Laboratorium: Projektowanie i wymiarowanie sieci Campus

Wykład 3 Projektowanie warstwy dostępowej, segmentacja logiczna, tagging 802.1Q.

Firma "NetSolutions" wprowadza się do nowej siedziby. Jako administrator musisz przygotować infrastrukturę przełączników tak, aby oddzielić ruch działu IT od ruchu działu Sprzedaży. Obecnie wszystkie urządzenia widzą się w jednej domenie rozgłoszeniowej, co powoduje problemy z wydajnością i bezpieczeństwem. Twoim zadaniem jest stworzenie dwóch sieci VLAN i przetestowanie ich separacji. Pamiętaj, że połączenie między switchami musi przenosić tagowane ramki z obu działów. Musisz udowodnić, że stacja z IT nie może pingować stacji ze Sprzedaży bez udziału routera.

• Użycie dwóch przełączników Cisco Catalyst 2960.
• Stworzenie VLAN 10 o nazwie "IT" oraz VLAN 20 o nazwie "Sales" na obu przełącznikach.
• Podłączenie dwóch PC do każdego przełącznika (łącznie 4 stacje).
• Adresacja: IT (192.168.10.0/24), Sales (192.168.20.0/24).
• Konfiguracja portów dostępowych (Access) dla komputerów.
• Konfiguracja łącza typu Trunk (802.1Q) między przełącznikami.
• Wyłączenie nieużywanych portów ze względów bezpieczeństwa.
• Weryfikacja bazy VLAN poleceniem show vlan brief.
• Weryfikacja statusu trunkingu poleceniem show interfaces trunk.
• Test ping między komputerami w tym samym VLANie (powinien działać).
• Test ping między komputerami w różnych VLANach (powinien zawieść).
• Ustawienie opisu interfejsów (description) dla każdego portu.

• Otwórz Cisco Packet Tracer i utwórz nową topologię, przeciągając dwa przełączniki Cisco Catalyst 2960 na obszar roboczy.
• Połącz oba przełączniki ze sobą kablem GigabitEthernet przez port Gig0/1 na każdym z nich.
• Dodaj cztery komputery PC do topologii — po dwa na każdy przełącznik. Połącz je z przełącznikami kablem Copper Straight-Through do portów FastEthernet (np. Fa0/1–Fa0/2).
• Wejdź w tryb konfiguracji pierwszego przełącznika i utwórz VLAN 10 poleceniem vlan 10, następnie nadaj jej nazwę IT poleceniem name IT.
• Analogicznie utwórz VLAN 20 i nadaj jej nazwę Sales poleceniem name Sales. Powtórz te same operacje na drugim przełączniku.
• Przypisz porty dostępowe Fa0/1–Fa0/2 do VLAN 10 (IT) poleceniami switchport mode access oraz switchport access vlan 10.
• Na tym samym przełączniku przypisz porty Fa0/3–Fa0/4 do VLAN 20 (Sales) poleceniem switchport access vlan 20.
• Na porcie Gig0/1 aktywuj tryb trunk poleceniem switchport mode trunk. Powtórz na drugim przełączniku na jego porcie Gig0/1.
• Skonfiguruj adresy IP na komputerach PC: dla IT — np. PC0: 192.168.10.2/24, PC1: 192.168.10.3/24; dla Sales — PC2: 192.168.20.2/24, PC3: 192.168.20.3/24.
• Wyłącz nieużywane porty na obu przełącznikach poleceniem shutdown, aby zabezpieczyć sieć przed nieautoryzowanym dostępem.
• Na każdym porcie ustaw opis (description) opisujący podłączone urządzenie, np. poleceniem description "PC_IT_Dzial".
• Zweryfikuj bazę VLAN poleceniem show vlan brief — powinny widnieć VLAN 10 i VLAN 20 z przypisanymi portami.
• Sprawdź status trunków poleceniem show interfaces trunk — port Gig0/1 powinien być oznaczony jako Trunk.
• Przeprowadź test ping: z PC0 (IT) do PC1 (IT) na tym samym przełączniku — ping powinien się powieść.
• Przeprowadź test ping: z PC0 (VLAN 10) do PC3 (VLAN 20) — ping powinien się nie powieść z powodu izolacji między VLANami.

• Tagging 802.1Q umożliwia przesyłanie wielu sieci VLAN przez pojedyncze fizyczne łącze trunk, co znacząco redukuje liczbę wymaganych kabli i portów między przełącznikami.
• Każda ramka VLAN jest oznaczana 4-bajtowym tagiem zawierającym identyfikator VLAN (VID), co pozwala na jednoznaczную identyfikację przynależności do sieci logicznej.
• Konfiguracja trunku wymaga zgodności protokołu na obu końcach łącza — niezgodność powoduje błędy w komunikacji lub tryb auto-negocjacji.
• Separacja warstwy L2 za pomocą VLAN zapobiega rozprzestrzenianiu się domen broadcast, co zmniejsza obciążenie sieci i poprawia wydajność.
• VLANy umożliwiają logicalzną izolację ruchu różnych działów bez konieczności prowadzenia oddzielnych okablowań fizycznych.
• Bezpieczeństwo sieci wzrasta, gdy ruch różnych grup organizacyjnych jest odizolowany — użytkownicy nie mogą bezpośrednio komunikować się między VLANami bez routera.
• W sieciach campusowych VLANy ułatwiają zarządzanie i skalowanie infrastruktury poprzez grupowanie użytkowników według funkcji organizacyjnej.
• Testowanie komunikacji między VLANami pokazuje, że bez routingu Inter-VLAN ruch jest blokowany na warstwie L2 — potwierdza to skuteczność izolacji.
• Wyłączenie nieużywanych portów switcha minimalizuje ryzyko nieautoryzowanego podłączenia urządzenia do sieci.
• Prawidłowa dokumentacja przydziału portów do VLAN ułatwia późniejsze rozwiązywanie problemów i rozbudowę sieci.

Wykład 4 Projektowanie warstwy dystrybucji, routing Inter-VLAN, SVI.

W poprzednim zadaniu działy były odizolowane, ale teraz firma potrzebuje, aby IT mogło zarządzać urządzeniami w dziale Sprzedaży. Zamiast dodawać fizyczny router, zastosujesz przełącznik wielowarstwowy (L3), który będzie pełnił rolę warstwy dystrybucji. Twoim zadaniem jest skonfigurowanie interfejsów wirtualnych SVI (Switched Virtual Interfaces), które będą bramami domyślnymi dla użytkowników. Musisz zaprojektować sieć tak, aby warstwa dostępu przesyłała ruch do warstwy dystrybucji, gdzie nastąpi decyzja o routingu.

• Użycie jednego przełącznika wielowarstwowego 3560 (Distribution) i dwóch 2960 (Access).
• Konfiguracja routingu na przełączniku 3560 za pomocą komendy 'ip routing'.
• Stworzenie SVI dla VLAN 10 (IP: 192.168.10.1) i VLAN 20 (IP: 192.168.20.1).
• Konfiguracja trunkingu między Access a Distribution.
• Ustawienie bram domyślnych na komputerach PC.
• Weryfikacja tablicy routingu na przełączniku L3 (show ip route).
• Weryfikacja statusu interfejsów VLAN (show ip interface brief).
• Test łączności ping między PC w różnych VLANach (teraz musi działać).
• Użycie polecenia traceroute, aby udokumentować, że routing odbywa się w warstwie dystrybucji.
• Zabezpieczenie dostępu do przełącznika dystrybucyjnego (hasło enable i secret).
• Sprawdzenie statystyk przełączania L3.
• Dokumentacja narzutu procesora podczas intensywnego routingu.

• Umieść w topologii jeden przełącznik wielowarstwowy Cisco 3560 (będzie pełnić rolę Distribution) oraz dwa przełączniki Cisco 2960 (Access).
• Połącz przełączniki 2960 z przełącznikiem 3560 kablem GigabitEthernet przez porty Gig0/1 na każdym z nich.
• W trybie konfiguracji przełącznika 3560 aktywuj routing poleceniem ip routing — bez tego przełącznik nie będzie routować między VLANami.
• Na przełączniku 3560 utwórz VLAN 10 i VLAN 20, a następnie skonfiguruj interfejsy wirtualne SVI poleceniami interface vlan 10 i interface vlan 20.
• Przypisz adresy IP do interfejsów SVI: dla VLAN 10 — 192.168.10.1/24, dla VLAN 20 — 192.168.20.1/24. Upewnij się, że wydałeś polecenie no shutdown.
• Skonfiguruj porty dostępowe na przełącznikach 2960 (Access), przypisując je do odpowiednich VLAN — np. Fa0/1 do VLAN 10, Fa0/2 do VLAN 20.
• Na portach Gig0/1 przełączników 2960 aktywuj tryb trunk, aby przesyłały tagi 802.1Q do przełącznika 3560.
• Na portach Gig0/1 przełącznika 3560 również aktywuj tryb trunk.
• Skonfiguruj komputery PC: dla VLAN 10 przypisz adresy z sieci 192.168.10.0/24 (np. .2) i bramę domyślną 192.168.10.1.
• Na PC w VLAN 20 przypisz adres z sieci 192.168.20.0/24 (np. .2) i bramę domyślną 192.168.20.1.
• Zabezpiecz dostęp do przełącznika 3560, ustawiając hasło enable mode (enable password) oraz hasło do połączeń liniowych (line console, line vty).
• Zweryfikuj tablicę routingu poleceniem show ip route na przełączniku 3560 — powinny widnieć trasy do sieci 192.168.10.0 i 192.168.20.0.
• Sprawdź status interfejsów VLAN poleceniem show ip interface brief — interfejsy SVI powinny mieć status "up/up".
• Przeprowadź test ping z PC w VLAN 10 do PC w VLAN 20 — routing przez SVI powinien się powieść.
• Wykonaj polecenie traceroute z jednego PC do drugiego, aby udokumentować, że pakiety przechodzą przez przełącznik 3560 jako router warstwy dystrybucji.

• Interfejsy SVI (Switched Virtual Interface) umożliwiają routing między VLANami bez potrzeby fizycznego routera — przełącznik L3 przejmuje funkcje routingu.
• Model "Router on a stick" wymaga konfiguracji podinterfejsów na jednym porcie fizycznym, co tworzy pojedynczy punkt awarii; SVI eliminuje to ograniczenie.
• Warstwa dystrybucji jest idealnym miejscem dla routingu Inter-VLAN, ponieważ agreguje ruch ze wszystkich przełączników dostępowych w jednym punkcie.
• Konfiguracja SVI wymaga aktywacji routingu IP (ip routing) na przełączniku wielowarstwowym — bez tego przełącznik działa tylko w warstwie L2.
• Adres IP interfejsu SVI staje się bramą domyślną dla wszystkich hostów w danym VLAN, co upraszcza konfigurację stacji roboczych.
• Topologia z przełącznikiem L3 w warstwie dystrybucji zapewnia lepszą skalowalność niż centralny router, szczególnie w dużych sieciach campusowych.
• Test ping między VLANami potwierdza, że ruch jest przekierowywany przez przełącznik dystrybucyjny — widać to w tablicy routingu.
• Użycie traceroute pozwala zweryfikować ścieżkę pakietu i potwierdzić, że routing odbywa się w warstwie dystrybucji, nie na przełącznikach dostępowych.
• Zabezpieczenie przełącznika dystrybucyjnego hasłami (enable, line console, line vty) jest krytyczne dla bezpieczeństwa całej sieci.
• Monitorowanie procesora podczas intensywnego routingu pokazuje obciążenie przełącznika L3 i pomaga w planowaniu pojemności.

Wykład 3 Spanning Tree Protocol (STP), Wykład 6 Redundancja i dostępność.

W Twojej sieci kampusowej doszło do awarii – po dodaniu nowego przełącznika, cała sieć zwolniła, a użytkownicy skarżą się na brak stabilności połączeń. Podejrzewasz, że protokół STP błędnie wybrał najsłabszy przełącznik jako Root Bridge, co powoduje nieefektywne ścieżki przesyłania danych. Co więcej, komputery podłączone do portów dostępowych zbyt długo czekają na otrzymanie adresu IP (STP blocking). Musisz ręcznie wymusić, aby najważniejszy switch stał się "korzeniem" drzewa rozpiętego oraz zoptymalizować porty dla stacji końcowych.

• Użycie trzech przełączników połączonych w trójkąt (pętla L2).
• Weryfikacja aktualnego Root Bridge poleceniem show spanning-tree.
• Zmiana priorytetu STP na wybranym switchu (Main) na wartość 4096.
• Użycie alternatywnej komendy spanning-tree vlan 1 root primary.
• Konfiguracja technologii PortFast na wszystkich portach PC.
• Włączenie BPDU Guard na portach z PortFast jako zabezpieczenie przed pętlami.
• Obserwacja zmiany stanu portów z Amber na Green (przyspieszenie startu).
• Symulacja awarii łącza i sprawdzenie czasu zbieżności STP.
• Konfiguracja Root Guard na portach downlink do switchy dostępowych.
• Weryfikacja parametrów Hello Time, Forward Delay i Max Age.
• Dokumentacja portów w stanie Blocking (ALTN) na switchach zapasowych.

• Umieść trzy przełączniki Cisco 2960 i połącz je w topologię trójkąta: Switch-Main — Switch-A oraz Switch-Main — Switch-B, a następnie połącz Switch-A ze Switch-B.
• Przejdź do trybu konfiguracji na Switch-Main i sprawdź aktualny Root Bridge poleceniem show spanning-tree — domyślnie może być tożsamy z jednym z przełączników.
• Na Switch-Main ustaw priorytet STP na 4096 dla VLAN 1 poleceniem spanning-tree vlan 1 priority 4096 — wymusza to, aby Switch-Main stał się Root Bridge.
• Alternatywnie użyj polecenia spanning-tree vlan 1 root primary na Switch-Main — automatycznie ustawi on najniższy priorytet.
• Na portach dostępowych przełącznika Switch-A (np. Fa0/1–Fa0/5) włącz PortFast poleceniem spanning-tree portfast.
• Na tych samych portach aktywuj BPDU Guard poleceniem spanning-tree bpduguard enable, aby zablokować pętle w razie podłączenia nieautoryzowanego switcha.
• Na porcie uplink Switch-A do Switch-Main skonfiguruj Root Guard poleceniem spanning-tree guard root — zapobiega przejęciu Root Bridge przez nieautoryzowany switch.
• Sprawdź stany portów poleceniem show spanning-tree na każdym przełączniku — porty na Switch-Main powinny być Designated (DESI), a pętle zablokowane (BLK).
• Odczekaj chwilę i obserwuj zmianę stanu diod portów z Amber na Green — PortFast przyspiesza przejście do stanu Forwarding.
• Symuluj awarię łącza między Switch-Main a Switch-A — przełącznik Switch-A powinien automatycznie przełączyć ruch na łącze z Switch-B.
• Zmierz (lub oszacuj) czas konwergencji STP po awarii — powinien wynosić około 30–50 sekund bez dodatkowych mechanizmów przyspieszających.
• Na Switch-Main sprawdź parametry STP poleceniem show spanning-tree — odczytaj wartości Hello Time, Forward Delay i Max Age.
• Dokumentuj, które porty na Switch-B są w stanie Alternate (ALTN) jako zapasowe ścieżki do Root Bridge.
• Zapisz konfigurację na wszystkich przełącznikach poleceniem copy running-config startup-config.

• Wybór Root Bridge opiera się na najniższym BID (Bridge ID = priorytet + MAC) — użycie najniższego priorytetu (4096) gwarantuje kontrolę nad topologią STP.
• Pozostawienie domyślnych wartości priorytetu (32768) jest ryzykowne, ponieważ przełącznik z najniższą MAC może zostać Root Bridge, co często nie jest urządzeniem o najlepszej wydajności.
• Root Guard na portach downlink zabezpiecza przed przejęciem roli Root Bridge przez nieautoryzowany przełącznik podłączony do sieci dostępowej.
• PortFast przyspiesza przejście portu ze stanu Blocking do Forwarding z 30-50 sekund do kilku sekund, co jest kluczowe dla urządzeń końcowych.
• BPDU Guard na portach z PortFast chroni przed pętlami — jeśli przełącznik podłączony do portu dostępowego wyśle BPDU, port zostanie zablokowany.
• Symulacja awarii łącza pokazuje czas konwergencji STP — bez dodatkowych mechanizmów wynosi około 30-50 sekund, co może powodować przerwy w usługach.
• Parametry Hello Time (domyślnie 2s), Forward Delay (15s) i Max Age (20s) wpływają na szybkość zbieżności STP w przypadku zmian topologii.
• Porty w stanie Alternate (ALTN) pełnią rolę zapasowych ścieżek do Root Bridge i są automatycznie aktywowane w przypadku awarii głównego łącza.
• Polecenie spanning-tree vlan 1 root primary automatycznie ustawia optymalny priorytet — jest prostszą metodą niż ręczne ustawianie wartości.
• Dokumentacja stanów portów (DESI, BLK, ALTN) jest niezbędna do późniejszego rozwiązywania problemów i planowania rozbudowy sieci.

Wykład 3 Agregacja połączeń, Wykład 6 Wysoka dostępność i przepustowość.

Główne łącze między warstwą dostępu a rdzeniem sieci jest przeciążone. Użytkownicy przesyłają coraz więcej danych wideo, co powoduje zatory. Dodatkowo, uszkodzenie jednego kabla powoduje przerwę w dostawie usług na kilka sekund (przeliczanie STP). Jako inżynier sieciowy musisz wdrożyć technologię EtherChannel w celu logicznego połączenia wielu fizycznych linków w jeden wydajny agregat. Wykorzystaj protokół LACP, aby zapewnić dynamiczną negocjację parametrów połączenia.

• Użycie dwóch przełączników i połączenie ich dwoma kablami GigabitEthernet.
• Stworzenie interfejsu logicznego Port-Channel 1.
• Konfiguracja grupy agregacji z użyciem protokołu LACP (channel-group mode active).
• Ustawienie Port-Channel jako Trunk na obu urządzeniach.
• Weryfikacja agregacji poleceniem show etherchannel summary.
• Sprawdzenie statusu interfejsów wewnątrz grupy (status 'P').
• Testowanie odporności: wypięcie jednego z kabli i obserwacja braku utraty pingów.
• Analiza mechanizmu load-balancing wewnątrz agregatu (teoretycznie).
• Konfiguracja opisu na interfejsie Port-Channel.
• Sprawdzenie poprawności współpracy EtherChannel z protokołem STP.
• Dokumentacja sumarycznej przepustowości łącza po agregacji.

• Umieść dwa przełączniki Cisco 2960 w topologii i połącz je dwoma kablami GigabitEthernet — np. Gig0/1 do Gig0/1 oraz Gig0/2 do Gig0/2.
• Przejdź do trybu konfiguracji na pierwszym przełączniku i wprowadź polecenie interface range gig0/1-2, aby skonfigurować oba porty jednocześnie.
• W tym trybie aktywuj tryb trunk na obu portach poleceniem switchport mode trunk, aby agregacja działała dla wielu VLAN.
• Utwórz interfejs Port-Channel 1 poleceniem channel-group 1 mode active — tryb active oznacza, że przełącznik inicjuje negocjację LACP.
• Na drugim przełączniku powtórz te same kroki: zakres portów gig0/1-2, tryb trunk oraz channel-group 1 mode active.
• Przejdź do konfiguracji interfejsu Port-Channel 1 na obu przełącznikach i upewnij się, że jest w trybie trunk poleceniem switchport mode trunk.
• Ustaw opis na interfejsie Port-Channel, np. poleceniem description "EtherChannel_to_Switch2".
• Zweryfikuj utworzenie agregatu poleceniem show etherchannel summary — Port-Channel 1 powinien mieć status P (bundled).
• Sprawdź szczegóły grupy EtherChannel poleceniem show etherchannel port-channel — powinien widnieć tryb LACP i liczba portów.
• Podłącz komputer PC do jednego z przełączników i przeprowadź ciągły ping do hosta podłączonego do drugiego przełącznika.
• Podczas trwającego pingu fizycznie odłącz jeden z kabli łączących przełączniki — ping nie powinien się urwać dzięki mechanizmowi redundancji EtherChannel.
• Sprawdź, czy STP traktuje Port-Channel jako pojedyncze łącze — wykonaj polecenie show spanning-tree na portach objętych agregacją.
• Dokumentuj sumaryczną przepustowość: dwa linki GigabitEthernet dają teoretycznie 2 Gbit/s agregatu (z pewnymi narzutami LACP).
• Zapisz konfigurację na obu przełącznikach poleceniem copy running-config startup-config.

• EtherChannel tworzy logiczny interfejs z wielu fizycznych portów, zwiększając przepustowość i zapewniając redundancję bez pętli STP.
• LACP (Link Aggregation Control Protocol) jest protokołem dynamicznej negocjacji — tryb active inicjuje negocjację, tryb passive tylko odpowiada na żądania.
• W porównaniu do trybu statycznego (ON), LACP automatycznie wykrywa niezgodności konfiguracji i zapobiega błędom wynikającym z ręcznych pomyłek.
• Agregacja dwóch portów GigabitEthernet daje teoretycznie 2 Gbit/s przepustowości, ale narzut protokołu zmniejsza to nieznacznie.
• Podczas awarii jednego kabla EtherChannel automatycznie przełącza ruch na pozostałe porty — ping nie powinien się urwać.
• STP traktuje Port-Channel jako pojedyncze łącze, co eliminuje problem pętli i przyspiesza zbieżność sieci.
• Load-balancing w EtherChannel może odbywać się na podstawie adresu MAC, IP lub portu — rozkład ruchu zależy od algorytmu.
• Konfiguracja Port-Channel jako Trunk umożliwia przenoszenie wielu VLAN przez agregowane łącze.
• Tryb LACP wymaga zgodności na obu końcach — niezgodność powoduje, że agregacja nie zostanie utworzona.
• Dokumentacja sumarycznej przepustowości i zachowania podczas awarii jest kluczowa dla planowania ciągłości usług.

Wykład 4 Distribution Layer Redundancy, Wykład 6 FHRP (First Hop Redundancy Protocol).

W Twoim centrum danych brama domyślna jest krytycznym punktem awarii (Single Point of Failure). Jeśli ruter brzegowy ulegnie awarii, cała sieć traci dostęp do świata zewnętrznego. Postanowiono zakupić drugi, identyczny ruter. Twoim celem jest skonfigurowanie protokołu HSRP, który pozwoli routerom dzielić Wspólny Wirtualny Adres IP (Virtual IP). Komputery w sieci LAN będą konfigurowane z adresem wirtualnym jako ich brama, dzięki czemu awaria jednego z ruterów nie będzie zauważalna dla użytkowników.

• Użycie dwóch ruterów (R1, R2) i jednego switcha dostępowego.
• Adresacja: R1 (192.168.1.2), R2 (192.168.1.3), Virtual IP (192.168.1.1).
• Konfiguracja HSRP (standby 1) na interfejsach LAN routerów.
• Ustawienie R1 jako Active z priorytetem 110.
• Włączenie mechanizmu wywłaszczania (preemption) na R1.
• Weryfikacja stanu HSRP poleceniem show standby.
• Test ping ciągły z PC do adresu zewnętrznego ISP (za routerami).
• Symulacja awarii R1 (shutdown interfejsu) i sprawdzenie czasu przełączenia na R2.
• Analiza wirtualnego adresu MAC stworzonego przez HSRP.
• Ustawienie opóźnienia preemption dla stabilności powrotu routera głównego.
• Monitorowanie komunikatów syslog o zmianie stanu (Active/Standby).

• Umieść w topologii dwa routery Cisco (R1 i R2), jeden przełącznik 2960 (Access Switch) oraz komputer PC. Połącz routery z przełącznikiem, a PC podłącz do przełącznika.
• Na porcie GigabitEthernet każdego routera skonfiguruj adres IP z sieci 192.168.1.0/24: R1 — 192.168.1.2/24, R2 — 192.168.1.3/24.
• Na interfejsie LAN routera R1 aktywuj HSRP grupy 1 poleceniem standby 1 ip 192.168.1.1 — to będzie wirtualny adres bramy.
• Na routerze R1 ustaw priorytet HSRP na 110 poleceniem standby 1 priority 110 — Router R1 stanie się Active.
• Na R1 aktywuj mechanizm wywłaszczania (preemption) poleceniem standby 1 preempt, aby po powrocie R1 natychmiast odzyskał rolę Active.
• Na routerze R2 skonfiguruj HSRP na tym samym interfejsie z tym samym Virtual IP, ale bez modyfikacji priorytetu (domyślnie 100) — R2 będzie w stanie Standby.
• Skonfiguruj komputer PC z adresem IP z sieci 192.168.1.0/24 (np. .10) i bramą domyślną 192.168.1.1 (wirtualny adres HSRP).
• Zweryfikuj stan HSRP poleceniem show standby na obu routerach — R1 powinien mieć stan "Active", R2 — "Standby".
• Sprawdź wirtualny adres MAC generowany przez HSRP poleceniem show standby — wynik będzie w postaci 0000.0c07.acXX (XX to numer grupy szesnastkowo).
• Na komputerze PC uruchom ciągły ping do zewnętrznego adresu IP (np. 8.8.8.8), symulując ruch do Internetu przez routery.
• Zsymuluj awarię R1 — przełącz się do trybu konfiguracji interfejsu LAN routera R1 i wydaj polecenie shutdown.
• Po wyłączeniu R1 obserwuj, że ping na PC nadal działa (lub wraca po kilku sekundach), a na R2 polecenie show standby pokazuje stan "Active".
• Wykonaj polecenie standby 1 preempt delay minimum 10 na R1, aby po powrocie R1 nie wywłaszczał natychmiast — zapobiega to flappingowi.
• Na routerach aktywuj logowanie komunikatów HSRP poleceniem standby logging verbose, a następnie sprawdź logi syslog o zmianach stanu.

• HSRP tworzy wirtualny adres IP i MAC, który jest używany jako brama domyślna — użytkownicy nie muszą znać adresu fizycznego routera.
• Router w stanie Active przetwarza cały ruch do sieci zewnętrznej; router w stanie Standby monitoruje i przejmuje w razie awarii.
• Preemption pozwala routerowi o wyższym priorytecie na odzyskanie roli Active po powrocie do działania — eliminuje to "wąskie gardło" po naprawie.
• Priorytet HSRP (domyślnie 100) — router z wyższym priorytetem (np. 110) zostanie Active, jeśli działa.
• Czas przełączenia na router zapasowy wynosi zazwyczaj kilka sekund — użytkownicy mogą zauważyć krótką przerwę w sieci.
• Wirtualny adres MAC w HSRP ma format 0000.0c07.acXX, gdzie XX to numer grupy w zapisie szesnastkowym.
• Opóźnienie preemption (preempt delay) zapobiega flappingowi — router główny musi działać stabilnie przez określony czas przed przejęciem roli.
• Logowanie stanów HSRP (standby logging) pozwala monitorować przełączenia w syslog — ułatwia diagnozowanie awarii.
• HSRP jest protokołem Cisco (proprietarnym) — w środowiskach wielodostawczych można użyć VRRP (Virtual Router Redundancy Protocol).
• Symulacja awarii (shutdown interfejsu) pozwala zweryfikować poprawność konfiguracji i czas przełączenia.

Wykład 7 Routing dynamiczny, IGP, OSPF Area 0, Link-State.

Sieć kampusowa uniwersytetu rozrasta się o nowe budynki. Ręczne konfigurowanie tras statycznych staje się uciążliwe i ryzykowne – jeden błąd powoduje odcięcie całego budynku. Postanowiono wdrożyć routing dynamiczny OSPF. Twoim zadaniem jest uruchomienie tego protokołu w całym głównym kampusie (obszar szkieletowy Area 0). Każdy budynek posiada własny router, który musi nauczyć się tras do wszystkich pozostałych budynków w sposób automatyczny.

• Użycie co najmniej trzech routerów połączonych szeregowo lub w pętli.
• Dodanie sieci LAN do procesu OSPF (network command).
• Konfiguracja wszystkich interfejsów w Area 0.
• Ustawienie jednoznacznego Router ID dla każdego urządzenia.
• Konfiguracja "Passive Interface" na interfejsach zwróconych do sieci LAN (bezpieczeństwo).
• Weryfikacja ustanowienia sąsiedztwa (show ip ospf neighbor) – stan FULL.
• Sprawdzenie tablicy routingu (show ip route ospf) i poznanych sieci.
• Test łączności end-to-end między najdalszymi budynkami.
• Dokumentacja metryki (kosztu) poszczególnych ścieżek.
• Zmiana kosztu interfejsu (ip ospf cost) i obserwacja zmiany preferowanej ścieżki.
• Analiza bazy danych Link-State (show ip ospf database).

• Umieść co najmniej trzy routery Cisco (np. R1, R2, R3) i połącz je ze sobą kablemi serial lub GigabitEthernet w topologii szeregowej lub pętli.
• Na każdym routerze skonfiguruj adresy IP na interfejsach łączących routery (np. 10.0.0.0/30 dla segmentu R1-R2, 10.0.0.4/30 dla R2-R3).
• Na każdym routerze włącz proces OSPF poleceniem router ospf 1 i przypisz jednoznaczny Router ID, np. router-id 1.1.1.1.
• Za pomocą polecenia network dodaj sieci interfejsów do procesu OSPF w Area 0, np. network 10.0.0.0 0.0.0.3 area 0.
• Na każdym routerze dodaj również sieci LAN do OSPF (np. network 192.168.10.0 0.0.0.255 area 0 dla R1, 192.168.20.0 dla R2, itd.).
• Na interfejsach zwróconych do sieci LAN (np. GigabitEthernet do switcha) aktywuj Passive Interface poleceniem passive-interface g0/0, aby router nie nawiązywał sąsiedztwa OSPF w LAN.
• Zweryfikuj ustanowienie relacji sąsiedztwa OSPF poleceniem show ip ospf neighbor na każdym routerze — z sąsiadami powinien być stan FULL/DROTHER.
• Sprawdź tablicę routingu poleceniem show ip route ospf na każdym routerze — powinny widnieć trasy z oznaczeniem O (Intra-Area) do wszystkich sieci.
• Przeprowadź test ping z komputera w sieci LAN R1 do hosta w sieci LAN R3 — ruch powinien dotrzeć przez routery działające w OSPF.
• Sprawdź metrykę (koszt) tras poleceniem show ip ospf route — router wybiera ścieżkę o najniższym sumarycznym koszcie (cost).
• Zmień koszt interfejsu na jednym z routerów poleceniem ip ospf cost 10 i obserwuj, czy trasa zmieniła się na alternatywną.
• Wyświetl bazę danych Link-State poleceniem show ip ospf database — baza zawiera LSA typu 1 (Router LSA) od każdego routera.
• Zapisz konfigurację na wszystkich routerach poleceniem copy running-config startup-config.

• OSPF używa algorytmu SPF (Shortest Path First) do obliczania najkrótszych ścieżek na podstawie kosztów interfejsów.
• LSDB (Link-State Database) zawiera LSA (Link-State Advertisements) od wszystkich routerów w obszarze — synchronizacja jest kluczowa dla poprawnego działania.
• W sieciach kampusowych OSPF jest preferowany nad RIP, ponieważ oferuje szybszą zbieżność, brak pętli routingu i mniejsze obciążenie sieci aktualizacjami.
• Router ID (RID) identyfikuje router w procesie OSPF — powinien być jednoznaczny; użycie adresu loopback zapewnia stabilność.
• Passive Interface na interfejsach LAN zapobiega nawiązywaniu sąsiedztwa OSPF z urządzeniami końcowymi — oszczędza zasoby.
• Metryka OSPF to sumaryczny koszt (cost) ścieżki — router wybiera trasę o najniższym sumarycznym koszcie.
• Zmiana kosztu interfejsu (ip ospf cost) pozwala sterować rutingiem — kierowanie ruchu na preferowane łącza.
• Sąsiedztwo OSPF przechodzi przez stany: Init → 2-Way → ExStart → Exchange → Loading → Full — stan FULL oznacza pełną wymianę LSA.
• Weryfikacja tablicy routingu (show ip route ospf) pokazuje trasy z oznaczeniem O (Intra-Area) do sieci w tym samym obszarze.
• Baza danych LSA (show ip ospf database) zawiera informacje topologiczne — jest identyczna na wszystkich routerach w obszarze (z wyjątkiem ABR).

Wykład 7 Hierarchiczny OSPF, ABR, Area 0 vs Non-backbone Areas.

Sieć uniwersytecka stała się tak duża, że baza danych LSDB na słabszych routerach w akademikach powoduje ich zawieszanie się. Każda zmiana topologii w jednym budynku wymusza przeliczenie algorytmu SPF na wszystkich routerach w całej sieci. Jako ekspert musisz zoptymalizować sieć, dzieląc ją na obszary (Areas). Area 0 pozostanie rdzeniem, natomiast budynki zostaną przeniesione do Area 1 i Area 2. Twoim zadaniem jest skonfigurowanie routera brzegowego budynku jako Area Border Router (ABR) i sprawdzenie, jak ograniczy to rozprzestrzenianie się szczegółowych informacji o topologii.

• Użycie trzech routerów: Backbone-R, Building1-ABR, Building2-ABR.
• Konfiguracja interfejsów łączących ABR z Backbone w Area 0.
• Konfiguracja interfejsów LAN w Area 1 (Building 1) i Area 2 (Building 2).
• Weryfikacja roli routera ABR poleceniem show ip ospf.
• Sprawdzenie tablicy routingu i odszukanie tras IA (Inter-Area).
• Monitorowanie bazy danych (show ip ospf database) i analiza typów LSA (typ 3).
• Test łączności między Area 1 a Area 2.
• Konfiguracja sumaryzacji tras na ABR (area 1 range ...) w celu optymalizacji.
• Analiza wpływu podziału na obszary na stabilność rdzenia sieci.
• Zastosowanie uwierzytelniania MD5 dla sesji OSPF między obszarami.
• Dokumentacja różnic w tablicy routingu przed i po podziale na obszary.

• Umieść trzy routery Cisco: Backbone-R (rdzeń, Area 0), Building1-ABR (router brzegowy budynku 1, Area 0 + Area 1) oraz Building2-ABR (router brzegowy budynku 2, Area 0 + Area 2).
• Połącz Backbone-R z Building1-ABR kablem przez interfejs, który będzie w Area 0. Podobnie połącz Backbone-R z Building2-ABR.
• Na routerze Building1-ABR skonfiguruj OSPF: interfejs do Backbone przypisz do Area 0, a interfejs LAN do Area 1 poleceniem network z odpowiednim wildcardem.
• Na routerze Building2-ABR skonfiguruj OSPF: interfejs do Backbone przypisz do Area 0, a interfejs LAN do Area 2.
• Na routerze Backbone-R przypisz wszystkie interfejsy do Area 0 — rdzeń nie może należeć do obszaru innego niż 0.
• Zweryfikuj rolę routera ABR poleceniem show ip ospf na Building1-ABR i Building2-ABR — powinno widnieć "This router is an Area Border Router".
• Sprawdź tablicę routingu poleceniem show ip route — trasy z Area 1 i Area 2 powinny mieć oznaczenie IA (Inter-Area).
• Wyświetl bazę danych OSPF poleceniem show ip ospf database i zidentyfikuj LSA typu 3 (Summary LSA) generowane przez ABR-y do Area 0.
• Przeprowadź test ping z hosta w Area 1 do hosta w Area 2 — pakiety muszą przejść przez Backbone (Area 0).
• Na Building1-ABR skonfiguruj sumaryzację tras poleceniem area 1 range 192.168.0.0 255.255.0.0 — redukuje to liczbę wpisów LSA w Area 0.
• Włącz uwierzytelnianie MD5 dla sesji OSPF między routerami poleceniem ip ospf authentication message-digest na interfejsach łączących.
• Skonfiguruj klucz uwierzytelniania poleceniem area 0 authentication message-digest na każdym routerze w Area 0.
• Porównaj tablicę routingu przed i po sumaryzacji — po sumaryzacji trasa do całej sieci 192.168.x.x zastępuje wiele pojedynczych wpisów.
• Zapisz konfigurację na wszystkich routerach poleceniem copy running-config startup-config.

• W OSPF wszystkie obszary muszą być fizycznie lub logicznie połączone z Area 0 (Backbone) — reguła tzw. "backbone continuity".
• ABR (Area Border Router) filtruje LSA typu 3 (Summary LSA), redukując rozprzestrzenianie się informacji o topologii między obszarami.
• Podział na obszary zmniejsza obciążenie CPU routerów — każdy router przelicza SPF tylko dla swojego obszaru, nie dla całej sieci.
• Podział na obszary zmniejsza rozmiar LSDB na routerach w obszarach peryferyjnych — oszczędza RAM, co jest kluczowe na słabszych urządzeniach.
• Trasy między obszarami (IA) w tablicy routingu oznaczają, że ruch przechodzi przez ABR — trasa nie jest bezpośrednio widoczna w obszarze.
• Sumaryzacja tras na ABR (area range) agreguje wiele tras do jednej — redukuje liczbę wpisów LSA w Area 0 i zmniejsza tablicę routingu.
• LSA typu 3 generowane przez ABR zawierają informacje o sieciach w obszarze podrzędnym — umożliwiają routing między obszarami.
• Uwierzytelnianie MD5 sesji OSPF między obszarami zabezpiecza przed atakami na protokół routingu.
• Porównanie tablicy routingu przed i po sumaryzacji pokazuje różnicę — wiele pojedynczych tras zastępowanych jest jedną sumaryczną.
• Zmiana topologii w jednym obszarze nie wymusza przeliczenia SPF w całej sieci — zwiększa to stabilność i wydajność.

Wykład 10 Zarządzanie siecią, automatyzacja adresacji, DHCP Relay.

Użytkownicy w nowym skrzydle biurowca skarżą się na konieczność ręcznego ustawiania adresów IP. Firma posiada jeden centralny router w serwerowni, który ma pełnić rolę serwera DHCP dla wszystkich podsieci. Jednak komputery znajdują się w innej podsieci, oddzielone od serwera przez router warstwy dystrybucji. Twoim zadaniem jest skonfigurowanie serwera DHCP na ruterze głównym oraz mechanizmu DHCP Relay Agent na ruterze pośredniczącym, aby zapytania rozgłoszeniowe (Broadcast) mogły dotrzeć do serwera w innej sieci.

• Konfiguracja puli adresów (ip dhcp pool) na ruterze centralnym.
• Wykluczenie adresów statycznych (ip dhcp excluded-address) bram i serwerów.
• Ustawienie parametrów: network, default-router, dns-server, domain-name.
• Konfiguracja 'ip helper-address' na interfejsie routera dystrybucyjnego (Relay Agent).
• Weryfikacja otrzymania adresu IP przez komputery PC (DHCP Success).
• Sprawdzenie aktywnych dzierżaw poleceniem show ip dhcp binding.
• Monitorowanie konfliktów adresów (show ip dhcp conflict).
• Analiza pakietów DHCP (Discover-Offer-Request-Ack) w trybie symulacji.
• Ustawienie czasu dzierżawy (lease time) na 24 godziny.
• Zabezpieczenie serwera przed atakami wyczerpania puli (Starvation).
• Dokumentacja poprawności przypisania opcji DHCP (np. DNS).

• Umieść w topologii router główny (Server Router), router dystrybucyjny (Distribution Router) z interfejsem do sieci LAN, przełącznik oraz komputer PC.
• Na routerze głównym skonfiguruj pulę DHCP poleceniem ip dhcp pool LAN_USERS i przypisz sieć poleceniem network 192.168.10.0 255.255.255.0.
• Na routerze głównym ustaw bramę domyślną dla puli poleceniem default-router 192.168.10.1 — adres ten musi być adresem interfejsu routera dystrybucyjnego.
• Skonfiguruj serwer DNS dla puli poleceniem dns-server 8.8.8.8 oraz nazwę domenową poleceniem domain-name firma.pl.
• Wyklucz adresy zarezerwowane (brama, serwery) poleceniem ip dhcp excluded-address 192.168.10.1 192.168.10.10 — router nie przydzieli ich klientom.
• Ustaw czas dzierżawy na 24 godziny poleceniem lease time 0 1 0 (format days:hours:minutes).
• Na routerze dystrybucyjnym aktywuj mechanizm Relay Agent — na interfejsie LAN wydaj polecenie ip helper-address 10.1.1.1 (adres routera głównego).
• Na routerze głównym skonfiguruj interfejs z adresem IP z sieci WAN, np. 10.1.1.1/30.
• Upewnij się, że routing IP jest włączony na obu routerach (ip routing) oraz że trasy statyczne lub OSPF propagują sieć 192.168.10.0.
• Na komputerze PC włącz tryb Desktop → IP Configuration i wybierz DHCP — komputer powinien automatycznie otrzymać adres IP.
• Zweryfikuj dzierżawy na serwerze DHCP poleceniem show ip dhcp binding — powinien widnieć wpis z adresem MAC komputera i przyznanym IP.
• Sprawdź konflikty adresów poleceniem show ip dhcp conflict — lista powinna być pusta, jeśli nie było kolizji.
• Przeprowadź analizę pakietów DHCP w trybie symulacji: włącz Simulation Mode i wykonaj odnowienie DHCP (ipconfig /renew) — powinny widnieć pakiety Discover, Offer, Request i Ack.
• Zabezpiecz serwer DHCP przed atakiem wyczerpania puli — aktywuj limity szybkości na porcie switcha lub użyj Port Security.
• Na komputerze PC wykonaj polecenie ipconfig /all i sprawdź, czy otrzymane dane zawierają prawidłowy adres IP, bramę domyślną i serwer DNS.

• Zapytanie DHCP Discover jest broadcast (adres MAC ff:ff:ff:ff:ff:ff i adres IP 255.255.255.255) — nie przechodzi przez router bez konfiguracji Relay.
• IP Helper Address (ip helper-address) na routerze konwertuje broadcast na unicast i przesyła do określonego adresu IP serwera DHCP.
• Różnica między broadcast a unicast polega na tym, że broadcast jest rozgłaszany w całej sieci lokalnej, a unicast trafia do konkretnego hosta.
• Konfiguracja ip helper-address umożliwia serwowanie DHCP dla wielu podsieci z jednego centralnego serwera — oszczędza zasoby i upraszcza zarządzanie.
• Pula DHCP musi mieć wykluczone adresy (ip dhcp excluded-address) dla urządzeń o statycznych adresach — zapobiega konfliktom.
• Opcje DHCP (default-router, dns-server, domain-name) są przesyłane do klienta w pakiecie DHCP Offer/Ack — konfigurują podstawowe parametry sieci.
• Czas dzierżawy (lease time) określa, jak długo klient może używać adresu — po wygaśnięciu musi odnowić (DHCP Request).
• Analiza pakietów DHCP (Discover-Offer-Request-Ack) w trybie symulacji pozwala zrozumieć proces przydzielania adresu.
• Konflikty adresów (show ip dhcp conflict) mogą wystąpić, gdy serwer przydzieli adres, który jest już używany — wymagają ręcznego rozwiązania.
• Zabezpieczenie przed atakiem wyczerpania puli (DHCP Starvation) wymaga Port Security lub limitów szybkości na porcie.

Wykład 8 Bezpieczeństwo warstwy 2, access control, Port Security.

Zauważono, że nieautoryzowane osoby podłączają swoje laptopy do gniazdek sieciowych w sali konferencyjnej, uzyskując dostęp do wewnętrznych zasobów firmy. Dyrekcja wymaga zablokowania możliwości podłączania obcych urządzeń. Twoim zadaniem jest skonfigurowanie zabezpieczeń na portach przełączników tak, aby każdy port akceptował tylko jedno, konkretne urządzenie (na podstawie adresu MAC). Wykorzystaj mechanizm "Sticky MAC", aby przełącznik sam nauczył się poprawnych adresów i zapamiętał je na stałe w konfiguracji.

• Włączenie port-security na interfejsach dostępowych switcha.
• Ustawienie maksymalnej liczby adresów MAC na 1.
• Konfiguracja uczenia się adresów metodą 'mac-address sticky'.
• Ustawienie trybu naruszenia (violation) na 'shutdown'.
• Próba podłączenia laptopa hakera (wymiana urządzenia na porcie).
• Weryfikacja zablokowania portu (stan err-disabled).
• Weryfikacja listy bezpiecznych adresów poleceniem show port-security address.
• Przywrócenie działania portu po naruszeniu (shutdown / no shutdown).
• Konfiguracja czasu wygasania wpisów (aging time).
• Włączenie trybu naruszenia 'violation restrict' lub 'violation protect'.
• Dokumentacja komunikatów w konsoli podczas wykrycia intruza.

• Umieść w topologii przełącznik Cisco 2960, podłącz do niego komputer PC oraz drugi laptop (atakujący). Przełącznik połącz kablem z routerem.
• Na przełączniku wejdź w tryb konfiguracji portu dostępowego, np. interface fa0/1.
• Wydaj polecenie switchport mode access, aby port pracował jako dostępowy.
• Aktywuj Port Security poleceniem switchport port-security — bez tego pozostałe ustawienia nie zadziałają.
• Ustaw maksymalną liczbę dozwolonych adresów MAC na tym porcie na 1 poleceniem switchport port-security maximum 1.
• Włącz mechanizm Sticky MAC poleceniem switchport port-security mac-address sticky — przełącznik automatycznie zapamięta aktualnie podłączone urządzenie.
• Ustaw tryb naruszenia na shutdown poleceniem switchport port-security violation shutdown — port zostanie zablokowany po naruszeniu.
• Podłącz komputer PC do portu Fa0/1 — przełącznik nauczy się adresu MAC i przypisze go do konfiguracji jako sticky.
• Sprawdź listę bezpiecznych adresów poleceniem show port-security address — powinien widnieć adres MAC komputera PC przypisany do portu Fa0/1.
• Zastąp komputer PC laptopem atakującym (odłącz PC i podłącz laptop) — przełącznik wykryje naruszenie i zablokuje port (stan err-disabled).
• Obserwuj komunikaty w konsoli przełącznika: "%PORT-SECURITY-2: VIOLATION" — sygnalizują one wykrycie naruszenia.
• Aby przywrócić port do działania, wydaj polecenia shutdown a następnie no shutdown na zablokowanym porcie.
• Przetestuj tryb naruszenia restrict — wydaj polecenie switchport port-security violation restrict. Port pozostanie aktywny, ale pakiety intruza będą dropped.
• Przetestuj tryb naruszenia protect — port nie zostanie zablokowany, lecz pakiety intruza będą filtrowane bez powiadomienia.
• Skonfiguruj czas wygasania wpisów Sticky MAC poleceniem switchport port-security aging time 60 — adres wygasa po 60 minutach.
• Zapisz konfigurację przełącznika poleceniem copy running-config startup-config.

• Tryb Shutdown (domyślny) jest najbardziej restrykcyjny — port jest całkowicie zablokowany (err-disabled) po wykryciu naruszenia.
• Tryb Restrict blokuje pakiety intruza, ale port pozostaje aktywny — pakiety są odrzucane, licznik naruszeń rośnie.
• Tryb Protect filtruje pakiety intruza bez powiadomienia — port pozostaje aktywny, ale nie ma logowania naruszeń.
• Sticky MAC automatycznie uczy się adresu MAC podłączonego urządzenia i zapisuje go w konfiguracji — nie wymaga ręcznego wprowadzania.
• Po wykryciu naruszenia port przechodzi w stan err-disabled — wymaga ręcznego przywrócenia (shutdown/no shutdown).
• Konfiguracja maximum 1 adresu MAC na porcie dostępowym zapobiega podłączaniu hubów lub switchy z wieloma urządzeniami.
• BPDU Guard w połączeniu z PortSecurity chroni przed pętlami i nieautoryzowanymi switchami na portach dostępowych.
• Aging time określa, kiedy wpisy Sticky MAC wygasają — pozwala na rotację urządzeń bez ręcznego czyszczenia.
• Komunikaty w konsoli (%PORT-SECURITY-2: VIOLATION) informują o naruszeniu — ułatwiają wykrycie ataku.
• Dokumentacja prób naruszenia pozwala zidentyfikować miejsca wymagające dodatkowego nadzoru fizycznego.

Wykład 8 Listy kontroli dostępu (ACL), filtrowanie ruchu IP.

Zarząd firmy zdecydował o ograniczeniu dostępu do serwera Księgowości. Tylko komputery z działu Kadr powinny mieć możliwość łączenia się z tym serwerem. Ruch z pozostałych działów (np. Produkcja, Goście) musi zostać zablokowany na poziomie routera. Musisz stworzyć standardową listę ACL, która będzie filtrować pakiety na podstawie źródłowego adresu IP. Pamiętaj o zasadzie "Top-to-Bottom" oraz o ukrytej regule 'deny any' na końcu każdej listy.

• Stworzenie numerowanej (1-99) lub nazwanej standardowej ACL.
• Zezwolenie na ruch z podsieci Kadr (192.168.30.0/24).
• Zablokowanie ruchu z podsieci Gości (192.168.40.0/24).
• Zastosowanie listy ACL na odpowiednim interfejsie routera (inbound/outbound).
• Weryfikacja dopasowań poleceniem show access-lists.
• Test ping z różnych podsieci i analiza wyników.
• Ustalenie najbardziej optymalnego miejsca przyłożenia ACL (zasada: blisko celu).
• Użycie słowa kluczowego 'any' lub 'host' dla precyzji reguł.
• Monitorowanie trafień (matches) dla każdej reguły.
• Zapewnienie komentarzy (remark) wewnątrz ACL dla czytelności.
• Przygotowanie planu wycofania zmian w razie blokady ruchu krytycznego.

• Umieść w topologii router Cisco, przełącznik 2960 oraz trzy komputery PC: PC-Kadry (192.168.30.2), PC-Gosci (192.168.40.2) oraz SerwerKsiegowosci (192.168.1.100).
• Połącz komputery z przełącznikiem, a przełącznik z routerem kablem GigabitEthernet do portu Gig0/0.
• Na routerze skonfiguruj adres IP na interfejsie Gig0/0 jako 192.168.1.1/24.
• Na routerze Gig0/1 skonfiguruj podsieci Kadr i Gości (np. 192.168.30.1/24 i 192.168.40.1/24) — każda może być na osobnym sub-interfejsie lub VLAN.
• Stwórz standardową listę ACL numer 10 poleceniem access-list 10 permit 192.168.30.0 0.0.0.255 — zezwala na ruch z działu Kadr.
• Zablokuj ruch z sieci Gości poleceniem access-list 10 deny 192.168.40.0 0.0.0.255 — mimo że domyślna reguła deny any istnieje, jawnie zapisz to dla czytelności.
• Dodaj regułę zezwalającą na cały pozostały ruch poleceniem access-list 10 permit any — bez niej cały ruch zostanie zablokowany.
• Dodaj komentarz do listy ACL poleceniem remark Lista ACL dla serwera ksiegowosci — zwiększa czytelność konfiguracji.
• Na interfejsie routera skierowanym w stronę SerwerKsiegowosci zastosuj listę ACL w kierunku outbound poleceniem ip access-group 10 out — ACL blokuje pakiety wychodzące (blisko celu).
• Zweryfikuj listę ACL poleceniem show access-lists 10 — sprawdź liczniki matches dla każdej reguły.
• Przeprowadź test ping z PC-Kadry do SerwerKsiegowosci — ping powinien się powieść (reguła permit 192.168.30.0).
• Przeprowadź test ping z PC-Gosci do SerwerKsiegowosci — ping powinien się nie powieść (reguła deny 192.168.40.0).
• Jeśli chcesz zezwolić na ruch tylko do konkretnego hosta, użyj słowa kluczowego host, np. access-list 10 permit host 192.168.30.5.
• Przygotuj plan wycofania: aby usunąć całą listę ACL, wydaj polecenie no access-list 10.
• Zapisz konfigurację routera poleceniem copy running-config startup-config.

• Wildcard Mask (maska blankietowa) działa odwrotnie do subnetmaski — 0 oznacza dokładne dopasowanie, 255 oznacza "dowolne".
• Standardowe ACL filtrują na podstawie adresu źródłowego — dlatego należy je umieszczać jak najbliżej celu (destination), aby nie blokować zbędnego ruchu.
• Zasada "top-to-bottom" oznacza, że reguły są sprawdzane od góry do dołu — pierwsza pasująca reguła decyduje o akcji (permit/deny).
• Ukryta reguła "deny any" na końcu każdej ACL blokuje cały ruch, który nie pasuje do żadnej reguły — wymaga jawnego "permit any" dla ruchu dozwolonego.
• Słowo kluczowe "host" zastępuje maskę 0.0.0.0 dla pojedynczego adresu — upraszcza składnię reguł.
• ACL applied as outbound na interfejsie bliskim celu chroni sieć docelową przed niechcianym ruchem.
• Liczniki matches w show access-lists pokazują, które reguły są używane — pomaga w walidacji i optymalizacji ACL.
• Remark (komentarz) wewnątrz ACL zwiększa czytelność i ułatwia zarządzanie w środowisku wieloużytkownikowym.
• Plan wycofania zmian (no access-list) jest niezbędny na wypadek blokady krytycznego ruchu.
• Weryfikacja ping z różnych podsieci pozwala potwierdzić działanie ACL przed wdrożeniem produkcyjnym.

Wykład 8 Zaawansowane listy ACL, filtrowanie protokołów i portów TCP/UDP.

Firma udostępniła nową aplikację webową (HTTP na porcie 80) na serwerze wewnętrznym. Jednak ze względów bezpieczeństwa, dostęp do serwera przez protokół ICMP (ping) powinien zostać całkowicie zablokowany, aby ukryć urządzenie przed skanowaniem. Dodatkowo, tylko administratorzy z podsieci IT mogą łączyć się z serwerem przez SSH (port 22). Twoim zadaniem jest stworzenie rozszerzonej listy ACL, która będzie analizować nie tylko adresy IP, ale również numery portów i typy protokołów warstwy transportowej.

• Stworzenie nazwanej rozszerzonej listy ACL (np. ACL_WEB_SERVER).
• Zezwolenie na ruch HTTP (tcp 80) z dowolnego źródła do serwera.
• Zezwolenie na ruch SSH (tcp 22) tylko z podsieci IT (192.168.10.0/24).
• Zablokowanie ruchu ICMP (echo, echo-reply) do serwera.
• Ustalenie najbardziej optymalnego miejsca przyłożenia ACL (zasada: blisko źródła).
• Weryfikacja działania za pomocą narzędzi w PC: Web Browser (powinien działać) i Command Prompt (ping powinien zawieść).
• Analiza komunikatów 'Destination Unreachable'.
• Sprawdzenie liczników trafień (show access-lists) dla specyficznych portów.
• Zapewnienie przepływu ruchu powrotnego (Established - teoretycznie).
• Dokumentacja struktury ACL i uzasadnienie kolejności wpisów.
• Testowanie dostępu SSH z różnych stacji roboczych.

• Umieść w topologii router Cisco, przełącznik 2960, serwer wewnętrzny (10.1.1.100) oraz dwa komputery PC: PC-IT (192.168.10.2) i PC-Gosci (192.168.20.2).
• Na routerze skonfiguruj interfejs LAN z adresem 10.1.1.1/24 oraz interfejsy do podsieci IT i Gości.
• Wejdź w tryb konfiguracji rozszerzonej listy ACL poleceniem ip access-list extended ACL_WEB_SERVER.
• Dodaj regułę zezwalającą na ruch HTTP (port 80) z dowolnego źródła do serwera: permit tcp any host 10.1.1.100 eq 80.
• Dodaj regułę zezwalającą na SSH (port 22) tylko z podsieci IT: permit tcp 192.168.10.0 0.0.0.255 host 10.1.1.100 eq 22.
• Zablokuj ruch ICMP do serwera poleceniem deny icmp any host 10.1.1.100 — uniemożliwia to pingowanie serwera.
• Dodaj regułę permit ip any any na końcu listy, aby nie blokować całego pozostałego ruchu.
• Na interfejsie routera skierowanym w stronę serwera zastosuj listę ACL w kierunku inbound poleceniem ip access-group ACL_WEB_SERVER in — blokuje pakiety blisko źródła.
• Na komputerze PC-Gosci użyj przeglądarki i spróbuj otworzyć http://10.1.1.100 — powinien działać (HTTP dozwolone).
• Na tym samym PC użyj Command Prompt i wykonaj ping 10.1.1.100 — ping powinien się nie powieść (ICMP zablokowane).
• Na PC-IT spróbuj połączyć się przez SSH do 10.1.1.100 (jeśli serwer obsługuje SSH) — powinien działać (SSH dozwolone tylko z IT).
• Sprawdź liczniki trafień poleceniem show access-lists ACL_WEB_SERVER — każda reguła powinna mieć inną liczbę matches.
• Przeanalizuj zachowanie mechanizmu Established — jeśli chcesz zezwolić tylko na odpowiedzi sesji, użyj słowa kluczowego established w regule TCP.
• Dokumentuj strukturę listy ACL i uzasadnij kolejność wpisów — konkretne reguły (np. permit eq 80) muszą poprzedzać ogólne (permit ip any any).
• Zapisz konfigurację routera poleceniem copy running-config startup-config.

• Rozszerzone ACL pozwalają na filtrowanie na podstawie adresu źródłowego, docelowego, protokołu i numeru portu — większa precyzja.
• Filtrowanie ruchu 'inbound' (na wejściu) blokuje pakiety wcześniej, oszczędzając zasoby routera — blisko źródła.
• Filtrowanie ruchu 'outbound' (na wyjściu) jest stosowane blisko celu — chroni zasoby docelowe przed niechcianym ruchem.
• Słowo kluczowe "eq" określa konkretny port — np. eq 80 dla HTTP, eq 22 dla SSH.
• Mechanizm "established" w regule TCP pozwala tylko na odpowiedzi sesji — wymaga wcześniejszego pakietu SYN.
• Kolejność reguł w rozszerzonej ACL jest krytyczna — konkretne reguły (permit eq 80) muszą poprzedzać ogólne (permit ip any any).
• Blokada ICMP (ping) ukrywa serwer przed skanowaniem — utrudnia ataki typu reconnaissance.
• SSH dozwolone tylko z określonej podsieci (IT) zapewnia bezpieczny dostęp administracyjny z zaufanych lokalizacji.
• Web Browser w PT pozwala testować dostęp HTTP/HT TPS — potwierdza, że serwis działa pomimo blokady ICMP.
• Dokumentacja struktury ACL ułatwia późniejsze modyfikacje i rozwiązywanie problemów z dostępem.

Wykład 8 Bezpieczeństwo LAN, ataki Man-in-the-Middle, DHCP Spoofing.

W Twojej sieci pojawił się "zły" serwer DHCP (Rogue DHCP), który przydziela użytkownikom fałszywe adresy IP i bramy domyślne, kierując ich ruch przez komputer atakującego. Dodatkowo, podejrzewasz ataki typu ARP Poisoning. Jako administrator musisz zabezpieczyć przełączniki warstwy dostępowej. Twoim zadaniem jest wdrożenie funkcji DHCP Snooping, która pozwoli na otrzymywanie ofert DHCP tylko z zaufanych portów (Trusted), oraz Dynamic ARP Inspection (DAI), która będzie weryfikować poprawność pakietów ARP na podstawie bazy danych stworzonej przez DHCP Snooping.

• Globalne włączenie 'ip dhcp snooping' na switchu.
• Wskazanie portu prowadzącego do legalnego serwera jako 'trust'.
• Włączenie DHCP Snooping dla konkretnego VLANu.
• Włączenie 'ip arp inspection vlan' dla tych samych sieci.
• Wskazanie portu trunk/uplink jako 'ip arp inspection trust'.
• Próba ataku: podłączenie drugiego serwera DHCP do portu untrusted.
• Weryfikacja bazy danych powiązań poleceniem show ip dhcp snooping binding.
• Sprawdzenie statystyk odrzuconych pakietów ARP (show ip arp inspection statistics).
• Zapewnienie, że legalni użytkownicy mogą poprawnie uzyskać adresy i komunikować się.
• Konfiguracja limitów pakietów DHCP/ARP na sekundę dla ochrony CPU switcha.
• Dokumentacja logów systemowych po zablokowaniu złośliwego pakietu.

• Umieść w topologii przełącznik Cisco 2960, legalny serwer DHCP (np. router pełniący rolę serwera DHCP), laptop PC oraz drugi laptop (atakujący Rogue DHCP).
• Połącz legalny serwer DHCP z przełącznikiem przez port GigabitEthernet Gig0/1.
• Podłącz laptop PC do przełącznika przez port FastEthernet Fa0/1.
• Na przełączniku w trybie konfiguracji globalnej aktywuj DHCP Snooping poleceniem ip dhcp snooping.
• Włącz DHCP Snooping dla VLAN 10 poleceniem ip dhcp snooping vlan 10 — bez tego na wybranym VLANie funkcja nie będzie działać.
• Na porcie Gig0/1 (prowadzącym do legalnego serwera) ustaw port jako trusted poleceniem ip dhcp snooping trust — tylko zaufane porty mogą wysyłać pakiety DHCP Offer.
• Porty Fa0/1 (do PC) pozostaw jako domyślne (untrusted) — przełącznik zablokuje odpowiedzi DHCP z tych portów.
• Włącz Dynamic ARP Inspection dla tego samego VLAN poleceniem ip arp inspection vlan 10.
• Na porcie Gig0/1 ustaw port jako trusted dla ARP Inspection poleceniem ip arp inspection trust.
• Na laptopie PC skonfiguruj tryb DHCP i wykonaj odnowienie adresu IP — komputer powinien otrzymać adres od legalnego serwera DHCP.
• Zweryfikuj bazę powiązań DHCP Snooping poleceniem show ip dhcp snooping binding — powinien widnieć wpis z adresem IP, adresem MAC i portem PC.
• Podłącz laptop atakującego do portu Fa0/2 (untrusted) i skonfiguruj go jako Rogue DHCP — przełącznik powinien zablokować jego odpowiedzi DHCP.
• Sprawdź statystyki ARP Inspection poleceniem show ip arp inspection statistics — powinny widnieć liczniki odrzuconych pakietów ARP (jeśli takie wystąpią).
• Skonfiguruj limity pakietów DHCP/ARP na sekundę poleceniem ip dhcp snooping limit rate 10 na portach untrusted — chroni to CPU przełącznika przed przeciążeniem.
• Aktywuj logowanie na przełączniku poleceniem logging on i sprawdź komunikaty syslog o zablokowanych złośliwych pakietach.
• Zapisz konfigurację przełącznika poleceniem copy running-config startup-config.

• DHCP Snooping tworzy tablicę powiązań (binding table) — mapuje adres IP, MAC, port i VLAN dla każdego klienta DHCP.
• DAI (Dynamic ARP Inspection) wykorzystuje tablicę DHCP Snooping do weryfikacji adresów IP w pakietach ARP.
• Porty "Trusted" mogą wysyłać i odbierać pakiety DHCP Offer/ARP bez ograniczeń — powinny to być porty do routerów i innych switchy.
• Porty "Untrusted" blokują odpowiedzi DHCP od nieautoryzowanych serwerów — zapobiega to atakom Rogue DHCP Server.
• Atakujący podłączony do portu untrusted nie może przydzielić fałszywych adresów IP — ruch jest blokowany na poziomie przełącznika.
• Konfiguracja ip dhcp snooping limit rate chroni CPU przed atakami typu DHCP Starvation — ogranicza pakiety na sekundę.
• ip arp inspection trust na portach uplink zapewnia, że pakiety ARP od innych switchy są akceptowane bez weryfikacji.
• Logi syslog po zablokowaniu złośliwego pakietu zawierają informacje o źródle i typie naruszenia — ułatwiają diagnozowanie.
• Statystyki show ip arp inspection statistics pokazują liczbę odrzuconych pakietów ARP — wskazują na próby ataku.
• Włączenie DHCP Snooping i DAI na wielu VLANach jednocześnie upraszcza konfigurację w dużych sieciach.

Wykład 9 Sieci WLAN, architektura Lightweight AP, WLC.

Kampus uniwersytecki musi zapewnić WiFi dla studentów i wykładowców w trzech różnych budynkach. Zamiast konfigurować każdy punkt dostępowy z osobna, zdecydowano o wdrożeniu kontrolera Wireless LAN Controller (WLC) i punktów Lightweight AP. Twoim zadaniem jest skonfigurowanie kontrolera tak, aby punkty dostępowe automatycznie się do niego przyłączyły, oraz stworzenie dwóch sieci bezprzewodowych (SSID): "Student-Net" (z uwierzytelnianiem WPA2-PSK) oraz "Staff-Net" (w dedykowanym VLANie). Musisz zapewnić, aby studenci nie mieli dostępu do zasobów przeznaczonych dla pracowników.

• Użycie kontrolera WLC 2504 i dwóch punktów dostępowych Lightweight.
• Konfiguracja Management Interface na WLC.
• Konfiguracja interfejsu trunk na switchu do którego podpięty jest WLC.
• Stworzenie dwóch sieci WLAN na kontrolerze.
• Ustawienie zabezpieczeń WPA2-PSK dla SSID Student-Net.
• Mapowanie SSID do odpowiednich interfejsów VLAN.
• Weryfikacja statusu punktów AP na kontrolerze (Connected).
• Podłączenie bezprzewodowego laptopa do wybranej sieci.
• Sprawdzenie otrzymania adresu IP z DHCP dla sieci bezprzewodowej.
• Test ping między laptopem a ruterem brzegowym.
• Analiza różnic między siecią autonomiczną a zarządzaną centralnie.

• Umieść w topologii kontroler WLC 2504, dwa punkty dostępowe Lightweight AP (LAP), przełącznik 2960 (połączony z WLC) oraz laptop bezprzewodowy z kartą WiFi.
• Połącz port Management kontrolera WLC do przełącznika kablem Ethernet — kontroler zarządza AP przez sieć przewodową.
• Na przełączniku skonfiguruj porty do WLC i LAP jako trunk, aby przenosiły wiele VLAN (polecenia switchport mode trunk).
• Utwórz na WLC dwa interfejsy VLAN: jeden dla Student-Net (VLAN 10) i jeden dla Staff-Net (VLAN 20) w zakładce WLANs → Interfaces.
• Na WLC skonfiguruj interfejs Management z adresem IP (np. 192.168.1.10/24) i bramą domyślną wskazującą na router.
• Przejdź do zakładki WLANs → Create New i utwórz sieć bezprzewodową Student-Net. Na karcie Security ustaw WPA2-PSK i wprowadź hasło (pre-shared key).
• Utwórz drugą sieć Staff-Net i przypisz ją do interfejsu VLAN 20. Również użyj WPA2-PSK (Packet Tracer nie obsługuje pełnego 802.1X).
• Na karcie WLANs → Advanced upewnij się, że opcja Allow AAA Override jest wyłączona (Packet Tracer nie obsługuje RADIUS).
• Przełącz punkty dostępowe LAP w tryb automatycznej rejestracji i poczekaj, aż zgłoszą się do WLC — status AP powinien zmienić się na "Connected".
• Sprawdź status punktów AP na WLC (zakładka Wireless → Access Points) — oba AP powinny być widoczne i zarządzane przez kontroler.
• Na laptopie bezprzewodowym kliknij Desktop → PC Wireless i wyszukaj sieci — powinny widnieć Student-Net oraz Staff-Net.
• Połącz laptop z siecią Student-Net, wprowadzając hasło WPA2-PSK — powinien uzyskać adres IP z sieci 192.168.10.0/24 przez DHCP.
• Sprawdź otrzymany adres IP na laptopie poleceniem ipconfig (w Command Prompt) — brama domyślna powinna być adresem z sieci VLAN 10.
• Przeprowadź test ping z laptopa do routera brzegowego — ruch powinien dotrzeć przez przełącznik i router.
• Porównaj architekturę: w trybie autonomicznym każdy AP konfigurowany jest oddzielnie; tutaj WLC centralnie zarządza konfiguracją, SSID i zabezpieczeniami wszystkich AP.
• Zapisz konfigurację WLC i przełącznika poleceniami zapisu w interfejsie GUI.

• WLC (Wireless LAN Controller) centralizuje zarządzanie wieloma punktami dostępowymi — konfiguracja jest jednolita dla wszystkich AP.
• CAPWAP (Control and Provisioning of Wireless Access Points) to protokół zarządzania między AP a kontrolerem — działa przez sieć IP.
• W architekturze centralnie zarządzanej AP są "lightsweight" — nie przechowują konfiguracji, pobierają ją od WLC.
• Tworzenie wielu SSID (Student-Net, Staff-Net) pozwala na izolację ruchu bezprzewodowego według grup użytkowników.
• WPA2-PSK jest najprostszą metodą uwierzytelniania w PT — hasło (pre-shared key) jest wspólne dla wszystkich użytkowników.
• Mapowanie SSID do VLAN zapewnia, że ruch bezprzewodowy jest segregowany na warstwie L2.
• Tryb autonomiczn AP wymaga konfiguracji każdego punktu oddzielnie — kosztowny w utrzymaniu, podatny na błędy.
• Status AP na WLC (Connected) potwierdza, że rejestracja przebiegła pomyślnie — AP jest gotowe do pracy.
• Laptop otrzymuje adres IP z DHCP WLC interfejsu — brama domyślna jest adresem z sieci VLAN SSID.
• Analiza różnic między trybem autonomicznym a zarządzanym pokazuje przewagę centralizacji w dużych instalacjach.

Wykład 10 Zarządzanie siecią, monitorowanie, logowanie eventów.

Sieć kampusowa stała się zbyt skomplikowana, by sprawdzać każde urządzenie ręcznie. Musisz wdrożyć centralny system monitoringu i logowania. Twoim zadaniem jest skonfigurowanie routerów i switchy tak, aby wysyłały wszystkie ważne komunikaty (np. up/down interfejsu) do serwera Syslog. Dodatkowo musisz skonfigurować protokół SNMP, aby serwer zarządzający (NMS) mógł pobierać statystyki ruchu. Aby logi miały sens, musisz zapewnić identyczny, poprawny czas na wszystkich urządzeniach za pomocą protokołu NTP.

• Użycie serwera (Generic Server) z włączonymi usługami Syslog, SNMP i NTP.
• Konfiguracja 'logging host' na routerach z poziomem 'informational'.
• Konfiguracja SNMP community (read-only) o nazwie 'public' (lub bezpieczniejszej).
• Konfiguracja routera jako klienta NTP wskazującego na adres IP serwera.
• Weryfikacja synchronizacji czasu poleceniem 'show ntp status'.
• Wywołanie zdarzenia (np. wyłączenie portu) i sprawdzenie czy log pojawił się na serwerze Syslog.
• Ustawienie 'service timestamps log datetime msec' dla precyzyjnych logów.
• Monitorowanie parametrów routera z poziomu MIB na serwerze (np. CPU, Traffic).
• Analiza komunikatów pułapek (SNMP Traps).
• Zabezpieczenie dostępu SNMP za pomocą listy ACL.
• Dokumentacja struktury komunikatów Syslog.

• Umieść w topologii serwer zarządzający (Generic Server), router Cisco oraz przełącznik 2960. Podłącz serwer do routera, a router do przełącznika.
• Na serwerze aktywuj usługi Syslog, SNMP i NTP: przejdź do zakładki Services i włącz Syslog Server, SNMP Agent oraz NTP Server.
• Skonfiguruj adres IP serwera (np. 10.1.1.50/24) i upewnij się, że routing IP jest włączony na routerze.
• Na routerze aktywuj logowanie na serwer Syslog poleceniem logging host 10.1.1.50 i ustaw poziom logowania informational poleceniem logging trap informational.
• Ustaw znaczniki czasu w logach poleceniem service timestamps log datetime msec — każdy wpis będzie zawierał precyzyjny czas.
• Na routerze skonfiguruj SNMP community string (tryb tylko do odczytu) poleceniem snmp-server community secret RO — zastąp "secret" bezpieczniejszą frazą.
• Skonfiguruj router jako klient NTP poleceniem ntp server 10.1.1.50 — router zsynchronizuje czas z serwerem.
• Zweryfikuj status NTP poleceniem show ntp status — powinien pokazywać "synchronized" i adres serwera NTP.
• Sprawdź aktualny czas na routerze poleceniem show clock — powinien być zgodny z czasem serwera NTP.
• Zabezpiecz dostęp SNMP za pomocą listy ACL — wydaj polecenie snmp-server community secret RO 10, aby dostęp SNMP był możliwy tylko z sieci zarządzającej.
• Na serwerze SNMP uruchom narzędzie do odczytu MIB (np. zakładka SNMP) i spróbuj pobrać statystyki interfejsów z routera.
• Wywołaj zdarzenie na routerze — przejdź do trybu konfiguracji interfejsu i wydaj polecenie shutdown, a następnie no shutdown.
• Sprawdź logi Syslog na serwerze (zakładka Syslog Server → Log) — powinny widnieć komunikaty o zmianie stanu interfejsu (INTERFACE_UP, INTERFACE_DOWN).
• Analizuj strukturę komunikatu Syslog: każdy wpis zawiera znacznik czasu, poziom ważności (np. info, warning), nazwę urządzenia i opis zdarzenia.
• Zapisz konfigurację routera poleceniem copy running-config startup-config.

• NTP (Network Time Protocol) zapewnia identyczny czas na wszystkich urządzeniach — kluczowe dla korelacji logów.
• Bez synchronizacji czasu logi z różnych urządzeń są trudne do powiązania — analiza incydentów staje się niemożliwa.
• Syslog przesyła logi na centralny serwer — umożliwia scentralizowane monitorowanie i archiwizację.
• Poziom logowania (informational, warning, error) pozwala filtrować ważność komunikatów — oszczędza zasoby.
• service timestamps log datetime msec dodaje precyzyjny czas do każdego logu — ułatwia analizę chronology.
• SNMP Get to operacja pobierania danych z urządzenia — serwer NMS inicjuje żądanie.
• SNMP Trap to autonomiczne powiadomienie od urządzenia — wysyłane w reakcji na zdarzenie (np. interfejs down).
• Community string (np. "public") jest wspólnym hasłem — w produkcji należy używać niestandardowych, bezpiecznych fraz.
• ACL na SNMP zabezpiecza dostęp — tylko zaufane sieci mogą odpytywać urządzenie.
• Dokumentacja struktury logów Syslog (znaczniki, poziomy, źródła) jest niezbędna do efektywnego monitorowania sieci.

Wykład 1-10 Wszystkie zagadnienia kursu zintegrowane w jedną całość.

To jest Twoje ostateczne wyzwanie. Musisz zaprojektować i wdrożyć kompletną sieć dla nowo powstałego kampusu AHE. Projekt musi zawierać redundancję w warstwie rdzenia (HSRP), agregację łącz między budynkami (EtherChannel), routing dynamiczny (OSPF Multi-Area), separację działów (VLAN), automatyczną adresację (DHCP Relay) oraz zaawansowane zabezpieczenia (ACL, Port Security, Snooping). Całość musi być monitorowana centralnie. To zadanie sprawdzi Twoją umiejętność łączenia wielu technologii w jeden spójny i wydajny organizm sieciowy.

• Zbudowanie topologii zawierającej co najmniej 6 przełączników i 4 routery.
• Implementacja modelu hierarchicznego: Core, Distribution, Access.
• Konfiguracja OSPF Area 0 w rdzeniu i Area 1, 2 w budynkach.
• Konfiguracja HSRP dla bramy domyślnej w serwerowni.
• Wdrożenie EtherChannel (LACP) na wszystkich łączach między switchami.
• Konfiguracja 4 różnych VLANów z routingiem Inter-VLAN na switchach L3.
• Wdrożenie ACL blokującej dostęp Gości do bazy danych Studentów.
• Konfiguracja Port Security na wszystkich gniazdkach w salach wykładowych.
• Włączenie DHCP Snooping i DAI w całej sieci kampusowej.
• Centralne monitorowanie NTP/Syslog na dedykowanym serwerze zarządzającym.
• Udokumentowanie pełnej tablicy routingu i tablicy sąsiedztwa.
• Testy obciążeniowe i symulacja awarii głównego łącza rdzeniowego.
• Prezentacja działania wszystkich usług sieciowych (Ping, Web, DHCP).

• Zaplanuj adresację IP przed rozpoczęciem konfiguracji. Rdzeń (Core) — sieć 10.0.0.0/30; Distribution — 10.0.1.0/24 i 10.0.2.0/24; VLAN-y — 192.168.10.0/24 (IT), 192.168.20.0/24 (Sales), 192.168.30.0/24 (Goście), 192.168.40.0/24 (Serwerownia).
• Umieść w topologii minimum 6 przełączników (2 Core, 2 Distribution, 2 Access) oraz 4 routery (brzegowy + 2x ABR + HSRP routery).
• Połącz przełączniki Core z przełącznikami Distribution kablem GigabitEthernet, agregując je w pary (Port-Channel 1 dla Core-Dist1, Port-Channel 2 dla Core-Dist2).
• Na przełącznikach Core włącz routing IP poleceniem ip routing i skonfiguruj interfejsy SVI dla każdego VLAN z poprzednich zadań.
• Skonfiguruj EtherChannel (LACP) na wszystkich łączach między switchami: na każdej parze portów wydaj polecenia channel-group X mode active oraz tryb trunk.
• Na routerach brzegowych skonfiguruj HSRP: na interfejsach LAN ustaw priorytet 110 dla R1 i domyślny 100 dla R2. Aktywuj preemption poleceniem standby 1 preempt.
• Skonfiguruj OSPF Multi-Area: routery Core i ABR w Area 0, routery w budynkach w Area 1 i Area 2. Użyj polecenia router ospf 1 i network z odpowiednimi wildcard mask.
• Na ABR-ach skonfiguruj sumaryzację tras poleceniem area X range ... — ogranicz to rozprzestrzenianie się LSA do rdzenia.
• Na przełącznikach Access skonfiguruj VLAN-y (10, 20, 30, 40), porty dostępowe i trunk do Distribution. Włącz tryb access na portach PC.
• Na przełącznikach Access skonfiguruj Port Security na wszystkich gniazdkach dostępowych: switchport port-security maximum 1, mac-address sticky, violation shutdown.
• Włącz DHCP Snooping i DAI na przełącznikach Access poleceniami ip dhcp snooping oraz ip arp inspection vlan X. Oznacz porty uplink jako trust.
• Stwórz rozszerzoną listę ACL na routerze brzegowym, blokującą dostęp Gości (VLAN 30) do sieci Studentów (VLAN 40). Zastosuj na interfejsie inbound.
• Umieść serwer zarządzający z włączonymi usługami Syslog, SNMP i NTP. Skonfiguruj na wszystkich urządzeniach: logging host ..., snmp-server community ..., ntp server ...
• Udokumentuj pełną tablicę routingu (show ip route) i tablicę sąsiedztwa OSPF (show ip ospf neighbor) — wszystkie routery powinny mieć stany FULL.
• Przeprowadź testy obciążeniowe: uruchom ciągły ping między sieciami i symuluj awarię głównego łącza rdzeniowego (wyłącz jeden Port-Channel).
• Zweryfikuj działanie usług: DHCP — komputery powinny otrzymać adresy automatycznie; Ping — między wszystkimi VLANami powinien działać; ACL — Goście nie powinni pingować Serwerowni.
• Zapisz konfigurację na wszystkich urządzeniach poleceniem copy running-config startup-config.

• Model hierarchiczny (Core-Distribution-Access) zapewnia skalowalność, redundancję i łatwość zarządzania w dużych sieciach campusowych.
• HSRP na bramie domyślnej eliminuje Single Point of Failure — awaria jednego routera nie powoduje przerwy w dostępie do Internetu.
• EtherChannel (LACP) zwiększa przepustowość i zapewnia redundancję między warstwami bez problemu pętli STP.
• OSPF Multi-Area hierarchizuje routing — każdy router przelicza SPF tylko dla swojego obszaru, co oszczędza CPU.
• VLANy separują ruch działów — ACL na routerze brzegowym kontroluje dostęp między segmentami.
• DHCP Relay (ip helper-address) umożliwia centralne zarządzanie adresacją — jeden serwer dla wielu podsieci.
• Port Security na gniazdkach dostępowych chroni przed nieautoryzowanymi urządzeniami — minimalizuje ryzyko fizycznego ataku.
• DHCP Snooping i DAI zabezpieczają warstwę L2 przed atakami Rogue DHCP i ARP Poisoning.
• Syslog/SNMP/NTP zapewniają centralne monitorowanie i zarządzanie — wszystkie zdarzenia w jednym miejscu z identycznym czasem.
• Testy obciążeniowe i symulacja awarii weryfikują gotowość sieci do działania w warunkach krytycznych.
• Dokumentacja pełnej konfiguracji i tablic routingu jest niezbędna do rozwiązywania problemów i planowania rozbudowy.
• Podsumowanie nabytych umiejętności: konfiguracja VLAN, trunków, STP, EtherChannel, routingu, ACL, DHCP, bezpieczeństwa L2/L3 i monitoringu.