Najprostsza konfiguracja router on the stick.

Dziś wykonamy malutką sieć dla firmy w której pracuje do 24 osób.

Mamy tutaj dwa komputery podłączone do switcha wielowarstwowego/switcha warstwy trzeciej. Switch podłączony jest do routera, którego zadaniem jest routowanie ruchu między vlanami, a także pełni rolę serwera DHCP.

################Konfiguracja switcha

!
hostname Switch
!
spanning-tree mode pvst

vlan 10
name Users
exit
vlan 20
name Servers
exit
!
interface GigabitEthernet1/0/1
ip dhcp snooping limit rate 5
switchport access vlan 10
switchport mode access
switchport port-security mac-address sticky

exit
!
interface GigabitEthernet1/0/2
ip dhcp snooping limit rate 5
switchport access vlan 20
switchport mode access
switchport port-security mac-address sticky

exit

!
interface GigabitEthernet1/0/3
switchport trunk allowed vlan 10,20
switchport mode trunk

exit

!

################Konfiguracja routera

hostname Router
!
ip dhcp excluded-address 192.168.10.1
ip dhcp excluded-address 192.168.20.1
!
ip dhcp pool VLAN10
network 192.168.10.0 255.255.255.0
default-router 192.168.10.1

exit

ip dhcp pool VLAN20
network 192.168.20.0 255.255.255.0
default-router 192.168.20.1

exit

!
spanning-tree mode pvst
!
interface GigabitEthernet0/0
no ip address
duplex auto
speed auto

exit

!
interface GigabitEthernet0/0.10
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0

exit

!
interface GigabitEthernet0/0.20
encapsulation dot1Q 20
ip address 192.168.20.1 255.255.255.0

exit

!

Fajne na początek jest w tej konfiguracji włączenie serwera DHCP z oddzielną pulą adresów ip dla każdego vlana.
Każdy z komputerów podłączony jest do oddzielnego Vlana. Oznacza to dla przykładu, że użytkownik jednego z komputerów jest z księgowości, a drugi jest z HR.
Są dwa fajne proste zabezpieczenia.
Sticky mac adres – Do portu można podpiąć tylko kartę sieciową z konkretnym mac adresem. Oczywiście da się zrobić spoofing bez najmniejszego problemu, ale jest to jedna z warstw zabezpieczeń.
DHCP snooping – Zapobiega atakom DOS na serwer DHCP, który działa w ten sposób, że zabezpieczamy się przed wysyceniem puli adresów ip.
Jest to najprostsza architektura od której wyjdziemy przy budowaniu sieci. Rozszerzymy ją potem o warstwę dystrybucyjną czyli dodamy drugi switch między routerem a switchem, który mamy teraz aby zwiększyć skalowalność dwukrotnie. Dodatkowo zrobimy redundancję na bramie domyślnej (HSRP), vlan zarządzania, oddzielny serwer DHCP, DNS, NAT i RSTP.