Podręcznik instalacji sprzętu Cisco Asa 5585 X

2023-11-28
Podręcznik instalacji sprzętu Cisco Asa 5585 X to kompletny przewodnik dotyczący instalacji i konfiguracji urządzenia. Przewodnik zawiera wszystkie potrzebne informacje dotyczące instalacji i skonfigurowania sprzętu Cisco ASA 5585 X, w tym wszystkie niezbędne kroki, które trzeba wykonać, aby urządzenie działało prawidłowo. Podręcznik zawiera również informacje na temat zabezpieczeń, które należy wdrożyć, aby zapewnić bezpieczne środowisko sieciowe. Podręcznik instalacji sprzętu Cisco ASA 5585 X jest przydatny dla wszystkich administratorów sieci, którzy chcą skonfigurować i zabezpieczyć swoje sieci oparte na urządzeniach Cisco ASA.

Ostatnia aktualizacja: Podręcznik instalacji sprzętu Cisco Asa 5585 X

1 Podręcznik instalacji punktu dostępowego Cisco Aironet 1550 Series do montażu w strefach zagrożonych wybuchem Lipiec 2012 Centrala dla krajów obu Ameryk Cisco Systems, Inc. 170 West Tasman Drive San Jose, CA USA Tel. : NETS (6387) Faks:

2 PARAMETRY TECHNICZNE ORAZ INFORMACJE DOTYCZĄCE PRODUKTÓW W TEJ INSTRUKCJI MOGĄ ULEC ZMIANIE BEZ UPRZEDNIEGO POWIADOMIENIA. DOŁOŻONO STARAŃ, ABY WSZELKIE DEKLARACJE, INFORMACJE ORAZ REKOMENDACJE ZAWARTE W TEJ INSTRUKCJI BYŁY DOKŁADNE, JEDNAK PODAJE SIĘ JE BEZ JAKIEJKOLWIEK GWARANCJI JAWNEJ LUB DOMNIEMANEJ. UŻYTKOWNICY SĄ W PEŁNI ODPOWIEDZIALNI ZA SPOSÓB, W JAKI UŻYTKUJĄ TE PRODUKTY. LICENCJA OPROGRAMOWANIA ORAZ OGRANICZONA GWARANCJA NA POWIĄZANY PRODUKT SĄ ZAWARTE W PAKIECIE INFORMACYJNYM DOSTARCZONYM RAZEM Z PRODUKTEM I SĄ WŁĄCZONE NA PODSTAWIE NINIEJSZEGO ODWOŁANIA. JEŚLI ODNALEZIENIE LICENCJI OPROGRAMOWANIA LUB OGRANICZONEJ GWARANCJI NIE JEST MOŻLIWE, NALEŻY SKONTAKTOWAĆ SIĘ Z PRZEDSTAWICIELEM FIRMY CISCO W CELU OTRZYMANIA KOPII. Informacja dotycząca zgodności urządzeń klasy A z wymaganiami komisji FCC: To urządzenie zostało przebadane z wynikiem pozytywnym pod kątem zgodności z ograniczeniami dla urządzeń cyfrowych klasy A według części 15 wytycznych FCC. Ograniczenia te mają na celu zapewnienie odpowiedniej ochrony przed szkodliwymi zakłóceniami podczas użytkowania sprzętu na obszarach przemysłowych. Urządzenie wytwarza, użytkuje i może emitować energię fal radiowych, które mogą powodować szkodliwe zakłócenia komunikacji radiowej, jeśli instalacja oraz użycie urządzenia nie będą się odbywać zgodnie z instrukcją. Użycie urządzenia na obszarach zamieszkanych może wywołać szkodliwe zakłócenia, które w przypadku ich pojawienia się, powinny zostać skorygowane przez użytkowników na ich koszt. Informacja dotycząca zgodności urządzeń klasy B z wymaganiami komisji FCC: To urządzenie zostało przebadane z wynikiem pozytywnym pod kątem zgodności z ograniczeniami dla urządzeń cyfrowych klasy B według części 15 wytycznych FCC. Ograniczenia mają na celu zapewnienie stosownej ochrony przed szkodliwymi zakłóceniami w środowisku zamieszkanym. Nie wyklucza się jednak, że w wypadku konkretnej instalacji zakłócenia takie wystąpią. Jeśli urządzenie powoduje zakłócenia w odbiorze sygnału radiowego lub telewizyjnego, co można sprawdzić, wyłączając i włączając urządzenie, należy podjąć próby wyeliminowania tych zakłóceń, stosując następujące środki zaradcze: Obrócić lub przenieść antenę odbiorczą. Zwiększyć odległość między urządzeniem a odbiornikiem. Podłączyć urządzenie do gniazda w sieci zasilającej innej niż ta, do której podłączony jest odbiornik. Skonsultować się ze sprzedawcą lub doświadczonym technikiem radiowo-telewizyjnym w celu uzyskania pomocy. Modyfikacje produktu niezatwierdzone przez firmę Cisco mogą spowodować unieważnienie aprobaty komisji FCC oraz prawa użytkownika do obsługi urządzenia. Użycie przez firmę Cisco kompresji nagłówka TCP stanowi adaptację programu powstałego na Uniwersytecie Kalifornijskim w Berkeley (UCB) w ramach ogólnie dostępnej (ang. public domain) wersji systemu operacyjnego UNIX. Wszelkie prawa zastrzeżone. Copyright 1981, Regents of the University of California. NIE NARUSZAJĄC ŻADNEJ Z ZAWARTYCH TU GWARANCJI, WSZELKIE PLIKI DOKUMENTACJI ORAZ OPROGRAMOWANIA POCHODZĄCE OD TYCH DOSTAWCÓW SĄ DOSTARCZONE W STANIE, W JAKIM SĄ, Z ICH WSZELKIMI BŁĘDAMI. FIRMA CISCO ORAZ WYŻEJ WYMIENIENI DOSTAWCY ZRZEKAJĄ SIĘ ODPOWIEDZIALNOŚCI Z TYTUŁU WSZELKICH WYRA NYCH LUB DOMNIEMANYCH GWARANCJI, ŁĄCZNIE Z GWARANCJĄ WARTOŚCI RYNKOWEJ, PRZYDATNOŚCI DO OKREŚLONYCH ZASTOSOWAŃ, A TAKŻE GWARANCJI ZWIĄZANEJ Z NARUSZENIEM PRAW ORAZ GWARANCJI WYNIKAJĄCYCH ZE SPOSOBU PROWADZENIA DZIAŁALNOŚCI, ZASTOSOWANIA LUB PRAKTYKI HANDLOWEJ. W ŻADNYM WYPADKU FIRMA CISCO ANI ŻADEN JEJ DOSTAWCA NIE PONOSZĄ ODPOWIEDZIALNOŚCI ZA ŻADNE POŚREDNIE, WYJĄTKOWE, WYNIKŁE LUB UBOCZNE SZKODY, W TYM, LECZ NIE WYŁĄCZNIE, ZA UTRATĘ ZYSKÓW, UTRATĘ LUB USZKODZENIE DANYCH WYNIKAJĄCE Z KORZYSTANIA Z NINIEJSZEJ INSTRUKCJI, NAWET JEŚLI FIRMA CISCO LUB JEJ DOSTAWCY ZOSTALI POINFORMOWANI O PRAWDOPODOBIEŃSTWIE ICH WYSTĄPIENIA. CCDE, CCENT, Cisco Eos, Cisco HealthPresence, logo Cisco, Cisco Lumin, Cisco Nexus, Cisco StadiumVision, Cisco TelePresence, Cisco WebEx, DCE oraz Welcome to the Human Network są znakami towarowymi; Changing the Way We Work, Live, Play oraz Learn and Cisco Store są znakami usługowymi; Access Registrar, Aironet, AsyncOS, Bringing the Meeting To You, Catalyst, CCDA, CCDP, CCIE, CCIP, CCNA, CCNP, CCSP, CCVP, Cisco, logo Cisco Certified Internetwork Expert, Cisco IOS, Cisco Press, Cisco Systems, Cisco Systems Capital, logo Cisco Systems, Cisco Unity, Collaboration Without Limitation, EtherFast, EtherSwitch, Event Center, Fast Step, Follow Me Browsing, FormShare, GigaDrive, HomeLink, Internet Quotient, IOS, iphone, iquick Study, IronPort, IronPort logo, LightStream, Linksys, MediaTone, MeetingPlace, MeetingPlace Chime Sound, MGX, Networkers, Networking Academy, Network Registrar, PCNow, PIX, PowerPanels, ProConnect, ScriptShare, SenderBase, SMARTnet, Spectrum Expert, StackWise, The Fastest Way to Increase Your Internet Quotient, TransPath, WebEx oraz logo WebEx są zastrzeżonymi znakami towarowymi firmy Cisco Systems, Inc. i/lub jej podmiotów stowarzyszonych w Stanach Zjednoczonych oraz niektórych innych krajach. Wszelkie inne znaki towarowe wymienione w tym dokumencie lub na stronie internetowej są własnością ich prawnych właścicieli. Użycie słowa partner nie oznacza stosunku partnerstwa między firmą Cisco a jakąkolwiek inną firmą. (0812R) Wszelkie adresy protokołu komunikacyjnego IP oraz numery telefonów użyte w tym dokumencie nie powinny być traktowane jako adresy lub numery rzeczywiste. Wszelkie przykłady, obrazy ekranów zawierające polecenia, diagramy topologii sieci oraz inne dane zawarte w dokumencie zostały przedstawione wyłącznie w celach demonstracyjnych. Jakiekolwiek użycie rzeczywistych adresów IP lub numerów telefonów w treści demonstracyjnej jest przypadkowe i niezamierzone Cisco Systems, Inc.

3 SPIS TREŚCI Wstęp vii Cele vii Odbiorcy vii Organizacja viii Konwencje viii Dokumenty pokrewne ix Wyszukiwanie numeru seryjnego produktu x Uzyskiwanie dokumentacji, pomocy technicznej oraz wskazówek dotyczących bezpieczeństwa xi ROZDZIAŁ 1 Omówienie 1-1 Informacje o punkcie dostępowym Modele urządzeń 1-2 Obszary o określonych wymogach prawnych 1-4 Właściwości urządzeń 1-4 Złącza 1-5 Działanie z wieloma modułami radiowymi 1-8 Konfiguracja anten 1-9 Dwupasmowa antena dookólna Cisco Aironet 1-9 Antena dookólna Cisco Aironet 2, 4 GHz 1-10 Zasady bezpieczeństwa 1-12 Różne źródła zasilania 1-13 Porty sieci Ethernet (PoE) 1-14 Opcja z połączeniem światłowodowym 1-14 Metalowa obudowa 1-15 Dodatkowe opcje sprzętowe 1-15 Przykłady instalacji sieci 1-15 Łączność bezprzewodowa typu backhaul 1-17 Mostowanie punkt-punkt 1-17 Mostowanie typu punkt-wielopunkt 1-18 Sieć kratowa punkt-wielopunkt 1-19 Proces aktywacji routera sieci szkieletowej Honeywell 1-20 Operacje sieciowe w warstwie

4 Spis treści ROZDZIAŁ 2 Instalacja punktu dostępowego 2-1 Rozpakowanie punktu dostępowego 2-2 Zawartość opakowania 2-2 Narzędzia i sprzęt 2-2 Dodatkowe narzędzia i sprzęt 2-2 Dodatkowe narzędzia i sprzęt zapewniane we własnym zakresie 2-3 Sprzęt i narzędzia wymagane do montażu na słupie 2-3 Ostrzeżenia 2-4 Informacje dotyczące bezpieczeństwa 2-5 Oświadczenie zgodności z normami bezpieczeństwa FCC 2-5 Zasady bezpieczeństwa 2-5 Zapobieganie uszkodzeniom urządzeń radiowych w środowisku testowym 2-7 Dodatkowe zagadnienia związane ze strefami zagrożonymi wybuchem 2-8 Ostrzeżenia 2-9 Zgodność 2-9 Etykieta zgodności 2-10 Wskazówki dotyczące instalacji 2-12 Ocena lokalizacji 2-12 Przed rozpoczęciem instalacji 2-13 Elementy montażowe punktów dostępowych 2-13 Rozmieszczenie złączy N anteny 2-16 Dodawanie adresu MAC punktu dostępowego do listy filtrów kontrolera 2-16 Konfiguracja punktów dostępowych RAP 2-16 Konfiguracja nazwy grupy mostu 2-17 Instalacja punktu dostępowego 2-18 Opcje instalacji 2-18 Orientacja punktu dostępowego podczas instalacji 2-18 Montaż punktu dostępowego na ścianie 2-19 Montaż punktu dostępowego na słupie 2-22 Montaż uchwytu zaciskowego i uchwytu mocującego 2-22 Montaż na słupie 2-24 Otwieranie pokrywy uchylnej 2-29 Zamykanie pokrywy uchylnej 2-30 Użycie przycisku Reset 2-31 Ponowny rozruch punktu dostępowego 2-32 Uziemianie punktu dostępowego 2-32 Podłączanie światłowodu do punktu dostępowego (1552H) 2-33 Podłączanie przewodu światłowodowego do punktu dostępowego serii 1552H

5 Spis treści Podłączanie światłowodu do punktu dostępowego (1552SA oraz 1552SD) 2-35 Podłączanie przewodu światłowodowego do punktów dostępowych z serii 1552SA oraz 1552SD 2-36 Zasilanie punktu dostępowego 2-40 Podłączanie zasilacza serii 1552H 2-41 Podłączanie kabla Ethernet do punktu dostępowego 2-42 Podłączanie kabla zasilającego 12 VDC do punktu dostępowego 2-45 Podłączanie kabla zasilającego 24 VDC do punktu dostępowego 2-48 Podłączanie do uziemienia i źródła prądu przemiennego 2-50 Konserwacja 2-52 Odłączanie punktu dostępowego z systemu 2-52 Przeprowadzanie okresowych inspekcji 2-53 Dalsze czynności 2-53 ROZDZIAŁ 3 Rozwiązywanie problemów 3-1 Wskazówki dotyczące użytkowania punktów dostępowych 3-2 Ważne uwagi 3-3 Opóźnienia konwergencji 3-3 Zapętlenie mostu 3-3 Serwer DHCP kontrolera 3-3 Przesył danych punktów dostępowych MAP 3-3 Lista filtrów adresów MAC kontrolera 3-3 Używanie opcji 43 protokołu DHCP 3-4 Monitorowanie diod LED punktów dostępowych 3-4 Sprawdzanie powiązania z kontrolerem 3-5 Zmiana nazwy grupy mostu 3-6 Lokalne łączenie z punktem dostępowym 3-6 Zasilacz sieciowy punktu dostępowego 3-8 Monitorowanie diod LED zasilacza sieciowego 3-9 ZAŁĄCZNIK A Przetłumaczone ostrzeżenia dotyczące bezpieczeństwa A-1 ZAŁĄCZNIK B Deklaracje zgodności oraz informacje prawne B-1 Deklaracja zgodności producenta urządzeń komunikacyjnych z postanowieniami Federalnej Komisji Komunikacji B-2 Kanada B-3 Oświadczenie o zgodności z przepisami kanadyjskimi B-3 Deklaracja zgodności w zakresie emisji fal radiowych B-3 5

6 Spis treści Wspólnota Europejska, Szwajcaria, Norwegia, Islandia i Liechtenstein B-4 Deklaracja zgodności w zakresie Dyrektywy R&TTE 1999/5/WE oraz Dyrektywy 93/42/EWG dotyczącej wyrobów medycznych B-4 Deklaracja zgodności w zakresie emisji fal radiowych B-5 Stany Zjednoczone B-5 Kanada B-5 Unia Europejska B-5 Australia B-5 Wytyczne dotyczące użytkowania punktów dostępowych Cisco Aironet w Japonii B-6 Tłumaczenie na język japoński B-6 Tłumaczenie na język angielski B-6 Oświadczenie VCCI na terenie Japonii B-7 Przepisy dotyczące punktów dostępowych Cisco Aironet na Tajwanie B-7 Tłumaczenie na język chiński B-7 Tłumaczenie na język angielski B-8 Tłumaczenie na język chiński B-8 Tłumaczenie na język angielski B-8 Oświadczenie 371 Kabel zasilający i zasilacz sieciowy B-9 Tłumaczenie na język angielski B-9 Deklaracja zgodności UE B-9 ZAŁĄCZNIK C Kanały i poziomy mocy C-1 ZAŁĄCZNIK D Parametry techniczne punktów dostępowych D-1 ZAŁĄCZNIK E Opis styków złączy punktu dostępowego E-1 ZAŁĄCZNIK F Konfiguracja opcji 43 protokołu DHCP F-1 Omówienie F-2 Konfiguracja opcji 43 w punktach dostępowych serii 1100, 1130, 1200, 1240, 1250, 1300, 1520 oraz 1550 F-3 S ŁOWNICZEK 6

7 Wstęp W sekcji opisano cele, odbiorców, organizację i konwencje Podręcznika instalacji punktu dostępowego Cisco Aironet 1550 Series do montażu w strefach zagrożonych wybuchem. Cele W publikacji opisano kolejne etapy instalacji zewnętrznego punktu dostępowego sieci kratowej Cisco Aironet 1550 Series do montażu w strefach zagrożonych wybuchem (nazywanego tu punktem dostępowym). Model 1552 został wyposażony w punkt dostępowy. Model 1552 to platforma z podwójnym urządzeniem radiowym obsługująca dwa pasma (o częstotliwości 2, 4 oraz 5 GHz). Odbiorcy Publikacja jest przeznaczona dla osób, które po raz pierwszy instalują i konfigurują punkt dostępowy. Instalator powinien znać struktury sieciowe, zasady i pojęcia. Ostrzeżenie Tylko odpowiednio przeszkolony i wykwalifikowany personel może przeprowadzać instalację, wymianę lub konserwację sprzętu. Instrukcja 1030 Ostrzeżenie W Norwegii, Finlandii i Szwecji sprzęt powinien zostać zainstalowany w miejscach o ograniczonym dostępie. Tylko odpowiednio przeszkolony i wykwalifikowany personel może przeprowadzać instalację, wymianę lub konserwację sprzętu zgodnie z instrukcjami znajdującymi się w tym podręczniku instalacji. vii

8 Wstęp Organizacja Konwencje Podręcznik składa się z następujących sekcji: Rozdział Tytuł Opis Rozdział 1 Omówienie Opis głównych komponentów i właściwości punktu dostępowego. Rozdział 2 Instalacja punktu dostępowego Ostrzeżenia, informacje dotyczące bezpieczeństwa i montażu niezbędne do instalacji punktu dostępowego. W rozdziale znajduje się nowa sekcja zawierająca informacje i procedury związane z montażem punktu dostępowego w niebezpiecznych lokalizacjach Klasy I, Obszaru 2, Strefy 2. Rozdział 3 Rozwiązywanie problemów Procedury rozwiązywania podstawowych problemów dotyczących punktu dostępowego. Dodatek A Dodatek B Przetłumaczone ostrzeżenia dotyczące bezpieczeństwa Deklaracje zgodności oraz informacje prawne W podręczniku zastosowano następujące konwencje: Opis sposobu korzystania z dokumentu, który zawiera objaśnienia ostrzeżeń dotyczących bezpieczeństwa występujących w podręczniku. Konwencje prawne stosujące się do punktów dostępowych oraz wytyczne dotyczące ich użytkowania na terenie Japonii. Dodatek C Kanały i poziomy mocy Opis korzystania z dokumentu, który zawiera listę kanałów radiowych punktu dostępowego oraz dopuszczalne maksymalne poziomy mocy w świetle różnych ograniczeń prawnych na świecie. Dodatek D Parametry techniczne Parametry techniczne punktu dostępowego. punktów dostępowych Dodatek E Opis styków złączy punktu dostępowego Opis styków złączy punktu dostępowego. Dodatek F Konfiguracja opcji 43 protokołu DHCP Opis procedur konfiguracji opcji 43 protokołu DHCP. Konwencja Opis czcionka pogrubiona Polecenia, opcje poleceń i słowa kluczowe są oznaczone czcionką pogrubioną. kursywa Argumenty, do których są przypisywane wartości oznaczono kursywą. [] Elementy w nawiasach kwadratowych są opcjonalne. czcionka ekranowa Sesje terminalowe i informacje wyświetlane przez system są oznaczone czcionką ekranową. czcionka pogrubiona ekranowa Informacje, które wprowadza użytkownik są oznaczone czcionką pogrubioną ekranową. viii

9 Wstęp Konwencja kursywa ekranowa ^ Opis Argumenty, do których są przypisywane wartości oznaczono kursywą ekranową. Symbol ^ oznacza klawisz Ctrl. Na przykład kombinacja klawiszy ^D na ekranie oznacza jednoczesne przytrzymanie klawisza Ctrl i naciśnięcie klawisza D. < > Znaki niedrukowane (np. hasła) są ujęte w nawiasy kątowe. Uwagi są przedstawiane w następujący sposób: Uwaga Oznacza fragment, na który trzeba zwrócić szczególną uwagę. Pola uwag zawierają pomocne sugestie lub odsyłacze do materiałów, które nie znajdują się w tym podręczniku. Przestrogi są przedstawiane w następujący sposób: Przestroga Oznacza, że należy zachować ostrożność. Wskazuje sytuację, w której użytkownik może wykonać czynność skutkującą uszkodzeniem sprzętu lub utratą danych. Ostrzeżenia są przedstawiane w następujący sposób: Ostrzeżenie WAŻNE INSTRUKCJE DOTYCZĄCE BEZPIECZEŃSTWA Ten symbol ostrzegawczy oznacza zagrożenie. Wskazuje sytuację mogącą spowodować obrażenia ciała. Obsługując jakiekolwiek urządzenie, należy zdawać sobie sprawę z możliwości porażenia prądem płynącym w obwodach elektrycznych oraz znać podstawowe zasady zapobiegania wypadkom. Posługując się numerem umieszczonym na końcu każdego ostrzeżenia, należy odnaleźć jego tłumaczenie w przetłumaczonym spisie ostrzeżeń dotyczących bezpieczeństwa dołączonym to tego urządzenia. Instrukcja 1071 INSTRUKCJE NALEŻY ZACHOWAĆ Dokumenty pokrewne W poniższych dokumentach zawarto kompletne informacje na temat punktu dostępowego: Informacje dotyczące kontrolerów bezprzewodowej sieci LAN firmy Cisco i lekkich punktów dostępowych Wprowadzenie: Zewnętrzne punkty dostępowe sieci kratowej Cisco Aironet 1552S Podręcznik konfiguracji kontrolera bezprzewodowej sieci LAN firmy Cisco Instrukcje instalacji zasilacza sieciowego do zewnętrznego punktu dostępowego sieci kratowej Cisco Aironet 1550 Series Kliknij to łącze, aby wyświetlić stronę główną dokumentacji rozwiązań bezprzewodowych firmy Cisco: ix

10 Wstęp Aby przejść do dokumentacji dotyczącej punktu dostępowego, kliknij opcję Cisco Aironet 1550 Series znajdującą się na liście Zewnętrzne rozwiązania bezprzewodowe. Dostęp do dokumentacji można uzyskać z okna Pomoc techniczna. Aby przejść do dokumentacji kontrolera bezprzewodowej sieci LAN firmy Cisco, kliknij opcję Kontrolery wolnostojące znajdującą się na liście Kontrolery bezprzewodowych sieci LAN. Wyszukiwanie numeru seryjnego produktu Numer seryjny punktu dostępowego znajduje się na spodzie urządzenia (patrz Rysunek 1). Rysunek 1 Umiejscowienie etykiety z numerem seryjnym SN: NNNNNNNNN SN: NNNNNNNNN Etykieta z numerem seryjnym punktu dostępowego zawiera następujące informacje: Numer modelu np. AIR-CAP1552S-x-K9. Numer seryjny np. WCN B (11 znaków alfanumerycznych). Adres MAC punktu dostępowego np. 68BDABF54600 (12 znaków szesnastkowych). Znajduje się pod numerem seryjnym. Do uzyskania pomocy technicznej wymagany jest numer seryjny produktu. x

11 Wstęp Uzyskiwanie dokumentacji, pomocy technicznej oraz wskazówek dotyczących bezpieczeństwa Ten punkt dostępowy jest sprzedawany przez grupę Honeywell Process Solutions ( w ramach rozwiązania OneWireless. Aby uzyskać pomoc techniczną dotyczącą tego punktu dostępowego, należy skontaktować się z firmą Honeywell za pośrednictwem strony internetowej: lub telefonicznie: (opcja 1). Informacje o uzyskiwaniu dokumentacji i pomocy technicznej, przesyłaniu komentarzy do dokumentacji, wytycznych dotyczących bezpieczeństwa, zalecanych aliasach oraz ogólnej dokumentacji firmy Cisco można znaleźć w comiesięcznych aktualizacjach na stronie Co nowego w dokumentacji technicznej firmy Cisco. Znajduje się tam również lista nowej i poprawionej dokumentacji technicznej firmy Cisco: Aby przejść do dokumentacji dotyczącej nowych rozwiązań bezprzewodowych, kliknij opcję Łączność bezprzewodowa. xi

12 Wstęp xii

13 1 ROZDZIAŁ Omówienie Zewnętrzny punkt dostępowy sieci kratowej Cisco Aironet 1550 Series do montażu w strefach zagrożonych wybuchem (nazywany dalej punktem dostępowym lub punktem AP) to zewnętrzny, modułowy, bezprzewodowy punkt dostępowy przeznaczony do użytku w sieci kratowej. Punkt dostępowy obsługuje również bezprzewodowy dostęp urządzenia klienckiego, mostowanie punkt-punkt, mostowanie punkt-wielopunkt oraz łączność bezprzewodową sieci kratowej punkt-wielopunkt. Informacje o punkcie dostępowym 1552 Punkt dostępowy 1552 obsługuje dwa pasma radiowe (o częstotliwości 2, 4 GHz oraz 5 GHz) i zapewnia dostęp urządzenia klienckiego bez konieczności posiadania licencji. Moduły radiowe 5 GHz są przeznaczone do zadań typu backhaul mających na celu dostęp do sieci przewodowych, podczas gdy moduł 2, 4 GHz jest stosowany w przypadku bezprzewodowych urządzeń klienckich. W zależności od modułu radiowego punkt dostępowy może obsługiwać prędkość przesyłu danych w zakresie Mb/s (Załącznik D, Parametry techniczne punktów dostępowych zawiera informacje na temat konkretnych prędkości przesyłu). Punkt dostępowy 1552 jest zgodny z modułową koncepcją serii 1520 i oferuje elastyczność konfiguracji modułu radiowego. Oprócz pełnej współpracy z urządzeniami klienckimi zgodnymi ze standardem n punkt dostępowy 1552 współpracuje ze starszymi urządzeniami klienckimi i zapewnia większą wydajność działania typu backhaul. Punkt dostępowy 1552 można również skonfigurować ze zintegrowaną bramą zgodną ze standardem ISA 100. Punkt dostępowy jest jednostką wolnostojącą z możliwością montażu na słupie. Może także pełnić funkcję węzła przekaźnikowego dla innych punktów dostępowych niepołączonych bezpośrednio z siecią przewodową. Opatentowany protokół AWPP (Adaptive Wireless Path Protocol) zapewnia inteligentne trasowanie bezprzewodowe. Umożliwia każdemu punktowi dostępowemu identyfikację urządzeń sąsiadujących oraz inteligentny wybór optymalnej ścieżki do sieci przewodowej, dzięki obliczeniu obciążenia każdej ścieżki pod względem siły sygnału oraz liczby pętli na ścieżce dostępu do kontrolera. Punkt dostępowy jest konfigurowany, monitorowany i obsługiwany za pośrednictwem kontrolera sieci bezprzewodowej firmy Cisco (nazywanego dalej kontrolerem), jak przedstawiono w Podręczniku konfiguracji urządzenia Cisco Wireless LAN Controller. Punkty dostępowe bezprzewodowej sieci kratowej firmy Cisco, Podręcznik budowy i instalacji, wersja 7. 0 przedstawia sposób rozplanowania i wstępnej konfiguracji sieci kratowej firmy Cisco obsługującej bezprzewodowe instalacje punkt-punkt, punkt-wielopunkt oraz instalację urządzeń sieci kratowej. W kontrolerach zastosowano system zarządzania obsługiwany za pośrednictwem przeglądarki, interfejs wiersza poleceń (CLI) lub system zarządzania siecią Cisco Wireless Control System (WCS) przeznaczony do zarządzania kontrolerem i powiązanymi punktami dostępowymi. Punkt dostępowy obsługuje sprzętowy standard szyfrowania zaawansowanego AES między węzłami bezprzewodowymi w celu zapewnienia kompleksowego zabezpieczenia. 1-1

14 Modele urządzeń Rozdział 1 Omówienie W tym rozdziale znajdują się informacje dotyczące następujących zagadnień: Modele urządzeń, strona 1-2 Właściwości urządzeń, strona 1-4 Przykłady instalacji sieci, strona 1-15 Modele urządzeń Tabela 1-1 zawiera numery modeli (lub numery części) oraz konfigurację zewnętrznych punktów dostępowych sieci kratowej Cisco Aironet 1552 do montażu w strefach zagrożonych wybuchem. Tabela 1-2 przedstawia szczegółową listę części obsługiwanych przez każdy model punktu dostępowego Załącznik B, Deklaracje zgodności oraz informacje prawne. zawiera szczegółowy opis deklaracji zgodności i informacji dotyczących przepisów stosujących się do punktów dostępowych Tabela 1-1 Punkt dostępowy 1552 numery modeli i ich opisy Model (lub numer części) AIR-CAP1552S-x-K9 AIR-CAP1552H-x-K9 Konfiguracja Wersja z dwoma modułami radiowymi (2, 4 GHz i 5 GHz). Model obsługuje trzy (3) zewnętrzne dwupasmowe anteny dookólne. Można je zamówić łącznie z urządzeniem. Model ten obsługuje także dwa moduły radiowe zgodne ze standardem ISA100, umożliwiające połączenie z nadajnikami-odbiornikami sieci czujników Opcjonalny moduł światłowodowy przekaźnika niewielkich rozmiarów SFP można zamówić razem z punktem AP. Punkt AP może obsługiwać światłowodowy lub miedziany moduł SFP. Kraje (obszary o określonych wymogach prawnych) zaznaczone zmienną x zostały przedstawione na stronie: oduct_data_sheet0900aecd80537b6a. html Szczegółowe informacje dotyczące obszarów o określonych wymogach prawnych spełnianych przez ten model znajdują się w arkuszu danych produktu na stronie: oduct_data_sheet0900aecd80537b6a. html Wersja z dwoma urządzeniami radiowymi (2, 4 GHz i 5 GHz) do montażu w strefach zagrożonych wybuchem (Haz Loc). Punkt AP obsługuje bramę zgodną ze standardem ISA 100, 3 zewnętrzne dwupasmowe anteny dookólne oraz 2 zewnętrzne anteny dookólne o częstotliwości 2, 4 GHz. html 1-2

15 Rozdział 1 Omówienie Właściwości urządzeń Tabela 1-2 Komponenty każdego modelu punktu dostępowego S 1552H Anteny Zewnętrzne Zewnętrzne Światłowodowe SFP Tak Tak Port PoE-Out 1 Tak Tak 802. 3af (np. wideo) Modem kablowy - - DOCSIS 3. 0 Euro DOCSIS 3. 0 HazLoc Tak Tak Klasa 1, obszar2/strefa2 Opcja podtrzymywania baterii - - Opcje zasilania Prąd zmienny, prąd stały Prąd zmienny, prąd stały, PoE 2 1. Gdy model 1552S/H jest zasilany przez PoE, port PoE-Out nie jest aktywny. 2. Standardem dla portu PoE-In nie jest standard 802. 3af; nie współpracuje on z przełącznikiem sieci Ethernet obsługującym standard PoE 802. 3af. Wymagany jest dedykowany zasilacz sieciowy (AIR-PWRINJ1500-2=). Obszary o określonych wymogach prawnych Znak -x w numerach modelu 1552 oznacza obszar. Na przykład w numerze AIR-CAP1552H-x-K9 -x oznacza obszar o określonych wymogach prawnych w danym kraju. Szczegółowe informacje dotyczące obszarów o określonych wymogach prawnych spełnianych przez każdy z modeli punktu dostępowego 1552 znajdują się w dokumencie: Stan zgodności sieci bezprzewodowej LAN, zamieszonym na stronie: 7b6a. html Aby zlokalizować modele 1552 punktu dostępowego, należy kliknąć pozycję Punkty dostępowe sieci kratowej abgn. Właściwości urządzeń W tej sekcji przedstawiono właściwości modelu 1552 punktów dostępowych. Ta sekcja zawiera opis następujących właściwości urządzeń: Złącza, strona 1-5 Działanie z wieloma modułami radiowymi, strona 1-8 Konfiguracja anten, strona 1-9 Różne źródła zasilania, strona 1-13 Porty sieci Ethernet (PoE), strona 1-14 Opcja z połączeniem światłowodowym, strona 1-14 Metalowa obudowa, strona 1-15 Dodatkowe opcje sprzętowe, strona

16 Właściwości urządzeń Rozdział 1 Omówienie Złącza Ilustracje Rysunek 1-1 Rysunek 1-4 przedstawiają złącza punktu dostępowego dla obu modeli. Rysunek 1-5 i Rysunek 1-6 przedstawiają złącza typu N anteny zewnętrznej. Uwaga Na rysunkach w tym dokumencie przedstawiono wszystkie dostępne połączenia punktu dostępowego. Nieużywane połączenia są zasłonięte zatyczką, co zapewnia wodoszczelność punktu dostępowego. Dostępne są wodoszczelne elementy pośredniczące do otworów złączy. Można je zamontować przed instalacją punktu dostępowego lub po niej. Rysunek 1-1 Złącza znajdujące się na spodzie punktu dostępowego, model AIR-CAP1552H-x-K Port antenowy 4 6 Port światłowodowy 2 Port antenowy 5 7 Port PoE-out 3 Port antenowy 6 8 Diody LED (dioda stanu, Up Link, RF1, RF2) 4 Port zasilania prądem zmiennym, tylko w 9 Port PoE-in przypadku modelu AIR-CAP1552H-x-K9 lub Wejście dławika kablowego (1/2-NPT) dla kabla transmisji danych (zewnętrzny kabel STP kat. 5) 5 Nieużywane Uwaga Rysunek 1-1 nie uwzględnia portów antenowych 1, 2 i 3. Są one zarezerwowane do przyszłego użytku i znajdują się na górnej powierzchni punktu dostępowego. 1-4

17 Rozdział 1 Omówienie Właściwości urządzeń Rysunek 1-2 Złącza znajdujące się na spodzie punktu dostępowego, model AIR-CAP1552S-x-K Port antenowy 4 (ISA100. 11a) 5 Nieużywane 2 Okienko podczerwieni 6 Port PoE-out 3 Port antenowy 6 (ISA100. 11a) 7 Diody LED (dioda stanu, Up Link, RF1, RF2) 4 Porty zasilania prądem zmiennym (1552SA) lub stałym 24 V (1552SD) oraz port światłowodowy typu backhaul 8 Ethernet Rysunek 1-3 Port konsoli dla punktu dostępowego, model AIR-CAP1552H-x-K9 i AIR-CAP1552S-x-K Port konsoli 2 Nieużywane 1-5

18 Właściwości urządzeń Rozdział 1 Omówienie Rysunek 1-4 Złącze zasilania prądem stałym i zacisk uziemienia (wszystkie modele) Port zasilania prądem stałym 3 Otwór uchwytu mocującego 2 Otwór uchwytu mocującego 4 Położenie zacisku do podłączenia uziemienia (co najmniej 16 mm VD, 6 AWG) Rysunek 1-5 przedstawia położenie portów antenowych dla modeli AIR-CAP1552H-x-K9. Rysunek 1-5 Położenie zewnętrznych portów antenowych dla modeli AIR-CAP1552H-x-K Nieużywane 4 Port antenowy 6- złącze typu N (z zatyczką) Tx/Rx 2 Nieużywane 5 Port antenowy 5- złącze typu N (z zatyczką) Rx 3 Nieużywane 6 Port antenowy 4- złącze typu N (z zatyczką) Tx/Rx 1-6

19 Rozdział 1 Omówienie Właściwości urządzeń Rysunek 1-6 przedstawia położenie portów antenowych dla modeli AIR-CAP1552S-x-K9. Rysunek 1-6 Położenie zewnętrznych portów antenowych dla modeli AIR-CAP1552S-x-K Antena podłączona do portu antenowego 1 (złącze typu N) (WiFi TX/RX) 2 Antena podłączona do portu antenowego 2 (złącze typu N) (WiFi RX) 3 Antena podłączona do portu antenowego 3 (złącze typu N) (WiFi TX/RX) Port antenowy 6- złącze typu N (z zatyczką) Tx/Rx 5 Port antenowy 4- złącze typu N (z zatyczką) Tx/Rx Działanie z wieloma modułami radiowymi Punkt dostępowy model 1552 obsługuje jednoczesne działanie dwóch modułów radiowych 2, 4 GHz b/g/n z technologią wielu wejść i wyjść (MIMO) oraz moduł radiowy 5 GHz a/n MIMO. Moduł radiowy 2, 4 GHz obsługuje kanały od 1 do 11 w Stanach Zjednoczonych, od 1 do 13 w Europie i od 1 do 13 w Japonii. Jest wyposażony w dwa nadajniki o maksymalnej mocy wyjściowej 25 dbm zapewniające działanie zgodne ze standardem b/g/n. Moc wyjściową można konfigurować na 5 poziomach. Jest wyposażony w trzy odbiorniki obsługujące algorytm MRC (maximum-ratio combining). Moduł radiowy 5 GHz działa w paśmie UNII-2 (5, 25 5, 35 GHz), paśmie UNII-2 poszerzonym/etsi (5, 47 5, 725 GHz) oraz paśmie wyższym ISM (5, 725 5, 850 GHz). Jest wyposażony w dwa nadajniki o maksymalnej łącznej mocy wyjściowej 26 dbm dla pasm UNII-2 i poszerzonego/etsi. W przypadku wyższego pasma ISM maksymalna łączna moc wyjściowa wynosi 28 dbm. Moc wyjściową można konfigurować na 5 różnych poziomach skokowo co 3 db. Trzy odbiorniki obsługują algorytm MRC (maximum-ratio combining). 1-7

20 Właściwości urządzeń Rozdział 1 Omówienie Konfiguracja anten Punkt dostępowy 1552 do montażu w strefach zagrożonych wybuchem obsługuje dwupasmową antenę dookólną firmy Cisco (AIR-ANT2547V-N-HZ) oraz antenę dookólną Cisco Aironet 2, 4 GHz (AIR-ANT2450V-N-HZ), nazywane patykami, patrz Rysunek 1-7 oraz Rysunek 1-8. Dwupasmowa antena dookólna firmy Cisco jest przeznaczona do użytku na zewnątrz z urządzeniami radiowymi emitującymi fale w pasmach częstotliwości 2, 4 GHz i 5 GHz. Dwupasmowa antena dookólna Cisco Aironet 2, 4 GHz jest przeznaczona do użytku na zewnątrz z urządzeniami radiowymi emitującymi fale w paśmie częstotliwości 2, 4 GHz. Anteny te są przeznaczone do konfiguracji montażu na słupie (patrz sekcja Instalacja punktu dostępowego na stronie 2-18. ) W modelu AIR-CAP1552H-x-K9 używane są trzy anteny dwupasmowe. W modelu AIR-CAP1552S-x-K9 używane są trzy dwupasmowe anteny zewnętrzne i dwie jednopasmowe anteny 2, 4 GHz. Modele 1552S i 1552H wymagają podłączenia wszystkich anten zewnętrznych. Rysunek 1-5 oraz Rysunek 1-6 przedstawiają położenie portów antenowych w modelach 1552S i 1552H. Dwupasmowa antena dookólna Cisco Aironet Dwupasmowa antena dookólna Cisco Aironet jest przeznaczona do użytku na zewnątrz z zewnętrznymi punktami dostępowymi Cisco Aironet wyposażonymi w moduły radiowe o częstotliwości pasm 2, 4 GHz i 5 GHz (Rysunek 1-7). Podstawowe parametry pracy anteny: Dookólny kolinearny szyk antenowy Działanie w pasmach częstotliwości 2, 4 GHz i 5 GHz Zysk: MHz 4-dBi MHz 7-dBi Antena tworzy dookólny wzorzec emisji. Aby go uzyskać, należy przymocować punkt dostępowy do boku elementu promieniującego, tak aby żadna przeszkoda nie zakłócała emisji. Szczegółowe informacje dotyczące anteny znajdują się w dokumencie Dookólna antena dwupasmowa Cisco Aironet do montażu w strefach zagrożonych wybuchem (AIR-ANT2547V-N-HZ). Podczas montażu anteny należy przestrzegać zasad bezpieczeństwa. Informacje dotyczące bezpieczeństwa zawiera sekcja Zasady bezpieczeństwa na stronie

21 Rozdział 1 Omówienie Właściwości urządzeń Antena dookólna Cisco Aironet 2, 4 GHz Antena dookólna 2, 4 GHz jest przeznaczona do użytku na zewnątrz z zewnętrznymi punktami dostępowymi Cisco Aironet wyposażonymi w moduły radiowe o częstotliwości pasma 2, 4 GHz (Rysunek 1-8). Podstawowe parametry pracy anteny: Dookólny kolinearny szyk antenowy Działanie w paśmie częstotliwości 2, 4 GHz Zysk: 5, 0 dbi Antena tworzy dookólny wzorzec emisji. Szczegółowe informacje dotyczące anteny znajdują się w dokumencie Dookólna antena dwupasmowa Cisco Aironet 5 dbi do montażu w strefach zagrożonych wybuchem (AIR-ANT2450V-N-HZ). Podczas montażu anten należy przestrzegać zasad bezpieczeństwa. Informacje dotyczące bezpieczeństwa zawiera sekcja Zasady bezpieczeństwa na stronie Rysunek 1-7 Dookólna antena dwupasmowa Cisco Aironet montaż na modelu AIR-CAP1552H-x-K

22 Właściwości urządzeń Rozdział 1 Omówienie Rysunek 1-8 Dookólna antena dwupasmowa Cisco Aironet i dookólna antena Cisco Aironet 2, 4 GHz montaż na modelu AIR-CAP1552S-x-K Antena podłączona do portu antenowego 1 (złącze typu N) (WiFi TX/RX) 2 Antena podłączona do portu antenowego 2 (złącze typu N) (WiFi RX) 3 Antena podłączona do portu antenowego 3 (złącze typu N) (WiFi TX/RX) 4 Antena podłączona do portu antenowego 4 (złącze typu N) (ISA100 RX) 5 Antena podłączona do portu antenowego 6 (złącze typu N) (ISA100 TX/RX) 1-10

23 Rozdział 1 Omówienie Właściwości urządzeń Zasady bezpieczeństwa Ostrzeżenie Nie należy umieszczać anteny w pobliżu napowietrznych linii elektroenergetycznych bądź innych obwodów oświetleniowych lub elektroenergetycznych, lub też w miejscach, gdzie antena mogłaby się zetknąć z takimi obwodami. W trakcie montażu anteny należy zachować szczególną ostrożność, aby nie zetknąć się z takimi obwodami, ponieważ może to doprowadzić do poważnych obrażeń lub śmierci. Informacje dotyczące prawidłowego montażu i uziemienia anteny znajdują się w przepisach krajowych i lokalnych (np. dla Stanów Zjednoczonych: NFPA 70, norma NEC, paragraf 810; dla Kanady: Kanadyjski Kodeks Elektryczny, Artykuł 54). Instrukcja 280 Dla własnego bezpieczeństwa należy zapoznać się z zasadami dotyczącymi bezpieczeństwa i przestrzegać ich. 1. Przed rozpoczęciem montażu warto skontaktować się z przedstawicielem firmy Cisco, aby uzyskać informacje na temat sposobu mocowania właściwego dla rozmiaru i rodzaju montowanej anteny. Miejsce montażu należy wybrać, uwzględniając zarówno bezpieczeństwo, jak i wydajność działania. Nie można zapominać, że linie elektroenergetyczne i telefoniczne są do siebie podobne. Dla własnego bezpieczeństwa należy założyć, że zetknięcie z każdą linią napowietrzną może mieć skutek śmiertelny. 3. Należy skontaktować się z operatorem sieci elektrycznej, aby poinformować go o swoich planach i zwrócić się o ocenę zaproponowanego sposobu mocowania. 4. Przed przystąpieniem do prac montażowych wszystkie czynności powinny być dokładnie zaplanowane. Każda osoba biorąca udział w pracach montażowych powinna mieć powierzone konkretne zadanie oraz wiedzieć, jak i kiedy je wykonać. Jedna osoba powinna być odpowiedzialna za wydawanie poleceń i nadzorować prace. 5. W trakcie instalacji anteny należy przestrzegać następujących zaleceń: Nie wolno używać metalowej drabiny. Nie wolno przeprowadzać prac w deszczowy lub wietrzny dzień. Wymagany jest odpowiedni strój roboczy buty z gumowymi podeszwami, gumowe rękawice i koszula z długim rękawem lub kurtka. 6. Jeśli montowana konstrukcja zaczyna się przewracać, należy się odsunąć i pozwolić jej upaść. Antena, maszt, przewody, metalowe druty odciągowe są znakomitymi przewodnikami prądu. Nawet najmniejszy kontakt którejkolwiek z tych części z linią elektroenergetyczną zamyka obwód elektryczny prowadzący przez antenę i instalatora. 7. Jeśli którakolwiek z części anteny zetknie się z linią elektroenergetyczną, nie wolno jej dotykać ani próbować odciągnąć samodzielnie. Należy skontaktować się z lokalnym operatorem sieci, aby ten w bezpieczny sposób ją usunął. 8. Jeśli wydarzy się wypadek mający związek z linią elektroenergetyczną, należy bezzwłocznie wezwać służby ratownicze. 1-11

24 Właściwości urządzeń Rozdział 1 Omówienie Różne źródła zasilania Punkt dostępowy serii 1550 do montażu w strefach zagrożonych wybuchem może współpracować z następującymi źródłami zasilania: Zasilanie prądem zmiennym V, punkty dostępowe modele 1552H i 1552SA Zewnętrzne źródło zasilania prądem stałym 24 V (tylko 1552SD) Zewnętrzne źródło zasilania prądem stałym 12 V Power-over-Ethernet (PoE) zasilanie prądem stałym 56 V z zasilacza (AIR-PWRINJ1500-2=), tylko model 1552H Ostrzeżenie Urządzenie należy podłączać tylko do źródeł zasilania prądem stałym spełniających wymogi bardzo niskiego napięcia bezpiecznego (SELV) określone przez normy bezpieczeństwa IEC Instrukcja 1033 Istnieje możliwość podłączenia punktu dostępowego 1552 do montażu w strefach zagrożonych wybuchem do więcej niż jednego źródła zasilania. Dostępne źródła zasilania są wykrywane przez punkt, a następnie dokonywany jest wybór preferowanego źródła według następującej kolejności domyślnej: Zasilanie prądem zmiennym (modele 1552H i 1552SA) Zewnętrzne źródło zasilania prądem stałym 24 V (tylko 1552SD) Zewnętrzne źródło zasilania prądem stałym 12 V Zasilanie PoE z zasilacza Ostrzeżenie Urządzenie może być podłączone do więcej niż jednego źródła zasilania. Aby wyłączyć zasilanie urządzenia, należy odłączyć wszystkie źródła zasilania. Instrukcja 1028 Ostrzeżenie W celu zmniejszenia niebezpieczeństwa pożaru należy używać wyłącznie kabla telekomunikacyjnego typu 26 AWG lub kabla o większej średnicy. Instrukcja 1023 Przestroga Aby doprowadzić zasilanie w technologii PoE linią zasilającą, należy użyć zasilacza 1500 (AIR-PWRINJ1500-2=). Inne zasilacze, przełączniki PoE lub źródła zasilania zgodne ze standardem 802. 3af nie zapewniają zasilania w odpowiedni sposób, co może prowadzić do powstania awarii punktu dostępowego lub spowodować przeciążenie źródła zasilania. Przestroga Nie wolno używać zasilacza 1500 (AIR-PWRINJ1500-2=) poza pomieszczeniami zamkniętymi. Uwaga Minimalna długość kabla sieci Ethernet z zasilacza sieciowego do punktu dostępowego (port PoE-in) wynosi 3, 1m (10ft). Przestroga W przypadku montażu punktu dostępowego w miejscu mokrym lub wilgotnym obwód odgałęziony zasilający punkt dostępowy prądem zmiennym powinien być wyposażony w zabezpieczenie ziemnozwarciowe GFCI, jak określono w paragrafie 210 normy NEC. 1-12

25 Rozdział 1 Omówienie Właściwości urządzeń Porty sieci Ethernet (PoE) Modele 1552S i 1552H obsługują porty sieci Ethernet w obu kierunkach (POE-Out). Model 1552H obsługuje dodatkowo port POE-In. Do portów sieci Ethernet używane są złącza RJ-45 (z wodoszczelnymi elementami pośredniczącymi) łączące punkt dostępowy z siecią 10/100/1000BASE-T. Kabel sieci Ethernet służy do wysyłania i odbierania danych w sieci Ethernet i może doprowadzać zasilanie współliniowe prądem stałym 56 V z zasilacza. Uwaga Port PoE-Out nie jest aktywny, gdy punkt dostępowy 1552H jest zasilany za pośrednictwem łącza PoE. Do portu PoE-out (10/100/1000BASE-T) używane jest złącze RJ-45 doprowadzające łączność sieci LAN oraz zasilanie zgodnie ze standardem IEEE 802. 3af do pojedynczego peryferyjnego urządzenia klienckiego np. bramy kamery lub czujnika. Portu PoE-out nie należy podłączać do przełącznika lub koncentratora. Adres MAC sieci Ethernet znajduje się na spodzie punktu dostępowego pod diodami LED. Ostrzeżenie W celu zmniejszenia niebezpieczeństwa pożaru należy używać wyłącznie kabla telekomunikacyjnego typu 26 AWG lub kabla o większej średnicy. Instrukcja 1023 Kabel sieci Ethernet powinien być kablem ekranowym kategorii 5e (CAT5e) lub lepszej, przeznaczonym do użytku na zewnątrz. Punkt dostępowy automatycznie wykrywa sygnał sieci Ethernet i sygnał zasilania, a także automatycznie określa odpowiednie ustawienia obwodu elektrycznego odpowiadające połączeniom kablowym. Przestroga Aby doprowadzić zasilanie w technologii PoE linią zasilającą, należy użyć zasilacza 1500 (AIR-PWRINJ1500-2=). Opcja z połączeniem światłowodowym Ostrzeżenie Produkt laserowy klasy 1. Instrukcja 1008 Istnieje możliwość wyboru opcji z połączeniem światłowodowym wejściowym i wyjściowym. Dane są przesyłane i odbierane za pośrednictwem dwuwłóknowego kabla światłowodowego podłączonego do punktu dostępowego za pomocą modułów SFP: Modułu światłowodowego przekaźnika niewielkich rozmiarów SFP 100BASE-BX10-U o wzmocnionej konstrukcji Jednomodowego modułu SFP 1000BASELX o wzmocnionej konstrukcji Wielomodowego modułu SFP 1000BaseSX o wzmocnionej konstrukcji Uwaga Moduły SFP nie są urządzeniami wymiennymi podczas pracy (typu hot-swap). Punkt dostępowy jest wyposażony w jedno połączenie światłowodowe znajdujące się na spodzie jednostki (patrz Rysunek 1-1). Dane z urządzenia klienckiego są przesyłane do kontrolera sieci przez połączenie światłowodowe za pośrednictwem przełącznika z funkcją obsługi połączenia światłowodowego. Informacje dotyczące konfiguracji znajdują się w przewodniku konfiguracji kontrolera. 1-13

26 Przykłady instalacji sieci Rozdział 1 Omówienie Metalowa obudowa Punkt dostępowy jest wyposażony w metalową obudowę przeznaczoną do użytku zarówno wewnątrz pomieszczeń jak i na zewnątrz, w zakresie temperatury roboczej w zastosowaniach przemysłowych od -40 do 55 C. Punkt dostępowy spełnia wymagania norm NEMA 4 i IP67. Dodatkowe opcje sprzętowe W zależności od zamówienia w zestawie mogą znaleźć się następujące akcesoria: Dookólna antena dwupasmowa (AIR-ANT2547V-N-HZ lub AIR-ANT2450V-N-HZ) Zestaw do montażu na słupie (AIR-ACCPMK1550=) Bandownica do montażu zestawu na słupie (AIR-BAND-INS-TL=) Zasilacz sieciowy (AIR-PWRINJ1500-2=) Jednomodowy moduł SFP 1000BASELX o wzmocnionej konstrukcji (GLC-LX-SM-RGD=) Wielomodowy moduł SFP 1000BASESX o wzmocnionej konstrukcji (GLC-SX-MM-RGD=) Przykłady instalacji sieci Punkt dostępowy jest urządzeniem bezprzewodowym zapewniającym bezprzewodowy dostęp urządzeń klienckich oraz mostowanie punkt-punkt, punkt-wielopunkt i bezprzewodową łączność sieci kratowej punkt-wielopunkt. Punkt dostępowy obsługuje opcję typu backhaul 5 GHz podczas łączności z innym punktem dostępowym, umożliwiając nawiązanie komunikacji z siecią przewodową lub pełnienie funkcji wtórnika innego punktu dostępowego. Odgrywa dwie podstawowe role w łączności radiowej: punktu dostępu RAP lub punktu dostępu MAP, będącego głównym przeznaczeniem wszystkich punktów dostępowych. W przypadku nawiązania komunikacji między punktem dostępowym a kontrolerem za pośrednictwem połączenia światłowodowego, przewodowego sieci Ethernet lub kablowego (poprzez przełącznik) moduł radiowy pełni funkcję punktu dostępu RAP. Aby punkt mógł pełnić funkcję punktu dostępu RAP, powinien zostać skonfigurowany jako punkt dostępu RAP. Punkt dostępu RAP to nadrzędny węzeł każdego mostowania lub sieci kratowej. Kontroler może obsługiwać jeden lub większą liczbę punktów, z których każdy pełni funkcję nadrzędną wobec tych samych lub różnych sieci. W tej samej sieci kratowej może znajdować się więcej niż jeden punkt dostępu RAP, zapewniając nadmiarowość. Punkty dostępu RAP i MAP obsługują bezprzewodowe urządzenia klienckie w pasmach częstotliwości 2, 4 GHz i 5 GHz. Dostęp urządzenia klienckiego w paśmie 5 GHz nosi nazwę uniwersalnego dostępu urządzenia klienckiego. W przypadku braku komunikacji między punktem dostępowym a kontrolerem za pośrednictwem połączenia światłowodowego, przewodowego sieci Ethernet lub kablowego moduł radiowy pełni funkcję punktu dostępu MAP. Punkty dostępu MAP łączą się bezprzewodowo (za pośrednictwem interfejsu typu backhaul) z innymi punktami MAP i ostatecznie z punktem RAP obsługującym połączenie sieci Ethernet lub połączeniem kablowym poprzez przełącznik kontrolera. Punkty dostępu MAP mogą być wyposażone w połączenie przewodowe sieci Ethernet do lokalnej sieci LAN i pełnić funkcję końcowego punktu mostu sieci LAN (korzystając z połączenia mostowego punkt-punkt lub punkt-wielopunkt). 1-14

27 Rozdział 1 Omówienie Przykłady instalacji sieci Łączność bezprzewodowa typu backhaul Punkt dostępowy zapewnia łączność bezprzewodową typu backhaul dzięki modułowi radiowemu działającemu w paśmie o częstotliwości 5 GHz, co umożliwia pełnienie funkcji mostu do innego punktu dostępowego i tym samym osiągnięcie połączenia sieci przewodowej kontrolera (patrz Rysunek 1-9). W takiej konfiguracji punkt dostępowy podłączony do sieci przewodowej pełni funkcję punktu dostępu RAP. Zdalny punkt dostępowy pełni funkcję punktu dostępu MAP i przekazuje bezprzewodowy ruch sieciowy urządzenia klienckiego do punktu RAP w celu przekazania go do sieci przewodowej. Protokół kontroli ruchu CAPWAP (Control And Provisioning of Wireless Access Points) jest również przekazywany przez to mostowane łącze. Rysunek 1-9 Przykład komunikacji typu backhaul przez punkt dostępowy KRATA (5 GHz) KRATA (2, 4 GHz oraz 5 GHz) Mostowanie punkt-punkt Punkt dostępowy może służyć jako przedłużenie sieci zdalnej dzięki zastosowaniu modułu radiowego typu backhaul o częstotliwości 5 GHz, aby połączyć mostem dwa segmenty sieciowe, co przedstawia Rysunek Aby funkcja mostowania sieci Ethernet była obsługiwana, należy aktywować mostowanie kontrolera dla każdego punktu dostępowego. Funkcja ta jest domyślnie wyłączona w przypadku wszystkich punktów dostępowych. Obsługiwany jest bezprzewodowy dostęp urządzenia klienckiego. Jednak w przypadku mostowania między wysokimi budynkami obszar zasięgu łączności bezprzewodowej o częstotliwości 2, 4 GHz może być ograniczony i tym samym nieodpowiedni dla bezpośredniego bezprzewodowego dostępu urządzenia klienckiego. Rysunek 1-10 Przykład mostowania typu punkt-punkt KRATA (5 GHz) KRATA

28 Przykłady instalacji sieci Rozdział 1 Omówienie Mostowanie typu punkt-wielopunkt Punkt dostępowy może pełnić funkcję punktu dostępu RAP łączącego wiele zdalnych punktów dostępu MAP z ich powiązanymi sieciami przewodowymi. Aby funkcja mostowania sieci Ethernet była obsługiwana, należy aktywować mostowanie kontrolera dla każdego punktu dostępowego. Można uzyskać dostęp urządzenia klienckiego przez łącze mostowania. Rysunek 1-11 przedstawia przykład mostowania typu punkt-wielopunkt. Rysunek 1-11 Przykład mostowania do wielu punktów KRATA (5 GHz) KRATA (5 GHz) KRATA

29 Rozdział 1 Omówienie Przykłady instalacji sieci Sieć kratowa punkt-wielopunkt Punkt dostępowy jest zwykle rozmieszczony w konfiguracji sieci kratowej. W typowej strukturze sieci kratowej jeden lub większa liczba punktów dostępu RAP łączy się przewodowo z kontrolerem za pośrednictwem przełącznika. Inne punkty dostępu MAP bez połączeń z siecią przewodową w optymalny sposób łączą się z punktem dostępu RAP połączonym z siecią przewodową, korzystając z funkcji backhaul. Połączenia między punktami dostępowymi w sieci kratowej noszą nazwę połączeń typu backhaul. Protokół AWPP (Adaptive Wireless Path Protocol) zapewnia inteligentne trasowanie bezprzewodowe. Umożliwia to każdemu punktowi dostępu MAP identyfikację urządzeń sąsiadujących oraz inteligentny wybór optymalnej ścieżki do punktu dostępu RAP z połączeniem sieci przewodowej dzięki obliczeniu obciążenia każdej ścieżki pod względem siły sygnału oraz liczby pętli na ścieżce dostępu do kontrolera, dając przy tym pierwszeństwo mocy sygnału moc sygnału określa prędkość danych dostępną dla ruchu. Rysunek 1-12 przedstawia typową konfigurację sieci kratowej z punktami dostępu MAP i RAP. Rysunek 1-12 Typowa konfiguracja sieci kratowej z punktami dostępowymi Cisco 1552S z czujnikami WLC RAP Sieć MAP 1 MAP 2 MAP 3 NCS WDM MAP 4 MAP 5 MAP 6 Łącze sieciowe Wi-Fi Łącze sieciowe Wi-Fi MAP 7 MAP 8 MAP Cisco 1552S to uniwersalna i wielofunkcyjna zewnętrzna sieć kratowa bezprzewodowa obsługująca urządzenia i aplikacje WI-FI, jak również bezprzewodowe połączenia przychodzące i wychodzące oraz urządzenia uruchamiające z protokołem ISA100. 11a. Wraz z solidną i niezawodną zewnętrzną siecią kratową WI-FI firmy Cisco tworzona jest równoległa bezprzewodowa sieć automatyzacji w aplikacjach przemysłowych obsługująca czujniki pola i urządzenia uruchamiające z protokołem ISA100. W pierwszej kolejności bezprzewodowy router Honeywell One sieci szkieletowej BBR znajdujący się w modelu 1552S zarządza ruchem bezprzewodowym w aplikacjach przemysłowych (ISA100. 11a). Router sieci szkieletowej zarządza danymi z sieci bezprzewodowej w aplikacjach przemysłowych i gromadzi je, a następnie przesyła do bezprzewodowej sieci kratowej szkieletowej firmy Cisco. Bezprzewodowa sieć kratowa firmy Cisco przenosi ruch w sieci bezprzewodowej 1-17

30 Przykłady instalacji sieci Rozdział 1 Omówienie z najwyższym priorytetem (lub QoS) w aplikacjach przemysłowych z minimalnym opóźnieniem i największą niezawodnością oraz wyznacza trasę do bezprzewodowego urządzenia zarządzającego będącego częścią rozwiązania infrastruktury bezprzewodowej Honeywell One. Instrukcje dotyczące instalacji, konfiguracji, najlepszych praktyk i rozwiązywania problemów znajdują się w dokumentacji firmy Cisco na stronie Szczegółowe informacje na temat bezprzewodowego rozwiązania przemysłowego Honeywell One znajdują się w dokumentacji na stroniewww. honeywell. com. Proces aktywacji routera sieci szkieletowej Honeywell W poniższych etapach przedstawiono tylko ideę procesu i przepływu. Informacje dotyczące konfiguracji znajdują się w szczegółowej dokumentacji firmy Honeywell. Krok 1 Krok 2 Krok 3 Krok 4 Krok 5 Krok 6 W procesie założono, że zainstalowano wcześniej bezprzewodowe rozwiązanie Honeywell One. Obejmuje ono, ale i nie ogranicza się do menadżera Honeywell WDM oraz czujników Honeywell lub innych zgodnych z normą ISA100. Menedżer Honeywell WDM należy skonfigurować zgodnie z dokumentacją firmy Honeywell. Po ukończeniu konfiguracji menedżera WDM i innych elementów infrastruktury zgodnie z dokumentacją firmy Honeywell należy aktywować urządzenie udostępniające Honeywell w menadżerze WDM, podłączając je do portu USB zgodnie z dokumentacją. Za pomocą menedżera WDM należy wprowadzić klucze i pobrać/wysłać je do urządzenia podręcznego. Następnie należy włączyć aplikację udostępniającą na urządzeniu podręcznym. Urządzenie podręczne należy skierować w stronę punktu AP Wrigley/czujnika podczerwieni urządzenia Wrigley i nacisnąć przycisk aktywacji aplikacji udostępniającej Honeywell. Urządzenie podręczne prześle/przeniesie klucze do routera Honeywell BBR i przybierze odpowiedni status, jeśli zostanie aktywowane. Przeprowadzenia tego samego procesu wymagają aktywacja i włączenie czujników do bezprzewodowej sieci czujników w aplikacjach przemysłowych. Wszystkie urządzenia można konfigurować i monitorować w menadżerze Honeywell WDM od momentu, gdy staną się częścią sieci bezprzewodowej. Operacje sieciowe w warstwie 3 Punkty dostępowe obsługują operacje sieciowe w warstwie 3. Punkty dostępowe i kontrolery w konfiguracji warstwy 3 używają adresów IP i pakietów UDP, które można trasować poprzez rozległe sieci. Działanie w warstwie 3 jest skalowalne i zalecane przez firmę Cisco. Rysunek 1-13 przedstawia schemat typowej konfiguracji sieci bezprzewodowej w warstwie 3 obejmującej punkty dostępowe i kontrolery. Rysunek 1-13 Przykład typowej konfiguracji sieci w warstwie 3 z punktem dostępowym KRATA KRATA KRATA KRATA

TytułOpisData wydania
(Wersja)		Plik
(Rozmiar)

Podręcznik szybkiej obsługi

Zawiera informacje o instalowaniu produktu.

03/09/2008
(0)		Pobierz
(1. 87MB)

Podręcznik instalacyjny dla systemu Windows 7

Aby skonfigurować urządzenie i zainstalować sterowniki postępuj według instrukcji zawartych w Podręczniku szybkiej obsługi.

03/11/2009
(0)		Pobierz
(0. 57MB)

Pobierz i zobacz dokument w formacie PDF. Dokumenty w formacie PDF wymagają instalacji programu Adobe ® Acrobat Reader DC®. Jeśli nie masz programu Adobe ® Acrobat ®, kliknij przycisk "Adobe ® Acrobat Reader DC®", aby pobrać oprogramowanie.

CISCO ASA obok routerów i przełączników jest kolejnym urządzeniem sieciowym, którego głównym zadaniem jest ochrona naszej sieci przed intruzami i nieautoryzowanym dostępem. Ochrona ta polega na blokowaniu niedozwolonego ruchu sieciowego. Urządzenie ASA w kontrolowanej przez nas sieci pełni rolę firewalla. W artykule tym zajmiemy się podstawową konfiguracją urządzenia CISCO ASA oraz jego implementacją w sieci.

Wiemy już, że głównym zadaniem urządzenia jest prowadzenie polityki bezpieczeństwa polegającej na filtrowaniu pakietów tak by sieć była zabezpieczona ale i by w sposób bezpieczny był zapewniony do niej dostęp. Ochrona naszej sieci jest realizowana z wykorzystaniem następujących mechanizmów:

  • Filtrowanie pakietów realizowane z wykorzystaniem listy dostępu ACL: CISCO ASA obsługuje zarówno standardowe, jak i rozszerzone listy dostępu. Różnica pomiędzy listami dostępu tymi konfigurowanymi na routerze a na ASA jest taka, że w przypadku definicji listy ACL na firewallu używamy maski rzeczywistej a nie wildcard mask.
  • Filtrowanie stanowe: przez urządzenie ASA cały ruch sieciowy traktowany jest jako całość co oznacza, że decyzja o przepuszczeniu bądź zablokowaniu danego pakietu jest podejmowana w oparciu o analizę pakietów tworzących połączenie. Mówiąc trochę inaczej, firewall „wie”, czy otrzymany pakiet jest częścią aktualnie realizowanego połączenia czy może jest całkowicie odrębnym i nieoczekiwanym pakietem. Dla użytkownika oznacza to, że pomimo domyślnie działającego blokowania przesyłania informacji z portu o niższej wartości security-level do portu bardziej zaufanego (wyższy poziom ustawienia security-level) w sytuacji w której ruch zostaje zainicjonowany z wewnątrz i oczekujemy danych zwrotnych to dane te nie zostaną przez firewall zablokowane.

Prześledźmy przykład w którym host znajdujący się wewnątrz sieci wysyła pakiet do serwera WWW. Adres źródłowy hosta to 10. 0. 10, zaś port źródłowy TCP to 5555. Docelowym adresem serwera WWW jest adres IP 100. 120. 56. 14, połączenie oczywiście jest ustanawiane z domyślnym portem TCP 80. Firewall tak ustanowioną sesję zapamięta czego efektem będzie oczekiwanie na ruch zwrotny. Gdy odpowiedź od serwera WWW nadejdzie (adres IP 100. 14, port źródłowy 80) i będzie kierowana do hosta (adres IP 10. 10, port docelowy 5555) zostanie ona przepuszczona.

  • Wykorzystanie mechanizmu AAA: obsługiwane są usługi AAA – uwierzytelniania, autoryzacji i rozliczania. Mechanizm ten może być zaimplementowany lokalnie bądź wykorzystywać do działania serwer ACS (Access Control Server) lub RADIUS.
  • DHCP: firewall może pełnić funkcję serwera bądź klienta usługi DHCP – może dostarczać konfigurację sieciową hostom po stronie sieci LAN (pula adresów IP zależna od posiadanej licencji) a jednocześnie sam uzyskiwać odpowiednie adresy IP od naszego ISP.
  • NAT: obsługa NAT (NAT statyczny i dynamiczny) oraz PAT. Urządzenie posiada możliwość definicji wyjątku NAT określającego reguły co do ruchu sieciowego niepodlegającego translacji (wykorzystywane w przypadku użycia tuneli VPN).
  • Routing: ASA obsługuje takie protokoły routingu dynamicznego jak: RIP (ang. Routing Information Protocol), EIGRP (ang. Enhanced Interior Gateway Routing Protocol) oraz OSPF (Open Shortest Path First). Istnieje również możliwość definicji tras statycznych.
  • Grupy obiektów: których zadaniem jest uproszczenie konfiguracji urządzenia, zamiast np. definiować listę ACL do każdego z adresów IP podlegających jej działaniu można utworzyć grupę w skład, której będą wchodzić dane adresy IP a w składni polecenia listy ACL zamiast do adresów odwołać się do grupy. Tak utworzona lista ACL będzie stosowana do wszystkich adresów IP znajdujących się w grupie. Uzyskujemy przejrzystość konfiguracji oraz w przypadku zmiany zasięgu działania listy ACL (dodanie bądź usunięcie adresów IP) modyfikujemy elementy grupy a nie listę ACL (można ten mechanizm porównać z zasadami grup w Windows Server).
  • Implementacja w warstwie 3 lub warstwie 2: firewall może działać w warstwie 3 modelu ISO/OSI co oznacza, że do każdego z interfejsów zapory można przypisać adres IP pomiędzy, którymi jest prowadzony routing. W przypadku warstwy 2 interfejsy sieciowe traktowane są jako most – ruch sieciowy przechodzący pomiędzy interfejsami nadal podlega kontroli i zdefiniowanym regułom.
  • Obsługa tuneli VPN: – firewall może zostać skonfigurowany do obsługi tuneli VPN typu lokalizacja-lokalizacja (ang. Site-to-Site – gdy łączymy ze sobą dwie sieci, pomiędzy, którymi musi być zapewniona komunikacja) oraz tuneli VPN, których zadaniem jest zapewnienie łączności pracownikom z siecią np. przedsiębiorstwa (ang. Client-Site – tunele tego typu najczęściej są wykorzystywane przez klientów pracujących zdalnie ale muszących mieć dostęp do zasobów sieci firmowej).

Opisane usługi nie wyczerpują wszystkich możliwości urządzenia ale te bardziej złożone i wyrafinowane (np. filtrowanie ruch bootnet czy AMP – ochrona przed złośliwym oprogramowaniem) dostępne są dla urządzeń bardziej zaawansowanych.

Te możliwości urządzenia zaprezentowane powyżej będziemy wykorzystywać i ich działanie oraz sposób konfiguracji postaram się przedstawić.

Całość tego wpisu oprę na urządzeniu CISCO ASA 5505, które jest najmniej zaawansowanym sprzętem oferowanym przez CISCO w tej klasie produktów ale na tyle wystarczającym by wszystkie mechanizmy typowej zapory sieciowej omówić.

Zanim przejdziemy dalej przyjrzyjmy się urządzeniu. Omawiany model wyposażony jest w 256 MB pamięci DRAM (pamięć tą możemy zwiększyć o kolejne 256 MB) oraz 128 MB pamięci flash.

Na panelu przednim umieszczono szereg diod (poza złączem USB), których zadaniem jest informowanie Nas o stanie urządzenia i aktualnie włączonych funkcjach.

Dioda Power sygnalizuje Nam podłączenie urządzenia do zasilacza, firewall jest włączony.

Dioda Status, gdy pali się światłem stałym oznacza to, że nastąpił prawidłowy start urządzenia podczas, którego nie napotkano na żadne błędy (po włączeniu do zasilania dioda Status miga zielonym światłem powiadamiając Nas tym samym, że następuje proces ładowania poszczególnych komponentów systemu). Podczas napotkania na błąd, który uniemożliwia prawidłowy start systemu dioda zacznie mrugać pomarańczowym światłem.

Paląca się dioda Active oznacza aktywność urządzenia oraz jego prawidłową pracę.

Zainicjowanie tunelu VPN będzie sygnalizowane zapaleniem się diody VPN.

Dioda SSC świeci się tylko wtedy gdy do urządzenia CISCO ASA została podłączona dodatkowa karta SSC (ang. Secure Services Card). Zadaniem karty jest zapewnienie przyspieszenia pracy firewalla oraz umożliwienie realizowania połączeń VPN przez większą liczbę klientów. Kartę tą można traktować jako akcelerator.

Diody Link/Act zapalają się w momencie podpięcia przewodu do interfejsu, miganie diody oznacza prowadzoną transmisję danych. Maksymalna prędkość prowadzonej komunikacji sygnalizowana jest zapaleniem się diody 100 Mbps, niepaląca się dioda oznacza transmisję z prędkością 10 Mbps.

Łącze USB służy do podłączenia zewnętrznych nośników danych (dysk twardy, pendrive) celem np. aktualizacji oprogramowania. pl/uslugi-informatyczne/">

Panel przedni mamy z „głowy” przyjrzyjmy się tyłowi (idziemy od lewej).

Pierwsze złącze Power 48VDC służy do podłączenia zasilania.

Kolejne 8 łączy (od 0 do 7) to interfejsy sieciowe przy czym interfejsy oznaczone numerem 6 i 7 obsługują standard Power over Ethernet zapewniający zasilanie podłączonych do nich urządzeń (np. kamery IP, AP). Każdy z interfejsów zaopatrzony jest w dwie diody sygnalizujące stan interfejsu.

Interfejsy sieciowe w CISCO ASA 5505 mogą działać tylko w warstwie 2 co niesie za sobą niemożność skonfigurowania adresów IP bezpośrednio na każdym z interfejsów (w wyższych modelach urządzeń adres IP przypisujemy na danym interfejsie). Ominięciem tego problemu polega na utworzeniu sieci VLAN a następnie zdefiniowaniu jej adresu IP i przypisaniu określonego interfejsu do danej sieci VLAN.

Na tyle urządzenia zostały umiejscowione dwa dodatkowe złącza USB oraz port interfejsu konsolowego.

Celem zabezpieczenia urządzenia przed kradzieżą można użyć linki, którą umiejscawia się w złączu Kensington Lock.

Przycisk Reset służy do wyzerowania ustawień.

Po odkręceniu dwóch śrubek w wnętrzu firewalla możemy umieścić dodatkową kartę SSC.

Chwilę temu wspomniałem o parametrze security-level tak więc wypada temat rozwinąć gdyż mechanizm ten stanowi podstawę działania firewalla. Każdemu z interfejsów firewalla możemy przypisać wartość parametru security-level, możliwe do wykorzystania wartości mieszczą się w przedziale od 0 do 100. Poprzez definicję wartości określamy Nasz poziom zaufania do interfejsu. Zasada jest taka: im wyższa wartość tym bardziej ufamy sieci, która przez dany port firewalla jest osiągalna. Ponieważ sieci LAN są tymi sieciami nad którymi mamy pełną kontrolę to najczęściej interfejsowi podłączonemu z tego typu siecią przypisujemy wartość 100. Sieci WAN są poza naszą jurysdykcją dlatego też interfejs, który prowadzi do tej sieci ma przypisywaną wartość 0. Definicja poziomów zabezpieczeń niesie za sobą konsekwencje w sposobie przesyłania pakietów pomiędzy interfejsami, które mają przypisane różne wartości security-level. Obowiązuje zasada, że interfejsy z większą wartością poziomu bezpieczeństwa mogą komunikować się z sieciami o mniejszym poziomie zaufania. Sytuacja odwrotna czyli sieć z niższą wartością security-level nie ma dostępu do sieci znajdującej się za interfejsem dla którego ustaliliśmy większy poziom zaufania (no chyba, że lista ACL mówi inaczej). Podsumowując sieć LAN (secutity-level 100) wyśle swoje pakiety do sieci WAN (security-level 0) bez komplikacji zaś pakiety z sieci WAN do sieci LAN zostaną zablokowane.

Na poniższym schemacie został zaprezentowany sposób kontrolowania przepływu ruchu sieciowego (przedstawiony schemat sieci jest najczęściej implementowanym modelem, strzałkami został zaznaczony tylko ruch dozwolony w innych sytuacjach ruch jest blokowany). Sieć została podzielona na trzy strefy: Internet, DMZ oraz sieć LAN. W LAN-ie znajdują się chronione komputery tak by dostęp z poziomu Internetu i strefy DMZ był do nich zabroniony. Komunikacja z sieci Internet oraz DMZ z hostami w sieci LAN jest niemożliwa gdyż interfejs przez który dostępna jest sieć LAN ma zdefiniowany najwyższy możliwy poziom bezpieczeństwa. A jak już wiesz pakiety z interfejsów z niższym poziomem security-level kierowane do interfejsów bardziej zaufanych są odrzucane. Za to pakiety z sieci LAN mogą być swobodnie przekazane w kierunku Internetu oraz strefy DMZ. W strefie DMZ znajdują się komputery, które realizują usługi, które muszą być dostępne z poziomu Internetu (np. serwer WWW czy poczty elektronicznej). W domyślnej konfiguracji dostęp z Internetu do strefy DMZ jest niemożliwy ale poprzez utworzenie listy dostępu, możemy na dany typ ruchu sieciowego zezwolić. Tak więc jeśli w strefie DMZ znajduje się serwer WWW akceptowalnym ruchem sieciowym nie podlegającym blokowaniu będzie ten związany ze stronami internetowymi (ruch sieciowy innego typu nie spełni kryterium listy ACL więc zostanie przez firewall odrzucony).

Podstawowym celem tworzenia strefy DMZ jest zapewnienie ochrony sieci lokalnej w przypadku naruszenia bezpieczeństwa znajdujących się w niej serwerów. Jeśli atak na serwer znajdujący się w strefie DMZ powiedzie się i atakujący uzyska dostęp do tego segmentu sieci to dzięki zastosowaniu segmentacji sieci z różnymi poziomami zabezpieczeń nie uzyska on z poziomu tej strefy dostępu do sieci LAN.

Podczas podejmowania decyzji o zakupie urządzenia trzeba wziąć pod uwagę jeszcze jeden czynnik (ominięcie go może spowodować, że zakupione urządzenie nie będzie spełniać Naszych oczekiwań) a mianowicie sposób wyboru licencjonowania. Wybór odpowiedniej licencji ma wpływ na funkcjonalność urządzenia oraz na zakres jego działania.

Wybieramy pomiędzy dwiema licencjami:

  • Base License

Licencja ta pozwala na skonfigurowanie do 3 sieci VLAN, co umożliwia Nam podzielenie sieci na trzy odrębne strefy (wewnętrzna, zewnętrzna, DMZ). Niestety urządzenia pracujące na bazie tej licencji mają nałożone ograniczenie komunikacji między sieciami VLAN. Oznacza to, że strefa wewnętrzna VLAN może komunikować się z DMZ, ale już sytuacja odwrotna jest niedozwolona (DMZ nie może wysyłać ruchu do wewnętrznej sieci VLAN). Brak możliwości zestawienia łącza typu trunk oraz wprowadzenia redundancji urządzeń.

  • Security Plus License

Licencja ta znosi ograniczenia licencji podstawowej. Maksymalna ilość sieci VLAN jaką można utworzyć wynosi 20 i możliwe jest skonfigurowanie interfejsu do pracy w trybie trunk. Pełna komunikacja pomiędzy sieciami VLAN jest zapewniona. Możliwość wykorzystania nadmiarowości urządzeń.

Pełne porównanie możliwości każdej z licencji znajdziesz na stronie cisco.

Topologia sieci na której będziemy ćwiczyć konfigurację urządzenia CISCO ASA 5505 prezentuje się następująco (nie jest skomplikowana ale pozwoli Nam na poznanie i skonfigurowanie podstawowych funkcji urządzenia). pl/uslugi-informatyczne/cyber-security/wdrozenie-firewall/">Firewall CISCO ASA 5505 został fabrycznie skonfigurowany w taki sposób, by po wyjęciu urządzenia z pudełka było one od razu gotowe do pracy. Interfejs Ethernet 0/0 (sieć zewnętrzna, Internet) uzyskuje adres IP od naszego ISP (klient DHCP) a interfejsy wewnętrzne (Ethernet 0/1 – 0/7) dostarczają konfigurację sieciową podłączonym do nich hostom (serwer DHCP).

Opis konfiguracji urządzenia rozpoczniemy od wiersza linii poleceń. Dostęp do firewalla uzyskujemy po podłączeniu go z komputerem z wykorzystaniem portu Console.

Na naszym firewallu CISCO ASA rozpoczynamy od przejścia do trybu uprzywilejowanego, aby tryb ten uaktywnić wpisujemy dobrze Nam znane polecenie: enable (przy zapytaniu o hasło wybieramy Enter – hasło nie jest ustawione).

Pierwszą czynnością jaką możemy wykonać jest sprawdzenie wersji oprogramowania oraz wersji posiadanej licencji. Wszystkie informacje uzyskamy wydając polecenie: show version

W następnym kroku przechodzimy do trybu konfiguracji globalnej i na postawione pytanie dotyczące wysyłania anonimowych raportów odpowiadamy według własnego uznania.

Naszą konfigurację rozpoczniemy od zdefiniowania hasła dostępu do trybu uprzywilejowanego oraz założenia konta użytkownika.

1 – za pomocą polecenia: enable password <hasło> – ustalamy hasło dostępu do trybu enable,

2 – za pomocą polecenia: username <nazwa_konta> password <hasło> privilege <poziom> definiujemy konto użytkownika lokalnego. Poniżej zostało utworzone konto luk z hasłem cisco, użytkownika ma maksymalny poziom uprawnień

Stacja robocza jest do firewalla CISCO ASA podpięta do interfejsu e0/3 tak więc przejdźmy do ustawień portu. Konfigurację interfejsu tak jak w innych urządzeniach CISCO przeprowadzamy w trybie danego interfejsu aby tryb ten uaktywnić wydajemy polecenie: interface <nazwa_interfejsu>

Przypisanie portu do sieci VLAN realizujemy za pomocą komendy: switchport access vlan <numer_VLAN> – port został przypisany do sieci VLAN 1. Za pomocą polecenia: description <opis> możemy zdefiniować opcjonalny opis portu. Aby port uaktywnić wydajemy komendę: no shutdown

Wprowadzone ustawienia interfejsu możemy zweryfikować wydając polecenie: show interface <nazwa_interfejsu>

Wszystkie porty od e0/1 do e0/7 są przypisane do sieci VLAN 1. Sieć ta jest naszą siecią lokalną tak więc jest to sieć o największym zaufaniu. Dlatego też do sieci VLAN 1 został przypisany poziom security-level o wartości 100 Zdefiniowanie poziomu zaufania do sieci wykonujemy za pomocą polecenia: security-level <wartość> Polecenie wydajemy w trybie konfiguracji interfejsu VLAN.

Stan przypisania portów do określonego VLAN-u możemy sprawdzić wydając polecenie: show switch vlan zaś informacje statystyczne poznamy za pomocą komendy: show interfave vlan <numer>

Oprogramowanie Cisco ASA pozwala Nam na zdefiniowanie nazwy interfejsu, alias ten może być użyty podczas dalszej konfiguracji urządzenia a dodatkowo nazwa ta lepiej definiuje przeznaczenie interfejsu. Poniżej interfejsowi VLAN 1 został przypisana nazwa LAN. Nazwę definiujemy w trybie konfiguracji interfejsu za pomocą polecenia: nameif <nazwa> Domyślnie sieć VLAN 1 jest identyfikowana jako inside zaś sieć VLAN 2 jako outside.

Jak można zauważyć poniżej zdefiniowana nazwa interfejsu VLAN znajduje odzwierciedlenie w wydanej komendzie: show switch vlan

Rezygnujemy z domyślnej konfiguracji IP i adres interfejsu zostaje zmieniony z adresu 192. 168. 1. 1 na 10. 1 Po zmianie adresu IP zostaje wyświetlony komunikat o jego niezgodności z zdefiniowaną pulą adresów serwera DHCP. Polecenie wydajemy w trybie konfiguracji interfejsu VLAN a składnia polecenia jest taka sama jak na innych urządzeniach CISCO: ip address <adres_IP> <maska_sieci>

Zmiana adresu IP pociągnęła za sobą wyłączenie serwera DHCP dlatego też aby nowi klienci mogli uzyskać prawidłowe parametry sieci musimy skonfigurować na nowo ustawienia serwera DHCP.

Pulę adresów DHCP definiujemy za pomocą komendy: dhcpd address <początkowy_adres_IP> <końcowy_adres_IP> <nazwa_sieci> Ilość adresów w puli zależna jest od licencji urządzenia w wersji podstawowej maksymalna liczba dostępnych adresów wynosi 32 dlatego też zakres puli został ustawiony od adresu IP 10. 10 do adresu 10. 41 Definicja większego zakresu zakończy się jej ograniczeniem do ilości określonej przez posiadaną licencję.

Kolejne opcje dotyczą:

1 – czas dzierżawy adresu IP – dhcpd lease <czas> (12 godzin),

2 – adres serwera DHCP – dhcpd dns <adres_IP>,

3 – adres bramy – dhcpd option 3 ip <adres_IP>,

4 – uaktywnienie serwera w kontekście danej sieci – dhcpd enable <nazwa_sieci>

Na firewallu CISCO ASA Serwer DHCP został uruchomiony sprawdźmy zatem czy adresy IP są poprawnie przypisywane. Jak widać poniżej stacji klienckiej została dostarczona konfiguracja sieci. Host otrzymał pierwszy adres IP z zdefiniowanej puli, adres bramy oraz serwera DNS są tożsame z tymi zdefiniowanymi podczas konfiguracji serwera DHCP.

Stan serwera DHCP możemy sprawdzić za pomocą komend:

1 – show dhcpd binding – ilość przypisanych adresów IP wraz z informacją o adresie MAC klienta i czasem wygaśnięcia dzierżawy adresu,

2 – show dhcpd state – ogólny stan usługi serwera DHCP – od strony sieci LAN urządzenie jest serwerem zaś od strony sieci zewnętrznej klientem,

3 – show dhcpd statistics – statystyka serwera DHCP – ilość wysłanych/odebranych pakietów z rozbiciem na ich określony typ.

I tu również jest wszystko w porządku.

Serwer DHCP działa, przechodzimy dalej i kolejnym krokiem będzie konfiguracja dostępu z wykorzystaniem serwera WWW.

Aby móc zarządzać routerem CISCO ASA z wykorzystaniem oprogramowania CISCO ASDM (ang. Adaptive Security Device Manager) musimy skonfigurować dostęp do urządzenia z poziomu przeglądarki.

Aby uruchomić serwer http należy w trybie konfiguracji globalnej wydać polecenie: http server enable a następnie określić sieć (można również określić hosty), z poziomu, której dostęp do urządzenia z wykorzystaniem przeglądarki będzie możliwy. Definicję uprawnionych klientów przeprowadzamy za pomocą komendy: http <adres_sieci> <maska_sieci> <nazwa_sieci> W przykładzie poniżej każdy host należący do sieci 10. 0/24 będzie mógł uzyskać dostęp do urządzenia.

Kompleksowe usługi informatyczne dla firm. Oferujemy: Outsourcing IT, certyfikaty SSL, szkolenia informatyczne oraz audyty bezpieczeństwa.

Zadzwoń i dowiedz się więcej, tel. 68 411 40 00.

Po przeprowadzonej konfiguracji sprawdzamy jej efekt – po uruchomieniu przeglądarki w pasku adresu wpisujemy adres IP firewalla – https://10. 1 (nie zapomnij dodać https). Łączność zostaje nawiązana lecz przeglądarka zgłasza błąd dotyczący certyfikatu – jest to jak najbardziej prawidłowe zachowanie gdyż przeglądarka tego typu certyfikaty zapisane na urządzeniach z reguły traktuje jako nieprawidłowe. Aby nawiązać połączenie (w przypadku Firefox) wybieramy Zaawansowane a następnie Dodaj wyjątek.

Po kliknięciu w nowo otwartym oknie potwierdzamy wyjątek bezpieczeństwa.

Po potwierdzeniu, że na pewno ufamy certyfikatowi zostaje nawiązane połączenie. Na wyświetlonej stronie celem instalacji narzędzia wybieramy Install ASDM Launcher. Po wyborze opcji następuje instalacja aplikacji, która przebiega w sposób standardowy. Ważne jest aby mieć zainstalowane oprogramowanie JAVA, gdyż to na nim opiera się funkcjonowanie narzędzia ASDM.

Aplikacja ASDM została zainstalowana prawidłowo.

Sprawdźmy zatem czy uda się Nam narzędzie uruchomić i nawiązać prawidłowe połączenie. Po wyborze ikony programu musimy zdefiniować adres IP urządzenia oraz podać dane uwierzytelniające (korzystamy z konta użytkownika luk utworzonego w CLI). Wybieramy OK.

Po podaniu prawidłowych danych następuje połączenie z firewallem.

Weryfikację połączenia przy wykorzystaniu narzędzia ASDM możemy sprawdzić za pomocą polecenia: show asdm sessions zaś wersję, która zostanie zainstalowana po wyborze przycisku Install ASDM Launcher poznamy wydając komendę: show asdm image

Narzędzie ASDM wykorzystamy jeszcze w dalszej części opisu a My powróćmy do wiersza poleceń i przeprowadźmy dalszą konfigurację urządzenia z wykorzystaniem interfejsu tekstowego.

Zanim przejdziemy do konfiguracji sesji zdalnej Telnet oraz SSH jeszcze dwa proste ustawienia.

Zmianę nazwy urządzenia przeprowadzamy w trybie konfiguracji globalnej za pomocą komendy: hostname <nowa_nazwa> Domyślna nazwa ciscoasa została zmieniona na ASA.

Warto jest również ustawić bieżący czas gdyż w przypadku włączonego raportowania znacznie ułatwia to orientowanie się w zapisanych logach. Czas ustawiamy za pomocą polecenia: clock set <00:00:00> <dzień_miesiąc_rok> zaś efekt wydania polecenia sprawdzimy za pomocą komendy: show clock

Część konfiguracji routera CISCO ASA mamy już za sobą. Przechodzimy do konfiguracji zestawienia połączenia zdalnego. Rozpoczniemy od połączenia Telnet. Już wiele razy zaznaczałem, iż nie jest to do końca dobry pomysł gdyż wszystkie poświadczenia wprowadzane podczas tego typu sesji są przesyłane jawnie, co w przypadku sytuacji przechwycenia pakietów powoduje przez atakującego przechwycenie danych uwierzytelniających. Dlatego też warto jak już musimy korzystać z tego typu rozwiązania zdefiniować adresy hostów z których takie połączenie może zostać wykonane (wprawdzie nie uchroni Nas to przed utratą hasła w przypadku prowadzenia podsłuchu przez atakującego ale uniemożliwi wykonanie procesu logowania z dowolnej maszyny dostępnej w sieci). I tak też właśnie uczynimy.

Aby skonfigurować sesję Telnet rozpoczynamy od zdefiniowania hasła, które zostanie użyte podczas jej nawiązywania. Hasło określamy za pomocą polecenia: password <hasło> W następnym kroku za pomocą komendy: telnet <adres_ip> <maska> <nazwa_sieci> konfigurujemy adresy IP hostów, które to połączenie będą mogły zestawić. W przykładzie poniżej nawiązać połączenie może tylko host 10. 10 gdyż użyta maska 255. 255. 255 ma dopasowanie tylko do tego adresu. Dodatkowo czas automatycznego rozłączenia sesji (gdy nic się nie dzieje) za pomocą polecenia: timeout <czas> został ustawiony na 3 minuty (domyślnie 5 minut).

Ustawienia Telnet można zweryfikować za pomocą komendy: show running telnet

Sesja Telnet została skonfigurowana czas przetestować ją w działaniu. Połączenie zostaje nawiązane z hosta 10. 10 jak widać poniżej wszystko przebiegło pomyślnie. Stan aktualnych połączeń możemy zweryfikować po wydaniu komendy: who

Aby sesję przerwać posługujemy się poleceniem: kill <numer_sesji> Poniżej administrator zamyka sesję o identyfikatorze 0. Po wydaniu komendy połączenie z hostem zostaje natychmiast przerwane.

Podczas nawiązywania połączenia celem autoryzacji należało podać hasło zdefiniowane za pomocą komendy: password <hasło> aby wymusić logowanie z uwzględnieniem lokalnej bazy użytkowników należy wydać dodatkowe polecenie: aaa authentication telnet console LOCAL Od tej pory podczas nawiązywania połączenia będziemy musieli podać nazwę użytkownika oraz hasło. Niżej zamieszczono przykład w którym do zalogowania wykorzystano wcześniej zdefiniowane konto użytkownika luk.

Połączenie Telnet działa przechodzimy do SSH.

Do zestawienia połączenia również wykorzystamy konto użytkownika luk. Aby sprawdzić listę utworzonych kont możemy posłużyć się komendą: show aaa local user Aby móc przy pomocy tego konta uzyskać zdalny dostęp do urządzenia wydajemy polecenie nakazujące weryfikację połączenia z wykorzystaniem lokalnej bazy użytkowników (tak samo jak w przypadku telnet): aaa authentication ssh console LOCAL

Wymuszenie logowania za pomocą kont zapisanych w bazie dla połączenia konsolowego wykonamy po wydaniu komendy: aaa authentication serial console LOCAL

By połączenie SSH doszło do skutku musimy wygenerować klucz, który zostanie użyty do zabezpieczenia naszego połączenia – klucz generujemy wydając polecenie: crypto key generate rsa modulus <długość_klucza> W przypadku istnienia takiego klucza musimy potwierdzić jego zamianę.

Ostatnią czynnością jest określenie wersji protokołu SSH (ssh ver <wersja_protokołu>) i określenie adresów hostów, które połączenie mogą nawiązać (ssh <adres_IP> <maska_sieci> <nazwa_sieci>).

Poprawność wszystkich ustawień zweryfikujemy wydając instrukcje: show ssh

Konfiguracja dobiegła końca ostatni test to próba nawiązania połączenia. Do zestawienia sesji zostaje użyta aplikacja PuTTY (podczas pierwszego połączenia musimy zatwierdzić odcisk klucza – wybieramy TAK).

Aby kontynuować należy podać poświadczenia użytkownika luk. Weryfikację sesji dokonamy za pomocą komendy: show ssh session (komenda: who w przypadku SSH nie działa).

Po stronie sieci LAN podstawową konfigurację mamy wykonaną czas by umożliwić naszej sieci dostęp do Internetu. Łączność z siecią Internet zapewniona jest dzięki interfejsowi e0/0 tak więc nasze ustawienia rozpoczniemy od tego interfejsu.

Po przejściu do trybu konfiguracji interfejsu, port e0/0 przypisujemy do VLAN-u 2 – switchport access vlan <numer>. Aby interfejs uaktywnić należy wydać polecenie: no shutdown

Ponieważ interfejs routera CISCO ASA e0/0 został włączony do sieci VLAN 2 kolejne czynności przeprowadzimy w trybie konfiguracji interfejsu VLAN 2. Ponieważ adres IP interfejsowi ma zostać przydzielony od strony ISP, dlatego też port musi pracować w trybie klienta ip address dhcp Konfigurowany port znajduje się poza naszą „strefą wpływów” dlatego też za pomocą komendy: security-level <wartość> zostaje zdefiniowany najniższy możliwy poziom zaufania, dodatkowo alias interfejsu przyjmuje nazwę: INTERNET

Weryfikację wprowadzonych ustawień przeprowadzamy z wykorzystaniem instrukcji: show interface vlan 2 Interfejsowi został przypisany adres IP 192. 102

Łączność z routerem jest zapewniona. Wydanie polecenia ping kończy się sukcesem.

Przypisane interfejsom adresy IP dodatkowo sprawdzimy przy wykorzystaniu komendy: show ip

Kolejnym krokiem jest zapewnienie dostępu do Internetu. W pierwszej kolejności rozpoczniemy od samego urządzenia. Jak można zauważyć po analizie zrzutu poniżej firewall nie może komunikować się z siecią zewnętrzną gdyż nie zna „drogi” która posłuży mu do przesłania pakietów. Test ping z wykorzystaniem adresów IP 8. 8. 8 oraz 4. 2. 2 kończy się niepowodzeniem (No route to host …). Zmieńmy to i wskażmy urządzeniu trasę, którą pakiety będą mogły podróżować, tak by osiągnąć cel.

Ponieważ urządzenie odpowiedzialne jest za routowanie pakietów dlatego po wydaniu polecenia: show route poznamy adresy IP sieci do których może być prowadzona komunikacja. Do firewalla bezpośrednio zostały podłączone dwie sieci 10. 0/24 (LAN) oraz 192. 0/24 (INTERNET)

Aby pakiety mogły być swobodnie przesyłane od strony sieci LAN w kierunku Internetu musimy zdefiniować statyczną trasę zerową, która swym działaniem obejmie wszystkie możliwe adresy IP. Trasę taką wprowadzimy do tablicy routingu za pomocą polecenia: route <nazwa_interfejsu_zewnętrznego> <adres_IP> <maska> <adres_następnego skoku> Po wydaniu komendy wszystkie pakiety, które nie zostaną dopasowane do adresów sieci innych tras zostaną przesłane z wykorzystaniem trasy zerowej w kierunku adresu następnego skoku (w Naszym przypadku jest to adres IP 192. 1). pl/wp-content/uploads/definicja-statyczna-trasy-zerowej. jpg" alt="definicja statyczna trasy zerowej" width="680" height="71" srcset="https://www. pl/wp-content/uploads/definicja-statyczna-trasy-zerowej-300x31. pl/wp-content/uploads/definicja-statyczna-trasy-zerowej-64x7. jpg 64w" sizes="(max-width: 680px) 100vw, 680px"/>

Weryfikację dodania trasy wykonamy wydając powtórnie polecenie: show route

Urządzenie ASA uzyskało dostęp do sieci Internet. Jak widać poniżej ponowny test ping w połączeniu z adresami IP 4. 2 oraz 8. 8 tym razem kończy się sukcesem. pl/wp-content/uploads/test-ping. jpg" alt="test ping" width="680" height="200" srcset="https://www. pl/wp-content/uploads/test-ping-300x88. pl/wp-content/uploads/test-ping-64x19. jpg 64w" sizes="(max-width: 680px) 100vw, 680px"/>

Aby hosty znajdujące się w sieci LAN mogły nawiązać połączenie z siecią Internet musimy dodatkowo skonfigurować NAT. Ponieważ najczęściej wykorzystywaną metodą translacji adresów jest PAT (ang. Port Address Translation – jeden publiczny adres IP pod którym są dostępne pozostałe hosty) tak więc tę metodę omówimy.

Konfigurację PAT rozpoczynamy od definicji obiektu: object network (obiekt jest to zbiór ustawień) za pomocą polecenia: object network <nazwa_obiektu> (polecenie wydajemy w trybie konfiguracji globalnej) – punkt 1. Po wydaniu polecenia przechodzimy do przypisania ustawień, które dany obiekt będą charakteryzować. Za pomocą polecenia subnet <adres_sieci> <maska> (punkt 2) określamy sieć co do której będą stosowane reguły translacji. Ostatnim krokiem jest wskazanie nazw interfejsów, które w translacji będą uczestniczyć. Czynność tą wykonamy za pomocą komendy: nat (<nazwa_interfejs_wewnętrzny>, <nazwa_interfejs_zewnętrzny>) dynamic interface (punkt 3). Translacja adresów z wykorzystaniem PAT została skonfigurowana.

Konfigurację NAT zweryfikujemy wydając polecenie: show nat

Zaś dokładne informacje dotyczące działania mechanizmu NAT możemy uzyskać wyświetlając za pomocą polecenia: show xlate aktualną tablicę translacji.

Po wykonaniu tych wszystkich czynności hosty znajdujące się w sieci wewnętrznej powinny uzyskać dostęp do Internetu (nie weryfikuj dostępu do sieci Internet z wykorzystaniem ping gdyż test ten zakończy się niepowodzeniem – wykorzystaj przeglądarkę).

Te podstawowe, przedstawione przeze mnie polecenia pozwolą Ci czytelniku na skonfigurowanie z powodzeniem urządzenia CISCO ASA. Na tym etapie kończymy korzystanie z trybu wiersza poleceń.

Omówienie trybu graficznego w CISCO ASA

Kilka linijek wyżej zainstalowaliśmy oprogramowanie ASDM, które umożliwia nam konfigurację urządzenia z wykorzystaniem GUI. Prześledźmy zatem jak skonfigurować Cisco ASA z wykorzystaniem tego narzędzia. Lecz zanim przejdziemy do właściwych ustawień, zatrzymajmy się chwilkę by omówić interfejs programu.

Po uruchomieniu programu i poprawnym zalogowaniu się do urządzenia zostanie wyświetlone główne okno aplikacji, które podzielone jest na dwie zakładki: Device Dashboard oraz Firewall Dashboard.

Na pierwszej zakładce zostały zaprezentowane takie informacje jak:

  • Device Information – podstawowe dane o urządzeniu – nazwa, wersje oprogramowania (firmware urządzenia, ASDM), czas uruchomienia, tryb pracy czy ilości pamięci. Na zakładce License znajdziesz informacje o typie posiadanej licencji,
  • VPN Session – informacje o nawiązanych sesjach VPN,
  • System Resources Status – wykresy ukazujące stopień wykorzystania komponentów urządzenia (CPU, pamięć),
  • Interface Status – aktywne interfejsy sieciowe – ich stan, przypisane adresy IP i ilość przesyłanych informacji,
  • Trafic Status – statystyka ruchu sieciowego,
  • Latest ASDM Sysylog Messages – komunikaty syslog (stan urządzenia) – okno aktywne po wybraniu opcji Enable Logging.

Kompleksowe usługi informatyczne dla firm.

Zakładka Firewall Dashboard dostarczy Nam informacje o:

Traffic Overview – wykresy reprezentujące statystykę prowadzonych połączeń wraz z informacją o pakietach, które przez urządzenie zostały odrzucone i prawdopodobnych próbach ataku.

Top 10 … – najczęściej zaistniałe zdarzenia – zdarzenia te dotyczą list ACL, które miały zastosowanie, wykorzystywanych adresów IP (źródło, cel), aktywnych użytkowników czy hostów.

Do wszystkich opcji narzędzia i oferowanych funkcji oprogramowania ASDM dla CISCO ASA możemy dostać się wykorzystując do tego górne menu oraz zestaw ikon dostępnych na pasku zadań.

Przyjrzyjmy się więc opcją dostępnym w górnym menu.

Menu zostało podzielone na 6 kategorii po rozwinięciu, których uzyskujemy dostęp do opcji bardziej zaawansowanych.

1 – File – wybranie tej pozycji umożliwi nam wykonanie takich zadań jak: odświeżenie okna narzędzia ASDM, przywrócenie ustawień fabrycznych urządzenia, wgląd oraz zapis konfiguracji bieżącej urządzenia czy wyczyszczenie pamięci podręcznej.

2 – View – dostosowywanie widoków, przejście do ekranów konfigurujących bądź monitorujących stan urządzenia czy utworzenie zakładek po wyborze których mamy szybki dostęp do najczęściej wykorzystywanych ekranów,

3 – Tools – po rozwinięciu menu uzyskamy możliwość skorzystania z wielu narzędzi ułatwiających wykonanie Nam podstawowych czynności administracyjnych i tak: przy pomocy narzędzi ping, traceroute, packet tracer zbadamy osiągalność hostów, wykonamy backup i import ustawień, dokonamy aktualizacji oprogramowania, wymusimy ponowny rozruch urządzenia, wykonamy podstawowe operacje plikowe (kopiowanie, usuwanie plików) czy przy pomocy wiersza linii poleceń wydamy dowolne polecenie.

4 – Wizards – zestaw kreatorów, które pozwolą Nam na przeprowadzenie konfiguracji urządzenia krok po kroku odpowiadając na poszczególne pytania np. podstawowa konfiguracja CISCO ASA czy konfiguracja połączenia VPN.

5 – Window – lista aktywnych okien, możliwość przełączania się pomiędzy nimi,

6 – Help – dostęp do pomocy.

Opcje dostępne na zakładkach (od lewej) pozwalają na:

  • Home – ekran startowy.
  • Configuration – przejście do konfiguracji urządzenia, po wyborze tej ikony dostępne są kolejne, które umożliwiają skonfigurowanie poszczególnych parametrów pracy
  • Device Setup – podstawowe ustawienia urządzenia, z poziomu tej ikony uzyskamy dostęp do opcji związanych z interfejsami, routingiem (statycznym, dynamicznym), nazwą urządzenia, przypisaniem haseł czy czasem.

Firewall (zapora ogniowa) – ta grupa ustawień dotyczy konfiguracji mechanizmu NAT, list dostępu ACL czy zarządzania certyfikatami.

Remote Access VPN – konfiguracja dostępu do sieci z wykorzystaniem tuneli VPN dla użytkowników zdalnych.

Site-to-Site VPN – konfiguracja tunelu VPN, którego zadaniem jest połączenie ze sobą dwóch oddalonych od siebie sieci.

Device Management – grupa opcji, których zadaniem jest konfiguracja opcji związanych z dostępem do urządzenia (tworzenie użytkowników oraz nadawanie im uprawnień, mechanizm AAA oraz RADIUS). Ponadto znajdziesz tu również ustawienia dotyczące ustawień serwerów DHCP czy DNS.

Monitoring – jak sama nazwa wskazuje grupa kart odpowiedzialnych za monitorowanie stanu urządzenia. Poszczególne parametry pracy firewalla zostały zgrupowane na odpowiednich kartach, gdzie przeglądając je uzyskujemy wiedzę o aktualnym stanie urządzenia (prowadzone zadania, konfiguracja czy wykorzystanie zasobów).

Pierwsza karta Interface informuje Nas o statusie interfejsów – znajdziemy tu informacje o adresach IP (statycznych i dynamicznych), zyskamy wgląd w tablicę protokołu ARP czy poznamy stopień wykorzystania pasma (ilość wysyłanych/odbieranych pakietów przez dany interfejs).

Karta VPN poinformuje Nas o stanie nawiązanych połączeń VPN wraz z bardzo bogatą statystyką pakietów jakie są wymieniane podczas nawiązanych sesji.

Ponieważ jedną z funkcji urządzenia jest możliwość prowadzenia routingu na karcie Routing zostały zebrane wszystkie informacje związane z tą funkcjonalnością urządzenia (informacje związane z protokołami routingu dynamicznego OSPF oraz EIGRP).

Karta Properties zawiera informację związane z aktualnie nawiązanymi sesjami z urządzeniem, użytkownikach, serwerach AAA, wykorzystaniu zasobów urządzenia (procesor, pamięć) czy tablicy translacji.

Celem rozwiązania problemów z konfiguracją czy samym urządzeniem możemy skorzystać z karty Logging gdzie w czasie rzeczywistym możemy przeglądać logi urządzenia co daje Nam wgląd w aktualnie prowadzone zadania i realizowane funkcje.

Pozostałe przyciski dostępne na pasku zadań pozwalają na:

  • Save – zapisane konfiguracji.
  • Refresh – odświeżenie ustawień.
  • Back i Forward – przejście pomiędzy ostatnio używanymi ekranami.
  • Help – dostęp do pomocy.

Podstawowa konfiguracja urządzenia CISCO ASA

Omówiliśmy interfejs programu, wykonajmy zatem podstawową konfigurację urządzenia – do tego celu wykorzystamy kreator: Startup Wizard. Kreator uruchomimy klikając na opcję Startup Wizard dostępną w menu Wizards. Alternatywą jest wybranie pozycji Configuration a następnie Device Setup i ikony Launch Startup Wizard.

Pierwszy krok (a jest ich 9) uruchomionego kreatora to pytanie – czy chcemy przywrócić urządzenie do ustawień fabrycznych (ang. Reset configuration to factory defaults) czy wykonać modyfikację istniejącej konfiguracji (ang. Modify existing configuration). Wybieramy opcję pierwszą (urządzenie zostało zresetowane do ustawień fabrycznych, rozpoczynamy od konfiguracji domyślnej).

Krok drugi to określenie nazwy urządzenia oraz nazwy domeny (jeśli takowa istnieje – jeśli nie pole zostawiamy puste). Na tym etapie możemy również zdefiniować hasło wejścia do tryb uprzywilejowanego. W tym celu zaznaczamy opcję: Change privileged mode (enable) password i w polu New Password definiujemy hasło. Hasło potwierdzamy wpisując je ponownie w polu: Confirm New Password. Ponieważ w konfiguracji początkowej hasło do trybu enable nie jest zdefiniowane dlatego pole: Old Password pozostawiamy puste. pl/wp-content/uploads/startup-wizard-2. pl/wp-content/uploads/startup-wizard-2-300x287. pl/wp-content/uploads/startup-wizard-2-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Kolejne okno Interface Selection służy do przypisania identyfikatora sieci VLAN do interfejsu sieci zewnętrznej (outside, sieć Internet, domyślny poziom zabezpieczeń 0) oraz określenie sieci VLAN będącej po stronie LAN (inside, domyślny poziom zabezpieczeń 100). Zaproponowane opcje możemy pozostawić, jeśli zaś chcesz utworzyć nową sieć VLAN wybierz opcję: Create new VLAN. Uaktywnienie VLAN-ów dokonujemy poprzez zaznaczenie opcji: Enable VLAN. pl/wp-content/uploads/startup-wizard-3. pl/wp-content/uploads/startup-wizard-3-300x287. pl/wp-content/uploads/startup-wizard-3-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Krok czwarty pozwala na przypisanie fizycznych interfejsów zapory ogniowej (firewalla) do zdefiniowanych w kroku poprzednim sieci VLAN. Przynależność interfejsów do danej sieci VLAN zrealizujesz za pomocą przycisków Add oraz Remove Interfejsy określasz dla każdej z sieci VLAN oddzielnie. pl/wp-content/uploads/startup-wizard-4. pl/wp-content/uploads/startup-wizard-4-300x287. pl/wp-content/uploads/startup-wizard-4-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Karta Interface IP Address Configuration odpowiedzialna jest za definicję adresów IP pod którymi będą dostępne sieci VLAN. Sposób adresacji określamy osobno dla sieci zewnętrznej oraz wewnętrznej. Ponieważ adres IP dla sieci VLAN outside ma zostać skonfigurowany automatycznie została wybrana opcja: Use DHCP. Zaznaczenie pola: Obtain default route using DHCP pozwoli automatycznie uzyskać informację o trasie statycznej (opcja musi być wspierana przez serwer

Adres IP po stronie sieci LAN definiujemy sami. Tak jak w przypadku wykonanej konfiguracji z użyciem wiersza poleceń zostaje wybrany adres IP 10. 1 w połączeniu z maską 255. 0

Krok 6 to decyzja o uruchomieniu serwera DHCP po stronie interfejsu wewnętrznego. Aby serwer mógł zacząć przydzielać adresy IP hostom znajdującym się w sieci LAN zaznaczamy opcję: Enable DHCP server on the inside interface Po wyborze opcji pola dotyczące dostarczanych adresów IP zostaną uaktywnione. Definiujemy następujące pola:

Starting IP Address oraz Ending IP Address – definicja puli adresowej z której serwer DHCP będzie mógł przydzielać adresy IP (pamiętamy o ograniczeniu do 32 adresów IP w przypadku licencji standardowej),

DNS Server – adres serwera DNS.

W przypadku naszej ćwiczebnej topologii wystarczy określenie opcji zaprezentowanych powyżej, oczywiście wpisane adresy IP dostosowujemy do środowiska sieciowego w którym urządzenie ma pracować.

Nie wszystkie opcje serwera DHCP można określić za pomocą tej karty dlatego też celem doprecyzowania ustawień będzie trzeba przeprowadzić dalszą konfigurację po zakończeniu pracy kreatora. pl/wp-content/uploads/startup-wizard-6. pl/wp-content/uploads/startup-wizard-6-300x287. pl/wp-content/uploads/startup-wizard-6-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Kolejna porcja ustawień dotyczy konfiguracji mechanizmu translacji adresów IP. Aby uruchomić funkcję zaznaczamy opcję: Use Port Address Translation (PAT) – zaznaczenie ustawienia spowoduje uruchomienie PAT (jeden publiczny adres a wielu użytkowników). pl/wp-content/uploads/startup-wizard-7. pl/wp-content/uploads/startup-wizard-7-300x287. pl/wp-content/uploads/startup-wizard-7-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Karta Administrative Access jest odpowiedzialna za określenie adresów IP z których będzie możliwy dostęp do urządzenia. Domyślnie zakres adresów IP obejmuje całą sieć w której znajduje się interfejs wewnętrzny. Aby zdefiniować konkretne adresy IP wybierz przycisk Edit. Aby dostęp do urządzenia z wykorzystaniem przeglądarki był możliwy musi być zaznaczona opcja: Enable HTTP Server for HTTPS/ASDM access

Krok ostatni konfiguracji CISCO ASA to podsumowanie ustawień, które zostaną przesłane do urządzenia. W przypadku stwierdzenia, poprawności przeprowadzonej konfiguracji wybieramy Finish. Rozpoczyna się konfiguracja zapory ogniowej (firewalla). pl/wp-content/uploads/startup-wizard-9. pl/wp-content/uploads/startup-wizard-9-300x287. pl/wp-content/uploads/startup-wizard-9-64x61. png 64w" sizes="(max-width: 642px) 100vw, 642px"/>

Podczas stosowania ustawień możemy zostać poproszeni o hasło – wpisujemy zdefiniowane hasło dostępu do trybu uprzywilejowanego (pole Username pozostawiamy puste).

Konfiguracja urządzenia dobiegła końca.

Aby wszystko poprawnie działało musimy dodać jedno z ustawień serwera DHCP – informacja o rozgłaszaniu adresu IP bramy domyślnej. Aby to zadanie wykonać przechodzimy do karty Configuration/Device Management a następnie z lewej strony rozwijamy gałąź DHCP i klikamy na DHCP Server (punkt 1). W oknie po prawej wyświetli się pula adresów IP jaka została przydzielona do rozdysponowania klientom. Wybieramy pulę i klikamy na przycisk Edit (punkt 2). W nowo otwartym oknie Edit DHCP Server wybieramy przycisk Advanced (punkt 3). Po otwarciu kolejnego okna Advanced DHCP Options i po rozwinięciu listy Option Code (punkt 4) należy odszukać pozycję numer 3 po wyborze, której określamy adres IP bramy domyślnej. Całość ustawień zatwierdzamy przyciskiem OK. pl/wp-content/uploads/ustawienia-serwera-dhcp. png" alt="ustawienia serwera DHCP" width="1485" height="1023" srcset="https://www. png 1485w, https://www. pl/wp-content/uploads/ustawienia-serwera-dhcp-300x207. pl/wp-content/uploads/ustawienia-serwera-dhcp-768x529. pl/wp-content/uploads/ustawienia-serwera-dhcp-1024x705. pl/wp-content/uploads/ustawienia-serwera-dhcp-64x44. png 64w" sizes="(max-width: 1485px) 100vw, 1485px"/>

Kolejnym ustawieniem, które musimy określić to dodanie domyślnej trasy statycznej tak aby była możliwość prowadzenia routingu pomiędzy siecią lokalną a siecią, która ma dostęp do Internetu. Aby określić trasę statyczną wybieramy kartę Configuration a następnie Device Setup. W kroku kolejnym przechodzimy do gałęzi Routing/Static Routes (punkt 1). Po zaznaczeniu gałęzi celem dodania nowego wpisu wybieramy przycisk Add (punkt 2). W nowo otwartym oknie Add Static Route w polu Interface wybieramy interfejs zewnętrzny (punkt 3). Po wyborze interfejsu kolejnym krokiem jest zdefiniowanie adresu sieci. W tym celu w polu Network wybieramy ikonę oznaczoną trzema kropkami i w nowo otwartym oknie Browse Network wybieramy trasę zerową (oznaczoną samymi zerami – punkt 4). Całość zatwierdzamy przyciskiem OK. Po powrocie do okna Add Static Route uzupełnij pole Gateway IP, definiując tym samym adres IP bramy domyślnej (punkt 5).

Zmianę nazwy interfejsów wraz z konfiguracją sieciową wykonamy na ekranie Interfaces dostępnym po wyborze Configuration/Device Setup

Ostatnią czynnością jest wykonanie konfiguracji translacji (translację ustawiliśmy w jednym z kroków kreatora lecz nie zawsze to wystarcza). Konfigurację tą wykonamy na ekranie Nat Rules (Configuration/Firewall). Rozpoczynamy od wybrania przycisku Add a następnie Add Network Object Nat Rule W nowo otwartym oknie w polu Name określamy nazwę obiektu, typ reguły ustawiamy na Network oraz definiujemy sieć co do której translacja ma być stosowana (pola IP Address oraz Netmask). Ponieważ wykorzystywaną metodą translacji jest PAT dlatego też w polu Type (sekcja NAT) wybieramy Dynamic PAT (Hide). Pole Translated Addr powinno wskazywać interfejs zewnętrzny. Po całości przeprowadzonych ustawień upewniamy się, że translacja odbywa się pomiędzy siecią wewnętrzną a zewnętrzną CISCO ASA wybierając pozycję Advanced.

Hosty znajdujące się w sieci wewnętrznej uzyskały możliwość komunikacji z siecią Internet.

W trybie wiersza poleceń dostęp zdalny do urządzenia skonfigurowaliśmy dla sesji Telnet oraz SSH. Tę samą operację z wykorzystaniem trybu GUI przeprowadzimy na ekranie: Configuration/Device Management/Management Access/ASDM/HTTPS/Telnet/SSH Nową sesję (również włączenie serwera HTTP) wykonamy po kliknięciu na ikonę Add. W nowo otwartym oknie definiujemy typ sesji, interfejs przez który nastąpi połączenie oraz sieć która z danego typu połączenia ma prawo korzystać. W dolnej części ekranu skonfigurujesz ustawienia dodatkowe tj. czas bezczynności, wersję użytych protokołów czy użyte porty.

Gdy wszystko działa jak należy warto wykonać backup konfiguracji. Opcje odpowiedzialne za wykonanie zapisu kopii ustawień (i ich przywrócenie) odnajdziemy po wybraniu z menu Tools.

Aby wykonać backup należy kliknąć Backup Configuration. Wybieramy kopię całościową bądź jej składniki określamy sami.

Po określeniu lokalizacji zapisu, proces tworzenia kopii rozpocznie się po wybraniu przycisku Backup.

Po skończonym procesie zostanie wyświetlone podsumowanie.

Utworzoną kopię można przywrócić wybierając Restore Configuration

Po wskazaniu pliku przywracania określamy, które z ustawień ma zostać przywrócone.

Tego, kto choć raz utracił swoje dane nie trzeba przekonywać do wykonywania regularnych backupów ale prócz kopii warto jeszcze zadbać o aktualizację oprogramowania. Stosowne opcje odnajdziemy również wybierając z menu opcję Tools.

Najprostszym sposobem wykonania kopii jest użycie Check for ASA/ASDM Updates. Urządzenie cały proces wykona za Nas – sprawdzi dostępność nowego oprogramowania, pobierze i zainstaluje je. Jednak by móc z tej opcji skorzystać musimy mieć aktywny suport – niezbędne jest logowanie w serwisie producenta.

Gdy suportu nie posiadamy o stosowne pliki aktualizacyjne musimy zadbać sami.

Wybierając z menu Tools opcję Upgrade Software from Local Computer przeprowadzimy proces aktualizacji firmware oraz narzędzia Downgrade Software.

Użycie Cisco ASDM nie jest jedynym sposobem aktualizacji, dlatego też przedstawię dwie jego odsłony: akt pierwszy aktualizacja firmware CISCO ASA przy użyciu ASDM, akt drugi aktualizacja ASDM przy użyciu serwera TFTP. Obie metody można stosować zamiennie.

Rozpoczynamy od aktualizacji firmware, posiadaną wersję 9. 0(4) zaktualizujemy do 9. 2(2)4. Po wybraniu Upgrade Software from Local Computer w pozycji Image to Upload wskazujemy ASA. Krok następny to wskazanie pliku zawierającego nowe oprogramowanie. Pozycja Flash File System Path zostanie uzupełniona automatycznie. Gdy lokalizacja zapisu Nam odpowiada wybieramy Upload Image.

Następuje proces kopiowania.

Aby przy kolejnym uruchomieniu urządzenia plik mógł zostać załadowany – odpowiadamy twierdząco.

Aby ponownie uruchomić urządzenie z menu Tools wybieramy System Reload.

Dostępny zestaw opcji pozwala również zaplanować czas ponownego uruchomienia urządzenia.

Aby zrestartować firewalla CISCO ASA należy wybrać przycisk Details… i na kolejnym ekranie Force Imediate Reload.

Proces restartu i ładowania nowej wersji firmware można obserwować po zestawieniu połączenia konsolowego.

Alternatywnym sposobem jest użycie serwera TFTP.

Procedurę rozpoczynamy od uruchomienia serwera TFTP na komputerze, z którego pliki będą kopiowane. Posłużyć możemy się darmowym narzędziem Tftpd64.

Po uruchomieniu aplikacji za pomocą przycisku Browse określamy lokalizację plików. Użycie Show Dir wyświetli udostępnione pliki.

Po zestawieniu sesji z konsolą urządzenia należy wydać polecenia:

1 – copy tftp: flash: – rozpoczynamy kopiowanie, źródłem plików jest serwer TFTP a miejscem docelowym pamięc flash urządzenia,

2 – adres IP serwera TFTP (użyto: 10. 10);

3 – nazwa kopiowanego pliku (kopiowany plik: asdm-771. bin);

4 – pozostawiamy lokalizację domyślną, zatwierdzamy enterem.

Rozpoczyna się proces kopiowania. pl/wp-content/uploads/proces-kopiowania-1. png" alt="proces kopiowania" width="661" height="418" srcset="https://www. pl/wp-content/uploads/proces-kopiowania-1-300x190. pl/wp-content/uploads/proces-kopiowania-1-64x40. png 64w" sizes="(max-width: 661px) 100vw, 661px"/>

Jego efekt możemy również obserwować w oknie aplikacji Tftpd64.

Po wykonaniu kopiowania za pomocą polecenia dir wyświetlimy listę plików. Aby móc skorzystać z nowej wersji narzędzia ASDM należy wydać polecenie: asdm image <ścieżka_do pliku> W przypadku pliku firmware używamy komendy: boot system <ścieżka_do pliku>

Nowa wersja oprogramowania ASDM dla CISCO ASA jest dostępna – podczas następnego użycia narzędzia nastąpi jego aktualizacja.

Aktualizacja obu narzędzi zakończyła się powodzeniem.

Na koniec jeszcze jedno krótkie zagadnienie.

Celem diagnostyki stanu połączenia CISCO ASA często wykorzystujemy polecenie ping niestety w konfiguracji domyślnej nie uda Nam się spingować hostów znajdujących się po stronie interfejsu zewnętrznego gdyż ruch ICMP jest blokowany. Aby uzyskać możliwość badania dostępności hostów przy wykorzystaniu protokołu ICMP musimy na czynność tą jawnie zezwolić poprzez definicję listy ACL, która tego typu pakietów nie będzie filtrować.

Poniżej przykład – test ping hosta wp. pl kończy się niepowodzeniem.

Zezwólmy zatem na ruch pakietów ICMP tak aby test ten zakończył się sukcesem.

Ogólna składnia polecenia utworzenia listy ACL jest taka sama jak w przypadku konfigurowania jej na routerze lecz są dwie drobne różnice:

  • polecenie nakazujące utworzenie listy ACL wydajemy w trybie konfiguracji globalnej a nie jak to było w przypadku routerów w trybie konfiguracji interfejsu,
  • nie używamy maski wildcard tylko maskę standardową.

Aby utworzyć listę ACL wydajemy poniższe polecenia. Pierwsze tworzy listę ACL o numerze 105, która zezwala na ruch ICMP z dowolnego hosta do dowolnego adresu IP pod warunkiem, że jest to odpowiedź na zapytanie ICMP (pakiet: ICMP Echo Request). Polecenie drugie przypisuje utworzoną listę do interfejsu zewnętrznego i ustala jej kierunek działania na wejście.

Po wydaniu tych dwóch poleceń ponowny test ping kończy się sukcesem.

Nazywam się Rafał Wielgus, jestem informatykiem oraz międzynarodowym audytorem wiodącym ISO 27001. Świadczę kompleksowe usługi z zakresu bezpieczeństwa teleinformatycznego, wdrażam systemy z rodziny „IT security”, skutecznie nadzoruję RODO, prowadzę szkolenia oraz audyty.

Posiadam prawie 20 lat doświadczenia w bezpieczeństwie systemów i sieci komputerowych. Jako jeden z nielicznych w Polsce dysponuję wiedzą praktyczną w zakresie Certified Information Systems Security Professional (CISSP). Szkolony również przez ABW i SKW.

Podręcznik instalacji sprzętu Cisco Asa 5585 X
18 7912

Bezpośredni link do pobrania Podręcznik instalacji sprzętu Cisco Asa 5585 X

  1. Informacje techniczne Emerson Pro Cf712orb01

  2. Instrukcja wprowadzania programu Asus E5094

  3. Schemat instalacji Cafe Cvm721m

  4. Podręcznik instalacji systemu operacyjnego Ge Dde7608m

  5. Podręcznik programu Ge Icrxiaccbpl

  6. Podręcznik instalacji i obsługi sprzętu Ge Af 650 Gp Series

  7. Instalacja i konfiguracja Gude Aeg Hk614000h

  8. Rozpocznij Beko Drypoint Ac 438

  9. Instrukcja kalibracji Electrolux Efc302nwzw

  10. Podręcznik przeglądowy systemu D Link Dhp 342

  11. Instrukcja obsługi i książka z przepisami Dell Inspiron 3662

  12. Podręcznik dla pracowników Cala Health Ctb106

  13. Instrukcja kalibracji Dewalt Dwd014s

  14. Uwagi użytkownika Honeywell Excel Web Xl1000b

  15. Instrukcja bezpieczeństwa produktu Haier Thermocool Bd 66a

  16. Instrukcja obsługi Quick Connect Electrolux Esf 66860

  17. Doświadczenie użytkownika Caldertech Uniprep 2

  18. Informacje o produkcie Frigidaire Fec30c4as1

  19. Instalacja i administracja Ge Appliances Jgb500

  20. Instalacja i konfiguracja Gude Bosch Pmf 220 Ce

  21. Wykaz Podręcznik Haier Hmc1035sess

  22. Podręcznik i instrukcja szybkiego uruchamiania Fujitsu S170 120

  23. Instrukcja montażu i obsługi oraz wskazówki dotyczące suszenia Ge Adora Series

  24. Właściwości i wymiary Emerson 2130 Rbm Consultant Pro

  25. Podręcznik inżynierii klienta Craftsman 247 25000

Starannie wybrane archiwa oprogramowania - tylko najlepsze! Sprawdzone pod kątem złośliwego oprogramowania, reklam i wirusów

Ostatnia aktualizacja Podręcznik instalacji sprzętu Cisco Asa 5585 X

Subskrybuj nasze sieci społecznościowe, aby być na bieżąco z najnowszymi aktualizacjami!

Komentarz

Полезное видео, спасибо большое. Помогло немного разобраться.

Очень хотелось бы пройти обучение на Cisco, скажите пожалуйста где можно пройти обучение я из Камчатский край г. Петропавловск-Камчатский, хотелось бы получить сертификаты, скажите пожалуйста где я могу пройти обучение?

А разве легально просто активировать 3des-aes бесплатной лицензией cisco и использовать в организации?

А где собственно настройка?

x1.5

Уиндоуз..как американец говорит)

сраный кабель, везде где есть в магазинах в наличии от 10К стоит. ничего не треснет? только за то что он гейский? голубой в смысле. из обрезаннога патчкорда, который немного недолетел до мусорки, срезанного с какой-то старой хероборы для программирования матрицы ноутбука db9 со старыми соплями из этого г-на "и палок" собрал бесплатный шнур. конечно, голубой подлиньше и покрасивше. но он, сцуко в серверной иногда нужен, и через пол года они все цвета пыли и пауков будут))

есть роутер, при помощи гугла сброшенный на заводские настройки. задача: включить dhcp (вроде уже заработало), задать ip на интерфейсы (вроде тоже ок) и прописать какой интерфейс wan (сраный официальный мануал бесполезен) и 2 строк настроек от провайдера, причем ip и маска уже есть. сука, мануал на 200 страниц, а такой простой задачи решить не дает, зато херова туча сраных заумных терминов. как будто скорость ракеты, пролетающей частично сквозь юпитер считаешь

.


Zostaw komentarz
---