建のTRASH CAN

先假定一個狀況
我不想讓這台電腦去存取特定IP位置.比方是線上遊戲或者是臉書之類的.
(當然先決條件是你得先知道IP位置,可以去WHOIS查詢)
今天我的狀況是要把內部某一台電腦禁止這台電腦去存取 192.168.1.83

開始-->執行-->regedit-->enter
找到 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber

interface FastEthernet0/0
 ip address dhcp
 duplex auto
 speed auto
 pppoe enable group global
 pppoe-client dial-pool-number 1
interface Dialer1
 mtu 1492
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 no ip mroute-cache
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp authentication pap callin
 ppp pap sent-username ********@hinet.net password 0 ***********
Router#show pppoe session
     1 client session
Uniq ID  PPPoE  RemMAC          Port                    VT  VA         State
           SID  LocMAC                                      VA-st
    N/A  10679  0090.1aa2.5d02  Fa0/0                  Di1  Vi2        UP
                c000.1588.0000                              UP
Router#show pppoe session all
Total PPPoE sessions 1
session id: 10679
local MAC address: c000.1588.0000, remote MAC address: 0090.1aa2.5d02
virtual access interface: Vi2, outgoing interface: Fa0/0
    1079 packets sent, 1079 received
    16492 bytes sent, 14990 received

TEST(config)#hostname TEST            主機名稱一定要改,不可以用預設.
TEST(config)#ip domain-name TEST        設定 domain-name
TEST(config)#crypto key generate rsa        啟動本地ssh-server並產生RSA-KEY.
(在此時重新產生並不會對現有連線造成中斷)
TEST(config)#username doom password test    建立帳號密碼
TEST(config)#username doom privilege 15        給他最高權限
TEST(config-line)#transport input none        先清空現所有連線方式 (包含telnet)
(在此時現有連線不會中斷)
TEST(config-line)#line vty 0 4            進入遠端登入管理模式
TEST(config-line)#transport input ssh        僅開放 ssh 存取
TEST(config-line)#login local            使用本地驗證資料庫

1.在交換機上啟動 AAA.
AAA在交換機上預設關閉,使用下列指令啟動 AAA 功能.
Switch(config)#aaa new-model
關鍵字 new-model 代表使用的方法清單後者為驗證方法和驗證來源進行編組和組織.
新模型的可擴展性比 old-model (舊模型) 高很多,在舊模型中有很多東西都必須手動配置.
2.定義外部 RADIUS 伺服器.
首先,定義每個伺服器以及其機密的共用密碼,只有交換器和伺服器知道該字串,它提供了加密驗證會談所使用的金鑰.
使用下列指令定義 RADIUS 伺服器
Switch(config)#radius-server host {hostname / ip-address /} [key string 關鍵字串]
當你有多組以上 radius 伺服器時可多次輸入不同 server 資訊 & 配置.
3.定義 802.1x 的驗證方式.
使用下列指令,用於定義交換器本體上定義的所有 RADIUS 伺服器都使用 802.1X 認證.
Switch(config)#aaa authentication dot1x default group radius
值得一提的是,倘若 raduis 認證失敗!即不會在往下一個項目進行驗證.
倘若 找不到 radius 認證伺服器,則將會再往下一個項目進行驗證.
故建議的設定模式如下.
Switch(config)#aaa authentication dot1x default group radius none (倘若 "找不到radius認證" 則不認證)
4.在交換器上啟用 802.1x
Switch(config)#dot1x system-auth-control
5.對每個即將使用 802.1x 的交換埠進行配置.
Switch(config)#interface 介面編號
Switch(config)#interface range fa0/1 - 24 (進入範圍界面設定模式)
所有欲設定的埠須先定義為 switchport mode access
Switch(config-if)#dot1x port-control { force-authorized / force-unauthorized / auto }
force-authorized(預設) :埠總是授權給連線端,簡單來說 - 此埠無需進行驗證即可傳輸資料.
force-unauthorized :埠總是不授權給連線,簡單來說 - 此埠無需驗證,永遠不可傳輸資料.
auto(理想) :該埠必須完成 802.1x 的認證手續方可傳輸資料,用戶端需支援 802.1x 認證. (XP有內建)
提示 : 當交換器啟用 802.1X 以後,所有埠預設為 force-authorized , 需將所有埠改為 auto 方為認證手段.
6.允許多台主機連接到同一交換埠.(非必要)
如果該 port 你需要給他多臺 RADIUS 伺服器做認證,請使用下列指令.
Switch(config-if)#dot1x host-mode multi-host
提示 : 使用指令 Switch#show dot1x all 可檢視交換器中檢視 802.1x 的驗證狀況報表.
設定範例 :
Switch(config)#aaa new-model
Switch(config)#radius-server host 192.168.1.1 key Doom
Switch(config)#radius-server host 192.168.1.2 key shuyuangan
Switch(config)#aaa authentication dot1x default group radius
Switch(config)#dot1x system-auth-control
Switch(config)#interface ranga fa0/1 - 24
Switch(config-if)#switchport access vlan 10
Switch(config-if)#switchport mode access
Switch(config-if)#dot1x port-control auto

實作平台 : fedora 11
參考網址 :
http://www.ntop.org/download.html
http://blog.xuite.net/beavisliu/blog/14960130
操作建議 : 最好能在 console 端操作,安裝部份套件軟體.
其中,rrdtool 在 fedora 11 已經可以在新增移除套件清單中找到
所以建議以 gui 來新增移除 rrdtool 套件會比較方便.
系統-->管理-->新增/移除軟體

基於工程師的心態.
每次看完這種製作過程的影片就很熱血這樣
不知道有沒有朋友在教人做這個的,還真有點興趣
(我一直想著有個重型大喇叭在房間....科科)

DHCP 提供了用戶端 PC 所需的網路相關配置,包含了 IP / MASK / GW / DNS / WINS 等等.
CISCO 交換機可攔截來自不信任埠口的 DHCP 要求,任何來自不信任埠口之 DHCP 封包將被丟棄.進入errdisable狀態.
在收到合法回應時,並可記錄已完成的 DHCP 資訊庫,內有 MAC位置 / IP位置 / 租用時間 等等資訊.
配置 DHCP SNOOPING 首先使用下列指令.

1.在交換機上啟動 AAA.
AAA在交換機上預設關閉,使用下列指令啟動 AAA 功能.
Switch(config)#aaa new-model