Unternehmensnetz mit fünf Benutzerbereichen und DMZ
Diese Transferaufgabe baut auf den vorherigen Packet-Tracer-Übungen auf. Die grundlegende Cisco-Konfiguration ist bekannt; diesmal werden Anforderungen selbstständig in Subnetze, VLANs, DHCP, ACLs, NAT/PAT und eine DMZ umgesetzt.
3 × 14Clients in großen Räumen
2 × 5Clients in Administration
6 VLANsinklusive DMZ
2 RouterFirma + ISP
Sicherheitsanforderungen
| Quelle | Räume | Administration | DMZ | Internet |
|---|---|---|---|---|
| Raum 1–3 | Erlaubt | Keine Initiierung | Erlaubt | Erlaubt |
| Admin 1–2 | Erlaubt | Erlaubt | Erlaubt | Erlaubt |
| DMZ | Keine Initiierung | Keine Initiierung | intern | nur notwendiger Rückverkehr |
| Internet | Gesperrt | Gesperrt | nur HTTP/HTTPS via DNAT | – |
Wichtig: NAT ist kein Paketfilter. Die Zugriffskontrolle übernehmen ACLs. Externe Zugriffe auf den Webserver erfolgen über die WAN-Adresse des Firmenrouters und werden per DNAT weitergeleitet.
Vorgegebene Netze und VLANs
Für die internen Netze steht 192.168.100.0/24 zur Verfügung. Die benötigten Teilnetze müssen mit VLSM selbst geplant werden.
| VLAN | Bereich | Clients |
|---|---|---|
| 10 | Raum 1 | 14 |
| 20 | Raum 2 | 14 |
| 30 | Raum 3 | 14 |
| 40 | Administration 1 | 5 |
| 50 | Administration 2 | 5 |
| 60 | DMZ | 2 Server |
WAN-Link: 203.0.113.0/30 · Firmenrouter 203.0.113.2 · ISP 203.0.113.1
Externes Testnetz: 8.8.8.0/24 · ISP 8.8.8.1 · Internet-Server 8.8.8.8 · Extern-PC 8.8.8.10
Subnetzplanung
Bestimme für jeden Bereich das kleinstmögliche sinnvolle Subnetz. Denke an Clients, Gateway und gegebenenfalls Server.
Denkfrage: 14 Clients benötigen zusätzlich mindestens eine Gatewayadresse. Reicht deshalb ein Subnetz mit exakt 14 nutzbaren Hostadressen?
| VLAN | Bereich | Netz/CIDR | Gateway | Hostbereich | Broadcast |
|---|---|---|---|---|---|
| 10 | Raum 1 | ||||
| 20 | Raum 2 | ||||
| 30 | Raum 3 | ||||
| 40 | Admin 1 | ||||
| 50 | Admin 2 | ||||
| 60 | DMZ |
Referenzlösung zur Subnetzplanung anzeigen
| VLAN | Netz | Gateway | Nutzbar | Broadcast |
|---|---|---|---|---|
| 10 | 192.168.100.0/27 | 192.168.100.1 | .1–.30 | .31 |
| 20 | 192.168.100.32/27 | 192.168.100.33 | .33–.62 | .63 |
| 30 | 192.168.100.64/27 | 192.168.100.65 | .65–.94 | .95 |
| 40 | 192.168.100.96/29 | 192.168.100.97 | .97–.102 | .103 |
| 50 | 192.168.100.104/29 | 192.168.100.105 | .105–.110 | .111 |
| 60 | 192.168.100.112/29 | 192.168.100.113 | .113–.118 | .119 |
Diese Adressierung wird im vollständigen 1:1-Skript verwendet.
Aufbau & Verkabelung
Internet-Server 8.8.8.8 ─┐
├── SW-INTERNET ── ISP-Router ── Router-Firma ── CORE-SW
Extern-PC 8.8.8.10 ──────┘ WAN /30 │
├── SW-RAUM1 ── 14 PCs
├── SW-RAUM2 ── 14 PCs
├── SW-RAUM3 ── 14 PCs
├── SW-ADMIN1 ── 5 PCs
├── SW-ADMIN2 ── 5 PCs
└── SW-DMZ ──── 2 Server
Portplan Core-Switch
| Core-Port | Verbindung | Modus |
|---|---|---|
| Fa0/1 | Router-Firma Gi0/0 | Trunk |
| Fa0/2 | SW-RAUM1 Fa0/24 | Trunk |
| Fa0/3 | SW-RAUM2 Fa0/24 | Trunk |
| Fa0/4 | SW-RAUM3 Fa0/24 | Trunk |
| Fa0/5 | SW-ADMIN1 Fa0/24 | Trunk |
| Fa0/6 | SW-ADMIN2 Fa0/24 | Trunk |
| Fa0/7 | SW-DMZ Fa0/24 | Trunk |
Auf den Bereichsswitches werden nur die jeweils benötigten VLANs als Access-VLAN genutzt. Der Uplink auf Fa0/24 ist jeweils ein Trunk.
Cisco-Befehle – Nachschlagewerk
Diese Seite enthält die benötigten Befehlsmuster ohne konkrete interne IP-Adressen. Platzhalter in <...> müssen durch die eigene Planung ersetzt werden.
VLAN anlegen
enable configure terminal vlan <VLAN-ID> name <NAME> exit
Access-Port zuweisen
interface range FastEthernet0/<START> - <ENDE> switchport mode access switchport access vlan <VLAN-ID> spanning-tree portfast exit
Trunk-Port
interface FastEthernet0/<PORT> switchport mode trunk exit
Router-on-a-Stick
interface GigabitEthernet0/0 no shutdown exit interface GigabitEthernet0/0.<VLAN-ID> encapsulation dot1Q <VLAN-ID> ip address <GATEWAY> <SUBNETZMASKE> ip nat inside exit
DHCP
ip dhcp excluded-address <START> <ENDE> ip dhcp pool <POOLNAME> network <NETZADRESSE> <SUBNETZMASKE> default-router <GATEWAY> dns-server <DNS> exit
Extended ACL – Raum darf Admin nicht initiieren
ip access-list extended <ACL-NAME> permit icmp <RAUM-NETZ> <WILDCARD> <ADMIN-NETZ> <WILDCARD> echo-reply permit tcp <RAUM-NETZ> <WILDCARD> <ADMIN-NETZ> <WILDCARD> established deny ip <RAUM-NETZ> <WILDCARD> <ADMIN-NETZ> <WILDCARD> permit ip <RAUM-NETZ> <WILDCARD> any exit interface GigabitEthernet0/0.<VLAN-ID> ip access-group <ACL-NAME> in exit
DMZ-Ausgangsfilter
ip access-list extended DMZ-OUT permit icmp <DMZ-NETZ> <WILDCARD> <INTERNE-NETZE> <WILDCARD> echo-reply permit tcp <DMZ-NETZ> <WILDCARD> <INTERNE-NETZE> <WILDCARD> established permit tcp <DMZ-NETZ> <WILDCARD> any established deny ip <DMZ-NETZ> <WILDCARD> <INTERNE-NETZE> <WILDCARD> deny ip <DMZ-NETZ> <WILDCARD> any exit
NAT/PAT
access-list <NAT-ACL> permit <NETZ> <WILDCARD> ! weitere erlaubte Clientnetze ergänzen ip nat inside source list <NAT-ACL> interface GigabitEthernet0/2 overload interface GigabitEthernet0/2 ip nat outside exit
DNAT / Portweiterleitung
ip nat inside source static tcp <DMZ-SERVER> 80 <WAN-IP> 80 ip nat inside source static tcp <DMZ-SERVER> 443 <WAN-IP> 443
WAN-ACL
ip access-list extended WAN-IN permit tcp any host <WAN-IP> eq 80 permit tcp any host <WAN-IP> eq 443 permit tcp any host <WAN-IP> established permit icmp any host <WAN-IP> echo-reply deny ip any <PRIVATE-INTERN> <WILDCARD> deny ip any any exit interface GigabitEthernet0/2 ip access-group WAN-IN in exit
Diagnose
show ip interface brief show ip route show vlan brief show interfaces trunk show ip access-lists show ip nat translations show ip nat statistics show ip dhcp binding
Komplettskript – Packet Tracer 1:1
Dieses Skript verwendet die Referenz-VLSM-Lösung. Es ist als vollständiger Durchlauf gedacht: Geräte platzieren, verkabeln, Switches konfigurieren, Router konfigurieren, Endgeräte setzen und anschließend testen.
Hinweis: Wenn die Klasse eine andere korrekte VLSM-Aufteilung entwickelt, müssen die Adressen im Skript entsprechend angepasst werden.
Schritt 1 – Geräte platzieren und benennen
Platziere: 2× Cisco 2911, 8× Cisco 2960 (Core, 6 Bereiche, Internet), 42 Raum-PCs, 10 Admin-PCs, 2 DMZ-Server, 1 Extern-PC, 1 Internet-Server.
Namen: R-FIRMA, R-ISP, SW-CORE, SW-R1, SW-R2, SW-R3, SW-A1, SW-A2, SW-DMZ, SW-INTERNET.
Schritt 2 – Referenz-IP-Plan
| VLAN | Netz | Gateway | Clients/Server |
|---|---|---|---|
| 10 | 192.168.100.0/27 | 192.168.100.1 | DHCP .2–.30 |
| 20 | 192.168.100.32/27 | 192.168.100.33 | DHCP .34–.62 |
| 30 | 192.168.100.64/27 | 192.168.100.65 | DHCP .66–.94 |
| 40 | 192.168.100.96/29 | 192.168.100.97 | DHCP .98–.102 |
| 50 | 192.168.100.104/29 | 192.168.100.105 | DHCP .106–.110 |
| 60 | 192.168.100.112/29 | 192.168.100.113 | Server0 .114, Server1 .115 |
Schritt 3 – Core-Switch konfigurieren
enable configure terminal hostname SW-CORE vlan 10 name RAUM1 vlan 20 name RAUM2 vlan 30 name RAUM3 vlan 40 name ADMIN1 vlan 50 name ADMIN2 vlan 60 name DMZ exit interface range FastEthernet0/1 - 7 switchport mode trunk exit end write memory
Schritt 4 – Bereichsswitches konfigurieren
SW-R1
enable configure terminal hostname SW-R1 vlan 10 name RAUM1 exit interface range FastEthernet0/1 - 14 switchport mode access switchport access vlan 10 spanning-tree portfast exit interface FastEthernet0/24 switchport mode trunk exit end write memory
SW-R2: identisch, VLAN 20 und Ports Fa0/1–14.
SW-R3: identisch, VLAN 30 und Ports Fa0/1–14.
SW-A1: VLAN 40, Access-Ports Fa0/1–5, Trunk Fa0/24.
SW-A2: VLAN 50, Access-Ports Fa0/1–5, Trunk Fa0/24.
SW-DMZ: VLAN 60, Access-Ports Fa0/1–2, Trunk Fa0/24.
Schritt 5 – Firmenrouter: VLAN-Gateways und WAN
enable configure terminal hostname R-FIRMA interface GigabitEthernet0/0 no shutdown exit interface GigabitEthernet0/0.10 encapsulation dot1Q 10 ip address 192.168.100.1 255.255.255.224 ip nat inside exit interface GigabitEthernet0/0.20 encapsulation dot1Q 20 ip address 192.168.100.33 255.255.255.224 ip nat inside exit interface GigabitEthernet0/0.30 encapsulation dot1Q 30 ip address 192.168.100.65 255.255.255.224 ip nat inside exit interface GigabitEthernet0/0.40 encapsulation dot1Q 40 ip address 192.168.100.97 255.255.255.248 ip nat inside exit interface GigabitEthernet0/0.50 encapsulation dot1Q 50 ip address 192.168.100.105 255.255.255.248 ip nat inside exit interface GigabitEthernet0/0.60 encapsulation dot1Q 60 ip address 192.168.100.113 255.255.255.248 ip nat inside exit interface GigabitEthernet0/2 ip address 203.0.113.2 255.255.255.252 ip nat outside no shutdown exit ip route 0.0.0.0 0.0.0.0 203.0.113.1
Schritt 6 – Firmenrouter: DHCP
ip dhcp excluded-address 192.168.100.1 ip dhcp excluded-address 192.168.100.33 ip dhcp excluded-address 192.168.100.65 ip dhcp excluded-address 192.168.100.97 ip dhcp excluded-address 192.168.100.105 ip dhcp pool RAUM1 network 192.168.100.0 255.255.255.224 default-router 192.168.100.1 dns-server 8.8.8.8 exit ip dhcp pool RAUM2 network 192.168.100.32 255.255.255.224 default-router 192.168.100.33 dns-server 8.8.8.8 exit ip dhcp pool RAUM3 network 192.168.100.64 255.255.255.224 default-router 192.168.100.65 dns-server 8.8.8.8 exit ip dhcp pool ADMIN1 network 192.168.100.96 255.255.255.248 default-router 192.168.100.97 dns-server 8.8.8.8 exit ip dhcp pool ADMIN2 network 192.168.100.104 255.255.255.248 default-router 192.168.100.105 dns-server 8.8.8.8 exit
Schritt 7 – Firmenrouter: Raum-ACLs
Admin 1 + Admin 2 lassen sich als 192.168.100.96/28 zusammenfassen. Wildcard: 0.0.0.15.
ip access-list extended R1-IN permit icmp 192.168.100.0 0.0.0.31 192.168.100.96 0.0.0.15 echo-reply permit tcp 192.168.100.0 0.0.0.31 192.168.100.96 0.0.0.15 established deny ip 192.168.100.0 0.0.0.31 192.168.100.96 0.0.0.15 permit ip 192.168.100.0 0.0.0.31 any exit interface GigabitEthernet0/0.10 ip access-group R1-IN in exit ip access-list extended R2-IN permit icmp 192.168.100.32 0.0.0.31 192.168.100.96 0.0.0.15 echo-reply permit tcp 192.168.100.32 0.0.0.31 192.168.100.96 0.0.0.15 established deny ip 192.168.100.32 0.0.0.31 192.168.100.96 0.0.0.15 permit ip 192.168.100.32 0.0.0.31 any exit interface GigabitEthernet0/0.20 ip access-group R2-IN in exit ip access-list extended R3-IN permit icmp 192.168.100.64 0.0.0.31 192.168.100.96 0.0.0.15 echo-reply permit tcp 192.168.100.64 0.0.0.31 192.168.100.96 0.0.0.15 established deny ip 192.168.100.64 0.0.0.31 192.168.100.96 0.0.0.15 permit ip 192.168.100.64 0.0.0.31 any exit interface GigabitEthernet0/0.30 ip access-group R3-IN in exit
Schritt 8 – Firmenrouter: DMZ-ACL
ip access-list extended DMZ-OUT permit icmp 192.168.100.112 0.0.0.7 192.168.100.0 0.0.0.255 echo-reply permit tcp 192.168.100.112 0.0.0.7 192.168.100.0 0.0.0.255 established permit tcp 192.168.100.112 0.0.0.7 any established deny ip 192.168.100.112 0.0.0.7 192.168.100.0 0.0.0.255 deny ip 192.168.100.112 0.0.0.7 any exit interface GigabitEthernet0/0.60 ip access-group DMZ-OUT in exit
Server0 und Server1 kommunizieren innerhalb desselben VLANs direkt über den Switch. Diese Pakete passieren die Router-ACL nicht.
Schritt 9 – Firmenrouter: PAT und DNAT
access-list 1 permit 192.168.100.0 0.0.0.31 access-list 1 permit 192.168.100.32 0.0.0.31 access-list 1 permit 192.168.100.64 0.0.0.31 access-list 1 permit 192.168.100.96 0.0.0.7 access-list 1 permit 192.168.100.104 0.0.0.7 ip nat inside source list 1 interface GigabitEthernet0/2 overload ip nat inside source static tcp 192.168.100.114 80 203.0.113.2 80 ip nat inside source static tcp 192.168.100.114 443 203.0.113.2 443
Schritt 10 – Firmenrouter: WAN-ACL
ip access-list extended WAN-IN permit tcp any host 203.0.113.2 eq 80 permit tcp any host 203.0.113.2 eq 443 permit tcp any host 203.0.113.2 established permit icmp any host 203.0.113.2 echo-reply deny ip any 192.168.100.0 0.0.0.255 deny ip any any exit interface GigabitEthernet0/2 ip access-group WAN-IN in exit end write memory
Packet-Tracer-Hinweis: Diese ACL ist bewusst auf die WAN-Adresse des Routers formuliert. Die Veröffentlichung des DMZ-Webservers erfolgt über DNAT; externe Clients verwenden nicht die private DMZ-Adresse.
Schritt 11 – ISP-Router
enable configure terminal hostname R-ISP interface GigabitEthernet0/0 ip address 203.0.113.1 255.255.255.252 no shutdown exit interface GigabitEthernet0/1 ip address 8.8.8.1 255.255.255.0 no shutdown exit end write memory
Keine Default-Route zu R-FIRMA eintragen. Der ISP soll die privaten internen Netze nicht kennen.
Schritt 12 – Externe Geräte
| Gerät | IP | Maske | Gateway |
|---|---|---|---|
| Internet-Server | 8.8.8.8 | 255.255.255.0 | 8.8.8.1 |
| Extern-PC | 8.8.8.10 | 255.255.255.0 | 8.8.8.1 |
Am Internet-Server kann HTTP aktiviert werden. Auf dem Extern-PC werden später HTTP/HTTPS/Telnet-Tests zur WAN-Adresse durchgeführt.
Schritt 13 – DMZ-Server
| Gerät | IP | Maske | Gateway |
|---|---|---|---|
| Server0 Web | 192.168.100.114 | 255.255.255.248 | 192.168.100.113 |
| Server1 intern | 192.168.100.115 | 255.255.255.248 | 192.168.100.113 |
Server0: Services → HTTP → On, HTTPS → On.
Schritt 14 – Clients auf DHCP stellen
Alle 42 Raum-PCs und alle 10 Admin-PCs: Desktop → IP Configuration → DHCP.
Danach stichprobenartig prüfen: ipconfig /all.
Schritt 15 – Kontrolle vor den Tests
show ip interface brief show ip route show ip dhcp binding show ip access-lists show ip nat statistics show ip nat translations
Abschlusstests
Hake jeden Test erst ab, wenn das tatsächliche Ergebnis der Erwartung entspricht. Bei Fehlern zuerst Diagnose, nicht sofort Konfiguration ändern.
Diagnose-Reihenfolge
1. IP-Adresse / Gateway des Endgeräts prüfen 2. VLAN-Zuweisung prüfen 3. Trunks prüfen 4. Routingtabelle prüfen 5. ACL-Trefferzähler prüfen 6. NAT-Tabelle prüfen 7. Hinweg und Rückweg getrennt betrachten
Bonusaufgaben
ASSH-Management nur aus Admin 2
BManagement-VLAN 99
CPort Security auf Raum-Switch
DDHCP Snooping untersuchen
EZweiten öffentlichen Dienst veröffentlichen
FZweiten Standort + statische Route oder OSPF
Bonus F – Transfer
Erweitere das Netz um einen entfernten Standort mit eigenem Router und einem zusätzlichen LAN. Vergleiche anschließend statisches Routing mit OSPF. Dokumentiere, welche Konfiguration sich bei einer weiteren Standorterweiterung besser skalieren lässt.