实验一  保护网络设备(第二章)
CCNAS_Chp2_ PTActA_Syslog-SSH-NTP中文实验指导
地址表
Device
Interface
IP Address
Subnet Mask
Default Gateway
Switch Port
R1
FA0/1
192.168.1.1
255.255.255.0
N/A
S1 FA0/5
 
S0/0/0 (DCE)
10.1.1.1
255.255.255.252
N/A
N/A
R2
S0/0/0
10.1.1.2
255.255.255.252
N/A
N/A
 
S0/0/1 (DCE)
10.2.2.2
255.255.255.252
N/A
N/A
R3
FA0/1
192.168.3.1
255.255.255.0
N/A
S3 FA0/5
 
S0/0/1
10.2.2.1
255.255.255.252
N/A
N/A
PC-A
NIC
192.168.1.5
255.255.255.0
192.168.1.1
S1 FA0/6
PC-B
NIC
192.168.1.6
255.255.255.0
192.168.1.1
S2 FA0/18
PC-C
NIC
192.168.3.5
255.255.255.0
192.168.3.1
S3 FA0/6
实验目标：
    将路由器配置为NTP客户端
    配置路由器的硬件时钟：依据NTP服务器时钟定期更新
    配置路由器：将日志信息发送到syslog服务器
ssh命令行
    配置路由器：日志信息配加时间戳
    配置本地用户
    配置VTY：只接收SSH远程登录
    配置SSH服务器的RSA密钥对
    验证PC客户端和路由器客户端的SSH连接是否正确。
简介
网络拓扑图如左图，有3个路由器。本实验将配置路由器上的NTP和Syslog。配置R3上的SSH。NTP可以使网络上的所有路由器的时间与NTP服务器同步。NTP客户端从唯一的源获取时间和日期信息，保持相同的时间设定，这样生成的Syslog信息更容易被分析，更有助于攻击和其他网络问题出现时进行故障检修。在网络中执行NTP时，可以设立私有的主时钟,或者与互联网的公有NTP服务器时钟保持同步。
本实验中，NTP服务器(主机PC-A)是主NTP服务器。本实验将配置所有路由器的软件时钟与时间服务器同步，同时，设置路由器定期更新硬件时钟。否则，硬件时钟将越来越慢或越来越快，以至于软件时钟和硬件时钟相互的时间误差越来越大。
本实验中，系统日志服务器将提供信息日志，实验中要配置路由器识别接收日志信息的远程系统日志服务器。还要为路由器配置时间戳。当用Syslog监控网络时，在Syslog信息中显示正确的时间和日期是非常重要的。如果没有正确的时间和日期，要决定是什么网络事件导致该信息是困难的。
R2是一个ISP，连接到两个远程网络：R1和R3。本地管理员在R3上，执行大部分路由器配置和故障检测。因为R3是管理路由器，ISP需要访问R3来进行偶发的故障检修和各种更新。
为了完全地进行这种访问，管理员采用SSH安全层协议。
进入CLI，配置路由器用SSH代替Telnet。SSH代替Telnet提供远程路由器管理，它可以支持连接的机密性及会话的完整性。它加密所有通过网络链路的信息，提供对远程计算机的认证。SSH快速地替代Telnet成为网络专业人员的远程登录工具。
服务器已预配置了NTP和Syslog服务。NTP不要求认证。路由器已预配置：
Enable password: ciscoenpa55
 Password for vty lines: ciscovtypa55
Static routing
任务1：配置路由器为NTP客户端
步骤1：连接：
Ping from PC-C to R3.
Ping from R2 to R3.
Telnet from PC-C to R3.
Telnet from R2 to R3.
方法：    进入主机PC-C的命令行窗口，输入：
ping 192.168.3.1
        telnet 192.168.3.1        再输入vty密码：ciscovtypa55
        进入路由器R2的CLI界面，输入：
        R2>ping 192.168.3.1
        R2>telnet 192.168.3.1        再输入vty密码：ciscovtypa55
        R3>
步骤2：配置R1，R2，R3为NTP客户端，并验证客户端是否已为同步状态：
方法：    进入路由器R1的CLI界面，输入：
        R1>enable                输入enable密码：ciscoenpa55
        R1#conf t
        R1(config)#ntp server 192.168.1.5
        R1(config)# ^Z  或exit
        R1#show clock
        R1#show ntp status
        同法，配置2，R3为NTP客户端，并验证。
(注意：如果要配置本机(本路由器)为ntp服务器，只要用命令：
R4(config)#ntp master 1 
R4(config)# ^Z 
即可。)
步骤3：配置路由器R1，R2，R3为更新硬件时间：配置它们为定期从NTP服务器更新硬件时钟，并验证：
方法：
R1(config)#ntp update-calendar
R1(config)#^Z
R1#show clock
R2，R3执行类似操作。
步骤4：配置路由器的日志时间戳：
方法：
R1(config)#service timestamps log datetime msec
        R2，R3执行类似操作。
步骤5：配置路由器的日志时间戳服务
方法：
R1(config)#logging host 192.168.1.6
R1(config)#^Z
R2，R3类似操作。
任务2：配置路由器的日志信息发送到Syslog服务器
步骤1：配置路由器：识别远程主机(接收日志信息的Syslog服务器)
    路由器控制台显示信息：日志已开始
步骤2：验证logging配置：用命令show logging
步骤3：检查Syslog服务器的日志信息
方法：    双击PC-Bconfig选项卡Syslog按钮，观察从各路由器接收到的logging信息。
注意：当在路由器上执行命令时，可在Syslog服务器上生成log信息。如：在某个路由器上，进入再退出全局配置模式，将在Syslog服务器上生成一个日志信息。
任务3：配置R3支持SSH连接
步骤1：在R3上配置域名为ccnasecurity
方法：
R3(config)#ip domain-name ccnasecurity
步骤2：在R3上配置用户作为SSH客户登录：
    创建用户SSHadmin，密码为ciscosshpa55，配置最高的特权级别
方法：
R3(config)#username SSHadmin privilege 15 secret ciscosshpa55
步骤3：在R3上配置VTY入方向的SSH会话
    使用本地用户帐号进行强制登录和合法性检验。只接受SSH连接。
方法：
        R3(config)#line vty 0 4
        R3(config-line)#login local
R3(config-line)#transport input ssh
步骤4：删除R3上现存的RSA密钥对
    任何现存的RSA密钥对都应该被删除。
注意：如果没有密钥，则可以观察到信息：% No Signature RSA Keys found in configuration
方法：
        R3#show crypto key mypubkey rsa
        此处应该显示为空行，表示没有密码
        R3#conf t
        R3(config)#crypto key zeroize rsa
        此处应该显示为：% No Signature RSA Keys found in configuration
步骤5：在R3上生成RSA加密密钥对
    路由器使用RSA密钥对来进行认证和加密发送的SSH数据。这里配置密钥的位数为1024位(默认为512位，范围可从360至2048位)。
方法：
R3(config)#crypto key generate rsa
The name for the keys will be: R3.ccnasecurity
Choose the size of the key modulus in the range of 360 to 2048 for your
        General Purpose Keys. Choosing a key modulus greater than 512 may take
          a few minutes.
How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys, keys will [OK]
R3(config)#
注意：此处命令不同于实验室里的命令(crypto key generate rsa general-keys modulus 1024)
步骤6：检验SSH配置：
    用命令show ip ssh检验SSH配置：验证认证终止时间和重试次数为默认值120和3。
步骤7：配置SSH终止时间和认证参数：
    默认SSH终止时间和认证参数可设置得更为严格。设置终止时间为90秒，认证重试次数为2次，版本为2。再用show ip ssh命令查看是否参数值都已改变。
方法：
R3(config)#ip ssh version 2
R3(config)#ip ssh time-out 90
R3(config)#ip ssh authentication-retries 2
R3(config)#exit
R3#
%SYS-5-CONFIG_I: Configured from console by console
R3#show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 90 secs; Authentication retries: 2
步骤8：从PC-C用Telnet远程连接到R3
    打开PC-C的命令窗口，输入远程连接到R3命令：
        telnet 192.168.3.1
    远程连接应该失败，因为R3已配置为在虚拟终端上只接收SSH连接。
步骤9：从PC-C用SSH连接到R3

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。