Wykład 10: Bezpieczeństwo i zarządzanie siecią kampusową

Home 1: Wprowadzenie 2: Model hierarchiczny 3: Elementy sieci 4: Wysoka dostępność 5: VLAN 6: Adresacja IP 7: Routing 8: OSPF cz.I 9: OSPF cz.II 10: Bezpieczeństwo
1/18

Wprowadzenie do bezpieczeństwa i zarządzania siecią kampusową

Wprowadzenie do zasad całościowego zabezpieczania i monitorowania infrastruktury kampusowej zamykającego pełny cykl życia sieci komputerowej.

Wykład 10: Ochrona dostępu, filtracja ACL, telemetria SNMPv3 i audyt Syslog

  • Domknięcie cyklu życia sieci: po etapach analizy wymagań, projektowania warstwy fizycznej, redundancji L2 i routingu L3, następuje faza wdrożenia polityk bezpieczeństwa i operacyjnego utrzymania infrastruktury.
  • Wielowarstwowa ochrona: integracja kontroli dostępu do medium wg IEEE Std 802.1X-2020 oraz centralnego uwierzytelniania tożsamości z wykorzystaniem protokołu RFC 2865.
  • Zarządzanie i audyt: ciągły nadzór telemetryczny SNMPv3 oraz scentralizowana archiwizacja zdarzeń wg wytycznych CERT Polska.
Zarządzanie i bezpieczeństwo sieci kampusowej to zbiór procedur, protokołów i konfiguracji sprzętowych zapewniających poufność, integralność oraz ciągłą dostępność zasobów teleinformatycznych. Obejmuje kontrolę dostępu użytkowników, selektywne filtrowanie ruchu oraz stały monitoring stanu urządzeń. Zapewnia administratorom pełną widoczność operacyjną i możliwość natychmiastowej reakcji na incydenty bezpieczeństwa.
Wprowadzenie do bezpieczeństwa i zarządzania siecią kampusową

Sieć kampusowa, która nie została właściwie zabezpieczona i objęta operacyjnym nadzorem telemetrycznym, staje się podatna na paraliż organizacyjny i ataki cybernetyczne. W ramach tego wykładu omawiamy metodykę obrony w głąb (Defense in Depth), kontrolę portów dostępowych, tożsamościowe uwierzytelnianie 802.1X, bezstanowe listy ACL oraz protokoły zarządzania SNMPv3 i Syslog.

Szczególną uwagę poświęcamy poprawności technicznej: wyjaśniamy ograniczenia Port Security w obliczu podszywania MAC, różnicę między filtrem bezstanowym ACL a zaporą ogniową oraz poziomy bezpieczeństwa SNMPv3, z których dopiero authPriv zapewnia pełną poufność danych.

Skróty użyte w tym slajdzie:
ACL - Access Control List, lista reguł sterujących przepływem pakietów na interfejsach sieciowych.
NMS - Network Management System, oprogramowanie do centralnego monitorowania i zarządzania siecią.
SNMP - Simple Network Management Protocol, protokół wymiany informacji diagnostycznych i konfiguracyjnych.
AAA - Authentication, Authorization, Accounting, architektura uwierzytelniania, autoryzacji i rozliczania dostępu.

2/18

Plan spotkania

Przedstawienie harmonogramu zagadnień dotyczących ochrony dostępu, filtrowania pakietów i operacyjnego nadzoru sieci kampusowej.

Zakres tematyczny dziesiątego wykładu

  • Strategia obrony w głąb: zasada ograniczonego zaufania (Zero Trust) wg wytycznych NIST SP 800-207 oraz filary prewencji, detekcji i odzyskiwania sprawności.
  • Kontrola portów w warstwie 2: mechanizm Port Security, tryby naruszenia (protect, restrict, shutdown) i ograniczenia podatności na podszywanie MAC.
  • Uwierzytelnianie tożsamościowe: standard IEEE Std 802.1X-2020, protokoły EAP i architektura serwerów RADIUS.
  • Filtrowanie ruchu i telemetria: bezstanowe listy ACL a stanowe zapory ogniowe oraz bezpieczny nadzór telemetryczny i audyt zgodny z zaleceniami CERT Polska.
Plan wykładu stanowi uporządkowany przewodnik inżynierski po kluczowych mechanizmach cyberbezpieczeństwa i nadzoru operacyjnego sieci lokalnej. Prowadzi studenta od zabezpieczeń fizycznego gniazdka abonenckiego aż po wielkoskalowe systemy telemetrii i analizy logów. Umożliwia zrozumienie współzależności między poszczególnymi warstwami ochrony w nowoczesnym kampusie.
Plan dziesiątego wykładu z bezpieczeństwa i zarządzania

Plan wykładu prowadzi od bezpieczeństwa na poziomie fizycznego gniazdka sieciowego w biurze (warstwa 2), przez selektywną filtrację pakietów na przełącznikach dystrybucyjnych (warstwy 3 i 4), aż po scentralizowane systemy zarządzania infrastrukturą (NMS, SNMPv3, Syslog).

W trakcie wykładu przeanalizujemy poziomy bezpieczeństwa protokołu SNMPv3 (wyjaśniając, dlaczego tylko poziom authPriv zapewnia poufność z AES) oraz omówimy krytyczną rolę protokołu NTP w korelacji zdarzeń audytowych.

Skróty użyte w tym slajdzie:
EAP - Extensible Authentication Protocol, uniwersalny protokół hermetyzacji metod uwierzytelniania użytkowników.
RADIUS - Remote Authentication Dial In User Service, protokół komunikacji klienta AAA z serwerem tożsamości.
NTP - Network Time Protocol, protokół precyzyjnej synchronizacji zegarów w sieci IP.

3/18

Wielowarstwowy pancerz sieciowy: Defense in Depth

Zrozumienie założeń strategii obrony w głąb oraz zasady zakładania naruszenia bezpieczeństwa w architekturze kampusowej.

Koncepcja niezależnych barier ochronnych

  • Zasada Defense in Depth: żaden pojedynczy mechanizm nie jest nieomylny; bezpieczeństwo osiąga się poprzez nakładanie komplementarnych barier wg wytycznych NIST SP 800-207.
  • Cztery filary ochrony: prewencja (blokada nieautoryzowanych urządzeń), detekcja (analiza anomalii), izolacja (ograniczanie rozprzestrzeniania incydentu) i odtwarzanie (Disaster Recovery).
  • Podejście Assume Breach: projektowanie sieci przy realistycznym założeniu, że napastnik przełamał już obwód brzegowy, zgodnie z wytycznymi bezpieczeństwa CERT Polska.
Obrona w głąb (Defense in Depth) to wielopoziomowa strategia bezpieczeństwa teleinformatycznego stosująca zróżnicowane środki kontrolne na każdym etapie przetwarzania i przesyłania danych. Zakłada ona, że w razie awarii lub obejścia jednej bariery kolejna warstwa natychmiast zatrzyma lub wykryje intruza. Jej celem jest minimalizacja strat, izolacja zagrożenia i szybkie przywrócenie normalnego stanu operacyjnego.
Wielowarstwowa strategia obrony w głąb w sieci kampusowej

Raport z audytu słusznie koryguje powszechne uproszczenie: celem obrony w głąb nie jest jedynie wydłużenie czasu ataku, lecz przede wszystkim prewencja, wczesne wykrywanie, izolacja ogniska infekcji oraz natychmiastowe odtworzenie sprawności operacyjnej.

Nawet jeśli złośliwe oprogramowanie zainfekuje stację roboczą w jednym z działów, segmentacja VLAN, izolacja na poziomie list ACL oraz inspekcja ruchu na zaporach sieciowych uniemożliwiają lateralne przemieszczanie się intruza w kierunku serwerów bazodanowych.

Skróty użyte w tym slajdzie:
IDS - Intrusion Detection System, system pasywnego wykrywania nieautoryzowanych działań w sieci.
IPS - Intrusion Prevention System, system aktywnego blokowania wykrytych ataków w czasie rzeczywistym.
SIEM - Security Information and Event Management, platforma korelacji i analityki zdarzeń bezpieczeństwa.

4/18

Kontrola fizycznego wpięcia: Port Security

Przedstawienie mechanizmu Port Security jako podstawowej metody ograniczania liczby i tożsamości adresów MAC na porcie dostępowym.

Podstawowa filtracja adresów MAC w warstwie 2

  • Rola Port Security: funkcja przełącznika dostępowego ograniczająca dostęp do portu na podstawie tablicy MAC w standardzie IEEE Std 802.3.
  • Metody uczenia adresów: statyczna, dynamiczna (pamięć RAM/CAM) oraz Sticky MAC (automatyczny zapis w konfiguracji running-config).
  • Tryby reakcji na naruszenie (Violation): protect (ciche odrzucenie), restrict (odrzucenie i log w Syslog/SNMP), shutdown (wyłączenie portu w stan err-disabled).
  • Ograniczenie inżynierskie: Port Security nie jest silnym uwierzytelnianiem i nie chroni przed podszywaniem się pod znany adres MAC, co podkreślają raporty CERT Polska.
Port Security to mechanizm warstwy 2 w przełącznikach Ethernet kontrolujący przesyłanie ramek na podstawie adresów fizycznych MAC stacji roboczych podłączonych do danego portu. Pozwala administratorowi zdefiniować maksymalną liczbę dopuszczalnych stacji oraz automatycznie zapamiętywać ich adresy fizyczne. W przypadku wykrycia nieznanego adresu przełącznik podejmuje zdefiniowaną akcję zabezpieczającą.
Mechanizm Port Security na przełączniku dostępowym

Port Security to klasyczna, łatwa do wdrożenia pierwsza linia obrony, która skutecznie eliminuje problem samowolnego podłączania przez pracowników prywatnych przełączników czy routerów bezprzewodowych.

Należy jednak pamiętać, że każdy średnio zaawansowany użytkownik może za pomocą poleceń systemowych w Linuksie lub Windowsie zmienić swój adres MAC na adres legalnego komputera firmowego. Dlatego Port Security nie stanowi silnego uwierzytelniania tożsamości.

W mechanizmie Port Security kluczowy jest dobór trybu naruszenia (violation mode): protect – pakiety o nieznanym adresie MAC są cicho odrzucane, brak logowania Syslog/SNMP; restrict – pakiety nieuprawnione są odrzucane, generowany jest komunikat Syslog oraz SNMP Trap, a licznik naruszeń inkrementuje się (tryb zalecany w środowiskach produkcyjnych); shutdown (domyślny) – interfejs zostaje natychmiast wyłączony do stanu err-disabled i wymaga odblokowania przez administratora. Należy pamiętać, że mechanizmy DAI i IP Source Guard bezwzględnie wymagają aktywnego mechanizmu DHCP Snooping jako źródła zweryfikowanych powiązań IP-MAC.

Skróty użyte w tym slajdzie:
MAC - Media Access Control, fizyczny 48-bitowy adres karty sieciowej w warstwie łącza danych.
CAM - Content Addressable Memory, pamięć przełącznika przechowująca tablicę powiązań portów z adresami MAC.
VoIP - Voice over Internet Protocol, technologia przesyłania głosu w postaci pakietów sieciowych IP.

5/18

Przykład konfiguracji: Port Security w Cisco IOS

Prezentacja wzorcowej konfiguracji parametrów Port Security na przełączniku dostępowym wraz z procedurą odzyskiwania portu.

Implementacja na porcie dostępowym stacji roboczej

Switch(config)# interface GigabitEthernet0/0/5
Switch(config-if)# description STANOWISKO_BIUROWE_PC05
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# switchport port-security                     ! Włączenie mechanizmu
Switch(config-if)# switchport port-security maximum 1           ! Tylko 1 urządzenie końcowe
Switch(config-if)# switchport port-security mac-address sticky  ! Dynamiczna nauka do running-config
Switch(config-if)# switchport port-security violation shutdown  ! Blokada err-disabled przy obcym MAC

! Automatyczne przywracanie portu po 5 minutach (opcjonalne)
Switch(config)# errdisable recovery cause psecure-violation
Switch(config)# errdisable recovery interval 300
  • Konfiguracja trybu dostępowego: przypisanie portu do VLAN użytkowników przed aktywacją ochrony zgodnie z IEEE Std 802.1Q.
  • Zastosowanie reguł sticky: automatyczne przechwycenie adresu MAC legalnej stacji i narzucenie rygoru wyłączenia portu przy naruszeniu.
  • Automatyczne wznawianie: wykorzystanie mechanizmu errdisable recovery zapobiegające trwałej blokadzie portów po incydentach wg wytycznych CERT Polska.
Konfiguracja Port Security w systemie sieciowym polega na zdefiniowaniu parametrów pracy portu dostępowego w trybie statycznym oraz określeniu zasad obsługi wykrytych anomalii fizycznych. Obejmuje wskazanie limitu urządzeń, wybór sposobu rejestracji adresów MAC oraz akcję wykonywaną przy wykryciu nieautoryzowanej ramki. Zapewnia ochronę przed tworzeniem pętli przez prywatne przełączniki i zapobiega niekontrolowanemu rozrostowi tablicy CAM.
Przykładowa konfiguracja Port Security w przełączniku

Warto zwrócić uwagę na polecenie switchport port-security mac-address sticky. Po podłączeniu komputera przełącznik dynamicznie odczytuje pierwszy adres MAC i automatycznie wpisuje go do konfiguracji running-config.

Gdy użytkownik spróbuje odłączyć komputer i wpiąć prywatnego laptopa, przełącznik generuje przerwanie sprzętowe, wprowadza port w stan err-disabled i wysyła powiadomienie do administratora. Funkcja errdisable recovery pozwala uniknąć konieczności ręcznego resetowania portu.

Skróty użyte w tym slajdzie:
IOS - Internetwork Operating System, system operacyjny urządzeń sieciowych firmy Cisco.
CLI - Command Line Interface, tekstowy interfejs wiersza poleceń służący do konfiguracji urządzeń.
SVI - Switch Virtual Interface, logiczny interfejs warstwy 3 przypisany do konkretnego VLAN.

6/18

Weryfikacja tożsamości przed przyznaniem usług: IEEE 802.1X

Zrozumienie działania standardu IEEE 802.1X jako portowego elementu szerszej architektury kontroli dostępu do sieci.

Kontrola dostępu oparta na portach (IEEE Std 802.1X-2020)

  • Istota standardu: specyfikacja IEEE Std 802.1X-2020 wymusza uwierzytelnienie urządzenia przed otwarciem portu dla normalnego ruchu danych.
  • Element architektury NAC: 802.1X kontroluje stan portu, natomiast pełny system NAC realizuje także profilowanie urządzeń, ocenę stanu stacji (Posture Assessment) i dynamiczne reguły.
  • Mechanizm awaryjny MAB: dla urządzeń bez suplikanta (drukarki, kamery IP) stosuje się MAC Authentication Bypass weryfikowany w bazie RFC 2865.
Standard IEEE 802.1X definiuje mechanizm kontroli dostępu do portu sieciowego oparty na tożsamości użytkownika lub urządzenia, uniemożliwiający transmisję pakietów przed pomyślnym uwierzytelnieniem. Współpracuje z protokołami EAP i RADIUS, tworząc bezpieczny kanał negocjacji poświadczeń na poziomie warstwy 2. Stanowi kluczowy komponent nowoczesnych architektur zerowego zaufania w sieciach przewodowych i bezprzewodowych.
Architektura uwierzytelniania IEEE 802.1X

Raport z audytu słusznie koryguje definicję: 802.1X nie jest całym mechanizmem NAC, lecz otwartym standardem IEEE Std 802.1X: Port-Based Network Access Control (Port-Based Network Access Control). Zaawansowane rozwiązania NAC (np. Cisco ISE, Aruba ClearPass) wykorzystują 802.1X jako jeden z fundamentów, dodając do niego profilowanie urządzeń i analizę stanu ochrony.

Dopiero po pomyślnym zakończeniu negocjacji kryptograficznych przełącznik przestawia stan portu na Authorized. Co więcej, serwer RADIUS może w odpowiedzi Access-Accept przesłać atrybuty dynamicznie przypisujące użytkownika do odpowiedniego VLANu. Architektura ta wspiera również mechanizm RADIUS Change of Authorization (CoA wg RFC 5176), umożliwiający dynamiczną zmianę uprawnień lub izolację stacji w trakcie trwania sesji bez restartu portu.

Skróty użyte w tym slajdzie:
NAC - Network Access Control, kompleksowy system zarządzania i wymuszania polityk dostępu do sieci.
MAB - MAC Authentication Bypass, metoda dopuszczania urządzeń bez suplikanta na podstawie ich adresu MAC.
WLC - Wireless LAN Controller, centralny kontroler zarządzający punktami dostępowymi Wi-Fi.

7/18

Interakcja trzech ról w procesie uwierzytelniania

Przedstawienie ról i protokołów komunikacyjnych uczestniczących w procesie uwierzytelniania 802.1X.

Trójkąt zaufania: Supplicant, Authenticator i Serwer RADIUS

  • Suplikant (Supplicant): stacja końcowa użytkownika wysyłająca poświadczenia za pośrednictwem protokołu RFC 3748 (EAP).
  • Uwierzytelniający (Authenticator): przełącznik L2 odbierający ramki EAPOL i enkapsulujący je w pakiety protokołu RFC 2865 (RADIUS).
  • Serwer uwierzytelniający: serwer RADIUS (Cisco ISE, FreeRADIUS) weryfikujący tożsamość w katalogu Active Directory / LDAP.
  • Ochrona transportu: wspólny sekret RADIUS chroni wybrane atrybuty, natomiast pełne szyfrowanie sesji zapewnia standard RFC 6614 (RadSec).
Trójkąt zaufania 802.1X to model podziału odpowiedzialności pomiędzy stację wnioskującą o dostęp, urządzenie dostępowe oraz centralny serwer tożsamości. Przełącznik pośredniczy w komunikacji, nie znając treści wrażliwych poświadczeń przesyłanych wewnątrz protokołu EAP. Po pozytywnej decyzji serwera przełącznik dynamicznie przypisuje stację do właściwego segmentu sieciowego.
Wymiana komunikatów między suplikantem, przełącznikiem i serwerem RADIUS

To kluczowa poprawka techniczna: powszechnie uważa się, że komunikacja przełącznika z serwerem RADIUS jest w pełni szyfrowana. W rzeczywistości klasyczny protokół RADIUS (RFC 2865) szyfruje za pomocą wspólnego sekretu (Shared Secret) jedynie pole atrybutu hasła, pozostawiając pozostałe dane w postaci otwartej.

Dlatego nowoczesne wytyczne bezpieczeństwa nakazują stosowanie standardu RadSec (RFC 6614), w którym cała sesja RADIUS przesyłana jest w bezpiecznym kanale TLS, lub zabezpieczanie tego segmentu wydzielonym tunelem IPsec.

Skróty użyte w tym slajdzie:
EAPOL - Extensible Authentication Protocol over LAN, protokół transportu pakietów EAP bezpośrednio w ramkach Ethernet.
TLS - Transport Layer Security, protokół kryptograficzny zapewniający poufność i integralność transmisji.
LDAP - Lightweight Directory Access Protocol, protokół dostępu do centralnych usług katalogowych.

8/18

Filtrowanie ruchu: Listy Kontroli Dostępu (ACL)

Zrozumienie zasad sekwencyjnego przetwarzania i reguł działania list ACL na urządzeniach warstwy 3.

Selektywna filtracja pakietów w warstwach L3 i L4

  • Struktura list ACL: uporządkowany zbiór reguł dopuszczających (permit) lub odrzucających (deny) pakiety IP wg standardów RFC 1812.
  • Przetwarzanie sekwencyjne: weryfikacja reguł od góry do dołu (Top-to-Bottom) i natychmiastowe zakończenie procedury po pierwszym dopasowaniu (First Match).
  • Niejawna blokada końcowa: każda lista kończy się automatyczną regułą deny ip any any odrzucającą niedopasowany ruch zgodnie z wytycznymi CERT Polska.
Lista Kontroli Dostępu (Access Control List - ACL) to uporządkowany zbiór kryteriów filtracji ruchu sieciowego stosowany na interfejsach routerów i przełączników warstwy trzeciej. Bada nagłówki pakietów IP i decyduje o ich przekazaniu bądź bezpowrotnym odrzuceniu. Działa w sposób w pełni deterministyczny na podstawie reguły pierwszego dopasowania i domyślnej blokady końcowej.
Zasada sekwencyjnego przetwarzania reguł listy ACL

Listy ACL to jedno z najbardziej fundamentalnych narzędzi inżyniera sieciowego. Na nowoczesnych przełącznikach wielowarstwowych ewaluacja reguł ACL nie obciąża procesora głównego (CPU), ponieważ jest realizowana sprzętowo w wyspecjalizowanych pamięciach TCAM.

Kluczowe jest zrozumienie logiki Implicit Deny: jeśli utworzymy listę ACL zawierającą wyłącznie regułę blokującą jeden konkretny adres, przełącznik odrzuci również cały pozostały ruch, ponieważ na końcu listy znajduje się domyślne deny ip any any.

Skróty użyte w tym slajdzie:
TCAM - Ternary Content Addressable Memory, wyspecjalizowana pamięć sprzętowa do ultraszybkiego dopasowywania masek i reguł ACL.
CPU - Central Processing Unit, procesor główny urządzenia sieciowego realizujący zadania sterowania.
L3 - Layer 3, warstwa sieciowa modelu OSI odpowiedzialna za adresację logiczną i routing.

9/18

ACL Standardowe a Rozszerzone: granice bezstanowości

Porównanie właściwości list ACL standardowych i rozszerzonych oraz zdefiniowanie różnicy między filtracją bezstanową a zaporą stanową.

Precyzja filtrowania i granice filtracji bezstanowej

  • ACL Standardowe: badają wyłącznie źródłowy adres IP; lokowane są jak najbliżej celu, aby uniknąć przypadkowego zablokowania legalnego ruchu.
  • ACL Rozszerzone: badają źródło, cel, protokół (TCP/UDP/ICMP), porty L4 i flagi nagłówka wg standardu RFC 1812; lokowane możliwie blisko źródła.
  • Granica bezstanowości: listy ACL są bezstanowe; nie tworzą dynamicznej tablicy sesji, co odróżnia je od stanowych zapór ogniowych (Stateful Firewall) opisywanych w zaleceniach NIST SP 800-207.
Filtracja bezstanowa polega na niezależnej ocenie każdego pojedynczego pakietu na podstawie statycznych kryteriów nagłówka, bez śledzenia stanu nawiązanego połączenia. W odróżnieniu od niej stanowa zapora ogniowa rejestruje fazy sesji transmisyjnych w dynamicznej tablicy stanów i automatycznie przepuszcza powiązany ruch powrotny. Listy ACL rozszerzone mogą jedynie częściowo weryfikować flagi TCP, lecz nie zastępują pełnej inspekcji stanowej.
Porównanie list ACL standardowych, rozszerzonych oraz zapory stanowej

To istotna korekta koncepcyjna: w oryginalnej prezentacji sugerowano, że listy ACL rozszerzone stają się nowoczesnymi zaporami typu NGFW. W rzeczywistości ACL są filtrami bezstanowymi analizującymi każdy pakiet w całkowitym oderwaniu od poprzednich.

Prawdziwy firewall stanowy utrzymuje dynamiczną tablicę stanów sesji. Samodzielnie rozpoznaje nawiązane połączenie wychodzące i automatycznie otwiera bezpieczny kanał powrotny bez konieczności tworzenia podatnych reguł zezwalających w obu kierunkach.

Skróty użyte w tym slajdzie:
TCP - Transmission Control Protocol, połączeniowy protokół warstwy transportowej zapewniający niezawodność.
UDP - User Datagram Protocol, bezpołączeniowy protokół transportowy o minimalnym narzucie nagłówka.
NGFW - Next-Generation Firewall, zapora sieciowa integrująca inspekcję stanową, kontrolę aplikacji i systemy IPS.

10/18

Przykład konfiguracji: Izolacja usług krytycznych

Prezentacja kompletnej konfiguracji rozszerzonej listy ACL uwzględniającej zapytania DNS, ruch WWW oraz diagnostykę ICMP.

Zezwolenie na ruch WWW i DNS z blokadą pozostałego ruchu

! Definicja nazwanej listy rozszerzonej
Switch_L3(config)# ip access-list extended FILTR_STUDENCI
! 1. Zezwolenie na zapytania DNS do serwerów uczelnianych
Switch_L3(config-ext-nacl)# permit udp 192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255 eq 53
Switch_L3(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255 eq 53
! 2. Zezwolenie na przeglądanie stron WWW (HTTP oraz HTTPS do dowolnego węzła w Internecie)
Switch_L3(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 80
Switch_L3(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 443
! 3. Dopuszczenie komunikacji diagnostycznej ICMP Echo
Switch_L3(config-ext-nacl)# permit icmp 192.168.10.0 0.0.0.255 any echo
! (Na końcu listy działa niejawne deny ip any any)
Switch_L3(config-ext-nacl)# exit

! Zastosowanie listy na wejściowym interfejsie SVI
Switch_L3(config)# interface Vlan10
Switch_L3(config-if)# ip access-group FILTR_STUDENCI in
  • Konieczność obsługi DNS: zapytania DNS (port UDP/TCP 53) wg RFC 1035 są niezbędne do rozwiązywania nazw przed nawiązaniem sesji WWW.
  • Selektywne zezwolenie: dopuszczenie bezpiecznego ruchu HTTP/HTTPS oraz zapytań ICMP Echo dla diagnostyki sieci wg standardów RFC 1812.
  • Prawidłowe przypięcie: aktywacja listy na wejściowym interfejsie wirtualnym SVI (Vlan10) komendą ip access-group.
Praktyczna implementacja listy ACL wymaga dokładnego zdefiniowania wszystkich protokołów pomocniczych niezbędnych do prawidłowego funkcjonowania usług aplikacyjnych użytkowników. Brak jawnego dopuszczenia ruchu DNS lub komunikatów diagnostycznych ICMP prowadzi do pozoru braku łączności mimo poprawnej konfiguracji portów docelowych. Precyzyjne ograniczenie podsieci źródłowych i docelowych zapobiega nadużyciom i chroni wrażliwe zasoby serwerowe.
Praktyczny przykład konfiguracji rozszerzonej listy ACL w Cisco IOS

To kluczowa poprawka praktyczna raportu z audytu. W pierwotnej wersji slajdu dopuszczono jedynie porty TCP 80 i 443, co w rzeczywistym środowisku całkowicie paraliżowało dostęp do stron WWW, gdyż stacje robocze nie były w stanie rozwiązać nazw domenowych na adresy IP w usłudze DNS. Prawidłowa konfiguracja reguły zezwalającej na HTTPS wymaga zdefiniowania adresu docelowego jako any eq 443, aby nie blokować użytkownikom dostępu do szyfrowanych serwisów internetowych.

Brak zezwolenia dla UDP 53 powoduje ciche odrzucenie zapytań DNS przez regułę Implicit Deny, a użytkownik otrzymuje błąd braku połączenia mimo sprawnego routingu. Dodanie reguły ICMP Echo umożliwia z kolei podstawową diagnostykę narzędziem ping.

Skróty użyte w tym slajdzie:
DNS - Domain Name System, rozproszony system tłumaczenia nazw domenowych na numeryczne adresy IP.
ICMP - Internet Control Message Protocol, protokół diagnostyki i przesyłania komunikatów błędów w sieci IP.
HTTP - Hypertext Transfer Protocol, protokół przesyłania dokumentów hipertekstowych w sieci WWW.

11/18

Nadzór operacyjny: Systemy Zarządzania Siecią (NMS)

Zrozumienie funkcji systemów NMS w procesie ciągłego monitorowania wydajności, dostępności i incydentów w sieci kampusowej.

Centralny monitoring i telemetria infrastruktury

  • Rola platformy NMS: scentralizowane oprogramowanie zbierające dane operacyjne z setek przełączników, routerów i punktów dostępowych AP.
  • Kluczowe zadania: automatyczne wykrywanie topologii (Network Discovery), nadzór nad dostępnością urządzeń i wczesne wykrywanie wąskich gardeł wg wytycznych RFC 3411.
  • Zarządzanie alertami: definiowanie progów ostrzegawczych (Thresholds) i korelacja incydentów zgodnie z zaleceniami CERT Polska.
System Zarządzania Siecią (Network Management System - NMS) to zintegrowana platforma aplikacyjna służąca do ciągłego monitorowania stanu technicznego, wydajności oraz bezpieczeństwa infrastruktury teleinformatycznej. Umożliwia wizualizację topologii, zbieranie parametrów telemetrycznych oraz automatyczne alarmowanie administratorów o przekroczeniu dopuszczalnych progów operacyjnych. Skraca czas wykrywania i usuwania awarii w rozległych środowiskach kampusowych.
Architektura centralnego monitoringu sieciowego NMS

Skuteczne zarządzanie siecią kampusową wymaga odejścia od modelu reaktywnego (czekamy na telefon od zdenerwowanych użytkowników) na rzecz modelu proaktywnego, w którym system NMS wykrywa problem, zanim wpłynie on na działanie organizacji.

Kluczowym elementem wdrożenia NMS jest zdefiniowanie tzw. linii bazowej (baseline) - inżynier musi wiedzieć, jakie jest typowe obciążenie łączy i procesorów w normalny dzień roboczy, aby móc precyzyjnie skonfigurować progi alarmowe.

Skróty użyte w tym slajdzie:
AP - Access Point, bezprzewodowy punkt dostępowy łączący stacje Wi-Fi z siecią przewodową.
CRC - Cyclic Redundancy Check, suma kontrolna służąca do wykrywania błędów transmisji w ramce.
MTBF - Mean Time Between Failures, średni czas bezawaryjnej pracy urządzenia lub podsystemu.

12/18

Standard wymiany danych telemetrycznych: Protokół SNMP

Poznanie komponentów architektury SNMP, struktury baz MIB oraz różnic między odpytywaniem a pułapkami Trap i Inform.

Architektura Simple Network Management Protocol

  • Architektura protokołu: stacja NMS komunikuje się z oprogramowaniem agenta na urządzeniu sieciowym wg standardów RFC 3411 i RFC 3413.
  • Baza MIB i identyfikatory OID: zhierarchizowane drzewo zmiennych opisujące stan portów, liczniki pakietów i zasoby sprzętowe.
  • Mechanizmy odpytywania i powiadomień: cykliczny polling (Get/GetBulk) oraz zdarzenia asynchroniczne wysyłane jako bezpotwierdzeniowy Trap lub potwierdzany Inform (port UDP 162).
Simple Network Management Protocol (SNMP) to ustandaryzowany protokół warstwy aplikacji służący do wymiany informacji diagnostycznych i konfiguracyjnych pomiędzy systemem nadzorczym a węzłami sieciowymi. Opiera się na ustrukturyzowanej bazie MIB identyfikującej obiekty sieciowe unikalnymi ciągami OID. Umożliwia zarówno cykliczne odpytywanie urządzeń o stan liczników, jak i natychmiastowe raportowanie zdarzeń krytycznych.
Komunikacja SNMP: polling MIB i powiadomienia Trap/Inform

Warto pamiętać o ograniczeniach operacyjnych komunikatów SNMP Trap: ponieważ Trap jest pakietem UDP przesyłanym bez potwierdzenia, w przypadku awarii zasilania przełącznika lub zatoru na łączu może zostać bezpowrotnie utracony.

Dlatego systemy NMS łączą pasywny odbiór pułapek Trap z aktywnym cyklicznym odpytywaniem (Polling). Rozszerzenie SNMP Inform eliminuje tę wadę, wymuszając na stacji NMS odesłanie potwierdzenia odbioru. Model bezpieczeństwa USM dla SNMPv3 standaryzuje dokument IETF RFC 3414.

Skróty użyte w tym slajdzie:
MIB - Management Information Base, hierarchiczna baza danych obiektów zarządzanych w protokole SNMP.
OID - Object Identifier, unikalny ciąg numeryczny identyfikujący konkretną zmienną w drzewie MIB.
PDU - Protocol Data Unit, jednostka danych protokołu na określonej warstwie modelu sieciowego.

13/18

Ewolucja bezpieczeństwa SNMP: Od haseł jawnych do SNMPv3

Zrozumienie krytycznych różnic w modelach bezpieczeństwa SNMP oraz jednoznaczne wskazanie poziomu zapewniającego szyfrowanie danych.

Trzy poziomy bezpieczeństwa w standardach RFC 3414 i RFC 3826

  • Zagrożenia SNMPv1/v2c: autoryzacja oparta na jawnym ciągu Community String, co umożliwia podsłuch statystyk i modyfikację konfiguracji w sieci lokalnej.
  • Poziomy USM w SNMPv3: noAuthNoPriv (tylko nazwa użytkownika), authNoPriv (uwierzytelnianie HMAC-SHA bez poufności) oraz authPriv (kryptograficzne uwierzytelnianie i poufność) wg RFC 3414.
  • Szyfrowanie ładunku AES: dopiero poziom authPriv zapewnia poufność telemetrii algorytmem AES zgodnie ze specyfikacją RFC 3826.
SNMPv3 to wersja protokołu zarządzania wprowadzająca User-based Security Model (USM) zapewniający silne uwierzytelnianie, kontrolę integralności oraz opcjonalne szyfrowanie danych. Zabezpiecza transmisję przed podsłuchem, modyfikacją zawartości oraz atakami powtórzeniowymi (Replay Attack). Wymaga stosowania poziomu authPriv dla zagwarantowania pełnej poufności przesyłanych informacji zarządczych.
Porównanie poziomów bezpieczeństwa noAuthNoPriv, authNoPriv i authPriv w SNMPv3

To fundamentalna korekta audytowa: twierdzenie, że wdrożenie protokołu SNMPv3 automatycznie oznacza pełne szyfrowanie przesyłanych statystyk, jest powszechnym błędem inżynierskim. SNMPv3 definiuje trzy odrębne poziomy bezpieczeństwa: noAuthNoPriv, authNoPriv oraz authPriv.

Pełną poufność gwarantuje wyłącznie poziom authPriv z wykorzystaniem algorytmu AES (RFC 3826). Poziom authNoPriv zabezpiecza wyłącznie tożsamość i integralność pakietu za pomocą funkcji skrótu HMAC-SHA, lecz cała zawartość statystyk przesyłana jest otwartym tekstem.

Skróty użyte w tym slajdzie:
USM - User-based Security Model, model bezpieczeństwa w SNMPv3 definiujący użytkowników, uwierzytelnianie i szyfrowanie.
HMAC - Hash-based Message Authentication Code, kryptograficzny kod uwierzytelniania wiadomości z użyciem klucza tajnego.
AES - Advanced Encryption Standard, symetryczny szyfr blokowy powszechnie stosowany do ochrony poufności danych.

14/18

Audyt i rejestracja zdarzeń: Protokół Syslog i rola NTP

Przedstawienie standardu Syslog, ograniczeń klasycznego transportu UDP oraz konieczności synchronizacji zegarów za pomocą protokołu NTP.

Chronologiczny ślad zdarzeń systemowych (RFC 5424)

  • Format komunikatów: standard RFC 5424 definiuje strukturę zdarzenia (Facility, Severity 0-7, znacznik czasu, identyfikator procesu i treść komunikatu).
  • Transport i szyfrowanie: klasyczny UDP 514 jest bezpotwierdzeniowy i niezaszyfrowany; środowiska produkcyjne wymagają bezpiecznego Syslog over TLS wg RFC 5425 na porcie TCP 6514.
  • Krytyczna synchronizacja NTP: spójność znaczników czasu z dokładnością milisekundową wg RFC 5905 jest bezwzględnym warunkiem korelacji incydentów.
Protokół Syslog to ustandaryzowany mechanizm przesyłania i centralnego gromadzenia komunikatów o zdarzeniach generowanych przez systemy operacyjne urządzeń sieciowych. Rejestruje zmiany stanu łączy, próby nieautoryzowanego dostępu oraz błędy sprzętowe z przypisanym poziomem istotności. Stanowi podstawowe źródło danych audytowych niezbędnych w analizie śledczej i detekcji zagrożeń.
Centralny serwer Syslog, format komunikatów i synchronizacja NTP

Brak synchronizacji czasu za pomocą protokołu NTP to jeden z najczęstszych błędów uniemożliwiających skuteczne dochodzenie powłamaniowe (Network Forensics). Jeśli przełącznik dostępowy ma zegar przesunięty o kilka minut względem serwera RADIUS i zapory sieciowej, administrator nie jest w stanie precyzyjnie odtworzyć sekwencji zdarzeń ataku.

Przejście z klasycznego Syslogu UDP 514 na bezpieczny Syslog over TLS (RFC 5425) jest współcześnie wymagane przez międzynarodowe normy bezpieczeństwa, gwarantując integralność rejestrowanych dzienników zdarzeń.

Protokół Syslog (IETF RFC 5424) definiuje 8 poziomów ważności komunikatów: 0 – Emergency (awaria krytyczna systemu), 1 – Alert (wymagana natychmiastowa akcja), 2 – Critical (stan krytyczny podzespołu), 3 – Error (błąd wykonania operacji), 4 – Warning (ostrzeżenie o anomaliach), 5 – Notice (istotne zdarzenie operacyjne), 6 – Informational (komunikat informacyjny), 7 – Debugging (szczegółowe śledzenie diagnostyczne). Do precyzyjnego datowania logów niezbędna jest synchronizacja czasu zgodnie ze standardem IETF RFC 5905: NTPv4.

Skróty użyte w tym slajdzie:
PRI - Priority, pole w nagłówku Syslog obliczane jako iloczyn wartości Facility i Severity.
UTC - Coordinated Universal Time, uniwersalny czas koordynowany stanowiący podstawę precyzyjnego pomiaru czasu na świecie.
SIEM - Security Information and Event Management, centralny system korelacji logów i zarządzania bezpieczeństwem.

15/18

Synteza 10 wykładów cyklu projektowego sieci kampusowej

Podsumowanie całościowej metodyki projektowej sieci kampusowej integrującej wiedzę ze wszystkich dziesięciu wykładów cyklu.

Kompleksowy proces inżynierski: od fizyki medium do cyberbezpieczeństwa

  • Infrastruktura fizyczna i redundancja L2 (W1-W5): hierarchia trójwarstwowa, okablowanie strukturalne Cat 6A / światłowody OM4/OS2, STP/RSTP i agregacja łączy LACP wg standardów IEEE Std 802.3 i 802.1Q.
  • Adresacja i routing IP (W6-W9): plan podsieci VLSM, usługi DHCP Relay oraz skalowalny routing dynamiczny jedno- i wieloobszarowy OSPF wg RFC 2328.
  • Bezpieczeństwo i zarządzanie (W10): ochrona portów 802.1X, bezstanowa filtracja ACL, telemetria SNMPv3 authPriv oraz scentralizowany audyt zdarzeń Syslog zgodnie z zaleceniami CERT Polska.
Projektowanie sieci klasy kampusowej to iteracyjny proces inżynierski polegający na harmonijnym łączeniu wymagań przepustowości, niezawodności i bezpieczeństwa w spójną architekturę teleinformatyczną. Wymaga równoległego uwzględnienia właściwości medium transmisyjnego, protokołów bezpętlowych, deterministycznego routingu oraz wielowarstwowej obrony przed zagrożeniami. Zapewnia skalowalną platformę dla realizacji krytycznych procesów organizacji.
Podsumowanie czterech filarów inżynierii sieci kampusowej

Raport z audytu słusznie koryguje pomyłkę z oryginalnego slajdu: to Wykład 10 domyka tematykę bezpieczeństwa i zarządzania, podczas gdy Wykład 9 dotyczył wieloobszarowego protokołu OSPF.

Żadna warstwa nie funkcjonuje poprawnie w oderwaniu od pozostałych: wdrożenie zaawansowanego routingu OSPF wymaga stabilnej infrastruktury L2 wolnej od pętli, a mechanizmy 802.1X i reguły ACL opierają się na poprawnie zaplanowanej segmentacji VLAN i adresacji VLSM.

Skróty użyte w tym slajdzie:
VLSM - Variable Length Subnet Masking, technika podziału przestrzeni adresowej IP na podsieci o zmiennej długości maski.
LACP - Link Aggregation Control Protocol, standard łączenia wielu fizycznych łączy w jeden logiczny kanał transmisyjny.
OSPF - Open Shortest Path First, hierarchiczny protokół routingu dynamicznego stanu łącza.

16/18

Pytania sprawdzające i przegląd zagadnień kluczowych

Sprawdzenie zrozumienia subtelności inżynierskich w mechanizmach kontroli portów, filtracji ACL oraz telemetrii.

Pytania kontrolne z zakresu ochrony i nadzoru sieci

  • 1. Port Security a MAC Spoofing: dlaczego mechanizm ten nie chroni przed podszyciem się pod adres stacji legalnie zapamiętany w tablicy CAM?
  • 2. Standard 802.1X a pełny NAC: jaka jest kluczowa różnica funkcjonalna pomiędzy portową kontrolą dostępu wg IEEE Std 802.1X-2020 a kompleksowym systemem polityk dostępu?
  • 3. Rola portu UDP 53 w ACL: dlaczego lista blokująca ruch niepożądany i zezwalająca na WWW musi jawnie dopuszczać pakiety DNS zdefiniowane w RFC 1035?
  • 4. Szyfrowanie SNMPv3 i rola NTP: na którym poziomie USM (noAuthNoPriv, authNoPriv, authPriv) pakiety są szyfrowane algorytmem AES oraz dlaczego korelacja logów w audycie CERT Polska wymaga protokołu NTP?
Pytania kontrolne stanowią narzędzie weryfikacji wiedzy inżynierskiej, ukierunkowane na identyfikację typowych pułapek projektowych i konfiguracyjnych w sieciach kampusowych. Wymagają powiązania wiedzy teoretycznej z mechanizmami działania protokołów na poziomie bitów i nagłówków pakietów. Pozwalają ugruntować umiejętność samodzielnego diagnozowania problemów bezpieczeństwa i monitoringu.
Pytania kontrolne podsumowujące bezpieczeństwo i zarządzanie siecią

Pytania kontrolne podsumowują najważniejsze niuanse inżynierskie. Odpowiedź na pytanie pierwsze wskazuje na brak kryptograficznego uwierzytelniania w Port Security (adres MAC w ramce Ethernet można bez trudu sfałszować). Pytanie drugie akcentuje, że 802.1X to otwarty standard kontroli portu, podczas gdy NAC to cały ekosystem oceny stanu stacji i zarządzania tożsamością.

Odpowiedź na pytanie trzecie dotyczy konieczności rozwiązywania nazw domenowych przez klientów WWW. Pytanie czwarte weryfikuje znajomość poziomu authPriv i kluczowej roli precyzyjnych stempli czasu protokołu NTP w analizie śledczej.

Skróty użyte w tym slajdzie:
DNS - Domain Name System, protokół tłumaczenia nazw domenowych na adresy IP.
AES - Advanced Encryption Standard, standard symetrycznego szyfrowania blokowego.
NTP - Network Time Protocol, protokół synchronizacji czasu w sieciach komputerowych.

17/18

Od wiedzy teoretycznej do praktyki inżynierskiej

Wskazanie kierunków dalszego rozwoju zawodowego, certyfikacji branżowych oraz nowoczesnych trendów technologicznych w sieciach kampusowych.

Ścieżki dalszego rozwoju i perspektywy zawodowe inżyniera sieciowego

  • Solidne fundamenty inżynierskie: zrozumienie norm IEEE i IETF stanowi bazę do pracy z urządzeniami wielu dostawców zgodnie z zasadami PKN.
  • Certyfikacje branżowe: wiedza z 10 wykładów pokrywa zagadnienia certyfikatów Cisco CCNA (200-301) oraz stanowi wstęp do egzaminu CCNP Enterprise (ENCOR 350-401).
  • Nowoczesne paradygmaty: architektury Zero Trust opisane w NIST SP 800-207, Software-Defined Access (SDA) oraz programowalność sieci (Python, Ansible, NETCONF/RESTCONF).
Kompetencje inżyniera sieciowego opierają się na głębokim zrozumieniu standardów technicznych, protokołów komunikacyjnych oraz umiejętności analitycznego myślenia w warunkach awarii. Teoretyczna znajomość modeli hierarchicznych i algorytmów routingu w połączeniu z praktyką laboratoryjną otwiera drogę do projektowania nowoczesnych sieci korporacyjnych. Umożliwia płynne przejście do zaawansowanych zagadnień automatyzacji i architektury zerowego zaufania.
Ścieżki rozwoju i certyfikacje zawodowe inżyniera sieciowego

Współczesna inżynieria sieciowa dynamicznie ewoluuje w stronę programowalności i automatyzacji (NetDevOps). Tradycyjna konfiguracja każdego przełącznika z osobna przez CLI jest zastępowana przez scentralizowane kontrolery programowe (Cisco Catalyst Center) oraz modele danych YANG.

Inżynier, który dogłębnie rozumie mechanikę pakietów, działanie drzewa rozpinającego, algorytm Dijkstry oraz procesy uwierzytelniania, bez trudu odnajdzie się w świecie sieci definiowanych programowo i zachowa konkurencyjność na rynku pracy.

Skróty użyte w tym slajdzie:
CCNA - Cisco Certified Network Associate, podstawowy certyfikat inżynierski potwierdzający wiedzę z zakresu sieci komputerowych.
CCNP - Cisco Certified Network Professional, zaawansowany certyfikat inżynierski z zakresu projektowania i wdrażania sieci.
API - Application Programming Interface, interfejs programistyczny umożliwiający automatyczną wymianę danych między aplikacjami.

18/18

Literatura zalecana i normy techniczne

Zestawienie oficjalnych norm standaryzacyjnych, dokumentów IETF oraz literatury technicznej do samodzielnego pogłębiania wiedzy.

Źródła wiedzy, oficjalne specyfikacje i podręczniki inżynierskie

  • Literatura podstawowa: Paweł Zaręba, Praktyczne projekty sieciowe, rozdziały 11-13 (Bezpieczeństwo i zarządzanie), Helion 2019.
  • Normy międzynarodowe: standard kontroli portów IEEE Std 802.1X-2020 oraz wytyczne normalizacyjne Polskiego Komitetu Normalizacyjnego.
  • Standardy protokołów IETF: specyfikacje uwierzytelniania RFC 2865 (RADIUS), telemetrii RFC 3414 (SNMPv3) oraz rejestracji zdarzeń RFC 5424 (Syslog).
Samodzielne studiowanie oficjalnych dokumentów normalizacyjnych IEEE oraz standardów RFC stanowi kluczowy element warsztatu inżyniera sieciowego. Podręczniki inżynierskie integrują wiedzę teoretyczną z praktycznymi przykładami wdrożeniowymi w środowiskach wieloproducentowych. Umożliwiają weryfikację implementacji sprzętowych i zapobiegają powielaniu błędnych schematów konfiguracyjnych.
Zalecana literatura techniczna, normy IETF i IEEE oraz zakończenie cyklu wykładów

Dziękujemy za poświęcony czas i zaangażowanie w zgłębianie tajników projektowania i wymiarowania sieci klasy Campus. Opanowanie materiału z zakresu okablowania, przełączania L2, redundancji, routingu OSPF oraz wielowarstwowego bezpieczeństwa i monitoringu tworzy solidną podstawę do dalszych sukcesów zawodowych.

Zachęcamy do stałego śledzenia nowych publikacji IETF oraz IEEE i regularnego podnoszenia kwalifikacji w laboratoriach sieciowych. Życzymy powodzenia w realizacji zaawansowanych projektów infrastrukturalnych!

Skróty użyte w tym slajdzie:
RFC - Request for Comments, oficjalny dokument techniczny publikowany przez IETF definiujący standardy Internetu.
IEEE - Institute of Electrical and Electronics Engineers, międzynarodowa organizacja opracowująca normy techniczne.
PKN - Polski Komitet Normalizacyjny, krajowa jednostka normalizacyjna dbająca o zgodność norm w Polsce.

Podgląd okładki książki