# Networks. Практическая работа №5
## 5.0 Настройка среды
Топология
План адресации такой
- Router - e0/1 192.168.225.254/24, e0/0 10.0.0.1/24, e0/0.1 10.0.1.1/24, e0/0.10 10.0.10.1/24, e0/0.20 10.0.20.1/24 GW 192.168.225.1
- Kali-Linux e0 10.0.1.225/24 GW 10.0.1.1
- Win7 e0 10.0.10.225 GW 10.0.10.1
- Debian e0 10.0.2n0.225/24 GW 10.0.20.1

Настроим роутер

enable
configure terminal
hostname Router
interface e0/1
ip address 192.168.225.254 255.255.255.0
no shutdown
do write
interface e0/0
ip address 10.0.0.1 255.255.255.0
no shutdown
do write
interface e0/0.1
encapsulation dot1q 1
ip address 10.0.1.1 255.255.255.0
do write
interface e0/0.10
encapsulation dot1q 10
ip address 10.0.10.1 255.255.255.0
do write
interface e0/0.20
encapsulation dot1q 20
ip address 10.0.20.1 255.255.255.0
do write
exit
ip route 0.0.0.0 0.0.0.0 192.168.225.1
ip route 10.0.0.0 255.255.255.0 10.0.1.254
do write
access-list 99 permit 10.0.0.0 0.0.255.255
ip nat inside source list 99 interface e0/1 overload
interface e0/1
ip nat outside
interface e0/0
ip nat inside
interface e0/0.1
ip nat inside
interface e0/0.10
ip nat inside
interface e0/0.20
ip nat inside
do write

Результат

Настроим DHCP на Router. Будем выдавать три пула

enable
configure terminal
ip dhcp excluded-address 10.0.1.1 
ip dhcp excluded-address 10.0.10.1
ip dhcp excluded-address 10.0.20.1
ip dhcp excluded-address 10.0.1.254
ip dhcp excluded-address 10.0.10.254
ip dhcp excluded-address 10.0.20.254 
ip dhcp excluded-address 10.0.1.225
ip dhcp excluded-address 10.0.10.225
ip dhcp excluded-address 10.0.20.225 
ip dhcp pool POOL-VLAN1
network 10.0.1.0 255.255.255.0
default-router 10.0.1.1
dns-server 8.8.8.8
domain-name pt.local
do write
ip dhcp pool POOL-VLAN10
network 10.0.10.0 255.255.255.0
default-router 10.0.10.1
dns-server 8.8.8.8
domain-name pt.local
do write
ip dhcp pool POOL-VLAN20
network 10.0.20.0 255.255.255.0
default-router 10.0.20.1
dns-server 8.8.8.8
domain-name pt.local
do write
exit

Результат

Настроим Switch

enable
configure terminal
hostname Switch
interface e0/1
switchport mode access
switchport access vlan 1
do write
interface e0/2
switchport mode access
switchport access vlan 10
do write
interface e0/3
switchport mode access
switchport access vlan 20
do write
interface e0/0
switchport trunk encapsulation dot1q
switchport mode trunk
do write

Результат

Проверим выдачу DHCP
Выход в Internet

## 5.1 Атака на DHCP.
Starvation
Установим yersinia

apt update
apt install yersinia -y

Проверим состояние DHCP сервера до атаки

Запустим атаку
Запустим yersinia

yersinia -G


Состояние после атаки

Rogue DHCP Server



На Switch настроим защиту от Rogue DHCP Server и от DHCP starvation

ip dhcp snooping 
ip dhcp snooping vlan 1
ip dhcp snooping vlan 10
ip dhcp snooping vlan 20
do write
interface e0/0
ip dhcp snooping trust
do write
interface range e0/1-3
ip dhcp snooping limit rate 10
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
do write
exit

Результат


## 5.2 Атака VLAN hopping.
Сначала проверим что мы ходим через роутер

Запустим yersinia

yersinia -G




modprobe 8021q
vconfig add eth0 20
ifconfig eth0.20 up


Настроим защиту

enable
configure terminal
interface range e0/1-3
switchport mode access
switchport nonegotiate
do write
interface e0/0
switchport trunk native vlan 99
do write

Результат

## 5.3 Атака CAM-table overflow.
Установим dsniff

apt update
apt install dsniff -y

Запустим

macof

Результат

Защита от CAM-table overflow это Port Security. Данная мера реализована в рамках 5.1

enable
configure terminal
interface range e0/1-3
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
do write

Результат

## 5.4 Атака MAC-spoofing.
ifconfig eth0 down
macchanger -m 50:00:00:04:00:00 eth0
ifconfig eth0 up
macchanger -s eth0

Защита от атаки MAC-spoofing это Port Security. Данную меру реализовали в 5.1.

enable
configure terminal
interface range e0/1-3
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
do write

Результат

## 5.5 Настройка ACL.
Сконфигурируем расширенный ACL и применим его на интерфейсе роутера.

enable
configure terminal
#Kali
access-list 100 deny tcp host 10.0.1.225 host 10.0.20.225 eq 80
#Win7
access-list 100 deny ip 10.0.10.225 0.0.0.0 10.0.20.0 0.0.0.255
access-list 100 deny ip 10.0.10.225 0.0.0.0 10.0.10.0 0.0.0.255
access-list 100 deny ip 10.0.10.225 0.0.0.0 192.168.225.0 0.0.0.255
#Debian
access-list 100 deny ip 10.0.20.225 0.0.0.0 10.0.1.0 0.0.0.255
access-list 100 deny ip 10.0.20.225 0.0.0.0 10.0.10.0 0.0.0.255
access-list 100 deny ip 10.0.20.225 0.0.0.0 10.0.20.0 0.0.0.255
access-list 100 deny ip 10.0.10.225 0.0.0.0 192.168.225.0 0.0.0.255
#Other
access-list 100 permit ip 10.0.0.0 0.0.255.255 any
#Default
access-list 100 deny ip any any
do write

Результат

Применение ACL на интерфейсе:

enable
configure terminal
interface e0/0
ip access-group 100 in
do write

Результат

На этом данная работа закончена