הגדרת VLAN ו-TRUNK עם Port Security
unused ports) שבו אין תעבורה, כך שמי שיחבר שם כבל לא יגיע לרשת. כולל הפורטים שנשארו מחוץ לטווחים.vlan 10, name servers, ואז interface range עם switchport access vlan 10 על הפורטים שלו.switchport mode trunk. מגבילים אותם לווילאנים המותרים בלבד (למשל 10, 20 ו-30) עם switchport trunk allowed vlan.switchport mode access ו-switchport nonegotiate, כך שאי אפשר לשנות אותם ל-Trunk דינמית. המרצה מדגיש שזו החולשה של DTP.switchport trunk native vlan 999, ועושים זאת בשני צידי הקישור. אחרת מתקבלת אזהרת mismatch והקישור לא עולה.switchport port-security maximum 10 ופעולת restrict, כך שהכתובת ה-11 לא תעבור ותישלח התראה לשרת Syslog.פרקי ההרצאה: הגדרת VLAN ו-TRUNK עם Port Security
תמלול ההרצאה: הגדרת VLAN ו-TRUNK עם Port Security
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת VLAN ו-TRUNK עם Port Security» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על איך לאבטח את הסוויץ׳ נכון, איך לעשות best practices, המלצות לאבטחה של סוויץ׳. אז ניצור לנו פה שני סוויץ׳ים ונחבר אליהם כמה מחשבים. נניח יש לי פה שני מחשבים מחוברים לסוויץ׳ ואנחנו רוצים לאבטח את התקשורת. שימו לב, יש לנו כמה סוגי תקשורות, יש לנו תקשורת בין סוויץ׳ לסוויץ׳ ויש
לנו תקשורת בין סוויץ׳ לציות קצה. פשוטיות קצה זה יכול להיות מחשב, זה יכול להיות מדפסת ואנחנו רוצים לאבטח את הסוויץ' הזה.
אז איך אנחנו מאבטחים אותו? אז ככה, אנחנו מתחילים מזה שאנחנו מפרידים את הרשת לחלקים וקובעים שיהיה לנו וילאן 10 למוצר ראשון, כן, פרוד 1. יהיה לנו וילאן 20 לפרוד 2, למוצר השני שלנו ושמחשב שמשוייך לווילאן מסוים לא יוכל לגשת למחשב בווילאן אחר.
אנחנו יכולים להמשיך להפריד אותם, אנחנו יכולים להגיד ששרתים בנפרד. לדוגמה, אנחנו יכולים להגיד שבואו נעשה את זה תחנות עבודה, מוצרים.
אתם מפרידים אותם לרשתות נפרדות. נניח שזה servers וזה workstations, תחנות עבודה. ווילאן 30 זה יכול להיות Wi-Fi, אתם מבינים, כן?
אתם מפרידים פה הכל לרשתות נפרדות. ומה שחשוב לי להדגיש לכם שווילאן 99 יהיה פורטים שלא בשימוש. unused ports זה אומר אם יש לי חור נניח מספר 17 בפורט בסוויץ' שלא בשימוש שאף אחד לא יבוא ולא יתקע לו כבל ויתחיל להשתמש בו אז כל הפורטים שהם לא
בשימוש יהיו unused ports כדי שלא תעבור שם התקשורת ויש גם פורט שנקרא native villain ואני גם רוצה שהוא לא יהיה בשימוש שזה בעצם תקשורת בין הסוויצ'ים שהיא לא מסומנת תקשורת בין הסוויצ'ים נקראת טראנק אז זה הווילאנים שאני רוצה אני רוצה שהתקשורת בין הסוויצ'ים פה הטראנק הזה אם יש פאקט לא מסומן אז הפאקט הלא מסומן הזה יהיה שייך לווילאן שאני בכלל לא משתמש בו זה הרעיון של האבטחה אז
אם בטעות קורה פה פאקט לא מסומן אני רוצה לדעת על זה ולכן אני שם את זה בווילאן נפרד שאני יודע ששום דבר לא צריך לעבור שם באופן כללי פאקטים לא מסומנים לא אמורים להיות ברשת בטראנק אני מדבר איתכם בקו של טראנק כל הפאקטים צריכים להיות מסומנים בצורה מפורשת באופן כללי עקרונות
באבטחת מידע זה אחד הדברים שהכל נעשה בצורה מפורשת ולא איזה ברירת מחדל לא ברורה מאיפה לאן אז אני רוצה באופן מפורש לקבוע שפאקטים בין שני הסוויצ'ים יהיו כולם מסומנים ולכן את הזכות לא לסמן פאקטים אני משייך לרשת שאף אחד לא משתמש בה שלא יקרה מצב שהם עוברים בפאקטים ובטראנק אני אאשר רק העברה של 10, 20, 30.
כדי להגיע מרשת לרשת, אתה צריך לעבור דרך Firewall. יש לנו פה Firewall, זה מוצרי Firewall שנקראים ASA.
אז אני יכול לבוא, לקחת, לשים פה Firewall, וכדי לעבור מסוויץ' לסוויץ' אתה צריך לעבור דרך ה-Firewall, וה-Firewall הזה גם מחובר לאינטרנט. אז ככה אני מאבטח את הרשת שלי, אוקיי, יופי.
גם הטראנק הזה, כמובן שהוא גם עובר ל-Firewall, כן, כי Firewall מקבל את כל הווילנים, הוא רואה. זה גם יהיה טראנק, אוקיי אז יש לנו פה כזה דבר מה שאני לא אוהב שזה מחובר ב-4 וזה ב-2 ו-3 אז אני אעשה דבר כזה אני אמחק את החיבור הזה את החיבור הזה את החיבור הזה ואני אעשה ככה שהחיבור פה זה יהיה השני הבנתם 0 1 0 2 וזה יהיה החיבור 3 ו-4 יופי ואת המחשב הזה
נשייך לווילן 10 וגם המחשב השני יהיה גם משוייך לווילאן 10 אתם יודעים מה בוא נשייך את שתיהם לווילאן 10 או שנשייך אותו לווילאן 20 כדי לעבור מווילאן 1 לווילאן השני צריך לעבור אך ורק דרך פיירול שמגדיר חוקים איך מה עוברים בשביל לא לחכות פה שהכל יסתדר אני מריץ את הזמן קדימה הנה תראו איך אני מקפיץ את הזמן טוב בוא נתחיל ליצור את כל הרשת הזאת אז איך עושים את זה האמת שזה די פשוט זה אולי נראה לנו
מסובך אז אנחנו נכנסים ל-enabled ועושים פה קודם כל שואו וילאן שהוא ווילן מראה לי שכל הפורטים כרגע נמצאים באותה רשת, זה אומר שהם יכולים לתקשר אחד לשני ישירות בלי שום firewall, כן?
וכמובן שהfirewall מחובר לאינטרנט. בואו נחבר גם את הfirewall לאינטרנט, סתם שתראו. נניח יש לי פה מודם ADSL, וfirewall מחובר למודם ADSL, ומודם ADSL מחובר לענן, אם אתם רוצים פה לענן של ADSL, עם כבל טלפון יש לנו פה.
איפה כבל טלפון יש לנו פה? הנה טלפון, כבל טלפון. מתחבר קצה אחד מודם, קצה השני לענן. וזהו, זה מגיע לאינטרנט, ואינטרנט כבר הולך הלאה.
טוב, זה פחות מעניין עכשיו, אנחנו מתעסקים ברשת פנימית. אוקיי, אז מה הבעיה שלנו? הבעיה שלנו שכל הפורטים מחוברים לאותו וילאן, הם יכולים להתקשר אחד לשני בלי לשאול אותי אפילו, כל מחשב באותה רשת יכול לגשת לשאלות למחשב אחר באותה רשת, אותה רשת זה אומר אותו וילאן, בלי לעבור בפיירול, בלי לעבור שום בדיקות,
אני לא יכול לעשות שום הגבלות שזה לא מקובל עליי הדבר הזה אני רוצה לשלוט על התקשורת אני רוצה שפורטים פנויים שיש לי שלא מנוצלים אף אחד לא יבוא ולא יכניס שם כבל ויתחיל פה לשלוח לי פאקטים בלי לקבל אישור מפורש אני רוצה רשת מובטחת אז אנחנו מתחילים מזה שאנחנו יוצרים וילאנים נכנסים לקונפטי יוצרים וילאן 10 נותנים לו שם אנחנו נותנים שם לכל וילאן לדוגמה סרוורס נעשה ככה סרוורס וילאן 10
זה יהיה השם שלו ואני רוצה לעשות הכל באותיות קטנות כדי שלא יהיו לנו בעיות של אותיות גדולות וקטנות ועשינו וילאן 10 אנחנו יכולים גם לשייך אליו פורטים לדוגמה אינטרפייס רנג' נעשה כל הפורטים החל מפורט מספר 10 עד פורט מספר 15 שייכים אליו 10 עד 15 שייכים לוילאן 10 וגם מי זה פה?
0-3 גם שייך לשם, בסדר? ה-0-3 גם שייך לפה. או שאתם יודעים מה? בואו נעשה פה סדר בכבלים ונמחק את ה-10-3 הזה. זה יהיה 10 עד 15 וזה 15 עד 20, אוקיי?
אז אני קובע פה שזה יהיה 10, 10 עד 15 יהיה פה, ופה יהיה 16 עד 20, יופי. אז מבחינת פורטים אני רוצה לעשות סדר. זה 16, זה 10, יופי, וילאן 20, וילאן 10. אז ככה הרשת שלי תיראה, 10 פורטים ראשונים זה לשרתים, לסוויצ'ים אחרים, חיבור לסוויצ'ים אחרים, כל הטראנקים בעצם למעשה הם אצלי נמצאים ב-10 ראשונים זה טראנקים, ו-10 עד 15 זה וילאן הראשון,
ו-15 עד 20 זה וילאן השני. אוקיי, אתם רואים אני עושה סדר. אז איפה היינו? עוד פעם, שהוא וילאן, כרגע יש לנו רק וילאן 10 שהוא בלי שום פורט משוייך אליו.
אז אנחנו נכנסים ל-confty, ל-interface, range, fast ethernet אמרנו מ-10 עד 15, אנחנו קובעים שהם נמצאים בסוויץ' פורט access vlan 10. אנחנו משייכים אותם ל-vlan 10, do show vlan, ואנחנו רואים שבאמת ל-vlan 10 שויכו 10-11, 6 פורטים, 10 עד 15 כולל.
אוקיי, הלאה, עשינו את זה. עכשיו אנחנו במצב קונפיג רגיל, קונפטי רגיל, עושים וילאן 20 ואנחנו רוצים לתת לו שם workstations vlan 20 זה השם שלו workstation vlan 20 ככה אני קורא לו ואני משייך אליו interface range fa 0.15 עד 20 למעשה מ-16 עד 20 switch port access vlan 20 דו שואו וילאן אני רואה באמת מ-16 עד 20 שייכים לווילאן 20 ומ-10 עד 15 שייכים לווילאן 10
יופי מה עם הפורטים האלו שלא בשימוש אני לא רוצה שהם יישארו בדיפולט ואז מישהו יכול לבוא לתקוע כבל ולך תדע מה היו אז אני יוצר unused ports וילאן נפרד ושם אני מגביל את התעבורה אז אני עושה פה אקזיט נכנס לקונפטי לא חייבים לעשות אקזיט ועושה וילאן 99 name unused ports זה השם שלו, זה שם של