Zadania laboratoryjne: projektowanie sieci kampusowych

Zadanie 1: Budowa sieci kampusowej z routingiem statycznym i agregacją łącz

Cel

Celem zadania jest zaprojektowanie i skonfigurowanie od podstaw sieci dla kampusu składającego się z dwóch budynków. W ramach zadania student nauczy się tworzyć i konfigurować sieci VLAN, łączyć przełączniki za pomocą redundantnego łącza typu Trunk z agregacją (EtherChannel), konfigurować routing statyczny między sieciami VLAN oraz wdrażać centralny serwer DHCP z wykorzystaniem agenta przekazującego (DHCP Relay).

Scenariusz (Case Study)

Uniwersytet otwiera nowy, niewielki kampus składający się z dwóch budynków: "Budynek A" (Wydział Informatyki) i "Budynek B" (Administracja). Twoim zadaniem jako inżyniera sieciowego jest zaprojektowanie i wdrożenie kompletnej infrastruktury sieciowej. W każdym budynku muszą istnieć trzy oddzielne podsieci逻辑zne (VLAN) dla różnych grup użytkowników: Studenci, Wykładowcy oraz Pracownicy Dziekanatu. Ze względu na krytyczne znaczenie komunikacji, połączenie między budynkami musi być redundantne i wydajne, dlatego należy użyć dwóch równoległych światłowodów i połączyć je w jeden logiczny kanał (EtherChannel). Routing pomiędzy wszystkimi podsieciami w obu budynkach ma być zrealizowany za pomocą routingu statycznego na przełącznikach warstwy 3. Aby uprościć zarządzanie adresacją IP, w serwerowni w Budynku A ma zostać umieszczony centralny serwer DHCP, który będzie obsługiwał wszystkie sześć podsieci w całym kampusie. Należy również zapewnić dostęp do sieci bezprzewodowej w obu budynkach, zintegrowanej z odpowiednimi sieciami VLAN.

Lokalizacja A (Budynek A)                                   Lokalizacja B (Budynek B)
+--------------------------------------+                     +--------------------------------------+ 
|                                      |                     |                                      |
|  +-----------+       +-----------+   |     +===========+   |   +-----------+       +-----------+  |
|  | Serwer    |       | Smartfon  |   |     | Ether-    |   |   | Smartfon  |       | PC-B1     |  |
|  | DHCP      +-------+ AP-A      |   |     | Channel   |   |   |           +-------+ Switch-B  |  |
|  +-----------+       +-----------+   |     +===========+   |   +-----------+       +-----------+  |
|      |                               |         |||         |                       |              |
|  +-----------+       +-----------+   |         |||         |                   +-----------+      |
|  | PC-A1     +-------+ Switch-A  +---+---------|||---------+   +---------------+ Switch-B  |      |
|  +-----------+       | (L3)      |   |         |||         |   |               +-----------+      |
|      |               +-----------+   |         |||         |   |                   |              |
|  +-----------+           |           |         |||         |   +-----------+   +-----------+      |
|  | PC-A2     +-----------+           |         |||         |   | PC-B2     +---+ PC-B3     |      |
|  +-----------+                       |         |||         |   +-----------+   +-----------+      |
|                                      |                     |                                      |
+--------------------------------------+                     +--------------------------------------+
VLAN 10: Studenci (10.10.10.0/24)
VLAN 20: Wykładowcy (10.10.20.0/24)
VLAN 30: Dziekanat (10.10.30.0/24)

Rozwiązanie (Krok po kroku)

  1. Zaprojektuj schemat adresacji IP dla trzech sieci VLAN w każdej lokalizacji (łącznie sześć podsieci). Na przykład: VLAN 10 (Studenci): 10.10.10.0/24, VLAN 20 (Wykładowcy): 10.10.20.0/24, VLAN 30 (Dziekanat): 10.10.30.0/24.
  2. W Cisco Packet Tracer umieść dwa przełączniki warstwy 3 (np. 3650-24PS) jako rdzeń sieci w każdym budynku (Switch-A, Switch-B).
  3. W każdym budynku dodaj przełącznik warstwy 2, po dwa komputery PC na każdy VLAN, jeden Access Point i kilka smartfonów.
  4. Dodaj serwer DHCP w Budynku A.
  5. Na obu przełącznikach L3 utwórz sieci VLAN 10, 20 i 30.
    6. Switch-A(config)# vlan 10 Switch-A(config-vlan)# name Studenci Switch-A(config-vlan)# exit Switch-A(config)# vlan 20 Switch-A(config-vlan)# name Wykladowcy Switch-A(config-vlan)# exit Switch-A(config)# vlan 30 Switch-A(config-vlan)# name Dziekanat
  6. Skonfiguruj porty dostępowe na przełącznikach L2 i przypisz je do odpowiednich VLANów.
  7. Połącz przełączniki L3 za pomocą dwóch portów (np. GigabitEthernet1/0/1 i 1/0/2) i skonfiguruj EtherChannel w trybie LACP.
    8. Switch-A(config)# interface range GigabitEthernet1/0/1 - 2 Switch-A(config-if-range)# switchport Switch-A(config-if-range)# channel-group 1 mode active Switch-A(config-if-range)# exit Switch-A(config)# interface Port-channel1 Switch-A(config-if)# switchport mode trunk
  8. Włącz routing na obu przełącznikach L3 poleceniem `ip routing`.
  9. Skonfiguruj interfejsy SVI (Switched Virtual Interface) dla każdego VLAN w Budynku A. Będą to bramy domyślne dla tych podsieci.
    10. Switch-A(config)# interface Vlan10 Switch-A(config-if)# ip address 10.10.10.1 255.255.255.0 Switch-A(config-if)# no shutdown
  10. Skonfiguruj serwer DHCP w Budynku A, tworząc pule adresów dla wszystkich sześciu podsieci.
  11. Na interfejsach SVI w obu budynkach skonfiguruj `ip helper-address`, wskazując na adres serwera DHCP.
    12. Switch-A(config)# interface Vlan10 Switch-A(config-if)# ip helper-address 10.10.30.100 ; Adres serwera DHCP
  12. Skonfiguruj routing statyczny. Na Switch-A dodaj trasy do podsieci w Budynku B, wskazując na adres IP Switch-B na łączu, i odwrotnie.
  13. Skonfiguruj Access Pointy, tworząc SSID dla sieci bezprzewodowej i przypisując je do odpowiedniego VLANu.
  14. Ustaw wszystkie komputery PC i smartfony na automatyczne pobieranie adresu IP (DHCP).
  15. Zweryfikuj poprawność konfiguracji, sprawdzając, czy urządzenia końcowe otrzymują prawidłowe adresy IP i czy mogą się komunikować z urządzeniami w innych VLANach i budynkach (ping, simple PDU).

Podsumowanie

W tym zadaniu zbudowaliśmy w pełni funkcjonalną, choć prostą, sieć kampusową. Kluczowymi elementami były: logiczna separacja ruchu za pomocą sieci VLAN, zapewnienie redundancji i zwiększenie przepustowości łącza między budynkami dzięki agregacji portów (EtherChannel), a także umożliwienie komunikacji między różnymi podsieciami za pomocą routingu statycznego. Centralizacja usług DHCP z wykorzystaniem `ip helper-address` znacząco upraszcza zarządzanie adresacją IP w rozproszonej sieci. Takie podejście stanowi solidną podstawę do dalszej rozbudowy i wdrażania bardziej zaawansowanych technologii sieciowych.

Zadanie dla studenta

Przygotuj dokumentację projektową w formacie PDF. Dokument powinien zawierać: cel projektu, opis zrealizowanych zadań, schemat topologii sieci, tabelę adresacji IP, opis zastosowanych urządzeń i technologii (VLAN, EtherChannel, routing statyczny, DHCP). Opisz zasadę działania komunikacji między studentem w Budynku A a wykładowcą w Budynku B. Wskaż potencjalne problemy (np. zarządzanie routingiem statycznym przy rozbudowie sieci) oraz możliwe kierunki rozwoju (np. wprowadzenie routingu dynamicznego).

Schemat do zadania

Schemat do zadania 1

Zadanie 2: Migracja do routingu dynamicznego OSPF w sieci kampusowej

Cel

Zrozumienie ograniczeń routingu statycznego i wdrożenie protokołu routingu dynamicznego OSPF (Open Shortest Path First) w istniejącej sieci kampusowej. W ramach zadania student nauczy się konfigurować OSPF w jednej strefie (single-area), weryfikować stan sąsiedztwa oraz analizować tablicę routingu wypełnianą automatycznie przez protokół.

Scenariusz (Case Study)

Sieć uniwersytecka z poprzedniego zadania działa stabilnie, jednak zarząd planuje dobudowanie trzeciego budynku i dodanie kilku nowych podsieci dla laboratoriów badawczych. Utrzymywanie i aktualizowanie tablic routingu statycznego staje się coraz bardziej uciążliwe i podatne na błędy. Każda zmiana w topologii wymaga ręcznej interwencji na wielu urządzeniach. Zdecydowano o przejściu na routing dynamiczny. Twoim zadaniem jest zastąpienie statycznych wpisów protokołem OSPF. Musisz skonfigurować proces OSPF na obu przełącznikach warstwy 3, tak aby automatycznie wymieniały się informacjami o znanych im podsieciach. Po wdrożeniu OSPF, sieć ma być bardziej skalowalna i odporna na awarie – w przypadku uszkodzenia jednego z łącz w EtherChannel, OSPF powinien automatycznie znaleźć alternatywną ścieżkę, jeśli taka istnieje, bez ręcznej rekonfiguracji tras.

Lokalizacja A                                               Lokalizacja B
+--------------------------------------+                     +----------------------------------------+
|  Switch-A (L3)                       |                     |  Switch-B (L3)                         |
|  +----------------+                  |     +===========+     |                  +----------------+  |
|  | OSPF Process 1 |                  |     | Ether-    |     |                  | OSPF Process 1 |  |
|  | Router-ID:     |                  |     | Channel   |     |                  | Router-ID:     |  |
|  | 1.1.1.1        |                  |     +===========+     |                  | 2.2.2.2        |  |
|  +----------------+                  |         |||           |                  +----------------+  |
|      |                               |         |||           |                       |              |
|  VLAN 10, 20, 30 (Networks)          +---------|||-----------+  VLAN 10, 20, 30 (Networks)          |
|                                      |         |||           |                                      |
+--------------------------------------+         |||           +--------------------------------------+
                                                  |||
                                           OSPF Adjacency

Rozwiązanie (Krok po kroku)

  1. Wykorzystaj topologię i konfigurację z Zadania 1 (bez tras statycznych). Jeśli istnieją, usuń je poleceniem `no ip route ...`.
  2. Na obu przełącznikach L3 (Switch-A, Switch-B) uruchom proces routingu OSPF. Wybierz numer procesu (np. 1), który jest lokalny dla urządzenia.
    3. Switch-A(config)# router ospf 1
  3. Skonfiguruj unikalny identyfikator routera (Router ID) dla każdego przełącznika. Jest to kluczowe dla identyfikacji urządzeń w topologii OSPF.
    4. Switch-A(config-router)# router-id 1.1.1.1
  4. Zdefiniuj, które interfejsy (i tym samym podsieci) mają brać udział w procesie OSPF. Użyj polecenia `network` z maską wildcard. Wszystkie podsieci umieść w jednej strefie (area 0).
    5. ; Na Switch-A Switch-A(config-router)# network 10.10.10.0 0.0.0.255 area 0 Switch-A(config-router)# network 10.10.20.0 0.0.0.255 area 0 Switch-A(config-router)# network 10.10.30.0 0.0.0.255 area 0 ; Należy również ogłosić sieć łączącą oba przełączniki (np. 10.10.100.0/24)
  5. Powtórz konfigurację OSPF na Switch-B, używając innego Router ID (np. 2.2.2.2) i ogłaszając jego lokalne podsieci.
  6. Po kilku sekundach przełączniki powinny nawiązać relację sąsiedztwa. Zweryfikuj to poleceniem `show ip ospf neighbor`.
    7. Switch-A# show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 2.2.2.2 1 FULL/DR 00:00:35 10.10.100.2 Port-channel1
  7. Sprawdź tablicę routingu na obu przełącznikach. Powinny pojawić się trasy nauczone przez OSPF (oznaczone literą 'O').
    8. Switch-A# show ip route ... O 10.10.40.0/24 [110/2] via 10.10.100.2, 00:05:10, Port-channel1
  8. Zaleca się skonfigurowanie interfejsów SVI (VLAN) jako pasywnych, aby nie wysyłały pakietów Hello OSPF do sieci, w których nie ma innych routerów.
    9. Switch-A(config-router)# passive-interface Vlan10
  9. Przetestuj łączność między komputerami w różnych budynkach i VLANach. Komunikacja powinna działać tak jak poprzednio, ale teraz jest zarządzana dynamicznie.
  10. Zasymuluj awarię jednego z fizycznych łącz w EtherChannel. Obserwuj, czy OSPF utrzymuje sąsiedztwo i czy ruch jest nadal przesyłany.

Podsumowanie

Migracja z routingu statycznego na dynamiczny, taki jak OSPF, jest kluczowym krokiem w ewolucji sieci kampusowej. OSPF automatyzuje proces wymiany informacji o trasach, co znacząco redukuje nakład pracy administracyjnej i minimalizuje ryzyko błędów konfiguracyjnych. Protokół ten jest wysoce skalowalny i zapewnia szybką konwergencję, czyli zdolność sieci do automatycznego dostosowania się do zmian w topologii, takich jak awaria łącza. Dzięki OSPF sieć staje się bardziej inteligentna, elastyczna i odporna na awarie, co jest niezbędne w rosnącym środowisku akademickim.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF opisującą proces migracji. Porównaj routing statyczny z dynamicznym, wskazując wady i zalety obu rozwiązań w kontekście sieci kampusowej. W dokumencie umieść fragmenty konfiguracji OSPF, wyniki poleceń weryfikacyjnych (`show ip ospf neighbor`, `show ip route`) oraz opisz, jak OSPF buduje relacje sąsiedztwa i oblicza najlepszą ścieżkę. Wyjaśnij, co oznaczają metryki OSPF (koszt) i jak wpływają na wybór trasy. Zaproponuj, jak można by rozbudować tę sieć o kolejny budynek, wykorzystując OSPF.

Schemat do zadania

Schemat do zadania 2

Zadanie 3: Implementacja redundancji bramy domyślnej za pomocą HSRP

Cel

Zrozumienie koncepcji redundancji pierwszego skoku (First Hop Redundancy Protocol - FHRP) i wdrożenie protokołu HSRP (Hot Standby Router Protocol). W ramach zadania student nauczy się konfigurować wirtualną bramę domyślną, która zapewni nieprzerwany dostęp do sieci dla urządzeń końcowych, nawet w przypadku awarii jednego z przełączników rdzeniowych.

Scenariusz (Case Study)

W głównym budynku kampusu (Budynek A) zainstalowano dwa przełączniki warstwy 3 (Core-SW1 i Core-SW2), aby zapewnić redundancję. Obecnie, jeśli Core-SW1, który pełni rolę bramy domyślnej dla wszystkich VLANów, ulegnie awarii, cała komunikacja między podsieciami oraz dostęp do sieci zewnętrznej zostają przerwane. Urządzenia końcowe mają statycznie skonfigurowany adres IP bramy, który wskazuje na Core-SW1. Twoim zadaniem jest wdrożenie protokołu HSRP. Musisz skonfigurować oba przełączniki rdzeniowe tak, aby współpracowały, tworząc jedną, wirtualną bramę domyślną dla każdego VLAN. Jeden z przełączników będzie aktywny (Active) i będzie obsługiwał ruch, podczas gdy drugi będzie w trybie czuwania (Standby), gotowy do natychmiastowego przejęcia zadań w przypadku awarii aktywnego urządzenia. Dzięki temu, z perspektywy komputerów PC, brama domyślna będzie zawsze dostępna pod tym samym, wirtualnym adresem IP.

VLAN 10 (10.10.10.0/24)
+-----------------------------------------------------------------+
|                                                                 |
| +---------------------+                           +---------------------+
| | Core-SW1 (Active)   |                           | Core-SW2 (Standby)  |
| | IP: 10.10.10.2      |                           | IP: 10.10.10.3      |
| | Priority: 110       |                           | Priority: 100       |
| | Preempt: Yes        +---------------------------+ Preempt: Yes        |
| +---------------------+                           +---------------------+
|          ^                                                 ^
|          | HSRP Hello packets (multicast 224.0.0.2)        |
|          |                                                 |
|          +-----------------------+-------------------------+
|                                  |
|                         +---------------------+
|                         | Virtual Gateway     |
|                         | IP: 10.10.10.1      |
|                         | MAC: 0000.0C07.AC0A |
|                         +---------------------+
|                                  |
|                                  |
|                         +---------------------+
|                         | PC-A                |
|                         | Gateway: 10.10.10.1 |
|                         +---------------------+
|                                                                 |
+-----------------------------------------------------------------+

Rozwiązanie (Krok po kroku)

  1. Zbuduj topologię składającą się z dwóch przełączników L3 (Core-SW1, Core-SW2), jednego przełącznika L2 i kilku PC w jednym VLANie (np. VLAN 10).
  2. Połącz oba przełączniki L3 ze sobą oraz z przełącznikiem L2.
  3. Na wszystkich przełącznikach utwórz VLAN 10.
  4. Na Core-SW1 i Core-SW2 skonfiguruj interfejs SVI dla VLAN 10 z unikalnymi adresami IP.
    5. ; Na Core-SW1 Core-SW1(config)# interface Vlan10 Core-SW1(config-if)# ip address 10.10.10.2 255.255.255.0 ; Na Core-SW2 Core-SW2(config)# interface Vlan10 Core-SW2(config-if)# ip address 10.10.10.3 255.255.255.0
  5. Na interfejsie SVI Vlan10 na obu przełącznikach rozpocznij konfigurację HSRP. Użyj tego samego numeru grupy i tego samego wirtualnego adresu IP.
    6. ; Na obu przełącznikach w 'interface Vlan10' Core-SW1(config-if)# standby 10 ip 10.10.10.1
  6. Ustaw priorytet, aby zdecydować, który przełącznik ma być domyślnie aktywny. Wyższy priorytet wygrywa. Domyślna wartość to 100.
    7. ; Na Core-SW1 (ma być aktywny) Core-SW1(config-if)# standby 10 priority 110
  7. Włącz opcję `preempt`, która pozwoli przełącznikowi z wyższym priorytetem przejąć rolę aktywnego, gdy tylko wróci do działania po awarii.
    8. ; Na obu przełącznikach Core-SW1(config-if)# standby 10 preempt
  8. Zweryfikuj konfigurację HSRP poleceniem `show standby`. Sprawdź, który przełącznik jest "Active", a który "Standby".
    9. Core-SW1# show standby Vlan10 - Group 10 State is Active Virtual IP address is 10.10.10.1 Active virtual MAC address is 0000.0C07.AC0A ... Priority 110 (configured 110) Standby router is 10.10.10.3
  9. Skonfiguruj komputery PC tak, aby używały wirtualnego adresu IP (10.10.10.1) jako bramy domyślnej.
  10. Przetestuj łączność, pingując adres bramy wirtualnej oraz inne urządzenia.
  11. Zasymuluj awarię. Wyłącz interfejs Vlan10 na aktywnym przełączniku (Core-SW1) poleceniem `shutdown`.
  12. Ponownie użyj polecenia `show standby` na obu urządzeniach. Core-SW2 powinien teraz mieć status "Active".
  13. Sprawdź, czy komputery PC nadal mają łączność z siecią bez żadnej przerwy (lub z utratą jednego pakietu ping).
  14. Włącz z powrotem interfejs na Core-SW1 (`no shutdown`). Dzięki opcji `preempt`, powinien on odzyskać rolę aktywnego przełącznika.

Podsumowanie

HSRP jest protokołem firmy Cisco, który zapewnia wysoką dostępność bramy domyślnej poprzez grupowanie dwóch lub więcej routerów/przełączników L3 w jedną logiczną jednostkę. Urządzenia te współdzielą wirtualny adres IP i MAC, który jest konfigurowany na klientach jako ich brama. Tylko jedno urządzenie w grupie jest aktywne i obsługuje ruch, podczas gdy pozostałe monitorują jego stan. W przypadku awarii, urządzenie w trybie standby automatycznie przejmuje wirtualne adresy i rolę aktywnego, co jest praktycznie niezauważalne dla użytkowników końcowych. Implementacja HSRP jest kluczowym elementem budowy niezawodnych i odpornych na awarie sieci kampusowych.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej problem, jaki rozwiązują protokoły FHRP, ze szczególnym uwzględnieniem HSRP. Wyjaśnij role przełączników (Active, Standby), znaczenie priorytetu i opcji `preempt`. Dołącz konfigurację oraz wyniki weryfikacji (`show standby`). Opisz, jak działa proces przełączania awaryjnego (failover). Porównaj HSRP z innymi protokołami FHRP, takimi jak VRRP (standard otwarty) i GLBP (protokół Cisco umożliwiający równoważenie obciążenia). Zaproponuj, jak można rozszerzyć tę konfigurację na pozostałe sieci VLAN w kampusie.

Schemat do zadania

Schemat do zadania 3

Zadanie 4: Zabezpieczanie portów przełącznika za pomocą Port Security

Cel

Zrozumienie i wdrożenie mechanizmu Port Security na przełączniku dostępowym w celu ochrony sieci przed nieautoryzowanymi urządzeniami. W ramach zadania student nauczy się, jak ograniczyć liczbę adresów MAC na porcie, jak dynamicznie "uczyć się" dozwolonych adresów oraz jak skonfigurować reakcję przełącznika na naruszenie zasad bezpieczeństwa.

Scenariusz (Case Study)

W jednym z laboratoriów komputerowych (VLAN 10 - Studenci) dochodzi do incydentów, w których studenci podłączają swoje prywatne laptopy i inne urządzenia do gniazdek sieciowych, co narusza politykę bezpieczeństwa uczelni i powoduje problemy z adresacją IP. Jako administrator sieci, zostałeś poproszony o zablokowanie tej możliwości. Twoim zadaniem jest wdrożenie funkcji Port Security na przełączniku dostępowym w laboratorium. Chcesz skonfigurować porty tak, aby akceptowały ruch tylko z jednego, autoryzowanego urządzenia (komputera stacjonarnego), które jest już podłączone. Jeśli ktoś odłączy komputer i podłączy inne urządzenie, port powinien zostać automatycznie zablokowany, a administrator powinien otrzymać powiadomienie (w logach systemowych).

+---------------------+        +---------------------+        +---------------------+
| PC-AUTORYZOWANY     |        | PC-NIEAUTORYZOWANY  |        | Laptop Studenta     |
| MAC: AAAA.AAAA.AAAA |        | MAC: BBBB.BBBB.BBBB |        | MAC: CCCC.CCCC.CCCC |
+---------------------+        +---------------------+        +---------------------+
          |                              | (próba podłączenia)
          | podłączony                   |
+-----------------------------------------------------------------------------------+
| Switch-Dostepowy                                                                  |
|                                                                                   |
| +-----------------+            +-----------------+            +-----------------+ |
| | Fa0/1           |            | Fa0/2           |            | Fa0/3           | |
| | Port Security   |            | Port Security   |            | (niezabezp.)    | |
| | max-mac: 1      |            | max-mac: 1      |            |                 | |
| | violation:      |            | violation:      |            |                 | |
| |  shutdown       |            |  shutdown       |            |                 | |
| +-----------------+            +-----------------+            +-----------------+ |
|                                                                                   |
+-----------------------------------------------------------------------------------+

Rozwiązanie (Krok po kroku)

  1. Zbuduj topologię: jeden przełącznik L2 (np. 2960) i trzy komputery PC (PC-Autoryzowany, PC-Nieautoryzowany, PC-Testowy).
  2. Podłącz PC-Autoryzowany do portu FastEthernet0/1, a PC-Testowy do Fa0/3. PC-Nieautoryzowany na razie pozostaw niepodłączony.
  3. Skonfiguruj podstawową łączność (np. wszystkie porty w VLAN 10, adresy IP z tej samej podsieci).
  4. Na przełączniku, na porcie Fa0/1, włącz funkcję Port Security.
    5. Switch(config)# interface FastEthernet0/1 Switch(config-if)# switchport mode access ; Port Security działa tylko na portach dostępowych lub trunk Switch(config-if)# switchport port-security
  5. Ustaw maksymalną liczbę adresów MAC, które mogą być nauczone na tym porcie. W naszym przypadku to 1.
    6. Switch(config-if)# switchport port-security maximum 1
  6. Skonfiguruj metodę uczenia się adresu MAC. Użyjemy "sticky", aby przełącznik automatycznie zapamiętał pierwszy adres MAC, który zobaczy na porcie, i zapisał go w konfiguracji.
    7. Switch(config-if)# switchport port-security mac-address sticky
  7. Zdefiniuj, co ma się stać w przypadku naruszenia zasad (gdy pojawi się nieautoryzowany MAC). Ustawimy port na wyłączenie (`shutdown`).
    8. Switch(config-if)# switchport port-security violation shutdown
  8. Wyślij ping z PC-Autoryzowany do PC-Testowy. To wygeneruje ruch i sprawi, że przełącznik nauczy się adresu MAC PC-Autoryzowany na porcie Fa0/1.
  9. Zweryfikuj, czy Port Security działa i czy adres MAC został nauczony.
    10. Switch# show port-security interface FastEthernet0/1 Port Security : Enabled Port Status : Secure-up Violation Mode : Shutdown ... Total MAC Addresses : 1 Sticky MAC Addresses : 1
  10. Teraz zasymuluj atak. W Packet Tracerze odłącz kabel od PC-Autoryzowany i podłącz go do PC-Nieautoryzowany.
  11. Spróbuj wysłać ping z PC-Nieautoryzowany do PC-Testowy.
  12. Natychmiast po wysłaniu pierwszej ramki, przełącznik wykryje naruszenie (inny adres MAC niż zapamiętany). Port Fa0/1 zostanie wyłączony, a dioda zmieni kolor na czerwony.
  13. Sprawdź status portu i logi systemowe na przełączniku.
    14. Switch# show interfaces FastEthernet0/1 FastEthernet0/1 is down, line protocol is down (err-disabled) Switch# show log %PM-4-ERR_DISABLE: psecure-violation error detected on Fa0/1, putting Fa0/1 in err-disable state
  14. Aby ponownie włączyć port, administrator musi ręcznie go zresetować.
    15. Switch(config)# interface FastEthernet0/1 Switch(config-if)# shutdown Switch(config-if)# no shutdown

Podsumowanie

Port Security to fundamentalny mechanizm bezpieczeństwa warstwy 2, który pozwala kontrolować dostęp do sieci na poziomie portów przełącznika. Poprzez ograniczenie liczby i tożsamości urządzeń (na podstawie ich adresów MAC), które mogą łączyć się z danym portem, skutecznie zapobiega prostym atakom polegającym na podłączaniu nieautoryzowanych laptopów czy hubów. Metoda "sticky" automatyzuje proces tworzenia listy dozwolonych adresów, a tryb naruszenia "shutdown" stanowi silny środek odstraszający, wymagający interwencji administratora w celu przywrócenia działania portu. Jest to pierwsza linia obrony w każdej bezpiecznej infrastrukturze sieciowej.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej cel i zasadę działania funkcji Port Security. Wyjaśnij różnice między metodami uczenia się adresów MAC (dynamic, static, sticky) oraz trybami naruszenia (protect, restrict, shutdown). Dołącz konfigurację i wyniki weryfikacji. Zaproponuj, w jaki sposób można by zautomatyzować proces ponownego włączania portów, które weszły w stan `err-disabled`. Zastanów się i opisz, jakie są ograniczenia Port Security (np. czy jest skuteczne, jeśli atakujący sklonuje adres MAC autoryzowanego urządzenia?).

Schemat do zadania

Schemat do zadania 4

Zadanie 5: Filtrowanie ruchu między VLANami za pomocą list kontroli dostępu (ACL)

Cel

Zrozumienie i implementacja standardowych i rozszerzonych list kontroli dostępu (ACL) w celu filtrowania ruchu routowanego między sieciami VLAN. W ramach zadania student nauczy się tworzyć reguły ACL i aplikować je do interfejsów wirtualnych (SVI), aby kontrolować komunikację między różnymi grupami użytkowników.

Scenariusz (Case Study)

W sieci kampusowej, którą skonfigurowałeś, routing między VLANami działa bez ograniczeń. Oznacza to, że studenci (VLAN 10) mogą swobodnie łączyć się z serwerami w sieci administracyjnej (VLAN 30), co stanowi poważne zagrożenie bezpieczeństwa. Dział IT zlecił Ci wdrożenie polityki bezpieczeństwa, która ma na celu ograniczenie tego ruchu. Wymagania są następujące: 1) Studenci (VLAN 10) nie mogą inicjować żadnych połączeń do sieci Dziekanatu (VLAN 30). 2) Wykładowcy (VLAN 20) mogą łączyć się z siecią Dziekanatu, ale tylko za pomocą przeglądarki internetowej (HTTP/HTTPS). 3) Ruch z Dziekanatu do innych sieci jest dozwolony bez ograniczeń. Twoim zadaniem jest stworzenie i zastosowanie odpowiednich list ACL na przełączniku warstwy 3, który obsługuje routing między tymi VLANami.

+-----------------------------------------------------------------+
| Switch-L3 (Router-on-a-Stick or SVI)                            |
|                                                                 |
|  +-----------------+      +-----------------+      +-----------------+
|  | SVI VLAN 10     |      | SVI VLAN 20     |      | SVI VLAN 30     |
|  | IP: 10.10.10.1  |      | IP: 10.10.20.1  |      | IP: 10.10.30.1  |
|  | ACL_IN: 101 ->--+      | ACL_IN: 102 ->--+|                 |
|  +-----------------+      +-----------------+      +-----------------+
|          ^                        ^                        ^
|          |                        |                        |
|  +-----------------+      +-----------------+      +-----------------+
|  | VLAN 10         |      | VLAN 20         |      | VLAN 30         |
|  | (Studenci)      |      | (Wykładowcy)    |      | (Dziekanat)     |
|  +-----------------+      +-----------------+      +-----------------+
|                                                                 |
+-----------------------------------------------------------------+
ACL 101: deny ip 10.10.10.0/24 10.10.30.0/24; permit ip any any
ACL 102: permit tcp 10.10.20.0/24 10.10.30.0/24 eq 80, 443; deny ip any any

Rozwiązanie (Krok po kroku)

  1. Wykorzystaj topologię z wieloma VLANami i routingiem (np. z Zadania 1 lub 2). Upewnij się, że komunikacja między VLANami 10, 20 i 30 działa bez przeszkód.
  2. Na przełączniku L3, który realizuje routing, zdefiniuj rozszerzoną listę ACL, która zablokuje ruch od Studentów do Dziekanatu.
    3. Switch(config)# ip access-list extended BLOKADA_STUDENTOW Switch(config-ext-nacl)# deny ip 10.10.10.0 0.0.0.255 10.10.30.0 0.0.0.255 Switch(config-ext-nacl)# permit ip any any ; Niejawny 'deny any' na końcu każdej ACL!
  3. Zastosuj tę listę ACL na interfejsie SVI VLAN 10 w kierunku przychodzącym (`in`). Oznacza to, że pakiety wchodzące do routera z sieci VLAN 10 będą filtrowane.
    4. Switch(config)# interface Vlan10 Switch(config-if)# ip access-group BLOKADA_STUDENTOW in
  4. Przetestuj: spróbuj wysłać ping z komputera w VLAN 10 do komputera w VLAN 30. Powinno się nie udać. Ping do VLAN 20 powinien działać.
  5. Teraz stwórz drugą, bardziej złożoną listę ACL dla Wykładowców.
    6. Switch(config)# ip access-list extended DOZWOLONY_WEB_WYKLADOWCY Switch(config-ext-nacl)# permit tcp 10.10.20.0 0.0.0.255 10.10.30.0 0.0.0.255 eq 80 Switch(config-ext-nacl)# permit tcp 10.10.20.0 0.0.0.255 10.10.30.0 0.0.0.255 eq 443 Switch(config-ext-nacl)# permit ip 10.10.20.0 0.0.0.255 any ; Zezwól na resztę ruchu do innych sieci
  6. Zastosuj nową listę ACL na interfejsie SVI VLAN 20, również w kierunku `in`.
    7. Switch(config)# interface Vlan20 Switch(config-if)# ip access-group DOZWOLONY_WEB_WYKLADOWCY in
  7. Przetestuj: ping z VLAN 20 do VLAN 30 nie powinien działać (ICMP jest blokowany). W Packet Tracerze możesz użyć przeglądarki na PC w VLAN 20, aby spróbować otworzyć stronę na serwerze w VLAN 30 (usługa HTTP musi być włączona na serwerze).
  8. Zweryfikuj działanie ACL poleceniem `show access-lists`. Zobaczysz liczniki dopasowań dla każdej reguły.
    9. Switch# show access-lists Extended IP access list BLOKADA_STUDENTOW 10 deny ip 10.10.10.0 0.0.0.255 10.10.30.0 0.0.0.255 (4 matches) 20 permit ip any any (150 matches)

Podsumowanie

Listy kontroli dostępu (ACL) są fundamentalnym narzędziem do zabezpieczania sieci. Działają jak zapora sieciowa (firewall), filtrując pakiety na podstawie zdefiniowanych reguł, takich jak adresy IP źródłowe i docelowe, protokoły (TCP, UDP, ICMP) czy numery portów. W kontekście sieci kampusowej, ACL aplikowane do interfejsów SVI (bram domyślnych dla VLANów) pozwalają na precyzyjną kontrolę nad tym, które grupy użytkowników mogą komunikować się z którymi zasobami. Jest to kluczowy element segmentacji sieci, zapewniający, że podział na VLANy ma nie tylko charakter organizacyjny, ale przede wszystkim bezpieczeństwa.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej, czym są listy ACL i jakie są różnice między listami standardowymi a rozszerzonymi. Wyjaśnij logikę przetwarzania reguł w ACL (od góry do dołu) oraz znaczenie niejawnej reguły `deny any` na końcu. Dołącz swoją konfigurację ACL oraz wyniki testów. Zaproponuj i opisz, jak można by zmodyfikować listę ACL, aby zezwolić Studentom na dostęp tylko do jednego, konkretnego serwera w sieci Dziekanatu (np. serwera z planem zajęć), blokując jednocześnie dostęp do wszystkich innych zasobów w tej sieci.

Schemat do zadania

Schemat do zadania 5

Zadanie 6: Konfiguracja sieci bezprzewodowej z zabezpieczeniami WPA2-PSK

Cel

Zaprojektowanie i wdrożenie bezpiecznej sieci bezprzewodowej (WLAN) w ramach istniejącej infrastruktury kampusowej. W ramach zadania student nauczy się konfigurować autonomiczny punkt dostępowy (Access Point), tworzyć identyfikator sieci (SSID), przypisywać go do odpowiedniego VLAN oraz zabezpieczać sieć za pomocą standardu WPA2 z kluczem współdzielonym (Pre-Shared Key - PSK).

Scenariusz (Case Study)

Uczelnia chce zapewnić studentom i wykładowcom dostęp do sieci za pośrednictwem Wi-Fi w obu budynkach kampusu. Zostałeś poproszony o wdrożenie dwóch oddzielnych sieci bezprzewodowych: "UNI-STUDENCI" dla studentów oraz "UNI-WYKLADOWCY" dla kadry akademickiej. Ruch z sieci studenckiej ma być izolowany w VLAN 10, a ruch z sieci dla wykładowców w VLAN 20. Obie sieci muszą być zabezpieczone przed nieautoryzowanym dostępem. Ze względu na prostotę wdrożenia, zdecydowano się na użycie uwierzytelniania WPA2-PSK. Twoim zadaniem jest skonfigurowanie punktów dostępowych w obu budynkach, połączenie ich z siecią przewodową, stworzenie odpowiednich SSID i powiązanie ich z VLANami oraz ustawienie silnych haseł dostępowych dla każdej z sieci.

+---------------------+        +-------------------------------------------------+
| Smartfon Studenta   |        | Access Point (AP)                               |
|                     |        |                                                 |
| Łączy się z:        |        | +------------------+   +----------------------+ |
| SSID: UNI-STUDENCI  |        | | SSID:            |   | SSID:                | |
| Hasło: SilneHaslo123|        | | UNI-STUDENCI     |   | UNI-WYKLADOWCY       | |
|                     |        | | VLAN: 10         |   | VLAN: 20             | |
+---------------------+        | | Auth: WPA2-PSK   |   | Auth: WPA2-PSK       | |
                                | +------------------+   +----------------------+ |
                                |          | Port 0 (Trunk)                       |
                                +-------------------------------------------------+
                                          |
                                          |
+-----------------------------------------------------------------------------------+
| Switch                                                                            |
|                                                                                   |
| +-----------------+            +-----------------+            +-----------------+ |
| | Fa0/1 (Access)  |            | Fa0/2 (Access)  |            | Gi0/1 (Trunk)   | |
| | VLAN 10         |            | VLAN 20         |            | Native VLAN 1   | |
| |                 |            |                 |            | Allowed: 1,10,20| |
| +-----------------+            +-----------------+            +-----------------+ |
|                                                                                   |
+-----------------------------------------------------------------------------------+

Rozwiązanie (Krok po kroku)

  1. Wykorzystaj istniejącą topologię z VLANami 10 i 20. W każdym budynku umieść po jednym punkcie dostępowym (np. AP-PT).
  2. Podłącz każdy Access Point do portu w przełączniku dostępowym.
  3. Skonfiguruj port przełącznika, do którego podłączony jest AP, jako port trunk. Jest to konieczne, aby port mógł przenosić ruch z wielu VLANów (oznakowany tagami 802.1q).
    4. Switch(config)# interface GigabitEthernet0/1 ; Port podłączony do AP Switch(config-if)# switchport mode trunk
  4. Kliknij na Access Point, aby otworzyć jego okno konfiguracyjne. Przejdź do zakładki "Config".
  5. Skonfiguruj Port 1 (interfejs bezprzewodowy). To tutaj tworzymy SSID.
  6. Stwórz SSID "UNI-STUDENCI". W polu "Authentication" wybierz "WPA2-PSK" i wpisz silne hasło, np. "Un1w3rsyt3t_Stud3nt!".
  7. W polu "VLAN ID" dla tego SSID wpisz "10". To powiąże tę sieć bezprzewodową z siecią VLAN 10.
  8. Wróć do konfiguracji portów i wybierz Port 2. Stwórz drugi SSID "UNI-WYKLADOWCY".
  9. Dla SSID "UNI-WYKLADOWCY" również wybierz "WPA2-PSK", ustaw inne, silne hasło (np. "N4ucz@n1eJestW4zn3!") i przypisz VLAN ID "20".
  10. Dodaj do topologii urządzenia bezprzewodowe, takie jak smartfony lub laptopy.
  11. Kliknij na smartfon, przejdź do "Config" -> "Wireless0".
  12. W polu SSID wpisz "UNI-STUDENCI", wybierz "WPA2-PSK" i wpisz odpowiednie hasło.
  13. Po chwili smartfon powinien połączyć się z siecią.
  14. Przejdź do zakładki "Desktop" -> "IP Configuration" na smartfonie. Upewnij się, że jest ustawiony na DHCP. Powinien otrzymać adres IP z puli dla VLAN 10.
  15. Powtórz proces dla drugiego urządzenia, łącząc je z siecią "UNI-WYKLADOWCY" i weryfikując, czy otrzymało adres z puli dla VLAN 20.
  16. Przetestuj łączność z urządzeń bezprzewodowych do zasobów w sieci przewodowej w odpowiednich VLANach.

Podsumowanie

Integracja sieci bezprzewodowych z infrastrukturą opartą na VLANach jest standardową praktyką w sieciach kampusowych. Umożliwia ona rozszerzenie logicznej segmentacji sieci na użytkowników mobilnych. Każdy SSID jest mapowany na konkretny VLAN, dzięki czemu ruch bezprzewodowy jest odizolowany i podlega tym samym politykom bezpieczeństwa (np. listom ACL), co ruch przewodowy. Zabezpieczenie sieci za pomocą WPA2-PSK jest podstawowym, ale skutecznym sposobem na ochronę przed nieautoryzowanym dostępem. W bardziej zaawansowanych scenariuszach, zamiast klucza współdzielonego, stosuje się uwierzytelnianie w oparciu o serwer RADIUS (WPA2-Enterprise), co pozwala na logowanie każdego użytkownika za pomocą jego indywidualnych poświadczeń.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz proces konfiguracji sieci WLAN z wykorzystaniem VLANów. Wyjaśnij, dlaczego port przełącznika podłączony do AP musi być skonfigurowany jako trunk. Porównaj standardy zabezpieczeń bezprzewodowych (WEP, WPA, WPA2, WPA3) i wyjaśnij, dlaczego WEP jest uważany za całkowicie niebezpieczny. Opisz różnicę między WPA2-PSK (Personal) a WPA2-Enterprise. Zaproponuj, jakie dodatkowe środki bezpieczeństwa można by wdrożyć w sieci bezprzewodowej (np. filtrowanie adresów MAC, izolacja klientów, ukrywanie SSID) i oceń ich skuteczność.

Schemat do zadania

Schemat do zadania 6

Zadanie 7: Odkrywanie i dokumentowanie topologii za pomocą CDP i LLDP

Cel

Wykorzystanie protokołów odkrywania sąsiadów warstwy 2 – CDP (Cisco Discovery Protocol) i LLDP (Link Layer Discovery Protocol) – do automatycznego mapowania i weryfikacji fizycznych połączeń w sieci. W ramach zadania student nauczy się, jak włączać i używać tych protokołów do zbierania informacji o bezpośrednio podłączonych urządzeniach.

Scenariusz (Case Study)

Przejąłeś administrację nad siecią kampusową po innym pracowniku, który nie pozostawił żadnej aktualnej dokumentacji. Sieć jest rozbudowana, a kable w szafach krosowniczych są słabo opisane. Zanim zaczniesz wprowadzać jakiekolwiek zmiany, musisz stworzyć dokładny schemat połączeń fizycznych między przełącznikami i routerami. Ręczne śledzenie każdego kabla byłoby niezwykle czasochłonne. Postanawiasz wykorzystać wbudowane w urządzenia sieciowe protokoły odkrywania sąsiadów. Twoim zadaniem jest upewnienie się, że protokół CDP (na urządzeniach Cisco) oraz LLDP (standard otwarty, na wypadek gdyby w sieci były urządzenia innych producentów) są aktywne. Następnie, logując się na każdy przełącznik i router, musisz użyć odpowiednich poleceń, aby wyświetlić informacje o jego sąsiadach, takie jak nazwa urządzenia, model, wersja oprogramowania oraz lokalny i zdalny port, przez który są połączone.

+---------------------+        +---------------------+        +---------------------+
| Switch-A            |        | Switch-B            |        | Router-R1           |
| Gi0/1 <----------------------> Gi0/1               |        |                     |
|                     |        |                     |        |                     |
| Fa0/1 <----------------------------------------------------> Gi0/0/1             |
|                     |        | Fa0/24 <---------------------> Fa0/24              |
+---------------------+        +---------------------+        +---------------------+

Wynik 'show cdp neighbors' na Switch-A:
Device ID    Local Intrfce   Holdtme  Capability  Platform      Port ID
Switch-B     Gig 0/1         150      S I         WS-C2960      Gig 0/1
Router-R1    Fas 0/1         128      R S I       ISR4331       Gig 0/0/1

Rozwiązanie (Krok po kroku)

  1. Zbuduj złożoną topologię składającą się z kilku przełączników (zarówno L2, jak i L3) oraz routera. Połącz je ze sobą w dowolny sposób, używając różnych portów.
  2. Protokół CDP jest domyślnie włączony na urządzeniach Cisco. Aby go włączyć globalnie (jeśli był wyłączony), użyj polecenia `cdp run` w trybie konfiguracji globalnej.
  3. Protokół LLDP jest domyślnie wyłączony. Aby go włączyć, użyj polecenia `lldp run`.
    4. Switch(config)# cdp run Switch(config)# lldp run
  4. Poczekaj kilkadziesiąt sekund, aż urządzenia wymienią się informacjami (pakiety CDP/LLDP są wysyłane co 60/30 sekund).
  5. Zaloguj się na jeden z przełączników i użyj polecenia `show cdp neighbors`, aby zobaczyć podsumowanie informacji o sąsiadach Cisco.
    6. Switch-A# show cdp neighbors Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone Device ID Local Intrfce Holdtme Capability Platform Port ID Switch-B Gig 0/1 150 S I WS-C2960 Gig 0/1 Router-R1 Fas 0/1 128 R S I ISR4331 Gig 0/0/1
  6. Z powyższego wyniku można wywnioskować, że lokalny port `Gig 0/1` jest połączony z portem `Gig 0/1` na przełączniku o nazwie `Switch-B`.
  7. Aby uzyskać bardziej szczegółowe informacje, w tym adresy IP sąsiadów, użyj polecenia `show cdp neighbors detail`.
    8. Switch-A# show cdp neighbors detail ------------------------- Device ID: Router-R1 Entry address(es): IP address: 10.10.100.1 Platform: cisco ISR4331, Capabilities: Router Switch IGMP Interface: FastEthernet0/1, Port ID (outgoing port): GigabitEthernet0/0/1 ...
  8. Analogicznie, użyj poleceń `show lldp neighbors` i `show lldp neighbors detail`, aby zobaczyć informacje zebrane przez protokół LLDP.
  9. Możesz wyłączyć CDP/LLDP na wybranym interfejsie (np. skierowanym do sieci publicznej) za pomocą poleceń `no cdp enable` lub `no lldp transmit`/`no lldp receive`.
  10. Na podstawie zebranych informacji narysuj dokładny schemat połączeń fizycznych w Twojej topologii.

Podsumowanie

CDP i LLDP to niezwykle użyteczne narzędzia diagnostyczne i dokumentacyjne. Działając w warstwie 2, pozwalają urządzeniom na automatyczne "przedstawienie się" swoim bezpośrednim sąsiadom, wymieniając kluczowe informacje o swojej tożsamości i konfiguracji. Dla administratora sieci jest to nieoceniona pomoc w szybkim tworzeniu mapy połączeń, weryfikacji okablowania oraz diagnozowaniu problemów z łącznością fizyczną. Chociaż CDP jest protokołem własnościowym Cisco, jego szeroka popularność sprawia, że jest standardem de facto w wielu sieciach. LLDP, jako otwarty standard, zapewnia interoperacyjność w środowiskach heterogenicznych, gdzie pracują urządzenia różnych producentów.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej cel i zasadę działania protokołów CDP i LLDP. Porównaj oba protokoły, wskazując różnice (np. częstotliwość wysyłania pakietów, zawartość informacji, standard). Dołącz wyniki poleceń `show cdp neighbors detail` i `show lldp neighbors detail` ze swojej topologii. Wyjaśnij, dlaczego ze względów bezpieczeństwa zaleca się wyłączanie tych protokołów na portach skierowanych do niezaufanych sieci (np. do Internetu). Stwórz na podstawie zebranych danych dokładny schemat połączeń fizycznych Twojej sieci laboratoryjnej.

Schemat do zadania

Schemat do zadania 7

Zadanie 8: Synchronizacja czasu w sieci za pomocą protokołu NTP

Cel

Zrozumienie znaczenia synchronizacji czasu w sieci i wdrożenie protokołu NTP (Network Time Protocol). W ramach zadania student nauczy się konfigurować jedno z urządzeń jako autorytatywny serwer czasu (NTP Master) oraz konfigurować pozostałe urządzenia jako klientów NTP, aby wszystkie miały spójny i dokładny czas.

Scenariusz (Case Study)

Podczas analizy logów systemowych z różnych przełączników i routerów w sieci kampusowej zauważyłeś, że znaczniki czasu poszczególnych zdarzeń są niespójne. Każde urządzenie ma inaczej ustawiony zegar, co ogromnie utrudnia korelowanie zdarzeń i diagnozowanie problemów. Przykładowo, log z jednego przełącznika wskazuje na awarię portu o 10:30, a log z sąsiedniego urządzenia pokazuje powiązane zdarzenie o 11:15, co wprowadza chaos w analizie. Postanawiasz wdrożyć centralną synchronizację czasu. Twoim zadaniem jest wyznaczenie jednego z przełączników rdzeniowych (np. Core-SW1) jako głównego serwera NTP dla sieci wewnętrznej. Musisz skonfigurować go tak, aby był autorytatywnym źródłem czasu (NTP Master) dla innych. Następnie, wszystkie pozostałe przełączniki i routery muszą zostać skonfigurowane jako klienci NTP, którzy będą pobierać czas z Core-SW1.

+--------------------------------+
| Core-SW1 (NTP Master)          |
|                                |
| Clock is synchronized, stratum 2 |
| Source: 127.127.1.1 (local)    |
+--------------------------------+
      |         ^         |
      |         |         | NTP Sync
      |         |         |
      v         |         v
+----------------+  +----------------+
| Switch-A (Client) |  | Switch-B (Client) |
|                   |  |                   |
| Clock is sync...  |  | Clock is sync...  |
| Source: Core-SW1  |  | Source: Core-SW1  |
+----------------+  +----------------+

Rozwiązanie (Krok po kroku)

  1. Wybierz jedno z urządzeń L3 w swojej topologii (np. Core-SW1) na serwer NTP.
  2. Zaloguj się do Core-SW1 i sprawdź aktualny czas za pomocą polecenia `show clock`. Prawdopodobnie będzie niepoprawny.
  3. Skonfiguruj Core-SW1 jako serwer NTP master. Użyjemy polecenia `ntp master`, które sprawia, że urządzenie staje się autorytatywnym źródłem czasu dla innych, nawet jeśli samo nie jest zsynchronizowane z zewnętrznym źródłem. Wartość "stratum" określa "odległość" od referencyjnego zegara atomowego (im niższa, tym lepiej).
    4. Core-SW1(config)# ntp master 2
  4. W rzeczywistej sieci skonfigurowalibyśmy Core-SW1, aby pobierał czas z publicznych serwerów NTP, na przykład `ntp server pool.ntp.org`. W Packet Tracerze symulujemy sieć odizolowaną.
  5. Teraz zaloguj się do pozostałych urządzeń sieciowych (przełączników, routerów), które mają być klientami NTP.
  6. Na każdym z klientów wskaż adres IP serwera NTP (Core-SW1).
    7. ; Na Switch-A, Switch-B, itd. Switch-A(config)# ntp server 10.10.10.2 ; Adres IP Core-SW1
  7. Poczekaj kilka minut, aż proces synchronizacji dobiegnie końca.
  8. Zweryfikuj status synchronizacji na klientach za pomocą polecenia `show ntp status`.
    9. Switch-A# show ntp status Clock is synchronized, stratum 3, reference is 10.10.10.2
  9. Zwróć uwagę, że stratum klienta jest o 1 wyższe niž stratum serwera.
  10. Sprawdź również tabelę asocjacji NTP, aby zobaczyć szczegóły połączenia z serwerem.
    11. Switch-A# show ntp associations address ref clock st when poll reach delay offset disp ~10.10.10.2 127.127.1.1 2 59 64 377 1.23 -5.43 0.21 * master (synced), # master (unsynced), + selected, - candidate, ~ configured
  11. Na koniec, sprawdź czas na wszystkich urządzeniach (`show clock`). Powinien być teraz identyczny i zsynchronizowany.
  12. Możesz również skonfigurować znaczniki czasu dla logów, aby były bardziej czytelne.
    13. Switch(config)# service timestamps log datetime msec

Podsumowanie

Synchronizacja czasu jest często pomijanym, ale krytycznym elementem zarządzania siecią. Protokół NTP zapewnia hierarchiczną i niezawodną metodę dystrybucji dokładnego czasu do wszystkich urządzeń w sieci. Spójny czas jest absolutnie niezbędny do prawidłowej analizy logów systemowych, działania systemów uwierzytelniania (np. Kerberos), poprawnego działania certyfikatów cyfrowych oraz do koordynacji zdarzeń w systemach rozproszonych. Wdrożenie NTP, nawet w najprostszej formie klient-serwer, znacząco podnosi dojrzałość operacyjną sieci i ułatwia codzienne zadania administratora, zwłaszcza w sytuacjach awaryjnych, gdzie liczy się każda sekunda.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej, dlaczego synchronizacja czasu jest ważna w sieciach komputerowych. Wyjaśnij podstawy działania protokołu NTP, w tym koncepcję "stratum". Dołącz konfigurację serwera i klienta NTP oraz wyniki poleceń weryfikacyjnych (`show ntp status`, `show ntp associations`). Opisz, jak można by poprawić niezawodność synchronizacji czasu w tej sieci (np. poprzez dodanie drugiego serwera NTP). Zastanów się i opisz, jak NTP może być wykorzystywany w atakach sieciowych (np. NTP amplification attack).

Schemat do zadania

Schemat do zadania 8

Zadanie 9: Analiza i optymalizacja protokołu Spanning Tree (STP)

Cel

Zrozumienie fundamentalnej roli protokołu Spanning Tree (STP) w zapobieganiu pętlom w sieciach przełączanych. W ramach zadania student nauczy się, jak STP wybiera przełącznik główny (Root Bridge), jak wyznacza porty główne (Root Ports) i desygnowane (Designated Ports) oraz jak blokuje porty w celu przerwania pętli. Celem jest również nauczenie się, jak wpływać na ten proces, aby zoptymalizować ścieżki przepływu danych.

Scenariusz (Case Study)

W celu zwiększenia niezawodności sieci, między trzema głównymi przełącznikami w budynku (SW1, SW2, SW3) zostały dodane redundantne połączenia, tworząc fizyczną pętlę. Chwilę po podłączeniu ostatniego kabla, cała sieć przestała działać – diody na przełącznikach zaczęły migać w zawrotnym tempie, a urządzenia końcowe straciły łączność. Domyślasz się, że jest to spowodowane burzą rozgłoszeniową (broadcast storm) wynikającą z pętli w warstwie 2. Na szczęście, po chwili protokół STP zadziałał, blokując jeden z portów i przywracając stabilność sieci. Twoim zadaniem jest zbadanie, jak STP podjął tę decyzję. Musisz zidentyfikować, który przełącznik został wybrany jako Root Bridge, które porty są w stanie "forwarding", a który został zablokowany. Następnie, masz za zadanie świadomie wpłynąć na topologię STP, tak aby najbardziej wydajny przełącznik (np. SW1) stał się Root Bridge, optymalizując w ten sposób ścieżki ruchu w sieci.

             +------------------+
             | SW1 (Root Bridge)|
             | Prio: 24576      |
             +------------------+
            /       (DP)       \ (DP)
           /                    \
          /                      \
  (RP) +------------------+ (DP) +------------------+
       | SW2              |------| SW3              |
       | Prio: 32768      | (BLK)| Prio: 32768      |
       +------------------+      +------------------+

Rozwiązanie (Krok po kroku)

  1. Zbuduj topologię składającą się z trzech przełączników (SW1, SW2, SW3) połączonych w trójkąt (SW1-SW2, SW2-SW3, SW3-SW1).
  2. Poczekaj około minuty, aż STP zakończy proces konwergencji. Zauważysz, że na jednym z portów dioda zmieni kolor na pomarańczowy – to jest port w stanie blokowania.
  3. Na każdym przełączniku użyj polecenia `show spanning-tree`, aby zobaczyć stan STP.
    4. SW2# show spanning-tree VLAN0001 Spanning tree enabled protocol ieee Root ID Priority 32769 Address 0001.428C.A101 This bridge is the root ... Interface Role Sts Cost Prio.Nbr Type ---------------- ---- --- --------- -------- -------------------------------- Fa0/1 Desg FWD 19 128.1 P2p Fa0/2 Desg FWD 19 128.2 P2p
  4. Zidentyfikuj Root Bridge. Będzie to przełącznik, który w wyniku `show spanning-tree` ma wpis "This bridge is the root". Wybór opiera się na najniższym Bridge ID (Priorytet + Adres MAC).
  5. Na pozostałych przełącznikach zidentyfikuj Root Port (port z najniższym kosztem dotarcia do Root Bridge) oraz porty w stanie blokowania (BLK).
  6. Załóżmy, że chcesz, aby SW1 był Root Bridge, ponieważ jest to najwydajniejszy przełącznik. Możesz to osiągnąć, obniżając jego priorytet.
    7. ; Domyślny priorytet to 32768. Ustawimy niższy. SW1(config)# spanning-tree vlan 1 priority 24576
  7. Można też użyć makra, które ustawi przełącznik jako główny (primary) lub zapasowy (secondary) Root Bridge.
    8. SW1(config)# spanning-tree vlan 1 root primary
  8. Po zmianie priorytetu, STP rozpocznie proces rekonwergencji. Poczekaj chwilę i ponownie sprawdź stan STP na wszystkich przełącznikach.
  9. Teraz SW1 powinien być oznaczony jako "This bridge is the root".
  10. Obserwuj, jak zmieniły się role portów na SW2 i SW3. Jeden z portów na łączu SW2-SW3 powinien zostać zablokowany.
  11. Możesz również włączyć funkcje takie jak PortFast na portach, do których podłączone są urządzenia końcowe, aby przyspieszyć ich dołączanie do sieci.
    12. Switch(config)# interface FastEthernet0/10 Switch(config-if)# spanning-tree portfast

Podsumowanie

Protokół Spanning Tree (STP) jest kluczowym mechanizmem zapewniającym bezawaryjną pracę sieci Ethernet z redundantnymi połączeniami. Jego głównym zadaniem jest zapobieganie pętlom w warstwie 2, które prowadzą do paraliżujących sieć burz rozgłoszeniowych. STP tworzy logiczną topologię bez pętli (drzewo) poprzez inteligentne blokowanie nadmiarowych portów. Chociaż proces ten jest automatyczny, administrator sieci musi rozumieć jego działanie, aby móc świadomie wpływać na wybór Root Bridge i optymalizować ścieżki przepływu danych. Niewłaściwa konfiguracja STP może prowadzić do suboptimalnego routingu, gdzie ruch jest przesyłany dłuższą, mniej wydajną ścieżką.

Zadanie dla studenta

Przygotuj dokumentację w formacie PDF. Opisz w niej problem pętli w warstwie 2 i wyjaśnij, jak STP go rozwiązuje. Opisz proces wyboru Root Bridge oraz ról portów (Root, Designated, Blocked). Dołącz wyniki polecenia `show spanning-tree` przed i po optymalizacji. Wyjaśnij, dlaczego ważne jest, aby administrator świadomie decydował, który przełącznik ma być Root Bridge. Porównaj standardowy STP (802.1D) z jego nowszymi wersjami, takimi jak RSTP (Rapid Spanning Tree Protocol, 802.1w) i MSTP (Multiple Spanning Tree Protocol, 802.1s), wskazując ich główne zalety.

Schemat do zadania

Schemat do zadania 9

Zadanie 10: Kompleksowe rozwiązywanie problemów w sieci kampusowej

Cel

Zintegrowanie i zastosowanie wiedzy zdobytej we wszystkich poprzednich zadaniach w celu zdiagnozowania i naprawienia wielowarstwowej, celowo uszkodzonej sieci. W ramach zadania student metodycznie podchodzi do problemu, analizując objawy i używając odpowiednich narzędzi diagnostycznych na warstwach od 1 do 3, aby przywrócić pełną funkcjonalność sieci.

Scenariusz (Case Study)

Jest poniedziałek rano. Przychodzisz do pracy i dowiadujesz się, że "sieć nie działa". Zgłoszenia napływają z całego kampusu. Użytkownicy z różnych działów zgłaszają brak dostępu do serwerów, brak możliwości drukowania, a nawet brak możliwości uzyskania adresu IP. Poprzedni administrator, który pracował w weekend, zostawił sieć w stanie chaosu. Otrzymujesz plik topologii w Cisco Packet Tracer, która jest w pełni skonfigurowana, ale zawiera kilka ukrytych błędów. Twoim zadaniem jest wcielenie się w rolę detektywa sieciowego. Musisz, zaczynając od jednego z niedziałających komputerów, krok po kroku, warstwa po warstwie, zdiagnozować i naprawić wszystkie problemy, aż do momentu, gdy pełna łączność w całym kampusie zostanie przywrócona. Błędy mogą dotyczyć warstwy fizycznej, konfiguracji VLAN, trunkingu, Port Security, adresacji IP, DHCP, HSRP, list ACL lub routingu.

+-----------------------------------------------------------------+
| Sieć Kampusowa - SCENA ZBRODNI                                  |
|                                                                 |
| PC-Student (VLAN 10) <-X-> Serwer-WWW (VLAN 30)                 |
| Objawy:                                                         |
| - PC-Student nie dostaje adresu IP z DHCP.                      |
| - PC-Wykładowca ma adres APIPA (169.254.x.x).                  |
| - Ping z Core-SW1 do Core-SW2 nie działa.                       |
| - Drukarka w VLAN 30 jest niedostępna z VLAN 20.                |
| - Port podłączony do nowego AP jest w stanie err-disabled.      |
|                                                                 |
| Twoje zadanie: Znajdź i napraw wszystkie błędy!                 |
+-----------------------------------------------------------------+

Rozwiązanie (Krok po kroku)

  1. Otwórz przygotowany przez instruktora plik .pkt z uszkodzoną topologią.
  2. Problem 1: PC-Student nie dostaje adresu IP.
    • Sprawdź konfigurację IP na PC (`ipconfig`). Czy jest ustawiony na DHCP?
    • Sprawdź warstwę fizyczną. Czy kabel jest podłączony? Czy port na przełączniku świeci się na zielono?
    • Sprawdź konfigurację portu na przełączniku (`show run interface ...`). Czy jest w dobrym VLANie? Czy nie jest w stanie `err-disabled`?
    • Możliwa przyczyna: Port jest przypisany do złego VLANu. Popraw `switchport access vlan 10`.
  3. Problem 2: PC-Wykładowca ma adres APIPA.
    • Adres APIPA oznacza, że komputer nie mógł skontaktować się z serwerem DHCP.
    • Sprawdź łączność z bramą domyślną. Czy PC może ją spingować, jeśli ustawisz mu adres statycznie?
    • Sprawdź konfigurację `ip helper-address` na interfejsie SVI dla VLANu Wykładowców.
    • Możliwa przyczyna: Brak lub błędny adres `ip helper-address` na SVI VLAN 20.
  4. Problem 3: Ping między przełącznikami L3 nie działa.
    • Sprawdź konfigurację portów tworzących łącze (np. EtherChannel). Czy na obu końcach jest ta sama konfiguracja (trunk, dozwolone VLANy)?
    • Sprawdź adresację IP na interfejsach łączących przełączniki. Czy są w tej samej podsieci?
    • Możliwa przyczyna: Niedopasowanie dozwolonych VLANów na łączu trunk (VLAN mismatch).
  5. Problem 4: Drukarka w VLAN 30 niedostępna z VLAN 20.
    • Sprawdź routing. Czy przełącznik L3 ma trasy do obu sieci? (`show ip route`)
    • Sprawdź listy ACL. Czy istnieje ACL, która blokuje ten ruch? (`show access-lists`, `show run interface ...`)
    • Możliwa przyczyna: Zbyt restrykcyjna reguła w ACL na SVI VLAN 20 lub 30.
  6. Problem 5: Port AP jest w stanie err-disabled.
    • Sprawdź logi (`show log`). Co spowodowało błąd?
    • Sprawdź konfigurację Port Security (`show port-security interface ...`).
    • Możliwa przyczyna: AP próbuje używać więcej niż jednego adresu MAC (dla różnych SSID), a port ma `maximum 1`. Zwiększ limit lub wyłącz Port Security dla portu AP.
  7. Po każdej naprawie, testuj łączność, aby upewnić się, że problem został rozwiązany i nie wprowadziłeś nowych błędów.
  8. Kontynuuj systematyczną diagnostykę, aż cała sieć będzie w pełni funkcjonalna. Używaj poleceń `ping`, `traceroute`, `show ip interface brief`, `show vlan brief`, `show cdp neighbors` itd.

Podsumowanie

Rozwiązywanie problemów w sieci jest jedną z najważniejszych umiejętności inżyniera sieciowego. Kluczem do sukcesu jest metodyczne i ustrukturyzowane podejście, najczęściej oparte na modelu warstwowym (OSI lub TCP/IP). Zaczynając od warstwy fizycznej i idąc w górę, można systematycznie eliminować potencjalne przyczyny problemu. To zadanie symuluje realistyczny scenariusz, w którym wiele niezależnych błędów konfiguracyjnych składa się na ogólny paraliż sieci. Skuteczna diagnoza wymaga nie tylko znajomości poleceń konfiguracyjnych, ale przede wszystkim głębokiego zrozumienia, jak poszczególne protokoły i technologie (VLAN, STP, routing, ACL, DHCP) współdziałają ze sobą.

Zadanie dla studenta

Przygotuj szczegółowy raport z naprawy sieci w formacie PDF. Dla każdego zidentyfikowanego problemu opisz: 1) Obserwowane objawy. 2) Proces diagnostyczny (jakie polecenia zostały użyte i co wykazały). 3) Zidentyfikowaną przyczynę błędu. 4) Zastosowane rozwiązanie (konkretne polecenia konfiguracyjne). 5) Metodę weryfikacji, że problem został rozwiązany. W podsumowaniu stwórz listę dobrych praktyk, które mogłyby zapobiec tego typu awariom w przyszłości (np. regularna dokumentacja, standaryzacja konfiguracji, system kontroli zmian).

Schemat do zadania

Schemat do zadania 10