Sécurité - VLANs privés TP Sécurité - VLANs privés

VLANs privés Internet Fa0/1 Vlan 25 Port promiscuous Fa0/16 STC SWA 10.1.1.254/24 dot1q Etherchannel trunk SWB Fa0/11 Fa0/12 Port host isolé Fa0/1 Port host isolé Fa0/2 VLAN 50 10.1.1.99/24 STB STA 10.1.1.100/24 Communauté Vlan isolé 101 Objectif Le but est de configurer des VLANs privés sur des commutateurs de couche 2, 3.

Scénario Les Stations STA et STB font partie du VLAN isolé 101 Scénario Les Stations STA et STB font partie du VLAN isolé 101. La station STC fait partie du VLAN primaire 100. L'accès à Internet se fait par le VLAN 25. Données de configuration Commutateur SWA : - Nom : SWA - Interface Port-Channel 1 - Interfaces membres: - Fa0/23 - Fa0/24 - Trunk Commutateur SWB: - Nom : SWB - Interface Port-Channel 1 - Avant d'effectuer toute configuration, effacer la configuration en NVRAM et recharger les commutateurs.

Etape 1: Configuration du commutateur SWA 1 - Configurer le nom de host de SWA. 2 - Configurer VTP SWA(config)# vtp domain CCH SWA(config)# vtp mode transparent 3 - Configurer le routage IP sur SWA SWA(config)# ip routing 4 - Configuration du Port-Channel 1 et des interfaces SWA(config)# interface port-channel 1 SWA(config-if)# switchport trunk encapsulation dot1q SWA(config-if)# switchport mode trunk SWA(config)# interface fa0/23 SWA(config-if)# channel-group 1 mode on SWA(config)# interface fa0/24 5 - Création des VLANs SWA(config)# vlan 25 SWA(config-vlan)# name Acces_Externe SWA(config)# vlan 50 SWA(config-vlan)# name Vlan_Ciscoien SWA(config-vlan)# private-vlan community SWA(config)# vlan 100 SWA(config-vlan)# name Primaire_pour_Vlan101 SWA(config-vlan)# private-vlan primary SWA(config)# vlan 101 SWA(config-vlan)# name Vlan_Isole_Prim100 SWA(config-vlan)# private-vlan isolated

6 - Associez les VLANs isolés et le VLAN primaire. SWA(config)# vlan 100 SWA(config-vlan)# private-vlan association 50,101 7 - Configurez les ports sur le commutateur SWA(config)# interface fa0/16 SWA(config-if)# switchport private-vlan mapping 100 50,101 SWA(config-if)# switchport mode private-vlan promiscuous SWA(config_if)# spanning-tree portfast 8 - Configurer les interfaces VLAN et la route par défaut pour le routage SWA(config)# interface vlan 25 SWA(config-if)# ip address 10.25.1.1 255.255.255.0 SWA(config)# interface vlan 100 SWA(config-if)# ip address 10.1.1.1 255.255.255.0 SWA(config-if)# private-vlan mapping 50,101 SWA(config)# ip route 0.0.0.0 0.0.0.0 10.25.1.100 9. Entrez les commandes show suivantes: SWA#show vlan private−vlan SWA#show interface fa0/16 switchport SWA#show vlan SWA#show ip route

Etape 2: Configuration du commutateur SWB 1 - Configurer le nom de host de SWB. 2 - Configurer VTP SWB(config)# vtp domain CCH SWB(config)# vtp mode transparent 3 - Configuration du Port-Channel 1 et des interfaces SWB(config)# interface port-channel 1 SWB(config-if)# switchport trunk encapsulation dot1q SWB(config-if)# switchport mode trunk SWB(config)# interface fa0/23 SWB(config-if)# channel-group 1 mode on SWB(config)# interface fa0/24 4 - Création des VLANs SWB(config)# vlan 50 SWB(config-vlan)# name Vlan_Ciscoien SWB(config-vlan)# private-vlan community SWB(config)# vlan 100 SWB(config-vlan)# name Primaire_pour_Vlan101 SWB(config-vlan)# private-vlan primary SWB(config)# vlan 101 SWB(config-vlan)# name Vlan_Isole_Prim100 SWB(config-vlan)# private-vlan isolated 5 - Associez les VLANs isolés et le VLAN primaire. SWB(config-vlan)# private-vlan association 50,101

6- Configurez les ports sur le commutateur SWB(config)# interface fa0/1 SWB(config-if)# switchport private-vlan mapping 100 101 SWB(config-if)# switchport mode private-vlan host SWB(config_if)# spanning-tree portfast SWB(config)# interface fa0/2 SWB(config)# interface fa0/11 SWB(config-if)# switchport private-vlan mapping 100 50 SWB(config)# interface fa0/12 7. Entrez les commandes show suivantes: SWB#show vlan private−vlan SWB#show interface fa0/16 switchport SWB#show vlan Etape 3: Test de la configuration 1. Vous pouvez faire en sorte que l'interface Fa0/1 soit toujours opérationnelle en entrant la commande suivante: SWA(config)# interface FastEthernet0/1 SWA(config-if)# no keepalive. 2. Effectuez tous les tests de connectivité entre les différents VLANs avec la commande ping.