Rešenja zadataka za samostalan rad – Modul 27 – Napredne mrežne teme

Nivo: Početni

Zadatak 1. RIB (tabela ruta) sadrži najbolje rute koje su izabrali protokoli rutiranja. Iz nje se gradi FIB (CEF tabela prosleđivanja), zajedno sa tabelom susedstva (L2 zaglavlja), koja se upisuje u hardver i koristi za stvarno prosleđivanje paketa. SVI je virtuelni L3 interfejs vezan za VLAN (gateway VLAN-a). Rutirani port (no switchport) je fizički port sa IP adresom, bez VLAN-a i STP-a, za point-to-point veze.

Zadatak 2.

Zadatak 3.

• Tip 3 pravi ABR; opisuje mreže jedne oblasti u drugim oblastima (ne ulazi u totally stubby oblasti, osim podrazumevane rute).
• Tip 5 pravi ASBR; širi se kroz ceo OSPF domen, osim stub/totally stubby/NSSA oblasti.
• Tip 7 pravi ASBR u NSSA oblasti; širi se samo unutar NSSA, a ABR ga pretvara u tip 5 za ostatak domena.

Zadatak 4. Na ulazni interfejs (ip policy route-map). Obično rutiranje odlučuje samo prema odredišnoj adresi i tabeli ruta. PBR može odlučiti prema izvornoj adresi, portu ili drugim uslovima iz ACL-a i postaviti sledeći skok mimo tabele ruta. Paketi koji ne odgovaraju uslovu rutiraju se normalno.

Nivo: Srednji

Zadatak 5.

• (a) DSW1 — pri istovremenom izboru pobeđuje veći prioritet (120).
• (b) DSW2 — dok je DSW1 isključen, DSW2 postaje Active. Kada se DSW1 vrati, nema preempt, pa ne preuzima ulogu, iako ima veći prioritet.
• (c) DSW1 — kada se DSW2 restartuje, DSW1 postaje Active. DSW2 se vraća sa preempt, ali sa manjim prioritetom (100 < 120), pa ne preuzima ulogu.

Zadatak 6. Treći oktet 32–39 → binarno 00100 000 do 00100 111 — zajedničkih je prvih 5 bitova trećeg okteta, pa je maska 8 + 8 + 5 = /21. Sumarna ruta je 10.40.32.0/21 (10.40.32.0 – 10.40.39.255). Mreža 10.40.40.0/24 nije obuhvaćena (40 = 00101 000). Komanda: area 3 range 10.40.32.0 255.255.248.0.

Zadatak 7.

• (a) Totally stubby — jedan izlaz, dovoljna je samo podrazumevana ruta; najmanja tabela.
• (b) Stub — bez spoljnih ruta (tip 5), ali sa rutama ostalih oblasti (tip 3).
• (c) NSSA (ili totally NSSA) — stub ne dozvoljava ASBR, a NSSA dozvoljava redistribuciju unutar oblasti (tip 7), uz blokiranje spoljnih ruta ostatka domena.

Zadatak 8. Bira se putanja preko ISP2. Weight je jednak (0), a Local Preference (drugi korak) je veći kod ISP2 (150 > 100). AS_PATH se ne poredi, jer je odluka već doneta. Sa jednakim Local Preference (100) odlučuje dužina AS_PATH-a: ISP1 ima 2 AS-a, ISP2 ima 3, pa se bira ISP1 (MED se ne bi ni poredio).

Zadatak 9.

Nivo: Napredni

Zadatak 10. Jedinstvene tačke otkaza i mere (primer prioriteta):

1. Internet veza → druga veza drugog provajdera i tehnologije, sa automatskim prelaskom (Modul 26) — jeftino, česti kvarovi.
2. DHCP/DNS server → drugi server (virtuelni, na drugom hostu) — jeftino, velik uticaj.
3. Uplink-ovi access svičeva → drugi uplink (EtherChannel ili ka drugom core-u).
4. Napajanje → UPS i dva izvora napajanja.
5. Core svič → drugi core svič (stack/virtuelna šasija, ili dva sviča sa FHRP-om).
6. Firewall → HA par sa stateful failover-om.

(Prihvata se i drugačiji redosled uz obrazloženje zasnovano na verovatnoći kvara, uticaju i ceni.)

Zadatak 11. Uzrok — povratna redistribucija: EIGRP mreža se na RA redistribuiše u OSPF (spoljna ruta, AD 110). Posle kvara RB više ne vidi tu mrežu preko EIGRP-a (interna ruta, AD 90), pa je uči iz OSPF-a (od RA) i redistribuiše je nazad u EIGRP. RA sada vidi „svoju" mrežu i kao EIGRP spoljnu rutu od RB, pa ruteri šalju saobraćaj jedan drugom — petlja ili neoptimalna putanja. Zaštita (na oba rutera), kao u Primeru 4:

route-map EIGRP-U-OSPF deny 10
 match tag 110
route-map EIGRP-U-OSPF permit 20
 set tag 90
route-map OSPF-U-EIGRP deny 10
 match tag 90
route-map OSPF-U-EIGRP permit 20
 set tag 110
router ospf 1
 redistribute eigrp 100 subnets route-map EIGRP-U-OSPF
router eigrp 100
 redistribute ospf 1 metric 100000 10 255 1 1500 route-map OSPF-U-EIGRP

Ruta sa oznakom porekla se nikada ne vraća u protokol iz koga je došla.

Zadatak 12. Primer plana:

1. MFA za sve korisnike i centralni identitet — ukradene lozinke su najčešći početak napada, a MFA je relativno jeftina i brzo se uvodi.
2. ZTNA umesto VPN-a sa pristupom celoj mreži — udaljeni korisnici pristupaju samo aplikacijama koje im trebaju, posle provere identiteta i stanja uređaja.
3. Segmentacija — prvo najosetljivijih sistema (serveri, finansije, upravljanje), zatim mikrosegmentacija servera.
4. Provera stanja uređaja, centralni logovi (SIEM) i stalna analiza — politike se prilagođavaju riziku.

Zadatak 13.

Praktičan zadatak

Zadatak 14.

Na ASW1: vlan 30 (name KORISNICI-C), dodati VLAN 30 u switchport trunk allowed vlan add 30 na Fa0/23–24 i dodeliti access port.

Na DSW1 (i isto na DSW2, uz adresu 10.27.3.3 i bez prioriteta 110):

vlan 30
 name KORISNICI-C
interface range FastEthernet0/1 - 2
 switchport trunk allowed vlan add 30
spanning-tree vlan 30 root primary
interface Vlan30
 ip address 10.27.3.2 255.255.255.0
 standby 30 ip 10.27.3.1
 standby 30 priority 110
 standby 30 preempt
router ospf 1
 passive-interface Vlan30
 network 10.27.3.0 0.0.0.255 area 1

Na DSW2 je spanning-tree vlan 30 root secondary.

Sumarna ruta se ne menja — 10.27.3.0/24 je unutar 10.27.0.0/20 (treći oktet 0–15).

Provera: show standby brief (grupa 30, DSW1 Active), show ip route na R1 (O 10.27.3.0/24 preko oba DSW-a) i na R2 (i dalje samo O IA 10.27.0.0/20), ping sa računara u VLAN-u 30 ka 192.0.2.10.

Zadatak zasnovan na izlazu komande

Zadatak 15.

(a) Neslaganje OSPF tajmera: na DSW2 Gi0/1 je Hello 5 / Dead 20, a na R1 Gi0/0/1 Hello 10 / Dead 40. Susedstvo se ne formira, pa R1 vidi samo DSW1, a DSW2 nema OSPF ruta (ni podrazumevanu).

(b) DSW2 je HSRP Active za VLAN 20, pa svi paketi korisnika VLAN-a 20 ka drugim mrežama idu njemu i odbacuju se. Za VLAN 10 aktivan je DSW1, koji ima ispravno susedstvo i rute. Odgovori ka VLAN-u 20 stižu preko DSW1, koji takođe ima SVI u VLAN-u 20, ali odlazni saobraćaj ne prolazi.

(c) HSRP prati samo Hello pakete između DSW1 i DSW2 u VLAN-u 20, a oni stižu normalno — DSW2 je za HSRP ispravan. Praćenje nije podešeno.

(d) Ispravka na DSW2:

interface GigabitEthernet0/1
 no ip ospf hello-interval
 no ip ospf dead-interval

Druga mogućnost je podešavanje istih vrednosti na obe strane.

Prevencija:

• HSRP praćenje (IP SLA ka R1 ili postojanje podrazumevane rute), da bi DSW1 preuzeo VLAN 20;
• standardni šabloni konfiguracije (Modul 24);
• nadzor OSPF susedstava sa upozorenjem na promenu stanja (Syslog %OSPF-5-ADJCHG, Modul 23).