PracticU

הקמת VPN Site-to-Site - הגדרת ACL

בלי כתוביותעם כתוביות
PracticU › קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301 › הקמת VPN Site-to-Site - הגדרת ACL
מילון מושגים:
VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
ACL - רשימת בקרת גישה: אוסף כללים שקובעים מי רשאי לגשת למשאב ואילו פעולות מותרות לו.
ראוטר - התקן רשת שמעביר חבילות מידע בין רשתות שונות ובוחר את הנתיב שבו יגיעו ליעדן.
NAT - מנגנון שמתרגם כתובות IP פרטיות לכתובת ציבורית אחת, כדי לאפשר למחשבים ברשת פנימית לגשת לאינטרנט.
כתובת IP - מספר שמזהה באופן ייחודי מכשיר ברשת מבוססת פרוטוקול IP, ומאפשר לשלוח אליו ולקבל ממנו מידע.
הקמת VPN Site-to-Site - הגדרת ACL
הצעד הראשון בבניית ה-VPN הוא להפריד בין שני סוגי תעבורה בראוטר: תקשורת רגילה לאינטרנט, שעוברת NAT, ותקשורת שמיועדת לרשת הרחוקה, שצריכה להיכנס לטאנל. את ההפרדה עושים עם שתי רשימות גישה.
השלבים העיקריים
1. רשימה ל-VPN: יוצרים ip access-list extended VPN-ACL שמתירה (permit ip) תעבורה שהמקור שלה 192.168.13.0 והיעד שלה 10.0.0.0, עם wildcard 0.0.0.255. רק זה ייכנס לטאנל.
2. למה Extended: בניסיון ראשון נוצרה רשימה סטנדרטית. היא רואה רק את כתובת המקור, ולכן אי אפשר לסנן לפי יעד. רשימה Extended רואה גם יעד.
3. תיקון רשימת ה-NAT: מוחקים את NAT-ACL ויוצרים אותה מחדש. החוק הראשון הוא deny למקור 192.168.13.0 עם יעד 10.0.0.0, והשני הוא permit של אותו מקור לכל יעד. מי שמיועד לרשת השנייה לא נתפס ב-NAT, וכל השאר יוצא לאינטרנט כרגיל.
4. הצד השני הפוך: בראוטר השני מוחקים ויוצרים מחדש את הרשימות עם המקור והיעד הפוכים, כלומר deny מ-10.0.0.0 אל 192.168.13.0 ואז permit מ-10.0.0.0 לכל יעד. ב-VPN-ACL יש permit של אותו כיוון.
5. בדיקה ושמירה: ב-show access-list רואים ל-NAT-ACL שני חוקים ול-VPN-ACL חוק אחד. שומרים בשני הראוטרים עם write.
פקודות והגדרות
ip access-list extended · permit ip · deny ip · show access-list · show running-config
אחרי ההרצאה אפשר להגדיר רשימות גישה שמפרידות בין תעבורת VPN לתעבורת NAT, בשני צדי הקו.
השיעור הבא בקורס: הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP

פרקי ההרצאה: הקמת VPN Site-to-Site - הגדרת ACL

  1. 00:00

    פיצול הטאנל לשני ACL

  2. 00:40

    יצירת VPN ACL מרשת 13 לרשת 10

  3. 02:13

    בניית NAT ACL מחדש

  4. 02:53

    Standard מול Extended ACL

  5. 03:29

    כלל Deny לתעבורת VPN

  6. 04:13

    אישור שאר התעבורה ל-NAT

תמלול ההרצאה: הקמת VPN Site-to-Site - הגדרת ACL

הטקסט המלא של הדקות הראשונות בהרצאה «הקמת VPN Site-to-Site - הגדרת ACL» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    אז השלב הראשון זה לפצל את הטאנל שלנו שיהיה לנו שני ECLים, אחד לתקשורת רגילה, לנאט רגיל ואחד ל-VPN אז אנחנו נכנסים לראוטר שלנו, כותבים ConfD, Enabled ConfD ואנחנו צריכים לעשות עכשיו ככה Show Access List, Do Show Access List אנחנו רואים שיש לנו נאט ה-ECL, זה לא טוב לנו למה? כי הוא תופס לנו את כל התקשורת

  2. 00:29

    אנחנו צריכים להגיד לו שלא את כל התקשורת תקשורת שמיועדת ל-VPN אל תתפוס לנו אותה כי תקשורת שמיועדת ל-VPN הולכת למקום מיוחד אז בואו נעשה ככה נעשה פה IP access list VPN ACL נכנסים לתוך ה-VPN ACL וכותבים מה?

  3. 00:50

    permit IP תאפשר פה מעבר של IP 192.168.13.0 זה אומר כל הרשת הזאת סימן של הווילד קארד זה 0.0.0.255 זה הווילד קארד אבל אבל שימו לב, בגלל שזה VPN, אני רוצה שהוא יתפוס רק פאקטים שהדיסטנשן שלהם הוא לא איני דיסטנשן, אלא יש להם דיסטנשן מיוחד.

  4. 01:16

    מה הדיסטנשן המיוחד שאני רוצה? רק את ה-10. זאת אומרת, כל מה שמגיע ב-192 ומיועד ל-10. אני נמצא בראוטר הזה. הראוטר הזה, לתוך ה-VPN ייכנסו רק פאקטים שמגיעים מ-13 ומיועדים ל-10.

  5. 01:30

    כל מה שלא מיועד ל-10, שילך רגיל לאינטרנט דרך ענת הרגיל. אז אני עשיתי פה VPN ACL, אני אומר כל מה שמגיע מ-13 ומיועד לכתובת 10.0.0.0, נכון? 10.0.0.0 זה הכתובת שלנו, נכון?

  6. 01:45

    סימן שאלה, ויילד קארד, 0.0.0.0, 255, מה עוד? זהו, אני חושב, נכון? סורס ו-IP, יופי. אז Do-Show Access List, אני רואה שיש לנו פה VPN ACL שתופס את כל הפאקטים שמיועדים מ-13 ל-10.

  7. 02:08

    עכשיו, נאט הרגיל צריך לא לתפוס את אלו, נכון? אז אנחנו נעשה כזה דבר, נעשה פה do show running config, אני פשוט אקח את ה-access list הזה, not ACL, ואני אעשה no על ה-ACL הזה, אני אצור אותו עוד פעם מחדש, את ה-ACL, והפעם, לפני שאני כותב את החוק שמאשר לכולם לצאת החוצה,

  8. 02:33

    לפני כן, אני אעשה פה D9. למי אני עושה D9? D9 IP? לכתובות IP שמיועדות ל-10.0.0, סליחה, זה Source.

  9. 02:44

    קודם כל Source, Mage to Address. 192.168.13.0, ה-Source שלהם זה 0.0.0.255. אהה, אני יודע מה עשיתי לא נכון, אני הבנתי. תחשבו מה עשיתי לא נכון. אני עשיתי פה סטנדרט, אתם רואים סטנדרט, בגלל זה זה לא טוב לי.

  10. 03:04

    אני רוצה לעשות פה לא סטנדרט, אני רוצה פה לעשות Extended, פה לעשות Extended. רשימה יותר חכמה כי הסטנדרט הזה יודע לראות רק את ה-Source, רק את ה-Source IP.

  11. 03:17

    אז אני עושה Extended. מה ההבדל בין סטנדרט ל-Extended? שה-Extended Access List יודע לראות גם את היעד, וה-Standard Access List יודע לראות רק את המקור של הפאקטים.

  12. 03:29

    אז אני עושה פה ככה. ההבדל זה שעכשיו זה Extended ACL, ועכשיו אני יכול לעשות Deny או IP, Any IP, Source, שימו לב, Source Address זה 192, 268.13.0 זה המקור שלי 0.0.0.255 ו-Destination וזה הקטע של Extended שיש לו Distination בסטנדרט אין Distination ולכן הייתי צריך למחוק את הסטנדרט

  13. 04:02

    ה-Destination זה 10.0.0.0.0.255 ועכשיו Enter יופי Do show access list אני רואה ככה של-VPN נכנסים כל מי שהמקור שלו 13 ומיועד לכתובת הזאת בנאט קודם כל יש D9 שלא ייכנס אף אחד שהמקור שלו 13 ומיועד ל-VPN שהוא לא ילך לנאט שהוא ילך ל-VPN שלא ייכנס לנאט ועכשיו בנאט צריך לאשר את כל האחרים נכון את כל מי שהיעד שלו הוא לא 10 אז אני עושה פה permit IP ובעצם מעתיק את

לקורס המלא: קורס CCNA אונליין בעברית

ההרצאה הקודמת: IPSec Modes - Tunnel mode vs Transport Mode

ההרצאה הבאה: הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP

הרצאות קשורות מקורסים אחרים

  • הגדרת Site-to-Site VPN - חלק 1
  • הגדרת VPN site-to-site
  • VPN
  • הגדרת VPN Tunnel

קורסים נוספים במסלול

  • קורס CCNP
  • קורס פורטיגייט - FortiGate
  • קורס צ'ק פוינט - Check Point Gaia R81