Paso 1: Conecte el equipo. a. Conecte la interfaz Serial 0/0/0 del Router 1 a la interfaz Serial 0/0/0 del Router 2 mediante un cable serial. b. Conecte la interfaz Fa0/0 del router 1 al puerto Fa0/1 del switch 1 mediante un cable de conexión directa. c. Conecte un cable de consola a la PC para realizar las configuraciones en los routers y el switch. d. Conecte el H1 al puerto Fa0/2 del Switch 1 mediante un cable de conexión directa. Paso 2: Realice la configuración básica del Router 1. a. Conecte una PC al puerto de consola del router para realizar configuraciones utilizando un programa de emulación de terminal. b. En el Router 1, configure el nombre del host, las interfaces, las contraseñas y el mensaje del día, y deshabilite las búsquedas de DNS según la tabla de direccionamiento y el diagrama de topología. Guarde la configuración. All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 2 de 5

3 Paso 3: Realice la configuración básica del Router 2. Realice la configuración básica en el Router 2 y guarde la configuración. Paso 4: Realice la configuración básica del Switch 1. Configure el Switch 1 con un nombre de host y contraseñas según la tabla de direccionamiento y el diagrama de topología. Paso 5: Configure el host con la dirección IP, la máscara de subred y el gateway predeterminado. a. Configure el host con la correspondiente dirección IP, la máscara de subred y el gateway predeterminado. Al host se le debe asignar la dirección /24 y el gateway predeterminado b. La estación de trabajo debe tener la capacidad de hacer ping al router conectado. Si el ping no fue satisfactorio, resuelva el problema según sea necesario. Verifique que se hayan asignado una dirección IP y un gateway predeterminado específicos a la estación de trabajo. Paso 6: Configure el enrutamiento RIP y verifique la conectividad de extremo a extremo en la red. a. Habilite el protocolo de enrutamiento RIP en el Router 1 y configúrelo para que publique ambas redes conectadas. b. Habilite el protocolo de enrutamiento RIP en el Router 2 y configúrelo para que publique las tres redes conectadas. c. Haga ping desde el Host 1 a las dos interfaces loopback en el Router 2. Tuvieron éxito los ping desde el Host 1? Si la respuesta es negativa, resuelva el problema de las configuraciones del router y el host para detectar el error. Haga ping de nuevo hasta que ambos sean satisfactorios. Paso 7: Configure y pruebe una ACL estándar. En esta topología de laboratorio, las interfaces loopback en R2 simulan dos redes clase C conectadas al router. Las ACL se utilizarán para controlar el acceso a estas subredes. La interfaz loopback 0 representa una red de estaciones de trabajo de administración y la interfaz loopback 1 representa una red de ingeniería de acceso limitado. En esta red, es necesario tener al menos una estación de trabajo de administración en la subred /24 junto con otras estaciones de trabajo del usuario. A la estación de trabajo de administración se le asigna una dirección IP estática Las estaciones de trabajo del usuario consumen el resto de las direcciones IP de la red. La ACL debería permitir el acceso de la estación de trabajo de administración a las redes conectadas a R2, pero no permitir el acceso a estas redes desde los otros hosts de la red Se utiliza una ACL estándar que se coloca en R2, ya que R2 está más cerca del destino. a. Cree una ACL estándar en R2 que se usará para acceder a las redes conectadas. Esta ACL permite el acceso al host y lo niega al resto. R2(config)#access-list 1 permit R2(config)#access-list 1 deny any All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 3 de 5

4 NOTA: la sentencia deny implícita al final de una lista de control de acceso cumple esta misma función. No obstante, el agregado de la línea a la ACL facilita su documentación y se considera una buena práctica. Al agregar explícitamente esta sentencia, se lleva la cuenta de la cantidad de paquetes que coinciden con la sentencia y el administrador puede ver cuántos paquetes se rechazaron. b. Luego de crear la ACL, se debe aplicar a una interfaz en el router. Utilice la interfaz serial 0/0/0 para permitir el control en las redes y El tráfico potencial pasaría a la interfaz; por lo tanto, aplique la ACL en la dirección entrante. R2(config)#interface serial 0/0/0 R2(config-if)#ip access-group 1 in c. Ahora que se ha creado y aplicado la ACL, utilice el comando show access-lists en R2 para visualizar la ACL. Existe alguna coincidencia para cualquier sentencia ACL? R2#show access-lists Standard IP access list 1 10 permit deny any El resultado del comando show access-lists muestra la ACL creada? El resultado del comando show access-lists muestra de qué manera se aplicó la ACL? d. Utilice el comando show ip interface s0/0/0 para mostrar la aplicación de la ACL. Qué le indica el resultado del comando show ip interface acerca de la ACL? Paso 8: Pruebe la ACL. a. Haga ping en la dirección de loopback desde el Host 1. El ping tuvo éxito? b. Haga ping en la dirección de loopback desde el Host 1. El ping tuvo exito? c. Ejecute el comando show access-list nuevamente. Cuántas coincidencias hay para la primera sentencia ACL (permit)? R2#show access-lists Standard IP access list 1 permit (16 matches) deny any Cuántas coincidencias hay para la segunda sentencia ACL (deny)? d. Consulte la tabla de enrutamiento en R2 mediante el comando show ip route. Qué ruta no aparece en la tabla de enrutamiento? All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 4 de 5

5 La ruta no aparece en la tabla de enrutamiento porque la ACL sólo permite los paquetes desde Los paquetes de actualización RIP desde R1 se obtienen de la interfaz serial 0/0/0 del router y la ACL los rechaza. Debido a que la ACL bloquea las actualizaciones RIP de R1 que publican la red , R2 no tiene información sobre la red La ACL no bloqueó los pings que se hicieron antes. Fallaron porque R2 no pudo devolver la respuesta de eco. R2 no tenía información sobre cómo llegar a la red Este ejemplo muestra por qué las ACL se deben programar cuidadosamente y su funcionalidad se debe comprobar exhaustivamente. e. Vuelva a crear la ACL en R2 para permitir que se reciban las actualizaciones de enrutamiento desde R1. R2(config)#no access-list 1 R2(config)#access-list 1 permit R2(config)#access-list 1 permit R2(config)#access-list 1 deny any f. Haga ping en y desde el Host 1. Son satisfactorios los pings ahora? g. Cambie la dirección IP del Host 1 a h. Haga ping nuevamente en y desde el Host 1. Los pings son satisfactorios? Muestre la ACL nuevamente mediante el comando show access-lists. Hay coincidencias para la sentencia ACL ? NOTA: puede borrar los contadores ACL mediante el comando clear ip access-list counters desde el indicador de comandos del EXEC privilegiado. Paso 9: Reflexione. a. Por qué se requieren una planificación y una prueba más detalladas de las listas de control de acceso? b. Cuál es la limitación principal de las ACL estándar? All contents are Copyright Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. Página 5 de 5