Network Security 1.0 Final PT Skills Assessment (PTSA) examen (2023) (2023)

Network Security 1.0 Final PT Skills Exam (PTSA) (Antwoordsleutel)

Network Security (Versie 1) – Network Security Final PT Skills Assessment (PTSA)

Netwerkbeveiliging - Oefen PT Skills Assessment (PTSA) antwoorden

Een paar dingen om in gedachten te houden tijdens het voltooien van deze activiteit:

• Gebruik de terugknop van de browser niet en sluit of herlaad geen examenvensters tijdens het examen.
• Sluit Packet Tracer niet als u klaar bent. Het zal automatisch sluiten.
• Klik op de knop Beoordeling indienen om uw werk in te dienen.

Doelstellingen

In deze praktijk Packet Tracer Skills Based Assessment, zult u:

• Configureer een ASA-firewall om beveiligingsbeleid te implementeren.
• Configureer Layer 2-beveiliging op een LAN-switch.
• Configureer een site-to-site IPsec VPN

Achtergrond / Scenario

Uw bedrijf is ingehuurd door een tweedehands autodealer met een hoofdkantoor en meerdere filialen. The Car1 Company maakt zich zorgen over netwerkbeveiliging en heeft u gecontracteerd om Layer 2-beveiliging, een ASA-apparaat en VPN-services van het hoofdkantoor naar de filialen te implementeren. Het is jouw taak om een ​​prototype van het netwerk in het lab te maken voordat je bedrijf de apparatuur op de Car1-locaties installeert. In dit geval implementeert u alleen een VPN tussen het hoofdkantoor en een enkel filiaal.

Opmerking:Sommige waarden en benaderingen voor het configureren van apparaten in deze gesimuleerde evaluatie komen mogelijk niet overeen met de huidige best practices voor beveiliging. In sommige gevallen zijn waarden vereenvoudigd om de beoordeling te stroomlijnen, en in andere gevallen zijn waarden noodgedwongen gebruikt om de beoordeling van bepaalde vaardigheden in Packet Tracer te vergemakkelijken.

Instructies

Adresseringstabel

Deel 1: Configureer de ASA 5506-X

Stap 1: Configureer basisinstellingen op het ASA-apparaat.

HQ-ASA5506 is al geconfigureerd met een wachtwoord:Thecar1Admin.

Opmerking:Om het volledige krediet voor uw configuratie te ontvangen, moet umoet reddenuw configuratiebestand na het aanbrengen van wijzigingen in de apparaatconfiguratie.

• A. Configureer de domeinnaam alsthecar1.com.
• B. Configureer de hostnaam alsHQ-ASA5506.
• C. Configureer de INSIDE-, OUTSIDE- en DMZ-interfaces met het volgende:
  • IP adres 209.165.200.253/28, nameifBUITEN, beveiligings niveau1, toewijzen aan G1/1
  • IP-adres 192.168.10.1/24, nameifBINNEN, beveiligings niveau100, toewijzen aan G1/2
  • IP adres 192.168.20.1/24, nameifDMZ, beveiligings niveau70, toewijzen aan G1/3

HQ-ASA5506

enableThecar1Adminconf termdomain-name thecar1.comhostname HQ-ASA5506interface g1/1 nameif OUTSIDEsecurity-level 1ip address 209.165.200.253 255.255.255.240no shutdowninterface g1/2nameif INSIDEsecurity-level 100ip address 192.168.10.1 255.255. 255.0geen uitschakelinterface g1/3nameif DMZbeveiligingsniveau 70ip adres 192.168.20.1 255.255.255.0no shutdownexit

OPMERKING:Controleer na deze stap nogmaals of de interfaces G1/1, G1/2, G1/3 zijn geconfigureerd met IP-adressen. Als er een interface is die geen IP-adres ontvangt, configureer dan het IP-adres voor die interface opnieuw.

Stap 2: Configureer de DHCP-service op het ASA-apparaat voor het interne netwerk.

• A. De DHCP-pool is 192.168.10.25 – 192.168.10.35.
• B. De DHCP-service moet informatie over de DNS-server (AAA/NTP/syslog-server) verstrekken.
• C. PC0, PC1 en PC2 zouden hun adressen via DHCP moeten ontvangen.

HQ-ASA5506

dhcpd adres 192.168.10.25-192.168.10.35 INSIDEdhcpd dns 192.168.10.10 interface INSIDEdhcpd optie 3 ip 192.168.10.1dhcpd inschakelen INSIDE

PC0-PC1-PC2 ontvingen hun adressen via DHCP

Stap 3: Configureer routing op de ASA.

Configureer een standaardroute waarmee hosts op de HQ INTERNAL- en DMZ-netwerken kunnen communiceren met externe hosts. Gebruik het IP-adres van de HQ-routerinterface als gateway-interface.
HQ-ASA5506

route BUITEN 0.0.0.0 0.0.0.0 209.165.200.254

Stap 4: Configureer beveiligd netwerkbeheer voor het ASA-apparaat.

A. Configureer de ASA met NTP en AAA:

1. De ASA is een NTP-client voor de AAA/NTP/Syslog-server.
2. Schakel de authenticatie voor de ASA in.
3. De authenticatiesleutel issleutel 1met het wachtwoord iscorpkey.

HQ-ASA5506

ntp authenticatietp authenticatiesleutel 1 md5 corpkeyntp server 192.168.10.10ntp vertrouwde sleutel 1

B. Configureer AAA en SSH.

1. Configureer het ASA-apparaat met AAA-authenticatie met de gebruikersnaam vanAuto1Adminen wachtwoord vanadminpass01.
2. Configureer AAA om de lokale database te gebruiken voor SSH-verbindingen met de consolepoort.
3. Genereer een RSA-sleutelpaar ter ondersteuning met een modulusgrootte van1024stukjes.
4. Configureer HQ-ASA5506 om alleen SSH-verbindingen van het Net Admin-werkstation te accepteren.
5. Configureer de time-out voor SSH-sessies op 20 minuten.

HQ-ASA5506

gebruikersnaam Car1Admin wachtwoord adminpass01aaa authenticatie ssh console LOCALcrypto sleutel genereren rsa modulus 1024yesssh 192.168.10.250 255.255.255.255 INSIDEssh time-out 20

Stap 5: Configureer NAT Service voor het ASA-apparaat voor zowel INSIDE- als DMZ-netwerken.

• A. Maak een netwerkobject met de naamBINNEN-natmet subnet 192.168.10.0/24 en laat de IP-adressen van de hosts in het interne netwerk dynamisch worden vertaald om toegang te krijgen tot het externe netwerk via de externe interface.
• B. Maak een netwerkobjectDMZ-webserverom het interne IP-adres van de DMZ-webserver statisch te vertalen naar het externe openbare IP-adres209.165.200.241.
• C. Maak een netwerkobjectDMZ-dns-serverom het interne IP-adres van de DMZ DNS-server statisch te vertalen naar het externe openbare IP-adres209.165.200.242.

HQ-ASA5506

objectnetwerk INSIDE-natsubnet 192.168.10.0 255.255.255.0nat (binnen, buiten) dynamische interfaceexitconfigureer terminal objectnetwerk DMZ-web-serverhost 192.168.20.2nat (dmz,buiten) statisch 209.165.200.241exitconfigure terminal objectnetwerk DMZ-dns-serverhost 192 .168 .20.5nat (dmz,buiten) statisch 209.165.200.242exit

Stap 6: Configureer ACL op het ASA-apparaat om het beveiligingsbeleid te implementeren.

A. Configureer een benoemde uitgebreide ACL om toe te staan ​​dat interne hosts worden vertaald naar de pool van externe IP-adressen. Geef de ACL een naamNAT-IP-ALL.

B. ToepassenNAT-IP-ALLACL naar de DMZ- en OUTSIDE-interfaces in binnenwaartse richting.

C. Configureer een ACL om toegang tot de DMZ-servers vanaf internet toe te staan. Maak een uitgebreide ACL met de naam (namedBUITEN-NAAR-DMZ) om inkomend verkeer naar de HQ ASA te filteren. De ACL-instructies moeten worden gemaakt in de volgorde die wordt aangegeven in de volgende richtlijnen:
(Opmerking:De volgorde van ACL-statements is alleen belangrijk vanwege de scorevereisten voor deze beoordeling.)

1. De ACL moet bevattenviertoegangscontrolevermeldingen (ACE's).
2. HTTP-verkeer is toegestaanDMZ Web Svr.
3. DNS-verkeer (zowel TCP als UDP) is toegestaan ​​naar deDMZ DNS-server(twee afzonderlijke ACE's).
4. FTP-verkeer vanaf het filiaalbeheerderswerkstation is toegestaan ​​naar de DMZ-webserver.

Opmerking:Voor de doeleinden van deze beoordeling, doenNIETpas deze ACL toe.
HQ-ASA5506

configureer terminaltoegangslijst NAT-IP-ALL uitgebreide vergunning ip elke willekeurige toegangsgroep NAT-IP-ALL in interface OUTSIDEtoegangsgroep NAT-IP-ALL in interface DMZtoegangslijst OUTSIDE-TO-DMZ uitgebreide vergunning tcp elke host 209.165.200.241 eq 80access-list OUTSIDE-TO-DMZ verlengde vergunning tcp elke host 209.165.200.242 eq 53access-list OUTSIDE-TO-DMZ uitgebreide vergunning udp elke host 209.165.200.242 eq 53access-list OUTSIDE-TO-DMZ uitgebreide vergunning tcp host 198.133.219.35 host 209.165.200.241 eq ftpendcopy running-config startup-config

Deel 2: Layer 2-beveiliging configureren op een switch

Voor dit deel van de beoordeling configureer je Switch1 in het interne netwerk met Layer 2-maatregelen om aanvallen te beperken.

Stap 1: schakel ongebruikte switchpoorten uit

• A. Schakel alle ongebruikte switchpoorten op Switch1 uit.
• B. Configureer alle ongebruikte poorten in de statische toegangsmodus zodat ze niet via trunks onderhandelen.

Schakelaar 1

inschakelenconf tinterface bereik f0/2-4, f0/6-9, f0/11-22, g0/2shutdownswitchport modus toegangswitchport nietonderhandelen

Stap 2: Implementeer poortbeveiliging

Configureer op Switch1 poortbeveiliging op alle switchpoorten die zijn verbonden met hosts volgens de volgende vereisten:

• De poorten moeten worden geconfigureerd als statische toegangspoorten.
• De poorten mogen maximaal twee MAC-adressen leren.
• De poorten moeten de MAC-adressen registreren die zijn geleerd in de configuratie van het apparaat dat wordt uitgevoerd.
• Als er een overtreding optreedt, moet de poort pakketten van host-MAC-adressen die niet zijn geleerd, laten vallen, de overtredingsteller verhogen en een syslog-bericht genereren.

Schakelaar 1

interfacebereik f0/1, f0/5, f0/10switchport mode accessswitchport port-securityswitchport port-security maximum 2switchport port-security mac-adres stickyswitchport port-security schending beperkenswitchport niet onderhandelen

Stap 3: Implementeer STP-beveiliging

Implementeer op Switch1 STP-beveiligingsmaatregelen op de actieve poorten die zijn verbonden met hosts.

• A. Configureer de switch om hostpoorten uit te schakelen die een BPDU ontvangen.
• B. Configureer de poorten om snel naar de STP-doorstuurmodus te gaan zonder de STP-overgangsmodi te doorlopen. Doe dit poort voor poort, niet op de hele switch.

Schakelaar 1

interfacebereik f0/1, f0/5, f0/10, g0/1spanning-tree bpduguard enablespanning-tree portfastendcopy running-config startup-config

Deel 3: Configureer een site-to-site IPsec VPN tussen het hoofdkantoor en de filiaalrouters

Opmerking:De Branch- en HQ-routers zijn al geconfigureerd met een gebruikersnaam vanCORPADMINen een wachtwoord vanNetSec-beheerder1. Het geheime wachtwoord voor inschakelen is[emailprotected].

Configureer een site-to-site IPsec VPN tussen de HQ- en Branch-routers volgens de onderstaande vereisten.

In de volgende tabellen staan ​​de parameters voor het ISAKMP fase 1- en fase 2-beleid:

ISAKMP Fase 1 Beleidsparameters

Tabel met IPsec fase 2-beleidsparameters

a.Configureer ACL120op de HQ-router om het interessante verkeer te identificeren dat via de VPN moet worden verzonden. Het interessante verkeer is al het IP-verkeer van het HQ LAN naar het Branch LAN.

b.Configureer de ISAKMP Phase 1-eigenschappen op de HQ-router. Het crypto ISAKMP-beleid is10. Verwijs naar deTabel ISAKMP Fase 1 Beleidsparametersvoor de specifieke details die nodig zijn.

c.Configureer de ISAKMP Phase 2-eigenschappen op de HQ-router met behulp van10als volgnummer. Verwijs naar deTabel met ISAKMP fase 2-beleidsparametersvoor de specifieke details die nodig zijn.

d.Bind deVPN-KAARTcryptomap naar de uitgaande interface.

e.Configureer IPsec-parameters op de Branch-router met dezelfde parameters als op de HQ-router. Merk op dat interessant verkeer wordt gedefinieerd als het IP-verkeer van het filiaal-LAN naar het LAN dat is aangesloten op het hoofdkantoor.

F.Reddende running-config en laad vervolgens zowel de HQ- als de Branch-router opnieuw.

HQ-router

Gebruikersnaam: CORPADMINWachtwoord: NetSec-Admin1enablePassword:[emailprotected]conf teraccess-list 120 permit ip 209.165.200.240 0.0.0.15 198.133.219.32 0.0.0.31crypto isakmp policy 10encryption aes 256hash shaauthentication pre-sharegroup 2lifetime 1800exitcrypto isakmp key Vpnpass101 address 198. 133.219.2crypto ipsec transformatie-set VPN-SET esp-aes esp -sha-hmaccrypto map VPN-MAP 10 ipsec-isakmpmatch adres 120set transform-set VPN-SETset peer 198.133.219.2set pfs group2set security-association levensduur seconden 1800exitint s0/0/0crypto map VPN-MAPend copy running-config startup-config

Filiaalrouter

Gebruikersnaam: CORPADMINWachtwoord: NetSec-Admin1enablePassword:[emailprotected]conf teraccess-list 120 permit ip 198.133.219.32 0.0.0.31 209.165.200.240 0.0.0.15crypto isakmp policy 10encryption aes 256hash shaauthentication pre-sharegroup 2lifetime 1800exitcrypto isakmp key Vpnpass101 address 209. 165.200.226crypto ipsec transformatie-set VPN-SET esp-aes esp -sha-hmaccrypto map VPN-MAP 10 ipsec-isakmpmatch adres 120set transform-set VPN-SETset peer 209.165.200.226set pfs group2set security-association levensduur seconden 1800exitint s0/0/0crypto map VPN-MAPend copy running-config startup-config

Download Packet Tracer .PKT-bestand

[sociallocker-id=”69792″]

[/sociallocker]