5.24 CCIE sec 战报

2009ice

初始配置有问题，IPS接口没有分配vlan 其他的都没问题！
0 w, \- s7 P! |: ^. [& l" X1 t+ E
1.1 ASA1 Initial
$ y& D9 K  u) J1.2 ASA2 Initial
1.3 ASA2 Syslog
1.4 ASA2 NAT
1.5 R3 Zone base firewall
2.1 IPS Initial
6 ?* A; a  _2 I; x' o0 q  ~2.2R2 IOS IPS
4 m+ F( y4 G/ [3.1SITE-TO-SITE VPN
3.2DMVPN
3.3EZVPN
8 n1 y7 F! H' G2 a' I  L2 r7 S* k9 w3.4 SSL VPN
4 ?7 V4 o( }4 A' e4.1R1 AAA
4.2R1 Role-base CLI
1 j3 W6 K  r* x0 v5.1R5 COPP
5 l4 S' j: s/ E0 @9 l2 N( u( v5.2SW1 Port-security
5. 3BGP authentication through firewal
+ {3 }# Y% D' s; j6 Y6.1 SW2 ARP Inspection on Switch
6.2ASA1/C1 TroubleShooting HTTP/DNS
  R) G. G& u7 @# x6.3 R1 urpf
9 i  ^6 D3 E) p* O7.1 R4 NBAR
+ h8 ]& {' M* e5 l! Q7 o7.2 R3 ping sweep
& K4 d+ S0 i1 a' Z2 R
( s1 V1 ]$ q8 q0 a/ Q3 i8 d能记住的写上了，大家自己看 也是帮助野战的 顺序上有差别 但题是全的


- V0 d: Y5 m) W. Y! c1.1初始化  明确说了mac auto  icmp准许
  n% T+ ?6 m- o; f1.2icmp准许  ospf能看到r1 r3 r4在outside  r5在inside  router-id 已经配好了 1.1.1.1 2.2.2.2  3.3.3.3 4.4.4.4  收到默认路由
1.3  logging server在inside   dev-info是outside ipaddress  不要message 38001-380004   ospf的class是waring   trap 是 critical
& _! B% T% I2 ]$ \" p9 F1.4 版本一模一样，不细说了
$ o( P4 D; u# L8 l+ Q1.5 zfw  版本  要求all的icmp 所以我就no掉101   telnet的class-map也no掉了udp  接口没有分配zone security     zone-pair下面没有调用service

2.1 IPS 初始化 没有注意的事项  只是测试的时候要求R1 sw1 ping IPS通
2.2 R2 IOS IPS  location=flash:/  其他的都和版本一样  要求应用到in方向


3.1 L2L vpn 需要keyring  router eigrp 199  没有指定ip address  我自己指定的192.168.100.1  192.168.100.5  测试需要ping 192.168.1.1 192.168.5.5成功 在这里面有个要求，在ping上面2个地址时候要求加解密快速增加 可是我从R5去pingR1的时候 发现加解密不明显增加  后来发现R1的ospf发布了直连路由 使得192.168.1.1已经被R5学习到了  所以我就把R1的预配改了  目前是pass  大家自己考虑是否修改（因为有一条写着可以修改firewall和routing的配置）

( B; l& K2 {) I) ?5 F" V6 G: k0 S3.2 DMVPN 1、sw机上有vacl  我直接no掉vlan filter xxx vlan 6  2、 tunnul mode 没配置  3、nhrp authentic没有配置   好像就这么些 都是明显的错误 没有设置key拼写错误的陷阱  firewall routing的额外啊配置不属于错误

. H4 g: u" ?! S: @% T# g3.3 ezvpn 这是我唯一开始敲没有通  做完整个实验回来从新再看的 第一次没做通还是很影响心情的
1、错误有 sw1的R4的接口上有acl no掉 2、R4的2个接口都是inside  3、R4上的VIT 没有应用   4、R2上iskamp的prof里面缺少 client authentic list   5、transform-set的加密算法不对改成esp-3des esp-md5-h  不包括R4预配错误的话  正好4个错误  

& D) H9 e' h2 P5 ~2 F! p/ q7 j对于 ezvpn的检测要求：1、在current status：IPSEC-xxx什么的 开始我的是stock-xxx  2、download 1 访问控制列表 3、  ping 192.168.2.2 通 用cry eng conn activ 可以看到加解密  
* y" b' q( S& x$ m! @, |1 j
0 [; z6 b5 y& v, x
9 {$ Y+ x1 s5 R( C3.4 ssl 我就按照版本配置了，没有任何问题
# b; y1 k) R' _: v; t
0 n; _5 }+ ~4 }$ X# o4 w3 u4.1 这个是我唯一配置了noacs的  因为这也是整个考试中唯一明确要求的不影响con aux接口
- [, O2 F# v* W: J+ \* ? 要求tacacs  host 150.1.100.241  使用R1的g0/0接口  ACS配置2个用户user1  root  tacacs client 是R1
% Z& M2 l, y8 l测试使用test aaa group tacacs user1  cisco123 le 成功

4.2 希望你们没有提前配置noacs 不然这个需求没法做了   enable view要求con和aux没有配置noacs  配置按照版本敲 password要求是cisco123  只要求配置user1的acs：shell、privilege、cli-view-name了  
8 a$ k+ S- |9 n/ c0 b3 E7 _测试：1、telnet 44.44.6.1 使用user1  cisco123  2、登录看到的是#号  3、show parser 看到的是xxxxview“user1” 4、输入config t 打？号能看到aaa exit  radius-server  tacacs-server  
0 }! A& E$ s3 Z0 ~" w% P% L
5.1 copp  是BGP  router的udp和tcp opent端口的限速  BGP50  另外一个200
    按照版本敲  没问题

5.2 只准许test pc 连接f0/24    1、f0/24有channl的预配  no掉     2、 配置sw mod acc   sw port   sw port  mac  xxxxx（test-pc的mac地址） 3、erridisable 自动回复psxxxx-erridisable   时间是默认的一半150
$ m- \3 t2 K: Z, w0 a
5.3 bgp 穿越   版本一致  show ip bgp 就是最优的

6.1 SW2 ARP Inspection on Switch  就是写了一个arp 的access-list   在ip arp inspection 调用
& Q* _' F$ e5 l# h0 V
4 S; d& ^4 L! x2 h6.2ASA1/C1 TroubleShooting HTTP/DNS  http是reques   不能用class-map 要去应用到现有的全局policy-map和全局内的class-map

6.3 R1 urpf  题目预配的是rx   主题意也是rx  最后增加个access-list 就好了

4 E! z: O7 V9 }. M7.1 R4 NBAR  版本一模一样


7 e- q) J( Y4 T, P/ F3 s

游客，如果您要查看本帖隐藏内容请回复

" |. z0 p, s5 r4 {- g
0 v; v9 M4 |" [
7 K0 I4 @$ T0 r! e6 ?: k
: \" K2 z/ p& d


4 a9 R$ h4 E- `! _2 O
$ ^) _2 v( Z, r, |  f
6 f) l1 g9 P) J

" g" U! H  t9 ]' m; g" G: W

kandlly

supisces

thx for sharing

qq360870025

夏海

komy

好东西，谢楼主分享，辛苦了，力顶！！
9 o9 e$ z# z8 V( p/ b本贴由隐藏贴回复机快速回复

szw?wl

谢谢共享！！！！

chenchanjan

sd50406066

lsl120957404

zclwxh

楼主辛苦了~~~~~~~~~~~~~~~~

woshiccie

好好学习学习

h0168

zhu85621662

随风o逝去