# 8. Особенности работы отдела безопасности корпоративных сетей
Дана сеть


Сделаем wipe всех нод.

В сети присутствует DHCP сервер, который раздает адреса клиентам в разных vlan, сами клиенты находятся за разными роутерами, а некоторые в удаленных офисах. Поэтому в сети должны использоваться dhcp relay.

Далее видим, что ядро сети состоит роутеров, объединенных в отказоустойчивую конфигурацию.

Далее видим что в сети есть домен OSPF, который составляют:

- CORE-1
- CORE-2
- WAN-RT

Далее видим, судя что удаленные офисы объеденены через DMVPN поверх IPSEC.

Также видим наличие BGP
- WAN-RT
- BR1-RT
- BR2-RT

Запустим часть сети, посмотрим получают ли адреса машины во вланах
- vlan 10
- vlan 20
- vlan 30

Зайдем на DHCP сервер, проверим что он работает
Посмотрим интрефейсы


Интерфес пингуется с самого себя
Конфигурация


Проверим доступность из ядра


Доступен

Посмотрим получаютли клиенты адреса
vlan10 получает

vlan20 не получает
Процесс DORA в фазе discover

Vlan30 не получает
Процесс DORA в фазе discover

vlan10 подключен к другому коммутатору, поэтому обратим внимание на коммутатор CO-LAN-SW-2
Посмотрим конфигурацию

Видим что включен dhcp snooping
Убедимся


Доверенных интерфейсов нет

Добавим доверенный интерфейс в сторону CO-LAN-SW1

Проверим результат
vlan20


vlan30


Двигаемся дальше
Проверим доступность WAN-RT


Шлюз по умолчанию доступен


Пойдем на шлюз, он же роутер ядра сети
Видим сообщение об ошибке аутентификации протокола HSRP
Этот протокол отвечает за отказоустойчивое объединение роутеров
Посмотрим настройки HSRP


Посморим информацид о группе 5


Видим что есть аутентификация

Посмотрим конфиг


Сменим пароль на обоих устройствах



Аутентификация не установлена


Установим


Аутентификация поднялась
Видим ошибку дубликации адреса


Посмотрим конфигурации


Видим что адрес 10.0.0.3 ошибочно установлен как standby на core 1, сменим его на 10.0.0.1


Ошибок аутенитификации HSRP больше нет


Однако видим что интерфейсы на Core-2 находятся не полном дуплексе изменим это административно


Видим сообщение что на Core-1 интерфейсы тоже находятся в полудуплексе изменим и там


Двигаемся дальше
Проверим табицу маршрутизации на core-1

видим что нет роутов OSPF

Проверим соседей OSPF


Соседей нет
Посмотрим интрефейсы


Посмотрим конфигурацию


Нет ни активных интерфейсов (настроено на интерфейсах), ни анонса сетей.
Есть две зоны.

Установим
Выведем из пассивного режима интерфейсы eth0/0.6, eth0/2


Добавим аннос сетей в зоне 1 (потом внимательнее посмотрел, можно было не добавлять, настроено на интефейсе)
10.100.100.0 24
10.10.10.0 24
10.10.20.0 24
10.10.30.0 24


На core 2


Видим что еть проблемы аутентификации ospf


Исправим установим новый ключ на интерфейсе eth0/2 обоих роутерах


Настроим ospf на wan-rt


Переведем интерфейсы в полный дуплекс


ospf


Интерфейсы выключены


Включим eth0/1.6


На core роутерах не включена аутентификация, включим




Видим ошибки аутентификации на интерфейсе eth0/0.6
Установим новый ключ на обоих роутерах



ospf работает


wan-rt



Настроим аутентификацию ospf
интерфейс между core и wan


Переходим дальше к wan-rt


Как мы видели там редистриюция с bgp
Включим остальную чать сети

Bgp построено поверх dmvpn
Проверим dmvpn
Настройки криптографии на wan-rt


Настройки криптографии на br2-rt

настройки туннеля на wan-rt

настройки туннеля на br2-rt

Видим что на wan-rt в протоколе nhrp не установлена аутентификация.
Установим

Проверим dmvpn wan-rt
br2-rt
br1-rt



Не установлена аутентификация с удаленными офисами

Установим

сменим pre-shared-key local, remote на ciscobranch

br1-rt
Установим полный дуплекс заодно

br2-rt


dmvpn канал поднялся

идем дальше
мы уже видели ошибки аутенитификации
Посмотрим внимательнее на домен bgp

На br1-rt
Только на нем одном из трех bpg роутеров указана аутентификация,
уберем ее

bgp поднялся

Итак маршрутизация поднялась

Посмотрим получают ли адреса удаленные машины

адреса машины не получают

Посмотрим на коммутаторы

dhcp snooping не объявил доверенного интерфейса
объявим

Bri1-it получил адрес
br2-it получил адрес
br2-hr-ws получил адрес
hq-ws адрес не получил
изменим правило на br1-rt

Сеть работает. Далее для обеспечения тербуемого доступа необходимо проверить acl на оборудовании.
И при необходимости используя на asa packet tracer проверить работу acl и внести необходимые изменнения.
На тех протоколах, которые это поддерживают включить механизм аутентификации, по возможности используя метод основанный на ассиметричном криптографических ключах. Для управления vlan стоит рассмотреть возможность использования протокола VTP. Рассмотреть возможность организации dmz с двумя файрволами по границе внутренней и внешней сети. В сети организовать механизм обнаружения или предотвражения вторжения. Сами устройства cisco объединить единой системой аутентификации и авторизации. Также интегрировать устройства в систему мониторинга типа Zabbix. Ну и желательно обеспечить единую точку управления конфигурациями, типа NSO.

core 1 acls

core 2 acls

wan-rt acls

asa acls

edge acls

br1-rt

br2-rt

Увы, исправить доступы не успел.