جدول العناوين

Device	Interface	IP Address	Subnet Mask	Default Gateway
R1	G0/0/1	N/A	N/A	N/A
	G0/0/1.20	10.20.0.1	255.255.255.0	N/A
	G0/0/1.30	10.30.0.1	255.255.255.0	N/A
	G0/0/1.40	10.40.0.1	255.255.255.0	N/A
	G0/0/1.1000	N/A	N/A	N/A
	G0/0/0	172.16.1.1	255.255.255.0	N/A
R2	G0/0/1	10.20.0.4	255.255.255.0	N/A
S1	VLAN 20	10.20.0.2	255.255.255.0	10.20.0.1
S2	VLAN 20	10.20.0.3	255.255.255.0	10.20.0.1
PC-A	NIC	10.30.0.10	255.255.255.0	10.30.0.1
PC-B	NIC	10.40.0.10	255.255.255.0	10.40.0.1
Server-A	NIC	172.16.1.2	255.255.255.0	172.16.1.1

جدول VLAN

VLAN	Name	Interface Assigned
20	Management	S2: F0/5
30	Operations	S1: F0/6
40	Sales	S2: F0/18
999	ParkingLot	S1: F0/2-4, F0/7-24, G0/1-2 — S2: F0/2-4, F0/6-17, F0/19-24, G0/1-2
1000	Native	N/A

الأهداف

الجزء 1: بناء الشبكة والإعدادات الأساسية
الجزء 2: إعداد VLAN على السويتشات
الجزء 3: إعداد Trunk
الجزء 4: إعداد التوجيه
الجزء 5: إعداد الوصول عن بُعد
الجزء 6: التحقق من الاتصال
الجزء 7: إعداد قوائم ACL الممتدة والتحقق منها

الخلفية والسيناريو

كُلّفت بإعداد قوائم ACL في شبكة شركة صغيرة. يستضيف R1 اتصال الإنترنت ويشارك المسار الافتراضي مع R2. بعد الإعداد الأولي ستنفّذ متطلبات أمنية محددة. في هذا النشاط أكثر من 100 عنصر مقيَّم.

في هذا المحاكي: وصّل الكابلات بأداة التوصيل وافتح واجهة CLI لكل جهاز مباشرة بدل كابل الكونسول.

الجزء 1: بناء الشبكة والإعدادات الأساسية

وصّل الأجهزة كما في الطوبولوجيا: S1 F0/5 ↔ R1 G0/0/1، و S1 F0/1 ↔ S2 F0/1، و S1 F0/6 ↔ PC-A، و S2 F0/18 ↔ PC-B، و S2 F0/5 ↔ R2 G0/0/1، و R1 G0/0/0 ↔ Server-A.

على كل راوتر وسويتش: اسم الجهاز، وتعطيل DNS lookup، و enable secret class، وكلمة مرور الكونسول cisco مع login، وكلمة مرور VTY cisco (يُفعَّل login لاحقًا)، وتشفير كلمات المرور، ورسالة banner، ثم الحفظ.

الجزء 2: إعداد VLAN

أنشئ شبكات VLAN وسمّها على السويتشين وفق الجدول.
اضبط منفذ الإدارة (VLAN 20) والبوابة الافتراضية لكل سويتش.
ضع كل المنافذ غير المستخدمة في VLAN 999 (ParkingLot) بوضع access ثابت وأوقفها (shutdown). استخدم interface range.
عيّن المنافذ المستخدمة لشبكاتها بوضع access ثابت، وتحقق بالأمر show vlan brief.

S1(config)# vlan 20
S1(config-vlan)# name Management
S1(config-vlan)# vlan 30
S1(config-vlan)# name Operations
S1(config-vlan)# vlan 40
S1(config-vlan)# name Sales
S1(config-vlan)# vlan 999
S1(config-vlan)# name ParkingLot
S1(config-vlan)# vlan 1000
S1(config-vlan)# name Native
S1(config-vlan)# interface vlan 20
S1(config-if)# ip address 10.20.0.2 255.255.255.0
S1(config-if)# no shutdown
S1(config-if)# ip default-gateway 10.20.0.1
S1(config)# interface range f0/2-4, f0/7-24, g0/1-2
S1(config-if-range)# switchport mode access
S1(config-if-range)# switchport access vlan 999
S1(config-if-range)# shutdown
S1(config)# interface f0/6
S1(config-if)# switchport mode access
S1(config-if)# switchport access vlan 30

الجزء 3: إعداد Trunk

على المنفذ F0/1 في السويتشين: وضع trunk إجباري، و native VLAN 1000، والسماح بالشبكات 10 و 20 و 30 و 1000 (ستحتاج أيضًا 40 لعمل شبكة Sales). ثم اضبط المنفذ F0/5 في S1 (المتجه إلى R1) بالمعاملات نفسها واحفظ.

S1(config)# interface f0/1
S1(config-if)# switchport mode trunk
S1(config-if)# switchport trunk native vlan 1000
S1(config-if)# switchport trunk allowed vlan 10,20,30,40,1000
S1# show interfaces trunk

الجزء 4: إعداد التوجيه

على R1 فعّل G0/0/1 واضبط منفذًا فرعيًا لكل VLAN بتغليف 802.1Q ووصف، دون عنوان لمنفذ الـ Native، ثم اضبط G0/0/0.

R1(config)# interface g0/0/1.20
R1(config-subif)# description Management Network
R1(config-subif)# encapsulation dot1q 20
R1(config-subif)# ip address 10.20.0.1 255.255.255.0
R1(config)# interface g0/0/1.1000
R1(config-subif)# encapsulation dot1q 1000 native
R1(config)# interface g0/0/1
R1(config-if)# no shutdown

وعلى R2 اضبط G0/0/1 ومسارًا افتراضيًا عبر 10.20.0.1:

R2(config)# ip route 0.0.0.0 0.0.0.0 10.20.0.1

الجزء 5: إعداد الوصول عن بُعد (SSH)

على كل جهاز شبكي: مستخدم محلي SSHadmin بكلمة مرور مشفرة $cisco123!، والنطاق ccna-lab.com، ومفاتيح RSA بطول 1024، وخطوط VTY الخمسة الأولى لـ SSH فقط بالمصادقة المحلية.

R1(config)# username SSHadmin secret $cisco123!
R1(config)# ip domain-name ccna-lab.com
R1(config)# crypto key generate rsa general-keys modulus 1024
R1(config)# line vty 0 4
R1(config-line)# transport input ssh
R1(config-line)# login local

الجزء 6: التحقق من الاتصال

اضبط عناوين PC-A و PC-B ثم نفّذ الاختبارات؛ يجب أن تنجح كلها قبل تطبيق القوائم.

اختبارات الاتصال المقيَّمة الخمسة المميزة ستظهر غير صحيحة الآن لأنها تتوقع الفشل بعد تطبيق القوائم.

الجزء 7: إعداد قوائم ACL الممتدة

السياسة 1: لا يُسمح لشبكة Sales بالدخول بـ SSH إلى شبكة Management (يُسمح بباقي SSH).
السياسة 2: لا يُسمح لشبكة Sales بالوصول إلى Server-A بأي بروتوكول ويب (HTTP/HTTPS)، ويُسمح بباقي حركة الويب.
السياسة 3: لا يُسمح لشبكة Sales بإرسال ICMP echo إلى شبكتي Operations و Management، ويُسمح بها لأي وجهة أخرى.
السياسة 4: لا يُسمح لشبكة Operations بإرسال ICMP echo إلى شبكة Sales، ويُسمح بها لأي وجهة أخرى.

النتائج المتوقعة بعد التطبيق

From	Protocol	Destination	Result
PC-A	Ping	10.40.0.10	Fail
PC-A	Ping	10.20.0.1	Success
PC-B	Ping	10.30.0.10	Fail
PC-B	Ping	10.20.0.1	Fail
PC-B	Ping	172.16.1.1	Success
PC-B	HTTPS	172.16.1.2	Fail
PC-A	HTTPS	172.16.1.2	Success
PC-B	SSH	10.20.0.4	Fail
PC-B	SSH	172.16.1.1	Success

الحل المقترح (للمراجعة بعد المحاولة)

R1(config)# access-list 101 remark ACL 101 fulfills policies 1, 2, and 3
R1(config)# access-list 101 deny tcp 10.40.0.0 0.0.0.255 10.20.0.0 0.0.0.255 eq 22
R1(config)# access-list 101 deny tcp 10.40.0.0 0.0.0.255 host 172.16.1.2 eq 80
R1(config)# access-list 101 deny tcp 10.40.0.0 0.0.0.255 host 172.16.1.2 eq 443
R1(config)# access-list 101 deny icmp 10.40.0.0 0.0.0.255 10.20.0.0 0.0.0.255 echo
R1(config)# access-list 101 deny icmp 10.40.0.0 0.0.0.255 10.30.0.0 0.0.0.255 echo
R1(config)# access-list 101 permit ip any any
R1(config)# access-list 102 remark ACL 102 fulfills policy 4
R1(config)# access-list 102 deny icmp 10.30.0.0 0.0.0.255 10.40.0.0 0.0.0.255 echo
R1(config)# access-list 102 permit ip any any
R1(config)# interface g0/0/1.40
R1(config-subif)# ip access-group 101 in
R1(config)# interface g0/0/1.30
R1(config-subif)# ip access-group 102 in

اختبر HTTPS من متصفح الويب (https://172.16.1.2) و SSH من موجّه الأوامر: ssh -l SSHadmin 10.20.0.4.