CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 128

BÀI 20: CU HÌNH OSPF GIA
WINDOWS SERVER 2003 VÀ ROUTER

1. Gii thiu :
Trong bài lab này chúng ta s kho sát cu hình OSPF gia mt máy Server s dng
Windows 2003 và router.
PC có th đc s dng làm Router, đng thi có th tích hp vào h thng router và đnh
tuyn thông qua giao thc chun OSPF.

2. Mô t bài lab và đ hình :



 hình bài lab nh hình v, chúng ta s cu hình loopback 0 cho các router. a ch IP
ca các interface đc ghi trên hình. Lu ý, khi cu hình IP cho server, chúng ta không cu
hình default gateway.
Server hot đng ging nh Router, nó s trao đi các thông tin đnh tuyn thông qua giao
thc OSPF và có th bit đc các mng 10.0.0.0, 12.0.0.0  đu xa.

3. Cu hình cho các router :
Chúng ta cu hình cho cho các router nh sau :
Vsic1#sh run
Building configuration
Current configuration : 592 bytes
version 12.1
hostname Vsic1
interface Loopback0

ip address 10.0.0.1 255.255.0.0
interface Serial0
CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 129

ip address 192.168.1.1 255.255.255.0
router ospf 1
log-adjacency-changes
network 10.0.0.0 0.0.255.255 area 0
network 192.168.1.0 0.0.0.255 area 0
end

Vsic2#sh run
Building configuration
Current configuration : 712 bytes
version 12.1
hostname Vsic2
interface Loopback0
ip address 11.1.0.1 255.0.0.0
interface Ethernet0
ip address 15.1.0.1 255.0.0.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
clockrate 64000
interface Serial1
ip address 170.1.0.1 255.255.0.0
router ospf 1
log-adjacency-changes

network 11.1.0.0 0.255.255.255 area 0
network 15.0.0.0 0.255.255.255 area 0
network 170.1.0.0 0.0.255.255 area 0
network 192.168.1.0 0.0.0.255 area 0
end

Vsic3#sh run
Building configuration
Current configuration : 608 bytes
version 12.1
hostname Vsic3
interface Loopback0
ip address 12.1.0.1 255.255.255.252
interface Serial0
ip address 170.1.0.2 255.255.0.0
clockrate 64000
router ospf 1
log-adjacency-changes
network 12.1.0.0 0.0.0.3 area 0
network 170.1.0.0 0.0.255.255 area 0
end

4. Cu hình cho server :
CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 130

Chúng ta vào Start Program Administrative Tools Routing And Remote Access.
Sau đó chn PC chúng ta mun cu hình ri nhp chut phi chn Configure and Enable
Routing and Remote Access.




Ri nhn Next chn Custom Configuration Next chn Lan routing Next Finish
Yes.
Click vào IP routing, bên ô ca s bên phi chúng ta nhp chut phi vào General ri chn
New Routing Protocol …



Chn Open Shortest Path Frist (OSPF) OK
Nhp chut phi vào OSPF (trong IP routing) chn New Interface. Trong ô ca s hin ra
chn Local Area Connection OK
Trong ca s hin ra, đánh du chn Enable OSPF for this address, trong phn Network Type,
ta chn mc Broadcast. Sau đó nhn OK.

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 131



Chúng ta có th set cost cho route này bng cách nhp giá tr vàp ô Cost, và đ u tiên cho
router bng cách nhp giá tr vào ô Router priority. Router nào có đ u tiên cao nht s là
designated router.
Nhp chut phi vào OSPF chn Properties. Trong ca s hin ra chn Enable antonomous
system boundary router.

CCNA Tài liu dành cho hc viên


VSIC Education Corporation Trang 132



Click vào tab Areas, chn 0.0.0.0 nhn Edit



Trong ca s va hin ra, b Enable plaintext password OK

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 133



Chúng ta nhn chut phi vào OSPF chn Show Link-state Database. Trong ca s hin ra
chúng ta s tht đc các mng ca router Vsic1, Vsic2, Vsic3.



Bây gi chúng ta s ping ti các mng ca ba router đ kim tra.

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 134



Chúng ta ping thành công mng 10.0.0.0 ca Vsic1, các bn tip tc ping ti các mng khác

đ kim tra và chc chn s thành công. Nh vy toàn mng đã liên lc đc vi nhau. Vic
chy OSPF gia Winserver 2003 và router đã thành công.

5. T thc hành s dng Dynagen :
i vi bài thc hành này, ta có th s dng máy tính hin hành chy h điu hành
2003 hay có th s dng máy o.
Trc tiên ta kim tra vic cài đ
t admin tool “ Routing và Remote Access” trong Win
2003. Sau đó tin hành Bridge card mng ca máy s dng vi Router VSIC2.


CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 135


Chy file lab20ospfs.net đ thc hành và chnh đa ch card mng phù hp vi PC win
2003
# Simple lab

[localhost]

[[3640]]
image = \Program Files\Dynamips\images\C3640_IS_MZ122_3.BIN
# On Linux / Unix use forward slashes:
# image = /opt/7200-images/c7200-jk9o3s-mz.124-7a.image
ram=96

[[ROUTER VSIC1]]
model=3640

s1/0 = VSIC2 s1/0
[[router VSIC2]]
s1/1 = VSIC3 s1/1
F0/0 = NIO_gen_eth:\Device\NPF_{3E56FAD7-7D96-4763-AD9E-6232CA66410B}
å
thay đi đa ch mng  dòng này
model=3640
[[ROUTER VSIC3]]
model=3640

# No need to specify an adapter here, it is taken care of
# by the interface specification under Router VSIC1
Chúng ta bt đu thc hành, ta hãy th thêm 1 giao thc có trong admin tool “Routing
và Remote Access “ là RIP.





















CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 136

Phn 4 : ACCESS LIST và NAT
BÀI 21: STANDAR ACCESS LIST
1. Gii thiu:
-Mt trong nhng công c rt quan trng trong Cisco Router đc dùng trong lnh vc
security là Access List. ây là mt tính nng giúp bn có th cu hình trc tip trên
Router đ to ra mt danh sách các đa ch mà bn có th cho phép hay ngn cn vic truy
cp vào mt đa ch nào đó.
-Access List có 2 loi là Standard Access List và Extended Access List.
-Standard Access List: đy là loi danh sách truy cp mà khi cho phép hay
ngn cn vic truy cp,Router ch ki
m tra mt yu t duy nht là đa ch ngun(Source
Address)
-Extended Access List: đây là loi danh sách truy cp m rng hn so vi loi
Stanhdar,các yu t v đa ch ngun, đa ch đích,giao thc,port s đc kim tra trc khi
Router cho phép vic truy nhp hay ngn cn.
2. Mô t bài lab và đ hình :
-Bài Lab này giúp bn thc hin vic cu hình Standard Access List cho Cisco
Router vi mc đích ng
n không cho host truy cp đn router VSIC2.






3. Cu hình router :

Router Vsic1

Vsic1#show run
CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 137

Building configuration

Current configuration:
!
version 12.0
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Vsic1
!
ip subnet-zero
!
process-max-time 200
!
interface Ethernet0
ip address 11.0.0.1 255.255.255.0
no ip directed-broadcast
!

interface Serial0
ip address 192.168.1.1 255.255.255.0
no ip directed-broadcast
!
interface Serial1
no ip address
no ip directed-broadcast
shutdown
!
ip classless
no ip http server
!
line con 0
transport input none
line 1 8
line aux 0
line vty 0 4
!
end

Router Vsic2

Vsic2#show run
Building configuration

Current configuration:
!
version 12.1
service timestamps debug uptime
CCNA Tài liu dành cho hc viên


VSIC Education Corporation Trang 138

service timestamps log uptime
no service password-encryption
!
hostname Vsic2
!
ip subnet-zero
!
interface Ethernet0
no ip address
shutdown
!
interface Serial0
ip address 192.168.1.2 255.255.255.0
clockrate 56000
!
interface Serial1
no ip address
shutdown
!
ip classless
no ip http server
!
line con 0
transport input none
line 1 8
line aux 0
line vty 0 4

!
end

Host:
IP Address:11.0.0.2
Subnet mask:255.255.255.0
Gateway:11.0.0.1

-Bn thc hin vic đnh tuyn cho các Router nh sau(Dùng giao thc RIP):

Vsic1(config)#router rip
Vsic1(config-router)#net 192.168.1.0
Vsic1(config-router)#net 11.0.0.0

Vsic2(config)#router rip
Vsic2(config-router)#net 192.168.1.0
Vsic2(config-router)#net 10.0.0.0

-Bn thc hin kim tra quá trình đnh tuyn:

Vsic2#ping 192.168.1.1
CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 139


Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/34/36 ms


Vsic2#ping 11.0.0.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.0.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/34/36 ms

Vsic2#ping 11.0.0.2

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.0.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/34/40 ms


-Sau quá trình đnh tuyn,kim tra chc chn rng mng đã đc thông,bn thc hin vic
to Access List Standar đ ngn không cho Router Vsic 2 ping vào Host.
-Vì khi lu thông,gói tin mun đn đc đa ch ca Host bt but phi đi qua Router
Vsic1.

-Bn thc hin to Access List trên Router Vsic 1 nh sau:

Vsic1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
Vsic1(config)#access-list 1 deny 11.0.0.2 0.0.0.0
//t chi s truy nhp ca đa ch 11.0.0.2//

-Lúc này b
n thc hin lnh Ping t Host đn VSIC2


CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 140





-Bn thy lnh Ping thc hin vn thành công, lý do là bn cha m ch đ
Access list trên interface ethernet0 ca router Vsic1

Vsic1(config)#int e0
Vsic1(config-if)#ip access-group 1 in
//ngn cn đng vào ca serial 0 theo access group 1//

-Sau khi apply access list vào interface ethernet 0, ta ping t PC1 đn VSIC2.


Bây gi ta đi đa ch ca PC thành 11.0.0.3, và th ping li 1 ln na.


CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 141



-Bn thy lnh Ping vn không thành cng, lý do là khi không tìm thy đa ch source
(đa ch l) trong danh sách Access list, router s mc đnh thc hin Deny any,vì vy bn

phi thay đi mc đnh này. Sau đây là lnh debug ip packet ti VSIC1 khi thc hin lnh
ping trên.





Vsic1(config)#access-list 1 permit any

-Lúc này bn thc hin li lnh Ping t PC1 đn VSIC2

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 142




-Bn thy lnh Ping đã thành công, đn đây bn đã cu hình xong Standard Access
List.
4. T cu hình bng Dynagen:
Click file lab21acls.net và cu hình theo s đ sau:




Thay vì apply ACL ti interface Fa0/0 theo chiu in, ta có th hin đi vi interface
s1/0 theo chiu out. Ta cu hình tng t và test theo hng dn ca bài trên.



CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 143

BÀI 22: EXTENDED ACCESS LIST

1. Gii thiu :
- bài trc bn đã thc hin vic cu hình Standard Access List, bài Lab này bn s
tip tc tìm hiu sâu hn v Extended Access List. ây là m rng ca Standard Access List,
trong quá trình kim tra, Router s kim tra các yu t v đa ch ngun, đích,giao thc và
port…
2. Mô t bài lab và đ hình :
-Mc đích ca bài Lab:Bn thc hin cu hình Extended Access List sao cho Host1
không th Telnet vào Router Vsic 2 nhng vn có th duyt web qua Router Vsic2
Bn thc hin đ hình nh sau:






Bn thc hin vic cu hình cho Router và Host nh đ hình trên:
3. Cu hình router :

Host1:

IP Address:11.0.0.2
Subnet mask:255.255.255.0
Gateway:11.0.0.1


CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 144

Host2:

IP Address:10.0.0.2
Subnet mask:255.255.255.0
Gateway:10.0.0.1

Router Vsic1:


vsic1#show run
Building configuration

Current configuration:
!
version 12.0
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic1
!
ip subnet-zero
!
process-max-time 200
!
interface Ethernet0

ip address 11.0.0.1 255.255.255.0
no ip directed-broadcast
!
interface Serial0
ip address 192.168.1.1 255.255.255.0
no ip directed-broadcast
!
interface Serial1
no ip address
no ip directed-broadcast
shutdown
!
line con 0
transport input none
line 1 8
line aux 0
line vty 0 4
!
end

Router Vsic2

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 145

Building configuration

Current configuration:
!

version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic2
!
enable secret 5 $1$V7En$XlyfRt14RWv2KPO9goxVt. //mt khu secret l à
Router//
!
ip subnet-zero
!
interface Ethernet0
ip address 10.0.0.1 255.255.255.0
!
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
clockrate 56000
!
interface Serial1
no ip address
shutdown
!
ip classless
no ip http server
!
line con 0
transport input none
line 1 8

line aux 0
line vty 0 4
password cisco
login
!
end

-Bn thc hin vic đnh tuyn(s dng Rip)

vsic1(config)#router rip
vsic1(config-router)#net 11.0.0.0
vsic1(config-router)#net 192.168.1.0


CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 146

vsic2(config)#router rip
vsic2(config-router)#net 10.0.0.0
vsic2(config-router)#net 192.168.1.0

-Bn thc hin lnh Ping đ kim tra quá trình đnh tuyn.Sau khi chc chn rng quá
trình đnh tuyn đã thành công.
-Ti Router Vsic2 bn thc hin câu lnh:

vsic2(config)#ip http server //Câu lnh này dùng đ gi mt http server trên Router//
-Lúc này Router s đóng vai trò nh mt Web Server
-Sau khi quá trình đnh tuyn đã thành công,bn thc hin các bc Telnet và duyt
Web t Host 1 vào Router Vsic2.

-Chú ý :đ thành công vic Telnet bn ph
i Login cho đng line vty và đt mt
khu cho đng này( đây là Cisco)
Telnet:




Duyt web

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 147

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 148



Bn nhp vào User Name và Password
User name:Vsic2
Password:Router



-Các bc trên đã thành công,bn thc hin vic cu hình Access list
vsic2#conf t
Enter configuration commands, one per line. End with CNTL/Z.
vsic2(config)#access-list 101 deny tcp 11.0.0.2 0.0.0.0 192.168.1.2 0.0.0.0 eq telnet


vsic2(config)#int s0
vsic2(config-if)#ip access-group 101 in

-Bn thc hin li vic Telnet nh trên,bn nhn thy quá trình Telnet không thành
công nhng bc duyt Web ca bn cng không thành công.
-Theo yêu cu bn ch ngn cm Telnet nhng cho phép quá trình duyt Web

Telnet

CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 149



Duyt Web



- thành công bc duyt Web,bn thc hin câu lnh thay đi vic Deny any mc
đnh ca Access List.
vsic2(config)#access-list 101 permit ip any any
-Bn chú ý rng các câu lnh trong Access List extended không ging nh trong
Access List Standard vì trong Access List Extended,Router s kim tra c đa ch
ngun,đích,giao thc và port Permit ip any any có ngha là cho phép tt c các đa ch
ngun và đích khác(không tìm thy trong danh sách Access List) chy trên nn giao thc IP đi
qua.
Lúc này bn thc hin li quá trình duyt web



CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 150



Bn nhp vào User Name và Password
User name:Vsic2
Password:Router



-n đây bn đã thành công vic cu hình cho Extended Access List,bn đã thc hin
đc yêu cu to Access List cho Router vi mc đích ngn cm vic Telnet vào Router
và cho phép quá trình duyt Web vào Router.Bn cng có th m rng thêm đ hình vi
nhiu Router đ thc tp vic cu hình Access List cho Router vi nhng yêu cu bo mt
khác nhau.
4. T Thc hành bng Dynagen:
S d
ng file lab22acle.net đ thc hành. S đ và cách cu hình tng t nh trên.










CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 151

BÀI 23: TN CÔNG ROUTER BNG FLOOD


1. Mô t bài lab và cu hình :


 hình bài lab trên hình trên, chúng ta s bt http server trên router Vsic2 và Deny
Service này bng DoS trên S0 ca router Vsic2 đa ch là 192.168.1.2, ta cu hình access-list
101 áp vào interface S0, ni dung ca access-list 101 này là cm tt c các gói đi vào interface
này (s dng đ Defense).

2. Cu hình ca Router :
Cu hình ca các router :
Vsic1#show run
Building configuration
Current configuration : 559 bytes
version 12.1
hostname Vsic1
interface Ethernet0
ip address 10.1.0.1 255.255.255.0
interface Serial0
ip address 192.168.1.1 255.255.255.0
no fair-queue
clockrate 64000
router rip
network 10.0.0.0

network 192.168.1.0
end

Vsic2#show run
Building configuration
Current configuration : 616 bytes
version 12.1
hostname Vsic2
interface Loopback0
CCNA Tài liu dành cho hc viên

VSIC Education Corporation Trang 152

ip address 11.1.0.1 255.255.255.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
router rip
network 11.0.0.0
network 192.168.1.0
ip http server
access-list 101 deny tcp any 10.1.0.0 0.0.0.255
access-list 101 permit ip any any
end
Chúng ta bt http server trên router Vsic2 bng cách :
Vsic2(config)#ip http server

3. Thc thi DoS :
Sau khi cu hình xong, ta chy th Web Service trên router 2501 bng vào Internet
explorer browser, và nhp vào khung Address :
http://192.168.3.1/

và chc chn Service này
đang chy.

Bây gi, chúng ta vào command prompt khi đng chng trình bonk ( />)



Chng trình này s gi packet liên tc đn đa ch mà chúng ta nhp vào (Interface
S0 ca Vsic2). Lúc này to router Vsic2 chúng ta đã cu hình access-list là deny tt c các gói
đn đa ch 192.168.1.2 (interface S0 ca Vsic2). Chúng ta có th xem quá trình đu tiên là
khi mi bt đu gi gói t phn mm file chy bonk, nhng gói t phn mm này gi b deny
: (s dng câu lnh debug ip packet detail đ hin th thông tin v các gói trên Vsic2)

01:35:27: IP: s=192.168.1.2 (local), d=58.78.126.160, len 56, unroutable
01:35:28: IP: s=234.163.97.104 (Serial0), d=192.168.1.2, len 56, access denied
01:35:28: IP: s=90.18.161.21 (Serial0), d=192.168.1.2, len 56, access denied
01:35:28: IP: s=192.168.1.2 (local), d=90.18.161.21, len 56, unroutable
01:35:29: IP: s=212.188.230.189 (Serial0), d=192.168.1.2, len 56, access denied