Кесте 5.

Келесі адресті аумақты максимализациялау үшін 192.168.1.0/27 подсеті қайтадан 30 биттті маскіні қолданып 8 ішікі желіге бөлінеді:

0	192.168.1.0/30	4	192.168.1.16/30
1	192.168.1.4/30	5	192.168.1.20/30
2	192.168.1.8/30	6	192.168.1.24/30
3	192.168.1.12/30	7	192.168.1.28/30

Кесте 6.

Бұл ішкі желі тізбектей нүкте - нүкте (точка - точка) байланысында қолданылуы мүмкін және олар әрбір ішкі желі екі ғана адрестен құралғандықтан, адрестердің жойылуы минимумға жетеді.

3-суретте бейнеленген желіні құрып, дұрыстап көрелік. Vista маршрутизаторы үшін 2501 моделін, ал қалған екі модель үшін 805 моделін алайық. 2950 коммутаторын қолданамыз.

1. Интерфейсті көтеріп, желіні show cdp neighbors командасымен тексеріңіз.

2. Суретке сәйкес адрестерді орнатыңыз. Белгіленуді show ip interface brief командасымен тексеріңіз.

3. HostA компьютері үшін үнсіз келісім бойынша маршрутты бекіту бірегей емес: SanJose1 маршрутизаторы үшін Ethernet интерфейсіндегі 192.168.1.33 адрісіне, немесе SanJose2 маршрутизаторы үшін Ethernet интерфейсіндегі 192.168.1.34 адресіне жіберу орыдалады.

Еркін түрін таңдаңыз, мысалы

hostA#ipconfig /dg 192.168.1.33

4. Барлық үш маршрутизаторда RIP протоколы бойынша адрестерді автобіріктіруді өшіріп, маршрутизацияны баптау.

Router (config)# router rip

Router (config-router)#version 2

Router (config-router)# no auto-summary

Router (config-router)# network 192.168.1.0

3-сурет.

5. HostA орналасқан жерде, Vista маршрутизаторы үшін 192.168.1.32/27 локалді желісіне маршрут барына көз жеткізуіміз қажет.

Vista#show ip route

192.168.1.32/27 желісіне кестеде бір маршрут бағытталған, 192.168.1.2 адрісіне Serial0 арқылы, алайда 192.168.1.32/27 желісіне тағы бір маршрут 192.168.1.6 адрісімен Serial1 интерфейсі арқылы бағытталған. Шынайы маршрутизаторда біз бұл екі маршрутты көре алатын едік. Симулятор Serial0 және Serial1 интерфейстармен маршрутты ақпарат алмасқанымен, ол бір ғана маршрутты көрсетілімге шығарады:

Vista#debug ip rip

Vista#no debug ip rip

Скриншоттар жасаңыз.

6. SanJose1 маршрутизаторынан hostB компьютері орналасқан 192.168.1.64/27 локалді желісіне маршрут бар екенін көруіміз қажет.

Скриншот жасаңыз.

7. SanJose2 маршрутизаторынан hostB компьютері орналасқан 192.168.1.64/27 локалді желісіне маршрут бар екенін көруіміз қажет.

Скриншот жасаңыз.

HostВ компьютерінен hostB компьютеріне пинг жазаңыз және керісінше. 2 скриншот жасаңыз.

Берілген мысал version 2 және no auto-summary командаларын енгізбей-ақ симулятор жұмыс атқаратынын көре аламыз.

Бақылау сұрақтары

1. Маска не үшін қажет?

2. CIDR дегеніміз не?

3. VLSM дегеніміз не?

4. IP адресте IP классты адрестерді қолдана отырып қалай адрес хостын және ішкі желі адресін белгілейді?

5. IP адресте IP классты адрестерді қолданбай қалай адрес хостын және ішкі желі адресін белгілейді?

6. Іщку желіде қолжетімді адрестер саны қаншаға жетеді?

7. Ішкі желідегі хостар санына байланысты минималды маскіні жазыңыз.

8. Маскінің қандай жазылу формаларын білесіз?

9. Тізбектей байланысты неге бөлек ішкі желіге бөледі?

10. Тізбектей байланысқа қандай маскіні қолдануға кеңес беріледі жне неге?

11. CIDR және VLSM адрестік аумақты қалай үнемдеуге алып келеді?

12. Supernetting дегеніміз не?

13. Маршруттардың агрегациясы дегеніміз не және қалай ол маршрутизациялану кестесінің кішіреюіне қалай ықпал етеді?

14. Ажыратылған ішкі желі дегеніміз не және маршрутизацияның қандай протоколы оны қабылдамайды?

15. RIP протоолымен симулятор жұмыс істегенде қандай ерекшелік болады?

Жұмысты тапсыру және орындалу реті

1. Теориялық және пратикалық бөлімдерді зерттеу.

2. Оқытушыға бақылау сұрақтарына жауап бере отырып, теориялық бөлімді тапсыру.

3. PacketTracer – де практикалық бөлімді орындау.

4. PacketTracer – де өздік жұмыс сұрақтарына жауап беру.

5. Өзіндік жұмыстың 11-пунктің нәтижесін оқытушыға көрсету.

6. Есепті жинақтау. Есеп мазмұнын астынан қара.

7. Есепті қорғау.

Өздік жұмыс үшін тапсырмалар

Өзіңіздің нұсқаңыз бойынша келесі төрт желілері құрыңыз. (4,5,6,7 суреттер)

4-сурет. 1-нұсқа.

5-сурет. 2-нұсқа.

6-сурет. 3-нұсқа.

7-сурет. 4-нұсқа.

Нұсқаның орындалу реті

1. Дизайнерда керекті санды және керекті интерфейсті маршрутизаторды дұрыс таңдап алу. Интерфейс саны өсе алатын, қөпқабатты құрылғыны қолданыңыз. Симуляторда олар Ethernet 2/0 адресті түрінде келеді, оның мағынасы 2 қабаттағы 0 интерфейс.

2. Топология құрыңыз. локалды желі коммутатор мен компьютерді құрайды.

3. Топология скриншотын жасаңыз.

4. Әрбір ішкі желіге минимум нөлдері бар дұрыс маскілер орнату. Тізбектей байланыс үшін /30 маскісі екенін ұмытпаңыз.

5. Маршрутизаторлар мен компьютерлердің желілік интерфейстеріне қандай адрестер белгілейтініңзді шешіңіз.

6. Графикалық редакторда өзіңіздің топологияңызға анықталған маскілер мен адрестерді енгізіңіз.

7. Симуляторда маршрутизаторлар мен компьютерлердің желілік интерфейстеріне адрстер орнатыңызз.

8. Show ip interface brief (маршрутизатор) және ip config (компьютер) командаларын қолданып, берілген адрестер дұрыстығын тексеріңіз.

9. RIP протоколының екінші нұсқасымен әрбір маршрутизаторда динамикалық маршритизациясын баптау.

10. Әрбір маршрутизаторда маршрутизация кестесін шығарыңыз және скриншот жасаңыз.

11. Сіз кез-келген компьютерден басқа кез-келген компьютерге пинг жасай алуыңыз керек.

12. Еркіңізге қарай, сіз локалды желілер үшін loopback интерфейсті петляны қолданып, ары қарай оны бір компьютер мен коммутатор арасында байланыстыратын Ethernet интерфейсіне ауыстыруыңызға болады.

Есеп мазмұны.

Есеп электронды түрде жазылады және қағазға шығарылады. Есепте болу тиіс:

1. Практикалық бөлімдегі топология скриншоты.

2. Практикалық бөлімдегі барлық маршрутизаторлардағы .txt файлдарының конфигурациясы.

3. Сіздің нұсқаңыз бойынша адрестер және маскілер топологиясының скриншоты.

4. Жұмыс кезінде орындалған барлық маршрутизаторлардағы .txt файлдарының конфигурациясы.

№7 лабораториялық жұмыс. ACL қолжетімділікті басқару тізімдері.

Теориялық бөлім.

Қолжетімділікті басқару тізізмдері (accesscontrollistACL) бұл ішкі тізімдегі ақпарат негізінде пакеттер ағымына рұқсат беретін немесе бермейтін ережелердің тізбектей жасалған тізімі. Қолжетімділік тізімісіз барлық пакеттерге желі ішінде желінің барлық бөліктеріне өту үшін рұқсат беріледі. Қолжетімділік тізімі маршрут кестесіндегі өзгерістер туралы ақпаратты алып және таратуды бақылау үшін, ең бастысы, қауіпсіздік үшін қолданылады. Қауіпсіздік политикасы, негізінде, сыртқы қауіптен қорғауды, ұйым бөлімдері арасындағы қолжетімділікті шектеуді, желі жүктемесін таратыуды жайсайды.

Қолжетімділік тізімі маршрутизаторды желіаралық экран ретінде, сыртқы желіден(мысалы, интернет) ішкі желіге қолжетімділікті шектейтін брандмауэр ретінде қолдануға мүмкіндік береді. Брандмауэр, негізінен, 2 желі арасындағы қосылу нүктелері арасында орнатылады.

Стандартты ACL

Стандартты ACL-ді қолданған кезде, пакеттің рұқсат етілу-етілмегендігінің жалғыз критериі осы пакет көзінің IP адресі болып табылады. Қолжетімділік тізімі элементінің форматы:

Router(config)#access-list № permit | deny source-address source-mask,

Мұндағы, № – бүтін сан – қолжетімділік тізіміның нөмері, source-address - пакет көзінің адресін білдіреді, source-mask – адреске тіркелетін инверсті түрдегі, permit – пакеттің өтуіне рұқсат, deny – пакеттің өтуіне рұқсаттың берілмеуі. № саны қолжетімділік тізімінің элементінің белгілі бір қолжетімділік тізімінің № нөмеріне сәйкестігін тексереді. Бірінші Аccess-list командасы қолжетімділік тізімінің бірінші элементін, екінші команда екінші элементін және т.б. анықтайды. Маршрутизатор мұндағы белгілі бір қолжетімділік тізімдерін элементтерін жоғарыдан төмен реттеу бойынша жасайды. Яғни, егер пакеттің адрес source-address адресі маскасымен бірге тізім элементі шартына сәйкес келіп тұрса, маршрутизатор қалған элементтерді қарастырмайды. Бөлу уақытын азайту үшін, көп шарттарды қанағаттандыратын элементтерді тізімнің басына орналастырған жөн. Маршрутизатор ішінде бірнеше қолжетімділік тізімдері болуы мүмкін. Стандартты тізім номері 1 – 99 аралығында болуы керек. Қолжетімділік тізімінің маскасы инверсті түрде беріледі. Мысалы, 255.255.0.0 маска былай беріледі: 0.0.255.255.

Cisco маршрутизаторлары қолжетімділік тізімінде айқын көрінбейтін адрестерді тыйым салынған адрестер деп есептейді. Яғни, қолжетімділік тізімінің соңында көрінбейтін элемент болады.

Router(config)#access-list # deny 0.0.0.0 255.255.255.255

Егер біз тек 1.1.1.1 адресінің трафигіне рұқсат беріп, қалған барлық трафиктерге тыйым салғымыз келсе, қолжетімділік тізіміне бір элемент қана орналастырғанымыз жетеді.

Router(config)#access-list 77 permit 1.1.1.1 0.0.0.0.

Мұнда, біз қолжетімділік тізімін номермен жасадық деп есептелінеді.

Белгілі бір адрестердің диапазоны үшін жасалған стандартты қолжетімділік тізімдерінің қолданылуын қарастырайық. Мысал ретінде 10.3.16.0 – 10.3.31.255 адрестер диапазонын алайық. Инверсті масканы алу үшін үлкен адрестен кіші адресті алып тастау керек: 0.0.15.255. Қолжетімділік тізімінің элементін мына команда арқылы беруге болады:

Router(config)#access-list 100 permit 10.3.16.0 0.0.15.255

Қолжетімділік тізімі өз жұмысын жасауы үшін, ол интерфейске келесі команда бойынша тіркелуі керек:

Router(config-if)#ip access-group номер-списка-доступа in либо out

Қолжетімділік тізімі не кіріс (in), не шығыс (out) тізімі ретінде қолданылуы мүмкін. Қолжетімділік тізімін кіріс тізім ретінде қолданғанда, маршрутизатор кіріс пакетті алып, оның кіріс адресін тізім элементтерімен салыстырады. Егер пакет рұқсат етілген тізім элементтерін қанағаттандырса, маршрутизатор пакетке жіберілген интерфейсіне маршрутизациялануға рұқсат береді. Егер пакет тыйым салынған элементтер шартына сәйкес келсе, пакетті алып тастайды. Егер сіз тізімді шығыс тізім ретінде қолдансаңыз, роутер кіріс пакетті алып, оны жіберілген интерфейсіне маршрутизациялайды, сосын барып пакеттің кіріс адрестерінің осы интерфейс қолжетімділік тізімінінің элементтеріне сәйкестігін тексереді. Ары қарай маршрутизатор не пакетке интерфейсті тастап кетуге рұқсат береді, не оны лақтырып тастайды. Алдында жасалған 77-нөмірлі тізім маршрутизатордың Ethernet 0 интерфейсіне кіріс тізім ретінде мына командалар көмегімен қолданылады:

Router(config)#int Ethernet 0

Router(config-if)#ip access-group 77 in

Осы тізім маршрутизатордың Ethernet 0 интерфейсіне шығыс тізім ретінде мына командалар көмегімен қолданылады:

Router(config-if)#ip access-group 77 out

Интерфейстегі тізім no командасы көмегімен алынып тасталады:

Router(config-if)# no ip access-group 77 out

Күрделі қолжетімділік тізімдерін жасауды қарастырайық. Суреттегі желіні қарастырайық.

1. 10.1.1.0 /25 (10.1.1.0 255.255.255.128) желісінен шығатын барлық пакеттерге рұқсат берейік , бірақ 10.1.1.128 /25 (10.1.1.128 255.255.255.128) желісінен шығатын барлық пакеттерге тыйым салайық.

Сонымен қоса, 15.1.1.0 /24 (15.1.1.0 255.255.255.0) желісінен шығатын барлық пакеттерге (15.1.1.5. хост адресінен басқа ). Ал қалған барлық пакеттерге рұқсат береміз. Тізімге 2 деген номер береміз. Берілген тапсырманы орындайтын командалардың тізбегі:

Router(config)#access-list 2 deny 10.1.1.128 0.0.0.127

Router(config)#access-list 2 permit 15.1.1.5 0.0.0.0

Router(config)#access-list 2 deny 15.1.1.0 0.0.0.255

Router(config)#access-list 2 permit 0.0.0.0 255.255.255.255

10.1.1.0 255.255.255.128 желісі үшін рұқсат беретін элементтін жоқтығын атап кетйік. Оның ролін соңғы элемент атқарады: access-list 2 permit 0.0.0.0 255.255.255.255.

Берілген тапсырманы орныдағанымызды тексерелік:

1. 10.1.1.0 255.255.255.128 желісінен шығатын барлық пакеттерге рұқсат беру.

Қолжетімділік тізіміндегі соңғы жол осы критерийге сәйкес келеді. Рermit 0.0.0.0 255.255.255.255. соңғы рұқсат беретін жолдан басқа тізімде бұл желіге сәйкес келетін жол болмағандықтан, бұл желіге рұқсат берудің қажеті жоқ.

2. 10.1.1.128 255.255.255.128 желісінен шығатын барлық пакеттерге тыйым салу.

Тізімдегі бірінші жол осы критерийге сәйкес келеді. Осы желінің инверсті маскасын көрсеткен маңызды: 0.0.0.127. Бұл маска берілген желі астындағы адресация үшін арналған адрестерді(төртінші октеттің соңғы жеті битін) алмау керектігін көрсетеді. Бұл желі маскасы: 255.255.255.128. Бұл маска төртінші октеттің соңғы жеті биті берілген желідегі адресацияны білдіретінін көрсетеді.

3. 15.1.1.0 255.255.255.0желісінен шығадын барлық пакеттерге тыйым салайық, 15.1.1.5 хост адресінен басқа.

1-сурет.

Бұл шарт қолжетімділік тізімінің екінші және үшінші жолын қанағаттандырады. Қолжетімділік тізімі бұл шартты берілген тәртіп бойынша орындамайды. Қолжетімділік тізімі жоғарыдан төмен қарай қарастырылады және ең бірінші сәйкестіктен кейін тексеру тоқтатылады. Біз алдымен 15.1.1.0 255.255.255.0 желісінен шығатын барлық пакеттерге тыйым салынып, содан кейін 15.1.1.5 адресті пакетке рұқсат беру керек екенін жазамыз. Қолжетімділік тізімін анаықтайтын командаларда екінші және үшінші командалардың орнын ауыстырсақ, 15.1.1.5 хостқа рұқсат берілгенге дейін 15.1.1.0 желісіне толықтай тыйым салынады. Яғни 15.1.1.5 адресіне басынан-ақ deny 15.1.1.0 0.0.0.255 жалпы критерийімен тыйым салынады.

4. Барлық пакеттерге рұқсат беру. Соңғы команда бастапқы үш командаға сәйкес келмейтін барлық командаларға рұқсат береді. Қолжетімділік тізімін жасау үшін келесі тізбектелген іс-әрекеттерді орындау керек.

1. Қолжетімділік үшін критерийлер мен тосқауылдарды білу.

2. Белгілі бір номері бар қолжетімділік тізімін аccess-list командасы көмегімен құру.

3. Тізімді белгілі бір интерфейске не кіріс, не шығыс тізім ретінде белгілеу.

Соңғы пунктке тоқталайық. Жалпы жағдайда стандартты қолжетімділік тізімін пакеттер көзіне емес, жету нүктесіне жақынырақ орналастыру керек. Бірақ керісінше болатын кездер де болуы мүмкін. Стандартты қолжетімділік тізімі тек шығыс адрестермен ғана жұмыс істейтіндіктен толық конфигурация жасау әрдайым мүмкін бола бермейді. Қажет емесе қолжетімділік конфигурациялары болмау үшін, біраз күш салу керек. Егер тізім пакеттер көзіне жақын орналастырылса, ешқандай қолжетімділік конфигурациясы болмайтын құрылғыларға кіру мүмкіндігі тым аз болады.

1-суреттегі желі қауіпсіздігінің саясатын айта кетсек. Біздің мақсатымыз 15.1.1.0 /24 локальдік желісіндегі А (адрес 1.1.1.2 сеть 1.1.1.0/24) компьютері үшін саясат жасау. Бұған С (15.1.1.5) компьютері кіріп, А компьютеріне кіру рұқсатын тек С компьютері арқылы береді. Сонымен қоса біз компьютера D (10.1.1.133) компьютеріне саясат құрғымыз келеді. Оның мақсаты 10.1.1.128 / 25 локальді желісінің кез келген құрылғысынан А компьютеріне кіруге тыйым салу. Қалған барлық трафикке рұқсат береміз. 1-суретте PC5 (15.1.1.5) компьютері 15.1.1.0/24 локальді желісінің С компьютерінен дербес компьютер рөлін атқарады. Бұндай саясат үшін тізімді енгізу қиын. Алдында құрылған 1-номерлі тізімді алайық. Егер тізімді 2-маршрутизатордың тізбектей байланыс интерфейсінің шығыс тізімі ретінде алсақ, бұл мәселе А компьютері үшін шешілген болар еді, бірақ басқа локальді желілілер арасында трафиктерге шектеу қойылады. Егер тізімді 1-маршрутизатордың тізбектей байланыс интерфейсінің кіріс тізімі ретінде алсақ, бұл мәселе дәл алдындағыдай болар еді. Егер біз бұл тізімді 1-маршрутизатордың EthernetA интерфейсінің шығыс тізімі ретінде алсақ, мәселе ешқандай тосқауылсыз шешіледі.

ACL кеңейтілімі.

ACL стандартымен сіз маскасыз тек адресті ғана көрсете аласыз. Кеңейтілген ACL- де сіз қабылдаушы адресін және жіберуші адресін маскамен бірге көрсетуіңіз керек. Сіз жіберуші үшін де, қабылдаушы үшін де қосымша протоколды мәліметті тіркей аласыз. Мысалы TCP мен UDP үшін порт номерін көрсетуге, ICMP үшін кез келген типтегі хабарламаны көрсетуге рұқсат берілген. Стандартты ACL-дер үшін де log опциясы үшін лог жасауға болады..

Кеңейтілген қолжетімділік тізімінде жол жасайтын командалардың жалпы формасы:

access-listaccess-list-number {permit | deny} protocolsourcesource-wildcard

[operator source-port] destination destination-wildcard [operator destination-port]

[precedence precedence-number] [tos tos] [established] [log | log-input],

Мұндағы, access-list-number -100-199|2000-2699, protocol - ip, icmp, tcp, gre, udp, igrp, eigrp, igmp, ipinip, nos и ospf. source-port порты немесе destination-port порты үшін порт номерін немесе оның қолданылуын bgp, chargen, daytime, discard, domain, echo, finger, ftp, ftp-data, gopher, hostname, irc, klogin, kshell, lpd, nntp, pop2, pop3, smtp, sunrpc, syslog, tacacs-ds, talk, telnet, time, uucp, whois и www. Operator это eq (тең), neq (тең емес), gt (... қарағанда үлкен), lt (... қарағанда кіші), range (диапазонды анықтайтын екі порт көрсетіледі) қолдануға болады..

Стандартты ACL-дердегі сияқты кеңейтілген ACL-ді не интерфейске, не интерфейске кіретін трафикке тіркеп қою керек.

Router(config-if)# ip access-group №ACL in

Немесе интерфейстен шығатын трафик үшін

Router(config-if)# ip access-group №ACL оut

мұндағы №ACL – тізім номері.

Кеңейтілген ACL элементтерінің мысалы. SMTP-ны хостқа қосуға рұқсат беру.

Router(config)# access-list 111 permit tcp any host 172.17.11.19 eq 25

Телнетті хостқа жасау үшін рұқсат беру

Router(config)# access-list 111 permit tcp any host 172.17.11.19 eq 23

Кеңейтілген ACL қолжетімділікті кеңінен баптауға мүмкіндік береді.

Ат берілген ACL

Ат берілген ACL-дерді номері бойынша емес, аты бойынша ажыратады.

Ат берілген ACL-ді құру үшін мына команда қажет:

Router(config)# ip access-list extended ACL_name

Ат берілмеген тізім элементтерін құратын командалар:

Router(config-ext-nacl)# permit|deny IP_protocol source_IP_address wildcard_mask

[protocol_information] destination_IP_address wildcard_mask [protocol_information]

[log]

Тізімді жасауды аяқтау үшін exit командасын жазу керек.

Ат берілген тізімнің аты регистрге сезімтал. Аты жоқ тізімді жасау командалары номерленген элементтер тізімін құру командаларына ұқсайды, бірақ бұл процесстің өзі басқаша. Басты ACL операторының алдында сіз ір кілт сөзін қолдануыңыз керек және аты бар тізімнің конфигурациялық режиміне кіруіңіз керек. Бұл режимді permit немесе deny кілт сөздерінен бастаймыз және access-list сөзін әрбір жол басында жазбау керек.

Ат берілген ACL интерфейске мына команда көмегімен тіркеледі.

Router(config)# interface type [slot_№]port_№

Router(config-if)# ip access-group ACL_name in|out

ACL жоғарыдан төмен өңделеді. Жиірек қайталанатын трафик тізімнің басында өңделуі керек. Тізіммен өңделетін пакет тізімдегі элементті қанағаттандырған кезде, бұл пакетті өңдеу тоқтатылады.

Стандартты ACLs-ті трафик фильтрленетін жету нүктесіне жақын жерде орналастырған жөн. Шығыс (out) кеңейтілген ACLs-ті фильтрленетін пакеттер көзіне неғұрлым жақынырақ, ал кіріс ACLs-ті трафик фильтрленетін жету нүктесіне жақын жерде орналастыру керек.

Ат берілген ACLs сізге өзін баптауға рұқсат береді. Ол үшін оны құруға арналған команданы жазу керек:

Router(config)# ip access-list extended ACL_name

Вертикалды бағыттауышы бар батырмалардың көмегімен сіз өзгерткіңіз келетін тізім жолын табыңыз. Горизонтальді бағыттауышы бар батырмалардың көмегімен оны өзгертіңіз. Енгізу батырмасын басыңыз. Жаңа жол тізім соңына қосылады. Ескісі жойылмайды. Оның жойылуы үшін жол басында no сөзін енгізу керек.

Сандық ACLs-ті өңдеу кезінде жаңа жол құру үшін оны жойып, қайта құру керек немесе тізімді офлайн болғанда өзгертіп алып, құрылғыға енгізу керек.

Практикалық бөлім.

1. 2-суретте көрсетілген топологияны құрамыз.

2-сурет.

Кесте бойынша интерфейстерге адрестер береміз. (маска 255.255.255.240). DCE құрылғысында тізбектей байланыста синхронизация орнатуды ұмытып кетпеңіз.

	Router2	Router1	Router4
Ethernet	24.17.2.2	24.17.2.1
Serial		24.17.2.17	24.17.2.18

RIP маршрутизациясының конфигурациясын жасайық.

Router1 үшін.

Router1(config)#router rip

Router1(config- router)#version 2

Router1(config- router)#network 24.0.0.0

Router2 үшін

Router2(config)#router rip

Router1(config- router)#version 2

Router2(config- router)#network 24.0.0.0

Router4 үшін

Router4(config)#router rip

Router4(config- router)#version 2

Router4(config- router)#network 24.0.0.0

Өзіңіздің желіңізді ping командаы көмегімен тексеріңіз. Негізінен, 4- маршрутизатордан 2- маршрутизатордың Ethernet0 (24.17.2.2) интерфейсіне пинг жасай аласыз.

Router4#ping 24.17.2.2

4- маршрутизатор 2- маршрутизаторға пинг жасай алмайтындай стандартты қолжетімділік тізімін құрайық. Ол үшін 4- маршрутизатордың жалғыз 24.17.2.18 адресіне тыйым салып, қалған трафикке рұқсат береміз. Тізімді 2- маршрутизаторда мына командалардың көмегімен құрамыз:

Router2(config)#access-list 1 deny 24.17.2.18 0.0.0.0

Router2(config)#access-list 1 permit 0.0.0.0 255.255.255.255

Тізімді 2- маршрутизатордың Ethernet интерфейсіне қолданамыз.

Router2(config)#interface FastEthernet0/0

Router2(config-if)#ip access-group 1 in

Қолжетімділік тізімінің іске қолығандығын тексереміз. Ол үшін жұмыс істейтін конфигурацияны қараймыз.

Router2#showrunning-config

Тізімнің интерфейске қолданылып тұрғанын ―showipinterface‖ командасын қолданып көре аламыз. Шығарылған ақпарат ішінен ―Innboundaccesslistis 1‖ жолын табыңыз.

Router2#showipinterface

―showaccess-lists‖ командасы жасалған қолжетімділік тізімінің мазмұнын көрсетеді.

Router2#showaccess-lists

Айта кетейік, host 24.17.2.18 деген 24.17.2.18 0.0.0.0. дегенге парапар. 4-роутерден 2-роутердің Ethernet0 (24.17.2.2) интерфейсіне пинг жасаған кезде:

Router4#ping 24.17.2.2

―UUUUU‖ жолы шығады, бұл қолжетімділік тізімінің дұрыс жұмыс істейтіндігін білдіреді.

2. 3-суреттегі топологияны құрайық.

3-сурет.

Кесте бойынша интерфейстерге адрестер береміз (маска 255.255.255.0).

	Router2	Router1	Router3	Router4
Ethernet 0	160.10.1.2	160.10.1.1	175.10.1.2	180.10.1.2
Ethernet 1		175.10.1.1	180.10.1.1

Маршрутизацияның OSPF конфигурациясын жасайық.

Router1 үшін

Router1(config)#router ospf 1

Router1(config- router)#network 160.10.1.0 0.0.0.255 area 0

Router1(config- router)#network 175.10.1.0 0.0.0.255 area 0

Router2 үшін

Router2(config)#router ospf 1

Router2(config- router)#network 160.10.1.0 0.0.0.255 area 0

end

Router3 үшін

Router3(config) #router ospf 1

Router3(config- router)#network 175.10.1.0 0.0.0.255 area 0

Router3(config- router)#network 180.10.1.0 0.0.0.255 area 0

Router4 үшін

Router4(config )#router ospf 1

Router4(config- router)#network 180.10.1.0 0.0.0.255 area 0

Тексеру үшін шеткі нүктелерге пинг жасаңыз.

router2#ping 180.10.1.2

router4#ping 160.10.1.2

1-маршрутизатордың(router1) ethernet0 интерфейсіне келетін трафикті фильтрациялау үшін стандартты қолжетімділік тізімін құрамыз. 175.10.1.0 (router3) желі ішінің трафигіне рұқсат беріп, қалған құрылғылардың трафиктеріне тыйым салады.

router1(config)#access-list 1 permit 175.10.1.0 0.0.0.255

Оның құрылғандығын тексеріңіз.

router1#showaccess-list

Ethernet 1 интерфейсіне кіріс тізім ретінде қосыңыз.

router1(config)#interface FastEthernet1/0

router1(config-if)#ip access-group 1 in

Байланысты мына командамен тексеріңіз:

router1# showrunning-config

3 және 2 маршрутизаторлар мен 4 және 2 маршрутизаторлар арасындағы байланысты тексеріңіз.

router3# ping 160.10.1.2

router4# ping 160.10.1.2

3 және 2-роутерлар арасында байланыс болуы керек, ал 4 және 2 арасында болмауы керек.

Қолжетімділік тізімін өзгертіп, 180.10.1.0 (router4) желі ішіндегі трафиктерге рұқсат беріп, қалған құрылғылар трафиктеріне тыйым саламыз.

router1(config)# no access-list 2

router1(config)# access-list 2 permit 180.10.1.0 0.0.0.255

Оның өзгергендігін тексеріңіз.

router1#showaccess-list

Тізімді Ethernet 1 интерфейсіне кіріс тізім ретінде орнатыңыз.

router1(config)#interfaceFastEthernet1/0

router1(config-if)#ip access-group 1 in

Байланысты мына командамен тексеріңіз:

router1# showrunning-config

3 және 2 маршрутизаторлар мен 4 және 2 маршрутизаторлар арасындағы байланысты тексеріңіз.

router3# ping 160.10.1.2

router4# ping 160.10.1.2

4 және 2-роутерлар арасында байланыс болуы керек, ал 3 және 2 арасында болмауы керек.

3. 1-суреттегі желі үшін IP конфигурациясын жасап, тексеріңіз динамикалық маршрутизация үшін OSPF-ны қолданыңыз.

Router 1 маршрутизаторы үшін

router1(config)#router ospf 1

router1(config-router)#network 2.2.2.0 0.0.0.255 area 0

router1(config-router)#network 1.1.1.0 0.0.0.255 area 0

router1(config-router)#network 10.1.1.0 0.0.0.127 area 0

Router 2 маршрутизаторы үшін

Router2(config)#router ospf 1

Router2(config-router)#network 10.1.1.128 0.0.0.127 area 0

Router2(config-router)#network 15.1.1.0 0.0.0.255 area 0

Router2(config-router)#network 2.2.2.0 0.0.0.255 area 0

Желі жұмысын тексеріңіз: сіз кез келген құрылғыдан кез келген құрылғыға пинг жасай алуыңыз керек. Немесе оңай жолы: A, B, C, D, PC5 барлық компьютерлері бір-бірімен қос-қостан пингтелуі керек.

Теоретической бөлімдегі тізімді құралық.

3.1 Router 1 маршрутизаторында қолжетімділік тізімін құрайық.

router1(config)#access-list 2 deny 10.1.1.128 0.0.0.127

router1(config)#access-list 2 permit host 15.1.1.5

router1(config)#access-list 2 deny 15.1.1.0 0.0.0.255

router1(config)#access-list 2 permit 0.0.0.0 255.255.255.255

және оны Ethernet0 интерфейсіне шығыс тізім ретінде бекітейік.

router1(config)#interface FastEthernet0/0

router1(config-if)#ip access-group 2 out

Нәтиженің скриншотын жасайық.

команды router1#showaccess-list

A, B, C, D, PC5 барлық компьютерлерін бір-бірімен қос-қостан пингтейміз, нәтижесін мына қолжетімділік матрицасы шығуы керек:

Бұдан/оған	A	B	C	E	D
А	+	+	+	-	-
В	+	+	+	+	+
С	+	+	+	+	+
Е	-	+	+	+	+
D	-	+	+	+	+

1-кесте.

Теориялық бөлімдегі қауіпсіздік саясаты толығымен жүзеге асқандығын көрдік.

3.2 е0 интерфейсінен ACLc-ді өшіреміз және router1-дің s0 интерфейсіне кіріс тізім ретінде қолданамыз.

(config)#interfacefa0/0

router1(config-if)#no ip access-group 2 out

router1(config-if)#int s2/0

router1(config-if)#ip access-group 2 in

A, B, C, D, PC5 барлық компьютерлерін бір-бірімен қос-қостан пингтейміз, нәтижесін мына қолжетімділік матрицасы шығуы керек:

Бұдан/оған	A	B	C	E	D
А	+	+	+	-	-
В	+	+	+	-	-
С	+	+	+	+	+
Е	-	-	+	+	+
D	-	-	+	+	+

2-кесте.

10.1.1.0/25 және 10.1.1.128/25 желілерінің арасындағы трафикке тыйым салынғандығын көреміз. Сонымен қоса, 15.1.1.5 адресті С компьютерін қоспағанда, 10.1.1.0/25 және 15.1.1.0/24 желілерінің арасындағы трафикке де тыйым салынған.

4. Осы лабораториялық жұмыстың 1- пунктегі топология мен конфигурацияны пайдаланамыз. 1- пунктте жасалған конфигурацияны жоямыз.

Router2(config)#no access-list 1 deny 24.17.2.18 0.0.0.0

Router2(config)#no access-list 1 permit 0.0.0.0 255.255.255.255

Тізімді 2-маршрутизатордың Ethernet интерфейсіне қолданамыз.

Router2(config)#interface fa0/0

Router2(config-if)# no ip access-group 1 in

Телнет арқылы router1-дің екі интерфейсіне router1 поролімен кіруге рұқсат береміз.

Router1(config)#linevty 0 4

Router1(config-line)#login

Router1(config-line)#password router1

Біздің EACL әртүрлі заттар жасайтын болады. Бірінші, 24.17.2.16/240 желі ішінің тізбектей байланысынан router1-ге тек телнет арқылы кіруге рұқсат береміз.

router1(conf)#access-list 101 permit tcp 24.17.2.16 0.0.0.15 any eq telnet log

log опциясы қолжетімділік тізімі қосылған кезде маршрутизаторға шығысты көресеткізеді.

24.17.2.0/240 желі ішінің Ethernet 0 барлық трафиктеріне рұқсат береміз.

router1(conf)#access-list 102 permitip 24.17.2.0 0.0.0.15 any

Тізімдердің құрылуын тексереміз.

router1#showaccess-list

Енді, тізімдерді интерфейске кіріс пакеттері үшін тіркейміз.

router1(conf)# interfaceSerial2/0

router1(conf-if)# ip access-group 101 in

router1(conf-if)# interface fa0/0

router1(conf-if)# ip access-group 102 in

EACL-дың барлық интерфейстерде бар екенін мына команданы қолданып тексереміз:

router1#showrunning-config

немесе

router1#showipinterface

EACL функционалдығын тексерейік. Router4-ке қосылып, Router1-дегі Serial2/0 интерфейсіне сәтсіз пинг жасайық.

router4#ping 24.17.2.17

EACL 101 номері ping-ті шектеді. Бірақ рұқсат беруі керек.

telnetrouter4#telnet 24.17.2.17

Сәтті. router1 деген парольді енгіземіз. router4# router1> дегенге өзгерді. сtrl-shift-6 батырмаларын бірге басып және 6-ны басып, router4-ке қайта ораламыз. Бізге Router1-де EACL 101-дің жүзеге асуын лог көрсетеді.

Сессия номерін көріп, телнет байланысты жоямызү

router4#showsess

router4# disconnect 1

Router2-ге кіріп, router4-тің Serial0 интерфейсіне пинг жасай алатындығымызды тексереміз.

Router2# ping 24.17.2.18

Неліктен сәтсіз? Пакет Router2-ден шығып, Router1 арқылы өтеді (EACL102-нің router1-де жүзеге асуын бізге лог көрсетеді) және Router4-ке келеді.

Router4-те өңделіп қайтадан Router1-ге жіберіледі.

Router4 пакетті өзгерткенде, жіберуші адресі қабылдаушы адресіне, қобылдаушы адресі жіберуші адресіне айналады. Пакет router1-дің Serial0 интерфейсіне келгенде, ол қайтарылады, себебі оның жіберішісінің адресі router4-тің Serial0 интерфейсінің 24.17.2.17 IP адресіне тең, ал мұнда тек tcp ғана рұқсат етілген.

Router2-ге қосылып, router1-дің Ethernet0 интерфейсіне пинг жасай алатындығымызды тексереміз.

router2#ping 24.17.2.1

Сәтті. Телнетті де дәл солай істейміз.

router2#telnet 24.17.2.1

EACL сәтті жұмыс істейді. Router1-де EACL 102-нің жұмыс істеуін бізге лог көрсетеді.

Сонымен қоса, лог RIP жаңартуларын көрсетеді.

5. Аты берілген ACL

Router1-дің интерфейстеріне EACL-дің тіркелуін қараймыз.

router1(conf)# interfaceSerial0

router1(conf-if)# no ip access-group 101 in

router1(conf-if)# interface Ethernet0

router1(conf-if)#no ip access-group 102 in

Router1-де EACL-ді жоямыз.

router1(conf)#no access-list 101

router1(conf)#no access-list 102

Барлық желі үшін тек router4-тен router2-ге пинкке ғана тыйым салуды мақсат етіп аламыз. Қолжетімділік тізімін не router1-ге, не router2-ге орналастырамыз. Негізінен, ACL-ді жіберушіге жақынорналастыру керек (трафикті қысқарту үшін), бұл мысалда аты бар тізімді router2-ге deny_ping атымен орналастырамыз.

router2(config)#ip access-list extended deny_ping

router2(config-ext-nacl)#deny icmp 24.17.2.18 0.0.0.0 24.17.2.2 0.0.0.0 log

router2(config- ext-nacl)# permit ip any any log

Бірінші команда deny_ping атты кеңейтілген қолжетімділік тізімін құрып жатқандығымызды көрсетеді. Екінші команда жіберуші адресі 24.17.2.18 және қабылдаушы адресі 24.17.2.2 ICMP трафигіне тыйым салынғандығын көрсетеді. Үшінші команда қалған IP трафикке рұқсат береді.

Тізімнің құрылуын тексереміз:

router2#showaccess-list

Бәрі дұрыс, тек біз бірінші denyicmp 24.17.2.18 0.0.0.0 24.17.2.2 0.0.0.0 log командасының басқа түрде берілгендігін көреміз.

Тізімді router2-нің Ethernet0 интерфейсінің кіріс трафигіне қолданамыз.

Router2(conf)#interfaceEthernet0

Router2(conf-if)#ip access-group deny_ping in

Router4-ке кіріп, роутер2-ні пингтейік.

router4#ping 24.17.2.2

Сәтсіз. Router1-ге кіріп, роутер2-ге пинг жасаймыз.

Router1#ping 24.17.2.2

Сәтті. Router2-ге кіріп, екі бөлек лог-хабарламаны көреміз:

Бірінші, router4-тен пингке тыйым салынған және екінші, router1-ден пингке рұқсат берілген.

6. Кеңейтілген қолжетімділік тізімінің күрделірек сұрақтарын қарастырайық.

Топологияны құрайық.

4-сурет.

1912 модельді коммутаторларды қолданамыз. Router1 маршрутизаторы моделі - 805. Router2 маршрутизатор моделі - 1605.

Маршрутизаторларға IP адрес орнатамыз.

	Router1	Router2
Fa0/0	1.1.3.1/24	1.1.1.129/25
Fa1/0		1.1.1.1/25
Serial2/0	1.1.2.1/24	1.1.2.2/24

және компьютерлерге:

Hostname	IP на ethernet0	Шлюз
PC1	1.1.3.2 255.255.255.0	1.1.3.1
PC2	1.1.1.130 255.255.255.128	1.1.1.129
PC3	1.1.1.131 255.255.255.128	1.1.1.129
PC4	1.1.1.2 255.255.255.128	1.1.1.1
PC5	1.1.1.3 255.255.255.128	1.1.1.1

Router1 жіне Router2-ге RIP-ті конфигурациялаймыз.

Router(config)#router rip

Router(config-router)#network 1.0.0.0

Барлық құрылғылар интерфейсі бір-бірімен пингтелуі керек.

6.1. Желі-желі қолжетімділік тізімі.

PC4 және PC5 компьютерлерінің локальді желісінен PC1 компьютерінің локальді желісіне трафиктің өтуіне рұқсат беретін және PC2 және PC3 компьютерлерінің локальді желісінен PC1 компьютерінің локальді желісіне трафиктің өтуіне тыйым салатын тізім құрайық. Трафик router2-ден router1-ге келетіндіктен, тізімді router 1-дің serial2/0 интерфейсіне кіріс трафик үшін орналастыру керек.

Router1(conf)#access-list 100 permit ip 1.1.1.0 0.0.0.127 1.1.3.0 0.0.0.255 log

Router1(conf)#access-list 100 permit ip 1.1.2.0 0.0.0.255 any log

Бірінші команда берілген тапсырманы орындайды, ал екінші команда RIP протоколының широковещаниесіне рұқсат береді. Құрылған тізімді тексерелік:

Router1#showaccess-list

Интерфейске қолжетімділік тізімін қолданайық.

Router1(conf)#interface Serial2/0

Router1(conf-if)#ip access-group 100 in

Қолжетімділік тізімін тексеру үшін PC2, PC3, PC4 және PC5-тен PC1-ге пинк жасап көрейік.

PC#Ping 1.1.3.2

PC2 және PC3 үшін пингтер жүрмейді. PC4 и PC5 үшін пингтер жүреді. Қолжетімділік тізімі жұмыс жасайды. Router1-дегі логтарды көріңіз.

6.2. Хост-хост қолжетімділік тізімі.

Router2-де PC2-ден PC5-ге қолжетімділікті шектейтін қолжетімділік тізімін құрайық. Router2-де логтары бойынша қолжетімділік мүмкіндіктерін бақылауға болады..

Router2(conf)# access-list 101 deny ip 1.1.1.130 0.0.0.0 1.1.1.3 0.0.0.0 log

Router2(conf)# access-list 101 permit ip any any

Жасалған тізімді тексерелік.

Router2#show access-list

Router2-нің fast Ethernet интерфейсіне қолжетімділік тізімін қолданайық.

Router2(conf)#interface FastEthernet0/0

Router2(conf-if)#ip access-group 101 in

PC2-ге қосылып, PC5-ке пинг жасай алмайтындығыңызды тексеріңіз.

PC2# Ping 1.1.1.3

Router2-де лог пайда болады.

PC3-ке қосылып, PC5-ке пинг жасай алатындығыңызды тексеріңіз.

PC3# Ping 1.1.1.3

Router2-де лог пайда болады.

6.3. Желі-хост қолжетімділік тізімі.

Router1 және Router2 интерфейстеріндегі бастапқы тізімдерді өшіреміз.

Router1(conf)#interface Serial2/0

Router1(conf-if)#no ip access-group 100 in

және

Router2(conf)#interface FastEthernet0/0

Router2(conf-if)#no ip access-group 101 in

PC2 және PC3 компьютерлерінің локальді желіден PC1 компьютеріне баратын барлық трафиктерді шектейтін кеңейтілген қолжетімділік тізімін құрамыз. Барлық трафикті шектейтін болғандықтан IP протоколын қолданатын боламыз.

Router2(conf)#access-list 102 deny ip 1.1.1.128 0.0.0.127 1.1.3.2 0.0.0.0 log

Router2(conf)#access-list 102 permit ip any any

Жасалған тізімді тексереміз.

Router2#show access-list

Router2-нің Serial2/0 интерфейсінің шығыс трафигіне тізімді қолданамыз.

Router2(conf)#interface Serial2/0

Router2(conf-if)#ip access-group 102 out

Тізімді тексері үшін PC2 және PC3-тен PC1 (1.1.3.2)-ге пинг жаса көріңіз. Пингтер жүрмейді. Симулятор Router2 консолына лог бермейді. Бірақ сіз эффектті былай көре аласыз.

Көріп тұрғаныңыздай, әрбіз сәтсіз пинг сайын табылған (matches) пакеттер саны көбеюде.

Бақылау сұрақтары.

1. ACL деген не?

2. Қандай адрес пакетке рұқсат беру/тыйым салу критерийі болып табылады?

3. ACL қай жерде қолданылады?

4. ACL элементін қалай беру керек және и инверсті маска деген не?

5. ACL элементтерін роутер қалай өңдейді?

6. Қандай элемент ACL-де болады?

7. Интерфейске ACL-ді қалай қолдану керек және алып тастау керек?

8. Кіріс ACL мен шығыс ACL-дің айырмашылығы неде?

9. Желінің қай жеріне ACL-ді орнатқан дұрыс?

10.ACL-дің құрамын және интерфейске тіркелуін қандай үш командамен білуге?

11. Кеңейтілген ACL нені фильтрлейді?

12. Стандартты ACL-дерге қарағанда кеңейтілген ACL-дің қандай қосымша функциялары бар?

13. Кеңейтілген ACL-ді қолдана отырып, белгілі бір TCP/IP қызметінің трафигіне шектеу қоюға бола ма?

14. Ат берілген ACL-ді құру процессін сипаттап беріңіз.

15. Сандық ACL-де белгілі бір жолды қалай баптау керек?

16. Ат берілген ACL-де белгілі бір жолды қалай баптау керек?

17. Сандық және ат берілген ACL-ге элементтерді енгізу командаларының форматының айырмашылығы қандай?

Жұмысты жасау және тапсыру тәртібі.

1. теориялық және практикалық бөлімді оқу.

2. Оқытушыға териялық бөлімді бақылау сұрақтарына жауап беру арқылы тапсыру.

3. Практической бөлімнің үш пунктін қатарынан орындау. 1-кестеге, кейін 2-кестеге қарап, қолжетімділікті тексеру.

4. Оқытушыға желінің 1-кестедегі қолжетімділік матрицасын қанағаттандыратындығын көрсету.

5. Оқытушыға желінің 2-кестедегі қолжетімділік матрицасын қанағаттандыратындығын көрсету.

6. PacketTracer бағдарламасында өздік жұмысты орындаңыз.

7. Өз нұсқаңызға байланысты өзіңіздің қолжетімділік матрицасын құрып, оқытушыға желінің осы матрицаны қанағаттандыратындығын көрсетіңіз.

8. Отчетті жасаңыз. Оның мазмұнын төменде көріңіз.

9. Отчетті қорғаңыз.

Өздік жұмыс тапсырмалары.

1. Практикалық бөлімдегі үшінші пунктте жасалған 2- қолжетімділік тізімін вариантқа байланысты қолданыңыз.

Нұсқа	Маршрутизатор	Интерфейс	Кіріс/шығыс
	router 1	E0	кіріс
	router 1	S0	шығыс
	router 1	E1	кіріс
	router 1	E1	шығыс
	router 2	E0	кіріс
	router 2	E0	шығыс
	router 2	S0	кіріс
	router 2	S0	шығыс
	router 2	E1	кіріс
	router 2	E1	шығыс

2. Мына командалардың орындалуының скриншотын жасаңыз:

router1#showaccess-list

және

router1#show running-config

3. Қолжетімділік матрицасын құрыңыз.

4. 4-суреттегі топология және таблицада көрсетілген өз вариантыңыз үшін практикалық бөлімдегі 6-пункттін үш подпунктін орындаңыз.

	Router1	Router2
Fa0/0	1.v.3.1/24	1.v.1.129/25
Fa1/0		1.v.1.1/25
Serial2/0	1.v.2.1/24	1.v.2.2/24

Hostname	IP на ethernet0	Шлюз
PC1	1.v.3.2 255.255.255.0	1.v.3.1
PC2	1.v.1.130 255.255.255.128	1.v.1.129
PC3	1.v.1.131 255.255.255.128	1.v.1.129
PC4	1.v.1.2 255.255.255.128	1.v.1.1
PC5	1.v.1.3 255.255.255.128	1.v.1.1

Практикалық бөлімнің алтыншы пунктінде жасалған скринтшоттарды жасаңыз.

Отчет мазмұны.

Отчѐт электронды түрде жасалып, шығарылады. Отчѐт мазмұны.

1. Практикалық бөлімдегі топология скринтшоттары.

2. Практикалық бөлімді орындау барысындағы барлық скринтшоттар.

3. Практикалық бөлімді орындау барысындағы барлық маршрутизаторлардың конфигурациясы (.txt файл конфигурацияларындағы).

4. Өздік жұмыстың 1-пунктін орындау барысындағы барлық маршрутизаторлардың конфигурациясы (.txt файл конфигурацияларындағы).

5. Өздік жұмыстың 3-пунктін дегі қолжетімділік матрицасы.

6. Өздік жұмыстың 4-пунктін орындау барысындағы барлық маршрутизаторлардың конфигурациясы (.txt файл конфигурацияларындағы).

Өздік жұмысында жасалған барлық скриншоттар.

№ 8 лабораториялық жұмыс. NAT желі адрестерінің қайта құру.

Теориялық бөлім.

Network address translation (NAT - перенос сетевых адресов) IP адресацияны жеңілдету және қысқарту үшін арналған. NAT сыртқы әлемге IP адресацияның ішкі құрылымын басқа жағынан көруге мүмкіндік береді.Бұл ғаламтордың өз ішінде глобальді уникалды IP адресациясыз қосылуға мүмкіндік береді.Бұл ғаламторға корпоративтік ішкі IP желісі мен ішкі IP адрестары (intranet) арқылы кіруге мүмкіндік береді,олар глобалді бірегей емес болғандықтан Ғаламторға бағыталмайды. NAT тағы да Ғаламтордағы шекараларды бөліктерге бөлу үшін қолданылады.

Әлемдік бірлестік Ғаламторға мына диапазондарда адрестер бөлген

Class A: 10.0.0.0-10.255.255.255

Class B: 172.16.0.0-172.16.255.255

Class C: 192.168.1-192.168.255.255

NAT ішкі кеңістіктегі IP адрестерді сыртқы кеңістіктегі IP адрестерге ауыстырады. NAT intranet-тен пакеттер қабылдағаннан кейін дерекнама адресін өзгертіп, ондағы бақылау сомасын санап оны Ғаламторға жібереді.

NAT адрестерді жаңғыртып және бейнелеп бір аймақтан басқа аймаққа жібереді.Ол түссіз баудан -бауға бағытталуды қамтамасыз етеді. NAT-та адрестерді трансляциялаудың бірнеше тәсілі бар, олар әрқайсысы жағдайға қарай қолданылады.

Cisco NAT-тың intranet баулары мен ғаламтордың бастапқы және соңғы жаңғыртулар үшін спецификалық терминология қолданады.

Ішкі (inside) адрес.Адрес кәсіпорындарда қолданылады.Әртүрлі кәсіпорындарда бірдей ішкі адрестер бола алады.

Сыртқы (outside) адрес .Кәсіорын сыртында белгіленген адрес.Кәсіпорының сыртқы адресі осы кәсіпорының ішкі адресімен сәйкес келе алады.

Глобальді адрес.Бұл ғаламтор арқылы өте заңды тіркелген IP адрес.

Жергілікті адрес. Intranet ішінде қолданылатын IP адрес.Бұл адрестер ғаламторды қимайды және олар жергілікті болып саналады.

Ішкі жергілікті адрес (insidelocal).Кәсіпорындарда қолданылатын, ғаламторда қиылмайтын адрес түрі.

Ішкі глобальді адрес (insideglobal).Кәсіпорындарда қолданылатын, ғаламтор адресі болып табылатын адрес түрі.

Сыртқы глобальді адрес (outsideglobal).Кәсіпорындарда белгіленген сыртқы ақпаратты өткізетін және ғаламтор адресі болып табылатын адрес түрі.

Симулятор әрқашанда сыртқы жергілікті адрестің ( OutsideLocal) ,сыртқы глобальді адреске (outsideglobal) тең екенің көрсетеді.

Интерфейс атынан жіберілген пакеттер сыртқы NAT хосты арқылы глобальді адресті бірнеше адреске өзгертеді. Қабылдағанкезінде NAT ондағы қабылдағыштың (адрес внешнего интерфейса локального маршрутизатора) глобальді адресін нитерфейстағы ішкі хост адресіне ауыстырады.Бұндай ауыструлар үшін маршрутизатор әдейі өзгерту кестесін қолданады, ол кесте әрқашан жаңартылап отырады.Өзгертулердің үш әдісі бар: статикалық, динамикалық және қайта жүктеу (overload). NAT-тағы статикалық әдісте көмекке IOS командаса келеді,ол мынандай жұп (ішкі_ адрес-глобальді_адрес) құрады.Диманикалық өзгертуде глобальді адресті белгілі пулдың сыртқы адресінен алады.Қайта жүктеу әдісі кезінде барлық өзгертуге келтірілген ішкі адрестер, маршрутизатор интерфейсінің сытрқы адресінің бірігуіне әкеледі.

NAT-ты конфигурациялау кезінде маршрутизаторға сыртқы және ішкі желі арқылы мына команданы орындаттыру керек : ipnatinside | outside.Бұл командалар интерфейс қабатын немесе interface командасын анықтайды.Қосымша командалар NAT қолданылуына байланысты. NAT-та статикалық тапсырма,динамикалық тапсырма немесе қайта жүктеу командасының пулының сыртқы адресіне байланысты анықталады.Ереже бойынша өзгеретін сыртқы трафика ACL бақылау тізімін беру керек. ACL өзінше NAT-та өзгерту енгізе алмайды.

Қайта жүктеу әдісінде қосымша тоқтайық, бұл әдісті басқа атпен PAT(Port Address Translation - преобразование адресов с помощью портов)деп те атайды. PAT бірнеше ішкі хостарға бір глобальді адрес қолдануға рұқсат береді. PAT жұмыс істеуінің бір нұсқасы болып жүйелік түрде жүретін бос TCP және UDP порттары.

NAT қызметі М маршрутизаторында X ішкі глобальді адреспен орналасқан. П ішкі жергілікті адрес Yi және Pi портардан сытрқы G және p портарында бар. Пакет М маршрутизаторы арқылы өтеді. NAT Yi портын P сыртқы хостың портына жұп X:Pinew ретінде өзгертеді, Pinew- кезекті бос порт нөмірі. (Yi:Pi ,X: Pinew, G:p) жолағы М маршрутизаторының NAT кестесіне енгізіледі.Жауап пакеті қабылдағыш алаңында X, ал қабылдағыш алаңында – Pinew деп белгіленеді.Адрес алаңында : G:p порты болады.М маршрутизаторы X, Pinew, G, p мағыналары бойынша NAT кестесінде (Yi:Pi ,X: Pinew, G:p) енгізеді, қабылдағыш адрес пакетін X -тан Yi-ға,ал порт адресін Pinew-дан Pi-ға ауыстырады.Жауап пакеті керек Yi адресіне керек Pi портымен келеді. Pinew порты тізімге бос порт ретінде қайта оралады.

NAT процессі ішкі адрестерге мөлдір болып көрінеді. Yi ішкі адресті хост сыртқы әлемге жіберілген пакетті маршрутизаторда NAT арқылы жіберілген және қабылданған кезде өзгертілгенін қабылдағыш порт білмей қалады.Ішкі хостқа әрқашанда сыртқы әлемге шығуға мүмкіндік беріледі.

Практикалық бөлім.

1.Симуляторға суретте берілген топологияны кіргізіңіз.