5.24 CCIE sec 战报

2009ice

初始配置有问题，IPS接口没有分配vlan 其他的都没问题！

1.1 ASA1 Initial
9 F, r, x6 I$ _4 U1.2 ASA2 Initial
1.3 ASA2 Syslog
1.4 ASA2 NAT
# k2 r9 @1 U! A; d1 L1.5 R3 Zone base firewall
# z. [' y. X  E" X2.1 IPS Initial
3 M" `6 _+ S, j' |5 ]! o2 K8 f9 o2.2R2 IOS IPS
7 c5 L" c  @* d3.1SITE-TO-SITE VPN
3.2DMVPN
! M# k) p( A3 a* {( s* T* C7 \# p! H9 `3.3EZVPN
3.4 SSL VPN
$ ^; l* B" p, @4.1R1 AAA
" L6 G$ K, `& f. i, z' O. y4.2R1 Role-base CLI
% }6 y  L$ }" z0 D2 J5.1R5 COPP
5.2SW1 Port-security
/ d. x( r4 B/ m& Q& y6 C- K. W5. 3BGP authentication through firewal
6.1 SW2 ARP Inspection on Switch
1 m2 F' \; f0 G3 J4 u4 n: a1 ~6.2ASA1/C1 TroubleShooting HTTP/DNS
  y( g' ~3 d2 w; x) _7 x. _6.3 R1 urpf
+ U$ }4 ]+ y6 Z& ^7.1 R4 NBAR
7.2 R3 ping sweep

能记住的写上了，大家自己看 也是帮助野战的 顺序上有差别 但题是全的


1.1初始化  明确说了mac auto  icmp准许
1.2icmp准许  ospf能看到r1 r3 r4在outside  r5在inside  router-id 已经配好了 1.1.1.1 2.2.2.2  3.3.3.3 4.4.4.4  收到默认路由
1.3  logging server在inside   dev-info是outside ipaddress  不要message 38001-380004   ospf的class是waring   trap 是 critical
1.4 版本一模一样，不细说了
1.5 zfw  版本  要求all的icmp 所以我就no掉101   telnet的class-map也no掉了udp  接口没有分配zone security     zone-pair下面没有调用service
$ B8 }6 {- E  S1 i  K) v7 G
9 u( G  d0 x5 b& S; B2.1 IPS 初始化 没有注意的事项  只是测试的时候要求R1 sw1 ping IPS通
! {6 b: w% O& L" d% ~2.2 R2 IOS IPS  location=flash:/  其他的都和版本一样  要求应用到in方向
+ `& O* z: G  @  M
6 x" f& t  X7 _
* U9 i, o" _' A9 n' v' m0 W9 h& X3.1 L2L vpn 需要keyring  router eigrp 199  没有指定ip address  我自己指定的192.168.100.1  192.168.100.5  测试需要ping 192.168.1.1 192.168.5.5成功 在这里面有个要求，在ping上面2个地址时候要求加解密快速增加 可是我从R5去pingR1的时候 发现加解密不明显增加  后来发现R1的ospf发布了直连路由 使得192.168.1.1已经被R5学习到了  所以我就把R1的预配改了  目前是pass  大家自己考虑是否修改（因为有一条写着可以修改firewall和routing的配置）

$ v$ u! w" C! L+ g4 y+ X0 D* D3.2 DMVPN 1、sw机上有vacl  我直接no掉vlan filter xxx vlan 6  2、 tunnul mode 没配置  3、nhrp authentic没有配置   好像就这么些 都是明显的错误 没有设置key拼写错误的陷阱  firewall routing的额外啊配置不属于错误
# n. E9 K" Z6 s7 V6 C0 X! {8 I7 ~1 x
3.3 ezvpn 这是我唯一开始敲没有通  做完整个实验回来从新再看的 第一次没做通还是很影响心情的
6 J  B' }7 G$ |+ { 1、错误有 sw1的R4的接口上有acl no掉 2、R4的2个接口都是inside  3、R4上的VIT 没有应用   4、R2上iskamp的prof里面缺少 client authentic list   5、transform-set的加密算法不对改成esp-3des esp-md5-h  不包括R4预配错误的话  正好4个错误  

- z- P7 v7 I, g7 o2 r对于 ezvpn的检测要求：1、在current status：IPSEC-xxx什么的 开始我的是stock-xxx  2、download 1 访问控制列表 3、  ping 192.168.2.2 通 用cry eng conn activ 可以看到加解密  
- u7 w3 B! ~: A: e, `

3.4 ssl 我就按照版本配置了，没有任何问题
" s( d# x5 S+ c/ B( k
4.1 这个是我唯一配置了noacs的  因为这也是整个考试中唯一明确要求的不影响con aux接口
7 i& q* i7 i1 W 要求tacacs  host 150.1.100.241  使用R1的g0/0接口  ACS配置2个用户user1  root  tacacs client 是R1
测试使用test aaa group tacacs user1  cisco123 le 成功

4.2 希望你们没有提前配置noacs 不然这个需求没法做了   enable view要求con和aux没有配置noacs  配置按照版本敲 password要求是cisco123  只要求配置user1的acs：shell、privilege、cli-view-name了  
测试：1、telnet 44.44.6.1 使用user1  cisco123  2、登录看到的是#号  3、show parser 看到的是xxxxview“user1” 4、输入config t 打？号能看到aaa exit  radius-server  tacacs-server  
2 R! X7 n7 ?+ A1 \& _/ p0 L
2 Z" h, Y* ~$ Q- }2 x5.1 copp  是BGP  router的udp和tcp opent端口的限速  BGP50  另外一个200
    按照版本敲  没问题

3 _& }, m5 }# `9 a  M) O5.2 只准许test pc 连接f0/24    1、f0/24有channl的预配  no掉     2、 配置sw mod acc   sw port   sw port  mac  xxxxx（test-pc的mac地址） 3、erridisable 自动回复psxxxx-erridisable   时间是默认的一半150

1 C! ~% `$ ~/ f5.3 bgp 穿越   版本一致  show ip bgp 就是最优的
' q- Q( s% ^" m" h3 m, o3 w
7 O% W4 C* {" o7 [6.1 SW2 ARP Inspection on Switch  就是写了一个arp 的access-list   在ip arp inspection 调用
/ f- t: c3 C& v  a$ k+ z
6.2ASA1/C1 TroubleShooting HTTP/DNS  http是reques   不能用class-map 要去应用到现有的全局policy-map和全局内的class-map
: I: h( ^* H3 H& ^7 K. k
6.3 R1 urpf  题目预配的是rx   主题意也是rx  最后增加个access-list 就好了
3 l: ]' ~* o$ C' Z/ z+ B
& ^$ A6 A6 T: f* G1 v7.1 R4 NBAR  版本一模一样

游客，如果您要查看本帖隐藏内容请回复

% A% K0 L- f) }) f: K


* W, l! A8 X1 I; c1 J, P
- q" j6 c2 {* ~# d

$ E7 l0 M' {5 c! q- O

kandlly

supisces

thx for sharing

qq360870025

夏海

komy

好东西，谢楼主分享，辛苦了，力顶！！
' \2 s6 x! n" t0 Z: p0 j  L/ ?$ I, L& T2 V本贴由隐藏贴回复机快速回复

szw?wl

谢谢共享！！！！

chenchanjan

sd50406066

lsl120957404

zclwxh

楼主辛苦了~~~~~~~~~~~~~~~~

woshiccie

好好学习学习

h0168

zhu85621662

随风o逝去