Primer rešenja završnog zadatka – Modul 27 – „Aurora Energetika"

Ovo je jedno ispravno rešenje. Prihvataju se drugačiji adresni planovi i dizajni, ako su hijerarhijski, ispunjavaju zahteve i dobro su obrazloženi.

1. Adresni plan (blok 10.100.0.0/16)

Svaka lokacija se sumira jednom /20 rutom, a blokovi se ne preklapaju.

2. Topologija

• Kampus: DSW1 i DSW2 (L3), ASW svičevi sa trunk-ovima ka oba DSW-a. Svaki DSW ima rutirane veze ka oba rutera centrale (RC1 i RC2) — četiri veze /30.
• RC1: ABR (area 0/1/2), eBGP ka ISP1 (AS 64500).
• RC2: ABR (area 0/1/3), eBGP ka ISP2 (AS 64510).
• RC1–RC2: area 0 i iBGP.
• RA (poslovnica A) je vezan na RC1, a RB (poslovnica B) na RC2. U stvarnoj mreži svaka poslovnica bi imala i drugu vezu, npr. SD-WAN (tačka 7).

3. Kampus: HSRP i STP

Virtuelne adrese su .1, a DSW1/DSW2 imaju .2/.3. Praćenje: ako DSW izgubi obe rutirane veze ka RC1/RC2 (ili ne uspe IP SLA provera), prioritet pada za 20 i uloga prelazi na drugi svič.

4. OSPF dizajn

RB (ASBR u NSSA):

ip route 172.30.0.0 255.255.0.0 10.100.46.2
router ospf 1
 area 3 nssa
 redistribute static subnets

(10.100.46.0/30 je veza RB–SCADA ruter, unutar bloka poslovnice B.)

RB oglašava 172.30.0.0/16 kao LSA tipa 7 (O N2). RC2, kao NSSA ABR, pretvara ga u tip 5, pa ga area 0 vidi kao O E2. U kampusu (totally stubby) inženjeri dopiru do SCADA mreže podrazumevanom rutom.

Napomena: NSSA ABR ne ubacuje podrazumevanu rutu automatski u običnu NSSA, ali to čini u totally NSSA (no-summary) — zato je izabran totally NSSA.

Podrazumevana ruta u OSPF: RC1 default-information originate metric 10, RC2 default-information originate metric 20. Oba rutera imaju podrazumevanu rutu preko BGP-a (tačka 5). Interni ruteri preferiraju RC1 (manja E2 metrika) i prelaze na RC2 ako RC1 prestane da je oglašava.

Referentni propusni opseg: auto-cost reference-bandwidth 100000 na svim ruterima i L3 svičevima.

5. BGP politika

Na RC1 (ISP1, primarni):

ip prefix-list NAS-OPSEG seq 10 permit 198.51.100.0/24
route-map ISP1-IN permit 10
 set local-preference 200
router bgp 65100
 network 198.51.100.0 mask 255.255.255.0
 neighbor 203.0.113.1 remote-as 64500
 neighbor 203.0.113.1 route-map ISP1-IN in
 neighbor 203.0.113.1 prefix-list NAS-OPSEG out
 neighbor 10.100.254.2 remote-as 65100
 neighbor 10.100.254.2 next-hop-self
ip route 198.51.100.0 255.255.255.0 Null0

Na RC2 (ISP2, rezervni):

route-map ISP2-OUT permit 10
 match ip address prefix-list NAS-OPSEG
 set as-path prepend 65100 65100 65100
router bgp 65100
 network 198.51.100.0 mask 255.255.255.0
 neighbor 203.0.113.5 remote-as 64510
 neighbor 203.0.113.5 route-map ISP2-OUT out
 neighbor 10.100.254.1 remote-as 65100
 neighbor 10.100.254.1 next-hop-self
ip route 198.51.100.0 255.255.255.0 Null0

(i isti ip prefix-list NAS-OPSEG na RC2)

• Provajderi šalju podrazumevanu rutu (ili punu tabelu).
• Rute od ISP1 imaju Local Preference 200 i prenose se iBGP-om, pa i RC2 za izlaz bira putanju preko RC1.
• Prema ISP2 se oglašava samo sopstveni opseg, sa produženim AS_PATH-om.
• Tranzit nije moguć zahvaljujući izlaznim filterima.

NAT:

• U Packet Traceru se radi PAT na adresu WAN interfejsa svakog rutera, pa se odgovori uvek vraćaju kroz istog provajdera.
• U stvarnoj mreži NAT se radi u adrese iz 198.51.100.0/24. Tada treba paziti na asimetriju: adrese NAT pool-a svakog rutera oglasiti interno kao /32 ka tom ruteru, ili koristiti par firewall-a sa sinhronizacijom stanja.

6. Bezbednost

ACL za SCADA na RB, na interfejsu ka SCADA ruteru, u smeru out:

ip access-list extended SCADA-ZASTITA
 permit ip 10.100.2.0 0.0.0.255 172.30.0.0 0.0.255.255
 deny ip any 172.30.0.0 0.0.255.255
 permit ip any any
interface GigabitEthernet0/0/2
 ip access-group SCADA-ZASTITA out

(Prihvata se i filtriranje na izvoru — na SVI-jevima kampusa — uz obrazloženje. U stvarnoj mreži SCADA bi bila i iza posebnog industrijskog firewall-a.)

OSPF autentifikacija u area 0 (RC1–RC2): area 0 authentication message-digest i ip ospf message-digest-key 1 md5 <ključ> na interfejsima u area 0.

Upravljanje: SSH, lokalni nalozi ili AAA, access-class na VTY linijama samo za 10.100.253.0/24.

7. Koncepti

QoS ka poslovnicama: hijerarhijska politika na WAN interfejsima — shaping na ugovorenu brzinu, LLQ za EF (glas, do 20%), CBWFQ za AF41 (video) i CS3 (signalizacija), class-default sa fair-queue. Granica poverenja je na IP telefonima (Primer 5 iz praktičnih primera).

SD-WAN: svaka poslovnica dobija dve veze (optika + LTE/5G) i SD-WAN edge uređaj, sa IPsec overlay-em ka centrali (i ka DR lokaciji). Rutiranje prema aplikaciji: SCADA i VoIP preko veze sa najmanjim džiterom, SaaS preko lokalnog izlaza na internet uz cloud bezbednost. ZTP olakšava nove lokacije.

Zero trust za udaljene inženjere:

1. MFA i centralni identitet.
2. ZTNA — pristup samo SCADA HMI aplikaciji i dokumentaciji, uz proveru stanja uređaja; umesto VPN-a u celu mrežu.
3. Mikrosegmentacija SCADA mreže i snimanje sesija privilegovanog pristupa.

8. DR plan (sažetak)

DR lokacija: cloud region u EU (warm), uz hot standby za SCADA nadzor u poslovnici B.

Mrežni koraci pri prelasku:

• BGP: javni opseg se oglašava sa DR lokacije (dogovor sa provajderom);
• DNS zapisi sa TTL-om od 5 minuta se prebacuju;
• poslovnice preko SD-WAN-a imaju tunel ka DR lokaciji;
• konfiguracije mreže se vraćaju iz Git-a;
• dokumentacija i runbook se čuvaju van centrale (cloud + papir).

Runbook:

1. Proglašenje katastrofe (direktor + IT šef, rezervni kontakti).
2. Aktiviranje DR okruženja.
3. Provera replikacije.
4. Prebacivanje BGP-a i DNS-a.
5. Provera aplikacija po redosledu: SCADA, ERP, fajlovi.
6. Obaveštavanje zaposlenih i partnera.
7. Dnevnik svih koraka.
8. Plan povratka.

Testovi: kvartalna stolna vežba, godišnji potpuni prelazak, sa izveštajem o problemu i ispravkama.

9. Matrica testova (izvod)

Napomena za ocenjivača

Ključno je da:

• sumarne rute ne obuhvataju tuđe blokove;
• poslovnica B koristi NSSA, a ne stub (zbog redistribucije);
• za podrazumevanu rutu u NSSA postoji rešenje (totally NSSA ili default-information-originate);
• BGP ima izlazne filtere i nema tranzita;
• HSRP i STP su usklađeni i postoji praćenje;
• testovi sadrže i negativne slučajeve;
• DR plan ima konkretne mrežne korake.