הסבר והגדרת OSPF,הסבר על HSRP, VRRP, GLBP,הסבר על PVST+ על Rapid PVST+ ועל MSTP ועל RSTP,הסבר על NAT והגדרת NAT בCisco Router,הסבר על Default Gateway

תמליל

1 הסבר והגדרת OSPF הסבר והגדרת OSPF OSPF הוא פרוטוקול ניתוב דינמי מסוג Link State זאת אומרת שהוא תמיד מחזיק מפה מלאה של טופולוגיית הרשת, במאמר זה נבין כיצד הוא עובד ונבצע בסוך מעבדה על מנת להגדיר OSPF תקין. OSPF למעשה עובד על פי אזורים, על מנת למנוע עומס ברשת הוא מחלק את הרשת לאזורים (את החלוקה אתם קובעים) סיסקו ממליצה שלא יותר מ 50 ראוטרים יהיו באזור אחד. האזור שחייב להיות בכדי שOSPF יתפקד הוא אזור 0 שמוגדר כ Backbone Are ואליו כל האזורים האחרים חייבים להתחבר ודרכו להעביר את המידע (לא יהיה מצב בו אזור 4 מעביר מידע לאזור 8 מבלי לעבור קודם באזור 0) LSDB קיצור של Large Link State Database כיוון שOSPF הוא מסוג Link State הוא מכיל את כל טופולוגיית הרשת ולכן נחשב לטבלה גדולה, נוסף על כך אם לא מבוצע Summarization ידנית, OSPF לא יבצע זאת בעצמו ולכן הטבלה יכולה להיות דיי גדולה (תלוי בגודל הרשת) גם אם הראוטר לא משתמש בנתיב זה על מנת להגיע לאותה הרשת הוא חייב לרשום אותה בLSDB.

2 SPF Algorithm כל שינוי ברשת מחייב את האלגוריתם לבצע חישוב מחדש ולכן מבזבז המון על משאבים כאשר יש שינוי ולו הקטן ביותר ברשת. על מנת שלא יהיה עומס מבחינת גודל טבלת הניתוב והחישוב של האלגוריתם OSPF מחלק את הרשת לאזורים. תרשים זה מתאר בפשטות את האזורים אפשר לראות שבצד שמאל וימין יש 6 ראוטרים, כל 3 ראוטרים בכל צד מוגדרים באזור אחר, בצד שמאל אזור 1 ובצד ימין אזור 2 ולמעלה אזור 0 שהוא ה Backbone לרוב אזור זה לא מחובר למשתמשים (אני החלטתי כן לחבר משתמש לאזור זה) וכל שאר האזורים נקראים Non-Backbone כל ראוטר מוגדר עם תפקיד מסוים:

3 הראוטרים באדום: הם Internal Routers הראוטרים בירוק: הם ABR קיצור של Area Border Router בגלל שהראוטרים בירוק והצהוב מחוברים אחד לשני Connected) (Directly הם למעשה Area הם מחוברים לאזור 0 ) ממש כמו הצהוב, אבל נוסף על כך הם (כי Backbone Routers Border Router הראוטרים בצהוב: הם ה Backbone (אזור 0 ) אם היה ראוטר כאן שמחובר לרשת העולמית הוא היה ה ASBR (הוסבר למעלה) LSA הוא קיצור של Link State Advertisement על ידי Packet זה הLSDB ממלא את כל הרשתות והנתיבים וכך למעשה מתעדכן. קיימים 8 סוגים של :LSA

4 LSA Type 1: Router LSA והוא יכיל את כל החיבורים LSA1 בו הוא נמצא) ב Area כל ראוטר יציף את הרשת (רק את ה ופירסם אותם לאחרים Connected) (Directly הישירים לאותו הראוטר Prefix. כתובות הרשתות, ה LSA Type 1 ארבע סוגים של פרסומים בתוך 1. Neighbor Router ID DR של ה IP כתובת.2 כתובת של כל רשת.3 4. Virtual Link של השכן Router Neighbor ID LSA Type 2: Network LSA צריך לשלוח לכל הראוטרים האחרים את העדכון שהוא קיבל מכל ראוטר, זאת אומרת DRה לכל הראוטרים האחרים LSA Type 2 מכל ראוטר ואז מתחיל לשלוח LSA1 שהוא מקבל את ה (שהוא נמצא Area (כמובן שבתוך ה LSA Type 3: Summary LSA הראוטר שהוא ABR (זה שעומד בין אזור אחד לאזור אחר, יבצע Flood ל Area 0 שממנו יופץ לשאר ה Area כך שכולם יקבלו LSA Type 3 Summary סוג של סיכום של כל הרשתות ששוכנות בכל אזור LSA Type 4: Summary ASMBR LSA תארו לכם ראוטר 2 שמחובר לאזור 3 ברשת ה OSPF שלכם, ראוטר 2 מחובר לראוטר 7 שנמצא באזור 3, ראוטר 2 משתמש בניתוב דינמי של RIP למעשה הראוטר 7 שמחובר לראוטר 2 הוא ASMBR מכיוון שראוטר 7 מחובר לראוטר שמשתמש בפרוטוקול ניתוב אחר, ראוטר 7 שקיבל ניתובים של RIP יעביר את זה ב LSA Type 1 לראוטר שנמצא בArea שלו אבל לא לסתם ראוטר לראוטר שהוא ABR זה שעומד בין ה Areaes והוא יבין שהוא קיבל מראוטר 7 שהוא ASMBR ולכן יצור LSA Type 4 ויעביר את זה ל Area0 וכך זה יופץ לכל האזורים וכולם ידעו על הניתובים של RIP

5 LSA Type 5: Autonomous System Extrenal LSA כמו ב LSA Type4 יש לנו ראוטר עם RIP אבל הוא בגרסה RIPv2 שמכיל כעת 24/ Prefix נאמר, לכן ה LSA Type5 הוא זה שיעביר את ה Prefix של הרשתות אל כל האזורים בדיוק כמו בType4 LSA זאת ואמרת כל התהליך של LSA Type4 יקרה אבל אם יש Prefix יתווסף גם Prefix עם ה LSA Type 5 LSA Type 6: Multicast OSPF LSA לא בשימוש בסיסקו ואפילו סיסקו אוסרת על שימוש בתצורה זו, היא כן מאפשרת שימוש ב פרוטוקול PIM (קיים הסבר באתר) LSA Type 7: Not SO Stubby Area LSA בגלל LSA Type6 חסום, הוא מעביר במקומו את המידע על שנשלח לראוטרים ספציפיים LSA Type 8: External Attribute LSA for BGP יסוקר בהמשך Router ID הוא השם הפרטי של אותו הראוטר ברשת ה OSPF זאת אומרת הפרוטוקול יזהה את הראוטר שהוא מחובר אליו לפי ה,Router ID את ה Router ID ניתן להגדיר בכמה דרכים: כתובת,Loopback הגדרה בID OSPF, Router את הגדרות אלו נראה במעבדה. סוגי רשתות בOSPF Virtual Link רשתות OSPF מרוחקות שאמורות להתחבר ל OSPF Area 0 שהוא ה Backbone Point To Point שתי ראוטרים שמחוברים בחיבור בו אין עוד ראוטרים בין נקודות מרוחקות (לרוב בWAN ) Point To Multipoint כמה ראוטרים שמחוברים בתצורת Hub And Spoke (קיים הסבר באתר נושא זה) על גבי רשת NMBA ולרוב זה בשביל לחבר סניפים, שלוחות של משרד גדול,

6 בקצרה Hub And Spoke קיים מפקדה של משרד גדול ואליו מחוברים כל הסניפים, זה תצורת Hub And Spoke וכל זה מחובר ברשתות NMBA למשל Frame Relay Nonbroadcast Multicass ראוטרים שמחוברים אחד לשני ברשת שלא ניתן להעביר בה Frame Relay כמו Broadcast Broadcast Multicass ראוטרים שמחוברים ברשת רגילה בה עובר Broadcast בדיוק ההפך מ NMBA Adjacencies על מנת לקבל עדכונים על ניתובים שהשתנו, ניתובים חדשים ברשת וכו חייב הראוטר ליצור חברות עם הראוטר שמחובר אליו ישירות Connected) (Directly OSPF Designated ברשת Multicass Network (רשת רגילה בה נשלחים (Broadcasts ישנם חברויות ששמם Adjacencies הראוטר בעצם יוצר חברויות Adjacencies בחברות זו הוא מקבל עדכונים על מצב הרשת, שינויים במצב הרשת וכו, חשוב לדעת שחברות זו נוצרת אך ורק בין ראוטרים שהם Directly Connected DR And BDR DR אותו Designated Router קיצור של,DR בוחר ראוטר שימש כ הפרוטוקול בOSPF DR אחראי בעצם להפיץ ב Broacast את ה LSA לכלל הראוטרים ולעדכן אותם בטופולוגיית הרשת ה בחירות של הראוטר שימש כ- DR הם על פי ה Priority שניתן להגדיר כפקודה, הטווח הוא בין ככל שהPriority גדול יותר משאר הראוטרים כך הוא ייבחר כ- DR, אם תגדירו 0 ב Priority אז אותו הראוטר לא יוכל לעולם לשמש כ- DR, הברירת מחדל ב Priority של כל ראוטר הוא 1 ולכן אם תגדירו בעצמכם את ה Priority הבחירה של ה DR יהיה על פי 2 מנגנונים אחרים: Router ID או כתובת.IP דרך נוספת היא הID Router הגדול ביותר ואם לא הגדרתם Router ID ידני, אז כתובת ה Loopback שהגדרתם תשמש כID Router ואם שניהם לא מוגדרים אז על פי כתובת ה IP הכי גבוהה במוגדרת באחד הפורטים בראוטר, לסיכום הID Router הגבוהה ביותר בכל הראוטרים הוא זה שיבחר להיות ה.DR

7 BDR כאשר OSPF בחר DR הוא בוחר ראוטר שיהיה ה BDR קיצור של Backup Designated Router למעשה BDR הוא גיבוי לDR, במקרה והDR יפול ה BDR יחליף אותו בתור DR על ידי כך שהוא מאזין לרשת, ואם הDR מפסיק לשלוח הודעות Hello הוא יחשיב אותו כנפל וייקח פיקוד כDR ה בחירות של הBDR הם כמו של ה DR רק של התוצאה השניה אחרי הDR, על פי Router ID במקום השני, וכמו שהוסבר למעלה, הגדרת ידנית של Router ID אם אין אז ה Loopback Router הגבוהה ביותר בראוטר זאת אומרת הID IP ואם את שניהם אז לפי כתובת ה Address הנמוך בפעם אחת מDR הוא יהיה ה BDR כאן נתתי דוגמא לID Router שהוגדר ידנית על כל ראוטר: R1 = R2 = BDR הוא ולכן הנמוך יותר מהDR Router ID יש לו את ה R3 = DR הגבוהה ביותר ולכן הוא Router ID יש לו ה R4 = ראוטר חדש: תארו לכם את המצב למעלה, ופתאום נכנס R1 = R2 = BDR הוא ה R3 = הוא הDR R4 = האם כאשר R4 או הוא ראוטר חדש שנכנס הרגע, האם הוא יבחר מיד כ- DR? R5 = יפול האם הוא יקח את תפקיד הDR במקום ה BDR שהוא R3? התשובה היא לא כאשר התפקידים לכל ראוטר DR או BDR חולקו, גם אם קיים ראוטר חדש עם Router ID גדול יותר הוא לא ישנה את התמונה, רק אם R3 ו R4 יפלו הוא יקח את תפקיד הDR (כנראה) לאחר בחירות מחודשות לDROTHER יחשב בOSPF BDR או הוא DR כל ראוטר שאינו BDR או Non-DR LSA DR כאשר ייבחר ראוטר כ- DR הוא זה שיפיץ את ה LSA לכל הראוטרים האחרים אבל לפני זאת כל ראוטר ישלח לראוטר DR את ה LSA שלו (שמכיל את הרשתות שהוא מכיר

8 והגדרתם לו לפרסם) ננסה להסביר זאת כך: קיימים R1 R2 R3 R4 R5 R4 הוא והBDR הוא ה- DR R1 BDR ה שהוא ו לR4 DR ה שהוא שלו לR1 LSA ישלח את ה R2 של R1 LSA לכל שאר הראוטרים של ה LSA של ה Flood יבצע שהוא הDR R1 והBDR DR ה שהם ולR4 לR1 שלו ישלח את הLSA R3 כעת R1 שהוא ה DR ישלח את ה LSA של R3 לכל הראוטרים. בעצם על ידי מנגנון זה הDR אחראי על שליחה של כל הLSA לכלל הראוטרים והוא המפיץ הראשי על מנת לזהות מיהו ה BDR או DR אפשר לבדוק על ידי בדיקה של הפורט או בדיקת השכנים DROTHER או BDR או DR ולבדוק אם הוא (Adjacancies) לבדיקת שכנים: Show IP OSPF Neighbor לבדיקת הפורט: Show IP OSPF Interface GigabitEthernet 0/1 ASBR Autonomous System Boundary Router ראוטר שמחובר באחד הפורטים שלו לרשת האינטרנט מוגדר כ- ASBR שהוא קיצור של,Autonomous System Boundary Router זאת אומרת שמוגדר לו פורטי עם Static Route ל שכן נתיב זה מוגדר כ,Default Route חלק זה חשוב מאוד שכן אנו נרצה שנתיב זה יכירו כל הראוטרים ברשת וידעו איזה ראוטר יודע לצאת לאינטרנט. על מנת להגדיר זאת בראוטר יש להגדיר IP Route Static ל ולאיזה כתובת חיצוני הוא יוצא. ואז להגדיר את הפקודות R1#conf t R1(config)#router OSPF 1 R6(config-router)#default-information originate

9 Hello & Dead Intervals על מנת שראוטר שמוגדר בו OSPF יתחיל בזיהוי שכניו Adjacencies ואותה שכנות תיווצר חובה שה Hello Time וה Dead Intervals Time יהיו זהים, ההגדרה חלה פר פורט שמחובר לאותו הראוטר נאמר R2 מחובר לR1 בפורט G0/0. כברירת מחדל מוגדר 10 שניות Hello וכ- 40 שניות ל Dead Intervals זאת אומרת שHello ישלח כל 10 שניות ואם הצד השני לא ישלח Hello בתוך 40 שניות, הראוטר יחשיב אותו כנפל. OSPF Summarization על מנת שהטבלה תהיה כמה שיותר קטנה OSPF מבצע סיכום לרשתות שדומות, נאמר יש לנו את הרשתות הבאים: כולם הם Prefix של /24 אז ניתן לצמצם אותם ל /21 וכך למעשה לצמצם את הLSDB ולחסוך תעבורה ברשת, צמצום זה עובר בType3 LSA (הוסבר למעלה) OSPF Authentication יכול להיות מצב בו תוקף (אדם מסוים) מצליח להכניס לרשת שלכם ואז התוקף יגדיר ראוטר עם OSPF ID כמו זה שהגדרתם וכך אותו הראוטר יקבל עדכונים על הרשתות ולמעשה עלול לגרום לבעיות ברשת. על מנת למנוע מדבר כזה לקרות ניתן להגדיר תצורה מסוימת של אבטחה. Null זה המצב הרגיל בו אין הגדרה של סיסמא בין הראוטרים Clear Text הגדרה של סיסמא פשוטה, לא מוצפנת ונמצאת כ Password MD5 סיסמא שמוצפנת (באמצעות (MD5 ואבטחה זו היא המומלצת ביותר. תצורת אבטחה זו קובעת שיש Secret Key נאמר והוא Tal ברגע שיוצא Update Packet של Hash Value ביחד נקראים Secret Key החבילה וה Secret Key הוא מוצפן באותו ה OSPF אותו Hash למעשה אומר לראוטר שמקבל את החבילה האם לסמוך על עדכון זה. המידע העובר

10 ב MD5 הוא לא כזה מוצפן ודיי קל לקריאה ולכן אינו מוגדר כאבטחה אשר מצפינה את המידע. נסביר זאת כך: R1 מוגדר לו MD5 Authentication עם הסיסמא Tal. מוגדר לו בדיוק כמו שמוגדר לR1 R2 Packet התוצאה היא ה Hash Value וכמובן מגדיר עם הסיסמא את ה שולח עדכון ל R1 R2 וה Hash Value של,74d25dae65d9e1bfe851af474fba7b1f ברגע שהחבילה מגיע ל R1 הוא בודק עם הסיסמא Tal מה הValue Hash שנוצר ומתאם זאת עם ה Hash שהתקבל וכך יודע אם לסמוך על חבילה זאת. למה אמרתי שזה לא מצפין את המידע, קחו את ה Hash הזה 74d25dae65d9e1bfe851af474fba7b1f וכנסו לכל אתר שמבצע MD5 Decrypt ותבדקו מה התוצאה. מעבדה להורדת המעבדה לפניכם רשת המחלוקת ל 3 אזורים, Area 0 Area 1 Area 2 במעבדה זו נגדיר את האזורים ואת OSPF על מנת שהרשת תתפקד כראוי

11 נתחיל עם R6 R6>en R6#conf t R6(config)#router ospf 1 R6(config-router)#network area 2 R6(config-router)#network area 2 נעבור לR1 R1>en R1#conf t

12 R1(config)#router ospf 1 R1(config-router)#network area 2 R1(config-router)#network area 2 כעת נעבור לR10 R10>en R10#conf t R10(config)#router ospf 1 R10(config-router)#network area 2 R10(config-router)#network area 2 R10(config-router)#network area 0 R10(config-router)#network area 0 נעבור ל R7 R7#conf t R7(config)#router ospf 1 R7(config-router)#network area 1 R7(config-router)#network area 1 נעבור לR8 R8#conf t R8(config)#router ospf 1 R8(config-router)#network area 1 R8(config-router)#network area 1 נעבור לR9

13 R9>en R9#conf t R9(config)#router ospf 1 R9(config-router)#network area 1 R9(config-router)#network area 1 R9(config-router)#network area 0 R9(config-router)#network area 0 נעבור לR11 R11#conf t R11(config)#router ospf 1 R11(config-router)#network area 0 R11(config-router)#network area 0 כל הזכויות שמורות לטל בן שושן Shushan.co.il (הורדת המעבדה (מוכנה

14 הסבר על HSRP, VRRP, GLBP FHRP First Hop Redundancy Protocols הוא תחום רחב ליתירות בעולם הRtouers על מנת שמחשב שיש לו Default Gateway ימשיך לעבוד גם אם הראוטר שדרכו מחשב זה מנתב לכל רשת אחרת יפול אז באופן אוטומטי יחליף אותו ראוטר אחר. לסיסקו כמה מונחים: Standbay Router הוא הראוטר שממתין, במקרה והראוטר הראשי נופל Virtual Router ראוטר שאינו קיים פיזית והוא מדמה את קבוצת הראוטרים הפיזית, כך שהמחשב יחשוב שיש לו Default Gateway אחד והוא ה Virtual Router Forwarding Router הוא הראוטר הוירטואלי שמעביר דרכו את ה מידע על מנת לנתב אותו קדימה -Virtual IP Address מונח זה רחב ואינו שייך רק לתחום זה הוא VIP כתובת אחת, שמאחוריה

15 כמה כתובות, נאמר הכתובת כאשר נפנה לכתובת זו נגיע בעצם לכתובת (נאמר (Router1 או ל (נאמר (Router2 (זאת אומרת כתובת וירטואלית שמאחורה יש כתובות שמשויכות לרכיב פיזי כמו לראוטר) Virtual MAC Address כמו VIP רק, MAC בעצם כתובת MAC שמאחוריה יכולים להסתתר כתובות MAC פיזיות של רכיבים פיזים Default Gateway כתובת IP שהמחשב או רכיב רשת מכיר בתור זה שדרכו הוא יוצא כאשר הרשת שאליו הוא רוצה להגיע לא נמצאת בסגמנט שלו. כמה פרוטוקולים קיימים בתוך FHRP והם: Standby פרוטוקול ששייך לסיסקו ונותן מענה של יתירות בראוטרים, ראוטר אחד ב HSRP ואחד ב Active HSRP For IPv6 -פרוטוקול ששייך לסיסקו ונותן מענה של יתירות בראוטרים, ראוטר אחד ב רק בגרסת IPv6, Active ואחד ב Standby VRRPv2 לא שייך לסיסקו וקיים בכל יצרני הראוטרים, דומה מאוד לHSRP רק שהמינוחים שונים, ראוטר אחד נבחר ל Virtual Router Master ואילו השאר ל Backup וכך שאם הראשי נופל השאר מגבים אותו אך שייך ל IPv6 כמו V2 VRRPv3 GLBP הוא קיצור של Gateway Load Balancing Protocol הוא מאפשר יתירות של הראוטרים אך הפיצ ר המתקדם בו שהוא מאפשר מעבר של מידע ב 2 הראוטרים ואם אחד נופל אז רק אחד מעביר את המידע, מצב זה יותר גם יתירות וגם חלוקת עומסים ושם אותו כפרוטוקול מועדף בתחום זה. לגרסת IPv6 GLBP For IPv6 הסבר על HSRP HSRP הוא קיצור של Hot Standby Router Protocol הוא פרוטוקול המתנה בו יש ראוטר Active וראוטר אחד,Passive כך שאם אחד נכשל השני יתפוס את מקומו ויחליף אותו בעבודת הניתוב.

16 הראוטר שהוא Active עונה לבקשות ARP של Router על ידי ה,Virtual Mac Adress והוא יודע את כתובת ה IP של ה VIP שניצור, מעביר את המידע דרכו ובנוסף שולח את ה Hello (מוסבר בהמשך) הראוטר שהוא Passive מאזין להודעות Hello על מנת לדעת אם הרשת נפלה ומניח שאם לא מתקבל Hello אז הוא הופך עצמו לActive מדוע להשתמש בפרוטוקול זה? כאשר יש לנו מחשב לדוגמה PC1 אנחנו מגדירים לו Default,Gateway במצב זה כאשר ה Router יפול, לא יהיה לPC1 כיצד להגיע לרשתות אחרות \ לרשת העולמית ולכן אנחנו צריכים ליצור מצב של יתירות. כל זמן שאחד Active והשני Passive הם שולחים בינהם הודעות Hello (כל 3 שניות) הודעה זו מגדירה מי יהיה הראוטר הActive במקרה בו ה Passive נכשל, לאחר שליחת Hello 3 (לאחר 9 שניות) לראוטר השני ואין מענה, ה Hold Time Timer יחשב את 3 ההודעות ויכריז שהראוטר הActive לא עובד ויהפוך את הראוטר הPassive ל Active בעיה בתצורה זו היא כאשר הקו נופל ולא הראוטר עצמו, ולכן נגדיר Active Router Election שהראוטר עם ה Priority הגבוהה ביותר הוא יבחר וביחד עם הגדרה זו נגדיר Traking כך ה HSRP יכול לנטר את הרשת ולהבין שהקו נפל ולשנות את ה Priority (הPriority הדיפולטיבי הוא 100) בדוגמה שלי לא נשתמש בקו אינטרנט, אלא דוגמה Router(config)#interface g0/0 Router(config-if)#standby 192 ip

17 Router(config-if)#standby 192 priority 110 Router(config-if)# %HSRP-6-STATECHANGE: GigabitEthernet0/0 Grp 192 state Speak -> Standby %HSRP-6-STATECHANGE: GigabitEthernet0/0 Grp 192 state Standby -> Active על ידי הגדרת Priority 110 הגדרנו שראוטר זה ייבחר להיות ה Active כיוון שה Priority הדיפולטיבי הוא 100 נגדיר כעת את Router3 Router(config)#interface g0/0 Router(config-if)#standby 192 ip ונגדיר כעת לRouter3 להיות ה Active לרשת , אותם פקודות רק שה Priority 110 יהיה על Router3 Router(config)#interface g0/1 Router(config-if)#standby 193 ip Router(config-if)#standby 193 priority 110 Router(config-if)# %HSRP-6-STATECHANGE: GigabitEthernet0/1 Grp 193 state Speak -> Standby %HSRP-6-STATECHANGE: GigabitEthernet0/1 Grp 193 state Standby -> Active כעת נעבור שוב ל Router2 Router(config)#interface g0/1 Router(config-if)#standby 193 ip נקיש את הפקודה Router#show standby brief

18 Interface Grp Pri P State Active Standby Virtual IP Gig0/ Standby local Gig0/ Active local נוכל לראות שלרשת אחד הוא Active ולרשת הוא Passive אם נעביר חבילת מידע ב Packet Tracer במצב,Simulation נוכל לראות שכאשר שולחים חבילה מרשת ל היא הולכת דרך Router2 * ניתן לראות את הX אשר מציג שהחבילה לא עוברת דרך Router3 שכן הוא הPriority שהגדרנו לרשת זו ואילו לרשת אם נשלח הודעה לרשת נקבל שRouter2 למעשה יחסום את החבילה כמובן שכאשר מדובר על האינטרנט והגדרתם Last Resort לכתובת מסוימת נאמר ל אז אתם לא צריכים להגדיר HSRP בצד השני של הראוטר כמו פה, ההשוואה שאני

19 עשיתי זאת על מנת שנקבל Ping בTracer Packet ויהיה קל יותר להגדיר נסו אתם כעת לבטל את אחד הפורטים באחד הראוטרים ותראו שעדיין המידע עובר! וזאת על ידי כך שהודעות ה Hello לא עברו אל הראוטר ה Active ולכן נבחר הראוטר השני להיות Active גם לרשת השניה זה יהיה ככה אם אחד מהם נפל ואותו אחד שנפל חוזר, אותו הראוטר לא יחזור להיות Active הוא למעשה יישאר ה Passive על מנת להחזיר לראוטר זה את היותו Active יש לבצע את הפקודה Router(config)#interface g0/1 Router(config-if)#standby 193 preempt כמובן שיש להתייחס לכל רשת בנפרד, אם בצעתם את המעבדה הזו בדיוק אבל מה קורה כאשר הקו נופל ולא הראוטר עצמו? כאן נגדיר Interface Tracking ונגדיר את הפורט של רשת Router נכנס ל וכך הקו של אותו הראוטר מנוטר על ידי HSRP Router(config)#interface g0/1 Router(config-if)#standby 193 track gigabitethernet 0/1 GLBP Gateway Load Balancing Protocol הוא קיצור של Gateway Load Balancing Protocol הוא מאפשר יתירות של הראוטרים אך הפיצ ר המתקדם בו שהוא מאפשר מעבר של מידע ב 2 הראוטרים ואם אחד נופל אז רק אחד מעביר את המידע, מצב זה יותר גם יתירות וגם חלוקת עומסים ושם אותו כפרוטוקול מועדף בתחום זה. מונחים: קיים רק ראוטר אחד עם שAVG, Active Virtual Gateway הוא קיצור של Active AVG שה Priority שלו הכי גובה בתוך קבוצת GLBP (שאותה נגדיר בפקודות) אותו ראוטר שהוא

20 AVG אחראי על מתן Virtual MAC לעצמו ולשאר הראוטרים החברים בקבוצה, עונה למחשבים ב Virtual MAC ב ARP כאשר הם מחפשים את הכתובת IP של הראוטר -Standby AVG הראוטר עם ה Priority הגבוהה ביותר אחרי ה Active AVG הוא יהיה ה ממתין והוא יקח פיקוד במקרה ש Active AVG יפול. AVF הוא קיצור של Active Virtual Forwareder גם Active AVG וגם Standby AVG הם חלק מAVF ה AVF אחראי לקבל מידע דרך ה Virtual MAC של אותו הראוטר וכאשר הוא לא מסוגל לקבל מידע דרך ה Virtual MAC הראוטרים האחרים אחראים לטפל ב Virtual MAC שאינו יכול לקבל יותר חבילות ולטפל בהם במקומו, דוגמה נוספת היא כאשר משנים אתה Weighting המשקל של אותו AVF לאותו ראוטר יהיה עדיפות בהעברת יותר מידע, ככל שהמשקל גבוהה יותר כך אותו ראוטר יעביר דרכו יותר מידע והשאר פחות Time Hold TIme אחרי זמן מסוים, אם ראוטר לא מקבל Hello מראוטר אחר הוא יחשיב אותו שאחד שנפל ולכן יש לנסות להשתתף בבחירה של מי יקח את ה Virtual MAC של אותו ראוטר שנפל Redirect Timer קיים במקרה בו אין תגובה מהראוטר אבל הוא עדיין ממשיך להעביר מידע Secondary holdtimer אם עבר הזמן המינימלי של ערך זה באותו ראוטר, אף ראוטר לא יטפל ב Virtual MAC שלו Preempt בין אם זה AVG או AVF אחרי שראוטר נפל הוא יכול לדרוש בחזרה את הסטטוס שהוא היה בו, Standby או Active Multicast פרוטוקול ה GLBP משתמש ב ופרוטוקול UDP 3222 על מנת לתקשר בין הראוטרים. Load Balancing Algorithm Round Robin הוא פרוטוקול הברירת מחדל, בעצם המידע המתקבל לMAC Virtual יהיה רנדומאלי, פעם לראוטר הזה ופעם לראוטר הזה Weighted כמה מחשבים יעברו דרך אותו Virtual MAC ככל שהמשקל כבד יותר יעברו יותר מחשבים

21 לDefault Virtual MAC הגדרה בה לאותו מחשב יהיה תמיד את אותו Host Dependent Gateway שלו וכך יעבור תמיד דרך ראוטר מסוים מעבדה נבצע מעבדה! (המעבדה בוצע בGNS3 ) אסביר את הפקודות: נגדיר תחילה את R2 ואת פורט F0/1 שפונה לרשת /24 ה VIP הכתובת הווירטואלית שלנו היא R2#configure t R2(config)#interface fastethernet 0/1 R2(config-if)#glbp 1 ip נגדיר,Preempt אם ראוטר זה יפול ויחזור הוא ידרוש להיות בחזרה ה Active AVG R2(config-if)#glbp 1 preempt R2(config-if)#glbp 1 priority 150 R2(config-if)#glbp 1 load-balancing round-robin

22 R2(config-if)#end כעת נגדיר את הA VIPהוא ששייך לרשת R2#configure t R2(config)#interface fastethernet 0/0 R2(config-if)#glbp 2 ip R2(config-if)#glbp 2 preempt R2(config-if)#glbp 2 priority 150 R2(config-if)#glbp 2 load-balancing round-robin כעת נגדיר את Router3 עם אותה הכתובת וירטואלית שכן פורט F0/1 פונה לרשת R3#configure t R3(config)#interface fastethernet 0/1 R3(config-if)#glbp 1 ip R3(config-if)#glbp 1 preempt R3(config-if)#glbp 1 priority 150 R3(config-if)#glbp 1 load-balancing round-robin R3(config-if)#end כעת נשאר להגדיר בכל ראוטר את הרשת R3#configure t R3(config)#interface fastethernet 0/0 R3(config-if)#glbp 2 ip R3(config-if)#glbp 2 preempt R3(config-if)#glbp 2 priority 150

23 R3(config-if)#glbp 2 load-balancing round-robin וכעת אתם אמורים להיות במצב,GLBP אל תשכחו לתת Default Gateway שהוא לרשת ולרשת את הGateway Default שהוא כל הזכויות שמורות לטל בן שושן Shushan.co.il הסבר על +PVST על +Rapid PVST ועל RSTP ועל MSTP הסבר על +PVST על +Rapid PVST ועל RSTP ועל MSTP מאמר זה הוא המשך למאמר הסבר על STP -STP למעשה STP שהוא תקן IEEE 802.1D הוא התקן הראשוני אך קיימות גרסאות ישנות שלא תומכות בVLAN אך בגרסה היותר חדשה הוא תומך ב VLAN אך כאשר הוא מעביר בנתיב שהוא קבע כפתוח את כל VLAN שיש הוא בעצם יוצר עומס על אותו קו, כאשר נבדוק את שאר הפרוטוקולים נגלה שיש דרכים אחרות להעביר את ה,VLAN הוא אינו דורש הרבה כוח עיבוד וכאשר יש נפילה ברשת לוקח לו יותר זמן לעלות. +PVST הוא התקן חדש יותר התקן של סיסקו והוא דורש יותר משאבים אך גם עלייתו

24 אחרי נפילה או בהתחלה לוקחת יותר זמן (כמו STP בדיוק) אך העלייה היא פר VLAN הוא פיצ ר יותר מתקדם מ STP הסיבה למעשה שהוא יכול לעביר את המידע לפי הVLAN זאת אומרת שאין פורט חסום, אך פורט חסום לVLAN אחד ופתוח לאחר וכך לא נוצר,LOOP לכל.Portfast,BPDU Gurd,UplinkFast הוא תומך בפיצ רים הבאים: VLAN RSTP הוא תקן 802.1W הוא לא דורש הרבה משאבים אך לא מעט, הוא מהיר יותר בעליה לאחר נפילה או כאשר הסוויצים עולים מחדש גם הוא כמו STP מעביר את כל ה VLAN על אותו חיבור ללא הפרדה ובכך לא מחלק את החיבורים שכן חסומים וכך נותן יותר רוחב פס. +Rapid PVST הוא עולה מהר יותר מהשאר, אך דורש את הכי הרבה משאבים משאר הפרוטוקולים, הוא שילוב של RSTP ו +PVST עולה יותר מהר + לא חוסם את הפורטים אלא מעביר על פי VLAN כמו + PVST MSTP הוא פרוטוקול שבא לפתור את הבעיה עם ה VLAN אבל הוא יוצר אזורים לכל VLAN ולא לפי מספר וכך מעביר את אותם VLAN הוא יכול להעביר עד 16 אזורים גם הוא תומך בכל הפיצרים של + PVST וPVST +Rapid הוא מהיר מאוד בעלייה ולא דורש משאבים יותר מידי אך לא מעט מידי כבר הוסבר במאמר אחר בהרחבה, לכן נתחיל בPVST + STP +PVST

25 ניתן לראות Trunk שמעביר את VLAN 10 ואת VLAN 20 על אותו הכבל, ב +PVST נבחר סוויצ SW1 כ- Root Bridge ל 20 VLAN ואילו סוויצ SW0 נבחר ל 10 VLAN בעצם כאשר הוא הגיע אם הוא הגיע מVLAN VLAN הפורט יבדוק מאיזה מסוים מגיע מVLAN Frame שמותר לו לעבור הוא יעביר אותו ואם לא אז לא. למעשה הוא ה STP ה Default של רוב הסוויצים של סיסקו. כך בעצם יכול להיגרם Loop בכל אחד מהVLAN אך בגלל שבצד אחד הוא חוסם ובצד שני מאפשר אבל מחלק את VLANs הוא מאפשר חלוקת עומסים ללא גרימה של Loop לPVST + קיימים כמה מצבים לפורט, MAC אבל לא מעביר מידע ולא מקבל מידע ואינו לומד BPDU פורט זה מקבל Blocking Address דרך פורט זה MAC אבל לא מעביר מידע ולא מקבל מידע ואינו לומד BPDU זה מקבל פורט Listening Address דרך פורט זה, במצב זה הוא מקשיב לBPDU המתקבל על מנת לבדוק את הטופולוגיה

26 MAC אבל לא מעביר מידע ולא מקבל מידע אבל לומד BPDU פורט זה מקבל Learning Address דרך פורט זה, הוא לומד דרך פורט זה MAC Address על מנת שיוכל להעביר Frames,MAC Address הוא מעביר ומקבל מידע בפורט ולומד BPDU פורט זה מקבל Forwarding הוא פורט שמעביר מידע ללא שום חסימה על מנת שהרשת תתפקד Disabled אינו מקבל BPDU ואינו מעביר או מקבל מידע ולא לומד MAC Address חדשים (חסום לחלוטין) כיצד אפשר להגדיר פורטים עם Trunk למצב של +PVST נבצע לפי התרשים: SW1(config)#spaning-tree vlan 20 root primary SW1(config)#spaning-tree vlan 10 root secondary אז ניגש דרך SW1 הוא הגדרה שאומרת שאם נפל הגישה ל VLAN 10 secondary SW0(config)#spaning-tree vlan 10 root primary SW10(config)#spaning-tree vlan 20 root primary כיצד הוא עובד בהשוואה לSTP +PVST הגדרת Bridge Root פורט זה בוחר לכל VLAN את ה Root Bridge שלו, ואין Root Ports ב Root Bridge כל פורט ב Root Bridge הוא זה שמעביר מידע והוא למעשה Designated.Port הגדרת Root Ports על סוויצים שאינם Root Bridge הוא בוחר את אלו עם ה Cost הטוב ביותר ל Bridge Root בחירת ה Designated Port היעד הטוב ביותר ל VLAN Root Bridge ושאינם Root Ports הם למעשה Designated Port בחירת הפורטים לחסימה הפורטים שהוא בוחר לחסימה (שאותם הוא חוסם) נקראים Alternate Ports

27 Extented System ID על ידי תא זה בתוך ה Bridge ID הוא למעשה מכניס את ה VLAN ID זאת אומרת שכמו שלמדתם ב STP הBID בנוי מ Priority Value + MAC Address + Extented System ID ה Priority הוא (ברירת מחדל בכל הסוויצים) ואז תוסיפו את ה Extented System ID שהוא הVLAN נאמר VLAN 20 אז הPriority הוא ואז תוסיפו את ה MAC הסוויצ עם הMAC הנמוך ביותר ב VLAN 20 יזכה RSTP נסתכל על התרשים למטה, אפשר לראות שבסוויצ SW0 יש חסימה בפורט,Fa0/2 בRSTP אין חסימה למעשה פורט זה הוא במצב Alternate ובמצב.Discareded יש 3 מצבים של פורט ב RSTP והם: Discard Learn Forward למה זה חשוב שהוא יהיה ב Alternate State עצם זה שהוא לא שם אותו במצב,Blocking כאשר חיבור שעובר דרכו מידע ברשת יפול והוא יצטרך לעלות את הפורט החסום ב STP יקח לו זמן כי הפורט חסום ואילו כאן הוא במצב Alternate במצב זה הוא יכול בעניין של מילי- שניות לעלות את הפורט. RSTP הוא שיפור של STP המקורי והוא שופר על ידי סיסקו הוא בוחר את ה Root Bridge וה הוא 2 לעומת 0 בSTP Version הערך אבל בBPDU,STP וכו באותה הדרך כמו Root Ports

28 Link Type סוגי הרכיבים שמחוברים בכבל יש להם Link Type ולהם 2 סוגים: אשר מחובר לSwitch Hub שהוא Half Duplex רכיבים שהחיבור ביניהם Shared Point-To-Point עובד ב Full Duplex ומדבר על כל רכיב אחר שאינו HUB שמחובר לסוויצ ובעצם נמצא במצב מהיר ל Forward State

29 Edge Ports הם כל הפורטים שאינם מחוברים לסוויצ אחר, נאמר מחשב שמחובר לפורט, ראוטר שמחובר לפורט בסוויצ וכו הם Edge Ports וכל סוויצ שמחובר לפורט בסוויצ אחר הוא Non-Edge,Ports למה צריך את זה? ברגע שמתחבר לסוויצ רכיב שאינו סוויצ, ה RSTP מניח אותו אוטומטית במצב Forward State וכך חוסך זמן בעליית הסוויצ הפקודה היא Switch1(config)#interface fastethernet 0/1 Switch1(config-if)#spanning-tree portfast זאת פקודה לדוגמה שבה הגדרתי את פורט F0/1 שאליו מחובר מחשב (לפי התרשים) כ Port Fast +Rapid PVST הוא שילוב של +PVST ו RSTP והוא מעביר VLAN על גבי אזור משלו כמו +PVST ואילו RSTP לא, למעשה אחרי שהבנתם את RSTP ו +PVST שלבו את התכונות שלהם ביחד והם למעשה +Rapid PVST BPDU Gurd וה PortFast תכונה שלו ושל +PVST היא ה PortFast וה BPDU Gurd מה מיוחד במצב זה ממצב ה Edge Ports שהסברתי למעלה? ה Portfast מבצע כמעט אותה פעולה כמו ה,Edge Ports מגדיר את כל הרכיבים שאינם סוויצ והם מחוברים לסוויצ (מחשב,שרת, AP וכו ) כ Portfast אבל מהו ה?BPDU Gurd למעשה בפורטים זה לא אמור לצאת לכיוון המחשבים השרתים וכו Frame מסוג BPDU והוא חוסם מ BPDU לעבור בפורטים אלו כי מלכתחילה לא היה אמור הBPDU לעבור לשם כי הוא מיועד לסוויצ הפקודה היא : Switch1(config)#interface fastethernet 0/1 Switch1(config-if)#spanning-tree portfast

30 Switch1(config-if)#spanning-tree bpduguard enable כל הזכויות שמורות לטל בן שושן Shushan.co.il הסבר על NAT והגדרת NAT בCisco הגדרת NAT בRouter Cisco Router הסבר מפורט על NAT ניתן להיכנס למאמר הבא במאמר זה נרחיב טיפה על NAT בעולם הסיסקו. מונחים בNAT :

31 Inside Local Address.1 Inside Global Address.2 Outside Local Address.3 Outside Global Address.4 Inside Local Address כתובת המחשב שמתורגם לכתובת אחרת על ידי NAT כתובת של מחשב בתוך הרשת הפנימית Inside Global Address כתובת חיצונית שאיתה מבוצע הNAT (מאחוריה מסתתרים כתובות הIP הפנימיות) Outside Local Address כתובת חיצונית לרוב של היעד כאשר הPacket נמצא בתוך הרשת הפנימית (שרת Web בעולם לדוגמה) Outside Global Address ברגע שהחבילה יצאה לרשת העולמית הכתובת שהיא מיועדת אליה היא הAddress Outside Global אפשר בתרשים לראות מהו כל אפשרות

32 אסביר זאת על פי התרשים הבא (התרשים נעשה על ידי אבל הרעיון מCisco.com ) לפניכם צד שמאל וצד ימין, צד שמאל הוא הרשת הפנימית, מחשב עם כתובת /24 והוא מחובר לסוויצ שמחובר לראוטר החיבור בראוטר בצד השמאלי הוא.Default Gateway בצד ימין היציאה בראוטר היא כתובת חיצונית של והיא מגיע לISP (בשביל הדוגמה כנראה כתובת /30), ושרת FTP עם כתובת חיצונית ניתן להבין בתרשים בצד שמאל שהמחשב מעוניין להגיע ליעד שנמצא ברשת העולמית, ברגע שPacket יוצאת היא יוצאת בכתובת IP חיצונית שהיא ולכן אפשר לראות בתרשים בצד ימין שה Source הוא שזה הכתובת של היציאה של הראוטר (רשמתי לכם לדוגמה פורט סיריאל 0/0/0) והיעד הוא שרת ה FTP אחרי שהבנתם את התרשים נרשום את המונחים שהסברתי למעלה ליד כל IP וכך תוכלו לקשר את המושג Inside Local Address כתובת המחשב Inside Global Address כתובת ה NAT של הראוטר היא כתובת ה Port שלו היוצא לעולם ואצלנו הכתובת היא Outside Local Address המחשב מגדיר בPacket ב Destination IP את הכתובת של היעד שהוא שרת ה FTP Outside Global Address ברגע שהחבילה נמצאת בניתוב בעולם המקור שלה זה והיעד (זאת אומרת חבילה שהיעד והמקור שלה הם כתובות חיצוניות) Static NAT הוא למעשה NAT פשוט שמתרגם בין כתובת פנימית לחיצונית One-To-One למה One-To-?One בגלל שכתובת פנימית אחת תתורגם לכתובת אחת חיצונית, 1 על אחד 1 לדוגמה:

33 התרשים שלפניכם מציג מחשב שמעוניין להגיע בFTP פורט 21 לשרת FTP שכתובתו , כמובן ש לא יכול לצאת לעולם ולכן הטבלה תראה כך: Inside Local: Inside Global: Outside Local: Outside Global: המקור: היעד :21 (הוא מעוניין לגשת לFTP של השרת) אבל הרגע שהוא יגיע לראוטר בתרשים: יבוצע,NAT המקור יהיה: Source: Destination: :21 הבנתם את הרעיון, אבל מה קורה כאשר החבילה חוזרת? כיצד היא יודעת לחזור בדיוק לאותו מחשב פנימי עם כתובת ? עכשיו נבדוק כיצד החבילה חוזרת למחשב Source IP:

34 Destination IP: :21 ברגע שהPacket מגיע לראוטר, הראוטר פותח את החבילה ובודק למי שייכת הכתובת החיצונית: = ואז משנה את ה Destination IP ל: Source IP: Destination IP: :21 וזאת על מנת לנתב אותו בתוך הרשת הפנימית Dyanmic NAT הוא לא כמו Static NAT הוא למעשה Many-To-Many אתם למעשה מכניסים לו טווח של כתובות חיצוניות נאמר סה כ 14 כתובות חיצוניות ויש לכם רשת פנימית עם 14 מחשבים, מעולה, כל פעם שמחשב ירצה לגשת לרשת החיצונית הוא יגיע לראוטר ואז הראוטר יסתכל בטבלה שלו ויראה את כל הכתובות החיצוניות הפנויות והכתובת הראשונה שפנויה הוא יצוות לכתובת הפנימית וכך לכל כתובת פנימית יש לאותו הSession בלבד כתובת חיצונית משלו, אם לא מובן אסביר זאת עם הטבלה והתרשים:

35 מחשב מעוניין לגשת לשרת בפורט 21 הוא מגיע לראוטר והראוטר בודק איזה כתובת פנויה, הוא רואה שכל הכתובות פנויות והוא מקצה את לכתובת זו והטבלה תראה כך: Inside Local: Inside Global: Outside Local: Outside Global: :המקור והיעד יראו כך Source IP: Destination IP: :21 יסגר Session דוגמה נוספת שקיימת בטבלה זה שמחשב נוסף קיבל כתובת חיצונית, ברגע שה הכתובת תחזור להיות פנויה ומחשב אחר יכול לקחת את אותה הכתובת אבל היא תצוות אליו

36 חשוב לדעת ברגע שיש יותר מחשבים עם כתובות פנמיות מכתובות חיצוניות וכולם ירצו לגשת* לעולם, חלק מהמחשבים לא יוכלו לגשת לרשת בגלל שלא יהיה כתובת לחלק להם, חשוב תמיד להגדיר כמות גדולה במקצת של כתובות חיצוניות (הכוונה ליותר כתובות חיצוניות מכתובות (פנמיות שקיימות בארגון PAT PAT הוא קיצור של Port Address Translation והוא גם מכונה NAT Overload ממפה כמה, עשרות, אלפי כתובות לכתובות IP חיצונית אחת, לדוגמה בבית שלכם, כאשר אתם יושבים בסלון והמחשב הנייח, והמחשב הנייד, והטלפונים, והטבלט כל המכשירים הללו מקבלים כתובת IP פנימית לדוגמה Laptop Tablet iphone Phone Adnroid Phone כאשר כל המכשירים הללו רוצים לגלוש בעולם הם מגיעים לראוטר, אותו ראוטר קיבל כתובת חיצונית אחת מהספקית למשל , מאחורי כתובת זו נמצאים כל הכתובות הפנימיות שרשמתי למעלה. והבעיה היא כיצד כל המכשירים יוצאים מכתובת אחת, אך הPacket חוזר בחזרה דווקא לאותו מחשב עם מה שהוא ביקש לדוגמה מחשב ביקש לגלוש לMicrosoft.com ו מבקש לגלוש לCisco.com הבעיה היא ש 2 הכתובות הללו יוצאות בפורט 80, אך ידע איזה אתר להחזיר לאיזה מחשב, את זה נראה שתרשים הבא:

37 ניתן לראות שלדוגמה מחשב מעוניין לגלוש לאתר שכתובתו בפורט כמובן (HTTP) 80 ולכן המקור והיעד יראו כך: Source IP : Destination IP: אבל יש לנו בעיה, כל שאר הכתובות גם הן יוצאות מאותו הכתובות ולכן הראוטר יצוות פורט לכתובת ה IP הפנימית בצורה הבאה: Source IP : :1222 Destination IP: על ידי פורט זה, ברגע שהPacket יגיע אל הראוטר הראוטר מצוות את הפורט שהוא נתן לכל כתובת פנימית (באותו הרגע לבקשה הזו בלבד, כל בקשה זה פורט חדש) ומצוות את הפורט לכתובת החיצונית בצורה הבאה: *ניתן לראות בתרשים שהכתובת החיצונית של הארגון זה , זאת אומרת מאחורי הכתובת הזו יהיו הכתובות הפנימיות של הארגון

38 Source IP : :1222 Destination IP: כך כאשר השרת (יותר נכון הראוטר של השרת) יחזיר תשובה, התשובה מהצד השני תראה כך: Source IP : Destination IP: :1222 ואז כאשר הPacket הזה יגיע לראוטר שלנו, הראוטר יבדוק למי הוא ציוות את הפורט: 1222 והוא יראה שזה לכתובת והוא יעד להעביר את ה Packet הנכון אל היעד הראוטר מצוות את הפורטים באופן רנדומלי (עד פורט 65535) ואתם בטח שואלים את עצמכם, מה קורה כאשר יש התנגשות של פורטים, אותו פורט כבר בשימוש למשל בדוגמה הבאה: Source IP : :5545 Destination IP: Source IP : :5545 Destination IP: מה שיקרה הוא דיי פשוט, ברגע שהוא יראה בטבלה שלו שהפורט כבר תפוס, הוא יחליף באותו הרגע את הפורט לפורט אחר ויצוות לו פורט שאינו תפוס חשוב לזכור שNAT מתרגם כתובת 1:1 או כמו שרשמתי One To One ואילו PAT מתרגם המון כתובות לכתובת אחת או One To Many מעבודה פשוטה בNAT Static להורדת המעבדה

39 לפנינו הרשת כמו בתרשים, הגדרתי 2 מחשבים ומחשב והיעד שלהם הוא שרת, על מנת לתאר את הNAT Static בצורה הפשוטה ביותר, הגדרתי את הכתובת של השרת Web ל ללא Default Gatway למרות שיש לו, הסיבה שברגע שהחבילה תחזור אחורה עם NAT זאת אומרת עם כתובת למשל למחשב מסוים אז הוא ידע איך, נסביר החבילה יוצאת ממחשב ואמרתי לראוטר שיבצע NAT לכתובת זו, וכתובת זו תגיע ל בכתובת וכך גם תדע לחזור כאשר החבילה תצא היא תצא בכתובת ליעד Source IP : Destination IP:

40 NAT אבל כאשר החבילה תגיע לראוטר, יבוצע Source IP: Destination IP: :והחבילה תצא לדרך, בחזור על מנת לקבל תשובה, החבילה תראה כך Source IP: Destination IP: אין כאן בעיה כתובת Gateway, Default אתם בטח שואלים אך הוא חוזר אם אין היא אותה הרשת עם ולכן החבילה יודעת להגיע לסוויצ, והסוויצ יודע שכתובת זו הגיע שלו לבדוק למי הוא ציוות NAT ולכן יגיע לראוטר, שם הראוטר יבדוק בטבלת ה F0/2 מפורט את הכתובת = ואז החבילה תשתנה ל Source IP: Destination IP: ותגיע ליעדה עכשיו נבצע את המעבדה NAT ונגדיר Router נכנס ל נגדיר,NAT כאשר הכתובת תגיע מ Interface שהוא Inside Router>en Router#conf t Router(config)#ip nat inside source static נגדיר כעת את הפורטים, כל אחד לצד שהוא פונה (חיצוני או רשת פנימית) פורט G0/0 פונה לצד החיצוני: Router(config)#interface gigabitethernet 0/0 Router(config-if)#ip nat outside Router(config-if)#exit

41 :פונה לצד החיצוני G0/1 פורט Router(config)#interface gigabitethernet 0/1 Router(config-if)#ip nat inside כעת נבדוק פינג בין לבין ונראה שיש תקשורת, כמו שהסברתי למעלה אבל מ אין תקשורת ל (הסברתי למעלה למה, למרות שיש ראוטר, לשרת אין Default Gateway ולכן אינו יודע לחזור אלא רק לכתובת ברשת שלו כמו ה NAT שהסברתי שורה למעלה) נוסף, אני מציג לכם את הPDU שעבר ותוכלו לראות שבזמן המעבר, בראוטר כתובת המקור היא ואז מבוצע NAT ואז כתובת המקור הופכת ל

42 להורדת המעבדה (מוכנה) מעבדה Dynamic NAT להורדת המעבדה ההסבר שלמעלה תקף גם כאן, אין Default Gateway לשרת וזאת על מנת שרק על ידי Many To תוכל לחזור, במקרה כאן במקום כתובת תמורת כתובת אנו נבצע Packet ה NAT Many כמה כתובות ברשת הפנימית כביכול יבצעו NAT לכתובות , נתחיל

43 נסו קודם לשלוח PDU מהמחשבים לשרת (לא תצליחו) על מנת שנוכל יש ליצור :NAT כאן אנו נגדיר טווח של כתובות שהם יהיו ה NAT שלי, זאת אומרת כתובות פנימיות יומרו לכתובות האלו Router>en Router#conf t Router(config)#ip nat pool NATPOOL netmask NAT כעת נגדיר לאיזה רשת מותר לבצע Router(config)#access-list 1 permit על מנת להגיד list 1 שיצרנו בסעיף הראשון וכמובן POOL הדינמי על ידי ה NAT ניצור את ה מותר לעבור access list 1 שרק Router(config)#ip nat inside source list 1 pool NATPOOL1 Router(config)#interface gigabitethernet 0/0 Router(config-if)#ip nat outside

44 Router(config-if)#exit :פונה לצד החיצוני G0/1 פורט לאחר מכן תוכלו לראות שניתן לשלוח חבילה לשרת Router(config)#interface gigabitethernet 0/1 Router(config-if)#ip nat inside מעבדה PAT להורדת המעבדה PAT הוא כתובת אחת חיצונית והמון כתובות פנימיות One To Many זאת אומרת שרשת מחשבים כמו /24 תצא לעולם בכתובת אחת נאמר במעבדה שלנו נדמה את זה קצת יותר פשוט, כל רשת /24 תצא דרך כתובת לעבר רשת /24 וכמובן כמו שהוסבר במעבדות הראשונות לשרת לא יהיה Default Gateway על מנת שנוכל לראות שהNAT עבד.

45 Router>en Router#conf t Router(config)#ip nat inside source list 1 interface gigabitethernet 0/0 overload Router(config)#access-list 1 permit Router(config)#interface gigabitethernet 0/0 Router(config-if)#ip nat outside Router(config-if)#exit Router(config)#interface gigabitethernet 0/1 Router(config-if)#ip nat inside כעת ניתן לראות את טבלת ה NAT על ידי הפקודה: ואפשר לראות שכל הכתובות ברשת יוצאים דרך שהוא ה Inside Global Router#show ip nat translations Pro Inside global Inside local Outside local Outside global

46 icmp : : : :1024 icmp : : : :1 icmp : : : :2 כל הזכויות שמורות לטל בן שושן Shushan.co.il להורדת המעבדה (מוכנה) הסבר על Default Gateway ועל Gateway of Last Resort

47 הסבר על Default Gateway Default Gateway הוא למעשה כתובת IP לרוב של ראוטר, אותו הראוטר יכול לנתב את המידע אל מחוץ לרשת הLAN של אותו המחשב. על ה Default Gateway להיות ככתובת הרשת של אותם המחשבים הנמצאים ב,LAN דוגמה קלאסית אפשר לראות ב 2 רשתות לפניכם אפשר לראות שיש רשת אחת של שרתים שהיא /24 ורשת נוספת (למעלה) שהיא /24 על מנת שהרשת הראשונה תתקשר עם הרשת השניה חייב להיות ראוטר שיוכל לנתב את את המחשבים בין הרשתות ניקח לדוגמה את המחשב מחשב זה מעוניין לשלוח הודעה למחשב האם ההודעה תגיעה? התשובה כמובן שכן, 2 המחשבים נמצאים באותה הרשת ואינם צריכים כל

48 ניתוב על מנת לדבר אחד עם השני. אבל אם יהיה מעוניין לדבר עם הוא יהיה חייב לצאת דרך ה Default Gateway שלו, אמרנו מקודם שGateway Default של חייב להיות באותה הרשת איתו, אז הגדרתי בראוטר את הפורט G0/0 ונתתי את ה IP על מנת שיהיה Default Gateway של רשת זו, הכתובת שנתתי היא בחרתי ב 1 כי כך נהוג גם נהוג להגדיר ברגע שמחשב יהיה מעוניין לשלוח הודעה, הוא לPacket ול Frame את ההגדרות הבאות: Packet Source IP = Destination IP = Frame = Source Mac Address כתובת ה MAC שלו עצמו Default הפורט של הראוטר שהוא ה של כתובת הMAC = Destination MAC Address Gateway באותה הרגע החבילה תצא ויבוצע ניתוב אל הרשת השניה וזאת על ידי ניתוב לוקאלי (מקומי) שכן 2 הרשתות הם,Directly Connected אסביר זאת, ישנם 3 סוגי ניתובים: Directly Connected.1 תוכלו לראות בסרטוט ללמטה שרשת אחת ורשת נוספת מחוברים ישירות לראוטר (לרוב כאשר מחובר מחשב\ים -> סוויצ -> ראוטר, מדובר על רשת אחת) ובגלל שהם מחוברים ישירות לראוטר, ומוגדר להם Default Gateway עם הכתובות /24 ו /24 הראוטר יודע (בגלל ה (Perfix Subent Mask שהשרת שמאחורי פורט G0/1 היא ומאחורי G0/0 יושבת רשת וכך למעשה יודע לנתב בין הרשתות.

49 אז כיצד נראה טבלת הניתוב של ראוטר כזה?, הפקודה היא,Show IP Route C /24 is directly connected, GigabitEthernet0/1 L /32 is directly connected, GigabitEthernet0/1 באדום יש לנו את הסמל שאומר מאיפה הוא למד את הניתוב הזה (הסבר מורחב למטה) בכחול את הרשת שהוא למד, ובירוק מה הנתיב לרשת הזו (במקרה כאן זה יציאה בראוטר)

50 אפשר לראות שיש לנו את האות L והאות C האחד הוא Local והשני הוא Connected ואפשר לראות שיש זוג כזה לכל רשת, ול Local מציג את כתובת ה IP של הפורט שהגדרנו שהוא /32,אבל כשאנחנו רשמנו זה היה /24 ולכן: Connected הוא הרשת עצמה והוא למד אותה מהכתובת שנתנו לפורט G0/1 ולכן ניתוב זה הוא ניתוב שנקרא Directly Connected שכן הוא למד על רשת זו על ידי כך שאנחנו אמרנו לו את כתובת ה IP של הפורט והוא עכשיו יודע איזה רשת שוכנת מעבר לפורט זה. Remote Networks.2 כאשר הרשת היא מרוחקת ממנו ואינה מחוברת אליו ישירות הוא צריך לדעת דרך איזה פורט לצאת על מנת להגיע אליה, זה נעשה על ידי הכנסת הניתוב (איזה רשת נמצאת מאחורי איזה פורט) ידנית לתוך הראוטר או על ידי פרוטוקול ניתוב דינמי (ניתן לקרוא בהרחבה באתר על ניתוב סטטי) O [110/2] via , 00:10:35, GigabitEthernet0/0 כך נראה לדוגמה ניתוב דינמי, במקרה זה פרוטוקול OSPF כעת על מנת להבין את הניתוב הזה טוב יותר נחלק אותו חלקים, = O הוא סוג הניתוב והוא אומר לנו שהפרוטוקול בו הוא השתמש ללמוד על ניתוב זה הוא OSPF [110/2] = via על מנת להגיע לרשת עליך לצאת דרך

51 כתובת ה IP הבאה = 00:10:35 לפני כמה זמן הראוטר שמע על ניתוב זה (יותר נכון מתי לאחרונה עדכן את הניתוב הזה) = GigabitEthernet0/0 איזה פורט בראוטר עליו לצאת על מנת להגיע אל היעד שהיא רשת Gateway of Last Resort.3 או Default Route כאשר הראוטר מקבל חבילה עם יעד שהוא אינו מכיר ואפילו לא נמצאת בטבלת הניתוב, הוא מעביר את זה ל Default Gateway שלו שנקרא Default Route אם הוא כן מכיר אז הוא מעביר דרך הנתיב שרשום לו בטבלת הניתוב לרוב ראוטר עם Last Resort יהיה מחובר לISP למשל בזק כך נראה Last Resort בטבלת הניתוב S* /0 [1/0] via חלוקת הצבעים היא קצת שונה ממה שרשמתי למעלה, אבל נחלק את זה גם על מנת להבין מה כל חלק אומר Last Resort וה* אומר שהוא (Static Route) לנו ניתוב סטטי אומר הS = S* = /0 על מנת להגיע לכל כתובת שקיימת שהראוטר לא מכיר (אם הראוטר יודע על כתובת מסוימת אז הוא ישלח אותה בנתיב הנכון ולא מכאן) = שלח את המידע דרך הכתובת הזו כל הזכויות שמורות לטל בן שושן Shushan.co.il

52 הסבר על ניתוב דינמי ופרוטוקול RIP הסבר על ניתוב דינמי ניתוב דינמי שונה מניתוב סטטי שכן הוא מגלה רשתות לבד מבלי הצורך להגיד לו בכל נקודה ברשת איפה נמצאת רשת כך וכך וזה חוסך הרבה ניהול מצדכם, ישנם גם חסרונות לניתוב דינמי ניתוב דינמי מתבסס על החלפת מידע של ניתוב ברשת ה מידע הוא עדכונים בין הראוטרים על מנת לגלות איזה רשתות שוכנות ברשת, פרוטוקולי הניתוב משתמשים באלגוריתמים על מנת להעביר את המידע וזאת על מנת ליצור מצב בו לא רק הם יודעים אילו רשתות שוכנות איפה אלא גם לדעת מהיא הדרך המהירה ביותר, הקצרה ביותר, האמינה ביותר, הכי פחות עמוסה וכו כמובן שלא כל הפרוטוקולים משתמשים בכל הטכניקות אך הם דיי דומים אחד לשני. הם עובדים ב 4 שיטות, גילוי רשתות חדשות, תחזוק טבלת ניתוב הכי עדכנית שניתן, בחירת הדרך הטובה ביותר ליעד,יכולת למצוא דרך חדשה ליעד אם הדרך הישנה כבר לא עובדת. RIP קיצור של Routing Information Protocol הוא משתמש באלגוריתם של בלמן-פורד והוא אומר בקצרה, מה הדרך הקצרה ביותר על מנת להגיע לצומת (במקרה שלנו לרשת מסוימת) הוא מפרסם כל 30 שניות את טבלת ה Route שלו לכל שכניו (ראוטרים אחרים שהוא מכיר) על מנת להודיע להם איזה רשתות הוא מכיר. נוסף על כך, הוא משתמש בשיטת חישוב של, כמה קפיצות עד ליעד ומציג אותם כ Metric ואינו מחשב את מהירות החיבור שכן הוא יכול לעבור פחות קפיצות אך על קווים איטיים יותר ולכן אינו נחשב לפרוטוקול ניתוב מהיר ואפילו מיושן. על מנת להגדיר פרוטוקול ניתוב כמו RIP עלינו להגדיר לכל ראוטר איזה רשתות הוא יפרסם לשאר הראוטרים בRIP, וזאת נעשה על ידי פקודת Netowork X.X.X.X כך נגיד לו את הרשת

53 זו שנמצאת אצלך (מחוברת ישירות) תפרסם ב RIP לשכניך, לRIP יש 2 גירסאות, אחת ישנה ואחת יותר חדשה בשם RIPv2 RIPv1 חשוב לזכור שכל 30 שניות מפרסם RIP את הרשתות שלו RIPv1 Classful RIP בגרסתו הראשונה הוא למעשה פרוטוקול ניתוב דיי מיושן, כאשר אתם מפרסמים רשת מסוימת RIP מפרסם את הרשת לפי ה Classful זאת אומרת שהוא יבדוק את טבלת ה Classful ולפיה יחליט איזה רשת זו, לדוגמה רשת זו ששייכת ל Class C ולכן זה /24 או רשת זו ששייכת ל Class B ולכן זה /16 או זו רשת ששייכת ל Class A ולכן זה חשוב להבין גם אם החלטתם שרשת היא רשת /16 או Class B זה לא מעניין את Classless הוא לא יודע את זה כיוון שאינו עובד בשיטת ה RIPv1 RIPv2 Classless RIPv2 הוא למעשה Classless הוא הההפך מ Classful זה אומר שניתן להגדיר רשת שלא ב Class שלה ולהשתמש בה בניתוב לדוגמה /16 וRIP ידע לפרסם את הרשת הזו בדיוק. Passive Interfaces למעשה RIP מפרסם את הרשתות רק דרך פורטים אליהם מחוברים ראוטרים אחרים שמשתמשים ב RIP כפרוטוקול הניתוב שלהם, אבל מה קורה כאשר אתם רוצים שRIP לא יפרסם דרך פורט מסוים את הרשתות שלו? למה לעשות את זה? 1. אבטחת מידע, פרסום רשתות לראוטרים שאולי הם לא שייכים לארגון שלכם או ראוטרים שלא מאובטחים כראוי

54 2. בזבוז משאבים ובזבוז רוחב פס אז אך מבצעים?Passive Interface R10>en R10#conf t R10(config)#router rip R10(config-router)#passive-interface g0/0 כך למשל הגדרנו את פורט g0/0 בראוטר שלא יפרסם RIP דרכו, ניתן להגדיר שאף פורט בראוטר יפרסם את הרשתות ואז לבטל את החסימה על פורטים מסוימים R10(config-router)#passive-interface default הDefault אומר שכל הפורטים חסומים ואז אפשר לבצע No כדי לבטל את החסימה על הפורטים שאנחנו כן רוצים שיפרסמו את הרשתות R10(config-router)#no passive-interface g0/0 מעבדה להורדת המעבדה בואו נראה כיצד זה מבוצע.

55 לפנינו רשת עם 11 רשתות, בואו נגדיר רשת זו עם,RIP נלך לRouter6 ששמו R6 R6>en R6#conf t R6(config)#router rip כעת אנחנו מגדירים את פרוטוקול RIP R6(config-router)#version 2 אנחנו מעוניינים ב RIPv2 שכן RIPv1 הוא Classful R6(config-router)#network

56 R6(config-router)#network נגדיר את 2 הרשתות שמחוברות ישירות ל R6 (ניתן לראות בתרשים למעלה) עכשיו נעבור ל R1 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R1>en R1#conf t R1(config)#router rip R1(config-router)#version 2 R1(config-router)#network R1(config-router)#network עכשיו נעבור ל R7 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R7>en R7#conf t R7(config)#router rip R7(config-router)#version 2 R7(config-router)#network R7(config-router)#network עכשיו נעבור ל R8 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R8>en R8#conf t R8(config)#router rip R8(config-router)#version 2 R8(config-router)#network

57 R8(config-router)#network עכשיו נעבור ל R10 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R10>en R10#conf t R10(config)#router rip R10(config-router)#version 2 R10(config-router)#network R10(config-router)#network R10(config-router)#network R10(config-router)#network עכשיו נעבור ל R9 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R9>en R9#conf t R9(config)#router rip R9(config-router)#version 2 R9(config-router)#network R9(config-router)#network R9(config-router)#network R9(config-router)#network עכשיו נעבור ל R11 על מנת להגדיר את הרשתות שהוא מכיר ומחוברות אליו R11>en R11#conf t

58 R11(config)#router rip R1(config-router)#version 2 R11(config-router)#network R11(config-router)#network כעת בדקו את טבלת הניתוב למשל של Router10 R10#show ip route Codes: C connected, S static, I IGRP, R RIP, M mobile, B BGP D EIGRP, EX EIGRP external, O OSPF, IA OSPF inter area N1 OSPF NSSA external type 1, N2 OSPF NSSA external type 2 E1 OSPF external type 1, E2 OSPF external type 2, E EGP i IS-IS, L1 IS-IS level-1, L2 IS-IS level-2, ia IS-IS inter area * candidate default, U per-user static route, o ODR P periodic downloaded static route Gateway of last resort is not set /32 is subnetted, 1 subnets C is directly connected, Loopback /24 is subnetted, 7 subnets C is directly connected, GigabitEthernet0/0 R [120/1] via , 00:00:15, GigabitEthernet1/0 [120/1] via , 00:00:21, GigabitEthernet0/0 C is directly connected, GigabitEthernet2/0 C is directly connected, GigabitEthernet3/0

59 R [120/1] via , 00:00:15, GigabitEthernet1/0 R [120/1] via , 00:00:15, GigabitEthernet1/0 C is directly connected, GigabitEthernet1/0 R /24 [120/1] via , 00:00:06, GigabitEthernet2/0 R /24 [120/1] via , 00:00:11, GigabitEthernet3/0 R /24 [120/2] via , 00:00:15, GigabitEthernet1/0 R /24 [120/2] via , 00:00:15, GigabitEthernet1/0 ניתן לראות באדום את הניתובים שהוא למד דרך,RIP ה AD שרשום 120 ואת כמות ה HOP הקפיצות על מנת להגיע ליעד! [120/2] ניתן לראות באיזה פרוטוקול הראוטר משתמש על ידי הפקודה R10#show ip protocols Routing Protocol is rip Sending updates every 30 seconds, next due in 7 seconds Invalid after 180 seconds, hold down 180, flushed after 240 Outgoing update filter list for all interfaces is not set Incoming update filter list for all interfaces is not set Redistributing: rip Default version control: send version 2, receive 2 Interface Send Recv Triggered RIP Key-chain GigabitEthernet0/0 2 2 GigabitEthernet1/0 2 2 GigabitEthernet2/0 2 2

60 GigabitEthernet3/0 2 2 Automatic network summarization is in effect Maximum path: 4 Routing for Networks: Passive Interface(s): Routing Information Sources: Gateway Distance Last Update :00: :00: :00: :00:22 Distance: (default is 120) באדום מסומן לכם פרוטוקול הניתוב, איזה Interfaces הם חלק מהניתוב, והכי חשוב שהוא ביצע Summary לרשת (ניתן לקרוא באתר בהרחבה על.(Summary כל הזכויות שמורות לטל בן שושן Shushan.co.il להורדת המעבדה (מוכנה)