Mô Hình Mạng Cho Các Doanh Nghiệp Vừa & Nhỏ - Bài 4 - Chuyên Đề Radius Authentication (802.1x) on Windows 1/4

Sơ đồ tổng quan mô hình

Trong Lab chuyên đề Radius Authentication chúng tôi chia ra làm 4 phần. Theo sơ đồ trên mỗi phần chúng tôi thực hiện một Zone với nội dung như sau:

• Lab 1: Chuẩn bị và cài đặt các thứ cần thiết để xây dựng một Radius Server trên Windows - Zone #1
• Lab 2: Cài đặt cấu hình Radius Server trên Windows - Zone #1
• Lab 3: Cài đặt cấu hình sao cho khi cắm thiết đầu cuối vào switch thì phải đăng nhập bằng user và password thông qua Radius server đã xây dựng ở Lab 1 - Zone #1 & Zone #2
• Lab 4: Cài đặt cấu hình sao cho khi các thiết bị không dây khi kết nối vào hệ thống phải đăng nhập trông qua Radius server đã xây dựng ở Lab 1 - Zone #1 & Zone #3

LAB 1
Yêu cầu:
1. Cài đặt domain controller trên Windows 2012 R2
2. Cài đặt Network Policy Server
3. Cài đăt Certification Authority
4. Cấu hình Root CA Enterprise

Thực hiện:
1. Cài đặt domain controller trên Windows 2012 R2

Cài đặt IP với các thông tin:

IPv4 Address. . . . . . . . . . . : 192.168.0.111
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . : 192.168.0.1
DNS Servers . . . . . . . . . . . : 127.0.0.1

Cài Active Directory Domain Services
Server Roles -> Active Directory Domain Services -> Add Features -> Next -> Next -> Next -> Install

Cài đặt Domain Controller
Promote this server to domain controller -> Add a new forest -> nhập trên domain cần tạo (Lab này nhập: KHANHVC.com) -> Next -> để mặc định -> nhập password -> Next -> Next  -> Next  -> Next  -> Next  -> Install -> xong bước này server sẽ tự khởi động -> Xong

Vì đây là bài nói về chuyên Radius xây dựng để chuẩn bị phần Radius Authentication 802.1x nên chúng tôi lướt nhanh, chỉ hướng dẫn cho các bạn cách xây dựng một domain controller mới hoàn toàn.

Thiết lập chính sách password: 

Thực hiện như hình

Bước này cho phép chúng ta tạo user với password đơn giản, và chiều dài của password thấp nhất là 3 ký tự.

2. Cài đặt Network Policy Server
Server Roles -> Network Policies and Access Services -> Add Features -> Next -> Next -> Next -> Network Policy Server -> Next -> Install

3. Cài đăt Certification Authority 
Server Roles -> Active Directory Certificate Services -> Add Features -> Next -> Next -> Next -> Certification Authority -> Next -> Install

Kết quả cài đặt ở mục 1, 2 và 3

4. Cấu hình Root CA Enterprise
Server Roles -> Active Directory Certificate Services on the destination Server -> Next -> Certificate Authority -> Next

CA Enterprise -> Next -> Root CA -> Next

Create a new private key -> Next -> chọn RSA# Microsoft Software Key Storage Provider;  Key length 2048;  SHA1 -> Next

Next -> Next ->  Next -> configure

Request and Enroll Certificate các bước thực hiện như hình bên dưới:

Kết quả sau khi Enroll CA

Đến đây chúng đã hoàn thành xong các điều kiện cơ bản đủ để xây dựng Raidius Server trên Windows Server. Chúng ta còn tiếp tục với chuyên đề này trong các bài Lab 2, Lab 3, Lab 4.

Xong!

P/s: Trong bài lab này chúng tôi thực hiện cài đặt DC, Root CA và Network Policy Server trên 1 máy. Trong thực tế triển khai các bạn có thể làm trên nhiều server, mỗi server làm một nhiệm vụ khác nhau.

Cisco, Cách Sao Lưu/Backup & Phục Hồi/Restore Cấu Hình Thiết Bị Cisco và TFTP Server

Yêu cầu:
1. Chuẩn bị mô hình:
2. Sao lưu/Backup cấu hình trên thiết bị cisco đến TFTP server
3. Phục hồi/Restore cấu hình có thiết bị với TFTP Server

Thực hiện:
1. Chuẩn bị mô hình:

1.1. Download TFTP Server và cài mặt định
1.2. Cài đặt thông tin cơ bản

Đảm bảo TFTP đã Start

Cài đặt port sẽ sử dụng khi truyền file (trong trường hợp này là port 69 và giao thức UDP); nơi lưu trữ logfile là C:\TFTPServer\Logs

Nơi lưu trữ file backup, trong trường hợp này là C:\TFTPServer\BackupStore

1.3. Chỉnh firewall trên Windows

Đảm máy tính cài TFTP Server đã được cho phép truy cập port 69 UDP theo chiều inbound, và từ thiết bị cisco (router hoặc switch) có thể ping thấy được server TFTP.

Thực hiện trên PowerShell:

netsh advfirewall firewall add rule name="Allow UDP 69 for TFTP" dir=in action=allow protocol=UDP localport=69

Cisco#ping 192.168.0.48

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.48, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/4/9 ms

2. Sao lưu/Backup cấu hình trên thiết bị cisco đến TFTP server
2.1 Trên thiết bị cisco:

Cisco#copy startup-config tftp:

Address or name of remote host []? 192.168.0.48 
Destination filename [cisco-confg]? cisco-config-bk.cfg 
!!
4898 bytes copied in 0.042 secs (116619 bytes/sec)

Giải thích: 192.168.0.48 là IP của TFTP server; cisco-config-bk.cfg tên của file backup cần lưu

P/S: Chúng ta cũng có thể copy running-config tftp:

HOẶC:

Như chúng ta đã biết mọi cấu hình sẽ được lưu trong flash:

Cisco#dir flash:

Directory of flash:/
    2  -rwx        2084   Mar 4 1993 05:54:43 +00:00  private-config.text
    3  -rwx        1936   Mar 1 1993 00:00:43 +00:00  vlan.dat
    5  -rwx        3096   Mar 1 1993 00:00:50 +00:00  multiple-fs
    6  -rwx        4898   Mar 4 1993 05:54:43 +00:00  config.text
    7  drwx         192   Mar 1 1993 00:47:57 +00:00  c2960-lanbasek9-mz.150-2.SE8
  592  drwx          64   Mar 1 1993 00:52:20 +00:00  dc_profile_dir
65544192 bytes total (49498112 bytes free)
Cisco#

Noted: dir flash: có dấu 2 chấm nhé!

File config.text chính là file cấu hình hiện tại cần phải sao lưu

Cisco#copy flash:config.text tftp:

Address or name of remote host []? 192.168.0.48
Destination filename [config.text]? config.text.cfg
!!
4898 bytes copied in 0.034 secs (144059 bytes/sec)
Cisco#

Giải thích: Copy file config.text từ flash đến TFTP và đổi tên thành config.text.cfg

Chú ý: Nếu thiết bị là switch, khi backup cấu hình chúng ta phải thực hiện backup cấu hình của vlan, file cấu hình này được lưu trữ trong flash với tên vlan.dat

Cisco#copy flash:vlan.dat tftp:

Address or name of remote host []? 192.168.0.48
Destination filename [vlan.dat]? vlan.dat.100.21.cfg
!!
1936 bytes copied in 0.017 secs (113882 bytes/sec)
Cisco#

Backup file vlan.dat từ flash của switch đến TFTP server và lưu với tên là vlan.dat.100.21.cfg

2.2 Quan sát trên TFTP Server

Giải thích:
     - 1: Tên file "cisco-config-bk.cfg" đã được tạo ra trong đường dẫn đã cài đặt ở phần chuẩn bị
     - 2: Từ thiết bị có IP là 192.168.100.21
     - 3. Đã upload thành công

3. Phục hồi/Restore cấu hình có thiết bị với TFTP Server

Cisco#copy tftp: flash:

Address or name of remote host []? 192.168.0.48
Source filename []? config.text.cfg
Destination filename [config.text.cfg]? config.text
%Warning:There is a file already existing with this name
Do you want to over write? [confirm] Y
Accessing tftp://192.168.0.48/config.text.cfg...
Loading config.text.cfg from 192.168.0.48 (via Vlan1): !
[OK - 4898 bytes]
4898 bytes copied in 8.104 secs (604 bytes/sec)
Cisco#

Thực hiện copy file config.text.cfg từ trên TFTP server có IP 192.168.0.48 vào flash: của thiết bị và đổi tên thành file config.text (khi thiết bị boot nó sẽ tìm đọc file config.text và load cấu hình file này vào startup-config, nếu muốn load file cấu hình đó thì chúng ta phải đặt tên là config.text). Vì file đã tồn tại nên có cảnh báo, chúng ta chọn Yes để xác nhận và thực hiện copy.

Nếu thiết bị là switch và đã cấu hình vlan chúng ta phải thực hiện thêm phần restore file vlan.dat nữa nhé.

Xong!

BGInfo Background & Deploy To Client Via GPO

Giới thiệu:

Do nhu cầu thực tế về việc quản lý nhiều server nên khi kết nối vào chúng ta không biết là đang đăng nhập vào server nào, hoặc hướng dẫn ai đó cung cấp cho chúng ta một vài thông tin để chúng ta hỗ trợ họ. Với BGinfo giúp chúng lấy thông tin như: tên máy tính, username, địa chỉ IP, thông tin phần cứng, ...  của máy tính hiện tại ghi lên màn hình nền của Desktop mỗi khi logon. 

Mục tiêu 

Lấy các thông tin hiển thị lên màn hình như hình dưới.

Yêu cầu:
1. Download Bginfo
2. Lấy các trường thông tin: Host name, Boot time, Logon server, Logon domain, User name, System type, Default Gateway, Memory, CPU, OS system, Volumes, Free Space được định nghĩa mặc định và in lên góc trên trái của màn hình.
3. Dùng WMI query để lấy thêm các trường thông tin: Domain Name, Model Name, Model Vendor, IP Address, DNS Server và MAC Address
4. Dùng VB Script để lấy địa chỉ IPv4 của máy tính.
5. Sắp xếp các trường cần hiển thị theo ý
6. Cài đặt Bginfo vào startup cho user.
7. Deploy từ Domain Controller xuống các máy con trong môi trường domain thông qua GPO.

Thực hiện:
1. Download Bginfo tại đây

2. Lấy các trường thông tin: Host name, Boot time, Logon server, Logon domain, User name, System type, Default Gateway, Memory, CPU, OS system, Volumes, Free Space được định nghĩa mặc định và in lên góc trên trái của màn hình.

Cài đặt nơi lưu ảnh sau khi ghi thông tin; vị trí hiển thị của trường thông tin là góc trên trái, và chỉ ghi trong phạm vi là  4,2 inch như hình dưới:

Chọn các trường đã được định nghĩa sẵn trong vùng Fields -> Add -> Apply -> OK để xem kết quả, cài đặt như hình dưới:

3. Dùng WMI query để lấy thêm các trường thông tin: Domain Name, Model Name, Model Vendor, IP Address, DNS Server và MAC Address

Chọn Custom... -> New... -> WMI query -> Browse trong WMI Class chọn Win32_ComputerSystem và Class Property chọn Domain -> OK -> đặt trên chổ Identifier là Domain Name (hay WMI Domain Name cho dể phân biệt) -> OK -> OK. Có thể tham khảo cài đặt như hình dưới:

Hoặc chúng ta có thể gõ trực tiếp câu query vào phần path như dưới và đặt tên chổ phần Identifier

Domain Name query:

SELECT Domain FROM Win32_ComputerSystem

Tương tự cho Model Name, Model Vendor, IP Address, DNS Server và MAC Address

Model Name:

SELECT Name FROM Win32_ComputerSystemProduct

Model Vendor:

SELECT Vendor FROM Win32_ComputerSystemProduct

IP Address:

SELECT IPAddress FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled=True

DNS Server:

SELECT DNSServerSearchOrder FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled=True

MAC Address:

SELECT MACAddress FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled=True

Noted: Với các trường IP address, DNS Server, MAC Address chúng ta phải thêm "WHERE IPEnabled=True" ở cuối câu query nếu không có một số trường hợp chúng ta nhận được kết quả có thêm chữ NULL như hình bên dưới

Kết quả cuối cùng của các trường query bằng WMI

Nhận xét: Với cách lấy IP Address bằng WMI query như hiện tại nó sẽ lấy cả IPv6 nếu IPv6 có enable trên máy tính. Để chỉ lấy IPv4 thì chúng ta có thể dùng VB Script với các query kèm thêm các điều kiện. Tham khảo mục VB Script ở mục 4.

4. Dùng VB Script để lấy địa chỉ IPv4 của máy tính.

Tạo file Bginfo.vbs với nội dung:

' Special BGInfo Script
' Only IPv4 Address v1.7
' Programmed by WindowsStar - Copyright (c) 2009-2011
' --------------------------------------------------------
strComputer = "."
On Error Resume Next
Set objWMIService = GetObject("winmgmts:" & "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")
Set colSettings = objWMIService.ExecQuery ("SELECT * FROM Win32_NetworkAdapterConfiguration where IPEnabled = 'True'")
For Each objIP in colSettings
   For i=LBound(objIP.IPAddress) to UBound(objIP.IPAddress)
      If InStr(objIP.IPAddress(i),":") = 0 Then Echo objIP.IPAddress(i)
   Next
Next

Cài đặt thực hiện query thông qua VBS, chúng ta trỏ đến file Bginfo.vbs vừa tạo ở trên. Tham khảo cài đặt như hình dưới:

Chọn IPv4 vừa định nghĩa trong vùng Fields -> Add để thêm vào nội dung cần hiển thị -> Apply -> OK xem kết quả.

Kết quả cho chúng ta thấy chỉ lấy duy nhất IPv4 cho dù IPv6 đang enable. 

5. Sắp xếp các trường cần hiển thị theo ý
Các bạn có thể sắp xếp theo yêu cầu của các bạn, cách làm của chúng tôi chỉ nhằm mục đích tham khảo:

Sau khi xem kết quả nếu ok chúng ta lưu lại (file -> save as) với tên Bginfo.bgi cùng thư mục với file Bginfo.exe cho dễ.

Chúng tôi lưu vào C:\Windows\Bginfo, và hiện tại có 3 file (bginfo.exe là file chương trình, bginfo.vbs được tạo ra ở mục 4, bginfo.bgi được tạo ra ở mục 5 lưu cấu hình).

6. Cài đặt Bginfo vào startup cho user.

• Tạo file Bginfo.reg với nội dụng sau và chạy file này với quyền administrator:

Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Sysinternals\BGInfo]
"EulaAccepted"=dword:00000001

 Kết quả sau khi chạy file Bginfo.reg

• Tạo file Bginfo.bat với nội dung:

@echo off
cd
CALL "C:\BGinfo\Bginfo.exe" "C:\BGinfo\Bginfo.bgi" /timer:0 /nolicprompt

Ý nghĩa:  timer:0 : thời gian chờ là 0;  nolicprompt: không cần cần hiển thị form xác nhận thông tin

• Tạo shortcut để chạy file Bginfo.bat mỗi khi đăng nhập vào máy

7. Deploy từ Domain Controller xuống các máy con trong môi trường domain thông qua GPO.

• Share folder Bginfo trên file server và cho phép các client truy cập vào folder này

Kết quả truy cập đến folder Bginfo trên file server thành công.

• Tạo GPO thực hiện copy tất cả các file Bginfo.* từ file server đến máy client

• Tạo regedit key mặc đinh cho phép (EulaAccepted) khi chạy lần đầu tiên

• Tạo shortcut để thực thi file Bginfo.bgi trên Startup

• Thực hiện deploy từ domain xuống các client

Với các máy client các bạn thực hiện lệnh gpupdate /force và log off lại máy để xem kết quả.

Chúng tôi hy vọng sẽ ít nhiều giúp được các bạn khi cần.
Các file đã thực hiện của bài lab

Xong!

Các link tham khảo
1. Cài đặt cơ bản từ microsoft.com
2. Remove the (none) IP Address
3. VBScript for displaying only IPv4 Addresses

Cisco, Port Security

Giới thiệu:

Trong một số trường hợp chúng ta cần kiểm soát sự truy xuất của client vào một hệ thống mạng nhằm giảm thiểu rủi ro (MAC flooding là một kỹ thuật tấn công phổ biến trong mạng LAN) cho hệ thống mạng. Cách đơn giản để quản lý client là dựa vào địa chỉ MAC của client đó. Catalyst Switch Cisco cung cấp tính năng port security giúp kiểm khiển truy cập của một client trên port của switch dựa vào địa chỉ MAC của nó.

Mặc định switch cho phép và học tất cả các địa chỉ MAC trên một interface, chúng ta có thể thay đổi cách hành sử này với tính năng port security (bảo mật cổng, bảo mật lớp 2 trên switch).

Sơ đồ trên có 2 máy tính kết nối vào một switch bình thường (là switch không thể quản lý được, chỉ gắng vào là chạy) và switch được nối với Cisco Switch cổng Et0/0, lúc này trên cổng  Et0/0 của Cisco Switch học được địa chỉ MAC của PC1 và PC2.

Ví dụ chúng ta cho phép Cisco Switch chỉ học một địa chỉ MAC trên cổng Et0/0 mà thôi, các địa chỉ khác sẽ bị vi phạm (violation) và chúng ta có thể đưa ra cách hành xử cho các MAC vi phạm này.

Ngoài việc giới hạng số lượng MAC học trên cổng chúng ta có thể cho phép lọc-Filter địa chỉ MAC, tức là chỉ cho phép một hoặc một nhóm các địa chỉ MAC cụ thể nào đó, các địa chỉ khác ngoài danh sách cho phép sẽ bị vi phạm sẽ bị loại bỏ.

Sơ đồ Lab:

Các kiến thức sử dụng trong bài: Spanning portfast, port security

YỀU CẦU:
1. Đấu nối, đặt IP như hinh và cấu hình spanning portfast (hội tụ nhanh trong việc kiểm tra) trên tất cả các interface của switch.
2. Enable tính năng port security trên cổng Et0/0 của cisco switch
3. Chỉ cho phép duy nhất địa chỉ MAC 0050.7966.6803 của PC1 kết nối vào cổng Et0/0 của cisco switch.
4. Nếu không vi phạm (số PC < = 2) port sẽ tự động phục hồi khỏi trạng thái lỗi sau 30 giây.
5. Đảm bảo cisco switch chỉ cho phép 2 PC đầu tiên kết nối vào cổng Et0/0 của cisco switch.

THỰC HIỆN:
1. Đấu nối, đặt IP như hinh và cấu hình spanning portfast (hội tụ nhanh trong việc kiểm tra) trên tất cả các interface của switch.

PC1:

VPCS> set pcname PC1
PC1> ip 192.168.1.1/24 192.168.1.254

Checking for duplicate address...
PC1 : 192.168.1.1 255.255.255.0 gateway 192.168.1.254

PC2:

VPCS> set pcname PC2
PC2> ip 192.168.1.2/24 192.168.1.254

Checking for duplicate address...
PC1 : 192.168.1.2 255.255.255.0 gateway 192.168.1.254

Normal Switch:

hostname Normal_sw
spanning-tree portfast default 

Cisco Switch:

hostname Cisco_sw
spanning-tree portfast default
!
interface Vlan1
ip address 192.168.1.254 255.255.255.0
no shutdown
end
write

2. Enable tính năng port security trên cổng Et0/0 của cisco switch

Cisco Switch:

interface Ethernet0/0
 switchport mode access
 switchport port-security

Kiểm tra:

Cisco_sw#show run int et0/0

Building configuration...
Current configuration : 92 bytes
!
interface Ethernet0/0
 switchport mode access
 switchport port-security
 duplex auto
end

Port security đã được cấu hình trên cổng Et0/0

Cisco_sw#show port-security interface Et0/0

Port Security                            : Enabled
Port Status                               : Secure-up
Violation Mode                         : Shutdown
Aging Time                               : 0 mins
Aging Type                               : Absolute
SecureStatic Address Aging    : Disabled
Maximum MAC Addresses      : 1
Total MAC Addresses              : 1
Configured MAC Addresses    : 0
Sticky MAC Addresses            : 0
Last Source Address:Vlan       : aabb.cc00.2000:1
Security Violation Count          : 0

Với lệnh show port-security interface Et0/0 chúng ta tạm hiểu là Port security đã được bật; trạng thái hiện tại là up; số lượng MAC cho chép học là 1, nếu số lượng MAC lớn hơn (sẽ vi phạm -Violation) thì cổng sẽ bị Shutdown (mặc định tổng số lượng MAC cho phép là 1 và khi bị vi phạm các điều kiện sẽ bị shutdown).

Với cấu hình trên nếu địa chỉ MAC nào đến trước sẽ được cho phép, nếu có MAC thứ 2 đi qua port sẽ shutdown.

3. Chỉ cho phép duy nhất địa chỉ MAC 0050.7966.6803 của PC1 kết nối vào cổng Et0/0 của cisco switch.

Nhận xét trước khi cấu hình: Ta thấy Cisco_switch được nối với Normal_switch thông qua cổng Et0/0, với yêu cầu là chỉ cho phép duy nhất MAC 0050.7966.6803 đi qua nhưng thực tế trên công Et0/0 của Cisco_switch phải cho phép địa chỉ MAC của Normal switch và MAC của PC1. Vậy số lượng MAC tối đa (Maximum MAC Addresses) trong trường hợp này là 2.

Để kiểm tra địa chỉ MAC của cổng Et0/0 trên Normal_Switch chúng ta dùng lệnh: show interface Et0/0

Normal_Switch:

Normal_sw#show interface Et0/0

Ethernet0/0 is up, line protocol is up (connected)
  Hardware is AmdP2, address is aabb.cc00.2000 (bia aabb.cc00.2000)
  {..}

Cấu hình:
Cisco Switch:

interface Ethernet0/0
shutdown
switchport port-security maximum 2
switchport port-security mac-address 0050.7966.6803
switchport port-security mac-address aabb.cc00.2000
no shutdown
end

Nên shutdown port cần cấu hình trước khi cấu hình.

Với các cấu hình cho phép chỉ định một địa chỉ MAC cụ thể như vậy chúng ta gọi là cấu hình tĩnh, ngoài ra chúng ta có cách cấu hình để switch tự học và lưu lại các địa chỉ MAC đầu tiên rồi đưa vào running-config (tham khảo ở mục 5 trong bài lab này)
Kiểm tra:

Cisco_sw#show port-security interface et0/0

Port Security                 : Enabled
Port Status                    : Secure-up
Violation Mode              : Shutdown
Aging Time                    : 0 mins
Aging Type                    : Absolute
SecureStatic Address Aging : Disabled
Maximum MAC Addresses      : 2
Total MAC Addresses              : 2
Configured MAC Addresses    : 2
Sticky MAC Addresses            : 0
Last Source Address:Vlan       : 0050.7966.6803:1
Security Violation Count          : 0

Maximum MAC Addresses bây giờ là 2 đã đúng yêu cầu đặt ra.

PC1> ping 192.168.1.254

84 bytes from 192.168.1.254 icmp_seq=1 ttl=255 time=0.639 ms
84 bytes from 192.168.1.254 icmp_seq=2 ttl=255 time=0.974 ms
84 bytes from 192.168.1.254 icmp_seq=3 ttl=255 time=0.995 ms
84 bytes from 192.168.1.254 icmp_seq=4 ttl=255 time=1.039 ms
84 bytes from 192.168.1.254 icmp_seq=5 ttl=255 time=0.779 ms

PC1 ping đến 192.168.1.254 là thành công

Cisco_sw#show port-security interface Et0/0 address 

               Secure Mac Address Table
-----------------------------------------------------------------------------
Vlan    Mac Address       Type                          Ports   Remaining Age
                                                                   (mins) 
----    -----------       ----                          -----   -------------
   1    0050.7966.6803    SecureConfigured              Et0/0        -
   1    aabb.cc00.2000    SecureConfigured              Et0/0        -
-----------------------------------------------------------------------------
Total Addresses: 2

Cách học địa chỉ MAC trên cổng Et0/0 là do cấu hình tĩnh

Thử dùng PC2 để ping đến 192.168.1.254

PC2> ping 192.168.1.254

host (192.168.1.254) not reachable
PC2> 

Kết quả không thành công.

Quan sát trên Cisco_switch chúng ta thấy lỗi như bên dưới

Cisco_sw#

*May 12 07:21:58.886: %PM-4-ERR_DISABLE: psecure-violation error detected on Et0/0, putting Et0/0 in err-disable state
*May 12 07:21:58.886: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address  050.7966.6804 on port Ethernet0/0.
*May 12 07:21:59.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to down
*May 12 07:22:00.888: %LINK-3-UPDOWN: Interface Ethernet0/0, changed state to down

Thông trên chúng ta hiểu là: Vi phạm điều kiện port security nên Interface Ethernet0/0 được đưa vào trạng thái là err-disable  đã có địa chỉ 050.7966.6804 đi vào cổng Et0/0 và trạng thái hiện tại là down

Noted: các hành xử khi phạm port security:

• Shutdown: Khi vi phạm port bị shutdown và đưa vào trạng thái err-disabled
• Retrict: Khi bị vi phạm port vẫn up, tuy nhiên tất cả các frame từ địa chỉ MAC vi phạm điều kiện sẽ bị drop và gửi ra SNMP trap, syslog.
• Protect: Khi bị vi phạm port vẫn up, nhưng không gửi ra SNMP hay syslog.

Cisco_sw#show interfaces status 

Port      Name               Status       Vlan       Duplex  Speed Type
Et0/0                        err-disabled 1            auto   auto unknown
Et0/1                        connected    1            auto   auto unknown
Et0/2                        connected    1            auto   auto unknown
Et0/3                        connected    1            auto   auto unknown

với lệnh show interfaces status chúng ta thấy được trạng thái của các port trong đó có Et0/0

Cisco_sw#show interfaces status err-disabled

Port      Name               Status         Reason               Err-disabled Vlans
Et0/0                        err-disabled     psecure-violation

Hoặc chỉ các port nào có trạng thái là err-disable mới hiện thị ra thì dùng lệnh show interfaces status err-disabled

Trên PC1 kiểm tra ping đến 192.168.1.254

PC1> ping 192.168.1.254

192.168.1.254 icmp_seq=1 timeout
192.168.1.254 icmp_seq=2 timeout
192.168.1.254 icmp_seq=3 timeout
192.168.1.254 icmp_seq=4 timeout
192.168.1.254 icmp_seq=5 timeout

PC1 cũng không ping đến được vì port Et0/0 của cisco switch đang bị down


Hướng khắc phục.
Cisco_sw:

interface Et0/0
shutdown
no shutdown

P/s: phải đủ 2 dòng lệnh shutdown trước và no shutdown sau nhé.

Cisco_sw#show ip interface brief 

Interface              IP-Address      OK? Method Status                Protocol
Ethernet0/0            unassigned      YES unset  up                    up   
Ethernet0/1            unassigned      YES unset  up                    up   
Ethernet0/2            unassigned      YES unset  up                    up   
Ethernet0/3            unassigned      YES unset  up                    up   
Vlan1                  192.168.1.254   YES manual up                    up  

Bây giờ trạng thái của Et0/0 đã up trở lại

4. Nếu không vi phạm (số PC < = 2) port sẽ tự động phục hồi khỏi trạng thái lỗi sau 30 giây.

Cisco Switch (ở mode config):

errdisable recovery cause all
errdisable recovery interval 30

Cấu hình trên ý là tất cả các trạng thái lỗi nếu là errdisable thì sẽ tự động phục hồi trạng thái lỗi nếu không có vi phạm nào trong 30 giây.

Kiểm tra cấu hình

Cisco_sw#show  run | include errdisable

errdisable recovery cause udld
errdisable recovery cause bpduguard
errdisable recovery cause security-violation
errdisable recovery cause channel-misconfig (STP)
errdisable recovery cause pagp-flap
errdisable recovery cause dtp-flap
errdisable recovery cause link-flap
errdisable recovery cause sfp-config-mismatch
errdisable recovery cause gbic-invalid
errdisable recovery cause l2ptguard
errdisable recovery cause psecure-violation
errdisable recovery cause port-mode-failure
errdisable recovery cause dhcp-rate-limit
errdisable recovery cause pppoe-ia-rate-limit
errdisable recovery cause mac-limit
errdisable recovery cause unicast-flood
errdisable recovery cause vmps
errdisable recovery cause storm-control
errdisable recovery cause inline-power
errdisable recovery cause arp-inspection
errdisable recovery cause link-monitor-failure
errdisable recovery cause oam-remote-failure
errdisable recovery cause loopback
errdisable recovery cause psp
errdisable recovery interval 30

Tạo lỗi bằng cách trên PC2 ping đến 192.168.1.254

PC2> ping 192.168.1.254

host (192.168.1.254) not reachable

Quan sát thông báo trên Cisco_Switch:

Cisco_sw#

*May 12 08:26:15.594: %PM-4-ERR_DISABLE: psecure-violation error detected on Et0/0, putting Et0/0 in err-disable state
*May 12 08:26:15.594: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 0050.7966.6804 on port Ethernet0/0.
*May 12 08:26:16.594: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to down
*May 12 08:26:17.595: %LINK-3-UPDOWN: Interface Ethernet0/0, changed state to down
*May 12 08:26:45.590: %PM-4-ERR_RECOVER: Attempting to recover from psecure-violation err-disable state on Et0/0
*May 12 08:26:47.594: %LINK-3-UPDOWN: Interface Ethernet0/0, changed state to up
*May 12 08:26:48.599: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to up

Port bị đưa vào trạng thái down lúc 08:26:17 và sau 30 giây (08:26:47) đã tự đội phục hồi.

5. Đảm bảo cisco switch chỉ cho phép 2 PC đầu tiên kết nối vào cổng Et0/0 của cisco switch.

Cấu hình:
Cisco_sw:

no switchport port-security mac-address 0050.7966.6803
no switchport port-security mac-address aabb.cc00.2000
switchport port-security mac-address sticky

Kiểm tra:

PC2> ping 192.168.1.254

84 bytes from 192.168.1.254 icmp_seq=1 ttl=255 time=0.708 ms
84 bytes from 192.168.1.254 icmp_seq=2 ttl=255 time=1.053 ms
84 bytes from 192.168.1.254 icmp_seq=3 ttl=255 time=0.852 ms
84 bytes from 192.168.1.254 icmp_seq=4 ttl=255 time=1.066 ms
84 bytes from 192.168.1.254 icmp_seq=5 ttl=255 time=1.004 ms

Kết quả PC2 ping thành công.

Cisco_sw#show port-security interface ethernet 0/0 address 

               Secure Mac Address Table
-----------------------------------------------------------------------------
Vlan    Mac Address       Type                          Ports   Remaining Age
                                                                   (mins) 
----    -----------       ----                          -----   -------------
   1    0050.7966.6804    SecureSticky                  Et0/0        -
   1    aabb.cc00.2000    SecureSticky                  Et0/0        -
-----------------------------------------------------------------------------
Total Addresses: 2

Có 2 địa chỉ MAC đã được học thông qua Sticky.

Hy vọng sẽ giúp được cho bạn nào đó cần và áp dụng vào công việc của mình một cách hiệu quả.

Xong!
P/s: Port security thường được cấu hình trên các switch đấu vào các thiết bị đầu cuối nhé các bạn.

Setup NTP Server In Windows Server

Nhiều khi chúng ta thấy rằng giờ của máy tính không đúng (chậm hơn) với giờ hiện tại, giờ trên điện thoại hay không thống nhất của các thiết bị trong cùng hệ thống. Hôm nay chúng tôi hướng dẫn các bạn cách thay đổi NTP server hiện tại trên hệ điều hành Windows.

Yêu cầu:
1. Cài đặt trên Primary Domain Controller
2. Cách đồng bộ giờ từ máy con thủ công
3. Đồng bộ thông qua GPO trong môi trường domain controller

Thực hiện:

1. Cài đặt trên Primary Domain Controller

Kiểm tra máy tính nào là Primary Domain Controller - PDC bằng cách thực hiện lệnh dsquery server -hasfsmo pdc trên command prompt

C:\Users\Administrator>dsquery server -hasfsmo pdc

"CN=Server-PDC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,
DC=Khanhvc,DC=com"

Trên PDC (trong lab này PDC có tên Server-PDC) mở PowerShell với quyền Administrator và thực hiện lệnh

w32tm /config /manualpeerlist:time.google.com /syncfromflags:MANUAL /reliable:yes /update
Stop-Service w32time
Start-Service w32time

Hoặc

w32tm /config /manualpeerlist:time.google.com /syncfromflags:MANUAL
Stop-Service w32time
Start-Service w32time

Ở đây chúng thôi cài đặt server NTP cần lấy giờ là time.google.com, các bạn có thể thay thế bằng server khác như: pool.ntp.org, ...

Kiểm tra sau khi thực hiện thay đổi, mở regedit.exe theo đường dẫn bên dưới.

Ta thấy NTP server trong regedit đã thay đổi

Noted: Phải đảm bảo rằng PDC và internet đã được mở port 123 protocol UDP trên firewall.

Thực hiện trên PowerShell

netsh advfirewall firewall add rule name="Allow Port 123 UDP" dir=in action=allow protocol=UDP localport=123

Troubleshooting:

w32tm /query /status

w32tm /query /peers

w32tm /query /source

Stop-Service w32time

w32tm /unregister

w32tm /register

Start-Service w32time

2. Cách đồng bộ giờ từ máy con thủ công

Mở command prompt với run as administrator từ thực hiện lệnh: net time \\192.168.99.10 /set /y

C:\Users\administrator>net time \\192.168.99.10 /set /y

Current time at \\192.168.99.10 is 5/5/2020 10:42:59 AM
The command completed successfully.

Dòng lệnh trên có nghĩa là lấy giờ của server 192.168.99.10 cài đặt trên máy hiện tại, và nhấn Y để xác nhận việc đồng bộ giờ

3. Đồng bộ thông qua GPO trong môi trường domain controller:

Tham khảo ở link này

Hy vọng giúp được các bạn giải quyết vấn đề không thống nhất giờ trong hệ thống Windows.

Xong!

Link tham khảo

Setup NTP Server In Windows Server

Nhiều khi chúng ta thấy rằng giờ của máy tính không đúng (chậm hơn) với giờ hiện tại, giờ trên điện thoại hay không thống nhất của các thiết bị trong cùng hệ thống. Hôm nay chúng tôi hướng dẫn các bạn cách thay đổi NTP server hiện tại trên hệ điều hành Windows.

Yêu cầu:
1. Cài đặt trên Primary Domain Controller
2. Cách đồng bộ giờ từ máy con thủ công
3. Đồng bộ thông qua GPO trong môi trường domain controller

Thực hiện:

1. Cài đặt trên Primary Domain Controller

Kiểm tra máy tính nào là Primary Domain Controller - PDC bằng cách thực hiện lệnh dsquery server -hasfsmo pdc trên command prompt

C:\Users\Administrator>dsquery server -hasfsmo pdc

"CN=Server-PDC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,
DC=Khanhvc,DC=com"

Trên PDC (trong lab này PDC có tên Server-PDC) mở PowerShell với quyền Administrator và thực hiện lệnh

w32tm /config /manualpeerlist:time.google.com /syncfromflags:MANUAL /reliable:yes /update
Stop-Service w32time
Start-Service w32time

Hoặc

w32tm /config /manualpeerlist:time.google.com /syncfromflags:MANUAL
Stop-Service w32time
Start-Service w32time

Ở đây chúng thôi cài đặt server NTP cần lấy giờ là time.google.com, các bạn có thể thay thế bằng server khác như: pool.ntp.org, ...

Kiểm tra sau khi thực hiện thay đổi, mở regedit.exe theo đường dẫn bên dưới.

Ta thấy NTP server trong regedit đã thay đổi

Noted: Phải đảm bảo rằng PDC và internet đã được mở port 123 protocol UDP trên firewall.

Thực hiện trên PowerShell

netsh advfirewall firewall add rule name="Allow Port 123 UDP" dir=in action=allow protocol=UDP localport=123

Troubleshooting:

w32tm /query /status

w32tm /query /peers

w32tm /query /source

Stop-Service w32time

w32tm /unregister

w32tm /register

Start-Service w32time

2. Cách đồng bộ giờ từ máy con thủ công

Mở command prompt với run as administrator từ thực hiện lệnh: net time \\192.168.99.10 /set /y

C:\Users\administrator>net time \\192.168.99.10 /set /y

Current time at \\192.168.99.10 is 5/5/2020 10:42:59 AM
The command completed successfully.

Dòng lệnh trên có nghĩa là lấy giờ của server 192.168.99.10 cài đặt trên máy hiện tại, và nhấn Y để xác nhận việc đồng bộ giờ

3. Đồng bộ thông qua GPO trong môi trường domain controller:

Tham khảo ở link này

Hy vọng giúp được các bạn giải quyết vấn đề không thống nhất giờ trong hệ thống Windows.

Xong!

Link tham khảo