B. Topologi

Berikut adalah topologi yang saya gunakan dalam mengimplementasikan NAT statik. IP public yang diperoleh dari ISP adalah 200.1.1.2 dan 200.1.1.3 dimana 200.1.1.2 sebagai gateway dan 200.1.1.3 sebagai ip public untuk web server. Hasil yang diharapkan adalah bahwa ip address 192.168.1.2 yang berfungsi sebagai ip private web server dapat diakses lewat ip publik 200.1.1.3, jadi apa yang terdapat pada 192.168.1.2 harus sama dengan isi dari 200.1.1.3.

C. Konfigurasi Interface

Router A:

Router#configure terminal
Router(config)#interface serial 2/0
Router(config-if)#ip address 200.1.1.2 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#clock rate 64000
Router(config)#interface fastEthernet 0/0
Router(config-if)#ip address 192.168.1.1 255.255.255.0
Router(config-if)#no shutdown

Router B:

Router(config)#interface serial 2/0
Router(config-if)#ip address 200.1.1.1 255.255.255.0
Router(config-if)#no shutdown
Router(config)#interface fastEthernet 0/0
Router(config-if)#ip address 200.1.2.1 255.255.255.0
Router(config-if)#no shutdown

WEB Server :

IP address = 192.168.1.2

Subnet Mask = 255.255.255.0

Default Gateway = 192.168.1.1

Pastikan juga bahwa http sudah berstatus on.

PC 1:

IP address = 200.1.2.2

Subnet Mask = 255.255.255.0

Default Gateway = 200.1.2.1

Routing:

Router A:

Router(config)#ip route 0.0.0.0 0.0.0.0 200.1.1.1

Router B:

Router(config)#ip route 200.1.1.0 255.255.255.0 200.1.1.2

NAT:

Router A :

Router(config)#ip nat inside source static 192.168.1.2 200.1.1.3
Router(config)#interface fastEthernet 0/0
Router(config-if)#ip nat inside
Router(config)#interface serial 2/0
Router(config-if)#ip nat outside

D. Testing

Ping dari PC 1 ke IP 200.1.1.3:

Akses Web dari PC1 ke 200.1.1.3 :

Sampai disini NAT static sudah berjalan dengan baik.

Salam

MAZBAY

Pada kesempatan kali ini, saya akan mencoba membuat konfigurasi Cisco-PIX dalam tahap-tahap yang sangat mendasar.

Hostname
PIX(config)#hostname Cisco-PIX

Password Console
Cisco-PIX(config)#passwd cisco
Cisco-PIX(config)#enable password cisco

Konfigurasi Interface
Cisco-PIX(config)#nameif ethernet0 outside security0
Cisco-PIX(config)#nameif ethernet1 inside security100

Cisco-PIX(config)#interface ethernet0 auto
Cisco-PIX(config)#interface ethernet1 auto

Cisco-PIX(config)#ip address outside 192.168.10.2 255.255.255.240
Cisco-PIX(config)#ip address inside 192.168.1.1 255.255.255.0

Static Route
route outside 0.0.0.0 0.0.0.0 192.168.10.1

Konfigurasi NAT Statik
1. Mendefinisikan local address yang akan di translasi (nat)
2. Mendefinisikan global address

Cisco-pix(config)#nat(inside) 1 192.168.1.0 255.255.255.0
Cisco-pix(config)#global(outside) 1 192.168.10.3 netmask 255.255.255.240

Cisco-PIX(config)#static(inside,outside) 192.168.10.4 192.168.1.2 netmask 255.255.255.255
Cisco-PIX(config)#static(inside,outside) 192.168.10.5 192.168.1.3 netmask 255.255.255.255
Cisco-PIX(config)#static(inside,outside) 192.168.10.6 192.168.1.4 netmask 255.255.255.255

Membuat Policy
Cisco-PIX(config)#access-list out-in permit tcp any host 192.168.1.2 255.255.255.255 eq www

Cisco-PIX(config)#access-list out-in permit tcp any host 192.168.1.3 255.255.255.255 eq www
Cisco-PIX(config)#access-list out-in permit tcp any host 192.168.1.3 255.255.255.255 eq pop3
Cisco-PIX(config)#access-list out-in permit tcp any host 192.168.1.3 255.255.255.255 eq smtp

Cisco-PIX(config)#access-list out-in permit tcp any host 192.168.1.4 255.255.255.255 eq www

Cisco-PIX(config)#access-list out-in deny ip any any

Cisco-PIX(config)#access-group out-in in interface outside

Menyimpan konfigurasi
Cisco-PIX(config)#write memory

Wassalam

Mazbay

Konfigurasi sederhananya di cisco catalyst sbb:
Di Core Switch (L3 switch) dibuatkan switched virtual interface (SVI)
Create masing-masing VLAN:
VLAN Server Farm
VLAN 2
name VLAN_SERVER

VLAN Manager
VLAN 10
name VLAN_MGR

VLAN User:
VLAN 20
name VLAN_USR

Dibuatkan gateway untuk masing-masing VLAN menggunakan SVI:
Interface VLAN 2
ip address 10.1.2.254 255.255.255.0
description Gateway Server Farm

Interface VLAN10
ip address 10.1.10.254 255.255.255.0
description Gateway Manager

Interface VLAN 20
ip address 10.1.20.254 255.255.255.0
description Gateway User

Untuk sederhananya, di core switch diassign beberapa access port untuk User, Manager dan Server. Assign port di access switch sesuai dengan pembagian VLAN. Misalkan PC User konek ke port switch Fa1/0, PC Manager konek ke port switch Fa1/1, dan Server konek ke port switch Fa1/2
User:
interface Fa1/0
switchport mode access
switchport access vlan 20
Manager:
interface Fa1/1
switchport mode access
switchport access vlan 10
Server:
interface Fa1/2
switchport mode access
switchport access vlan 2

Sesuai skenario diatas, masing-masing PC user dan PC manager hanya bisa akses ke server via port http dan ssh, diluar itu di blok, dan Masing-masing PC User dan Manager bisa saling share printer dan file, diluar itu di blok.
Access list yang dibuat untuk VLAN User:

Extended IP access list FilterMGR-VLAN10
10 permit tcp host 10.1.10.100 host 10.1.2.100 eq www
20 permit tcp host 10.1.10.100 host 10.1.2.100 eq ssh
30 permit tcp host 10.1.10.100 host 10.1.20.100 eq 445
40 permit tcp host 10.1.10.100 eq 445 host 10.1.20.100
50 permit tcp host 10.1.10.100 host 10.1.20.100 range 137 139
60 permit icmp any any

Extended IP access list FilterUSR-VLAN20
10 permit tcp host 10.1.20.100 host 10.1.2.100 eq www
20 permit tcp host 10.1.20.100 host 10.1.2.100 eq ssh
30 permit tcp host 10.1.20.100 host 10.1.10.100 eq 445
40 permit tcp host 10.1.20.100 eq 445 host 10.1.10.100
50 permit tcp host 10.1.20.100 range 137 139 host 10.1.10.100
60 permit icmp any any

Apply access-list yang baru dibuat ke masing-masing SVI VLAN manager dan User:
SVI VLAN Manager:
Interface VLAN10
ip access-group FilterMGR-VLAN10 in

SVI VLAN User:
Interface VLAN20
ip access-group FilterUSR-VLAN20 in

Keterangan:
Tcp port 445 adalah port yang dipakai untuk file sharing (SMB)
Tcp port 137-139 adalah port yang dipakai untuk printer sharing

Satu hal lagi, jangan lupa, pastikan jika di client ada personal firewall (semisal windows firewall), pastikan di masing-masing pc user dan managernya, port tcp 137-139 dan 445 nya allow untuk beda segmen.

Troubleshooting:
Ada implisit deny di akhir masing-masing access list diatas. Artinya jika policy yang dibuat tidak memenuhi kriteria access list diatas maka selanjutnya paket akan di drop (implisit deny). Cuma untuk membantu memastikan/melihat bahwa acl yang kita buat dan di apply ke masing-masing interface itu sudah betul dan dicapture langsung di log cataksyt, ada perintah yang bisa digunakan untuk mengeceknya.
1.Aktifkan logging buffered di Core switch agar kita bisa liat langsung bekerjanya access list tersebut
SWCORE(config)#logging buffered informational
2.Tambahkan di baris terakhir dari access-list yang kita buat access-list deny ip any any log untuk melihat apakah list yang kita buat sudah sesuai keinginan.
Misalkan untuk VLAN User
Extended IP access list FilterUSR-VLAN20
10 permit tcp host 10.1.20.100 host 10.1.2.100 eq www
20 permit tcp host 10.1.20.100 host 10.1.2.100 eq ssh
30 permit tcp host 10.1.20.100 host 10.1.10.100 eq 445
40 permit tcp host 10.1.20.100 eq 445 host 10.1.10.100
50 permit tcp host 10.1.20.100 range 137 139 host 10.1.10.100
60 permit icmp any any
70 deny ip any any log <——- tambahkan
3.Coba lakukan tes koneksi dari pc user ke manager atau sebaliknya. Misalkan di manager port telnetnya kebuka, coba lakukan telnet dari pc user ke pc manager, maka di layar catalyst akan muncul lognya.

Semuga uraian ini membantu. Terima kasih.

Dalam perkembangan selanjutnya koneksi dial up digantikan dengan koneksi broadband DSL dan cable modem yang memungkinkan user korporat berpindah dari dial up ke remote akses vpn untuk komunikasi yang lebih baik.

Berikut adalah langkah-langkah (command line) untuk mengkonfigurasi remote access vpn di Cisco ASA:
Pertama, konfigurasi interface ASA
!–interface name
ASA(config)#interface GigabitEthernet 0/1
ASA(config-if)# no shutdown
ASA(config-if)# nameif outside
!–security level
ASA(config-if)#security-level 0
!–ip address
ASA(config-if)# ip address 20.1.1.50 255.0.0.0
!–Enable crypto isakmp
ASA(config)# crypto isakmp enable outside

Kedua, konfigurasi IP Pool
!–konfigurasi IP Pool
ASA(config)# ip local poolname 30.1.1.1-30.1.1.50
ASA(config)# route outside 0 0 20.0.0.0

Ketiga, konfigurasi user account
ASA(config)# username ism password Cisco.123

Keempat, mendefinisikan ISAKMP policy: authentication, encryption, hash, dan group
!–mendefinisikan isakmp policy 10
ASA-(config)#crypto isakmp policy 10
!–enable des ecryption
ASA(config-isakmp)#encryption des
!–enable algorithm md5 for hashing
ASA(config-isakmp)#hash md5
!–enable metode Pre-shared
ASA(config-isakmp)#authentication pre-share
!–enable diffie-Helman group 2
ASA(config-isakmp)#group 2
!–keluar dari mode crypto isakmp
ASA(config-isakmp)#exit

Kelima, membuat IPsec transform set
!–tipe enkripsinya des dan tehnik hashingnya md5-hmac
ASA(config)#crypto ipsec transform-set ts2 esp-des esp-md5-hmac
!–terapkan transform set
ASA(config)# crypto dynamic-map dmap 10 set transform-set ts2
!–panggil dynamic-map di crypto map dengan nama imap
ASA(config)#crypto map imap 10 ipsec-isakmp dynamic dmap

Keenam, konfigurasi tunnel group
!–create group untuk IT departemen
ASA(config)# tunnel-group itdept type ipsec-ra
!–create group policy
ASA(config)# tunnel-group itdept general-attributes
ASA(config-general)# address-pool poolname
ASA(config-general)# exit
ASA(config)# tunnel-group itdept ipsec-attributes
ASA(config-ipsec)# pre-shared-key Cisco
ASA(config-ipsec)# exit

Tujuh, apply crypto map di interface outside
ASA(config)# crypto map imap interface outside

Delapan, verifikasi secure tunnel dengan menggunakan Cisco VPN Client
Tunnel group: itdept
share key: Cisco
Username: ism
Password:Cisco.123

Semoga membantu.

- Kabel Console
- Kabel Cross untuk router ke laptop atau PC
- Software TFTP Server ( solarwinds , tftpd32, 3Cdaemon DLL )

Pada LAB kali ini akan menggunakan router 2801. IOS sebelumnya adalah masih polos dan akan di upgrade ke K9 agar bisa voice. Biasanya IOS type ini diperuntukan untuk layanan VOIP

Berikut adalah langkah-langkah untuk melakukan upgrade IOS pada cisco router/switch :

· Hubungkan cable konsol ke port console yang ada di perangkat router atau switch dengan port serial atau usb yang ada pada PC / Laptop

· Hubungkan kabel cross / straight ke port Ethernet yang ada pada perangkat router / switch dengan port Ethernet yang ada pada laptop atau PC, configure interface yang terhubung dalam satu subnet yang sama.
contoh command untuk konfigurasi Interface pada router:

R1-Jkt-2801#conf t

R1-Jkt-2801(config)#interface fa0/0

R1-Jkt-2801(config-if)#no shut

R1-Jkt-2801(config-if)#ip address 10.10.10.1 255.255.255.0

· Pada PC atau laptop pasang IP address 10.10.10.2 subnet mask 255.255.255.0 dan default gateway 10.10.10.1

· Colokan kabel crossover dari fast Ethernet 0/0 ke PC atau Laptop Pastikan koneksi point to point antara PC dan router berjalan dengan baik , lakukan test ping dari PC ke ip tujuan 10.10.10.1 dan pastikan hasil sudah reply .

· Jalankan software TFTP server dan pastikan IOS baru sudah berada pada directory tftp server pada PC atau laptop. Pada percobaan kali ini akan menggunakan solarwinds karena sofrware ini lebih lengkap dan lebih bagus daripada TFTP biasa.

Tampilan Solarwinds

Cara menempatkan file lokasi IOS yg akan di copy-kan ke router:

1. Klik file pada pojok kiri atas solarwinds

2. Pilih “Configure” trus “TFTP Root Directory” untuk menempatkan lokasi IOS

-Back up configurasi yang ada pada perangkat sebelum melakukan upgrade :
- Pastikan size free atau space storage yang akan dimasukan IOS mencukupi untuk ukuran file IOS tersebut.

Command :
R1-Jkt-2801#dir flash: <– untuk melihat kapasitas flash: flash:

atau gunakan command berikut untuk melihat seluruh disk yang tersedia
R1-Jkt-2801#dir all
Directory of nvram:/
139 -rw- 8855 startup-config
140 —- 2982 private-config
1 -rw- 0 ifIndex-table
2 —- 12 persistent-data

155640 bytes total (141703 bytes free)
Directory of system:/
2 drwx 0 its
87 dr-x 0 memory
1 -rw- 8855 running-config
86 dr-x 0 vfiles

No space information available

Directory of flash:/
1 -rw- 20751928 Mar 1 1993 07:04:54 +07:00 c2801-ipbase-mz.124-15.T9.bin
2 -rw- 1888 Mar 1 1993 07:06:14 +07:00 sdmconfig-36xx-37xx.cfg
3 -rw- 16264 Mar 1 1993 07:06:26 +07:00 sdm.shtml
4 -rw- 3176448 Mar 1 1993 07:06:48 +07:00 sdm.tar
5 -rw- 1462 Mar 1 1993 07:07:00 +07:00 home.html
6 -rw- 216064 Mar 1 1993 07:07:14 +07:00 home.tar

32329728 bytes total (8155136 bytes free)
R1-Jkt-2801#

Back up IOS lama yang ada pada perangkat cisco dengan cara mengcopy ke tftp server
Command to Copy existing IOS ke tftp server :

R1-Jkt-2801#copy flash: tftp: <– copy dari flash Router ke tftp
Source filename c2801-ipbase-mz.124-15.T9.bin<– File IOS Lama
Address or name of remote host ? 10.10.10.2 <– ip address Host TFTP server
Destination filename [c2801-ipbase-mz.124-15.T9.bin] !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
113153060 bytes copied in 52.588 secs (211752 bytes/sec)
R1-Jkt-2801#

Copy file IOS baru dari TFTP ke Router

Command :
R1-Jkt-2801#copy tftp: flash: <– copy ios dari tftp ke flash pada router
Source filename ? c2801-spservicesk9-mz.124-3i.bin<– File IOS Baru
Address or name of remote host ? 10.10.10.2 <– ip address Host TFTP server
Destination filename [c2801-spservicesk9-mz.124-3i.bin] <– Nama File tujuan
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
113153060 bytes copied in 52.588 secs (211752 bytes/sec)
R1-Jkt-2801#

- Verifikasi File yang telah dicopy dari TFTP server, hal ini sangat perlu dilakukan untuk mengetahui adanya corrupt file dalam proses transfer

Command :
R1-Jkt-2801#dir all <– mengecek apakah file sudah masuk pada directory

R1-Jkt-2801#verify flash: c2801-spservicesk9-mz.124-3i.bin
%Filesystem does not support verify operations
Verifying file integrity of flash: c2801.122 37.bin…………………………………………………………………………..
………………………………………………………………………………..
………………………………………………………………………………..
………………………………………………………………………………..
….Done!
Embedded Hash MD5 : 3FC77A9403C492C05E148BBF5FE03FDB
Computed Hash MD5 : 3FC77A9403C492C05E148BBF5FE03FDB
CCO Hash MD5 : 414495BF745929E2C5A5320C04F07CC6
Signature Verified
R1-Jkt-2801#

- Mengarahkan boot system ke file yang baru

R1-Jkt-2801# config t
R1-Jkt-2801(config)# boot system flash: c2801-spservicesk9-mz.124-3i.bin
R1-Jkt-2801(config)#exit
R1-Jkt-2801#write mem

- Restart perangkat cisco

R1-Jkt-2801# Reload

Tunggu sampai proses ini selesai dan pastikan kembali pada saaat booting IOS sudah mengarah ke file IOS yang baru, compare configurasi dengan configurasi sebelum di reload. Untuk mengecek apakah sudah terinstal IOS baru ketik perintah “Show version” maka akan ada keterangan nama IOS : c2801-spservicesk9-mz.124-3i.bin.

Mungkin sekian dulu pada pertemuan Lab Kali ini semoga bermanfaat dan mohon saran untuk masukan-masukannya. Salam Mazbay