Difference between revisions of "CCDP-Campus Viborg/Opgave 2/GruppeSkrammel"

Revision as of 12:50, 7 September 2010

Distribution:

HSRP, UDLD

IDS/IPS

Access:

STP – kun Portfast med BPDU guard

Elementer i netværket

IEEE 802.1Q (Trunks)

I dette netværk er der valgt 802.1Q som encapsulation for at højne sikkerheden på uplinks.

IS-IS er den valgte rutningsprotokol

Vi har gjort os overvejelser omkring hvilke routing protokoller der er lettest at vedligeholde kontra protokollens evne til at konvergere samt CIDR og VLSM. Da kunden forventer omfattende brug af IPT, som er følsom på nedetid, så har vi valgt en hurtigt konvergerende routing protokol som IS-IS.

Netværksovervågning med SNMPv3 traps for monitorering

For at kunne vedligeholde netværket proaktivt frem for reaktivt, så er det nødvendigt med en netværksovervågningsløsning. SNMPv3 eksisterer på det meste ny Cisco udstyr (ellers kan IOS evt. opgraderes) og sikrer at informationer om netværkets tilstand ikke kan opsnappes.

Triangulær redundans hvor muligt på alle lag, bortset fra egress ISP

QoS

Firewall inkl. NAT/PAT

Proxy server - Web Security Gateway Software (Port 80 lukkes!)

En

Network Backup Tool i form af eksempelvis CatTool

@@ Line 24: / Line 24: @@
-*Netværksovervågning med SNMPv2 traps for monitorering i read-only mode
+*Netværksovervågning med SNMPv3 traps for monitorering
+For at kunne vedligeholde netværket proaktivt frem for reaktivt, så er det nødvendigt med en netværksovervågningsløsning. SNMPv3 eksisterer på det meste ny Cisco udstyr (ellers kan IOS evt. opgraderes) og sikrer at informationer om netværkets tilstand ikke kan opsnappes.
-For at kunne vedligeholde netværket proaktivt frem for reaktivt, så er det nødvendigt med en netværksovervågningsløsning. SNMPv2 eksisterer på det meste hardware som standard, men har den svaghed at den sender ''community string'' i klar tekst. Det er en sikkerhedsrisiko, såfremt andre  end netværksadministratoren ikke både skal kunne se og ændre enhedens konfiguration. Da vi har valgt kun at benytte os af read-only mode, så har en potentiel spoofer stadig mulighed for at se konfigurationen, men ikke mulighed for at ændre den, da der logges på enheder ved hjælp af AAA.
 *Triangulær redundans hvor muligt på alle lag, bortset fra egress ISP
@@ Line 34: / Line 35: @@
-*Firewall
+*Firewall inkl. NAT/PAT
+*Proxy server - Web Security Gateway Software (Port 80 lukkes!)
-*PROXY server - Web Security Gateway Software (Port 80 lukkes!)
+En
 *Network Backup Tool i form af eksempelvis CatTool