دوره آموزشی CCNP Security | دوره آموزش CCNP رایگان | گام به گام

دوره آموزش CCNP Security قسمت 4: آموزش راه اندازی DAI

ویژگی در شبکه های کامپیوتری تحت عنوان DAI مخفف Dynamic Arp Inspection وجود دارد که وظیفه بازرسی بسته ها و جلوگیری از حملات مختلف از جمله Arp Spoofing, Arp Cache Poisoning و CAM Table OverFlow که موجب پیاده سازی حملات Man in the middle در شبکه های Broadcast-Domain می شوند. این مکانیزم وظیفه بازرسی بسته های Arp را دارید و درصورت نامعتبر بودن یک بسته IP-To-Mac آن بسته دور ریخته می شود. همانطور که گفتیم DAI وظیفه محافظت و Protested سازی شبکه از حملات مختلف Man in the middle را از طریق جدولی که توسط DHCP Snooping ایجاد میشود را دارد همچنین ویژگی DAI اطمینان می دهد که فقد پیغام های معتبر Arp اجازه عبور در شبکه را داشته باشند.

DAI چیست و چه وظیفه ای دارد؟

• رهگیری تمامی درخواست های غیرمعتبر از Port های غیرقابل اعتماد
• تأیید می کند که هرکدام از این بسته های رهگیری شده دارای یک آدرس معتبر IP-To-MAC قبل از بروزرسانی Memory Arp Cache و یا قبل از ارسال بسته به مقصد مناسب هستند
• دور ریختن تمامی بسته های که به عنوان نامعتبر شناخته می شوند
• این ویژگی برپایه معتبر بودن IP-To-Mac می باشد.

آموزش راه اندازی DAI ( Dynamic ARP Inspection )

در هنگام پیاده سازی آن به دلیل استفاده از Database ویژگی DHCP Snooping می بایست قبل از فعال سازی DAI حتما DHCP Snooping فعال شود به دلیل فعال شدن DHCP Snooping بر روی Vlan ها برای فعال سازی DAI بر روی یک Vlan خاص از دستور زیر استفاده کنید

switch#enable
switch#configure terminal
switch(config)ip arp inspection vlan [vlan-range]

نکته: به منظور استفاده از DAI در محیط های که DHCP در آن وجود ندارد می بایست از مباحثی همچون Arp ACL استفاده کنید که در همین آموزش توضیح می‌دهیم

• Arp Inspection Rate Limiting: سوییچ به منظور انجام فرایند Arp Inspection و بازرسی بسته های Arp برای هر Port که به صورت Untrusted و یا غیرقابل اعتماد هستند محدودیت ارسال بسته قرار می دهد که این محدودیت به صورت پیش فرض 15 بسته می باشد.‌ اینکار به منظور جلوگیری از حملات تکذیب سرویسو یا همان DoS( Denial Of Service) استفاده می شود این مقدار با دستور زیر در حالت Interface configuration قابل تقییر می باشد.

switch#enable
switch#configure terminal
switch(config-if):ip arp inspection limit

نکته: در Port های Trusted و یا قابل اعتماد دارای محدودیت ارسال بسته نیستند

زمانی که یک Port از حد Arp Rate Limiting تعیین شده فراتر برود، سوییچ آن Port را درحالت error-disabled قرار می دهد تا زمانی که شما از دستور زیر استفاده کنید

switch#enable
switch#configure terminal
switch(config)errdisable recovery cause arp-inspection

چند نکته در رابطه با ویژگی های موجود در Arp Inspection و وضعیت پیش فرض آن‌‌ها:

• تمامی Interface به صورت پیش فرض Untrusted هستند
• ویژگی DAI به صورت پیش فرض بر روی تمامی Vlan ها غیرفعال می باشد
• مقدار Rate Limiting برای رابط های Untrusted مقدار 15 ثانیه و برای رابط های Trusted مقدار نامحدود و محدود در ارسال پشت سرهم بسته ها که این محدودیت یک ثانیه می باشد
• در محیط های nom-DHCP به صورت پیش فرض هیچ Arp ACL برای DAI تعریف نشده است
• ویژگی Validation check، هیچ Check کردنی را انجام نمی دهد
• همچنین شما توانایی اعمال DAI بروی Port های مختلف با وضعیت های مختلف از جمله Access ,Trunk ,EtherChannel و Private Vlan

• نکته: نمی توانید DAI بر روی RSPAN VLAN ها فعال کنید زیر به صورت پیش فرض DAI بر روی آن‌ها فعال می باشد

آموزش فعال سازی DAI در محیط های Non-DHCP

Switch(config)# arp access-list TangsiriNET
Switch(config-arp-acl)# permit ip host 192.168.10.1 mac host 0011.0011.0011
Switch(config-arp-acl)# exit
Switch(config)# ip arp inspection filter TangsiriNET vlan 10
Switch(config)# interface FastEthernet 0/0
Switch(config-if)# no ip arp inspection trust

آموزش فعال سازی DAI در محیط های دارای DHCP

Switch(config)# interface FastEthernet 0/0
Switch(config-if)# ip arp inspection trust
Switch(config)#ip arp inspection vlan 5-10

• معرفی دستورات Verification

Switch#show ip arp inspection 
Switch#show ip arp inspection interfaces 

دوره آموزش CCNP Security قسمت 5: آموزش راه اندازی MACSec

مکانیزمی تحح عنوان MACSec که توسط استاندارد IEEE 802.1AE به منظور تامین امنیت یک ارتباط Point-To-Point از طریق Ethernet را دارد. این مکانیزم را می توان کنار مکانیزم های دیگری همچون Internet Protocol Security(IPSec) و Secure Socket Layer(SSL) به منظور تعمین امنیت ارتباطات End-Yo-End قرار داد. این مکانیزم توانایی جلوگیری از حملات مختلف درون شبکه را دارد. برخی از این حملات که MACSec توانایی Prevention آنهارا دارد به شرح زیر هستند.

• Denial Of Service (DOS)
• Man in the middle (MITM)
• PlayBack
• Passive Wiretapping
• Masquerading

مکانیزم MACSec توانایی Securing انواع پروتکل هارا دارد. از جمله این پروتکل ها:

• Link Layer Discovery Protocol (LLDP)
• Link Aggregation Control Protocol (LACP)
• Dynamic Host Configuration Protocol (DHCP)
• Address Resolution Protocol (ARP)

بررسی روش کار MACSec

این پروتکل وقتی در یک ارتباط Ethernet به صورت Point-To-Point فعال می شود یک Key بین هردو ردوبدل می شود که این Key بسته به حالت MACSec هم می توانید به صورت Static تعیین شود و یا حتی به صورت Dynamic ساخته شود.

توانایی های MACSec در یک ارتباط Ethernet به صورت Point-To-Point

• Data Integrity: مکانیزم MACSec به منظور Data Entergy از روش ICV مخفف Integrity Check Value به این صورت است که بروی قاب Ethernet بسته ها دو Header جدید را وارد می کند یکی 8 Bit و دیگری 16 Bit تا درصورت رسیدن به مقصد این Header ها به منظور تایید کردن بسته ها Check شوند
• Encryption: رمزگذاری تضمین می کند که داده های موجود در قاب اترنت توسط کسی که ترافیک موجود در پیوند را مشاهده می کند، قابل مشاهده نباشند، رمزگذاری MACsec اختیاری می باشد و توسط کاربر قابل تنظیم است.

نکته: درصورت فعال بودن MACSec بر روی یک رابط، مقدار Vlan Tag موجود در قاب توسط این مکانیزم Encrypted نمی شود و به صورت Clear Text ارسال می شود.

معرفی حالت های MACSec

به طور معمول MACSec به سه حالت قابل پیکربندی می باشد که به شرح زیر هستند

• Static connectivity association key (CAK) mode: در این حالت دو Key در سمت دو طرف ساخته می شود و در بین یک دیگر به منظور کنترل ترافیک های Data Plane ردوبدل می شوند( توصیه می شود از این روش در بین ارتباطات Switch-To-Switch استفاده کنید )
• Static secure association key (SAK) mode: برای امنیت لینک های Switch-To-Switch می توان از حالت امنیتی استاتیک SAK استفاده کرد. از این حالت فقط در صورتی استفاده کنید که دلیل قانع کننده ای برای استفاده از آن به جای حالت استاتیک CAK داشته باشید

این حالت توصیه شده برای پیوندهای Switch-To-Switch است.

• Dynamic secure association key (SAK) mode: از این حالت زمانی استفاده می شود که ما می خواهیم یک ارتباط Switch-To-Host داشته باشیم. دستگاه Host باید از MACsec پشتیبانی کند و باید نرم افزاری را اجرا کند که به آن امکان می دهد یک اتصال امن MACsec را فعال کند.

پیاده سازی MACSec انواع مختلف و بسیار زیادی درحالت های مختلف و طراحی های مختلف دارد که ما نمیتونیم به همه آن ها بپردازیم و در دوره CCNP SENSS نیز MACSec تحت عنوان یک توضیح در رابطه آن وجود داشت

یکی از پیاده سازی های MACSec به صورت زیر برای شما قرار می دهیم

Switch(config)# mka policy mka_policy 
Switch(config-mka-policy)# key-server priority 200 
Switch(config-mka-policy)# macsec-cipher-suite gcm-aes-128 
Switch(config-mka-policy)# confidentiality-offset 30 
Switch(config-mka-policy)# end

دوره آموزش CCNP Security قسمت ۸: آموزش راه اندازی Root Guard 

در پی آموزش دوره CCNP Security SENSS می‌رسیم به ببرسی Root-Guard  ، مکانیزمی در STP تحت عنوان Root-Guard وجود دارد که وظیفه جلوگیری از تغییر Root-Bridge در شبکه را دارد. نحوه کار Root-Guard به این صورت میباشد که اگر از سمت یک Port پیغامی ارسال شود که قرار نیست به عنوان یک Root-Bridge انجام شود می بایست بر روی آن Root-Guard را فعال نمود. درصورت فعال سازی بروی Port مورد نظر اگر از آن Port پیغام های BPDU با Priority پایین ارسال شود آن Port درحالت Root-Inconsistent تازمانی که ارسال پیغام های BPDU با مقدار Priority پایین ادامه داشته باشد قرار می گیرد

• نحوه فعال سازی آن به شکل زیر می باشد

نحوه فعال سازی آن بر روی یک Port خاص:

SW#configure terminal
SW(config)#interface Ethernet  0/0
SW(config-if)#spanning-tree guard root
SW(config-if)#exit
SW(config)#exit

نحوه غیرفعال سازی آن:

SW#configure terminal
SW(config)#interface Ethernet 0/0
SW(config-if)#no spanning-tree guard root
SW(config-if)#exit
SW(config)#exit

دوره آموزش CCNP Security قسمت 9: آموزش راه اندازی  NAT

آدرس های IPv4 که یک مقدار عددی 32Bit هستند به دلیل مقدار بسیار کم آن معضلی به منظور کم بود IP در دنیای شبکه به‌بار آورد به همین دلیل مکانیزمی به وجود آمد تحت عنوان NAT مخفف Network Address Translationa که تاحدودی هم میزان امنیت یک شبکه را تعمین می سازد و هم در هدر رفتن آدرس های IP بسیار کارآمد می باشد.

در واقع شبکه ایی را متصل از 10کامپیوتر تصور کنید، منبابه دسترسی تمامی آنها به Internet می بایست تک تک یک Public IP داشته باشند که هم کار هزینه‌‌بری می باشد و هم اینکار درهدر رفتن آدرس های IP کمک بسیاری می کند که برای ما اصلا خوش آیند نیست, به این منظور ما از NAT استفاده خواهیم کرد تا آدرس های Private IP موجود در شبکه خودمان را به یک آدرس Public IP ترجمه کند و در هدر رفت هزینه و آدرس های IP جلوگیری بسیاری شود.

به طور خلاصه NAT وظیفه ترجمه Private IP به Public IP را دارد. مکانیزم NAT در افزایش امنیت شبکه ما نیز کمک به سزایی می کند زیرا اگر فرد مهاجم بخواهد به یکی از کلاینت های درون شبکه ما حمله ایی کند با مکانیزم NAT توانایی پیدا کردن آدرس IP آن را ندارد و NAT به شکلی عمل می کند که از داخل توانایی دیدن بیرون را داریم ولی از بیرون کسی توانایی دیدن داخل را ندارد

مزایای استفاده از NAT چیست؟

• کاهش هزینه
• کاهش استفاده در آدرس های IP و هدر رفت آن‌ها
• افزایش میزان امنیت شبکه‌مان
• پشتیبانی از VRF(Virtual Routing Forwarding)

معرفی انواع NAT

مکانیزم NAT بر روی روتر فعال می شود و قبل از ارسال یک بسته به یک شبکه دیگر در دنیای Internet ابتدا Private IP مارا به Public IP ترجمه می سازد از این سو با ترجمه کل Private IP های شبکه ما به یک Public IP امکان کشف کلاینت های درون شبکه ما با Public IP بسیار دشوار می شود و از این رو امنیت شبکه خود را نیز تعمین کرده اییم

انواع مختلف NAT وجود دارند که عبارتند از:

• Static NAT
• Dynamic NAT
• PAT ( OverLoaded NAT )

 بررسی انواع NAT Type

• Static NAT: در Static NAT یک آدرس Private IP به یک آدرس Public IP ترجمه می شود و آدرس Private IP ما در دنیای Internet با آدرس Public IP اختصاص داده شده قابل مشاهده و یافتن می باشد

• Dynamic NAT: در این روش برای تمامی Private IP های درون شبکه می بایست Public IP داشته باشیم ، در این روش Public IP های ما درون یک Pool قرار می گیرند و اگر کلاینت های ما 10 کامپیوتر باشند و Public IP موجود در Pool ما 5 عدد باشد به منظور دسترسی کامپیوتر های درون شبکه فقد می توانند 5 نفر از آن ها به Internet دسترسی داشته باشند و در صورت تمام شدن Pool کامپیوتر ششم می بایست صبرکن که یکی از کامپیوتر ها از Internet خارج شود تا یک Public IP آزاد شود و بتواند به شبکه Internet متصل شود. در این روش می بایست Public IP های درون Pool با تعداد کلاینت های که قرار است به Internet دسترسی داشته باشند یکسال باشد

• PAT ( OverLoaded NAT ): در روش PAT مزیت های مختلفی وجود دارد و پیاده سازی آن نیز بسیار شبیه به Dynamic NAT می باشد با این تفاوت که به تعداد دستگاه هایی که می خواهند از اینترنت استفاده کنند نیاز به Public IP برای هرکدام نداریم و تعداد آن Public IP ها می تواند کمتر و یا حتی یک عدد باشد.

مفاهیم Inside و OutSide در NAT

• Inside Local Address: به آدرس های غیرمعتبر درون شبکه که توسط Service Provider و یا NIC ارائه داده نشده اند به عبارتی این آدرس ها همان Private IP های ما هستند
• Inside Global Address: به آدرس های معتبری که توسط Service Provider و یا NIC ارائه داده شده اند که توسط آن ها کاربران Public IP خود را درون شبکه Internet داشته باشند به عبارتی این آدرس ها همان Public IP های ما هستند
• Outside Local Address: به آدرس های درون شبکه (Private IP) که ما با استفاده از شبکه های خارج از آن شبکه توانایی اتصال و برقراری ارتباط با آن هارا داریم گفته می شود
• Outside Global Address: به آدرس های Public IP بیرون شبکه ما که توانایی دسترسی به آن هارا داریم گفته می شود به عنوان مثال آدرس وب سایت Tosinso

پیاده سازی Static NAT

فرض کنید قضد داریم یک کلاینت با آدرس Private IP برابر با 192.168.100.10 که قرار است به آدرس Public برابر با 50.50.50.1 ترجمه شود

Router#enable
Router#configure terminal 
Router(config)#ip nat inside source static 192.168.100.10 50.50.50.1

شبکه را به تقسیم بندی Outside و Inside بر روی Interface های داخلی و خارجی تقسیم بندی می کنیم

Router(config)#interface fastethernet 0/0
Router(config-if)#ip nat inside
Router(config)#interface fastethernet 0/1
Router(config-if)#ip nat outside

سپس دستور زیر را به منظور Verification پیکربندی خود استفاده می کنیم

Router#show ip nat translations 
Pro Inside global      Inside local       Outside local      Outside global
icmp 50.50.50.1:0      192.168.100.10:0   50.50.50.1:0       50.50.50.1:0
icmp 50.50.50.1:0      192.168.100.10:0   192.168.100.10:0   192.168.100.10:0

پیاده سازی Dynamic NAT

سناریو ما شکل زیر می باشد:

برای پیاده سازی Dynamic NAT ابتدا به منظور تعیین Traffic های مجاز به منظور NAT از یک Standard ACL استفاده می کنیم

1Router(config)#access-list 10 permit 192.168.100.0 0.0.0.255

پس از آن یک Pool به شکل زیر تعریف می کنیم و Public IP های مد نظر خودمان را درونش قرار می دهیم

1Router(config)#ip nat pool virgool 50.50.50.1 50.50.50.2 prefix-length 24

پس از آن NAT را پیاده سازی می کنیم و ACL و Pool متعلق به Public IP هایمان را بهش معرفی می کنیم

1Router(config)#ip nat inside source list 10 pool tosinso

پس از آن هم شبکه را براساس Outside و Inside تقسیم بندی می کنیم

Router(config)#interface fastethernet 0/0
Router(config-if)#ip nat inside
Router(config)#interface fastethernet 0/1
Router(config-if)#ip nat outside

پیاده سازی PAT

طبق عادت همیشگی خودم که در دوره های که تدریس می‌کنم از چند قسمت که میگذریم بررخی پیاده سازی هارا به عهده خوده دانشجو و خواننده می گذارم که به عنوان یک کار عملی اینکار را انجام دهند و با Research و تحقیق و پیاده سازی به تنهایی آشنا شود و عادت کند در این دوره پیااده سازی PAT را نیز برعهده شما عزیزان قرار می‌دهم

اگر در یادگیری سیسکو مشکل دارید ، به شما پیشنهاد می کنیم از طریق دوره های آموزش سیسکو حرفه ای سایت توسینسو و با دوره آموزش CCNA روتینگ و سویچینگ شروع کنید ، فراموش نکنید که پیشنیاز همه این دوره های آموزش شبکه ، دوره آموزش نتورک پلاس است ، فراموش نکنید توسینسو اولین و بهترین انتخاب شما در حوزه آموزش فناوری اطلاعات فارسی است.