Dawit ARROUGE Yannick MONGIS Réseaux très haut débit Tronc commun Compte-rendu

Transcription

1 Dawit ARROUGE Yannick MONGIS Réseaux très haut débit Tronc commun Compte-rendu Réseaux LAN TP

2 Compte rendu Tp LAN : I. Architecture réseau du LAN de la société WGtélécoms sur Vélizy La société WGtélécoms vient de louer un nouvel immeuble de 5 étages sur Vélizy. Vous êtes en charge avec l équipe réseau, de l installation et du déploiement du réseau. Le site utilisera une architecture commutée classique avec deux commutateurs d agrégation situés au rez-dechaussée de l immeuble et des commutateurs d accès aux étages situés dans 2 locaux techniques d étage comme illustré sur le schéma ci-dessous : Chaque commutateur d accès est relié aux deux commutateurs d agrégation pour la haute disponibilité du réseau via une rocade fibre.

3 Les commutateurs de distribution représentent la limite entre la partie commutée et routée du réseau. Ces commutateurs sont reliés via un lien trunk L2. Le site est relié au réseau d Orange Business Service OBS via 2 connexions Ethernet, 1 principale de 100Mbits/s et une de backup à 10Mbits/s. Vous êtes en charge de la réalisation d une maquette illustrant le fonctionnement du réseau et permettant des séries de tests. L architecture réseau retenue pour cette maquette est donnée cidessous : Vous disposez donc pour vos tests d un commutateur d accès Cisco 2960 ou équivalent, d'un commutateur d'accès HPProcurve2524, 2 commutateurs 3560 avec la fonction de routage et 2 routeurs Cisco ( et ou équivalent), 2 PC (sur votre établi) et 1 téléphone IP Thomson ST2030 (distribué plus tard!). II. VLAN et STP

4 Le commutateur d accès Cisco sera configuré comme illustré sur le schéma ci-dessous : 1. Effectuer le câblage entre les commutateurs en prenant soin de respecter les numéros de port. 2. Configurer le commutateur d accès de marque Cisco (le commutateur HP sera configuré plus tard) : déclaration des VLANs, VLAN par port, mode STP et fonction portfast. Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#hostname S1 S1(config)# - Déclaration des VLANs : S1(config)#vlan 10 S1(config-vlan)#name DATA S1(config-vlan)#exit S1(config)#vlan 20 S1(config-vlan)#name VOIX S1(config-vlan)#exit S1(config)#vlan 30 S1(config-vlan)#name INVITE S1(config-vlan)#exit S1(config)#vlan 40 S1(config-vlan)#name PRIVE S1(config-vlan)#exit S1(config)#vlan 50

5 S1(config-vlan)#name MANAGEMENT S1(config-vlan)#exit - Rangement des ports dans les VLANs : S1(config)#int range fa0/1-5 S1(config-if-range)#switchport mode access S1(config-if-range)#switchport access vlan 10 S1(config-if-range)#no shut S1(config)#int range fa0/6-10 S1(config-if-range)#switchport mode access S1(config-if-range)#switchport access vlan 20 S1(config-if-range)#no shut S1(config)#int range fa0/16-20 S1(config-if-range)#switchport mode access S1(config-if-range)#switchport access vlan 50 S1(config-if-range)#no shut - Mode stp et fonction portfast : S1(config)#spanning-tree portfast default 3. Configurer les commutateurs SR1 et SR2 : déclaration des VLANs, VLAN par ports, mode STP, priorité du BID STP, adressage IP des interfaces VLANs. - Configuration de SR1 : hostname SR1 ip routing spanning-tree mode pvst spanning-tree vlan 10 priority spanning-tree vlan 20 priority interface FastEthernet0/7 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface GigabitEthernet0/1 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface GigabitEthernet0/2 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface Vlan1 no ip address shutdown interface Vlan10 ip address interface Vlan20 ip address

6 - Configuration de SR2 : hostname SR2 ip routing spanning-tree mode pvst spanning-tree vlan 20 priority spanning-tree vlan 10 priority interface FastEthernet0/7 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface GigabitEthernet0/1 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface GigabitEthernet0/2 switchport trunk allowed vlan 10,20,30,40,50 switchport trunk encapsulation dot1q switchport mode trunk interface Vlan1 no ip address shutdown interface Vlan10 ip address interface Vlan20 ip address Réaliser un schéma simple de votre infrastructure (ne pas représenter les routeurs opérateurs). Indiquer sur le schéma le nom d'hôte de chaque matériel, le nom de chaque interface. En rouge, pour le VLAN10, préciser la valeur du BID ainsi que le rôle et l'état des ports de chaque matériel. Même question mais en vert pour le VLAN20. Concluez sur l'intérêt d'une telle configuration. Rmq: Tant que VRRP n est pas mis en place, SR1 est la passerelle par défaut pour le VLAN 10 data et SR2 pour le VLAN 20 voix. 5. Proposer une série de tests pour vérifier le fonctionnement des VLANs en indiquant le résultat attendu et valider avec l enseignant.

7 Le premier test est un ping entre de PC1 vers PC2 comme illustré sur le schéma ci-dessous. Ces PC sont reliés respectivement sur les ports 1 et 2 du commutateur d accès. 6. Effectuer ce test et vérifier que c est bien le résultat attendu. 7. Indiquer le trajet du paquet ICMP ECHO sur le schéma ci-dessous en indiquant sur chaque lien traversé si la trame est Tagguée (T) 802.1q ainsi que son numéro de VLAN ( T 10) ou non tagguée (NT). Le trajet du paquet ICMP est le suivant : Il est envoyé par le PC1 puis passe à travers le commutateur pour finir par arriver au PC2. Les passages à travers les deux liens d accès ne tagguent pas la trame car par définition les liens d accès ne tagguent pas les trames Ethernets à l inverse des liens trunks. Demander un téléphone IP Aaastra 6731i à l enseignant (la configuration du téléphone s effectue en appuyant sur le bouton mot de passe : 22222). Rmq: la configuration du compte SIP sur le téléphone ne sera pas effectuée, on se contentera d'affecter une adresse IP au téléphone. Le second test est un ping entre un PC relié sur le port 1 et un téléphone relié sur le port 6.

8 8. Effectuer ce test et vérifier que c est bien le résultat attendu. 9. Indiquer l adresse MAC de destination du paquet émis ICMP ECHO et préciser à quelle interface correspond cette adresse. L adresse MAC de destination du paquet émis ICMP ECHO est d34.26c0 qui correspond à l interface FastEthernet 0/6 sur lequel est relié le téléphone. 10. Indiquer le trajet du paquet ICMP ECHO sur le schéma ci-dessous en indiquant sur chaque lien traversé si la trame est Tagguée (T) 802.1q ainsi que son numéro de VLAN (T 10) ou non tagguée (NT). Valider avec l enseignant. Le paquet ICMP ECHO est envoyé par le PC, il traverse le commutateur S1 pour atteindre la passerelle SR1 et du fait d emprunter le lien trunk celle-ci se retrouve tagguée 802.1q par le vlan auquel appartient la trame utilisateur soit vlan 10. Après avoir routée afin d atteindre le vlan 20 via SR1, la trame tagguée rejoint le téléphone IP en passant de nouveau par S Indiquer le trajet du paquet ICMP REPLY sur le schéma ci-dessous en indiquant sur chaque lien traversé si la trame est Tagguée (T) 802.1q ainsi que son numéro de VLAN ( T 10) ou non tagguée (NT). Valider avec l enseignant.

9 Le paquet ICMP REPLY issu du téléphone IP arrive à S1 pour atteindre sa passerelle, celle du vlan 20 soit l adresse Ensuite le la trame est routée pour retourner sur S1. Le troisième test est un ping entre un PC relié sur le port 1 et un téléphone relié sur le port Indiquer le trajet du paquet ICMP ECHO sur le schéma ci-dessous en indiquant sur chaque lien traversé si la trame est Tagguée (T) 802.1q ainsi que son numéro de VLAN ( T 10) ou non tagguée (NT).

10 Le paquet ICMP ECHO arrive au niveau du switch S1 par le port fa0/1 puis est commuté sur le port fa0/11 afin d atteindre le téléphone pour finir son trajet au PC. Il n a pas besoin de passer par les passerelles par défaut puisque les deux interfaces son sur le vlan Conclure en indiquant quels liens (Fa0/X...) et fonctions (BLK, FWD...) ont permis de valider ces trois tests. Il a été possible de valider ces trois tests grâce aux port fa0/ de S1 et fa0/1 de SR1 et SR2 qui sont tous en mode FWD tandis que les port fa0/7 des deux switches SR lui est en mode BLK. Brancher un PC sur le port Fa0/1 et effectuer un ping continu (-t) vers l interface VLAN 10 de SR Débrancher le câble entre le commutateur d accès et le commutateur SR1 puis mesurer le temps pour que le ping fonctionne à nouveau. Il suffit d environ 5 secondes pour que le switch comprenne que le chemin n est plus praticable et trouver un autre itinéraire. 15. Préciser maintenant quel est le commutateur racine pour les VLANs 10 et 20. A travers la configuration du matériel et les divers tests le commutateur racine pour le vlan 10 est SR1 et SR2 pour le vlan 20.

11 16. Passer les 3 commutateurs en mode RPVST+ et refaire le test. Conclure. Avec le mode RPVST+ on remarque le temps de changement de statut BLK à celui de FWD est quasiment instantané, ce qui permet un temps de calcul de changement trajet réduit, et optimise les capacités d adaptation du réseau. III. Ajout du commutateur d'accès HP procurve En entreprise, vous ne travaillerez pas forcément avec du matériel Cisco. De plus, les commandes Cisco ne sont pas toujours les plus adéquates pour comprendre la configuration que l'on applique. 1. Câbler puis démarrer votre nouveau switch d'accès S2 (HP Procurve 2524). 2. Proposer puis appliquer les commandes permettant de: - créer tous vos Vlan, - configurer les ports trunk C1#conf C1(config)#vlan 10 C1(vlan-10)#untagged 1 C1(vlan-10)#tagged 24 C1(vlan-10)#exit C1(config)#vlan 20 C1(vlan-20)#tagged 23 C1(vlan-20)#exit C1(config)#int 1 enable C1(config)#int 2-22 disable C1(config)#int enable C1(config)#write memory 3. Proposer une manipulation pour vérifier l'accès aux différents Vlan depuis S2 IV. Sécurisation de l'accès à distance aux commutateurs Vous devez configurer un tunnel SSH en lieu et place d'une connexion Telnet sur les commutateurs de l'entreprise nb: dans le schéma ci-dessous, le serveur est à remplacer par le commutateur mais le principe des échanges est identique.

12 1. configurer un nom de domaine: S1# conf t S1 (config)# ip domain-name ccnasecurity.com 2. créer un utilisateur ayant les privièges pour utiliser SSH S1 (config)# username admin privilege 15 secret cisco12345 nb: le niveau 15 permet est le niveau de privilège le plus élevé 3. faire en sorte que seul les utilisateurs ayant un "level 15" puissent se connecter en SSH, l'authentification sera locale (login local): S1(config)# line vty 0 4 S1(config-line)# privilege level 15 S1(config-line)# login local S1(config-line)# transport input ssh S1(config-line)# exit

13 4. effacer la paire de clé sur S1 (même si elle n'existe pas encore!) S1(config)# crypto key zeroize rsa 5. générer la paire de clé RSA pour l'échange des clés de chiffrement; la taille des clés sera de 1024 bits (pour info la valeur par défaut est de 512 bits et la plage choisie va de 360 à 2048 bits) S1(config)# crypto key generate rsa general-keys modulus Préciser dans votre compte rendu la signification de l'acronyme RSA. RSA fait partie de la famille des algorithmes de chiffrement symétriques ou asymétriques? Le chiffrement de la communication SSH est-il réalisé avec un algorithme de chiffrement symétrique ou asymétrique? RSA Remote Secure Access soit Accès à distance sécurisé. C est un algorithme qui fait partie de la famille de chiffrement asymétrique. Le chiffrement de la communication SSH est réalisé par un algorithme de chiffrement asymétrique qui se charge de transmettre une clé de chiffrement symétrique afin que la suite du dialogue entre les machines se poursuive en mode symétrique. Il utilise donc les deux types. 8. Taper la commande suivante S1# show ip ssh puis répondre aux questions: - quelle est la version SSH activée? Version quel est le délai d'utilisation de la connexion après authentification? 120 secs - quel le nombre de tentatives de connexion maximales? Trois tentatives max. 9. Modifier ces paramètres en appliquant les commandes ci-après: S1(config)# ip ssh time-out 90 S1(config)# ip ssh authentication-retries Sauvegarder votre configuration: S1# copy running-config startup-config Tester votre configuration en vous connectant à l'aide de l'un des deux utilitaires suivant: teraterm ou bien kitty. V. Sécurité des ports d'accès Contrôle de l'accès par adresse MAC Quel est l'intérêt de limiter le nombre d'adresses MAC apprises sur un port?

14 1. A l'aide la commande Cisco, switchport port-security, limiter le nombre d'adresses MAC source à 1 sur les ports d'accès et à 2 sur les ports hybrides. Ces adresses MAC seront apprises dynamiquement et conservées même en cas de "reboot" du commutateur (mode rémanent). En cas de dépassement, le port sera désactivé. V. Sécurité des ports d accès. S1>EN S1#conf t S1(config)#interface range Fa0/1-5 S1(config-if-range)#switchport port-security S1(config-if-range)#switchport port-secu S1(config-if-range)#switchport port-security maximum 1 S1(config-if-range)#exit S1(config)#interface range Fa0/6-10 S1(config-if-range)#switchport port-security S1(config-if-range)#switchport port-security maximum 1 S1(config-if-range)#exit S1(config)#interface range Fa0/11-15 S1(config-if-range)#switchport port-security S1(config-if-range)#switchport port-security maximum 2 S1(config-if-range)#exit S1(config)#interface range Fa0/16-20 S1(config-if-range)#switchport port-security S1(config-if-range)#switchport port-security maximum 1 S1(config-if-range)#exit 2. Lancer une attaque sur le protocole STP Pour créer une attaque, on crée une VM Kali depuis un poste W7 (Cf procédure en Annexe) du Vlan10 puis on utilise l'application Yersinia en mode grahique (Yersinia -G) 3. Proposer une contre mesure et donc une commande permettant de se protéger de ce type d'attaque sur un Switch Cisco (BPDU Guard / RootGuard). The default STP bridge priority is Once in root attack mode, Yersinia sends a BPDU every 2 sec with the same priority as the current root bridge, but with a slightly numerically lower MAC address, which ensures it a victory in the root-bridge election process. Solution : Il faut mettre en place BPDU Guard pour protéger ce type d attaque.