NETWORKING

Bài viết này sẽ hướng mọi người cấu hình quay số xác thực PPPoE với nhà cung cấp dịch vụ cụ thể là Router ISR 4421 của Cisco
Nhà cung cấp dịch vụ  sẽ kéo 1 đường FTTH tới chỗ bạn, tùy từng gói cước và nhu cầu mà được trang bị modem của nhà mạng hay là converter. Ở đây mình gắn vào cổng G0/0/0 của router để kết nối tới ISP (WAN), cổng G0/0/1 sẽ gắn vào switch ( LAN)

IP LAN LOCAL : 172.16.10.0/24  .

Việc đầu tiên là xin username và password xác thực pppoe cái này liên hệ với nhà cung cấp dịch vụ để lấy

Các bước cấu hình ta làm như sau:

B1: Chọn Interface kết nối PPPoE

Router(config)#interface gigabitEthernet 0/0/0

Router(config-if)#no ip address

Router(config-if)#description Phisycal connected to ISP

Router(config-if)#pppoe-client dial-pool-number 1

Router(config-if)#pppoe enable

Router(config-if)#pppoe enable group global

Router(config-if)#no shutdown

B2: Cấu hình interface quay số:

Router(config)#interface dialer 0

Router(config-if)#description connected PPPOE ISP

Router(config-if)#ip nat outside

Router(config-if)#ip address negotiated

Router(config-if)#ip mtu 1492

Router(config-if)#encapsulation ppp

Router(config-if)#ip tcp adjust-mss 1452

Router(config-if)#dialer pool 1

Router(config-if)#ppp authentication pap callin

Router(config-if)#ppp pap sent-username user password 0 pass

Router(config-if)#ppp ipcp dns request

Router(config-if)#no shutdown

B3: Tạo default route ra internet

Router(config)#ip route 0.0.0.0 0.0.0.0 dialer 0

B4: Cấu hình LAN Local

Router(config)#interface gigabitEthernet 0/0/1

Router(config-if)#ip address 172.16.10.254 255.255.255.0

Router(config-if)#ip nat inside

Router(config-if)#no shutdown

B5: Nat các dịch vụ trước khi Overload trên cổng Dialer 0

Lưu ý: khi chúng bật chế độ overload trước khi NAT có thể các port dịch vụ cần NAT được dùng cho các user để ra Internet khi đó sẽ có một cảnh báo port hiện tại đang dùng cho hệ thống,IP phải là IP tĩnh nhé ở đây khi cấu hình xác thực PPPoE thành công thì mình nhận được IP 203.205.57.58 Giả sử ở đây mình NAT  ip local 172.16.10.200 port 8000 cho đầu ghi camera mình làm như sau

Router(config)# ip nat inside source static tcp 172.16.10.200 8000 203.205.57.58 8000

B6: Cấu hình một ACL cho phép các IP lan Local ra Internet

Router(config)#access-list 100 permit ip any any

B7: Nat overload trên cổng Dialer0 để mạng LAN ra internet hay còn gọi là PAT

Router(config)#ip nat inside source list 100 interface dialer 0 overload

Khi hạ tầng CNTT doanh nghiệp phát triển và có khả năng tăng trưởng trong tương lai doanh nghiệp  thuê dải ip công cộng VD 200.1.1.0/24 dànhcho cụm máy chủ web và email ip của web server là 10.0.0.1 được NAT tĩnh với ip public là 200.1.1.2 máy chủ email là 10.0.0.2 được NAT tĩnh với ip public là 200.1.1.3    

Bước 1: Cấu hình ban đầu với các thông số gán cho ASA

ASA(config)# interface gigabitEthernet 0/0

ASA(config-if)# nameif outside

ASA(config-if)# security-level 0

ASA(config-if)# ip address 200.1.1.254 255.255.255.0

ASA(config-if)# no shutdown

!

ASA(config)# interface gigabitEthernet 0/1

ASA(config-if)# nameif DMZ

ASA(config-if)# security-level 50

ASA(config-if)# ip address 172.16.1.254 255.255.255.0

ASA(config-if)# no shutdown

!

ASA(config)# interface gigabitEthernet 0/2

ASA(config-if)# nameif inside

ASA(config-if)# security-level 100

ASA(config-if)# ip address 192.168.1.254 255.255.255.0

ASA(config-if)# no shutdown

!

Bước 2: Cấu hình default route cho ASA

ASA(config)# route outside 0.0.0.0 0.0.0.0 200.1.1.1

Bước 3: Cấu hình NAT tĩnh cho Server

ASA(config)# object network web_server

ASA(config-network-object)# host 172.16.1.1

ASA(config-network-object)# nat (DMZ,outside) static 200.1.1.2

!

ASA(config)# object network email_server

ASA(config-network-object)# host 172.16.1.2

ASA(config-network-object)# nat (DMZ,outside) static 200.1.1.3

!

Bước 4: Mở port 80 cho máy chủ web và por 25 cho máy chủ mail

ASA(config)# access-list OUT_DMZ extended permit tcp any host 172.16.1.1 eq 80

ASA(config)# access-list OUT_DMZ extended permit tcp any host 172.16.1.2 eq 25

ASA(config)# access-group OUT_DMZ in interface outside