EVE-NG – verkkotekniikan ja OT-verkkojen harjoituskäsikirja

Cisco IOS -kytkimet, Linux-verkonhallinta, Cisco ASA, VLANit, OT-verkon vianetsintä ja IEC 62443 – teoria sekä 60 harjoitusta.

Cisco IOS • Linux • Cisco ASAv • VLAN • vianetsintä • IEC 62443

1. Kytkimien käyttöönotto

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

Ethernet ja kytkimen toimintaperiaate

Kytkin oppii lähde-MAC-osoitteet vastaanottavien porttien perusteella ja välittää unicast-kehykset MAC-taulun mukaan. Tuntematon unicast, broadcast ja usein multicast tulvitetaan saman VLANin sisällä. IP-aliverkko ei itsessään määritä VLANia.

show mac address-table dynamic
show interfaces status

1. MAC-osoitetaulu

1.1 Komento ja tuloste

SW-OT#show mac address-table dynamic
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    0050.0000.0200    DYNAMIC     Gi0/2
   1    0050.0000.0b00    DYNAMIC     Gi0/1
   1    5000.0003.0001    DYNAMIC     Gi0/0
Total Mac Addresses for this criterion: 3

1.2 MAC-osoitetaulun toimintaperiaate

Ethernet-kytkin toimii OSI-mallin siirtoyhteyskerroksella (Layer 2). Se oppii saapuvien kehysten lähde-MAC-osoitteen ja tallentaa sen yhdessä VLANin ja vastaanottoportin kanssa MAC-osoitetauluun (CAM-taulu).

Kehys saapuu kytkimen porttiin.
Kytkin oppii lähde-MAC-osoitteen ja VLANin.
Kytkin etsii kohde-MAC-osoitteen taulustaan.
Tunnettu unicast-kohde välitetään oikeaan porttiin, jos edelleenlähetys on sallittua.
Tuntematon unicast-kohde tulvitetaan muihin saman VLANin edelleenlähettäviin portteihin. Broadcast-kehykset tulvitetaan vastaavasti VLANin sisällä.

MAC-osoitteiden oppiminen ei edellytä IP-osoitteita.

1.3 Vlan-sarake

VLAN kertoo, missä loogisessa Layer 2 -verkossa osoite on opittu. Esimerkissä kaikki kolme osoitetta on opittu VLANissa 1.

Arvo	Merkitys
1	Cisco-kytkimen tavallinen oletus-VLAN
2–1001	Normaalin VLAN-alueen tunnuksia
1002–1005	Historiallisesti Token Ring- ja FDDI-käyttöön varattuja VLANeja
1006–4094	Laajennetun VLAN-alueen tunnuksia
All	Joissakin MAC-taulun esityksissä kaikkia VLANeja koskeva merkintä

VLAN-ID on 12-bittinen, ja tavalliset käytettävät tunnukset ovat 1–4094. Sama VLAN ei yksin takaa IP-yhteyttä: IP-asetukset ja liikenteenrajoitukset voivat estää kommunikoinnin.

1.4 Mac Address -sarake

MAC-osoite on tavallisesti 48-bittinen Ethernet-osoite. Cisco esittää sen esimerkiksi muodossa 0050.0000.0200, joka vastaa muotoa 00:50:00:00:02:00.

Tyyppi	Merkitys
Unicast	Yksittäiselle verkkoliitännälle tarkoitettu osoite
Multicast	Laiteryhmälle tarkoitettu osoite
Broadcast	Kaikille saman Layer 2 -verkon laitteille; `ffff.ffff.ffff`
Universally administered	Globaalisti hallinnoitu osoite
Locally administered	Paikallisesti määritetty osoite

MAC-osoitteen alkuosa voi kertoa valmistajan OUI-tunnisteen, mutta virtuaalikoneissa ja paikallisesti määritetyissä osoitteissa valmistajaa ei voi päätellä luotettavasti.

Kolme MAC-osoitetta ei välttämättä tarkoita kolmea fyysistä laitetta. Yhden portin takana voi olla toinen kytkin tai useita virtuaalikoneita.

1.5 Type-sarake

Arvo	Merkitys
`DYNAMIC`	Liikenteestä automaattisesti opittu MAC-osoite
`STATIC`	Pysyväksi määritetty tai alustan hallitsema staattinen merkintä
`SECURE`	Joissakin IOS-tulosteissa Port Security -toiminnon suojaama osoite
`SELF`	Joissakin toteutuksissa kytkimen oma MAC-merkintä
`CPU`	Joissakin toteutuksissa prosessorille ohjattava merkintä

Arvot ja niiden näkyvyys riippuvat alustasta. show mac address-table dynamic näyttää vain dynaamiset merkinnät; show mac address-table näyttää laajemman taulun.

Dynaamiset merkinnät vanhenevat, jos lähdeosoitteesta ei nähdä liikennettä. Monilla Cisco-kytkimillä oletusaika on 300 sekuntia, mutta se riippuu konfiguraatiosta. Tarkistus:

show mac address-table aging-time

1.6 Ports-sarake

Sarake kertoo portin, jonka kautta MAC-osoite on opittu.

Merkintä	Merkitys
`Fa0/1`	FastEthernet-portti, tavallisesti 100 Mbit/s
`Gi0/1`	GigabitEthernet-portti, tavallisesti 1 Gbit/s
`Te1/0/1`	TenGigabitEthernet, 10 Gbit/s
`Twe1/0/1`	TwentyFiveGigE, 25 Gbit/s
`Fo1/0/1`	FortyGigabitEthernet, 40 Gbit/s
`Hu1/0/1`	HundredGigE, 100 Gbit/s
`Po1`	Looginen Port-channel 1
`CPU` / `Drop`	Alustakohtainen prosessori- tai hylkäysmerkintä

Esimerkkitulosteen perusteella:

Portti	Opittu MAC	VLAN
Gi0/0	`5000.0003.0001`	1
Gi0/1	`0050.0000.0b00`	1
Gi0/2	`0050.0000.0200`	1

Taulu ei itsessään kerro laitteen nimeä tai IP-osoitetta.

1.7 Total Mac Addresses for this criterion

Total Mac Addresses for this criterion: 3 tarkoittaa, että annettu haku löysi kolme dynaamista MAC-merkintää. Se ei kerro kaikkien verkon laitteiden lukumäärää.

2. Kytkimen porttien tilat

2.1 Komento ja tuloste

SW-OT#show interfaces status

Port      Name               Status       Vlan       Duplex  Speed Type
Gi0/0                        connected    1          a-full   auto RJ45
Gi0/1     PCS1               connected    1          a-full   auto RJ45
Gi0/2     PCS2               connected    1          a-full   auto RJ45
Gi0/3                        disabled     1            auto   auto RJ45
Gi1/0                        disabled     1            auto   auto RJ45
Gi1/1                        disabled     1            auto   auto RJ45
Gi1/2                        disabled     1            auto   auto RJ45
Gi1/3                        disabled     1            auto   auto RJ45

2.2 Port-sarake

Port on fyysisen tai loogisen verkkoliitännän nimi. Gi0/1 tarkoittaa GigabitEthernet0/1-liitäntää. Kolmiosaisessa nimessä, esimerkiksi Gi1/0/24, numerot voivat tarkoittaa pinon jäsentä, moduulia ja porttia. Numerointitapa riippuu alustasta.

2.3 Name-sarake

Name on ylläpitäjän asettama porttikuvaus. Esimerkiksi PCS1 ja PCS2 kertovat porttien tarkoitetuista vastapäistä, mutta eivät todista, mitä laitteita niissä oikeasti on. Tyhjä arvo tarkoittaa, ettei kuvausta ole asetettu.

configure terminal
interface GigabitEthernet0/1
 description PCS1

2.4 Status-sarake

Status	Merkitys
`connected`	Fyysinen Ethernet-linkki on muodostunut
`notconnect`	Portti on käytössä, mutta fyysistä linkkiä ei ole
`disabled`	Portti on hallinnollisesti suljettu (`shutdown`)
`err-disabled`	Kytkin on sulkenut portin virhe- tai suojaustilanteen vuoksi
`inactive`	Esimerkiksi access-VLAN ei ole käytettävissä
`monitoring`	Joissakin alustoissa SPAN-valvonnan kohdeportti
`suspended`	Keskeytetty portti, esimerkiksi EtherChannel-ongelman vuoksi
`faulty`	Joissakin laitteissa portin vikatila

connected ei todista IP-yhteyden tai sovelluksen toimivuutta. notconnect voi johtua irrotetusta kaapelista, sammutetusta vastapäästä tai EVE-NG-solmun tilasta. disabled on tavallisesti seurausta shutdown-komennosta.

Portin hallinnollinen sulkeminen ja avaaminen:

configure terminal
interface GigabitEthernet0/3
 shutdown
 no shutdown
end

err-disabled voi johtua esimerkiksi Port Security-, BPDU Guard-, UDLD- tai EtherChannel-ongelmasta. Selvitä syy ennen palauttamista:

show interfaces status err-disabled
show logging
show errdisable recovery

2.5 Vlan-sarake

Arvo	Merkitys
`1`, `10`, `20` jne.	Access-portin VLAN-tunnus
`trunk`	Portti toimii trunk-tilassa
`routed`	Layer 3 -reitittävä portti
`unassigned`	Joissakin alustoissa VLANia ei ole määritetty
`inactive`	Joissakin toteutuksissa epäaktiiviseen VLANiin liittyvä tila

Esimerkin kolme connected-porttia näyttävät kuuluvan VLANiin 1. Trunk-portteja ei näy. Tarkista tarkemmat asetukset:

show interfaces trunk
show interfaces GigabitEthernet0/1 switchport
show vlan brief

2.6 Duplex-sarake

Arvo	Merkitys
`full`	Full duplex, ilman automaattisen tilan etuliitettä
`half`	Half duplex
`a-full`	Automaattisesti valittu full duplex
`a-half`	Automaattisesti valittu half duplex
`auto`	Automaattinen asetus; lopullista tilaa ei välttämättä ole muodostettu

Full duplex mahdollistaa lähettämisen ja vastaanottamisen samanaikaisesti. Half duplex ei mahdollista niitä samanaikaisesti samalla yhteydellä. Jos yhteyden päissä on eri duplex-asetukset (duplex mismatch), seurauksena voi olla hidastelua, pakettihäviöitä ja virhelaskurien kasvua.

show interfaces GigabitEthernet0/1

Tarkista esimerkiksi CRC/FCS-virheet ja mahdolliset törmäyslaskurit.

2.7 Speed-sarake

Arvo	Merkitys
`10`	10 Mbit/s
`100`	100 Mbit/s
`1000`	1 Gbit/s
`2500`	2,5 Gbit/s
`5000`	5 Gbit/s
`10000`	10 Gbit/s
`a-100`	Automaattisesti neuvoteltu 100 Mbit/s
`a-1000`	Automaattisesti neuvoteltu 1 Gbit/s
`auto`	Automaattinen nopeusasetus

Kaikki nopeudet eivät ole kaikkien porttien käytettävissä. Esimerkissä Speed on auto, joten todellista linkkinopeutta ei voida varmistaa tämän tulosteen perusteella. Virtuaalisissa EVE-NG-kytkimissä nopeustietojen raportointi voi poiketa fyysisistä kytkimistä.

2.8 Type-sarake

Arvo	Merkitys
`RJ45`	Kupariliitäntä
`10/100/1000BaseTX`	Gigabit Ethernet -kupariliitäntä
`1000BaseSX`	Lyhyen matkan optinen gigabit-yhteys
`1000BaseLX`	Pidemmän matkan optinen gigabit-yhteys
`10GBaseSR`	Lyhyen matkan 10 Gbit/s optinen yhteys
`10GBaseLR`	Pidemmän matkan 10 Gbit/s optinen yhteys
`SFP` / `SFP+`	Joissakin alustoissa moduulityypin merkintä
`Not Present`	Joissakin alustoissa moduuli puuttuu
`Unknown`	Liitäntätyyppiä ei tunnisteta tai raportoida

EVE-NG:n RJ45 on virtuaalikytkimen raportoima tyyppi, ei todellinen fyysinen liitin.

3. Tulosteiden yhdistetty analyysi

Portti	Kuvaus	Status	VLAN	Opittu MAC
Gi0/0	Ei määritelty	connected	1	`5000.0003.0001`
Gi0/1	PCS1	connected	1	`0050.0000.0b00`
Gi0/2	PCS2	connected	1	`0050.0000.0200`
Gi0/3	Ei määritelty	disabled	1	Ei näy
Gi1/0–Gi1/3	Ei määritelty	disabled	1	Ei näy

Päätelmät:

Kolmessa portissa on muodostunut Ethernet-linkki.
Kytkin on oppinut kolme dynaamista MAC-osoitetta, yhden kustakin käytössä olevasta portista.
Kaikki opitut osoitteet ovat VLANissa 1.
Porttien Gi0/1 ja Gi0/2 kuvaukset ovat PCS1 ja PCS2.
Viisi porttia on hallinnollisesti suljettu.
Käytössä olevien porttien duplex-tilaksi raportoidaan a-full.
Todellisia linkkinopeuksia ei voida varmistaa auto-arvoista.

Näistä tulosteista ei voi päätellä laitteiden IP-osoitteita, aliverkon peitteitä, oletusyhdyskäytäviä, ASA:n palomuurisääntöjä, pakettihäviöitä, sovellusten toimivuutta tai kaikkien porttien Spanning Tree -tiloja.

4. Vianetsinnän lisäkomennot

Komento	Käyttötarkoitus
`show mac address-table`	MAC-osoitetaulu
`show mac address-table dynamic`	Dynaamiset MAC-osoitteet
`show mac address-table interface Gi0/1`	Portin MAC-merkinnät
`show mac address-table vlan 1`	VLANin 1 MAC-merkinnät
`show interfaces status`	Porttien tilayhteenveto
`show interfaces Gi0/1`	Portin yksityiskohdat ja virhelaskurit
`show interfaces Gi0/1 switchport`	Portin Layer 2 -asetukset
`show interfaces trunk`	Trunk-portit ja VLANit
`show vlan brief`	VLANit ja access-portit
`show spanning-tree`	Spanning Tree -tilat
`show cdp neighbors`	CDP-naapurit
`show lldp neighbors`	LLDP-naapurit, jos käytössä
`show running-config interface Gi0/1`	Portin konfiguraatio, jos tuettu
`show logging`	Lokiviestit

Komentojen saatavuus ja tulostusmuoto vaihtelevat IOS-version ja EVE-NG-kuvan mukaan.

IOS-hallinta ja porttitilat

User EXEC (>) ja privileged EXEC (#) eroavat; configuration terminal siirtää globaaliin konfigurointiin. Portti voi olla administratively down, down tai up; myös err-disabled on mahdollinen. Tallenna running-config startup-configiin.

enable
configure terminal
hostname SW-LAB
interface GigabitEthernet0/1
 description Link-to-host
 no shutdown
end
copy running-config startup-config

CDP, LLDP ja topologian näkyvyys

CDP on Cisco-ympäristöissä käytetty naapuruusprotokolla, LLDP on IEEE 802.1AB. Ne kertovat naapurista ja portista mutta eivät korvaa kaapelointidokumentaatiota. Ota protokollat käyttöön vain tarkoituksenmukaisissa liitännöissä.

show cdp neighbors detail
show lldp neighbors detail

VLAN, access ja trunk

Access-portti kuuluu yhteen VLANiin; trunk kuljettaa useita VLANeja 802.1Q-tunnistein. Native VLAN on tavallisesti tunnisteeton, mikä vaatii yhtenäiset asetukset. Väärä VLAN voi katkaista yhteyden, vaikka fyysinen linkki on up.

vlan 20
 name OT_CLIENTS
interface GigabitEthernet0/2
 switchport mode access
 switchport access vlan 20
interface GigabitEthernet0/3
 switchport mode trunk
 switchport trunk allowed vlan 20,30

Hallinta-IP ja SSH

Layer 2 -kytkimen SVI on hallintaa varten. Sen IP ei tee kytkimestä oletusarvoisesti reititintä. Etähallinta vaatii toimivan hallintaverkon, käyttäjätunnuksen, domain-nimen, RSA-avaimen ja VTY-rajoitukset.

interface vlan 20
 ip address 192.0.2.10 255.255.255.0
 no shutdown
ip default-gateway 192.0.2.1
ip domain-name lab.example
username admin privilege 15 secret <oma-salasana>
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
 login local
 transport input ssh

Cisco IOSvL2 -käytännön käsikirja

IOS-käyttötilat ja konfiguraation elinkaari

Kytkimen CLI:n tilat: user EXEC (>), privileged EXEC (#), global configuration (config)# ja interface configuration (config-if)#. Running-config on muistissa oleva aktiivinen konfiguraatio; startup-config on käynnistyksessä ladattava tallenne. Muutokset tulevat tavallisesti voimaan heti, eikä write memory ole testauskomento.

enable
show version
show running-config
show startup-config
configure terminal
hostname SW-PCS
interface GigabitEthernet0/1
 description PCS-LINUX
 no shutdown
end
copy running-config startup-config

Ethernet-kehys, MAC-oppiminen ja tulvitus

Kytkin oppii lähde-MAC-osoitteen VLANin ja sisääntuloportin perusteella. Tunnettu unicast välitetään kohdeporttiin, tuntematon unicast ja broadcast tulvitetaan VLANin muille välittäville porteille. MAC-taulun vanheneminen ja MAC-osoitteen siirtyminen portista toiseen selittävät monia katkoksia. ARP on IP–MAC-selvitys, eikä sama asia kuin kytkimen MAC-taulu.

show mac address-table
show mac address-table dynamic
show mac address-table interface GigabitEthernet0/1
show interfaces counters errors
clear mac address-table dynamic

Portin tila, nopeus, duplex ja virhelaskurit

Administratively down tarkoittaa hallinnollisesti suljettua porttia; down/down voi kertoa kaapeli- tai vastapääongelmasta; up/up osoittaa vain linkkitason tilan. Err-disabled on suojatoiminnon aiheuttama sulku. Fyysisessä verkossa duplex-ristiriita voi tuottaa FCS- ja muita virheitä. Virtuaalisessa IOSvL2-labrassa osa fyysisistä laskureista ja neuvotteluominaisuuksista ei mallinnu realistisesti.

show interfaces status
show interfaces GigabitEthernet0/1
show interfaces GigabitEthernet0/1 switchport
show interfaces counters errors
show logging

VLANit, access-portit ja 802.1Q-trunk

Access-portti kuuluu tavallisesti yhteen datan VLANiin ja lähettää päätelaitteelle kehykset ilman 802.1Q-tunnistetta. Trunk kuljettaa useita VLANeja tunnisteellisina; native VLAN on oletusarvoisesti tunnisteeton. Allowed VLAN -lista rajaa trunkin läpi kulkevat VLANit. VLANin olemassaolo, portin jäsenyys, trunkin tila ja STP:n forwarding-tila on tarkistettava erikseen.

vlan 10
 name PCS
vlan 20
 name DMZ
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
interface GigabitEthernet0/2
 switchport mode trunk
 switchport trunk allowed vlan 10,20
show vlan brief
show interfaces trunk
show interfaces GigabitEthernet0/2 switchport

CDP, LLDP ja naapuruuden rajat

CDP on Ciscon naapuruusprotokolla; LLDP on standardoitu. Ne kertovat naapurin identiteetistä ja portista vain silloin, kun molemmissa päissä on yhteensopiva protokolla käytössä. Linux tai ASA ei välttämättä näy CDP-naapurina. Naapuruus ei todista IP-reitityksen tai sovellusliikenteen toimivuutta.

show cdp neighbors detail
show lldp neighbors detail
show cdp interface
show lldp interface
lldp run

Hallinta-SVI, oletusyhdyskäytävä ja SSH

L2-kytkimen interface vlan X on hallinnan virtuaalinen rajapinta (SVI). Sen line protocol edellyttää tyypillisesti aktiivista VLAN-jäsenporttia tai trunkin kautta aktiivista VLANia. ip default-gateway tarvitaan L2-hallinnassa, kun hallinta-asiakas on eri aliverkossa. SSH vaatii paikallisen käyttäjän tai AAA:n, domain-nimen, avaimet ja VTY-asetukset; käytä hallinnalle rajattua verkkoa.

interface Vlan99
 ip address 192.0.2.2 255.255.255.0
 no shutdown
ip default-gateway 192.0.2.1
ip domain-name lab.example
username admin privilege 15 secret <ASETA_VAHVA_SALASANA>
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
 login local
 transport input ssh
show ip interface brief
show ip ssh
show users

STP/RSTP, root bridge ja silmukat

STP estää L2-silmukoita asettamalla osan porteista ei-välittävään tilaan. RSTP nopeuttaa konvergenssia. Root bridge valitaan bridge ID:n perusteella; prioriteetti ja MAC vaikuttavat valintaan. PortFast soveltuu vain päätelaitteen reunaporttiin; BPDU Guard suojaa odottamattomilta kytkinkytkennöiltä. Virheellinen PortFast-käyttö kytkinten välillä voi olla vaarallista.

show spanning-tree
show spanning-tree vlan 10
show spanning-tree root
spanning-tree mode rapid-pvst
interface GigabitEthernet0/1
 spanning-tree portfast
 spanning-tree bpduguard enable

EtherChannel, LACP ja linkkien kahdennus

EtherChannel niputtaa useita fyysisiä linkkejä yhdeksi loogiseksi port-channeliksi. LACP neuvottelee nipun; molempien päiden trunk/access-, VLAN- ja nopeusasetusten tulee olla yhteensopivia. Pelkkä kahden linkin kytkeminen rinnakkain ilman STP:tä tai EtherChannelia voi aiheuttaa silmukan.

interface range GigabitEthernet0/2 - 3
 channel-group 1 mode active
interface Port-channel1
 switchport mode trunk
 switchport trunk allowed vlan 10,20
show etherchannel summary
show lacp neighbor

Vianetsintä OSI-kerroksittain

Aloita L1-linkistä ja portin tilasta; jatka L2-VLANiin, MAC-tauluun ja STP:hen; vasta sen jälkeen L3-IP-osoitteisiin, ARP:iin ja yhdyskäytävään. L4-testissä tarkista TCP-portti ja palvelun kuuntelu. Älä päättele pingin perusteella yksin, että SSH tai sovellus toimii. Dokumentoi lähtötila, yksi muutos kerrallaan, testit ja palautus.

show interfaces status
show vlan brief
show interfaces trunk
show spanning-tree
show mac address-table dynamic
show ip interface brief
show logging

IOSvL2-konfiguraation turvallinen muutos

Tarkista ensin nykyinen portti ja VLAN ennen switchport-komentoja. Säilytä alkuperäinen IP-verkko ja ASA:n säännöt, kun kytkimet lisätään Linuxin ja ASA:n väliin. Käytä konsolia, jos hallinta-VLANin muutos voisi katkaista SSH:n. Tarkista versiotuki komennolla ? ja tallenna vasta hyväksytty lopputulos.

show running-config interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1 switchport
show vlan brief
copy running-config startup-config

2. Linux-verkonhallinta

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

Liitännät ja osoitteistus

Linuxin iproute2-työkalut näyttävät osoitteet, linkkitilan ja reitit. IPv4-prefix /24 vastaa maskia 255.255.255.0. Väliaikaiset ip-komennot eivät välttämättä säily rebootissa; pysyvä konfiguraatio riippuu NetworkManagerista tai netplanista.

ip -br link
ip -br addr
ip route show
ip route get 198.51.100.10

Reititys ja seuraava hyppy

Linux valitsee pisimmän täsmäävän reitin; default-reittiä käytetään, ellei tarkempaa reittiä löydy. Gatewayn on oltava saavutettavissa asianomaisessa L2-verkossa. traceroute näyttää TTL:n avulla reitillä näkyviä hyppyjä, mutta palomuurit voivat estää vastaukset.

ip route
traceroute -n 198.51.100.10
ping -c 3 192.0.2.1

ARP ja naapuruustaulu

ARP ratkaisee saman linkin IPv4-osoitteen MAC-osoitteeksi. Naapuruustilan FAILED tai INCOMPLETE taustalla voi olla väärä VLAN, puuttuva vastaus tai väärä osoite. ARP ei kulje reitittimen läpi.

ip neigh show
sudo tcpdump -ni eth0 arp

DNS ja DHCP

DNS muuntaa nimiä osoitteiksi; DHCP antaa esimerkiksi osoitteen, maskin, reitittimen ja DNS-palvelimet. Nimipalvelun vika ei välttämättä tarkoita IP-yhteyden vikaa. DHCP käyttää UDP-portteja 67 ja 68.

resolvectl status
getent ahostsv4 example.com
nmcli device show

TCP, UDP ja vianrajaus

TCP:n SYN–SYN/ACK–ACK -kättely ja uudelleenlähetykset erottavat sen UDP:sta. ss näyttää socketit, nc testaa portin, tcpdump pakettien kulun. Palvelun kuunteluosoite 127.0.0.1 estää suoran etäyhteyden.

ss -lntup
nc -vz 192.0.2.20 22
sudo tcpdump -ni eth0 host 192.0.2.20 and tcp port 22

Laajennettu Cisco ASA 9.x -käytännön käsikirja

Seuraava materiaali perustuu aiempaan Cisco ASA 9.x -konfiguroinnin ja vianetsinnän käsikirjaan. Sen komennot ja esimerkit ovat opetuskäyttöön; tarkista oman ASAv-version tuki. Erillisen ASA-käsikirjan mallivastausharjoituksia ei sisällytetä tähän, jotta tämän oppaan harjoitusten ratkaisut pysyvät piilossa.

1. Peruskäsitteet ja komentotilat

show running-config

show version

show interface ip brief

configure terminal

end

write memory

ASA:n ACL:ssä käytetään normaalia aliverkkomaskia, ei IOS:n perinteistä wildcard-maskia. Liikenteen salliminen edellyttää myös toimivaa reititystä, mahdollisesti NAT-sääntöjä ja oikeaa paluureittiä.

2. Liitännät ja VLAN-aliliitännät

Yleinen syntaksi

interface <FYYSINEN_LIITÄNTÄ>

nameif

security-level <0-100>

ip address

no shutdown

Esimerkki

interface GigabitEthernet1/2

nameif inside

security-level 100

ip address 10.10.10.1 255.255.255.0

no shutdown

! VLAN-aliliitäntä:

interface GigabitEthernet1/3.100

vlan 100

nameif dmz

security-level 50

ip address 172.16.10.1 255.255.255.0

Tarkistus: show interface ip brief; show running-config interface

Huomio: Fyysinen liitäntä ja aliliitännät vaihtelevat laitemallin mukaan. Security-level ei korvaa ACL:n arviointia. VLAN-aliliitäntä edellyttää sopivaa trunk-kytkentää.

3. Verkko-objektit

Yleinen syntaksi

object network

host

! TAI

object network

subnet

! TAI

object network

range <ALKU_IP> <LOPPU_IP>

Esimerkki

object network SRV-WEB

host 172.16.10.10

object network NET-OT

subnet 10.10.10.0 255.255.255.0

Tarkistus: show running-config object network

Huomio: Yksi object network määrittää yhden host-, subnet- tai range-kohteen; objektin nimi ei itsessään luo DNS-nimeä.

4. Verkkoryhmät ja sisäkkäiset ryhmät

Yleinen syntaksi

object-group network <RYHMÄ>

network-object object

network-object host

network-object

group-object <TOINEN_RYHMÄ>

Esimerkki

object-group network OT-PCS

network-object object PCS1

network-object object PCS2

object-group network OT-ALL

group-object OT-PCS

network-object host 10.10.10.50

Tarkistus: show running-config object-group; show access-list

Huomio: Viittaus nimettyyn verkko-objektiin vaatii muodon network-object object NIMI. Ryhmän muuttaminen vaikuttaa kaikkiin sen käyttökohteisiin.

5. Palveluobjektit ja palveluryhmät

Yleinen syntaksi

object-group service <TCP_PORTIT> tcp

port-object eq

port-object range

! TCP + UDP samassa ryhmässä:

object-group service

service-object tcp destination eq

service-object udp destination eq

Esimerkki

object-group service WEB-PORTS tcp

port-object eq 80

port-object eq 443

object-group service DMZ-SERVICES

service-object tcp destination eq 443

service-object tcp destination eq 3389

service-object udp destination eq 123

Tarkistus: show running-config object-group

Huomio: Porttiryhmä tcp sijoitetaan tyypillisesti ACL:n kohdeportin kohdalle. TCP/UDP-sekapalveluryhmä sijoitetaan protokollan kohdalle heti permit/deny-sanan jälkeen.

6. ACL-säännöt ja järjestys

Yleinen syntaksi

access-list extended permit tcp object <LÄHDE> object eq

access-list extended permit tcp object-group <LÄHDERYHMÄ> object object-group <TCP_PORTTIRYHMÄ>

access-list extended permit object-group <SEKAPALVELURYHMÄ> object-group <LÄHDERYHMÄ> object

Esimerkki

access-list OT_TO_DMZ extended deny tcp object PCS2 object HIST-SRV eq 443

access-list OT_TO_DMZ extended permit tcp object-group OT-PCS object HIST-SRV object-group HIST-PORTS

access-list OT_TO_DMZ extended deny ip any any

Tarkistus: show access-list OT_TO_DMZ

Huomio: Ensimmäinen vastaava sääntö ratkaisee. Tarkka deny on sijoitettava yleisemmän permitin edelle. ACL:n lopussa on implisiittinen deny; eksplisiittinen deny helpottaa dokumentointia ja laskurien tarkastelua.

7. ACL:n käyttöönotto ja muokkaaminen

Yleinen syntaksi

access-group in interface <LIITÄNTÄ>

access-list line extended <permit|deny> …

no access-list extended <TÄSMÄLLEEN_SAMA_SÄÄNTÖ>

Esimerkki

access-group OT_TO_DMZ in interface inside

access-list OT_TO_DMZ line 1 extended deny tcp object PCS2 object HIST-SRV eq 443

no access-list OT_TO_DMZ extended deny ip any any

Tarkistus: show running-config access-group; show access-list

Huomio: Älä poista tai muuta jaettua object-groupia tarkistamatta muita viittauksia. Muutos ei välttämättä katkaise olemassa olevia yhteyksiä. Varmista line-numero nykyisestä ACL:stä.

8. Reititys

Yleinen syntaksi

route <LIITÄNTÄ> <NEXT_HOP> [ETÄISYYS]

Esimerkki

route outside 0.0.0.0 0.0.0.0 192.0.2.1 1

route inside 10.20.0.0 255.255.0.0 10.10.10.254 1

Tarkistus: show route; show asp table routing

Huomio: Kytketyt verkot näkyvät reititystaulussa automaattisesti. Varmista myös paluureitti; epäsymmetrinen reititys voi rikkoa tilallisen palomuurin toiminnan.

9. NAT ja PAT – perusteet

Yleinen syntaksi

object network <SISÄVERKKO>

subnet

nat (<LÄHDELIITÄNTÄ>,<KOHDELIITÄNTÄ>) dynamic interface

Esimerkki

object network NET-USERS

subnet 10.10.10.0 255.255.255.0

nat (inside,outside) dynamic interface

Tarkistus: show nat; show xlate; packet-tracer

Huomio: Dynaaminen interface PAT muuntaa lähdeosoitteita ulkoliitännän osoitteeseen. NAT ei ole automaattisesti tarpeen kahden reititetyn yksityisverkon välissä. ASA:n NAT-sääntöjärjestys ja osoitteiden real/mapped-tulkinta pitää huomioida.

10. Stateful TCP-yhteydet

Yleinen syntaksi

show conn

show conn address

show local-host

Esimerkki

show conn address 10.10.10.10

show conn detail

Tarkistus: show conn; show local-host

Huomio: SYN-SENT ei ole valmis TCP-yhteys; ESTABLISHED on muodostettu yhteys. TCP:n Seq/Ack kuittaa tavujonoja. ACL-muutos ei aina poista olemassa olevaa yhteystilaa.

11. Vianetsintä ja packet-tracer

Yleinen syntaksi

packet-tracer input <TULOLIITÄNTÄ> tcp <LÄHDE_IP> <LÄHDEPORTTI> <KOHDE_IP> detailed

Esimerkki

packet-tracer input inside tcp 10.10.10.10 51500 172.16.10.10 443 detailed

show access-list

show route

show conn

Tarkistus: packet-tracer … detailed; show access-list

Huomio: Packet-tracer simuloi ASA:n päätöksiä; se ei todista, että todellinen palvelin kuuntelee porttia tai että liikenne saapuu laitteelle.

12. Pakettikaappaus ja pudotussyyt

Yleinen syntaksi

capture interface <LIITÄNTÄ> match tcp host <LÄHDE> host eq

show capture

no capture

show asp drop

Esimerkki

capture CAP-IN interface inside match tcp host 10.10.10.10 host 172.16.10.10 eq 443

show capture CAP-IN

show asp drop

no capture CAP-IN

Tarkistus: show capture CAP-IN; show asp drop

Huomio: Kaappaa tarvittaessa molemmilta ASA-liitännöiltä. ASP-drop-laskurit ovat laajempia kuin yksi yhteys; seuraa niiden muutosta testin aikana. Tarkista kaappauksen match-syntaksi ja suunta käytetyssä ASA-versiossa.

13. SSH-hallinta ja käyttäjät

Yleinen syntaksi

username <KÄYTTÄJÄ> password privilege

aaa authentication ssh console LOCAL

ssh <SALLITTU_VERKKO> <LIITÄNTÄ>

ssh version 2

Esimerkki

username admin password <VAHVA_SALASANA> privilege 15

aaa authentication ssh console LOCAL

ssh 10.10.10.0 255.255.255.0 inside

ssh version 2

Tarkistus: show running-config ssh; show ssh sessions

Huomio: Rajaa SSH-hallinta vain hallintaverkkoon. ASA tarvitsee SSH-palvelulle soveltuvat avaimet; avainten luontitapa riippuu alustasta ja versiosta. Käytä tuotannossa hyväksyttyä AAA-ratkaisua ja salaisuuksien hallintaa.

14. Turvallisen muutostyön tarkistuslista

Ota talteen nykyinen running-config ja tarvittaessa varmuuskopio.

Selvitä muutoksen vaikutus kaikkiin object- ja object-group-viittauksiin.

Tarkista nykyisen ACL:n järjestys, liitäntä ja suunta.

Varmista tarvittavat IP-osoitteet, portit, protokollat, NAT ja paluureitit.

Tee muutoksesta mahdollisimman pieni ja dokumentoi palautuskomennot.

Testaa packet-tracerilla ja oikealla yhteyskokeella; tarkista show conn ja kaappaukset.

Seuraa osumalaskureita ja asp drop -laskureita.

Tallenna vasta hyväksytyn testauksen jälkeen organisaation muutoksenhallinnan mukaisesti.

15. ASA ja Cisco IOS – pikaerot

ASA:n ja IOS:n tärkeimmät erot: ASA käyttää show route -komentoa ja normaalimuotoista aliverkkomaskia ACL:issä; IOS käyttää show ip route -komentoa ja perinteisissä ACL:issä wildcard-maskia. ASA:n access-group ja IOS:n ip access-group ovat eri syntaksia. ASA:n show conn näyttää tilalliset yhteydet.

Harjoitustehtävät (10)

Harjoitus 1: Dokumentoi Linux-koneiden osoitteet, MACit ja liitäntöjen tilat.

Tehtävä: Dokumentoi Linux-koneiden osoitteet, MACit ja liitäntöjen tilat. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Hyväksymiskriteeri: pystyt osoittamaan tavoitetilan tai vian juurisyyn vähintään kahdella toisistaan riippumattomalla havainnolla. Dokumentoi myös vaikutukset muihin yhteyksiin ja palautusmenettely.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 2: Selvitä kummankin koneen reititysvalinta kolmeen kohdeosoitteeseen.

Tehtävä: Selvitä kummankin koneen reititysvalinta kolmeen kohdeosoitteeseen. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 3: Vertaa IP-yhteyttä ja DNS-nimellä muodostettua yhteyttä.

Tehtävä: Vertaa IP-yhteyttä ja DNS-nimellä muodostettua yhteyttä. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 4: Tyhjennä yksittäinen testinaapuruus ja tarkkaile ARP:n uudelleenoppimista.

Tehtävä: Tyhjennä yksittäinen testinaapuruus ja tarkkaile ARP:n uudelleenoppimista. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 5: Tarkista DHCP:n toiminta erillisellä testiliitännällä häiritsemättä tuotantotopologiaa.

Tehtävä: Tarkista DHCP:n toiminta erillisellä testiliitännällä häiritsemättä tuotantotopologiaa. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 6: Käynnistä testipalvelu TCP-porttiin ja varmista sen kuuntelu ss-komennolla.

Tehtävä: Käynnistä testipalvelu TCP-porttiin ja varmista sen kuuntelu ss-komennolla. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 7: Testaa TCP-porttia nc:llä ja vertaa tulosta ping-testiin.

Tehtävä: Testaa TCP-porttia nc:llä ja vertaa tulosta ping-testiin. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 8: Tallenna tcpdumpilla TCP-kättely ja selitä paketit.

Tehtävä: Tallenna tcpdumpilla TCP-kättely ja selitä paketit. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 9: Tutki tracerouten ja reititystaulun avulla ASA:n kautta kulkeva reitti.

Tehtävä: Tutki tracerouten ja reititystaulun avulla ASA:n kautta kulkeva reitti. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 10: Vikatilanne: nimellä yhteys epäonnistuu, mutta IP-osoitteella onnistuu. Rajaa ongelma.

Tehtävä: Vikatilanne: nimellä yhteys epäonnistuu, mutta IP-osoitteella onnistuu. Rajaa ongelma. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

3. ASA ja verkkosegmentointi

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

ASA:n liitännät ja tilallinen palomuuri

ASA:n nameif, security-level ja IP-asetukset määrittävät rajapinnat. Tilallinen tarkastus seuraa yhteyksiä ja sallii niiden paluuliikenteen soveltuvien sääntöjen mukaisesti. Security-level ei korvaa eksplisiittistä ACL-suunnittelua.

show interface ip brief
show nameif
show route
show conn

ACL ja object-group

ACL:n järjestys ja kohdistus (access-group interface in) ratkaisevat. Object-groupit helpottavat verkkojen ja palveluiden ylläpitoa. Tarkista myös implicit deny ja osumalaskurit. ASA:n ACL-syntaksi poikkeaa IOS-reitittimestä.

show access-list
show run access-group
show run object-group

NAT ja PAT

NAT muuttaa osoitteita ja PAT voi jakaa yhden osoitteen porttimuunnoksin. ASA:n NAT-järjestys ja eri versioiden syntaksi on tarkistettava; nykyisiä NAT-sääntöjä ei muuteta harjoituksen alkuvaiheessa.

show nat detail
show xlate

Packet-tracer ja capture

packet-tracer simuloi ASA:n datapolun päätöksiä annetulle paketille, mutta ei takaa sovelluksen onnistumista. capture näyttää oikeaa liikennettä rajapinnalla. Vertaile simulaatiota todelliseen testiin.

packet-tracer input inside tcp 192.0.2.10 45000 198.51.100.20 443 detailed
show capture

Syslog ja hallinnan suojaus

Syslog auttaa muutosten ja estojen jäljityksessä. SSH-hallinta rajataan lähdeosoitteiden ja rajapintojen mukaan. Varmista etukäteen konsolipääsy, jotta et lukitse itseäsi ulos.

show logging
show run ssh
show run aaa

Harjoitustehtävät (10)

Harjoitus 1: Tallenna ASA:n nykyinen running- ja startup-konfiguraatio.

Tehtävä: Tallenna ASA:n nykyinen running- ja startup-konfiguraatio. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 2: Piirrä interface-, security-level- ja reitityskartta.

Tehtävä: Piirrä interface-, security-level- ja reitityskartta. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 3: Selitä kolmen olemassa olevan ACL-säännön tarkoitus ja suunta.

Tehtävä: Selitä kolmen olemassa olevan ACL-säännön tarkoitus ja suunta. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 4: Etsi object-groupien käyttökohteet ACL- ja NAT-konfiguraatiosta.

Tehtävä: Etsi object-groupien käyttökohteet ACL- ja NAT-konfiguraatiosta. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 5: Tee packet-tracer nykyiselle sallitulle TCP-yhteydelle.

Tehtävä: Tee packet-tracer nykyiselle sallitulle TCP-yhteydelle. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 6: Tee packet-tracer nykyiselle estettävälle yhteydelle ja selitä vaihe.

Tehtävä: Tee packet-tracer nykyiselle estettävälle yhteydelle ja selitä vaihe. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 7: Vertaa packet-tracerin tulosta oikeaan nc- ja tcpdump-testiin.

Tehtävä: Vertaa packet-tracerin tulosta oikeaan nc- ja tcpdump-testiin. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 8: Tarkastele connection- ja translation-taulua ennen ja jälkeen testin.

Tehtävä: Tarkastele connection- ja translation-taulua ennen ja jälkeen testin. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 9: Määrittele hallintayhteyksien rajoitussuunnitelma ja toteuta se varmistetussa testissä.

Tehtävä: Määrittele hallintayhteyksien rajoitussuunnitelma ja toteuta se varmistetussa testissä. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 10: Vikatilanne: palvelu ei vastaa ASA:n yli. Selvitä onko syy ACL, NAT, reitti vai palvelu.

Tehtävä: Vikatilanne: palvelu ei vastaa ASA:n yli. Selvitä onko syy ACL, NAT, reitti vai palvelu. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

4. VLANit ja verkkorakenteet

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

802.1Q ja VLAN-erottelu

802.1Q lisää Ethernet-kehykseen VLAN-tunnisteen trunkissa. Access-portissa päätelaite lähettää yleensä tunnisteettomia kehyksiä. VLAN ei itsessään ole turvallisuusraja, jos reititys ja palomuurisäännöt sallivat liikenteen.

show interfaces trunk
show vlan brief

Native VLAN ja allowed-listat

Trunkin molemmissa päissä native VLAN ja sallitut VLANit on sovitettava yhteen. Native VLAN -mismatch voi aiheuttaa liikenteen vuotamista tai virheitä. Rajaa tarpeettomat VLANit pois trunkista.

show interfaces switchport
show interfaces trunk

Inter-VLAN-reititys

Eri VLANien väliseen IP-liikenteeseen tarvitaan L3-reititin, L3-kytkin tai palomuurin VLAN-aliliitännät. Tässä laboratoriossa ASA toimii segmenttien välisenä rajana, eikä alkuperäisiä IP-verkkoja muuteta ilman erillistä vaihetta.

show route
show run interface

STP ja RSTP

Spanning Tree estää L2-silmukoita asettamalla redundantteja portteja estotilaan. RSTP nopeuttaa konvergenssia. Root bridge valitaan bridge ID:n perusteella. PortFast sopii päätelaitteille, ei summittaisesti kytkinten välisiin yhteyksiin.

show spanning-tree
show spanning-tree vlan 20

EtherChannel ja redundanssi

EtherChannel niputtaa yhteensopivia fyysisiä linkkejä loogiseksi port-channeliksi. LACP neuvottelee nipun. Jäsenporttien nopeuden, VLAN- ja trunk-asetusten on oltava yhteensopivia; käytettävissä olevat ominaisuudet riippuvat IOS-kuvasta.

show etherchannel summary
show lacp neighbor

Harjoitustehtävät (10)

Harjoitus 1: Selitä kehystasolla access- ja trunk-portin ero.

Tehtävä: Selitä kehystasolla access- ja trunk-portin ero. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 2: Tarkista kahden trunkin allowed VLAN -listat ja dokumentoi ne.

Tehtävä: Tarkista kahden trunkin allowed VLAN -listat ja dokumentoi ne. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 3: Rakenna erillinen testivLAN ilman muutoksia nykyisiin verkkoihin.

Tehtävä: Rakenna erillinen testivLAN ilman muutoksia nykyisiin verkkoihin. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 4: Toteuta kontrolloitu native VLAN -mismatch ja havainnoi oireet.

Tehtävä: Toteuta kontrolloitu native VLAN -mismatch ja havainnoi oireet. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 5: Suunnittele ASA-aliliitäntöihin perustuva inter-VLAN-reititys (ei vielä tuotantokonfiguraatiota).

Tehtävä: Suunnittele ASA-aliliitäntöihin perustuva inter-VLAN-reititys (ei vielä tuotantokonfiguraatiota). Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 6: Lisää redundantti L2-yhteys ja tunnista STP:n estämä portti.

Tehtävä: Lisää redundantti L2-yhteys ja tunnista STP:n estämä portti. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 7: Vaihda testiverkon STP-root suunnitellusti ja dokumentoi vaikutus.

Tehtävä: Vaihda testiverkon STP-root suunnitellusti ja dokumentoi vaikutus. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 8: Testaa yhden redundantin linkin katkeamisen vaikutus yhteyksiin.

Tehtävä: Testaa yhden redundantin linkin katkeamisen vaikutus yhteyksiin. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 9: Muodosta LACP EtherChannel, jos käytetty IOS-kuva tukee sitä.

Tehtävä: Muodosta LACP EtherChannel, jos käytetty IOS-kuva tukee sitä. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 10: Vikatilanne: osa VLANeista toimii trunkin yli ja osa ei. Rajaa vika.

Tehtävä: Vikatilanne: osa VLANeista toimii trunkin yli ja osa ei. Rajaa vika. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

5. OT-verkon vianetsintä

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

Järjestelmällinen OSI-vianrajaus

Aloita oireen rajauksesta: mikä toimii, mikä ei, milloin vika alkoi. Kerros 1: linkki; 2: VLAN/MAC/ARP; 3: osoitteet/reitit; 4: TCP/UDP/ACL; 5–7: palvelu, nimi ja sovellus. Yksi havainto ei yksin todista juurisyytä.

ip -br link
show interfaces status
show mac address-table
ip neigh
show route
ss -lntup

VLAN-, reitti- ja ACL-viat

Väärä access-VLAN voi näkyä toimivana linkkinä mutta puuttuvana ARP-vastauksena. Puuttuva reitti johtaa väärään seuraavaan hyppyyn tai ei reittiä -tilaan. ACL-esto näkyy ASA:n osumalaskureissa tai packet-tracerissa.

show vlan brief
ip route get 198.51.100.10
show access-list

MTU ja duplex

MTU-ongelmat voivat koskea vain suuria paketteja tai PMTUD:n toimintaa. Duplex mismatch voi aiheuttaa virheitä ja huonoa suorituskykyä, mutta virtuaaliympäristö ei aina mallinna fyysisiä virhelaskureita realistisesti.

ip link show
ping -M do -s 1472 192.0.2.20
show interfaces

TCP-katkokset ja pakettikaappaus

SYN ilman vastausta viittaa eri syihin kuin RST-vastaus. Uudelleenlähetykset, nollakokoinen vastaanottoikkuna ja asymmetrinen reititys edellyttävät erillistä tulkintaa. Kaappaa tarvittaessa molemmista päistä ja ASA:lta.

sudo tcpdump -ni eth0 -w /tmp/test.pcap tcp port 443
ss -ti

Vikaraportointi

Kirjaa aikaleima, topologia, vaikutusalue, hypoteesi, mittaus, tulos, korjaus ja regressiotesti. Palauta vain yksi muutos kerrallaan. OT-ympäristössä arvioi vaikutus prosessiin ja ylläpitoikkunaan ennen muutosta.

ip route
show logging

Harjoitustehtävät (10)

Harjoitus 1: Vikatilanne: linkki on up mutta ARP ei valmistu.

Tehtävä: Vikatilanne: linkki on up mutta ARP ei valmistu. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 2: Vikatilanne: saman VLANin koneet tavoittavat toisensa, toista verkkoa eivät.

Tehtävä: Vikatilanne: saman VLANin koneet tavoittavat toisensa, toista verkkoa eivät. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 3: Vikatilanne: vain yksi TCP-portti epäonnistuu ASA:n yli.

Tehtävä: Vikatilanne: vain yksi TCP-portti epäonnistuu ASA:n yli. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 4: Vikatilanne: SSH toimii IP-osoitteella mutta ei DNS-nimellä.

Tehtävä: Vikatilanne: SSH toimii IP-osoitteella mutta ei DNS-nimellä. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 5: Vikatilanne: pieni ping toimii, suuri DF-paketti ei.

Tehtävä: Vikatilanne: pieni ping toimii, suuri DF-paketti ei. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 6: Vikatilanne: yhteys muodostuu mutta katkeaa kuormituksessa.

Tehtävä: Vikatilanne: yhteys muodostuu mutta katkeaa kuormituksessa. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 7: Vikatilanne: yksi trunkin VLAN menettää yhteyden.

Tehtävä: Vikatilanne: yksi trunkin VLAN menettää yhteyden. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 8: Vikatilanne: uusi palvelu kuuntelee vain loopback-osoitteessa.

Tehtävä: Vikatilanne: uusi palvelu kuuntelee vain loopback-osoitteessa. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 9: Vikatilanne: paluureitti puuttuu ja liikenne on epäsymmetristä.

Tehtävä: Vikatilanne: paluureitti puuttuu ja liikenne on epäsymmetristä. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 10: Saat vain oirekuvauksen ja laitepääsyn: tuota OSI-kerroksittainen vikaraportti.

Tehtävä: Saat vain oirekuvauksen ja laitepääsyn: tuota OSI-kerroksittainen vikaraportti. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

6. Teollisuusverkon erityistilanteet

Oppimistavoite: ymmärtää käsitteet, osata soveltaa niitä laboratoriossa ja perustella havainnot näyttökomentojen sekä pakettitason testien avulla.

Teoria ja esimerkit

IEC 62443 ja vyöhykkeet

IEC 62443:n zone–conduit-ajattelussa samankaltaisen riskin ja suojaustarpeen kohteet ryhmitellään vyöhykkeisiin; conduit määrittää hallitun tiedonsiirron vyöhykkeiden välillä. Vyöhykkeiden suunnittelu perustuu riskiarvioon, ei pelkkään VLAN-numeroon.

Esimerkki: prosessinohjausvyöhyke → ASA-sääntö → OT-DMZ-historian → hallittu IT-yhteys.

OT-DMZ ja etäyhteydet

OT-DMZ tarjoaa välityspalveluille erotetun alueen; suoraa IT–OT-yhteyttä minimoidaan. Hyppypalvelin, MFA, lokitus, rajatut käyttäjät ja istunnon valvonta ovat tavallisia hallintakeinoja. Älä julkaise ohjausjärjestelmän hallintaa suoraan Internetiin.

Esimerkki: etäylläpito → hyväksytty etäyhteys → DMZ-hyppypalvelin → rajattu OT-kohde.

Kahdennus ja multicast

Kahdennettu kytkinpari parantaa käytettävyyttä vain, jos yhteiset vikapisteet huomioidaan. Multicast on yhden lähettäjän ja monen vastaanottajan malli; IGMP kertoo ryhmäjäsenyydet ja IGMP snooping rajoittaa tulvitusta L2-verkossa.

ip maddr show
show ip igmp snooping groups

NTP, syslog ja SNMP

Yhtenäinen aikaleima helpottaa tapahtumaketjujen vertailua. NTP synkronoi kellot; syslog kerää tapahtumat; SNMPv3 tukee autentikointia ja salausta, toisin kuin pelkät SNMPv1/v2c-communityt. Rajoita hallintaprotokollat hallintavyöhykkeeseen.

timedatectl
chronyc sources -v
show logging

Muutoksen vaikutusarvio

Palomuurisäännön muutos arvioidaan lähteen, kohteen, protokollan, portin, suunnan, käyttötarkoituksen, riskin ja rollbackin kautta. Todennus kattaa sekä sallitut että kielletyt virrat. Teollisuudessa saatavuus ja turvallisuusvaikutukset voivat olla ensisijaisia.

Esimerkki: salli vain määritetty historian TCP-portti tietystä OT-lähteestä DMZ-palvelimeen; testaa myös muut portit estetyiksi.

Harjoitustehtävät (10)

Harjoitus 1: Piirrä laboratorion IEC 62443 -vyöhykkeet ja conduit-yhteydet.

Tehtävä: Piirrä laboratorion IEC 62443 -vyöhykkeet ja conduit-yhteydet. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 2: Suunnittele OT-DMZ nykyisen ASA:n ja testipalvelimien ympärille.

Tehtävä: Suunnittele OT-DMZ nykyisen ASA:n ja testipalvelimien ympärille. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 3: Määrittele vähimmän oikeuden mukainen tiedonsiirtomatriisi.

Tehtävä: Määrittele vähimmän oikeuden mukainen tiedonsiirtomatriisi. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 4: Testaa redundantin kytkinlinkin katkeaminen ja palautuminen.

Tehtävä: Testaa redundantin kytkinlinkin katkeaminen ja palautuminen. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 5: Havainnoi multicast-liikennettä ja IGMP-jäsenyyksiä testiverkossa.

Tehtävä: Havainnoi multicast-liikennettä ja IGMP-jäsenyyksiä testiverkossa. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 6: Tarkista Linux- ja verkkolaitteiden kellot ja NTP-lähteet.

Tehtävä: Tarkista Linux- ja verkkolaitteiden kellot ja NTP-lähteet. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 7: Suunnittele keskitetty syslog ja vertaile kahden laitteen aikaleimoja.

Tehtävä: Suunnittele keskitetty syslog ja vertaile kahden laitteen aikaleimoja. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 8: Laadi SNMPv3-valvonnan suunnitelma ilman julkisia community-tunnuksia.

Tehtävä: Laadi SNMPv3-valvonnan suunnitelma ilman julkisia community-tunnuksia. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 9: Laadi yhden ASA-sääntömuutoksen vaikutus- ja palautussuunnitelma.

Tehtävä: Laadi yhden ASA-sääntömuutoksen vaikutus- ja palautussuunnitelma. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Harjoitus 10: Loppuharjoitus: dokumentoi OT-vyöhykkeet, toteuta hyväksytty muutos ja todista sallittu sekä estetty liikenne.

Tehtävä: Loppuharjoitus: dokumentoi OT-vyöhykkeet, toteuta hyväksytty muutos ja todista sallittu sekä estetty liikenne. Tee ensin lähtötilan mittaus, laadi tarvittava muutos, toteuta se hallitusti ja kirjaa käytetyt komennot sekä tulokset.

Havaintoloki: lähtötila __________ muutos __________ testi __________ johtopäätös __________

Yhteinen vianrajaus- ja hyväksymislomake

Oire ja vaikutusalue

Topologia, lähde ja kohde

Lähtötilan mittaukset

Hypoteesit OSI-kerroksittain

Tehdyt muutokset ja kellonajat

Pakettikaappaukset ja näyttökomennot

Hyväksyntätestit: sallittu liikenne

Negatiiviset testit: estetty liikenne

Palautus ja lopullinen dokumentointi

Huomautus: laboratorioesimerkkien 192.0.2.0/24 ja 198.51.100.0/24 osoitteet ovat dokumentaatio-osoitteita. Korvaa ne oman laboratorion todellisilla osoitteilla. Esimerkit eivät ole suoraan kopioitavia nykyiseen ASA-konfiguraatioon.