Situatieschets + vereisten Logisch LAN ont werp ( + VLAN s) Fysieke bekabeling WAN ontwerp Beveiliging. Concept ACL s

Transcriptie

1

2 Situatieschets + vereisten Logisch LAN ont werp ( + VLAN s) Fysieke bekabeling WAN ontwerp Beveiliging Concept ACL s

3 Secundaire school m et 2 vest igingsplaat sen en 3 gebouwen Hoofdvestiging: Gebouw A: Adm inistratie ie Gebouw B: Gelijkvloers, 1ste verd., 2de verd. Filiaal: Gebouw C: Adm inistratie + Leslokalen

4

5 Het adm inistratief netwerk m oet beveiligd worden tegen toegang vanaf het educatief netwerk Alle werkstations m oeten I nternettoegang hebben (behalve 1 com puterlabo) Alle servers dienen 100 Mbps bandbreedte te hebben naar de backbone De school heeft zijn eigen Mail- & webserver voor gebruik door studenten, directie, adm inistratief personeel. Net werkbeheer gebaseerd op Win2K- server ( ADS) WI N2K ADS netwerk voor studenten & personeel (afzonderlijk dom ein): authenticatie, bestands- services, beveiliging ( policies)

6 Louter switched LAN- ontwerp m et gebruik van VLAN s; Gigabit glasvezel- backbone op de hoofdvest iging I nternettoegang via ADSL (1 per vest iging) Vestigingen verbonden door 2 Mbps WAN- verbinding Dedicated 256 kbit huurlijn naar I AP voor Mail- & Webserver

7 Gebouw A: Adm inistratie Mail- & WEB in DMZ Gebouw B: Schoolnetwerk Win2K DC (+ + GC) Gebouw C: Schoolnetwerk Win2K DC (+ GC)

8

9 MDF 1 Swit ch: 1000Base- SX Cat alyst 2950SX x 10/ 100 Mbps ports + 2 x Router A: 2611 XM Router B: x FE- m odule + ADSL WAN I nterface Card (WI C-C 1ADSL ) + Ethernet- m odule (4 port) Router SDSL: 2 x Cisco 828 MDF 2 Swit ch: I DF 1 Swit ch: 1000Base- SX I DF 2 Swit ch: 1000Base- SX Catalyst alyst 2900 XL + 3 x 1000 base- SX m odules Cat alyst 2950SX x 10/ 100 Mbps ports + 2 x Cat alyst 2950SX x 10/ 100 Mbps ports + 2 x MDF 3 Swit ch: 1000Base- SX Router C: 2621 XM + FE- m odule 1ADSL ) Router SDSL: Cisco 828 Cat alyst 2950SX x 10/ 100 Mbps ports + 2 x + ADSL WAN I nterface Card (WI C-C

10 I P Klasse: B I P Addres: : Maskerbit s: 20 Subnet Masker: Subnet t en: 14 Host s/ Subnet: 4094 Net broadcast : VLAN 1 : ( internettoegang t ) VLAN 2 : ( geen internettoegang t ) VLAN 3 : ( adm inistratie ie ) VLAN 4 : ( internettoegang t ) VLAN 5 : ( adm inistratie ie ) I nter- site verbinding ( SDSL): ADSL: vast ip (verleend door I SP) Mail / Webserver ( DMZ) ) :

11 Backbone: : 50 µm m ultim ode glasvezel m et capacit eit van 1000Base- SX Ethernet Horizontale bekabeling: UTP cat 5E, 100 Base- T ( Full- duplex) Volgens TI A/ EI A 568B standard Alle routers & switchen in MDF/ I DF (behalve 2 leslokaalswit chen in com put erlabo s) Bekabelingsdiagram m en

12 P P P

13

14 P P P P

15

16 P P P

17 Elke vestiging ADSL verbinding naar I SP m et gebruik van NAT Verbinding tussen de vestigingen via galvanische huurlijn m et SDSL m odem s (2 Mbps), PPP of PPTP Dedicated huurlijn (256 kbps) ) naar I AP voor het DMZ- segm ent (PPP of Fram e-e Relay)

18 Het adm inistratief netwerk m oet gescheiden blijven van het educatief schoolnet werk. 1 com puterlabo m ag geen toegang tot het I nternet hebben Het hele netwerk m oet bescherm d zijn tegen infiltraties vanuit het I nternet De verbinding tussen de vestigingen dient beveiligd I nternet- servers m oeten beveiligd zijn

19 Gebruik van VLAN s: Adm inistratie School + I nternet School I nternet Centrale router op elke vestiging, packet- filtering op basis van ACL s

20 NAT op ADSL- poorten en DMZ- segm ent Verbinding tussen vestigingen beveiligd dm v encryptie & PPTP DMZ voor I nternet- servers: Packet filtering gebaseerd op doeltcp- poort en Geen rout ing- protocollen ocollen tussen Routers A & B

21 Router A: Enkel toegang tot de DMZ via geactiveerde sockets s (I P + poort) Router B: toegang tot VLAN 2 enkel vanuit VLAN 1 toegang tot VLAN 3 enkel voor verbinding tussen vestigingen & I nternet toegang tot DMZ enkel voor geactiveerde socket s Router C: VLAN 5 enkel toegankelij k vanaf S0 ( inter- vestiging) ) & I nternet

22 Geen routing protocol ocol gespecifieerd in router A voor beveiliging; ; router B en C niet gekend door router A. S0 in S0 in S0 in access- list 100 perm it tcp any host eq 80 access- list 100 perm it tcp any host eq 25 access- list 100 perm it tcp any host eq 110

23 Router-B(config)# router igrp 100 Router- B(config- router)# network Router- B(config- router)# network Router- B(config- router)# network Router- B(config- router)# network E0 out E0 out E3 out E3 out E3 out E3 out access- list 101 perm it tcp any host eq 80 access- list 101 perm it tcp any host eq 25, 110 access- list 1 deny access- list 1 deny access- list 1 deny access- list 1 perm it any ADSL out access- list 2 deny

24 Router-C(config)# router igrp 100 Router- C(config- router)# network Router- C(config- router)# network Router- C(config- router)# network E1 out access- list 3 deny E1 out access- list 3 deny E1 out access- list 3 deny E1 out access- list 3 perm it any ADSL out access- list 2 deny

25 4094 hosts / subnet m ogelijk 14 m ogelij ke subnetten, waarvan 6 in gebruik Gbit Et hernet beschikbaar ( + ext ra glasvezels) Switchen st ackable voor uit breiding 3 vrij e poorten op de centrale router voor bij kom ende vest igingen

26 This document was created with Win2PDF available at The unregistered version of Win2PDF is for evaluation or non-commercial use only.