5.24 CCIE sec 战报

2009ice

初始配置有问题，IPS接口没有分配vlan 其他的都没问题！
* |! F! d* l# _0 O& n' a# `
$ z  e4 t) l$ n0 R5 H; `! s- K1.1 ASA1 Initial
& L7 j4 ^0 _3 R8 n) P1.2 ASA2 Initial
1.3 ASA2 Syslog
1.4 ASA2 NAT
1.5 R3 Zone base firewall
2.1 IPS Initial
2.2R2 IOS IPS
3.1SITE-TO-SITE VPN
3.2DMVPN
3.3EZVPN
* H( B# h% H: F1 ]# a6 l/ _3.4 SSL VPN
4.1R1 AAA
4.2R1 Role-base CLI
5.1R5 COPP
. M7 w' j+ ?  @" P% h5.2SW1 Port-security
5. 3BGP authentication through firewal
" m* ?, M8 D+ n- E6.1 SW2 ARP Inspection on Switch
6.2ASA1/C1 TroubleShooting HTTP/DNS
6.3 R1 urpf
  i9 `2 D  W! d; z7.1 R4 NBAR
' j/ A- h+ A4 X8 y7.2 R3 ping sweep

能记住的写上了，大家自己看 也是帮助野战的 顺序上有差别 但题是全的
- S; z" v2 _# r) K

1.1初始化  明确说了mac auto  icmp准许
. x. {8 T6 c6 s9 o' A* a  N5 J# e1.2icmp准许  ospf能看到r1 r3 r4在outside  r5在inside  router-id 已经配好了 1.1.1.1 2.2.2.2  3.3.3.3 4.4.4.4  收到默认路由
1.3  logging server在inside   dev-info是outside ipaddress  不要message 38001-380004   ospf的class是waring   trap 是 critical
1.4 版本一模一样，不细说了
1.5 zfw  版本  要求all的icmp 所以我就no掉101   telnet的class-map也no掉了udp  接口没有分配zone security     zone-pair下面没有调用service

8 H5 K. u- ^3 v3 U! A* ?2.1 IPS 初始化 没有注意的事项  只是测试的时候要求R1 sw1 ping IPS通
2.2 R2 IOS IPS  location=flash:/  其他的都和版本一样  要求应用到in方向


  E8 e2 u$ F0 ^( Y  [7 I3.1 L2L vpn 需要keyring  router eigrp 199  没有指定ip address  我自己指定的192.168.100.1  192.168.100.5  测试需要ping 192.168.1.1 192.168.5.5成功 在这里面有个要求，在ping上面2个地址时候要求加解密快速增加 可是我从R5去pingR1的时候 发现加解密不明显增加  后来发现R1的ospf发布了直连路由 使得192.168.1.1已经被R5学习到了  所以我就把R1的预配改了  目前是pass  大家自己考虑是否修改（因为有一条写着可以修改firewall和routing的配置）

3.2 DMVPN 1、sw机上有vacl  我直接no掉vlan filter xxx vlan 6  2、 tunnul mode 没配置  3、nhrp authentic没有配置   好像就这么些 都是明显的错误 没有设置key拼写错误的陷阱  firewall routing的额外啊配置不属于错误

3.3 ezvpn 这是我唯一开始敲没有通  做完整个实验回来从新再看的 第一次没做通还是很影响心情的
$ A" W1 M9 p4 Y 1、错误有 sw1的R4的接口上有acl no掉 2、R4的2个接口都是inside  3、R4上的VIT 没有应用   4、R2上iskamp的prof里面缺少 client authentic list   5、transform-set的加密算法不对改成esp-3des esp-md5-h  不包括R4预配错误的话  正好4个错误  
' B; E: t+ B5 B7 @$ |% v. O7 B
+ c9 L  s: @- ~$ \+ `0 {* O- a对于 ezvpn的检测要求：1、在current status：IPSEC-xxx什么的 开始我的是stock-xxx  2、download 1 访问控制列表 3、  ping 192.168.2.2 通 用cry eng conn activ 可以看到加解密  

8 N& I. Z6 t/ R2 D/ A* e- r3 v
" z# q8 {4 o2 D$ S0 F; t; n( W& k3.4 ssl 我就按照版本配置了，没有任何问题

" t$ [% N4 r( P6 h8 z' u4 p4.1 这个是我唯一配置了noacs的  因为这也是整个考试中唯一明确要求的不影响con aux接口
要求tacacs  host 150.1.100.241  使用R1的g0/0接口  ACS配置2个用户user1  root  tacacs client 是R1
测试使用test aaa group tacacs user1  cisco123 le 成功
  e  ^# i9 o8 t: A/ @* D( |
4.2 希望你们没有提前配置noacs 不然这个需求没法做了   enable view要求con和aux没有配置noacs  配置按照版本敲 password要求是cisco123  只要求配置user1的acs：shell、privilege、cli-view-name了  
# W3 S9 `' I3 l8 |# d5 E, P+ p1 ]: _测试：1、telnet 44.44.6.1 使用user1  cisco123  2、登录看到的是#号  3、show parser 看到的是xxxxview“user1” 4、输入config t 打？号能看到aaa exit  radius-server  tacacs-server  

6 M: E9 U( n9 R" K# e5.1 copp  是BGP  router的udp和tcp opent端口的限速  BGP50  另外一个200
    按照版本敲  没问题

& w: L7 W! `5 K; r/ g* B5.2 只准许test pc 连接f0/24    1、f0/24有channl的预配  no掉     2、 配置sw mod acc   sw port   sw port  mac  xxxxx（test-pc的mac地址） 3、erridisable 自动回复psxxxx-erridisable   时间是默认的一半150
5 Q2 m( k( |, {) r( k6 Z5 I% J6 t
5.3 bgp 穿越   版本一致  show ip bgp 就是最优的
; f) {* z3 R& u; m
6.1 SW2 ARP Inspection on Switch  就是写了一个arp 的access-list   在ip arp inspection 调用

/ I6 t6 M: @  h6 F6.2ASA1/C1 TroubleShooting HTTP/DNS  http是reques   不能用class-map 要去应用到现有的全局policy-map和全局内的class-map

6.3 R1 urpf  题目预配的是rx   主题意也是rx  最后增加个access-list 就好了

7.1 R4 NBAR  版本一模一样
, K% h; c& M1 x. C+ M3 J

1 U+ P9 O* O/ P" w

游客，如果您要查看本帖隐藏内容请回复

: \+ y4 {. |; s1 r2 C' G3 B


- w* C- j7 e7 d5 Q/ ~2 m
! `. t1 e+ g. R6 L% ]- g3 y5 u


3 R: j) c( p- g9 i
/ H, @5 z5 Q* E& B7 _  {0 A

kandlly

supisces

thx for sharing

qq360870025

夏海

komy

好东西，谢楼主分享，辛苦了，力顶！！
  K" J+ k5 f) S% T, n9 d  i' D本贴由隐藏贴回复机快速回复

szw?wl

谢谢共享！！！！

chenchanjan

sd50406066

lsl120957404

zclwxh

楼主辛苦了~~~~~~~~~~~~~~~~

woshiccie

好好学习学习
0 n" G+ @6 m6 ^. }& |

h0168

zhu85621662

随风o逝去