LAB 003 – Securing VTP domains

          LAB 001 မွာတုန္းက standard vlan ေတြ ဘယ္လိုခြဲသလဲေျပာခဲ့တယ္။ LAB 002 မွာေတာ့ VTP domain ကိုအသံုးျပဳၿပီးေတာ့ VLAN ေတြကို centralize စနစ္နဲ႕ create လုပ္တာကိုေျပာတယ္။ အိုေခ ဒီေန႕ေတာ့ security အပိုင္းေပ့ါ။ ကၽြန္ေတာ္တို႕ VTP domain ထိုင္လိုက္လို႕ VLAN ေတြ create လုပ္တာကေတာ့ဟုတ္ပါၿပီ။ အကယ္လို႕မ်ား အျခား switch တစ္ခုေပ့ါ ၊ attacker တစ္ေယာက္က switch တစ္လံုးကိုယူလာမယ္။ ၿပီးေတာ့ ကၽြန္ေတာ္တို႕သတ္မွတ္ထားတဲ့ VTP domain name ကို သူ႕ switch မွာ configure လုပ္လိုက္တာနဲ႕ တစ္ရံုးလံုးမွာ create လုပ္ထားတဲ့ VLAN ေတြကို သူရသြာမယ္။ ဘာမွမလိုဘူး။ VTP domain name ေလးပဲထည့္ေပးလိုက္တာ။ ဒီေတာ့ VTP server မထိုင္တုန္းကမွ attacker က switch တစ္လံုးခ်င္းစီကို hack ၿပီး VLAN ေတြကိုရွာေနရဦးမယ္။ အခုေတာ့ ခူးၿပီးခပ္ၿပီးသားေလး အဆင္သင့္စားလိုက္ ယံုပဲ။ ဒီေတာ့ ကၽြန္ေတာ္တို႕က VTP domain ကို security ထားဖို႕လိုလာၿပီျဖစ္ပါတယ္။ password ခံထားလိုက္တာေပါ့။ ဒီေတာ့ VTP domain ထဲကို၀င္ခ်င္ရင္ အရင္လို VTP domain name ပဲသိလို႔မရေတာ့ဘူး။ password ကိုပါသိမွ VLAN information ေတြကုိ server ကပို႕ေပးမွာ။ မဟုတ္ရင္ေတာ့ ေဆာရီးပဲ။ အိုေခ နားလည္တယ္ေနာ္။ J ဆရာ လိုလိုဘာလိုလို ေလသံနဲ႕။ သင္တန္းတစ္ခုတက္ေန သလိုမ်ိဳး စိတ္၀င္စားေအာင္ သင္ၾကည့္တာပါ။ :p ဒီေတာ့ ကၽြန္ေတာ္တို႕တည္ေဆာက္ထားတဲ့ VTP domain ကို ေသာ့ခတ္ၾကည့္ရေအာင္ဗ်ာ ထံုးစံအတိုင္းေအာက္မွာပံုေလးေပးထားတယ္။ switch 1 မွာ create လုပ္ရမယ့္ vlan ေတြကိုဇယားထဲကအတိုင္း create လုပ္မယ္။ LAB 001 ကို create လုပ္ခဲ့ၿပီးၿပီဆိုရင္ VLAN ေတြကိုေတာ့ ေဆာက္လို႕တတ္ၿပီေနာ္။မေျပာေတာ့ဘူး။ ဘယ္လို password ထားမလဲပဲေျပာျပေတာ့မယ္။ VLAN ကို configure မလုပ္တတ္ေသးရင္ ဒီမွာ ျပန္ၾကည့္ေပးပါ။ ကၽြန္ေတာ့္ LAB ေတြကို step by step သြားထားလို႕ တစ္ခုကို ေက်ာ္သြားရင္ ေနာက္တစ္ခုမွာပါ နားမလည္ဘူးျဖစ္သြားမွာပါ။

လုပ္ရမယ့္ step ေတြကေတာ့

Step 1) ပံုမွာျပထားတဲ့အတိုင္း VLAN ေတြတည္ေဆာက္မယ္။

Step 2) Switch 1 ကို vtp server အေနနဲ႕ထားမယ္။ switch 2 ကို client အေနနဲ႕ထားမယ္။ domain name ကိုေတာ့ TECHGATE လို႕ေပးလိုက္မယ္။ ၿပီးေတာ့ password ကို cisco လို႕ေပးမယ္။ ဒီအဆင့္ေလးပိုလာတယ္ ေနာ္။

Step 3) switch ႏွစ္လံုးၾကားထဲက fa0/1 port ေတြကို trunk link on ေပးမယ္။ ဒါကို LAB 002 မွာေျပာခဲ့ၿပီးၿပီေနာ္။ မသိရင္ ဒီမွာ ျပန္ၾကည့္မယ္။

Step 4 ) ေနာက္ဆံုးမွာေတာ့ switch 2 မွာ switch 1 မွာ configure လုပ္ထားခဲ့တဲ့အတိုင္း VLAN ေတြရွိရဲ႕လားဆိုတာကိုစစ္မယ္။

Step 2) တစ္ခုပဲေျပာေတာ့မယ္ေနာ္။ ေတာ္ၾကား အပ္ေၾကာင္းထပ္ေနရင္ လည္သြားမွာစိုးလို႕ပါ။

ရိုက္ရမယ့္ command ေတြက

Sw1#config t

Enter configuration commands, one per line. End with CNTL/Z.

Sw1(config)#vtp domain TECHGATE

Changing VTP domain name from Null to TECHGATE

Sw1(config)#vtp password CISCO

Setting device VLAN database password to CISCO

အိုေခ။ ေနာက္ဆံုး switch 1 နဲ႕ switch 2 မွာ

 #show vtp status လို႕ၾကည့္လိုက္လို႕ Configuration Revision no တူတယ္ဆိုရင္ အိုေကၿပီ။

 ဒီမွာေတာ့ 2 လို႕ျပေနတယ္ေနာ္။ ဒါဆိုရင္ switch 2 မွာလည္း 2 လို႕ျပရမယ္။ ၿပီးရင္ေတာ့ switch 2 မွာ show vlan brief နဲ႕ၾကည့္ရင္ switch 1 မွာ configure လုပ္ထားတဲ့ vlan ေတြအတိုင္းေတြ႕ရမွာျဖစ္ပါတယ္။ ထပ္ၿပီးစမ္းသပ္ခ်င္သပဆိုရင္ အျခား switch တစ္လံုးကို packet tracer ထဲမွာထပ္ထည့္ၿပီး trunk link ခ်ိတ္၊ ၿပီးေတာ့ password ကို အျခားတစ္ခုေပးလိုက္။ မတူရင္ server က vlan information ေတြကိုမပို႕ေပးလို႕ Configuration Revision no မတူတာကိုေတြ႕ရလိမ့္မယ္။