Giáo trình Cấu hình thiết bị mạng Cisco

ỦY BAN NHÂN DÂN TỈNH BR – VT TRƯỜNG CAO ĐẲNG NGHỀ GIÁO TRÌNH MƠ ĐUN CẤU HÌNH THIẾT BỊ MẠNG CISCO NGHỀ QUẢN TRỊ MẠNG TRÌNH ĐỘ CAO ĐẲNG Ban hành kèm theo Quyết định số: 01/QĐ-CĐN, ngày tháng năm Hiệu trưởng trường Cao đẳng nghề tỉnh Bà Rịa – Vũng Tàu Bà Rịa – Vũng Tàu TUYÊN BỐ BẢN QUYỀN Tài liệu thuộc loại sách giáo trình nên nguồn thơng tin phép dùng nguyên trích dùng cho mục đích đào tạo tham khảo Mọi mục đích khác mang tính lệch lạc sử dụng với mục đích kinh doanh thiếu lành mạnh bị nghiêm cấm LỜI GIỚI THIỆU Giáo trình “Cấu hình thiết bị mạng Cisco” biên soạn dựa chương trình đào tạo chuyên viên mạng Cisco Đây chương trình học có tính thực tế cao Trong bối cảnh cơng nghệ phát triển liên tục giáo trình cập nhật công nghệ để bám sát thực tiễn Giáo trình tương ứng với chương trình đào tạo CCNA Cisco gồm có 16 trình bày có hệ thống đọng Nội dung khảo sát thành phần cấu trúc hoạt động Router Switch Cisco đồng thời hướng dẫn người đọc cấu hình cho Router Switch Bên cạnh đó, giáo trình cịn giúp người đọc xử lý cố cho Router Switch Giáo trình khơng hữu ích cho học viên mạng CCNA mà tài liệu bổ ích cho bạn đọc muốn trở thành nhà quản trị mạng chuyên nghiệp Mặc dù cố gắng sửa chữa, bổ sung cho sách hồn thiện song khơng tránh khỏi thiếu sót, hạn chế Nhóm biên soạn mong nhận cá ý kiến đóng góp quý báu bạn đọc Biên soạn Nguyễn Lâm MỤC LỤC MÔ ĐUN CẤU HÌNH THIẾT BỊ MẠNG CISCO Mã mơ đun: MĐ 15 Vị trí, tính chất, ý nghĩa vai trị mơ đun: Mơ đun có ý nghĩa cung cấp kiến thức thiết kế, xây dựng quản trị hệ thống mạng sử dụng thiết bị mạng Cisco Mơ đun bố trí sau học xong môn chung, mô đun Quản trị mạng Mục tiêu mơ đun: - Trình bày khái niệm quản trị hệ thống, quản trị kết nối quản trị bảo mật ‐ Trình bày khác công dụng thiết bị mạng Cisco thiết bị Non-Cisco ‐ Thiết kế, xây dựng, quản trị bảo trì hệ thống mạng Cisco cho doanh nghiệp, tập đồn có nhiều chi nhánh ‐ Giải vấn đề thiết bị kết nối mạng Cisco với đầy đủ tính theo yêu cầu thực tế tổ chức ‐ Cẩn thận, an toàn cho người học thiết bị ‐ Nâng cao tinh thần làm việc nhóm ‐ Đảm bảo biện pháp an tồn cho máy tính, vệ sinh cơng nghiệp Nội dung mô đun: T T Tên mô đun Các loại cáp loại kết nối Thời gian Hình thức giảng dạy Tích hợp Sử dụng giao diện Command-Line 10 Tích hợp Cấu hình Router 10 Tích hợp Kiểm tra Định tuyến tĩnh 10 Tích hợp Định tuyến RIP 10 Tích hợp Định tuyến EIGRP 10 Tích hợp Định tuyến OSPF 10 Tích hợp Kiểm tra 4, 5, 6, Cấu hình Switch 10 Tích hợp Cấu hình VLAN 10 Tích hợp 10 Tích hợp 10 Cấu hình VTP định tuyến VLAN Kiểm tra 8, 9, 10 11 Sao lưu phục hồi Cisco IOS tập tin cấu 10 Tích hợp 12 Khơi phục mật Tích hợp 13 Cấu hình Telnet SSH 10 Tích hợp 14 Cấu hình NAT 15 Tích hợp 15 Cấu hình DHCP 10 Tích hợp 16 Cấu hình Access Control List (ACL) 15 Tích hợp hình Kiểm tra 14, 15, 16 Tổng 180 BÀI GIỚI THIỆU VỀ CÁC THIẾT BỊ CISCO Giới thiệu: Tập đoàn Hệ thống Cisco thành lập năm 1984 hai nhà khoa học máy tính bắt đầu trở nên tiếng năm 1990 Cisco System hãng chuyên sản xuất đưa giải pháp mạng LAN&WAN lớn giới Thị phần hãng chiếm 70% đến 80% thị trường thiết bị mạng toàn giới Các thiết bị giải pháp hãng đáp ứng nhu cầu loại hình doanh nghiệp từ doanh nghiệp vừa nhỏ đến doanh nghiệp có quy mơ lớn nhà cung cấp dịch vụ Internet (ISP) Các sản phẩm Cisco chủ yếu gồm: Router, Switch, Firewall, AccessPoint,… Trong học này, tìm hiểu cách kết nối PC thiết bị Cisco Bên cạnh đó, học hướng dẫn cách lựa chọn loại cáp mạng cáp Serial cho kết nối phù hợp thiết bị Mục tiêu: - Trình bày phương pháp kết nối PC thiết bị Cisco, thiết bị Cisco với - Kết nối Router Switch sử dụng cáp Rollover - Xác định thông số cài đặt PC để thực kết nối Router Switch - Xác định loại cáp Serial khác - Xác định loại cáp sử dụng để kết nối Router Switch đến thiết bị khác - Có tư duy, sáng tạo, độc lập làm việc nhóm - Đảm bảo an tồn cho người thiết bị Nội dung: Kết nối với Router Switch Hình 1.1: Phương pháp kết nối từ PC đến Switch Router thông qua cáp Rollover Xác định thông số cài đặt PC để thực kết nối Router Switch Hình 1.2: Phương pháp cấu hình PC để kết nối đến Router Switch thông qua cáp Rollover Các kết nối LAN Bảng 1.1: Các loại port khác loại kết nối khác thiết bị LAN Port Kết Loại Port nối Kết nối trực tiếp đến Ethernet Switch Cáp Ethernet RJ-45 T1/E1 RJ-48C/CA81A Mạng T1 E1 Rollover Console pin Computer COM Port Rollover AUX pin Modem RJ-45 BRI S/T RJ-48C/CA81A BRI U WAN RJ-49C/CA11A Mạng ISDN Thiết bị NT1 PINX RJ-45 RJ-45 RJ-45 Các loại cáp Serial Hình 1.3: Đầu cáp DB-60 cáp serial dùng để kết nối đến router 2500 Hình 1.4: Cáp Smart Serial (1700, 1800, 2600, 2800) Hình 1.5: Cáp V35 DTE DCE Hình 1.6: Đầu chuyển đổi từ USB sang Serial cho Labtop Phương pháp sử dụng loại cáp Serial Bảng 1.2: Cách để sử dụng loại cáp serial Thiết bị A Thiết bị B Cổng COM máy Cổng Console tính Router/switch Loại cáp sử dụng Rollover Card NIC máy tính Switch Cáp thẳng Card NIC máy tính Card NIC máy tính Cáp chéo Cổng switch Cáp thẳng Cổng Ethernet Router Cổng switch Cổng switch Cáp chéo Cổng Ethernet Cổng Ethernet Cáp chéo Router Router Card NIC máy tính Cổng Ethernet Cáp chéo Router Cổng Serial Router Cổng Serial Router Cáp serial DCE/DTE Bảng 1.3: Danh sách vị trị PIN loại cáp: Thẳng, chéo, cáp Rollover Cáp thẳng Cáp chéo Cáp Rollover Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin Pin – Pin 10 Câu hỏi tập 15.1: Cho sơ đồ mạng hình bên dưới, cấu hình dịch vụ DHCP với lệnh nằm phạm vi học Yêu cầu đánh giá - Trình bày chức DHCP Nêu ưu điểm nhược điểm DHCP - Cấu hình DHCP DHCP helper Router - Kiểm tra xử lý lỗi cấu hình DHCP 110 BÀI 16 CẤU HÌNH ACCESS CONTROL LIST (ACL) Giới thiệu: Bảo mật mạng công việc vô quan trọng hệ thống mạng Các nhà thiết kế mạng sử dụng tường lửa (firewall) để bảo vệ mạng từ người dùng không xác thực Tường lửa giải pháp phần cứng giải pháp phần mền để thi hành sách bảo mật Trên thiết bị Router Cisco, cấu hình tường lửa đơn giản cung cấp lọc gói tin sử dụng ACL ACL (Access Control List) hay gọi access list, danh sách câu lệnh hay gọi ACE (Access Control Entrie), áp dụng Interface đó, đệm vào ra, điều khiểu Router từ chối chuyển tiếp gói tin dựa vào thông tin IP header TCP/UDP header Bài học trình bày kiến thức cấu hình ACL Mục tiêu: - Trình bày chức bảo mật ACL - Tạo ACL Standard Extended - Gán ACL Standart Extended cho Interface - Hạn chế truy cập Router thông qua telnet sử dụng ACL - Có tư duy, sáng tạo, độc lập làm việc nhóm - Đảm bảo an toàn cho người thiết bị Nội dung: Access List numbers Bảng 16.1: Các Access List number 1–99 or 1300–1999 100–199 or 2000–2699 600–699 800–899 900–999 1000–1099 Standard IP Extended IP AppleTalk IPX Extended IPX IPX Service Advertising Protocol Các từ khóa ACL Bảng 16.2: Các từ khố ACL 111 Any Được sử dụng để thay cho 0.0.0.0 255.255.255.255, trường hợp tương ứng với tất địa mà ACL thực so sánh Host Được sử dụng để thay cho 0.0.0.0, trường hợp tương ứng với địa IP Tạo ACL Standard Bảng 16.3: Hướng dẫn tạo ACL Standard Router(config)#access-list Tất gói tin có địa IP 10 permit 172.16.0.0 nguồn 172.16.x.x phép 0.0.255.255 truyền tiếp access-list Câu lệnh ACL 10 Chỉ số nằm khoảng từ đến 99, 1300 đến 1999, sử dụng cho ACL standard Permit Các gói tin tương ứng với câu lệnh cho phép 172.16.0.0 Địa IP nguồn so sánh 0.0.255.255 Wildcard mask Router(config)#access-list Tất gói tin có địa IP 10 deny host 172.17.0.1 nguồn 172.17.0.1 phép truyền tiếp access-list Câu lệnh ACL 10 Chỉ số nằm khoảng từ đến 99, 1300 đến 1999, sử dụng cho ACL standard Deny Các gói tin tương ứng với câu lệnh bị chặn lại Host Từ khóa 112 172.17.0.1 Chỉ địa host Router(config)#access-list Tất gói tin tất 10 mạng phép truyền tiếp permit any access-list Câu lệnh ACL 10 Chỉ số nằm khoảng từ đến 99, 1300 đến 1999, sử dụng cho ACL standard Permit Các gói tin tương ứng với câu lệnh cho phép any Từ khóa tương ứng với tất địa IP Gán ACL Standard cho Interface Bảng 16.4: Gán ACL Standard cho Interface Router(config)#interface Chuyển fastethernet 0/0 interface fa0/0 Router(config-if)#ip Câu lệnh sử dụng để gán access-group 10 in ACL 10 vào interface fa0/0 Những cấu hình vào chế độ gói tin vào router thông qua interface fa0/0 kiểm tra * Chú ý: - Access list gán vào interface theo hai hướng: hướng vào (dùng từ khóa in) hướng (dùng từ khóa out) - Gán ACL standard vào vị trí gần mạng đích thiết bị đích Kiểm tra ACL Bảng 16.5: Các câu lệnh kiểm tra ACL Router#show ip interface Hiển thị tất ACL gán vào interface Router#show access-lists Hiển thị nội dung tất ACL 113 router Router#show access-list Hiển thị nội dung ACL có số access-list-number câu lệnh Router#show access-list Hiển thị nội dung ACL có tên name câu lệnh Router#show run Hiển thị file cấu hình chạy RAM Xóa ACL Bảng 16.6: Câu lệnh xố ACL Router(config)#no access- Xóa bỏ ACL có số 10 list 10 Tạo ACL Extended Bảng 16.7: Hướng dẫn tạo ACL Extended Router(config)#access-list Các gói tin HTTP có địa IP 110 permit tcp 172.16.0.0 nguồn 172.16.0.x cho 0.0.0.255 192.168.100.0 phép truyền đến mạng đích 0.0.0.255 eq 80 192.168.100.x access-list Câu lệnh ACL 110 Chỉ số nằm khoảng từ 100 đến 199, từ 2000 đến 2699 sử dụng để tạo ACL extended IP Permit Những gói tin tương ứng với câu lệnh cho phép Tcp Giao thức sử dụng phải TCP 172.16.0.0 Địa IP nguồn sử dụng để so sánh 0.0.0.255 Wildcard mask địa IP nguồn 192.168.100.0 Địa IP đích dùng để so 114 sánh 0.0.0.255 Wildcard mask địa IP đích Eq Tốn tử 80 Port 80, dùng cho lưu lượng HTTP Router(config)#access-list Các gói tin Telnet có địa IP nguồn 110 deny tcp any bị chặn lại chúng truy cập đến 192.168.100.7 0.0.0.0 eq 23 đích 192.168.100.7 access-list Câu lệnh ACL 110 Chỉ số nằm khoảng từ 100 đến 199, từ 2000 đến 2699 sử dụng để tạo ACL extended IP Deny Những gói tin tương ứng với câu lệnh bị từ chối Tcp Giao thức sử dụng TCP Any Từ khóa tương ứng với tất địa mạng 192.168.100.7 Là địa IP đích 0.0.0.0 Wildcard mask đích Eq Tốn từ 23 Port 23, port ứng dụng telnet Gán ACL extended cho Interface Bảng 16.8: Lệnh gán ACL extended cho Interface Router(config)# interface fastethernet 0/0 Chuyển cấu hình vào chế độ interface fa0/0 Router(config)# ip accessgroup 110 out Đồng thời gán ACL 110 vào interface theo chiều out Những gói tin khỏi interface fa0/0 kiểm tra * Chú ý: - Access list gán vào interface theo hai hướng: hướng vào (dùng từ khóa in) hướng (dùng từ khóa out) 115 - Duy access list gán cho interface, theo hướng - Gán ACL extended vị trí gần mạng nguồn thiết bị nguồn Từ khóa established Bảng 16.9: Hướng dẫn sử dụng từ khoá established Router(config)#access-list Cho biết kết nối thiết 110 lập permit tcp 172.16.0.0 0.0.0.255 192.168.100.0 0.0.0.255 eq 80 established * Chú ý: - Câu lệnh kiểm tra tương ứng TCP datagram có bit ACK RST gán - Từ khóa established làm việc cho TCP, cịn UDP khơng 10 Tạo ACL named Bảng 16.10: Hướng dẫn tạo ACL named Router(config)# ip access- Tạo ACL extended tên list extended Serveraccess seraccess chuyển cấu hình vào chế độ ACL configuration Router(config-ext-nacl)# Cho phép gói tin mail từ permit tất địa nguồn đến host tcp any host 131.108.101.99 eq smtp có địa 131.108.101.99 Router(config-ext-nacl)# Cho phép gói tin Domain permit udp any host Name System (DNS) từ tất địa 131.108.101.99 eq domain nguồn đến địa đích 131.108.101.99 Router(config-ext-nacl)# Khơng cho phép tất gói tin từ deny ip any any log mạng nguồn đến tất 116 mạng đích Nếu gói tin bị chặn lại phép đưa log Router(config-ext-nacl)# Trở exit Global Configuration Router(config)# interface Chuyển fastethernet 0/0 interface fa0/0 Router(config-if)# ip access-group serveraccess out chế cấu độ hình cấu vào hình chế độ Gán ACL serveaccess vào interface fa0/0 theo chiều 11 Sử dụng Sequence Number ACL named Bảng 16.11: Hướng dẫn sử dụng Sequence Number ACL named Router(config)#ip access- Tạo ACL extended tên list extended serveraccess2 serveraccess2 Router(config-ext-nacl)#10 Sử dụng giá trị sequence permit tcp any host number 10 cho dòng lệnh 131.108.101.99 eq smtp Router(config-ext-nacl)#20 Sử dụng giá trị sequence permit udp any host number 20 cho dòng lệnh 131.108.101.99 eq domain Router(config-ext-nacl)#30 Sử dụng giá trị sequence deny ip any number any log 30 cho dòng lệnh Router(config-ext- Trở chế độ cấu hình Global nacl)#exit Configuration Router(config)#interface Chuyển cấu hình fastethernet 0/0 interface fa0/0 Router(config-if)#ip Gán ACL tên serveraccess2 vào access-group serveraccess2 interface fa0/0 theo chiều vào chế độ out Router(config-if)#exit Trở chế độ cấu hình Global Configuration 117 Router(config)#ip access- Chuyển cấu hình vào ACL tên list extended serveraccess2 serveraccess2 Router(config-ext-nacl)#25 Sử dụng giá trị sequence permit tcp any host number 25 cho dòng lệnh 131.108.101.99 eq ftp Router(config-ext- Trở chế độ cấu hình Global nacl)#exit Configuration * Chú ý: - Sử dụng Sequence Number cho phép bạn dễ dàng sửa câu lệnh ACL named - Tham số sequence-number phép cấu hình phiên phần mềm Cisco IOS 12.2 trở lên 12 Xóa lệnh ACL named sử dụng sequence number Bảng 16.12: Xóa lệnh ACL named sử dụng sequence number Router(config)#ip access- Chuyển cấu hình vào chế độ list extended serveraccess2 ACL nserveraccess2 Router(config-ext-nacl)# no Xóa câu lệnh có giá trị Sequence 20 number 20 Router(config-ext-nacl)# Trở exit Global Configuration chế độ cấu hình 13 Những ý sử dụng Sequence Number - Sequence Number khởi tạo từ giá trị 10 tăng nên 10 cho dòng lệnh ACL named - Nếu bạn quên không gán giá trị Sequence Number trước câu lệnh, câu lệnh gán tự động vào cuối ACL - Sequence Number thay đổi router router khởi động để phản ánh khả tăng 10 policy Nếu ACL bạn có số 10, 20, 30, 40, 50 60 ACL khởi động lại số trở thành 10, 20, 30, 40, 50, 60, 70 118 - Sequence Number khơng thể nhìn thấy bạn sử dụng câu lệnh Router# show running-config Router# show startup- config Để nhìn thấy giá trị Sequence Number, bạn sử dụng câu lệnh sau: Router#show access-lists Router#show access-lists list name Router#show ip access-list Router#show ip access-list list name 14 Tích hợp comments cho tồn ACL Bảng 16.14: Tích hợp comments cho tồn ACL Router(config)#access-list Với từ khóa remark cho phép bạn có 10 remark only Jones has thể tích hợp thêm ghi (giới access hạn 100 ký tự) Router(config)#access-list Host 10 permit 172.16.100.119 172.16.100.119 cho phép có địa IP truyền liệu đến mạng khác Router(config)# ip access- Tạo ACL list extended Telnetaccess telnetaccess Router(config-ext-nacl)# Với từ khóa remark cho phép bạn có remark not let Smith thể tích hợp thêm ghi (giới have telnet hạn 100 ký tự) Router(config-ext-nacl)# Host deny tcp host 172.16.100.153 bị từ chối 172.16.100.153 any eq thực telnet đến mạng khác có extended tên địa IP là telnet * Chú ý: - Bạn sử dụng từ khóa remark với ACL standard, ACL extended ACL named 119 - Bạn sử dụng từ khóa remark trước sau câu lệnh permit deny 15 Sử dụng ACL để hạn chế truy cập Router thông qua telnet Bảng 16.14: Sử dụng ACL để hạn chế truy cập telnet Router(config)#access-list Cho phép host có địa IP permit host 172.16.10.2 172.16.10.2 telnet vào router Router(config)#access-list Cho phép host nằm permit 172.16.20.0 mạng 172.16.20.x telnet vào 0.0.0.255 router Mặc định có câu lệnh deny all cuối ACL tạo Router(config)#line vty Chuyển cấu hình vào chế độ line vty Router(config-line)#access- Gán ACL vào chế độ line class in vty theo chiều vào router Khi gói tin telnet đến router kiểm tra * Chú ý: Khi cấu hình hạn chế truy cập vào router thơng qua telnet, sử dụng câu lệnh access-class thay sử dụng câu lệnh access-group 120 Câu hỏi tập 16.1: Cho sơ đồ mạng hình dưới: Viết ACL để chặn không cho phép mạng 10.0 truy cập đến mạng 40.0 cho phép ngược lại Viết ACL không cho phép host 10.5 truy cập đến host 50.7 ngược lại cho phép Viết ACL phép host 10.5 Telnet đến router Red Deer Các host khác Viết ACL named phép host 20.163 telnet đến host 70.2 Nhưng khơng có host mạng 20.0 telnet đến host 70.2 Ngoài host nằm mạng khác truy cập đến host 70.2 sử dụng giao thức 121 Viết ACL để host từ 50.1 đến 50.63 không truy cập web đến host 80.16 Những host từ 50.64 đến 50.254 cho phép Yêu cầu đánh giá - Trình bày chức ACL - Tạo ACL Standard Extended - Gán ACL Standard Extended cho Interface - Hạn chế truy cập Router giao thức telnet sử dụng ACL 122 DANH MỤC TỪ VIẾT TẮT Chữ viết tắt PC IP ICMP CCNA IOS VLAN VTP RIP EIGRP OSPF NAT PAT ACL DHCP SSH DTP TFTP IFS Cụm từ đầy đủ Personal Computer Internet Protocol Internet Control Message Protocol Cisco Certified Network Associate originally Internetwork Operating System Virtual Local Area Network VLAN Trunking Protocol Routing Infomation Protocol Enhanced Interior Gateway Routing Protocol Open Shortest Path First Network Address Translation Port Address Translation Access Control List Dynamic Host Configuration Protocol Secure Shell Dynamic Trunking Protocol Trivial File Transfer Protocol IOS File System 123 TÀI LIỆU THAM KHẢO [1] Dương Văn Toán, CCNA Lab Guide Version 4, VnExperts, 2008 [2] Todd Lammle, CCNA Cisco Certified Network Associate Study Guide, 7th ed., 2011 [3] Michael Valentine & Andrew Whitaker, CCNA: Exam 640-802, 3rd ed., USA: Que Publishing, 2008 [4] Wendell Odom, CCNA INTRO Exam Certification Guide: CCNA Self-study, USA: Cisco Press, 2004 [5] Eric Rivard & Jim Doherty, CCNA Quick Reference Sheets (CCNA Exam 640-802), USA: Cisco Press, 2008 124 ... THIỆU Giáo trình ? ?Cấu hình thiết bị mạng Cisco? ?? biên soạn dựa chương trình đào tạo chuyên viên mạng Cisco Đây chương trình học có tính thực tế cao Trong bối cảnh công nghệ phát triển liên tục giáo. .. CẤU HÌNH THIẾT BỊ MẠNG CISCO Mã mơ đun: MĐ 15 Vị trí, tính chất, ý nghĩa vai trị mơ đun: Mơ đun có ý nghĩa cung cấp kiến thức thiết kế, xây dựng quản trị hệ thống mạng sử dụng thiết bị mạng Cisco. .. độ cấu hình người dùng có khả hiển thị thơng số cấu hình router Khơng thể cấu hình để thay đổi thơng số cấu hình hoạt động router Router# Bạn nhìn thấy file cấu hình thay đổi tham số cấu hình