Host Link IPv4
ISP NAT
ISP → HQ-RTR 1.1.1.1/30
ISP → BR-RTR 2.2.2.1/30
HQ-RTR ISP → HQ-RTR 1.1.1.2/30
HQ-RTR → HQ-SRV 192.168.100.62/26
HQ-RTR → HQ-CLI 192.168.0.1/24
Tun 172.16.100.1/24
BR-RTR ISP → BR-RTR 2.2.2.2/30
BR-RTR → BR-SRV 192.168.200.14/28
Tun 172.16.100.2/24
HQ-SRV HQ-RTR → HQ-SRV 192.168.100.1/26
HQ-CLI HQ-RTR → HQ-CLI 192.168.0.2/24
BR-SRV BR-RTR → BR-SRV 192.168.200.1/28
Добавление пользователя в файл sudoers для выполнения команд от имени супер пользователя (команда sudo)
заходим под пользователем root
su root
Вводим пароль пользователя root его не будет видно это нормально
nano /etc/sudoers
Внутри открывшегося файла пишем на новой строке (вместо alt пишем логин своего пользователя которое указывали при установке)
alt ALL=(ALL:ALL) ALL
Нажимаем сочетание клавиш Ctr+S (сохранить) затем Ctr+X (выйти) Ctr+D (выйти из под пользователя) дальше я прописывать такие моменты не буду
Имена устройств:
Видим на скрине ниже подчеркнутое это имя устройства его необходимо изменить
host.png
sudo hostnamectl set-hostname ISP; exec bash
Видим что имя изменилось
image.png
Точно также необходимо сделать на всех машинах
Вместо ISP название устройства HQ-RTR BR-RTR и так далее
Конфигурация IPv4:
Для настройки сети необходимо заполнить таблицу с учетом своих данных это упростит, ускорит и поможет избежать ошибки при настройки сети на устройствах
Что бы заполнить столбец ens в таблице используем команду
ip -c a
Host Link IPv4 MAC ens
ISP NAT
ISP → HQ-RTR 1.1.1.1/30
ISP → BR-RTR 2.2.2.1/30
HQ-RTR ISP → HQ-RTR 1.1.1.2/30
HQ-RTR → HQ-SRV 192.168.100.62/26
HQ-RTR → HQ-CLI 192.168.0.1/24
Tun 172.16.100.1/24
BR-RTR ISP → BR-RTR 2.2.2.2/30
BR-RTR → BR-SRV 192.168.200.14/28
Tun 172.16.100.2/24
HQ-SRV HQ-RTR → HQ-SRV 192.168.100.1/26
HQ-CLI HQ-RTR → HQ-CLI 192.168.0.2/24
BR-SRV BR-RTR → BR-SRV 192.168.200.1/28
ISP:
Настраиваем IPv4 и Forwarding:
sudo nano /etc/net/sysctl.conf
Меняем 0 на 1 и выходим
forward.png
Создадим скрипт для автоматической настройки
nano src
И вписываем внутрь свои данные интерфейсов
(И вписываем внутрь вместо 19 и 20 пишем номера своих интерфейсов)
#! /bin/bash
for i in 19 20; do
mkdir /etc/net/ifaces/ens$i
cat <<EOF > /etc/net/ifaces/ens$i/options
TYPE=eth
DISABLED=no
NM_CONTROLLED=no
BOOTPROTO=static
CONFIG_IPV4=YES
EOF
done
echo 1.1.1.1/30 > /etc/net/ifaces/ens19/ipv4address
echo 2.2.2.1/30 > /etc/net/ifaces/ens20/ipv4address
systemctl restart network
выдаем права на выполнение созданного скрипта
chmod +x src
и выполняем скрипт
sudo bash src
проверяем и видим ip адреса
ip -c a
ip.png
можно еще проверить через
ping ya.ru
pingisp.png
На устройстве ISP настраиваем динамическую сетевую трансляцию портов для доступа к сети Интернет HQ-RTR и BR-RTR:
меняем ens18 на интерфейс который смотрит в сторону интернета (NAT)
sudo iptables -t nat -A POSTROUTING -s 1.1.1.0/30 -o ens18 -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -s 2.2.2.0/30 -o ens18 -j MASQUERADE
sudo iptables-save | sudo tee -a /etc/sysconfig/iptables
sudo systemctl enable --now iptables.service
для проверки вводим команду
sudo iptables -t nat -L -n -v
и видим наши правила
iptablesisp.png
HQ-RTR:
Настраиваем IPv4 и Forwarding:
sudo nano /etc/net/sysctl.conf
Меняем 0 на 1 и выходим
forward.png
Создадим скрипт для автоматической настройки
nano src
И вписываем внутрь свои данные интерфейсов
(И вписываем внутрь вместо 18 19 и 20 пишем номера своих интерфейсов )
#! /bin/bash
for i in 18 19 20; do
mkdir /etc/net/ifaces/ens$i
cat <<EOF > /etc/net/ifaces/ens$i/options
TYPE=eth
DISABLED=no
NM_CONTROLLED=no
BOOTPROTO=static
CONFIG_IPV4=YES
EOF
done
echo 1.1.1.2/30 > /etc/net/ifaces/ens20/ipv4address
echo default via 1.1.1.1 > /etc/net/ifaces/ens20/ipv4route
echo nameserver 77.88.8.8 > /etc/net/ifaces/ens20/resolv.conf
echo 192.168.0.1/24 > /etc/net/ifaces/ens19/ipv4address
echo 192.168.100.62/26 > /etc/net/ifaces/ens18/ipv4address
systemctl restart network
выдаем права на выполнение созданного скрипта
chmod +x src
и выполняем скрипт
sudo bash src
проверяем и видим ip адреса
ip -c a
iphq-rtr.png
проверяем доступ в интернет
ping ya.ru
pinghq-rtr.png
На устройстве HQ-RTR настраиваем динамическую сетевую трансляцию портов для доступа к сети Интернет HQ-SRV и HQ-CLI
sudo iptables -t nat -A POSTROUTING -s 192.168.100.0/26 -o ens20 -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ens20 -j MASQUERADE
sudo iptables-save | sudo tee -a /etc/sysconfig/iptables
sudo systemctl enable --now iptables.service
для проверки вводим команду
sudo iptables -t nat -L -n -v
и видим наши правила
iptableshq.png
Аналогично настраиваем устройство BR-RTR, изменяя параметры, номера интерфейсов и IP-адреса.
изменяя в этой строке ip-адрес 1.1.1.1 на адрес ISP который смотрит в сторону BR-RTR (данная команда задает шлюз по умолчанию)
echo default via 1.1.1.1 > /etc/net/ifaces/ens20/ipv4route
также при настройке динамической маршрутизации меняем подсеть 192.168.100.0/26 на посдеть 192.168.200.0/28 для сети BR и ens20 на интерфейс который смотрит в сторону ISP
sudo iptables -t nat -A POSTROUTING -s 192.168.100.0/26 -o ens20 -j MASQUERADE
HQ-SRV:
Настраиваем IPv4
Создадим скрипт для автоматической настройки
nano src
И вписываем внутрь свои данные интерфейсов
(И вписываем внутрь вместо 20 пишем номер своего интерфейса )
#! /bin/bash
mkdir /etc/net/ifaces/ens20
cat <<EOF > /etc/net/ifaces/ens20/options
TYPE=eth
DISABLED=no
NM_CONTROLLED=no
BOOTPROTO=static
CONFIG_IPV4=yes
EOF
echo 192.168.100.1/26 > /etc/net/ifaces/ens20/ipv4address
echo default via 192.168.100.62 > /etc/net/ifaces/ens20/ipv4route
echo nameserver 77.88.8.8 > /etc/net/ifaces/ens20/resolv.conf
systemctl restart network
выдаем права на выполнение созданного скрипта
chmod +x src
и выполняем скрипт
sudo bash src
проверяем и видим ip адреса
ip -c a
iphqsrv.png
проверяем доступ в интернет
ping ya.ru
pinghqsrv.png
алогично настраиваем устройство BR-SRV, изменяя параметры, номера интерфейсов и IP-адреса.
изменяя в этой строке ip-адрес 192.168.100.62 на адрес который смотрит в сторону BR-RTR (данная команда задает шлюз по умолчанию)
echo default via 192.168.100.62 > /etc/net/ifaces/ens20/ipv4route
Задание №2
Создайте пользователя sshuser на серверах HQ-SRV и BR-SRV
1.1 Пароль пользователя sshuser с паролем P@ssw0rd
1.2 Идентификатор пользователя 2026
1.3 Пользователь sshuser должен иметь возможность запускать sudo без ввода пароля
Создайте пользователя net_admin на маршрутизаторах HQ-RTR и BR-RTR
2.1 Пароль пользователя net_admin с паролем P@ssw0rd
2.2 При настройке ОС на базе Linux, запускать sudo без ввода пароля
2.3 При настройке ОС отличных от Linux пользователь должен обладать максимальными привилегиями
Создание пользователя sshuser на HQ-SRV и BR-SRV
HQ-SRV
Что бы создать учетную запись пользователя используем команду
sudo useradd sshuser -u 2026
а установить пароль можно командой
sudo passwd sshuser
пароль видно не будет это нормально просто вводим P@ssw0rd так как такой пароль определен заданием
Добавляем пользователя в группу wheel
sudo usermod -aG wheel sshuser
Создадим файл конфигурации что бы использовать sudo без пароля
sudo nano /etc/sudoers.d/sshuser
и пишем туда
sshuser ALL=(ALL:ALL) NOPASSWD: ALL
Проверяем
входим
su - sshuser
ID
id -u
sudo
sudo -i
sshuserchek.png
Точно так же делаем на BR-SRV
Создание пользователя net_admin на HQ-RTR и BR-RTR
HQ-RTR
Что бы создать учетную запись пользователя используем команду
sudo useradd net_admin
а установить пароль можно командой
sudo passwd net_admin
пароль видно не будет это нормально просто вводим P@ssw0rd так как такой пароль определен заданием
rtrpasswd.png
Добавляем пользователя в группу wheel
sudo usermod -aG wheel net_admin
Создадим файл конфигурации что бы использовать sudo без пароля
sudo nano /etc/sudoers.d/net_admin
и пишем туда
net_admin ALL=(ALL:ALL) NOPASSWD: ALL
Проверяем
входим
su - net_admin
sudo
sudo -i
Точно так же делаем на BR-RTR
Задание №3
Настройте безопасный удаленный доступ на серверах HQ-SRV и BR-SRV
Для подключения используйте порт 2026
Разрешите подключения исключительно пользователю sshuser
Ограничьте количество попыток входа до двух
Настройте баннер «Authorized access only».
HQ-SRV
Заходим в файл, чтобы сконфигурировать ssh-server
sudo nano /etc/openssh/sshd_config
вписываем в файл следующие параметры
Port 2026
AllowUsers sshuser
MaxAuthTries 2
Banner /etc/openssh/banner
создадим бенер «Authorized access only»
sudo echo "Authorized access only" | sudo tee /etc/openssh/banner
перезапустим ssh server что бы настройки применились
sudo systemctl restart sshd
проверяем
ssh sshuser@127.0.0.1 -p 2026
и видим наш банер Authorized access only, вход по порту 2026, 2 попытки авторизации, вход только пользователем sshuser
sshtest.png
абсолютно точно также делаем на BR-SRV
Задание №4
Между офисами HQ и BR, на маршрутизаторах HQ-RTR и BR-RTR необходимо сконфигурировать ip туннель
HQ-RTR:
Настройка gre:
создаем новый виртуальный интерфейс
sudo mkdir /etc/net/ifaces/gre1
и настроим его
sudo nano /etc/net/ifaces/gre1/options
вписываем в файл, меняя номер ens на свой, который смотрит в сторону ISP.
TYPE=iptun
TUNTYPE=gre
TUNLOCAL=1.1.1.2
TUNREMOTE=2.2.2.2
TUNOPTIONS='ttl 64'
HOST=ens20
sudo echo "172.16.100.1/24" | sudo tee /etc/net/ifaces/gre1/ipv4address
перезапускаем сеть
sudo systemctl restart network
Проверяем, должен появиться новый интерфейс с IP-адресом
ip -c a
grehq.png
BR-RTR:
Настройка gre:
создаем новый виртуальный интерфейс
sudo mkdir /etc/net/ifaces/gre1
и настроим его
sudo nano /etc/net/ifaces/gre1/options
вписываем в файл, меняя номер ens на свой, который смотрит в сторону ISP.
TYPE=iptun
TUNTYPE=gre
TUNLOCAL=2.2.2.2
TUNREMOTE=1.1.1.2
TUNOPTIONS='ttl 64'
HOST=ens20
sudo echo "172.16.100.2/24" | sudo tee /etc/net/ifaces/gre1/ipv4address
перезапускаем сеть
sudo systemctl restart network
Проверяем теперь вес туннель должный идти пинги
ping 172.16.100.1
pinggre.png
Задание №5
Обеспечьте динамическую маршрутизацию на маршрутизаторах HQ-RTR и BR-RTR
сети одного офиса должны быть доступны из другого офиса и наоборот. Для обеспечения динамической маршрутизации используйте link state протокол на усмотрение участника:
Разрешите выбранный протокол только на интерфейсах ip туннеля
Маршрутизаторы должны делиться маршрутами только друг с другом
Обеспечьте защиту выбранного протокола посредством парольной защиты
HQ-RTR:
Чтобы установить пакет frr, обновляем зависимости
sudo apt-get update
и устанавливаем пакет frr
sudo apt-get install frr -y
Настраиваем ospf:
sudo nano /etc/frr/daemons
находим ospfd=no и меняем на ospfd=yes
Запускаем и ставим в автозапуск
sudo systemctl enable --now frr
Заходим в frr
sudo vtysh
Зайдя, мы видим интерфейс, похожий на интерфейс настройки любого маршрутизатора в CLI.
Настраиваем динамическую маршрутизацию.
HQ-RTR# configure terminal
HQ-RTR(config)# router ospf
HQ-RTR(config-router)# network 172.16.100.0/24 area 0
HQ-RTR(config-router)# network 192.168.100.0/26 area 0
HQ-RTR(config-router)# network 192.168.0.0/24 area 0
HQ-RTR(config-router)# passive-interface default
HQ-RTR(config-router)# exit
HQ-RTR(config)# interface gre1
HQ-RTR(config-if)# no ip ospf passive
HQ-RTR(config-if)# ip ospf authentication message-digest
HQ-RTR(config-if)# ip ospf message-digest-key 1 md5 Passw0rd
HQ-RTR(config-if)# ip ospf mtu-ignore
HQ-RTR(config-if)# exit
HQ-RTR(config)# end
HQ-RTR# write memory
BR-RTR:
Что бы установить пакет frr, обновляем зависимости
sudo apt-get update
и устанавливаем пакет frr
sudo apt-get install frr -y
Настраиваем ospf:
sudo nano /etc/frr/daemons
находим ospfd=no и меняем на ospfd=yes
Запускаем и ставим в автозапуск
sudo systemctl enable --now frr
Заходим в frr
sudo vtysh
Настраиваем динамическую маршрутизацию
BR-RTR# configure terminal
BR-RTR(config)# router ospf
BR-RTR(config-router)# network 172.16.100.0/24 area 0
BR-RTR(config-router)# network 192.168.200.0/28 area 0
BR-RTR(config-router)# passive-interface default
BR-RTR(config-router)# exit
BR-RTR(config)# interface gre1
BR-RTR(config-if)# no ip ospf passive
BR-RTR(config-if)# ip ospf authentication message-digest
BR-RTR(config-if)# ip ospf message-digest-key 1 md5 Passw0rd
BR-RTR(config-if)# ip ospf mtu-ignore
BR-RTR(config-if)# exit
BR-RTR(config)# end
BR-RTR# write memory
Проверить
sudo vtysh
BR-RTR# show ip ospf neighbor
BR-RTR# show ip route ospf
BR-RTR# show ip ospf interface
vtysh.png
Устоновка CLI
Скачиваем образ по ссылке и устанавливаем виртуальную машину HQ-CLI
https://download.basealt.ru/pub/distributions/ALTLinux/p11/images/workstation/x86_64/alt-workstation-11.1-x86_64.isoСистемные параметры
RAM CPU HDD
3072mb 2 20gb
Сетевой адаптерe усанавливаем тип LAN сегмет и выбираем HQ-RTR → HQ-CLI
Не добавляем новый, а изменяем свой существующий уже.
Сразу поменяйте имя машины на HQ-CLI
Задание №6
Настройте протокол динамической конфигурации хостов для сети в сторону HQ-CLI
Настройте нужную подсеть
В качестве сервера DHCP выступает маршрутизатор HQ-RTR
Клиентом является машина HQ-CLI
Исключите из выдачи адрес маршрутизатора
Адрес шлюза по умолчанию – адрес маршрутизатора HQ-RTR
Адрес DNS-сервера для машины HQ-CLI – адрес сервера HQ-SRV
DNS-суффикс – au-team.irpo
HQ-RTR
Устанавливаем пакет dhcp-server
sudo apt-get update && sudo apt-get install dhcp-server -y
Заходим в файл /etc/sysconfig/dhcpd и напротив параметра DHCPDARGS= пишем свой интерфейс который смотрит в сторону HQ-CLI
Открываем файл на редактирование /etc/dhcp/dhcpd.conf и вписываем внутрь
option domain-name "au-team.irpo";
option domain-name-servers 192.168.100.1;
default-lease-time 600;
max-lease-time 7200;
authoritative;
subnet 192.168.0.0 netmask 255.255.255.0 {
range 192.168.0.1 192.168.0.254;
option routers 192.168.0.1;
}
Запустить службу
sudo systemctl enable --now dhcpd
Проверяем получение ip адресса машиной HQ-CLI
ip -c --br a
ipcli.png
Задание №7
Настройте инфраструктуру разрешения доменных имён для офисов HQ и BR
Основной DNS-сервер реализован на HQ-SRV
Сервер должен обеспечивать разрешение имён в сетевые адреса устройств и обратно в соответствии с таблицей 3
В качестве DNS сервера пересылки используйте любой общедоступный DNS сервер(77.88.8.7, 77.88.8.3 или другие)
Устройство Запись Тип
HQ-RTR hq-rtr.au-team.irpo A,PTR
BR-RTR br-rtr.au-team.irpo A
HQ-SRV hq-srv.au-team.irpo A,PTR
HQ-CLI hq-cli.au-team.irpo A,PTR
BR-SRV br-srv.au-team.irpo A
ISP (интерфейс направленный в сторону HQ-RTR) docker.au-team.irpo A
ISP (интерфейс направленный в сторону BR-RTR) web.au-team.irpo A
Но для начало необходимо понять что это и с чем это едя?
DNS (Domain Name System) — распределенная система, обеспечивающая преобразование доменных имен в IP-адреса. Работает по принципу клиент-серверной архитектуры с использованием иерархической структуры зон.
Архитектура вкратце
Процесс разрешения имени включает цепочку запросов:
Рекурсивный резорлвер (принимает запрос от пользователя).
Root-серверы (.).
TLD-серверы (зоны .ru, .com и т.д.).
Авторитативные серверы (хранят файл зоны домена).
Справочник типов DNS-записей
Тип записи Название Назначение Пример использования
A Address Привязка домена к IPv4 site.ru -> 1.2.3.4
AAAA IPv6 Address Привязка домена к IPv6 site.ru -> 2001:db8::1
CNAME Canonical Name Псевдоним (alias) другого имени
www.site.ru -> site.ru
MX Mail Exchanger Указывает серверы почты 10 mail.site.ru
TXT Text record Текстовые данные (SPF, DKIM) v=spf1 a mx ~all
NS Name Server Указывает на держателя зоны ns1.provider.net
SRV Service Record Порт и адрес конкретной службы 5 25565 mc.site.ru
PTR Pointer Обратный поиск (IP в домен) 1.2.3.4 -> host.site.ru
SOA Start of Authority Метаданные о зоне и TTL ns1.dns.ru. admin.site.ru
Зная это мы можем приступить к настройке
HQ-SRV:
Устанавливаем пакет dnsmasq
sudo apt-get update && sudo apt-get install dnsmasq -y
Заходим в файл /etc/dnsmasq.conf
и вводим
no-hosts
server=77.88.8.8
cache-size=1000
all-servers
no-negcache
interface=*
host-record=hq-rtr.au-team.irpo,192.168.100.62
host-record=hq-rtr.au-team.irpo,192.168.0.1
host-record=hq-srv.au-team.irpo,192.168.100.1
host-record=hq-cli.au-team.irpo,192.168.0.2
address=/br-rtr.au-team.irpo/192.168.200.14
address=/br-srv.au-team.irpo/192.168.200.1
address=/docker.au-team.irpo/1.1.1.1
address=/web.au-team.irpo/2.2.2.1
и включаем службу
sudo systemctl enable --now dnsmasq
Проверяем на HQ-CLI
Открываем терминал и пишем команды
host hq-rtr.au-team.irpo
host hq-srv.au-team.irpo
host hq-cli.au-team.irpo
host 192.168.100.62
host 192.168.100.1
host 192.168.0.2
host br-rtr.au-team.irpo
host br-srv.au-team.irpo
host docker.au-team.irpo
host web.au-team.irpo
Должный получить вот такой вывод
clidns.png
Задание №8
Настройте часовой пояс на всех устройствах (за исключением
виртуального коммутатора, в случае его использования) согласно месту
проведения экзамена
Делается это очень просто, буквально 2 командами.
Первая задаём зону времени
sudo timedatectl set-timezone Europe/Moscow
Проверяем и видим нашу зону
sudo timedatectl
timedatectl.png
Точно также деалем на всех остальных машинах ISP, HQ-RTR, HQ-SRV, HQ-CLI, BR-RTR, BR-SRV.
УРА МЫ ЗАКОНЧИЛИ МОДУЛЬ 1
Задание №8
На маршрутизаторах сконфигурируйте статическую трансляцию портов
Пробросьте порт 8080 в порт приложения testapp BR-SRV на маршрутизаторе BR-RTR, для обеспечения работы приложения testapp извне
Пробросьте порт 8080 в порт веб приложения на HQ-SRV на маршрутизаторе HQ-RTR, для обеспечения работы веб приложения извне
Пробросьте порт 2026 на маршрутизаторе HQ-RTR в порт 2026 сервера HQ-SRV, для подключения к серверу по протоколу ssh из внешних сетей
Пробросьте порт 2026 на маршрутизаторе BR-RTR в порт 2026 сервера BR-SRV, для подключения к серверу по протоколу ssh из внешних сетей.
HQ-RTR
Настраиваем пробросы портов
пишем ens который смотрит в сторону ISP
sudo iptables -t nat -A PREROUTING -i ens20 -p tcp --dport 2026 -j DNAT --to-destination 192.168.100.1:2026
sudo iptables -t nat -A PREROUTING -i ens20 -p tcp --dport 8080 -j DNAT --to-destination 192.168.100.1:80
sudo iptables-save | sudo tee -a /etc/sysconfig/iptables
sudo systemctl restart iptables
для проверки вводим команду
sudo iptables -t nat -L -n -v
dnat-hq.png
BR-RTR
Настраиваем пробросы портов
пишем ens который смотрит в сторону ISP
sudo iptables -t nat -A PREROUTING -i ens20 -p tcp --dport 2026 -j DNAT --to-destination 192.168.200.1:2026
sudo iptables -t nat -A PREROUTING -i ens20 -p tcp --dport 8080 -j DNAT --to-destination 192.168.200.1:8080
sudo iptables-save | sudo tee -a /etc/sysconfig/iptables
sudo systemctl restart iptables
для проверки вводим команду
sudo iptables -t nat -L -n -v
dnat-br.png
ISP
Проверить функциональность проброса портов
ssh -p 2026 sshuser@1.1.1.2
ssh -p 2026 sshuser@2.2.2.2
isp-ssh.png
curl
http://1.1.1.2:8080 | head
curl-hq.png
curl
http://2.2.2.2:8080 | head
curl-br.png
Задание №11
Удобным способом установите приложение Яндекс Браузер на HQ-CLI
HQ-CLI
Устанавливаем пакет yandex-browser-stable
заходим под root
su -
Устанавливаем
apt-get update && apt-get install -y yandex-browser-stable
