Модуль 1 задание 1:
hostnamectl set-hostname isp.au-team.irpo; exec bash
hostnamectl set-hostname hq-rtr.au-team.irpo; exec bash
hostnamectl set-hostname br-rtr.au-team.irpo; exec bash
hostnamectl set-hostname hq-srv.au-team.irpo; exec bash
hostnamectl set-hostname hq-cli.au-team.irpo; exec bash
hostnamectl set-hostname br-srv.au-team.irpo; exec bash
ip -c a сравнить мас
Указываем адреса:
ISP ISP-hq-rtr
172.16.4.1/28
ISP BR-RTR
172.16.5.1/28
HQ-RTR ISP_HQ-RTR
172.16.4.2/28
172.16.4.1
77.88.8.8
HQ_RTR_HQ_SRV
192.168.100.2/26
192.168.100.1
BR-RTR ISP_BR-RTR
172.16.5.2/28
172.16.5.1
77.88.8.8
BR-RTR BR-SRV
192.168.200.1/27
BR-SRV BR_RTR-BR_SRV
192.168.200.2/27
192.168.200.1
ip а
ip -с а
ip -с -br а
nano /etc/sysctl.conf
net.ipv4.ip_forward=1
Модуль 1 задание 2
Для настройки динамической трансляция адресов в сторону HQ-RTR и BR-RTR для доступа к сети Интернет необходимо настроить Nftables на ISP
nano /etc/nftables/isp.nft
table inet nat {
chain POSTROUTING {
type nat hook postrouting priority srcnat ;
oifname “ens18” masquerade
}
}
nano/etc/sysconfig/nftables.conf
Ниже строки начинающейся на include, прописываем строку
include “/etc/nftables/isp.nft”
Запуск и добавление в автозагрузку сервиса nftables
systemctl еnablе --now nftables
проверка ip -c –br a
в машине hq-rtr ping -c4 ya.ru
в машине br-rtr ping -c4 ya.ru
Модуль 1 задание 3:
Машины HQ-SRV, BR-SRV:
useradd sshuser -u 1010 -U
passwd sshuser
<ввод пароля> <подтверждение пароля>
Добавляем пользователя sshuser в группу wheel:
usermod -aG wheel sshuser
Настроить команду sudo можно в файле /etc/sudoers, в нём хранятся все нужные параметры.
visudo
вставляем в конфиг данную строку:
sshuser ALL=(ALL) NOPASSWD: ALL
на BR-SRV аналогично
Проверка: выполняем вход под пользователем sshuser и выполняем sudo -i или другие команды требующую повышения привелегий до root
Создание пользователя net_admin на на маршрутизаторах HQ-RTR и BR-RTR производится одинаково
Создание юзера net_admin
useradd net_admin -U
passwd net_admin
< вводим пароль пользователя > < повторяем ввод пароля >
Возможность запускать sudo для пользователя net_admin без дополнительной аутентификации.
Добавляем пользователя net_admin в группу wheel:
usermod -aG wheel net_admin
Настроить команду sudo можно в файле /etc/sudoers, в нём хранятся все нужные параметры
visudo
Правим конфигурационный файл добавив следующую строку
net_admin ALL=(ALL) NOPASSWD: ALL
Проверка
Выполняем вход под пользователем net_admin и выполняем sudo -i или другие команды требующую повышения привелегий до root
Модуль 1 Задание 4
Настройки производим на HQ-RTR:
Устанавливаем Openvswitch
dfn install openvswitch NetworkManager-ovs -у
Добавляем в автозагрузку и запускаем
systemctl еnаbе --now openvswitch
Создаем мост (виртуальный коммутатор) hq-sw
ovs-vsctl add-br hq-sw
Добавляем порт ens19 к hq-sw и назначаем ему vlan100
ovs-vsctl add-port hq-sw ens19 tag=100
Добавляем порт ens20 к hq-sw и назначаем ему vlan200
ovs-vsctl add-port hq-sw ens20 tag=200
Добавляем порт ens21 к hq-sw и назначаем ему vlan999
ovs-vsctl add-port hq-sw ens21 tag=999
Добавляем внутренний порт vlan100 к мосту hq-sw в качестве порта доступа к VLAN 100
ovs-vsctl add-port hq-sw vlan100 tag=100 – set interface vlan100 type=interi
Добавляем внутренний порт vlan200 к мосту hq-sw в качестве порта доступа к VLAN 200
ovs-vsctl add-port hq-sw vlan200 tag=200 – set interface vlan200 type=interi
Добавляем внутренний порт vlan999 к мосту hq-sw в качестве порта доступа к VLAN 999
ovs-vsctl add-port hq-sw vlan999 tag=999 – set interface vlan999 type=interi
Перезагружаем openvswi tch и Netwo rkManager
systemctl restart openvswitch
systemctl restart NetworkManager
Включаем мост
ip link set hq-sws up
Назначаем IP - адреса интерфейсам VLAN и включаем их
ip а add 192.168.100.1/26 dev vlan100
ip а add 192.168.100.65/28 dev vlan200
ip а add 192.168.100.81/29 dev vlan999
Модуль 1 Задание 5
Настройка Selinux
Вариант 1
Если он включен - разрешить этот порт для работы по нему SSH.
semanage port -а -t ssh_port_t -р tcp 2024
setenforce 0
Вариант 2
На время настройки переведите selinux в режим уведомлений. Для этого измените содержимое конфигурационного файла:
nano /etc/selinux/config
Заменив текст SELINUX=enforcing на SELINUX=permissive.
Затем выполните:
setenforce 0
Настройка на HQ-SRV
Открываем файл конфигурации SSH /etc/ssh/sshd_config
nano /etc/ssh/sshd_config
Находим директиву Роrt 22
Снимаем комментарий и прописываем номер порта 2024
Добавляем следующую строку:
AllowUsers sshuser
Находим директиву MaxAuthTries - количество попыток ввода пароля. По умолчанию
- При неудачном переборе сеанс связи обрывается.
Ставим значение
MaxAuthTries 2
Находим директиву # Banner none
Снимаем комментарий и указываем путь к файлу /etc/ssh-banner, который будет содержать текст баннера.
banner /etc/ssh-banner
Создаем файл в котором содержиться пользовательский баннер.
nano /etc/ssh-banner
Чтобы применить изменения, перезапускаем службу SSH
systemctl restart sshd
Проверка
С HQ-CLI подключаемся по с SHH к HQ-SRV
ssh sshuser@192.168.100.2 -р 2024
Модуль 1 Задание 6
Настройка на BR-SRV
Настройка на BR-SRV аналогичная
Так как в РЕД ОС используется NetworkManager - следовательно переходим в nmtui:
► Выбираем «Изменить подключение»
► Выбираем «Добавить»
► Выбираем «IР-туннель
► Задаём понятные имена «Имя профиля» и «Устройство»
► «Режим работы» выбираем «GRE»
«Родительский» указываем интерфейс в сторону ISP ( ens18
задаём «Локальный IP» (IP на интерфейсе HQ-RTR в сторону IPS 172.16.4.2)
► задаём «Удалённый IP» (IP на интерфейсе BR-RTR в сторону ISP 172.16.5.2)
► переходим к «КОНФИГУРАЦИЯ IPv4»
Задаём адрес 1Pv4 для туннеля (10.10.0.1/30)
Для корректной работы протокола динамической маршрутизации требуется увеличить параметр TTL на интерфейсе туннеля:
nmcli connection modify tun1 ip-tunnel.ttl 64
Активируем (перезагружаем) интерфейс tun1
Настройка GRE - туннеля на BR-RTR производится аналогично HQ-RTR
► Выбираем «Изменить подключение»
► Выбираем «Добавить»
► Выбираем «IР-туннель
► Задаём понятные имена «Имя профиля» и «Устройство»
► «Режим работы» выбираем «GRE»
► «Родительский» указываем интерфейс в сторону ISP (ens18)
► задаём «Локальный IP» (IP на интерфейсе BR-RTR в сторону IPS 172. 6.5.2)
► задаём «Удалённый IP» (IP на интерфейсе HQ-RTR в сторону ISP 172.16.4.2)
► переходим к «КОНФИГУРАЦИЯ IPv4»
► задаём адрес 1Pv4 для туннеля (10.10.0.2/30)
nmcli connection modify tun1 ip-tunnel.ttl 64
Модуль 1 Задание 7
Реализация
Настройка динамической (внутренней) маршрутизации средствами FRR
Настройка протокола OSPF на HQ-RTR
Устанавливаем пакет frr
dnf install -у frr
Для настройки внутренней динамической маршрутизации для 1Pv4 используем протокол 0SPFv2
Для настройки ospf необходимо включить соответствующий демон в конфигурации
/etc/frr/daemons
# nano /etc/frr/daemons
ospfd = yes - для OSPFv2 (1Pv4)
Включаем и добавляем в автозагрузку службу FRR
systemctl еnаblе --now frr
Переходим в интерфейс управление симуляцией FRR при помощи vtysh (аналог cisco)
vtysh
Входим в режим глобальной конфигурации
hq-rtr.au-team.irpo# configure terminal
Переходим в режим конфигурации OSPFv2
hq-rtr.au-team.irpo(config)# router ospf
Переводим все интерфейсы в пассивный режим
hq-rtr.au-team.irpo(config-router)# passive-interface default
hq-rtr.au-team.irpo(config-router)# network 192.168.100.0/26 area 0
hq-rtr.au-team.irpo(config-router)# network 192.168.100.64/28 area 0
hq-rtr.au-team.irpo(config-router)# network 10.10.0.0/30 area 0
Настройка аутентификации для области
area 0 authentication
Выходим из режима конфигурации OSPFv2
hq-rtr.au-team.irpo(config-router)# exit
Переходим в режим конфигурирования интерфейса tun1
hq-rtr.au-team.irpo(config)# interface tun1
Туннельный интерфейс tun1 делаем активным, для устанавления соседства с BR-RTR и обмена внутренними маршрутами
hq-rtr.au-team.irpo(config-if)# nо ip ospf network broadcast
Переводим интерфейс tun1 в активный режим
hq-rtr.au-team.irpo(config-if)# по ip ospf passive
Настройка аутентификации с открытым паролем password
ip ospf authentication
ip ospf authentication-key password
Сохраняем текущую конфигурацию
hq-rtr.au-team.irpott write
Перезапускаем frr
systemctl restart frr
Настройки OSPFv2 на BR-RTR аналогично HQ-RTR
Модуль 1 Задание 8
Для настройки доступа в Интернет с офисов HQ и BR необходимо настроить Nftables на HQ-RTR и BR-RTR
Настройка на HQ-RTR
Создаем и открываем файл
nano /etc/nftables/hq-rtr.nft
Прописываем следующие строки
tаblе inet nat {
chain P0STR0UTING
type nat hook postrouting priority srcnat;
oifname “ens18” masquerade
}
}
nano /etc/sysconfig/nftables.conf
include “/etc/nftables/hq-rtr.nft”
systemctl enаblе --now nftables
Настройка на BR-RTR Создаем и открываем файл
nano /etc/nftables/br-rtr.nft
Прописываем следующие строки
tablе inet nat {
chain POSTROUTING {
type nat hook postrouting priority srcnat ;
oifname “ens18” masquerade
}
}
nano /etc/sysconfig/nftables.conf
include “/etc/nftables/br-rtr.nft”
Добавляем в автозагрузку:
systemctl еnаblе --now nftables
Модуль 1 Задание 9
Настройка DHCP 1Pv4 на HQ-RTR
Установка DHCP сервера
dnf install dhcp-server -у
Копируем файл /us r / sha re/ doc/dhcp-se rver / dhcpd. conf. example в директорию
/etc/dhcp/ с именем dhcpd.conf
ер /usr/share/doc/dhcp-server/dhcpd.conf.example /etc/dhcp/dhcpd.conf
Открываем файл конфигурации
папа /etc/dhcp/dhcpd.conf
и приводим его к следующему виду или прописываем в ручную:
1 subnet 192.168.100.64 netmask 255.255.255.240 {
2 range 192. 168. 100. 66 192. 168. 100. 78 ;
3 option domain-name-servers 192.168.100.2 ;
4 option domain-name “au-team.irpo” ;
5 option routers 192.168.100.1 ;
6 default-lease-time 600 ;
7 max-lease-time 7200 ;
8 }
Запускаем и добавляем в автозагрузку службу dhcpd:
systemctl еnаЫе --now dhcpd
Проверка на HQ-CLI
Перезагружаем интерфейс на HQ-CLI и убеждаемся в работоспособности DHCP
сервера
Модуль 1 Задание 10
Для установки пакетов bind и bind-utils в настройках HQ-SRV добавим адрес
DNS - сервер 77.88.8.8
Устанавливаем пакета DNS-cepвepa bind
dnf install bind bind-utils
nano /etc/named.conf
listen-on port 53 ;
listen-on-vб port 53 ;
allow-query ;
forwarders ; (дописать строку)
dnssec-validation (заменить на none )
и привести их к виду:
Объявляем файлы зон, дописываем в конец файла /var/named. conf следующие строки
zопе “.” IN {
type }1 i пt;
file “пarned.ca”;
};
zопе “aн-tearn. irpo” {
type rnaster;
file “rnaster/aн-tearn.db”;
};
zопе “100.168.192.iп-addr.arpa” {
type rnaster;
file “rnaster/aн-tearn_reu.db”;
};
iпс lнde ‘’/etc/пarned .rfc1912 .zoпes’';
i пс l нdе ‘’ /etc/пarned . root . key’';
С помощью утилиты named-checkconf проверяется наличие ошибок в конфигурационном
файле, если результат выполнения команды пуст- ошибок нет.
1 1 # named-checkconf
Создание локальных зон DNS
Создайте папку с мастер зонами:
1 1 # mkdir /var/named/master
Зона прямого просмотра
Для сокращения времени написания файла прямой зоны ( au-team. db ) скопируем шаблон и
отредактируем его
1 1 # ер /var/named/named.localhost /var/named/master/au-team.db
Открываем на редактирование файл зоны au-team. db
1 1 # папо /var/named/master/au-team.db
И приводим его к следующему виду
Зона обратного просмотра
Для сокращения времени написания файла обратной зоны ( au-team_ rev. d Ь ) скопируем шаблон
и отредактируем его
cр /var/named/named.loopback /var/named/master/au-team_rev.db
Открываем на редактирование файл зоны au-team_rev. db
nano /var/named/master/au-team.db
И приводим его к следующему виду
Назначаем владельца и права.
chown -R root:named /var/named/master
chmod 0640 /var/named/master/*
С помощью утилиты named-checkconf -z проверяется наличие ошибок в конфигурационном
файле и файлах зон.
named-checkconf -z
На HQ-SRV в настройках сетевого интерфейса убедиться, что в качестве первичного
DNS сервера указан его собственный IP - адрес
Также необходимо проверить на BR-SRV , что в качестве первичного DNS сервера указан IP - адрес HQ-SRV
HQ-CLI - должен получать автоматически по DHCP
Запуск и добавление в автозагрузку DNS - сервера:
systemctl еnаЫе --now named
Тестирование
Проверяем работу DNS на HQ-SRV с BR-SRV с помощью команды host
Проверка работоспособности DNS с помощью nslookup
Для определения IР-адреса сервера по его доменному:
1 1 # nslookup <доменное_имя>
Также с помощью утилиты nslookup может быть выполнено обратное преобразование IР-адреса в
доменное имя.
nslookup <IР-адрес>
Модуль 1 Задание 11
ВРЕМЯ!!!
timedatectl
Список доступных часовых поясов можно посмотреть командой
Ls /usr/share/zoneinfo/
Посмотреть список регионов и городов
Ls /usr/share/zoneinfo/Europe/
ставим время москва
timedatectl set-timezone Europe/Moscow
значение даты и времени при необходимости
Для изменения даты и времени используется команда:
timedatectl set-time "<дата> <время>/
проверка
timedatectl