Cisco: Aktivera Cisco IOS Intrusion Prevention System i GNS3

Introduktion
Nu kommer jag förklara hur man får igång en Cisco router med Intrusion Prevention System (IPS) aktiverat. Det är ett system som används i brandväggar, cisco routrar med flera för att känna igen hot och stoppa dem innan de förstör data och tjänster eller tar sig in i företagets nätverk.

Att tänka på
Guiden fungerar givetvis på riktiga Cisco routrar och alltså inte bara GNS3 som kör en virtuell emulering av Cisco IOS.

Exempel
Ett exempel är Ping of Death som går ut på att man skickar extremt många ping-anrop (ICMP paket) till exempelvis en Cisco router. När IPSen känner av attacken med specifika signaturer så blockeras trafiken. Givetvis är en IPS mer avancerad än så här men detta är bara ett smakprov så att ni ska få en bättre uppfattning av vad det är vi ska göra.

Tips! GNS3 har jag skrivit om förut som om ni inte vet vad det är föreslår jag att ni söker igenom bloggen med sökfunktionen.

Då kör vi igång
För att sätta upp en IPS i GNS3 behöver vi en speciell typ av Cisco IOS. Det IOS jag använder mig av är följande:

Cisco IPS IOS: c7200-advipservicesk9-mz.124-2.T.bin
Idle-PC: 0x610eae7c
0x610eaedc
0x602558f4 (*)

Ni kan testa om Idle-PC värdet fungerar för er men om finner ett bättre värde som sänker CPU belastningen i datorn under körning får ni gärna tipsa mig. Skriv bara en kommentar till artikeln så lägger jag in det i artikeln. Tänk på att ett Idle-PC värde är kopplat till ett specifikt IOS och alltså inte en speciell dator som GNS3/Dynamips körs på.

Vilken typ av IOS
Det är ett IOS (v12.4-2) som kör Advanced IP Services med krypteringsmodulen (K9) inlagd, vilket låter oss köra VPN. Jag använder mig av modell c7200 men det finns även andra modeller som fungerar.

Hur får man tag på IOS?
Det finns olika sätt men det officiella sättet är att man har ett giltigt Cisco Support kontrakt. Då kan man ladda ner nya IOS direkt från Ciscos webbsida www.cisco.com. Det är olagligt att distribuera IOS på annat sätt så fråga inte mig om ni kan få ett specifikt IOS.

Aktivera IPS
Ladda först in IOSet i vald routermodell i GNS3, starta routern och logga in. För att aktivera IPS måste man först skapa en "IPS Regel" (eng. IPS Rule). Det görs i global configuration mode. Sedan måste man även välja ett gränssnitt som är riktat mot oförlitliga (eng. Untrusted) destinationer, samt välja ingående eller utgående trafikkontroll (eng. Inbound/Outbound). Jag visar ett exempel här nedanför.

Först måste ni skapa en topologi i GNS3.

(Klicka på bilden för att förstora)

Router> enable
Router# configure terminal
Router(config)# hostname IPSFirewall

IPSFirewall(config)# ! Definiera IPS regeln som innehåller alla signaturer
IPSFirewall(config)# ip ips name myipsrule

IPSFirewall(config)# interface fastethernet 0/0
IPSFirewall(config-if)# ip address 192.168.1.1 255.255.255.0

IPSFirewall(config-if)# ! Välj vilken trafik som ska kontrolleras
IPSFirewall(config-if)# ip ips myipsrule in

IPSFirewall(config-if)# description Check inbound traffic for threats and attacks from Untrusted destination
IPSFirewall(config-if)# no shutdown
IPSFirewall(config-if)# ^Z

IPSFirewall# ! Verifiera
IPSFirewall# show ip ips all

Här visar jag en bild på när jag konfigurerar en c7200 router i GNS3 med terminalen Tera Term. (OffTopic) Jag ska byta terminal till Putty SSH snart för Tera Term äter CPU ibland.

(Klicka på bilden för att förstora)

På bilden ser ni några kommandon jag skickat till routern och sedan får man svar från IPS modulen som meddelar att signaturerna är inladdade. Ni ser även hur jag aktiverar IPS ingående trafik på fastethernet gränssnittet.

Nu har vi installerat en IPS på vår router och är på så vis skyddade mot många externa hot. Det var allt för den här gången.

Källor
Labbmanualen för Cisco instruktörer en_CCNP2_ILM_v501 (PDF dokument hh.se), kapitel 6, Configuring IPS with CLI

Cisco: BCMSN Utvärdering

Här kommer en utvärdering av mig för Cisco-kursen BCMSN. Jag hade det praktiska provet igår på morgonen mellan 0900-1130 och blev mycket förvånad. Det var inte alls vad jag hade förväntat mig - alldeles för enkelt och för lite konfiguration. Egentligen ska jag inte säga att det är så enkelt för jag vet att många av er där ute har svårt för sådant här och det tar en stund att vänja sig. För mig i början var det liksom "Wow! En vanlig switch kan agera som router också - häftigt" och sedan fylldes det bara på med mer och mer information för oss studenter att lära.

BCMSN handlar om hur man bygger ett switchat nätverk med lager 2 samt lager 3 switchar. Man lär sig även konfigurera och sätta upp redundans i nätverket. T.ex om en standard gateway går ner så vill man att det finns en backup som använder samma IP för att enheter och datorer inte ska upptäcka någon förändring när fel uppstår. Man får även lära sig hur man kopplar ihop flera nätverkskablar till en logisk s.k. port-channel. Detta ökar hastigheten dubbelt upp för varje extra kabel som ingår i kanalen. För att inte få loopar i nätverket används Spanning Tree Protocol (STP) och MSTP med flera. Säkerhet implementeras också med DHCP Snooping och Port-security.

Men hur har det då gått under kursens gång?
Jo, det har gått bra. Jag har närvarat vid varje laboration och efteråt har jag läst igenom teorimaterialet. Då förstår jag bättre vad det är jag läser om jag redan har prövat på det i praktiken innan. Laborationerna har verkligen hjälpt mig att nå målet för det praktiska provet men själva provet var en besvikelse. Jag tänker inte säga vad det innehåller för det ser jag som fusk men jag kan tala om att just den versionen av provet jag fick vid provtillfället var alldeles för enkelt. Det var inget STP, MSTP, DHCP Snooping. Jag hade förväntat mig mer komplexitet och hade övat mycket inför det. Det visade sig att det var en liknande topologi som vi haft under laborationerna och det krävdes bara grundläggande kunskaper och lite extra.

Efter provet kunde vi inte verifiera att man hade gjort rätt eller fel. Det fanns liksom inget man kunde pinga eller koppla för att testa att konfigurationen man suttit med en timma för att se om allt fungerade. Det gick mest ut på att bevisa att man visste hur man ställde in vissa funktioner och t.ex hur man omvandlade en lager 2 switch till en lager 3 som kan dirigera ("routa") paket. Och mer än så vad det inte. Men jag ska vara glad att jag klarade det - eller det är i alla fall vad jag tror att jag gjorde. Resultatet har ännu inte vidarebefordrats till mig eftersom provet ännu inte har rättats. Svaret på det få jag väl inom en vecka eller så.

Allt kunde ha varit så mycket svårare och då hade man kanske gått miste om viktiga poäng för att höja sitt betyg. Men det gick bra.

Men kursen i övrigt då?
Lektionerna ha varit grymma för utan dem hade jag inte haft tillfälle att diskutera fram de rätta lösningarna till laborationerna. Det är bra att man arbetar i grupp för det hjälper så otroligt mycket. Man inspireras till att prestera bra och att hjälpa sina klasskompisar om de får problem. Detta ser jag som en utmärkt utveckling inför det kommande arbetslivet.

Som vanligt har alla laborationer varit väldigt hjälpsamma men jag stör mig så otroligt mycket på att Cisco har så extremt många fel i instruktionerna för laborationerna - fel IP adresser - fel konfiguration som inte stämmer överens med uppgiften - många slarvfel i texten - kritiska fel i vissa exempel som är mycket att det stämmer för att man ska klara av uppgiften på ett korrekt sätt och få ett korrekt resultat. Dåligt Cisco!

Teorimaterialet har bestått av mycket men bra information av hög kvalitet och Quizzen till varje modul är underbar. Det jag saknar är en referens för alla kommandon som ingår i kursen som är samlade på en enda plats och inte utspritt utöver hela kursmaterialet.

Teorimaterialet är på Internet på Cisco's webbsida och finns även att köpa som bok. Visst att boken kan vara bra att ha om man inte orkar sitta framför en datorskärm hela tiden eller om man kanske är ute och reser (möjligtvis till och från skolan) men jag rekommenderar nog helst att man läser materialet på Internet.

Slutord
Det har varit en kul kurs med många nya intressanta funktioner och lösningar på problem, samt att vi har haft mycket bra instruktörer. Utan dem hade jag aldrig klarat detta. Snart är det dags för sommarlov och till hösten igen börjar nya Cisco studier.

Cisco: BCMSN Prov

Gud vad nervös jag är idag. I morgon ska jag göra den praktiska delen i Cisco CCNP ("Cisco Certified Network Professional") BCMSN ("Building Converged Cisco Multilayer Switched Networks") som alltså är en så kallad "Skills Based Assessment".

Jag har övat och övat och känner mig mycket säker inför morgondagen men vet att jag möjligtvis kommer missa några få detaljer. Självklart hoppas jag på maxpoäng men vet att det är svårt att uppnå. Givetvis kommer jag bli glad om jag klarar godkänt men kommer satsa hårt för att nå en högre nivå.

Jag känner mig säker på att montera kablarna, sätta upp en grundläggande konfiguration för både lager 2 och lager 3 switchar, skapa VLAN, hur man skapar trunkar och etherchannels mellan switchar, router-on-a-stick, redundans med HSRP och routing mellan VLAN med SVI. Det jag är mindre bra på är QoS, STP och felsökning. Jag gissar att det även kommer dyka upp uppgifter där man ska använda port-security och liknande och det är väl inte alltför svårt.

Att tänka på när man ska göra det praktiska provet

• Ta med en vattenflaska.
• Pennor för att anteckna.
  
• Kommandolista skriven för hand.
• Ett gott självförtroende.
• Vara lugn och inte stressa om man upptäcker att de andra kommer igång fort eller lämnar provsalen tidigt.
• Kom tidigt till provsalen och invänta lärare och elever för att inte komma för sent.
• Sitt inte och läs på en massa kommandon direkt innan. Förmodligen har du redan övat hårt i en vecka och kan istället ta det lugnt och slappna av fram till provtillfället.
• Om du inte förstår provet så fråga instruktören om hjälp.
• Håll tyst när du gör provet. Det är så extremt jobbigt när de utländska studenterna pratar med varandra hela tiden under provet på sitt egna språk så låt instruktören sköta diskussionen.

Nu är jag snart helt förberedd inför provet i morgon. Jag har även skrivit några tips som kan vara bra att ta del av om du som läser detta är en blivande Ciscotekniker som studerar. Nu ska jag bara skriva min kommandolista som jag kan ha med på provet i morgon. Om ni tycker att det är orättvist att vi får ha med en kommandolista på provet så kan jag säga att det är ungefär så man har det senare i arbetslivet. En annan sak är att om man konfigurerar switcharna och routrarna med kommandon inte krävs får man minuspoäng.

Jag önskar mig själv mycket lycka till och även till dig som läser detta om du också närmar dig ett Cisco prov. Till och med om du läser CCNA eller kanske CCIE - Lycka till!

Cisco: CCNP1 Exam

I skolan har jag precis läst klart första delen i CCNP-delen som handlar om "Building Scalable Cisco Internetworks" (BSCI) och igår hade jag det praktiska provet. Det gick väldigt bra men lyckades inte få det att fungera fullt ut.

Med tanke på att det är så otroligt mycket textmaterial att läsa igenom, samt förstå, så tycker jag att jag har gjort ett bra jobb. Jag var förbered på vad som helst men inte att det skulle bli ett prov som innehöll nästan allt vi hade läst. Det var alltså det största provet hittills.

Cisco är en bra IT-kurs för man har många praktiska övningar och eftersom det är det den mesta delen av tiden går åt till senare i livet när man arbetar med just Cisco och nätverkskommunikation så lämpar det sig perfekt. En stor nackdel är att det är "nästan" oändligt mycket teori men har man väl läst det en gång så är det enklare att referera till det man har läst när man sedan sitter och laborerar med Ciscoutrustningen.

Nu är nästa steg CCNP3 med konfiguration av switchar. Har ännu inga detaljer om detta men kan gissa att det innehåller lager 2 och 3 switching.

För er som läser CCNA och vill fortsätta med Cisco så kan jag meddela att ni kommer få det tufft. Det är cirka 5-10ggr mer teori att läsa och de går mycket djupt in på detaljer i olika protokoll och felsökning med autentisering. Om ni inte kan konfigurera OSPF utan problem eller inte vet hur man gör en grundläggande konfiguration av en router så råder jag er att lära er detta innan ni fortsätter med CCNP.

Som slutord har jag tänkt berätta att det är bra om ni även lär er mer om subentting och VLSM samt CIDR summering. Det underlättar otroligt mycket om man får en bra förståelse för detta. Jag tyckte själv att subnetting var helt oförståeligt när jag läste CCNA (1-4) på gymnasiet och eftersom många frågor på slutprovet handlade om detta så gick det mindre bra. Har faktiskt planerat att skriva en guide här på bloggen hur man subnettar och ska då försöka att ha med bilder och anteckningar som underlättar för den som nu vill lära sig det.

Tillägg 8/5-08
Jag har skrivit en guide om hur man enkelt subettar ett nät med VLSM. Här kommer adressen: http://waschman.blogspot.com/2008/05/ntverk-subnetta-enkelt-med-vlsm.html

Om du läser Cisco eller funderar på att läsa det så önskar jag er nu lycka till.