Lab Security

Travaux pratiques 4.6.
1 : configuration de base de la scurit

Diagramme de topologie
Table dadressage
Priphrique R1 Interface Fa0/1 S0/0/0 Fa0/1 S0/0/0 S0/0/1 Lo0 Fa0/1 S0/0/1 VLAN10 VLAN20 Adresse IP 192.168.10.1 10.1.1.1 192.168.20.1 10.1.1.2 10.2.2.1 209.165.200.225 192.168.30.1 10.2.2.2 192.168.10.2 192.168.30.2 Masque de sous-rseau 255.255.255.0 255.255.255.252 255.255.255.0 255.255.255.252 255.255.255.252 255.255.255.224 255.255.255.0 255.255.255.252 255.255.255.0 255.255.255.0 Passerelle par dfaut N/D N/D N/D N/D N/D N/D N/D N/D N/D N/D
R2
R3 Comm1 Comm3
Copyright sur lintgralit du contenu 1992 2007 Cisco Systems, Inc. Tous droits rservs. Ce document contient des informations publiques Cisco.
Page 1 sur 37
CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise
Travaux pratiques 4.6.1 : configuration de base de la scurit
PC1 PC3 Serveur TFTP
Carte rseau Carte rseau Carte rseau
192.168.10.10 192.168.30.10 192.168.20.254
255.255.255.0 255.255.255.0 255.255.255.0
192.168.10.1 192.168.30.1 192.168.20.1
Objectifs pdagogiques
lissue de ces travaux pratiques, vous serez en mesure deffectuer les tches suivantes : Cbler un rseau conformment au diagramme de topologie Supprimer la configuration de dmarrage et recharger un routeur pour revenir aux paramtres par dfaut Excuter les tches de configuration de base dun routeur Configurer la scurit de base des ports Dsactiver les services et interfaces Cisco inutiliss Protger les rseaux d'entreprise contre des principales attaques externes et internes Comprendre et grer les fichiers de configuration Cisco IOS ainsi que le systme de fichiers Cisco Configurer et utiliser Cisco SDM (Security Device Manager) et SDM Express pour dfinir la scurit de base dun routeur Configurer les rseaux locaux virtuels (VLAN) sur les commutateurs
Scnario
Dans le cadre de ces travaux pratiques, vous apprendrez configurer les paramtres de scurit de base du rseau. Pour ce faire, vous utiliserez le rseau illustr sur le diagramme de topologie. Vous apprendrez galement configurer la scurit dun routeur de trois manires : en utilisant linterface de ligne de commande (ILC), la fonction de scurit automatique, ou Cisco SDM. Enfin, vous apprendrez grer le logiciel Cisco IOS.
Tche 1 : prparation du rseau

tape 1 : cblage dun rseau similaire celui du diagramme de topologie Vous pouvez utiliser nimporte quel routeur durant les travaux pratiques, condition qu'il soit quip des interfaces indiques dans la topologie. Remarque : ces travaux pratiques ont t dvelopps et tests laide de routeurs 1841. si vous utilisez les routeurs 1700, 2500 ou 2600, les sorties des routeurs et les descriptions des interfaces apparatront diffremment. tape 2 : suppression des configurations existantes sur les routeurs
Page 2 sur 37
Tche 2 : excution des configurations de routeur de base

tape 1 : configuration des routeurs Configurez les routeurs R1, R2 et R3 conformment aux instructions suivantes : Configurez le nom d'hte du routeur conformment au diagramme de topologie. Dsactivez la recherche DNS. Configurez une bannire de message du jour. Configurez les adresses IP sur R1, R2 et R3. Activez la version 2 du protocole RIP sur l'ensemble des routeurs de tous les rseaux. Crez une interface de bouclage sur R2 afin de simuler une connexion Internet. Configurez un serveur TFTP sur R2. Vous pouvez tlcharger le logiciel serveur TFTP partir de : http://tftpd32.jounin.net/
tape 2 : configuration des interfaces Ethernet Configurez les interfaces Ethernet de PC1, PC3 et du serveur TFTP laide des adresses IP et des passerelles par dfaut figurant dans la table dadressage fournie au dbut de ces travaux pratiques. tape 3 : test de la configuration dun PC par lenvoi dune commande ping la passerelle par dfaut, partir de chaque PC et du serveur TFTP
Tche 3 : scurisation du routeur par rapport aux accs non autoriss

tape 1 : configuration des mots de passe scuriss et authentification AAA Configurez des mots de passe scuriss sur R1 laide dune base de donnes locale. Dans ces travaux pratiques, le mot de passe utiliser est ciscoccna. R1(config)#enable secret ciscoccna Comment la configuration dun mot de passe enable secret contribue-t-elle protger un routeur dune attaque ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________ La commande username permet de dfinir un nom d'utilisateur et un mot de passe, enregistrs localement sur le routeur. Par dfaut, le niveau de privilge de lutilisateur est dfini sur 0 (le niveau daccs le plus bas). Vous pouvez modifier le niveau daccs assign un utilisateur en ajoutant le mot cl privilege 0 15 avant le mot cl password. R1(config)#username ccna password ciscoccna La commande aaa permet dactiver le protocole AAA (Authentication, Authorization and Accounting : authentification, autorisation et comptabilisation) de manire globale sur le routeur. Cette commande est utilise lors de la connexion au routeur. R1(config)#aaa new-model
Page 3 sur 37
Vous pouvez crer une liste dauthentification qui est consulte lorsquun utilisateur tente de se connecter au priphrique, une fois que vous laurez applique aux lignes vty et aux lignes de la console. Le mot cl local indique que la base de donnes de lutilisateur est enregistre localement sur le routeur. R1(config)#aaa authentication login LOCAL_AUTH local Les commandes suivantes indiquent au routeur que les utilisateurs qui tentent de se connecter doivent tre authentifis via la liste que vous venez de crer. R1(config)#line console 0 R1(config-lin)#login authentication LOCAL_AUTH R1(config-lin)#line vty 0 4 R1(config-lin)#login authentication LOCAL_AUTH Dans la section de configuration en cours suivante, quel lment vous semble non scuris ? R1#show run <rsultat omis> ! enable secret 5 $1$.DB7$DunHvguQH0EvLqzQCqzfr1 ! aaa new-model ! aaa authentication login LOCAL_AUTH local ! username ccna password 0 ciscoccna ! <rsultat omis> ! banner motd ^CUnauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law^C ! line con 0 logging synchronous login authentication LOCAL_AUTH line aux 0 line vty 0 4 login authentication LOCAL_AUTH ! __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________
Pour appliquer un chiffrement simple sur les mots de passe, entrez la commande suivante en mode de configuration globale : R1(config)#service password-encryption Pour vrifier cela, excutez la commande show run.
Page 4 sur 37
R1#show run service password-encryption ! enable secret 5 $1$.DB7$DunHvguQH0EvLqzQCqzfr1 ! aaa new-model ! aaa authentication login LOCAL_AUTH local ! username ccna password 7 0822455D0A1606141C0A <rsultat omis> ! banner motd ^CCUnauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law^C ! line con 0 logging synchronous login authentication LOCAL_AUTH line aux 0 line vty 0 4 login authentication LOCAL_AUTH ! tape 2 : protection des lignes de console et des lignes VTY Vous pouvez faire en sorte que le routeur dconnecte une ligne qui a t inactive pendant une priode donne. Si un ingnieur rseau est connect un priphrique rseau, quil est appel et quil part subitement, cette commande permet de le dconnecter automatiquement au bout de la priode indique. Les commandes suivantes permettent la dconnexion dune ligne au bout de 5 minutes. R1(config)#line console 0 R1(config-lin)#exec-timeout 5 0 R1(config-lin)#line vty 0 4 R1(config-lin)#exec-timeout 5 0 La commande suivante permet dempcher les tentatives de connexion en force. Le routeur bloque les tentatives de connexion pendant 5 minutes si un utilisateur effectue 2 tentatives de connexion sans y parvenir au bout de 2 minutes. Pour rpondre aux objectifs de ces travaux pratiques, la dure dfinie est particulirement courte. Une action supplmentaire consiste consigner chaque tentative de ce type. R1(config)#login block-for 300 attempt 2 within 120 R1(config)#security authentication failure rate 5 log Pour vrifier cela, essayez de vous connecter R1, partir de R2, via le protocole Telnet laide dun nom dutilisateur et dun mot de passe incorrects. Sur R2 : R2#telnet 10.1.1.1 Trying 10.1.1.1 ... Open Unauthorized access strictly prohibited, violators will be prosecuted to the full extent of the law User Access Verification Username: cisco Password:
Page 5 sur 37
% Authentication failed User Access Verification Username: cisco Password: % Authentication failed [Connection to 10.1.1.1 closed by foreign host] R2#telnet 10.1.1.1 Trying 10.1.1.1 ... % Connection refused by remote host Sur R1 : *Sep 10 12:40:11.211: %SEC_LOGIN-5-QUIET_MODE_OFF: Quiet Mode is OFF, because block period timed out at 12:40:11 UTC Mon Sep 10 2007
Tche 4 : scurisation de laccs au rseau

tape 1 : prvention de la propagation dune mise jour de routage RIP Quelle machine peut recevoir des mises jour de routage RIP sur un segment de rseau au niveau duquel le protocole RIP est activ ? Sagit-il de la configuration la plus approprie ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________ La commande passive-interface empche les routeurs denvoyer des mises jour de routage toutes les interfaces, except celles configures pour participer ces mises jour. Cette commande doit tre excute lors de la configuration du protocole RIP. La premire commande permet de dfinir toutes les interfaces en mode passif (linterface reoit uniquement les mises jour de routage RIP). La deuxime commande permet de rtablir le mode actif pour certaines interfaces (qui peuvent alors envoyer et recevoir des mises jour RIP). R1 R1(config)#router rip R1(config-router)#passive-interface default R1(config-router)#no passive-interface s0/0/0 R2 R2(config)#router rip R2(config-router)#passive-interface default R2(config-router)#no passive-interface s0/0/0 R2(config-router)#no passive-interface s0/0/1 R3 R3(config)#router rip R3(config-router)#passive-interface default R3(config-router)#no passive-interface s0/0/1
Page 6 sur 37
tape 2 : prvention de la rception non autorise des mises jour RIP Pour scuriser le protocole RIP, vous devez tout dabord bloquer les mises jour RIP inutiles. Vous devez ensuite protger les mises jour RIP au moyen dun mot de passe. Pour ce faire, vous devez dabord configurer la cl utiliser. R1(config)#key chain RIP_KEY R1(config-keychain)#key 1 R1(config-keychain-key)#key-string cisco Ces informations doivent tre ajoutes tous les routeurs destins recevoir des mises jour RIP. R2(config)#key chain RIP_KEY R2(config-keychain)#key 1 R2(config-keychain-key)#key-string cisco R3(config)#key chain RIP_KEY R3(config-keychain)#key 1 R3(config-keychain-key)#key-string cisco Pour utiliser la cl, vous devez configurer chacune des interfaces participant aux mises jour RIP. Ces interfaces sont celles qui ont t prcdemment actives laide de la commande no passive-interface. R1 R1(config)#int s0/0/0 R1(config-if)#ip rip authentication mode md5 R1(config-if)#ip rip authentication key-chain RIP_KEY ce stade, R1 ne reoit plus les mises jour RIP issues de R2, tant donn que ce dernier nest pas encore configur pour utiliser une cl permettant les mises jour de routage. Vous pouvez observer cette situation sur R1, en excutant la commande show ip route et en vrifiant quaucune route provenant de R2 ne figure dans la table de routage. Effacez les routes IP laide de la commande clear ip route * ou attendez lexpiration de leur dlais dattente. R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, *-candidate default, U-per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set C C 10.0.0.0/8 is variably subnetted, 1 subnets, 1 masks 10.1.1.0/24 is directly connected, Serial0/0/0 192.168.10.0 is directly connected, Serial0/0/0
Pour utiliser lauthentification de routage, vous devez configurer R2 et R3. Notez que chaque interface active doit tre configure. R2 R2(config)#int s0/0/0 R2(config-if)#ip rip authentication mode md5 R2(config-if)#ip rip authentication key-chain RIP_KEY R2(config)#int s0/0/1
Page 7 sur 37
R2(config-if)#ip rip authentication mode md5 R2(config-if)#ip rip authentication key-chain RIP_KEY R3 R3(config)#int s0/0/1 R3(config-if)#ip rip authentication mode md5 R3(config-if)#ip rip authentication key-chain RIP_KEY tape 3 : vrification du fonctionnement du routage RIP Une fois les trois routeurs configurs en vue dutiliser lauthentification de routage, les tables de routage doivent nouveau tre alimentes avec toutes les routes RIP. prsent, R1 doit disposer de toutes les routes via RIP. Vrifiez cela laide de la commande show ip route. R1#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, *-candidate default, U-per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set R C R R C 192.168.30.0/24 [120/2] via 10.1.1.2, 00:00:16, Serial0/0/0 192.168.10.0/24 is directly connected, FastEthernet0/1 192.168.20.0/24 [120/1] via 10.1.1.2, 00:00:13, Serial0/0/0 10.0.0.0/8 is variably subnetted, 2 subnets, 1 masks 10.2.2.0/24 [120/1] via 10.1.0.2, 00:00:16, Serial0/0/0 10.1.1.0/24 is directly connected, Serial0/0/0
Tche 5 : consignation des activits via le protocole SNMP (Simple Network Management Protocol)
tape 1 : configuration de la consignation via le protocole SNMP vers le serveur syslog Il peut tre utile deffectuer une consignation via SNMP dans le cadre de la surveillance de lactivit dun rseau. Les informations ainsi consignes peuvent tre envoyes vers un serveur syslog du rseau, o elles peuvent tre analyses et archives. Soyez prudent lorsque vous configurez une consignation (syslog) sur le routeur. Lors du choix de lhte de consignation, rappelez-vous que ce dernier doit tre connect un rseau fiable ou protg, ou bien une interface de routeur ddie ou isole. Au cours de ces travaux pratiques, vous apprendrez configurer lordinateur PC1 en tant que serveur syslog pour R1. Utilisez la commande logging pour slectionner ladresse IP du priphrique vers lequel les messages SNMP sont envoys. Dans lexemple suivant, ladresse IP de PC1 est utilise. R1(config)#logging 192.168.10.10 Remarque : si vous souhaitez consulter les messages syslog, le logiciel syslog doit tre install et excut sur PC1. Dans ltape suivante, vous allez dfinir le niveau de gravit des messages envoyer au serveur syslog.
Page 8 sur 37
tape 2 : configuration du niveau de gravit SNMP Le niveau des messages SNMP peut tre ajust afin de permettre ladministrateur de dterminer les types de messages envoys au priphrique syslog. Les routeurs prennent en charge diffrents niveaux de consignation. Il existe huit niveaux, allant de 0 (Urgence, le systme est instable) 7 (Dbogage, des messages contenant des informations sur le routeur sont envoys). Pour configurer les niveaux de gravit, utilisez le mot cl associ chaque niveau, comme indiqu dans le tableau ci-dessous. Niveau de gravit 0 1 2 3 4 5 6 7 Mot cl emergencies alerts critical errors warnings notifications informational debugging Description Systme inutilisable Action immdiate requise Conditions critiques Conditions derreur Conditions davertissement Condition normale mais sensible Messages informatifs Messages de dbogage
La commande logging trap permet de dfinir le niveau de gravit. Le niveau de gravit inclut le niveau spcifi et tout ce qui figure au-dessous (du niveau normal au niveau de gravit spcifi). Dfinissez R1 sur le niveau 4 pour capturer des messages avec des niveaux de gravit 4, 5, 6 et 7. R1(config)#logging trap warnings Quel est le danger de dfinir un niveau de gravit trop lev ou trop faible ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________
Remarque : si vous avez install le logiciel syslog sur PC1, lancez-le et consultez les messages gnrs.
Page 9 sur 37
Tche 6 : dsactivation des services rseau Cisco inutiliss

tape 1 : dsactivation des interfaces inutilises Pourquoi est-il ncessaire de dsactiver les interfaces inutilises sur les priphriques rseau ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________ Dans le diagramme de topologie, vous pouvez voir que R1 ne doit utiliser que les interfaces S0/0/0 et Fa0/1. Toutes les autres interfaces sur R1 doivent tre dsactives sur le plan administratif, laide de la commande de configuration dinterface shutdown. R1(config)#interface fastethernet0/0 R1(config-if)#shutdown R1(config-if)# interface s0/0/1 R1(config-if)#shutdown *Sep 10 13:40:240.887: %LINK-5-CHANGED: Interface FastEthernet0/0, changed state to administratively down *Sep 10 13:40:250.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to down Pour vrifier si toutes les interfaces inactives de R1 ont bien t dsactives, utilisez la commande show ip interface brief. Les interfaces dsactives manuellement sont rpertories comme tant dsactives sur le plan administratif. R1#sh ip interface brief Interface IP-Address FastEthernet0/0 unassigned FastEthernet0/1 192.168.10.1 Serial0/0/0 10.1.0.1 Serial0/0/1 unassigned OK? YES YES YES YES Method unset manual manual unset Status Protocol administratively down down up up up up administratively down down
tape 2 : dsactivation des services globaux inutiliss De nombreux services ne sont pas requis dans la plupart des rseaux modernes. Si les services inutiliss restent activs, les ports restent ouverts et peuvent alors tre utiliss pour compromettre un rseau. Dsactivez tous les services inutiliss sur R1. R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no R1(config)#no service pad service finger service udp-small-server service tcp-small-server ip bootp server ip http server ip finger ip source-route ip gratuitous-arps cdp run
Page 10 sur 37
tape 3 : dsactivation des services dinterface inutiliss Les commandes ci-aprs sont saisies au niveau de linterface et doivent tre appliques chaque interface sur R1. R1(config-if)#no R1(config-if)#no R1(config-if)#no R1(config-if)#no R1(config-if)#no R1(config-if)#no ip redirects ip proxy-arp ip unreachables ip directed-broadcast ip mask-reply mop enabled
Quel type dattaque la dsactivation des commandes IP redirects, IP unreachables et IP directed broadcasts peut-elle empcher ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________ tape 4 : utilisation de la fonction AutoSecure pour scuriser un routeur Cisco laide dune seule commande en mode CLI (Interface de ligne de commande), la fonction AutoSecure vous permet de dsactiver les services IP communs pouvant tre exploits par des attaques rseau et dactiver des fonctions et des services IP pouvant tre utiles dans la protection dun rseau lors dune attaque. La fonction AutoSecure simplifie la configuration de la scurit dun routeur et renforce la configuration de ce mme routeur. Elle vous permet dappliquer plus rapidement les mmes fonctions de scurit que celles que vous venez dappliquer (sauf pour la scurisation du protocole RIP) un routeur. Comme vous avez dj scuris R1, utilisez la commande auto secure sur R3. R3#auto secure --- AutoSecure Configuration --*** AutoSecure configuration enhances the security of the router, but it will not make it absolutely resistant to all security attacks *** AutoSecure will modify the configuration of your device. All configuration changes will be shown. For a detailed explanation of how the configuration changes enhance security and any possible side effects, please refer to Cisco.com for Autosecure documentation. At any prompt you may enter '?' for help. Use ctrl-c to abort this session at any prompt. Gathering information about the router for AutoSecure Is this router connected to internet? [no]: yes Enter the number of interfaces facing the internet [1]: 1 Interface FastEthernet0/0 FastEthernet0/1 Serial0/0/0 Serial0/0/1 IP-Address unassigned 192.168.30.1 unassigned 10.2.2.2 OK? YES YES YES YES Method unset manual manual manual Status down up down up Protocol down up down up
Page 11 sur 37
Enter the interface name that is facing the internet: Serial0/0/1 Securing Management plane services... Disabling service finger Disabling service pad Disabling udp & tcp small servers Enabling service password encryption Enabling service tcp-keepalives-in Enabling service tcp-keepalives-out Disabling the cdp protocol Disabling the bootp server Disabling the http server Disabling the finger service Disabling source routing Disabling gratuitous arp Enable secret is either not configured or Is the same as enable password Enter the new enable password: ciscoccna Confirm the enable password: ciscoccna Enter the new enable password: ccnacisco Confirm the enable password: ccnacisco Configuration of local user database Enter the username: ccna Enter the password: ciscoccna Confirm the password: ciscoccna Configuring AAA local authentication Configuring Console, Aux and VTY lines for local authentication, exec-timeout, and transport Securing device against Login Attacks Configure the following parameters Blocking Period when Login Attack detected: 300 Maximum Login failures with the device: 5 Maximum time period for crossing the failed login attempts: 120 Configure SSH server? Yes Enter domain-name: cisco.com Configuring interface specific AutoSecure services Disabling the following ip services on all interfaces: no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply Disabling mop on Ethernet interfaces Securing Forwarding plane services... Enabling CEF (This might impact the memory requirements for your platform) Enabling unicast rpf on all interfaces connected to internet
Page 12 sur 37
Configure CBAC firewall feature: no Tcp intercept feature is used prevent tcp syn attack On the servers in the network. Create autosec_tcp_intercept_list To form the list of servers to which the tcp traffic is to be observed Enable TCP intercept feature: yes This is the configuration generated: no service finger no service pad no service udp-small-servers no service tcp-small-servers service password-encryption service tcp-keepalives-in service tcp-keepalives-out no cdp run no ip bootp server no ip http server no ip finger no ip source-route no ip gratuitous-arps no ip identd security passwords min-length 6 security authentication failure rate 10 log enable password 7 070C285F4D061A061913 username ccna password 7 045802150C2E4F4D0718 aaa new-model aaa authentication login local_auth local line con 0 login authentication local_auth exec-timeout 5 0 transport output telnet line aux 0 login authentication local_auth exec-timeout 10 0 transport output telnet line vty 0 4 login authentication local_auth transport input telnet line tty 1 login authentication local_auth exec-timeout 15 0 line tty 192 login authentication local_auth exec-timeout 15 0 login block-for 300 attempts 5 within 120 service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone logging facility local2 logging trap debugging service sequence-numbers logging console critical logging buffered interface FastEthernet0/0
Page 13 sur 37
no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply no mop enabled interface FastEthernet0/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply no mop enabled interface Serial0/0/0 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/0/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/1/0 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply interface Serial0/1/1 no ip redirects no ip proxy-arp no ip unreachables no ip directed-broadcast no ip mask-reply ip cef access-list 100 permit udp any any eq bootpc interface Serial0/0/1 ip verify unicast source reachable-via rx allow-default 100 ip tcp intercept list autosec_tcp_intercept_list ip tcp intercept drop-mode random ip tcp intercept watch-timeout 15 ip tcp intercept connection-timeout 3600 ip tcp intercept max-incomplete low 450 ip tcp intercept max-incomplete high 550 ! end Apply this configuration to running-config? [yes]:yes The name for the keys will be: R3.cisco.com % The key modulus size is 1024 bits % Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
Page 14 sur 37
R3# 000045: *Nov 16 15:39:10.991 UTC: %AUTOSEC-1-MODIFIED: AutoSecure configuration has been Modified on this device Comme vous pouvez le constater, la fonction AutoSecure permet une configuration plus rapide quune configuration ligne par ligne. Toutefois, la configuration manuelle prsente galement des avantages, que nous aborderons dans les travaux pratiques relatifs au dpannage. Lorsque vous utilisez la fonction AutoSecure, il se peut que vous dsactiviez un service dont vous avez besoin. Soyez toujours trs prudent et dterminez soigneusement les services dont vous avez besoin avant dutiliser AutoSecure.
Tche 7 : gestion de Cisco IOS et des fichiers de configuration

tape 1 : affichage des fichiers IOS Cisco IOS est le logiciel qui permet aux routeurs de fonctionner. Il se peut que votre routeur dispose de suffisamment de mmoire pour stocker plusieurs images Cisco IOS. Il est important de savoir quels fichiers sont stocks sur votre routeur. Excutez la commande show flash pour afficher le contenu de la mmoire flash de votre routeur. Attention : soyez trs prudent lorsque vous excutez des commandes impliquant la mmoire flash. Une erreur dans la saisie dune commande peut entraner la suppression de limage Cisco IOS. R2#show flash -#- --length-1 13937472 2 1821 3 4734464 4 833024 5 1052160 -----date/time-----May 05 2007 21:25:14 May 05 2007 21:40:28 May 05 2007 21:41:02 May 05 2007 21:41:24 May 05 2007 21:41:48 path +00:00 +00:00 +00:00 +00:00 +00:00
c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar
8679424 bytes available (23252992 bytes used) En parcourant cette liste, vous pouvez dj dterminer les lments suivants : Limage est destine un routeur 1841 (c1841-ipbase-mz.124-1c.bin). Le routeur utilise une image de base IP (c1841-ipbase-mz.124-1c.bin). La version du logiciel Cisco IOS est 12.4(1c) (c1841-ipbase-mz.124-1c.bin). SDM est install sur ce priphrique (sdmconfig-18xx.cfg, sdm.tar).
Vous pouvez utiliser la commande dir all pour afficher tous les fichiers sur le routeur. R2#dir all Directory of archive:/ No files in directory No space information available Directory of system:/ 3 1 2 dr-x -rwdr-x 0 979 0 <no date> <no date> <no date> memory running-config vfiles
No space information available Directory of nvram:/
Page 15 sur 37
189 190 191 1
-rw----rw-rw-
979 5 979 0
<no <no <no <no
date> date> date> date>
startup-config private-config underlying-config ifIndex-table
196600 bytes total (194540 bytes free) Directory of flash:/ 1 -rw- 13937472 2 -rw1821 3 -rw- 4734464 4 -rw833024 5 -rw- 1052160 6 -rw1038 7 -rw102400 8 -rw491213 9 rw398305 10 -rw- 1684577 k9.pkg May May May May May May May May May May 05 05 05 05 05 05 05 05 05 05 2007 2007 2007 2007 2007 2007 2007 2007 2007 2007 20:08:50 20:25:00 20:25:38 20:26:02 20:26:30 20:26:56 20:27:20 20:27:50 20:29:08 20:28:32 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml home.tar 128MB.sdf sslclient-win-1.1.0.154.pkg securedesktop-ios-3.1.1.27-
31932416 bytes total (8679424 bytes free) tape 2 : transfert des fichiers via le protocole TFTP Le protocole TFTP est utilis lors de larchivage et de la mise jour du logiciel Cisco IOS dun priphrique. Cependant, dans ces travaux pratiques, nous nutilisons pas des fichiers Cisco IOS rels car toute erreur commise lors de la saisie dune commande peut entraner la suppression de limage Cisco IOS du priphrique. la fin de cette section, vous trouverez un exemple de transfert TFTP de fichiers Cisco IOS. Pourquoi est-il important de disposer dune version actualise du logiciel Cisco IOS ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________ Lors dun transfert de fichiers via TFTP, il est important de vrifier la communication entre le serveur TFTP et le routeur. Pour ce faire, excutez une requte ping entre ces deux priphriques. Pour commencer le transfert du logiciel Cisco IOS, crez un fichier nomm test sur le serveur TFTP, dans le dossier racine TFTP. Ce fichier peut tre vide, car cette tape sert uniquement illustrer les tapes effectues. Chaque programme TFTP stocke les fichiers dans un emplacement diffrent. Consultez le fichier daide du serveur TFTP pour dterminer le dossier racine. partir de R1, procdez lextraction du fichier et enregistrez-le dans la mmoire flash. R2#copy tftp flash Address or name of remote host []? 192.168.20.254 (adresse IP du serveur TFTP) Source filename []? Test (nom du fichier que vous avez cr et enregistr sur le serveur TFTP) Destination filename [test]? test-server (nom arbitrairement attribu au fichier lors de son enregistrement sur le routeur) Accessing tftp://192.168.20.254/test... Loading test from 192.168.20.254 (via FastEthernet0/1): ! [OK - 1192 bytes]
Page 16 sur 37
1192 bytes copied in 0.424 secs (2811 bytes/sec) Vrifiez lexistence du fichier dans la mmoire flash laide de la commande show flash. R2#show flash -#- --length-1 13937472 2 1821 3 4734464 4 833024 5 1052160 6 1038 7 102400 8 491213 9 1684577 10 398305 11 1192 -----date/time-----May 05 2007 21:13:20 May 05 2007 21:29:36 May 05 2007 21:30:14 May 05 2007 21:30:42 May 05 2007 21:31:10 May 05 2007 21:31:36 May 05 2007 21:32:02 May 05 2007 21:32:30 May 05 2007 21:33:16 May 05 2007 21:33:50 Sep 12 2007 07:38:18 path +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00
c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml home.tar 128MB.sdf securedesktop-ios-3.1.1.27-k9.pkg sslclient-win-1.1.0.154.pkg test-server
8675328 bytes available (23257088 bytes used) Les routeurs peuvent galement agir comme des serveurs TFTP. Cela peut tre utile si un priphrique a besoin dune image et que lun de vos priphriques utilise dj cette image. Configurons R2 en tant que serveur TFTP de R1. Notez que les images Cisco IOS sont spcifiques aux plates-formes de routeur et aux besoins en matire de mmoire. Soyez prudent lorsque vous transfrez une image Cisco IOS dun routeur lautre. La syntaxe de commande est la suivante : tftp-server nvram: [nomfichier1 [alias nomfichier2] La commande ci-aprs permet de configurer R2 en tant que serveur TFTP. R2 envoie son fichier de configuration de dmarrage aux priphriques qui le demandent, via TFTP (nous utilisons la configuration de dmarrage pour une question de simplicit). Le mot-cl alias permet aux priphriques de demander le fichier en utilisant lalias test au lieu du nom de fichier complet. R2(config)#tftp-server nvram:startup-config alias test prsent, nous pouvons demander le fichier partir de R2 en utilisant R1. R1#copy tftp flash Address or name of remote host []? 10.1.1.2 Source filename []? test Destination filename []? test-router Accessing tftp://10.1.1.2/test... Loading test from 10.1.1.2 (via Serial0/0/0): ! [OK - 1192 bytes] 1192 bytes copied in 0.452 secs (2637 bytes/sec) Vrifiez une nouvelle fois que le fichier test a t correctement copi laide de la commande show flash. R1#show flash -#- --length-1 13937472 2 1821 3 4734464 4 833024 5 1052160 6 1038 -----date/time-----May 05 2007 21:13:20 May 05 2007 21:29:36 May 05 2007 21:30:14 May 05 2007 21:30:42 May 05 2007 21:31:10 May 05 2007 21:31:36 path +00:00 +00:00 +00:00 +00:00 +00:00 +00:00
c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml
Page 17 sur 37
7 8 9 10 11 12
102400 491213 1684577 398305 1192 1192
May May May May Sep Sep
05 05 05 05 12 12
2007 2007 2007 2007 2007 2007
21:32:02 21:32:30 21:33:16 21:33:50 07:38:18 07:51:04
+00:00 +00:00 +00:00 +00:00 +00:00 +00:00
home.tar 128MB.sdf securedesktop-ios-3.1.1.27-k9.pkg sslclient-win-1.1.0.154.pkg test-server test-router
8671232 bytes available (23261184 bytes used) prsent, supprimez les fichiers inutiles de la mmoire flash de R1, pour viter dutiliser trop despace mmoire. Soyez particulirement prudent lorsque vous effectuez cette opration ! La suppression accidentelle de la mmoire flash vous obligerait rinstaller lensemble de limage IOS du routeur. Si le routeur vous invite supprimer la mmoire flash, via erase flash, cela indique quil se passe quelque chose danormal. Il est extrmement rare de devoir supprimer l'ensemble de la mmoire flash. Le seul cas lgitime o cela peut se produire est lors de la mise niveau du systme IOS vers une grande image IOS. Si linvite erase flash saffiche comme dans lexemple, ARRTEZ IMMDIATEMENT. Ne validez PAS. Demandez IMMDIATEMENT laide de votre formateur. Erase flash: ?[confirm] no R1#delete flash:test-server Delete filename [test-server]? Delete flash:test? [confirm] R1#delete flash:test-router Delete filename [test-router]? Delete flash:test-router? [confirm] Vrifiez que les fichiers ont t supprims laide de la commande show flash. Ceci est seulement un exemple. Neffectuez pas cette tche. R1#show flash -#- --length-1 13937472 2 1821 3 4734464 4 833024 5 1052160 6 1038 7 102400 8 491213 9 1684577 10 398305 -----date/time-----May 05 2007 21:13:20 May 05 2007 21:29:36 May 05 2007 21:30:14 May 05 2007 21:30:42 May 05 2007 21:31:10 May 05 2007 21:31:36 May 05 2007 21:32:02 May 05 2007 21:32:30 May 05 2007 21:33:16 May 05 2007 21:33:50 path +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00
c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml home.tar 128MB.sdf securedesktop-ios-3.1.1.27-k9.pkg sslclient-win-1.1.0.154.pkg
8679424 bytes available (23252992 bytes used) Voici un exemple de transfert TFTP dun fichier dimage Cisco IOS. Neffectuez PAS cet exemple sur vos routeurs. Lisez-le simplement. R1#copy tftp flash Address or name of remote host []? 10.1.1.2 Source filename []? c1841-ipbase-mz.124-1c.bin Destination filename []? flash:c1841-ipbase-mz.124-1c.bin Accessing tftp://10.1.1.2/c1841-ipbase-mz.124-1c.bin...
Page 18 sur 37
Loading c1841-ipbase-mz.124-1c.bin from 10.1.1.2 (via Serial0/0/0): !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! <rsultat omis> !!!!!!!!!!!!!!!!!!!!!!!!!!!! [OK - 13937472 bytes] 13937472 bytes copied in 1113.948 secs (12512 bytes/sec) tape 3 : restauration dun mot de passe laide de ROMmon Si, pour une raison quelconque, vous ne parvenez plus accder un priphrique car vous ignorez, avez perdu ou oubli le mot de passe, vous pouvez encore y accder en modifiant le registre de configuration. Le registre de configuration indique au routeur la configuration charger lors du dmarrage. Dans le registre de configuration, vous pouvez demander au routeur de dmarrer partir dune configuration vierge, non protge par un mot de passe. Pour modifier le registre de configuration, la premire tape consiste afficher le paramtre actuel, laide de la commande show version. Ces oprations sont excutes sur le routeur R3. R3#show version Cisco IOS Software, 1841 Software (C1841-IPBASE-M), Version 12.4(1c), RELEASE SOFTWARE (fc1) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2005 by Cisco Systems, Inc. Compiled Tue 25-Oct-05 17:10 by evmiller ROM: System Bootstrap, Version 12.4(13r)T, RELEASE SOFTWARE (fc1) R3 uptime is 25 minutes System returned to ROM by reload at 08:56:50 UTC Wed Sep 12 2007 System image file is "flash:c1841-ipbase-mz.124-1c.bin" Cisco 1841 (revision 7.0) with 114688K/16384K bytes of memory. Processor board ID FTX1118X0BN 2 FastEthernet interfaces 2 Low-speed serial(sync/async) interfaces DRAM configuration is 64 bits wide with parity disabled. 191K bytes of NVRAM. 31360K bytes of ATA CompactFlash (Read/Write) Configuration register is 0x2102 La seconde tape consiste recharger le routeur et appuyer sur la touche Pause, lors du dmarrage. Lemplacement de la touche Pause est diffrente dun ordinateur lautre. En gnral, elle se trouve dans le coin suprieur droit du clavier. Une pause permet au priphrique de basculer en mode appel ROMmon. Dans ce mode, il nest pas ncessaire que le priphrique ait accs un fichier dimage Cisco IOS. R3#reload Proceed with reload? [confirm] *Sep 12 08:27:280.670: %SYS-5-RELOAD: Reload requested by console. Reload Reason: Reload command. System Bootstrap, Version 12.4(13r)T, RELEASE SOFTWARE (fc1) Technical Support: http://www.cisco.com/techsupport Copyright (c) 2006 by cisco Systems, Inc. PLD version 0x10
Page 19 sur 37
GIO ASIC version 0x127 c1841 platform with 131072 Kbytes of main memory Main memory is configured to 64 bit mode with parity disabled Readonly ROMMON initialized rommon 1 >
Modifiez la valeur du registre de configuration par une valeur permettant de charger la configuration initiale du routeur. Cette configuration ne dispose pas de mot de passe configur, mais elle prend en charge les commandes Cisco IOS. Dfinissez la valeur du registre de configuration sur 0x2142. rommon 1 > confreg 0x2142 La valeur du registre tant modifie, vous pouvez dmarrer le priphrique laide de la commande reset. rommon 2 > reset program load complete, entry point: 0x8000f000, size: 0xcb80 program load complete, entry point: 0x8000f000, size: 0xcb80 program load complete, entry point: 0x8000f000, size: 0xd4a9a0 Self decompressing the image : ########################################################### ############################################################################# # [OK] <rsultat omis> --- System Configuration Dialog --Would you like to enter the initial configuration dialog? [yes/no]: no Press RETURN to get started! tape 4 : restauration du routeur prsent, copiez la configuration de dmarrage vers la configuration en cours, restaurez cette configuration, puis rtablissez le registre de configuration sa valeur par dfaut (0x2102). Pour copier la configuration de dmarrage de la mmoire NVRAM vers la mmoire en cours, entrez la commande copy startup-config running-config. Attention : ne saisissez pas la commande copy running-config startup-config, car vous risquez de supprimer la configuration de dmarrage. Router#copy startup-config running-config Destination filename [running-config]? {enter} 2261 bytes copied in 0.576 secs (3925 bytes/sec) R3#:show running-config <rsultat omis> enable secret 5 $1$31P/$cyPgoxc0R9y93Ps/N3/kg. ! <rsultat omis> !
Page 20 sur 37
key chain RIP_KEY key 1 key-string 7 01100F175804 username ccna password 7 094F471A1A0A1411050D ! interface FastEthernet0/1 ip address 192.168.30.1 255.255.255.0 no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast shutdown duplex auto speed auto ! interface Serial0/0/1 ip address 10.2.2.2 255.255.255.252 no ip redirects no ip unreachables no ip proxy-arp no ip directed-broadcast shutdown ip rip authentication mode md5 ip rip authentication key-chain RIP_KEY ! <rsultat omis> ! line con 0 exec-timeout 5 0 logging synchronous login authentication transport output telnet line aux 0 exec-timeout 15 0 logging synchronous login authentication local_auth transport output telnet line vty 0 4 exec-timeout 15 0 logging synchronous login authentication local_auth transport input telnet ! end Dans cette configuration, la commande shutdown saffiche sur toutes les interfaces, car ces interfaces sont toutes fermes. Le plus important est que vous puissiez voir les mots de passe (enable, enable secret, VTY, console) au format chiffr ou non. Vous pouvez rutiliser les mots de passe non chiffrs. Vous devez remplacer les mots de passe chiffrs par un nouveau mot de passe. R3#configure terminal Enter configuration commands, one per line. End with CNTL/Z. R3(config)#enable secret ciscoccna R3(config)#username ccna password ciscoccna Excutez la commande no shutdown sur chaque interface que vous souhaitez utiliser.
Page 21 sur 37
R3(config)#interface FastEthernet0/1 R3(config-if)#no shutdown R3(config)#interface Serial0/0/0 R3(config-if)#no shutdown Vous pouvez excuter une commande show ip interface brief afin de confirmer que la configuration de votre interface est correcte. Chacune des interfaces que vous souhaitez utiliser doit afficher up . R3#show ip interface brief Interface IP-Address FastEthernet0/0 unassigned FastEthernet0/1 192.168.30.1 Serial0/0/0 10.2.2.2 Serial0/0/1 unassigned OK? YES YES YES YES Method NVRAM NVRAM NVRAM NVRAM Status Protocol administratively down down up up up up administratively down down
Entrez la commande config-register valeur du registre de configuration. La variable valeur du registre de configuration peut tre la valeur que vous avez note ltape 3 ou 0x2102. Enregistrez la configuration en cours. R3(config)#config-register 0x2102 R3(config)#end R3#copy running-config startup-config Destination filename [startup-config]? Building configuration... [OK] Quels sont les inconvnients dune rcupration de mot de passe ? __________________________________________________________________________________ __________________________________________________________________________________ __________________________________________________________________________________
Tche 8 : utilisation de SDM pour la scurisation dun routeur

Au cours de cette tche, vous allez utiliser SDM (Security Device Manager) et linterface utilisateur graphique pour scuriser le routeur R2. Lutilisation de SDM est plus rapide que la saisie de chaque commande et vous permet davantage de contrle que la fonction AutoSecure. Vrifiez si SDM est install sur le routeur : R2#show flash -#- --length-1 13937472 2 1821 3 4734464 4 833024 5 1052160 6 1038 7 102400 8 491213 9 1684577 10 398305 11 2261 12 2506 -----date/time-----Sep 12 2007 08:31:42 May 05 2007 21:29:36 May 05 2007 21:30:14 May 05 2007 21:30:42 May 05 2007 21:31:10 May 05 2007 21:31:36 May 05 2007 21:32:02 May 05 2007 21:32:30 May 05 2007 21:33:16 May 05 2007 21:33:50 Sep 25 2007 23:20:16 Sep 26 2007 17:11:58 path +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00 +00:00
c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml home.tar 128MB.sdf securedesktop-ios-3.1.1.27-k9.pkg sslclient-win-1.1.0.154.pkg Tr(RIP) save.txt
Page 22 sur 37
Si SDM Nest PAS install sur le routeur, vous devez linstaller pour continuer la procdure. Pour ce faire, demandez les instructions votre formateur. tape 1 : connexion R2 via le serveur TFTP Crez un nom dutilisateur et un mot de passe sur R2. R2(config)#username ccna password ciscoccna Activez le serveur scuris http sur R2, puis connectez-vous R2 laide dun navigateur Web sur le serveur TFTP. R2(config)#ip http secure-server % Generating 1024 bit RSA keys, keys will be non-exportable...[OK] R2(config)# *Nov 16 16:01:07.763: %SSH-5-ENABLED: SSH 1.99 has been enabled *Nov 16 16:01:08.731: %PKI-4-NOAUTOSAVE: Configuration was modified. Issue "write memory" to save new certificate R2(config)#end R2#copy run start partir du serveur TFTP, ouvrez un navigateur Web et accdez https://192.168.20.1/. Connectez-vous avec le nom dutilisateur et le mot de passe crs prcdemment : Nom dutilisateur : ccna Mot de passe : ciscoccna Slectionnez lapplication Cisco Router and Security Device Manager. Ouvrez Internet Explorer et entrez ladresse IP de R2 dans la barre dadresse. Une nouvelle fentre souvre. Assurez-vous que tous les bloqueurs de fentre publicitaire intempestive sont dsactivs sur votre navigateur. Assurez-vous galement que JAVA est bien install et mis jour.
Une fois le chargement effectu, une nouvelle fentre SDM souvre.
Page 23 sur 37
tape 2 : accs la fonction daudit de scurit Cliquez sur le bouton Configure dans la partie suprieure gauche de la fentre.
Cliquez ensuite sur Security Audit, dans le panneau de gauche.
Une autre fentre souvre.
Page 24 sur 37
tape 3 : excution dun audit de scurit
Une brve prsentation de la fonction daudit de scurit saffiche. Cliquez sur Next pour ouvrir la fentre de configuration de linterface de la fonction daudit de scurit, Security Audit Interface configuration.
Une interface doit tre dfinie sur Outside (Untrusted) (non fiable) si vous ne pouvez garantir la lgitimit du trafic issu de cette interface. Dans cet exemple, les interfaces FastEthernet0/1 et Serial0/1/0 ne sont pas fiables. Dune part, Serial0/1/0 est directement connect Internet. Dautre part, Fastethernet0/1 est connect la partie accs au rseau. Un trafic illgitime peut donc sinfiltrer. Aprs avoir dfini les interfaces sur Outside (extrieure) et Inside (intrieure), cliquez sur Next. Une nouvelle fentre souvre, indiquant que SDM est en train deffectuer un audit de scurit.
Page 25 sur 37
Comme vous pouvez le constater, la configuration par dfaut nest pas scurise. Cliquez sur le bouton Close pour continuer. tape 4 : application des paramtres au routeur
Page 26 sur 37
Cliquez sur le bouton Fix All pour appliquer toutes les corrections de scurit proposes. Ensuite, cliquez sur le bouton Next.
Configurez un message de bannire utiliser comme message du jour pour le routeur, puis cliquez sur Next.
Dterminez ensuite le niveau de gravit des journaux de droutement que le routeur devra envoyer au serveur syslog. Dans ce scnario, le niveau de gravit est dfini sur le dbogage. Cliquez sur Next pour afficher un rcapitulatif des modifications sur le point dtre apportes au routeur.
Page 27 sur 37
tape 5 : validation de la configuration du routeur
Aprs avoir vrifi les modifications sur le point dtre effectues, cliquez sur Finish.
Page 28 sur 37
Cliquez sur OK pour quitter SDM.
Tche 9 : documentation des configurations des routeurs

Excutez la commande show run sur chaque routeur et capturez les configurations.
Tche 10 : remise en tat

Supprimez les configurations et rechargez les routeurs. Dconnectez le cblage et stockez-le dans un endroit scuris. Reconnectez le cblage souhait et restaurez les paramtres TCP/IP pour les PC htes habituellement connects aux autres rseaux (rseaux locaux de votre site ou Internet).
Page 29 sur 37
Annexe : installation de SDM

Diagramme de topologie
Scnario
Au cours de ces travaux pratiques, vous allez prparer laccs au routeur via Cisco Security Device Manager (SDM), laide de commandes de base, afin dtablir une connectivit entre SDM et le routeur. Vous installerez ensuite lapplication SDM en local sur votre PC hte. Enfin, vous installerez SDM dans la mmoire flash dun routeur.
tape 1 : prparation
Pour commencer ces travaux pratiques, supprimez toutes les configurations existantes et rechargez les priphriques. Une fois les priphriques rechargs, dfinissez les noms d'hte appropris. Vrifiez si le commutateur est correctement configur, de sorte que le routeur et lhte soient situs sur le mme rseau local virtuel. Par dfaut, tous les ports du commutateur sont assigns au rseau local virtuel VLAN 1. Assurez-vous que votre PC dispose de la configuration minimale requise pour la prise en charge de SDM. SDM peut tre install sur un PC excutant lun des systmes dexploitation suivants : Microsoft Windows ME Microsoft Windows NT 4.0 Workstation avec Service Pack 4 Microsoft Windows XP Professionnel Microsoft Windows 2003 Server (Standard Edition) Microsoft Windows 2000 Professionnel avec Service Pack 4
Remarque : Windows 2000 Advanced Server nest pas pris en charge. En outre, un navigateur Web utilisant SUN JRE version 1.4 ou ultrieure, ou un navigateur ActiveX, doit tre activ.
tape 2 : prparation du routeur pour SDM

Pour commencer, crez, sur le routeur, un nom dutilisateur et un mot de passe que vous utiliserez pour SDM. Cette connexion doit bnficier dun niveau de privilge dfini sur 15, afin de permettre SDM de modifier des paramtres de configuration sur le routeur. R1(config)# username ciscosdm privilege 15 password 0 ciscosdm Laccs HTTP au routeur doit tre configur pour permettre lexcution de SDM. Si votre image le prend en charge (vous devez disposer dune image IOS qui prend en charge la fonction de chiffrement), vous devez galement activer un accs HTTPS scuris, laide de la commande ip http secure-server. Lactivation du protocole HTTPS se rpercute sur les cls de chiffrement
Page 30 sur 37
RSA. Cela est normal. Assurez-vous galement que le serveur HTTP utilise la base donnes locale lors du processus dauthentification. R1(config)# ip http server R1(config)# ip http secure-server % Generating 1024 bit RSA keys, keys will be non-exportable...[OK] *Jan 14 20:19:45.310: %SSH-5-ENABLED: SSH 1.99 has been enabled *Jan 14 20:19:46.406: %PKI-4-NOAUTOSAVE: Configuration was modified. Issue "write memory" to save new certificate R1(config)# ip http authentication local Pour terminer, configurez les lignes de terminal virtuel du routeur afin de procder lauthentification par lintermdiaire de la base de donnes dauthentification locale. Autorisez lentre de lignes de terminal virtuel via les protocoles Telnet et SSH. R1(config)# line vty 0 4 R1(config-line)# login local R1(config-line)# transport input telnet ssh
tape 3 : configuration de ladressage

Configurez linterface Fast Ethernet sur le routeur, avec ladresse IP indique sur le diagramme. Si vous avez dj configur ladresse IP adquate, ignorez cette tape. R1(config)# interface fastethernet0/0 R1(config-if)# ip address 192.168.10.1 255.255.255.0 R1(config-if)# no shutdown Attribuez ensuite une adresse IP au PC. Si le PC dispose dj dune adresse IP dans le mme sous-rseau que le routeur, vous pouvez ignorer cette tape. Excutez une requte ping sur linterface Ethernet de R1 depuis le PC. Vous devez recevoir des rponses. Dans le cas contraire, vrifiez le rseau local virtuel des ports de commutation, ainsi que ladresse IP et le masque de sous-rseau de chaque priphrique connect au commutateur.
tape 4 : extraction de SDM sur lhte

prsent, le routeur est configur pour tre accessible partir de SDM et la connectivit est tablie entre le routeur et le PC. Vous pouvez ds lors configurer le routeur laide de SDM. Vous devez commencer par lextraction du fichier zip de SDM vers un rpertoire de votre disque dur. Dans cet exemple, nous utilisons le rpertoire C:\sdm\ . Vous pouvez bien entendu utiliser le chemin de votre choix. Le logiciel SDM est quasiment prt pour la configuration du routeur. La dernire tape consiste linstaller sur le PC.
tape 5 : installation de lapplication SDM sur le PC

Double-cliquez sur le programme excutable setup.exe pour ouvrir lassistant dinstallation. Une fois lassistant affich, cliquez sur Next. Acceptez les termes du contrat de licence, puis cliquez sur Next.
Page 31 sur 37
Sur lcran suivant, choisissez un emplacement dinstallation de SDM parmi les trois emplacements proposs.
Vous pouvez installer lapplication SDM sur lordinateur, sans la placer dans la mmoire flash du routeur, vous pouvez l'installer sur le routeur sans affecter lordinateur ou vous pouvez linstaller la fois sur le routeur et sur l'ordinateur. Ces diffrents types dinstallation sont trs similaires. Si vous ne souhaitez pas installer SDM sur votre ordinateur, passez directement ltape 7. Sinon, cliquez sur This Computer, puis sur Next. Utilisez le rpertoire de destination par dfaut, puis cliquez nouveau sur Next. Cliquez sur Install pour dmarrer linstallation. Le logiciel procde linstallation, puis une dernire bote de dialogue vous invite lancer SDM. Activez la case cocher Launch Cisco SDM, puis cliquez sur Finish.
tape 6 : excution de SDM depuis l'ordinateur

Si vous avez activ loption Launch Cisco SDM lors de ltape 5, lapplication SDM doit se lancer depuis le programme dinstallation. Dans le cas contraire, ou si vous excutez SDM sans lavoir install, cliquez sur licne Cisco SDM sur le bureau. La bote de dialogue de dmarrage de lapplication SDM saffiche. Renseignez ladresse IP du routeur, indique dans le diagramme, en tant quadresse IP du priphrique. Si vous avez activ le serveur scuris HTTP lors de ltape 2, activez la case cocher This device has HTTPS enabled and I want to use it.
Page 32 sur 37
Cliquez sur Yes lorsque le message davertissement de scurit saffiche. Sachez quau dbut, Internet Explorer peut bloquer lapplication SDM. Vous devez alors lautoriser ou modifier les paramtres de scurit dInternet Explorer pour pouvoir lutiliser. Selon la version dInternet Explorer que vous utilisez, lun de ces paramtres est tout particulirement important pour excuter SDM en local. Ce paramtre se trouve dans le menu Outils, sous Options Internet. Cliquez sur longlet Avanc, puis sous len-tte Scurit, activez la case cocher Autoriser le contenu actif sexcuter dans les fichiers de la zone Ordinateur local. Entrez le nom dutilisateur et le mot de passe que vous avez crs auparavant.
Vous pouvez tre amen accepter un certificat provenant de ce routeur. Pour continuer, acceptez le certificat. Entrez ensuite le nom dutilisateur et le mot de passe du routeur, puis cliquez sur Yes.
Page 33 sur 37
SDM procde la lecture de la configuration partir du routeur. Si la configuration ne prsente aucune erreur, vous pourrez accder au tableau de bord de lapplication de SDM. Si la configuration affiche vous semble correcte, cela signifie que vous avez russi configurer SDM et vous y connecter. Les informations affiches peuvent varier en fonction de la version de SDM utilise.
tape 7 : installation de SDM sur le routeur

Effectuez les instructions de ltape 6 jusqu ce que linvite prsente dans la figure suivante saffiche. Lorsque cette fentre saffiche, cliquez sur Cisco Router pour installer SDM dans la mmoire flash du routeur. Si vous ne souhaitez pas installer SDM dans la mmoire flash du routeur, ou si lespace disponible en mmoire flash est insuffisant, nessayez pas dinstaller SDM sur le routeur. Entrez les informations relatives au routeur afin de permettre au programme dinstallation dinstaller SDM sur le routeur et dy accder distance.
Page 34 sur 37
Cisco SDM se connecte au routeur. Certains messages consigns dans la console peuvent safficher. Cela est normal. Jan 14 16:15:26.367: %SYS-5-CONFIG_I: Configured from console by ciscosdm on vty0 (192.168.10.50) Choisissez Typical comme type dinstallation, puis cliquez sur Next. Conservez les options dinstallation par dfaut, puis cliquez sur Next.
Page 35 sur 37
Cliquez enfin sur Install pour lancer le processus dinstallation. Au cours de linstallation, dautres messages peuvent tre consigns dans la console. Le processus dinstallation peut prendre un certain temps (observez les horodatages affichs sur la sortie de la console pour estimer la dure du processus sur un Cisco 2811). La dure du processus varie selon le modle du routeur. Jan 14 16:19:40.795: %SYS-5-CONFIG_I: Configured from console by ciscosdm on vty0 (192.168.10.50) la fin de linstallation, vous tes invit lancer SDM sur le routeur. Avant deffectuer cette opration, accdez la console et excutez la commande show flash:. Notez tous les fichiers stocks par SDM dans la mmoire flash. Avant linstallation, le premier fichier, cest--dire limage IOS, tait le seul rpertori. R1# show flash: CompactFlash directory: File Length Name/status 1 38523272 c2800nm-advipservicesk9-mz.124-9.T1.bin 2 1038 home.shtml 3 1823 sdmconfig-2811.cfg 4 102400 home.tar 5 491213 128MB.sdf 6 1053184 common.tar 7 4753408 sdm.tar 8 1684577 securedesktop-ios-3.1.1.27-k9.pkg 9 398305 sslclient-win-1.1.0.154.pkg 10 839680 es.tar [47849552 bytes used, 16375724 available, 64225276 total] 62720K bytes of ATA CompactFlash (Read/Write)
Page 36 sur 37
tape 8 : excution de lapplication SDM partir du routeur

Ouvrez Internet Explorer et accdez ladresse URL https://<IP address>/ ou http://<IP address>/ , selon que vous avez ou non activ le serveur scuris HTTP au cours de ltape 2. Lorsque vous tes invit accepter le certificat, cliquez sur Yes. Ignorez les avertissements lis la scurit et cliquez sur Run. Entrez le nom dutilisateur et le mot de passe que vous avez configurs au cours de ltape 2.
SDM procde la lecture de la configuration partir du routeur. Une fois le chargement de la configuration actuelle du routeur termin, la page daccueil de Cisco SDM saffiche. Si la configuration affiche vous semble correcte, cela signifie que vous avez russi configurer SDM et vous y connecter. Les informations affiches peuvent tre diffrentes de celles qui figurent dans lillustration suivante, selon le numro de modle du routeur, la version de lIOS, etc.
Page 37 sur 37

Lab Security

Transféré par

Informations du documentcliquez pour développer les informations du document

Informations du documentcliquez pour développer les informations du document

Droits d'auteur :

Formats disponibles

Lab Security

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Lab Security

Transféré par

Droits d'auteur :

Formats disponibles

Travaux pratiques 4.6.

1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

PC1 PC3 Serveur TFTP

Carte rseau Carte rseau Carte rseau

192.168.10.10 192.168.30.10 192.168.20.254

255.255.255.0 255.255.255.0 255.255.255.0

192.168.10.1 192.168.30.1 192.168.20.1

Tche 1 : prparation du rseau

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

Tche 2 : excution des configurations de routeur de base

Tche 3 : scurisation du routeur par rapport aux accs non autoriss

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

Tche 4 : scurisation de laccs au rseau

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

Tche 6 : dsactivation des services rseau Cisco inutiliss

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

Tche 7 : gestion de Cisco IOS et des fichiers de configuration

c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar

No space information available Directory of nvram:/

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

189 190 191 1

<no <no <no <no

date> date> date> date>

startup-config private-config underlying-config ifIndex-table

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

c1841-ipbase-mz.124-1c.bin sdmconfig-18xx.cfg sdm.tar es.tar common.tar home.shtml

CCNA Exploration Accs au rseau tendu : scurit dun rseau dentreprise

Travaux pratiques 4.6.1 : configuration de base de la scurit

102400 491213 1684577 398305 1192 1192

May May May May Sep Sep

2007 2007 2007 2007 2007 2007

21:32:02 21:32:30 21:33:16 21:33:50 07:38:18 07:51:04