הגדרת NAT עם ACL - פרויקט גמר
ip nat inside, והממשק החיצוני עם ip nat outside.ip nat inside source list ... overload מאפשר לכמה מחשבים לחלוק כתובת חיצונית אחת. בפרויקט הזה זה הפתרון הרגיל, כי יש כתובת ציבורית אחת.פרקי ההרצאה: הגדרת NAT עם ACL - פרויקט גמר
תמלול ההרצאה: הגדרת NAT עם ACL - פרויקט גמר
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת NAT עם ACL - פרויקט גמר» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
טוב חברים, בחלק הזה אנחנו נדבר בעצם על כל הנושא של וואן ופתיחת פורטים באקסס ליסט. מה שעשינו עד עכשיו זה היה, הגדרנו פה וילאן. דרך אגב, ניתקתי פה את הכבל בגלל הספנינג טרי.
עשינו פה וילאן סרט ראשון, סרט שני עשינו פריים ריליי. עכשיו אנחנו עושים פתיחת פורט עד לשרת, כדי שהמיילים יגיעו לשרת הזה, אוקיי?
אני מזכיר לכם, יש לנו חברה עם סניף בתל אביב, סניף בחיפה, רק סניף בקריות, ורק סניף בקריות מחובר לאינטרנט.
אוקיי? יפה מאוד. טוב, אז בואו נתחיל. נעשה דבר כזה, אנחנו צריכים לדמות שם אינטרנט, אז בואו, כשתהיה לנו תקשורת כמו שצריך, אין לנו בעיות תקשורת, נעשה הדמיה של אינטרנט בצורה של מודם או ראוטר שמוציא אותנו לאינטרנט,
או איזשהו מחשב שבא מאינטרנט. תחשבו שזה מחשב שבא מאינטרנט. אוקיי מחשב שבא מאינטרנט ואנחנו מהמחשב שבא לאינטרנט נבדוק האם הפורטים פתוחים או חסומים זה אל תתבלבלו למרות שזה לא ברור זה one בואו נעשה איזה צבע אחר נעשה לכם צבע אדום שזה כאילו אינטרנט מסוכן מאוד המקום הזה הנה כזה דבר
צריך פיל זה אינטרנט או רואים איזה מקום מסוכן זה אינטרנט עכשיו לצורך הבדיקות שלנו כמובן שבעולם האמיתי יש פה אינטרנט ומודמים והכל יש לנו מישהו שבא מבחוץ אז אנחנו ניתן לזה איזושהי כתובת נעשה כתובת חיצונית כאילו אנחנו גוגל 8888 כן זאת תהיה רשת 880/24 בגדול אתם עושים what is my IP ובודקים אינטרנט חיצוני
להזכירכם יש לנו סרטים שממש ממש מסבירים את זה עכשיו אנחנו עושים את זה זריז כי זה פרויקט ולא הסבר כיוון שבפרויקט אתם כותבים כל דבר בנקודות שאתם מריצים ולמה אתם בחרתם את זה ומנפחים את זה.
אנחנו נכנסים לאינטרפייס סריאלי 00. כמובן גם בלי לנפח זה יוצא ארוך. מה, מה, מה, מה, מה, סליחה, אינטרפייס לא סריאלי, נחלפנו אותו, פסט אידרנט 00. יופי, נעשה פסט אידרנט 00 וניתן לו כתובת IP 8888. אנחנו גוגל, 250, 250, 250, 250, 0, no shutdown, יופי, וניתן למחשב הזה כתובת 8889,
לא משנה, קלאסי, יופי, 8888. כאילו מישהו שמגיע מבחוץ, זה לא משנה האם הוא הגיע דרך ראוטרים או בלי ראוטרים, העיקר שהוא הגיע. ממשיך, פינג, פינג, 8888, יש תקשורת.
בואו נבדוק בראוטר הזה האם יש לנו טבלת ניתוב כדי לעשות ניתוב show IP route אין לנו שום ניתובים צריך להוסיף ניתובים לכל הרשתות יאללה בואו נוסיף את זה זריז כי לא עשינו לא ריף ולא SPF לא EGRP לא כלום אז צריכים להוסיף ידנית IP route 192 168 2.0 255 255 255 0
דרך 10.1.1.1, כן, אתם זוכרים, אני אומר לו שפה זה 10.1.1.1, כן, יופי, מי ששכח, שגם אני כבר שכחתי, 10.1.1.1, זה 10.1.2 וזה 10.1.3, 2, 3, לכל הרשתות, 4, לא עשינו לו ניתוב סטטי, יופי, ויש לנו גם רשת, איזה רשת יש לנו פה?
גם רשת 10 מאחורי 2.2, יש לנו רשת 10 מאחורי 10.1.2, רשת 10, נכון, יופי, זה זה נכון, תמולות 10, 1, 2, 10, 1, 2, 1, בואו נבדוק, לא, איזה דפוק אני, זה לא זה, זה 10, 1, 2, הפוך, הפוך, הפוך, הפוך, זה לא ככה, זה נור, הרי הם באותו לאן, הם כאילו באותה כתובת, באותה רשת, 10, 1, 2, וזה פה 10, 1, 3,
מי שרוצה לדעת, יופי, 10, 1, 1, 3, יופי, הנה זה קריות, 10.1.3, 10.1.2, 10.1.1 זה ברשת החיצונית שלהם, הפרייבט של הבזק, הפרייבט שעובד דרך הבזק.
בום VPN כזה, שזה למעשה פריים ריליי. כי עשינו פה פריים ריליי, שזה כביכול חיצוני, אבל זה פנים-ארגוני, זה חיצוני, אבל אף אחד מבחוץ לא יכול להתחבר. חיצוני יחסית לסניף E, זה סניף אחד, זה סניף שני, זה סניף שלישי, רק סניף אחד מחובר לתל אביב.
יופי בוא נבדוק שזה עובד פינג עשר אני יודע מה אחד אחד אחד עובד ומפה פינג עשר אחד אחד אחד ירד פינג עשר אחד אחד אחד מפה הוא עובד יופי ומפה אני אגיד לכם למה הוא לא עובד כי אין לו ניתוב לשמונה שמונה שמונה הוא פה לא יודע מי זה שמונה שמונה שמונה כי אין לו default gateway שכחנו להגדיר לו default gateway בואו תראו enable show IP route אין לו default gateway אתם רואים אין לו כוכבית כן, אז אנחנו נכנסים לקונפטי ועושים לו IP
ראוט ועכשיו אנחנו צריכים להגיד לו לאן 0.0.0 סאבנט מאסק 0.0.0 דרך מ-10.113 זה אומר כל מי שאתה לא יודע מי זה תלך ל-10.113 כי 10.113 זה זה שמחובר לאינטרנט יופי אגב מי ששואל מאיפה יש לי את הדברים הסימן הזה זה כי זה גרסה החדשה של פקט טרסר יפה מאוד show IP ראוט הנה
וקיבלנו default gateway, אתם רואים זאת עם הכוכבית, השורה הזאת עם הכוכבית, השורה עם הכוכבית זה default gateway. אז פה יש פה default gateway, בואו נעשה גם פה default gateway, enable show IP route n default gateway cont t IP route 0000 0000 זה בדיוק כמו במחשב default gateway, ואז נותנים דרך איזה רגל לצאת.
תמיד נותנים את הרגל הפנימית לצאת החוצה. הוא לא יודע איך להגיע לרגילה חיצונית מלכתחילה, לא? תחשבו על זה בזמנכם הפנוי.
show IP route, יפה. מזמן לא אמרתי לכם שיש לנו סרטים גם על זה, כן? יופי. בסוף מקנפיגים את כל הרשת שהכול יעבוד לפי הדרישות. הנה הוא עובד.
טוב, ילדים, הגענו למצב שיש לנו פינג מפה לפה. זאת אומרת, פאקט מאינטרנט נכנס לראוטר של קריות, מראוטר של קריות מנותב דרך פריים ריליי לסניף בתל אביב, הוא מגיע לחדר שרתים לווילאן 2 שלו, נכון? איזה יפה.
יופי. למעשה, יש לנו פה ניתוב בין הסניפים, זה 1, 2, 3, זו רשת חיצונית כביכול, אבל כאילו הבזק נותנים לנו, רק לנו, לגשת אליה, שאף אחד לא יבין שקוצמים איתנו. יופי, יופי, יופי, יופי, יופי.
עכשיו, אנחנו רוצים פה לחסום פורטים, נכון? רוצים לחסום פורטים. אנחנו גם רוצים שהמזכירה לא תוכל לגלוש באינטרנט, אתם יכולים להמציא עוד דרישות נניח בשביל הרול גם שאתם יודעים וגם שיהיה מעניין ותגידו גם אם בפרויקט שלכם לא התבקשתם לעשות משהו אתם יכולים להוסיף את זה ככה שיהיה קצת פלפל ואקשן ותראו שאתם שולטים בידע דרך אגב לא
לשכוח לשים על כל הראוטרים סיסמאות כן זה שאנחנו עכשיו עובדים בלי סיסמאות על enable זה לא secured וזה לא טוב יופי ונשמור את הפרויקט כל הזמן יפה טוב בואו נתחיל לעשות access list פה נתחיל לעשות פה nut ואקסס ליסט, אוקיי?
כרגע אין nut ואין access list. טוב, אז בואו נתחיל עכשיו. טוב, בואו נתחיל. איך אנחנו מגדירים את זה? אנחנו קודם כל נכנסים לאינטרפס, אומרים 1 inside, 1 outside, ועושים אחרי זה access list ומפעילים את ה-nut על ה-access list.
אז בואו נתחיל. ניכנס ל-confty, ניכנס ל-interface, סריאלי 0.0.0 ונגדיר לו IP NAT ו-inside יופי עכשיו ניכנס לאינטרפייס פסט אינטרנט 0.0 זה השני ונעשה לו IP NAT outside יופי do show running config הנה 0.0 עם ה-8 זה ה-outside ו-0 סריאלי עם ה-frame relay זה ה-inside שלנו יפה יפה מאוד, אתם רואים לא שמנו פה סיסמה ל-VTY
שזה התחברות מרחוק דרך SSH זה לא טוב צריך לשים שם וסיסמה כדי לנהל את זה מרחוק ולא עם כבל קונסול לבוא הלאה כל פעם, יפה אז אל תשכחו לעשות בפרויקט לשים פה סיסמה, יפה אז אנחנו רוצים פה לעשות עכשיו עשינו אינסייד אאוטסייד עכשיו אנחנו צריכים לעשות למי מותר לגלוש אנחנו צריכים לעשות access list אז אנחנו נגיד שמותר לגלוש רק לרשת של
שרתים ועורכים ולמזכירות אסור לגלוש, אוקיי? יפה מאוד, אנחנו נעשה רק שרתים ועורכים, הם היחידים שמותר להם לגלוש. סניף חיפה אסור להם לגלוש באינטרנט וגם למזכירות אסור לגלוש באינטרנט.
לפני שאני מתחיל את כל הסיפור, אז בואו תראו שזה אכן עובד. פינג 888 בינתיים עובד ואנחנו רוצים לחסום שהם לא יוכלו לגלוש החוצה.
אנחנו מאשרים רק לשרתים ועורכים לגלוש החוצה. יופי. אז אנחנו עושים עכשיו access list אז נעשה access list.
עכשיו השאלה היא אם לעשות access list סטנדרטי או extended. ההבדל הוא שסטנדרט חוסם רק לפי source IP וה-extended יודע לחסום גם לפי port וגם לפי destination.
אז בינתיים אני רואה שאנחנו פה נצטרך רק לפי source אז נחסום את כל, נאשר ונחסום רק לפי רשת כי בינתיים זה הצורך שלנו. נעשה access list סתם אחד סימן שאלה מה אנחנו נעשה אנחנו נתחיל משורות של permit שורה ראשונה נעשה permit מותר למי מותר לרשת של שרתים 192 168 2 0 subnet mask 255 255 255 0 כן הם רוצים הפוך הם רוצים wildcards
נראה לי שגם ככה הוא יוכל טוב ננסה זה לא משנה נעשה ככה, עוד מעט אנחנו נבדוק, יפה מאוד. ושירתים, מי זה שירתים? שירתים זה עשינו, אורחים זה שלוש, יופי.
ונעשה D9 מפורש, D9 מפורש למרות שלא חייבים לכל האחרים, כן? נעשה D9 מפורש לכל האחרים, למרות שגם ככה יש D9, נעשה D9 Any, כאילו לכל השאר אני חוסם.
גם אני אוהב לעשות בסוף דיניי אני או הפוך לאשר לכולם שתיים לחסום אחד לאשר תמיד לעשות אני בסוף שאני אראה כל חוק כמה הוא תפס יופי יופי יופי דרך אגב אנחנו נראה דיניי אני יופי show access list do show access list אחד do show access list אחד הנה יש לנו פה שני פרמיטים ואחד דיניי אני אפשר לעשות גם הפוך לעשות שני
דיניים או דיניי אחד ולכולם לאשר תראו את הסרטים של access list יופי אז עשינו do show running config do show running config אז עשינו not inside outside אתם רואים עשינו פה access list ועכשיו נשאר לנו פקודה שמחברת את הכל ביחד IP not IP not עכשיו אנחנו בIP not יכולים להגיד שאנחנו הולכים לתת פקודה קודם
מה בפנים ואחרי זה מה בחוץ אפשר לעשות הפוך מה בחוץ אחרי זה מה בפנים זה לא משנה, בואו נתחיל מבפנים. אנחנו אומרים מבפנים, מי שמגיע מבפנים, מסורס, מה המספר של הליסט שלו, שזה access list.
איזה access list עשינו? אחד. ועכשיו גלובל, שימו לב, גלובל זה אומר בחוץ. מי שגלובל שלו, האינטרפייס הגלובלי שלו, האינטרפייס הגלובלי שלו יהיה fastethernet אפס אפס סימן שאלה אוברלוד לא לשכוח אוברלוד אחרת על כל כתובת אייפי חיצונית שיש לנו רק אחת כרגע אין לנו פול של כתובות בחוץ יש לנו רק אחת אם אנחנו לא עושים אוברלוד רק כתובת אחת פנימית תוכל להתלבש על כתובת אחת חיצונית ואז מחשב שני כבר לא יוכל לצאת
החוצה אוברלוד זה שאפשר לחלוק כתובת אחת חיצונית עם כמה מחשבים מי שלא סגור על זה שיראה את הסרטים של נאט תמיד תעשו אוברלוד אלא אם כן אתם רוצים ששרת פנימי יתפוס לעצמו כתובת אחת חיצונית קבועה יופי יופי יופי בואו נראה שזה באמת עובד בואו נעשה לפני השואו אקסס ליסט או שואו נאט תכף נעשה חכו שנייה בואו נראה
שבכלל הוא עובד פינג 8888 יש פינג זה שיש פינג זה כבר טוב והפוך יש פינג נכון שהיה לפני כן פינג הפוך שימו לב יש פינג אה טוב לא חסמנו מהצד השני שום דבר אה וגם לא שייכנו את זה לאינטרפס חכו שנייה גם לא חסרנו עדיין באקסס ליסט מבחוץ שום דבר.
show access list 1, הנה אנחנו רואים, deny any 4 matches, deny any 4 matches יש לנו ואין לנו בפרמיט אף אחד לא נתפס.
יופי, אתם יודעים מה? נעשה, נשדרג את זה. אנחנו נשים פה שרת כדי שנוכל לבדוק תקשורת מולו, להוריד את המחשב הזה. נשים פה מחשב שרת, כך נוכל לבדוק האם אפשר להיכנס ל-HTTP שלו.
זה רעיון טוב כאילו שרת באינטרנט, יפה וניתן לו כתובת 8889 כמו שהייתה 8889 8888 dns לא חשוב לי כרגע אני לא גולש לפי שמות יופי פינג פינג 192 168 22 זה צריך לחסום אחרי זה ופה הוא אמור להגיע web browser ל-8888 זה אמור להגיע 9 סליחה הנה בבקשה הגענו לשרת זה השרת הזה בוא נבדוק שזה באמת השרת הזה נכנס
ל-HTTP שלו ונכתוב פה פרקטי קיו יופי סליחה נכתוב פה במקום סיסקו פקט רייסר פרקטי קיו איזה יופי ובוא נבדוק פה שזה באמת עובד גו נצלחנו אז מפה לפה הצלחנו עכשיו מפה צריכים לא להצליח בואו נבדוק שמונה שמונה שמונה תשע פינג יש וקומנד וובראוזר שמונה שמונה שמונה תשע גם עובד גם עובד גם עובד יודעים מה הנה פה זה השתים עשרה מאצ'ים
זה ה-DNI אני אגיד לכם מה קורה פה כשהוא עושה ראוטינג רגיל זה ימנע אבל אנחנו לא הצמדנו את זה לא הצמדנו את ה-access list לאיזשהו אינטרפס אנחנו צריכים להצמיד אותו לאינטרפס נכנס פה לאינטרפס הסריאלי לדוגמה ולהצמיד אותו.
כן, זאת אומרת, הפעלנו את הנאט, הוא פעם מפעיל נאט, פעם לא מפעיל נאט. אבל הפעלת נאט לא חוסמת את התקשורת מלכתחילה, אוקיי?
אל תתבלבלו, אנחנו נשתמש באקסס ליסט הזה כאילו בשני מקרים. אחד, בשביל להגיד לו מתי להפוך כתובות ומתי לא להפוך כתובות.
הבעיה שפה זה עובד גם אם לא הופכים כתובת והתקשורת הרגילה עובדת. זאת אומרת, גם אם הוא עשה דיניי ולא הפך כתובת לכתובת חיצונית, התקשורת הרגילה הצליחה גם בלי נאט.
מבינים, הבעיה פה שזה עובד גם בלי נאט,