Ako prvé sa pripojíme porstrednícvom RSA323 cez Putty, zvolíme serial a nájdeme cez ktorý COM sa máme pripojiť
Vo windows Compuer Managment, zvolíme Device Managment, nájdeme Ports (Com & LPT). V tomto prípade to je COM3
Otvoríme Putty
Defalt login je admin/admin
Zmena hostname
system-view
hostname hp-switch-01
save
Nastavenie DNS a NTP
system-view
Pridáme DNS
dns server 8.8.8.8
dns server 8.8.4.4
Nastavíme gateway
ip route-static 0.0.0.0 0 10.0.0.254
otestujte, či komunikuje napr. s google
ping 8.8.8.8
Teraz mu dáme, službu z ktorej si má synchronizovať čas
ntp-service unicast-server pool.ntp.org
Pre overenie
disp ntp-service status
Trouble shooting
ntp-service enable
Pre overenie
display clock
Nastavenie PoE na danom interface
Defaultne PoE napájanie na týchto switchoch je zakázané a je potrebné ho poviliť
system-view
ak chcem povoliť poe napr. na porte 1 tak píšeme príkaz
interface GigabitEthernet1/0/1
poe enable
exit
save
Ak by sme chceli napr na porte 12
interface GigabitEthernet1/0/12
poe enable
exit
save
Ak chceme nastaviť PoE napr na všetkých portoch volíme príkaz
interface range GigabitEthernet1/0/1 to GigabitEthernet1/0/48
poe enable
save
quit
Overiť môžeme
display poe interface
Povolenie SSH na Switchi
system-view
public-key local create rsa
y
2048
ssh server enable
line vty 0 63
authentication-mode scheme
protocol inbound ssh
local-user admin class manage
password simple passw0rd
authorization-attribute user-role network-admin
service-type ssh
quit
interface vlan 1
description workVLAN1
ip address 10.0.3.40 22
Nasatvenie IP a grafického rohrania
Ak chceme ako prvé povoliť grafické rozhranie, tak ideme dokonfiguračného módu
system-view
Nastavíme defaltnú VLAN
interface vlan-interface 1
Pridáme IP adresu s maskou siete
Príklad:
ip address 192.168.1.100 255.255.255.0
Moje nastavenie
ip address 10.0.3.40 255.255.252.0
Uložíme konfiguráciu
undo shutdownquit
save
Teraz povilíme grafické rohranie na portoch 443 a 80. (https a http)
ip https enable
ip http enable
display ip http
display ip https
Ak si prajeme zakázať GUI
Teraz choďte cez webový prehliadač
system-view
interface vlan-interface 1
undo ip https enable
undo ip http enable
save
Vymazanie IP adresy z interface
system-view
interface Vlan-interface 1
undo ip address
save
quit
Troubleshooting, keď sa počítač nechce pripojiť hneď na sieť
stp edged-port – Tento príkaz používajte, len na portoch, kde sú pripojený koncový užívatelia v opačnom prípade, môže dojsť ku slučkám.
Príkaz stp edged-port optimalizuje správanie protokolu Spanning Tree Protocol (STP) na portoch, ktoré sú priamo pripojené ku koncovým zariadeniam, ako sú PC, laptopy alebo tlačiarne.
interface range GigabitEthernet1/0/1 to GigabitEthernet1/0
/48
stp edged-port
save
Ak si prajeme z nejakého portu odkonfigurovať nejaký port
napr:.
interface range GigabitEthernet1/0/1
undo stp edged-port
save
Method Zvolíme Import an existing Certificate Authority
Klikneme na Trust Store
Klikneme na Randomizi Serial
A dáme uložiť
Teraz klikneme na Certificates a dámevytvoriť nový
Klikneme na Save
Vytvorenie užívateľa do VPN
Vypíšeme užívateľa
Zaklikneme Click to create a user certificate
Vytvorenie OpenVPN Server-a
Klikneme na OpenVPN > OpenVPN > Servers
Vzor konfigurácie
Kliknite na Save
Firewall Rules
Teraz, aby nám správne fungovalo VPN pripojenie je potrebné urobiť pravidlo na Firewall
Klikneme na Firewall > Rules
A kliknite na WAN
Klikneme na Add
A môžete doplniť nejaké Description
Kliknite na Save a potom na Apply Change
Teraz Kliknite na Firewall Rules a OpenVPN
Kliknite na Add
Je potrebné nastaviť ďalši IP rozsah, nakoľko cieľom je, aby užívateľ dostával IP nie z lokálnej siete ale z VPN
Klikneme na uložiť
Výsledné pravidlo
Exportujeme OpenVPN klienta
Klikneme na VPN a zvolíme Client Export
Remote Access Server Zvolíme ten náš
Host Name Resolution Interface IP Address
Verify Server CN Automatic – -Use verify-x509-name where possible
Bind Mode Do not bind to the local port
Additional configuration options príklad spočíva v tom, že z Ln siete, by to malo začať smerovať na IP adresy z VPN, a abz IP adresy dávalo už do konfigu užívateľovi.
Export užívateľa
Keď máme vytvoreného užívateľa, a chcem aby sa pripájal cez Windows, Linux klikneme na Most Clients
Keď si certifikát otvoríme v notepade, tak zistíme, že pridal automaticky do configu Verejnú IP adresu, a smerovanie
dev tun
persist-tun
persist-key
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305:AES-256-CBC
data-ciphers-fallback AES-256-CBC
auth SHA256
tls-client
client
resolv-retry infinite
remote Vaša_Verejná_IP 1194 udp4
nobind
verify-x509-name "ovpn.nivam.sk" name
auth-user-pass
remote-cert-tls server
explicit-exit-notify
route 10.0.0.0 255.255.252.0 10.10.3.1
Keď importujete certifikát malo by Vuás to vyzvať na meno a heslo užívateľa
Ako prvé v zložke VPN a v nej SSL-VPN Settings. Nastavte WAN 1 a najčastejšie externý port 10443. Môže byť aj iný, ale dajte si pozor, aby na danom porte nebežala nejaká služba.
2. Posuňte sa nižšie v tomto okne, kde je potrebné potrebné vytvoriť skupinu a užívateľa/ov. Kliknite na Create New
3. Zvoľte VPN-Users a full-access a kliknite na OK
4. Keď je už skupina vytvorená kliknite na VPN-Users a na Edit
5. Zobrazí sa Vám Edit User Group
6. Kliknite na Plus ( + ) a na možnosť Create
7. Teraz na + User
6. Keďže ja v sieti nemám RADIUS a ani LDAP, tak Vytvoríme len Local User a klikneme na Next
7. Teraz na + User
8. Keďže ja v sieti nemám RADIUS a ani LDAP, tak Vytvoríme len Local User a klikneme na Next
9. V ďalšom kroku vytvoríme danému užívateľovi prihlasovacie údaje a klikneme na Next
10. Two-factor Authentification preskočíme
11. V ďalšom kroku, keďže chceme aby sa daný človek pripojil, tak User Account Status zaklikneme na Enabled
12. Užívateľ je už vytvorený
13. Keď klikneme na meno daného užívateľa, tak sa pridá do members a kikneme na OK.
14. Teraz klikneme na Apply
15. Kliknite na Create New
Je potrebné pomenovať dané pravidlo (je jedno aký názov)
Môže sa Vám stať, pri nepozornosti, že dáte pridelíte rovnaký port rozličným službám a najlepšie, keď zameníte manažovací port. V tomto prípaode si odrežete prístup na Fortigate.
Vtedy je potrerbné sa cez konzolový kábel pripojiť k FortiGate
Zapojte konzpolový kábel do Fortigate a do počítačaa
Kliknite na tento počítač (This Computer) pravým tlačítkom a zvoľte Spravovať (Manage)
3. kliknite na Device Manager
4. Zistite v akom COM je zapojený, Na obrázku je to COM5, Vy môžete mať iný
5. Teraz spustite program Putty v možnostiach vyberte Serial a napíšte tam COM, ktorý Vám pridelil počítač
Znázornenie úspešného prihlásenia
Ako prvé zistite alebo skontrolujte port, na ktorom je https momentálne nakonfigurovaný;
show full | grep admin-sport
Teraz môžete zmeniť port danými príkazmi, m ôžete použiť 4433. alebo iný, ktorý máte voľný
Je to autorizícia pre prístup k sieti, alebo pre IP mobilititu.
Medzi najdôležitejšie vlastnosti patrí jeho vysoká sieťová bezpečnosť.
Funguje na protokole AAA – Authentication, Authorization and Accounting
Konfigurácia RADIUS
Požiadavky:
Router 2811
Router 2811
je potrebné doplniť modul do routroch NM-8A/S (Seriové porty)
Urobte si topológiu siete
Na routri 1 urobte následovnú konfiguráciu
enable
configure terminal
hostname R1
interface Se1/0
ip add 10.0.0.1 255.255.255.0
no sh
exit
interface fa0/0
ip add 192.168.50.1 255.255.255.0
no sh
exit
exit
#uložte konfig
w
Na routri 2
enable
configure terminal
hostname R2
interface Se1/0
ip add 10.0.0.2 255.255.255.0
no sh
exit
interface fa0/0
ip add 192.168.60.1 255.255.255.0
exit
exit
#uložte konfig
w
Teraz vytvoríme užívateľa user1 s heslom a povolíme mu authentifikáciu pomocou RADIUS
username user1 password 1234
aaa new-model
aaa authentication enable default group radius local
aaa authentication login default group radius local
Aby sme mohli overiť funkčnost, je potrebné urobíť následovné kroky na servery
Kliknite na Sevices
Následne na AAA
Je potrebné vypísať:
client Name
client IP
Secret
Server Type: Radius
A povoliť službu Service on. Port nechajte pôvodný
Kliknite na Add
Teraz je potrebné ešte vytvoriť užívateľa
a tiež klinite na Add
Teraz otvorte znovu router 2 a dopíšte príkaz
radius-server host 192.168.60.3 key 654321
Počítaču zadajte IP 192.168.50.2/24 a gateway
Po isté počítaču 2 len pozor na gateway
Na servery je potrebné nastaviť IP adresu a verifikáciu RADIUS-u prostredníctvom AAA
Nastavíme IP
Keď ste popridávali IP adresy všetkým zariadeniam v sieti, otestujeme, či Nám funguje RADIUS
Budeme sa chcieť, ako prvé pripojiť z PC2 na router R2
Otvorte na PC2 terminál
Prostredníctvom pc sa pripojte na router R2
telnet 192.168.60.1
vyžiadá si username a heslo
užívateľ: user1
heslo: cisco
A keď napíšete enable, tak budete môcť konfigurovať router z počítača
enable
Výborne prvá časť je nakonfigurovaná, ale zo siete ktorá sa nachádza na routri R1, tak túto sieť neuvidí. Musíme použiť router RIP
Otvorte Router R1
router rip
network 192.168.50.0
network 10.0.0.0
Na routri R2
router rip
network 10.0.0.0
network 192.168.60.0
Otestujte to najrýchlejšie, tak, že z PC1 urobíte ping na PC2, alebo na Server
ping 192.168.60.2 (PC2)
ping 192.168.60.3 (RADIUS server)
Keď je to funkčné, môžete sa skúsiť pripojiť na router R2 z PC1
Protocol: (v mojom prípade tcp), záleží na Vás, aký protokól potrebujete
Dst. Port (Destinanion port), to je na Vás ja som si otvoril port 10443, môžete iné. (Osobne odporúčam si pred otváraním portu pozrieť, či Vám na ňom už nejaká služba nebeží)
In. Interface: ether1
Teraz otvotre možnosť Action
Ako prvé zvoľte dst-nat
Zvoľte IP adresu NAS synology, a na port, na ktorom chcete, aby počúvala komunikácia
Kliknite na Apply
Otestujte komunikáciu, keď vytvárate užívateľovi prístup napríklad na IPTV, tak zadávate
Protokol:v našom prípade Webdav
Port
Meno užívateľa
Heslo
Verejnú IP adresu, na lokalite, kde sa nachádza pripojená NAS
Overte komunikáciu:
Ak si budete chcieť prečítať hlbšie ohľadne Kodi na Raspberry som v minulosti pre netvel.sk písal publikáciu
WireGuard je jedeno z mnoho riešení na vytvorenie tunela medzi dvoma sieťami. Na trhu je ich hneď niekoľko. Zopár najrozšírenejších spomeniem.
OpenVPN
VPN and Endpoint Security Clients (Cisco)
ForticlientVPN
WireGuard
A iné
WireGuard sa už pomaly tlačí aj do routrou od spoločnosti Mikrotik, ale zatiaľ je to len v beta verzií. Osobne som sa s tým skúšal hrať, ale bez úspechu. Tak som zvolil druhú možnosť. Naštaštie WireGuard sa dá naištaľovať aj na Raspberry Pi a mám ich požehnane. Ako si naištaľovať WireGuard na Raspberry Pi nájdete v tomto linku:
Ako prvé musíme povolôiť na NAS SSH Secure Shell (port 22)
Ovládací panel
Terminál a SNMP
4. Zvoľte použiť
Inštalácia Python3
Musíte naištalovať Python3, ten naištalujete cez centrum balíčkov
Teraz sa prihláste cez ssh na NAS užívateľom, akého ste si vytvorili na NAS.Manual ako vytvoriť užívateľa nájdete tu
Keď sa pripojíte a napíšete príkaz, tak zistíte verziu naištalovaného Pythone
python
Stiahneme repozitáre z fail2ban
wget --no-check-certificate https://github.com/fail2ban/fail2ban/archive/0.9.5.tar.gz -O /tmp/fail2ban_0.9.5.tar.gz
cd /tmp
tar -zxvf fail2ban_0.9.5.tar.gz
cd /tmp/fail2ban-0.9.5
Pokračujte v inštalácií a skontrolujte, či ste v správnom adresáry
cd /tmp/fail2ban-0.9.5
python setup.py install
Skontrolujte či Fail2ban funguje
fail2ban-client -h
Teraz Fail2ban je nastavený na to aby blokoval prihlásenia z SSH pomocou hesla.
fail2ban-client status
fail2ban-client start
fail2ban-client status
fail2ban-client stop
6. V ďalšom kroku sa rozhodujete či bude užívateľ v skupine administrátori alebo užívatelia
7. V ďalšom kroku vyberáte prístup do akých priečinkov bude mať daný užívateľ prístup a môžete zvoliť či bude môcť iba čítať alebo aj robiť úpravy.
8. V ďalšom kroku dajte iba zvoliť ďalej. To sa Vás pýta iba, na ktorý zväzok. Ja mám 2 Zväzky. 4 T+ 4 T v RAID 1 a 1T + 1T v RAID 1. O RAID píšem viac v tu
9. V ďalšom kroku dávate užívateľovi prístup na aplikácie
10. V ďalšom kroku určujete užívateľovi obmedzenú rýchlosť. Ak to necháte na 0 tak bude mať neobmedzenú rýchlosť
11. Potvrďte nastavenia ak je všetko poriadku zvoľte Použiť. Užívateľ sa vytvorí za pár sekúnd
Ak máte hotového užívateľa, a ak máte vytvorený VPN klienta, tak môže pristupovať na NAS aj na diaľku. Ako Vytvoriť VPN certifikát nájdete tu
Ak chcete pristupovať externe (mimo lokálnu sieť) na NAS, tak najbezpečnejšie riešenie je cez VPN. Na výber máte pri NAS 3 typy VPN.
PPTP
OpenVPN
L2TP/IPSec
Na Routri musíte, ako prvé povoliť službu port forwarding. Každý Router to má inak, tak na to žiaľ neexistuje univerzálny návod. Ja mám Router Asus RT-AC55U.
Choďte do WAN
Kliknite na Virtual Server / Port Forwarding
Servis Name nieje podstatný, dôležité je, aby ste vedeli na, ktorom porte počúva VPN k NAS
A zvoľte uložiť
V článku sa budeme venovať konfigurácií OpenVPN
Keď idete tvoriť VPN na NAS tak si stiahnite aplikáciu VPN Server
2. Povoliť Server OpenVPN
Vypíšte port, na ktorom má počúvať OpenVPN
Povoliť kompresiu na licenciu VPN
Povoliť klientom prístup k sieti LAN (ak toto nepovolíte, tak síce VNP sa pripojí, ale bude Vám odmietať pripojenie sa na NAS)
3. Keď už máte hotové všetky kroky tak dajte Exportovať konfiguráciu
Súbor sa Vám stiahne v rare
Hlavný súbor je VPNConfig.ovpn
Tam si musíte zapísať, už len Verejnú IP adresu, ktorú Vám pridelil poskytovateľ internetu
Keď to uložíte, tak tento certifikát môžete posunúť užívateľom, ktorím chcete dať prístup na NAS.
V tomto kroku, musíte vytvoriť užívateľov na Servery. Ako nájdete v manuály Pridávanie užívateľov a ich práva