مكوّنات الشبكة ودور كل واحد: router وswitches…

01 / ملخص التجربة

مكوّنات الشبكة ودور كل واحد: router وswitches وfirewall وIPS وAP وWLC وPoE

شبكة شركة كاملة وكل جهاز فيها ليه دور: الـ access switch بيوصّل الـ endpoints، الـ L3 core بيعمل routing بين الـ VLANs، الـ server بيقدّم DHCP/DNS، الراوتر هو الحافة، الـ firewall بيقسم zones، الـ IPS بيفتّش جوه الترافيك المسموح، والـ AP بيشتغل على PoE وبيتدار من الـ WLC. هتشغّل كل دور بإيدك وتشوف أثره.

مدة التجربة 45 دقيقة · 5 مهام

الأجهزة في بداية التجربة

WEB — سيرفر
ATTACKER — لابتوب
ISP — سويتش
R1 — راوتر
DMZSRV — سيرفر
CORE — سويتش L3
SRV — سيرفر
ACC — سويتش
WLC — WLC
AP1 — نقطة وصول
PC1 — كمبيوتر
LAP — لابتوب

التوصيلات

WEB eth0 ↔ ISP Fa0/1
ATTACKER eth0 ↔ ISP Fa0/2
R1 Gi0/0/1 ↔ ISP Fa0/24
DMZSRV eth0 ↔ R1 Gi0/0/2
R1 Gi0/0/0 ↔ CORE Gi1/0/24
SRV eth0 ↔ CORE Gi1/0/2
CORE Gi1/0/1 ↔ ACC Gi0/1
PC1 eth0 ↔ ACC Fa0/1
WLC Gi1 ↔ ACC Fa0/2
AP1 Gi0 ↔ ACC Fa0/3

العناوين المضبوطة مسبقًا

R1 g0/0/0: 10.0.0.1/30
R1 g0/0/1: 203.0.113.1/24
R1 g0/0/2: 172.16.0.1/24
CORE gi1/0/24: 10.0.0.2/30

02 / المهام التي ستطبقها

01
L2 access switch (ACC): وصّل الـ endpoint — Fa0/1 access في VLAN 10، والـ uplink Gi0/1 trunk للـ CORE (VLANs 1,10). وFa0/2 للـ WLC trunk
يتحقق المعمل من على ACC: الأمر show vlan brief يظهر فيه «»، على ACC: الأمر show interfaces trunk يظهر فيه «»، على ACC: الأمر show mac address-table يظهر فيه «»
تلميح / الحل المقترح
```
على ACC:
interface fa0/1
 switchport mode access
 switchport access vlan 10
interface gi0/1
 switchport mode trunk
 switchport trunk allowed vlan 1,10
interface fa0/2
 switchport mode trunk
 switchport trunk allowed vlan 1,10
الـ L2 switch بيتعلّم MAC كل جهاز على البورت بتاعه (show mac address-table) وبيوصّل الأجهزة جوه نفس الـ VLAN بس.
```

L3 core switch + server: CORE يعمل routing بين الـ VLANs (SVIs 1 و10 و20، trunk لـ ACC، default route لـ R1) وPC1 ياخد IP من SRV (DHCP relay) ويوصل للإنترنت

يتحقق المعمل من على PC1: الأمر ipconfig يظهر فيه «10.10.10.»، PC1 يصل إلى SRV (ping)، PC1 يصل إلى WEB (ping)

تلميح / الحل المقترح

على CORE:
ip routing
interface gi1/0/1
 switchport mode trunk
 switchport trunk allowed vlan 1,10
interface vlan 1
 ip address 10.1.1.1 255.255.255.0
 ip helper-address 10.20.20.10
 no shutdown
interface vlan 10
 ip address 10.10.10.1 255.255.255.0
 ip helper-address 10.20.20.10
interface vlan 20
 ip address 10.20.20.1 255.255.255.0
ip route 0.0.0.0 0.0.0.0 10.0.0.1
على PC1: ipconfig /renew
الـ server (SRV) دوره يقدّم services: DHCP وDNS وweb.

Firewall + IPS على R1: zones INSIDE/OUTSIDE/DMZ — الداخل يطلع، الإنترنت يوصل لـ DMZSRV بـ HTTP بس، وIPS يوقف الهجوم اللي جوه الـ HTTP المسموح

يتحقق المعمل من على ATTACKER: الأمر curl http://172.16.0.10/ يظهر فيه «Basma DMZ»، ATTACKER لا يصل إلى DMZSRV، ATTACKER لا يصل إلى PC1، PC1 يصل إلى WEB (ping)، على ATTACKER: الأمر curl http://172.16.0.10/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir يظهر فيه «HTTP/1.1»، على R1: الأمر show running-config يظهر فيه «»، على R1: الأمر show logging يظهر فيه «IPS-4-SIGNATURE»

تلميح / الحل المقترح

على R1:
zone security INSIDE
zone security OUTSIDE
zone security DMZ
class-map type inspect match-any ALL
 match protocol icmp
 match protocol tcp
 match protocol udp
class-map type inspect match-any WEB
 match protocol http
policy-map type inspect IN-OUT
 class type inspect ALL
  inspect
policy-map type inspect OUT-DMZ
 class type inspect WEB
  inspect
zone-pair security IN-OUT source INSIDE destination OUTSIDE
 service-policy type inspect IN-OUT
zone-pair security IN-DMZ source INSIDE destination DMZ
 service-policy type inspect IN-OUT
zone-pair security OUT-DMZ source OUTSIDE destination DMZ
 service-policy type inspect OUT-DMZ
interface g0/0/0
 zone-member security INSIDE
interface g0/0/1
 zone-member security OUTSIDE
 ip ips SHIELD in
interface g0/0/2
 zone-member security DMZ
(قبل الـ interfaces: ip ips name SHIELD)
جرّب من ATTACKER: curl http://172.16.0.10/ (يشتغل)، ping 172.16.0.10 (الفايروول يمنعه)، وcurl http://172.16.0.10/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir (الـ firewall بيسمح لأنه HTTP، والـ IPS بيقرأ جواه ويوقفه — show logging على R1).

04
PoE + AP + WLC: AP1 مطفي لأن الـ PoE مقفول على Fa0/3. شغّله (البورت access في VLAN 1)، وAP1 يعمل join للـ WLC، وLAP يدخل BASMA-STAFF وياخد IP من VLAN 10
يتحقق المعمل من على ACC: الأمر show power inline يظهر فيه «»، على WLC: الأمر show ap summary يظهر فيه «AP1»، LAP متصل بالشبكة اللاسلكية BASMA-STAFF، على LAP: الأمر ipconfig يظهر فيه «10.10.10.»
تلميح / الحل المقترح
```
على ACC:
interface fa0/3
 switchport mode access
 power inline auto
show power inline ← AP1 بيسحب 15.4W من السويتش (مالوش فيشة كهربا).
الـ AP ياخد IP من SRV (DHCP option 43 = عنوان الـ WLC) ويعمل CAPWAP join. على WLC: show ap summary.
على LAP: wifi connect BASMA-STAFF Basma@2026 ثم ipconfig /renew
الـ AP = الراديو، والـ WLC = العقل اللي بيدير كل الـ APs والـ WLANs.
```

دور كل component: في roles.txt على PC1 اكتب حرف الدور قدّام كل جهاز

تلميح / الحل المقترح

اقرا التعريفات في أول الملف (type roles.txt) واكتب مثلاً R1=a. الـ firewall والـ IPS هنا features على R1 بس دورهم مختلف: الـ firewall بيقرر بالـ zone/IP/port، والـ IPS بيفتّش المحتوى.

03 / تجارب مرتبطة