119. Какие типы nat используются в Dionis-nx? Какова их основная задача?

SNAT – замена локального адреса устройства-источника в сети на внешний адрес сети;

DNAT – замена адреса назначения пакета, отправленного на локальное устройство;

Masquerade – та же, что и у SNAT. Разница в том, что здесь замена на исходящий интерфейс сети происходит автоматически;

SMAP – та же, что и у SNAT. Позволяет заменять все локальные адреса машин в сети на внешний адрес сети (SNAT может так делать лишь для одной машины);

DMAP – та же, что и у DNAT. Позволяет заменять все локальные адреса машин в сети на внешний адрес сети (DNAT может так делать лишь для одной машины);

120. Какое NАТ-правило из приведенных ниже и почему открывает доступ из Интернета к серверу с IР-адресом 192.168.1.1 во внутренней сети?

а) nat src 195.220.33.1 snat ip 192.168.1.1

b) natsrc 192.168.1.1 snatip 195.220.33.1

с) nat dst 195.220.33.1 dnat ip 192.168.1.1

d) nat dst 192.168.1.1 dnat ip 195.220.33.1,

поскольку здесь в параметр dst (destination – пункт назначения) записан адрес сервера 192.168.1.1

121. Какое NАТ-правило из приведенных ниже и почему открывает доступ в Интернет с хоста 192.168.1.15?

а) nat dst 195.220.33.15 dnat ip 192.168.1.15

b) nat dst 192.168.1.15 snat ip 195.220.33.15

с) nat src 192.168.1.0/24 masquerade

d) ни одно из перечисленных

Ближе всех был вариант с, но при таких аргументах внутренний интерфейс указан как внешний, что приведёт к полной изоляции хоста 192.168.1.15 от всех внешних сетей.

122. Как можно узнать, какой список доступа блокирует или наоборот про пускает нежелательный пакет и почему так происходит?

При попытке отправить нежелательный пакет по адресу с блокирующим списком доступа с этого адреса не придёт ответа. Зная, адрес какого интерфейса это был, можно перейти в режим его конфигурации и командами

ip access-list <имя списка доступа>

do show

просмотреть правила списка доступа.

123. Каким образом можно записать в журнал попадание пакета под определенное правило фильтрации?

configure terminal

service log

trace all

ip trace-list <имя списка трассировки>

trace icmp

ip trace-group <имя списка трасировки>

124. Какая команда из ниже перечисленных копирует журналы с трассировкой на флешку?

а) # сору ip log flash0:

b) # сору log: flash0:

с) # сору trace аll flash0:log

d) # show ip log export flash0:log

Нет команды copy ip log, trace all – неверный источник, а команда show не копирует данные.

125. Позволяет ли команда tcpdump сохранять содержимое пакетов в файл? Если да, то что для этого нужно сделать?

В документации к Dionis-NX про это ничего нет. Не уверен в ответе, но пока оставлю за неимением лучшего. ИИ говорит, что сохраняться очень даже можно, но к документации доверия больше.

В Dionis-NX может не только показывать трафик «в реальном времени», но и сохранять дампы (содержимое) пакетов.

Что нужно сделать, чтобы сохранить пакеты в файл

1. Запускаете tcpdump с нужными фильтрами (например, proto, src/dst, host, port и т.д.). Список параметров фильтрации в справке tcpdump приведён в методичке.

2. Добавляете параметр write и указываете имя/путь файла — это команда «записывать необработанные (raw) пакеты в файл».

3. По желанию ограничиваете объём захвата параметром count (после какого числа пакетов остановить трассировку).

Пример в общем виде:

• tcpdump … write <файл> [count <N>]

Что ещё полезно знать (по той же справке)

• export — «экспортировать данные в файл» (если нужно именно выгрузить данные/вывод).

• read — «читать пакеты из файла» (то есть потом можно открыть сохранённый файл и просмотреть пакеты через tcpdump).

126. Для чего нужна служба CONNSTAT?

Служба CONNSTAT нужна для сбора статистики трафика по IP-адресам, а также ведения журнала соединений.

127. Для чего используется утилита Iftop?

Утилита iftop показывает информацию об активных соединениях и скорости приёма и передачи в них. Используется для мониторинга трафика в режиме реального времени с разделением по адресам и хостам.

128. Для чего необходимо использование туннелей?

Туннели позволяют объединить локальные сети в одну большую сеть.

129. Какие механизмы используют при туннелировании?

Инкапсуляция – упаковка icmp-пакета в транспортный пакет.

Криптографическое преобразование данных (в защищённых туннелях).

130. Ддя чего нужен IР-адрес GRЕ-интерфейса?

IP-адрес GRE-интерфейса необходим для создания статического маршрута через него.

131. На основе чего IР-пакеты направляются в GRЕ-туннель?

На основе правила маршрутизации.

132. Каким образом задаются статические маршруты через GRЕ-интерфейс?

ip route <адрес внешнего интерфейса сети> gre <номер GRE-интерфейса>

133. Какой основной недостаток GRЕ-туннеля?

Отсутствует криптография.

134. Для чего нужен ключ доступа? Как он создается? Где хранится?

Ключ доступа (шифрования) необходим для обеспечения конфиденциальной передачи данных через туннель даже в случае несанкционированного доступа к передаче извне.

Создаётся он с помощью команды

И хранится на запоминающем устройстве как на приёмной, так и на передающей стороне.

135. Откуда загружаются ключи шифрования при работе туннелей?

Ключи шифрования загружаются с запоминающих устройств на приёмной и передающей стороне.

136. Какие параметры совпадают на хостах, соединенных DiSEC-туннелем?

Используемый ключ шифрования, IP-адреса начала и конца туннеля (конец туннеля из А в Б = начало туннеля из Б в А), туннельный интерфейс.

137. Какое действие обязательно при смене ключей шифрования? Почему?

При смене ключей шифрования необходимо заменить ВСЕ старые ключи шифрования на всех узлах, входящих в криптографическую сеть, на новые. В противном случае узел с новыми ключами будет изолировано от остальных узлов в криптографической сети ввиду несоответствия ключей шифрования.

138. Чем ключевая схема DiSEC отличается от ключевой схемы DiKey?

Ключевая схема DiSEC имеет общий ключ шифрования как для приёмной, так и для передающей стороны, в то время как ключевая схема DiKey имеет по два ключа (закрытый и открытый) на приёмной и передающей стороне.

Закрытый ключ хранится на самом устройстве, в то время как открытый ключ передаётся по доверенному каналу связи или через доверенное внешнее запоминающее устройство.

139. Для чего используется расширенная маршрутизация?

Расширенная маршрутизация используется для маршрутизации разных подсетей через разные узлы или трафика от разных сервисов через разные интерфейсы. Также используется и для повышения отказоустойчивости посредством создания резервных маршрутов на случай выхода их строя основных.

140. Чем задается приоритет правил расширенной маршрутизации policy-route?

Приоритет правил расширенной маршрутизации policy-route задаётся номером правила

141. Чем задается приоритет правил расширенной маршрутизации policy-route default?

Приоритет правил расширенной маршрутизации policy-route задаётся параметром priority.

142. Каковы особенности одновременного использования правил обычной и расширенной маршрутизации? Приоритет каких правил выше? Почему? Как можно изменить данную ситуацию?

При использовании ip policy-route совместно с правилами ip route, необходимо, чтобы маршрут по умолчанию также был задан с помощью ip policy-route. Для этого существует специальная команда: ip policy-route default.

Приоритет расширенных правил статической маршрутизации ниже, чем у правил маршрутизации, задаваемых командой ip route, поэтому, если используются расширенные правила статической маршрутизации, предварительно необходимо удалить правила ip route default.

143. Какую роль выполняет идентификатор платформы?

1. Однозначно идентифицирует устройство в сети

2. Обеспечивает лицензирование и контроль функций

3. Гарантирует совместимость с программным обеспечением

4. Участвует в цепочке доверия безопасности

5. Необходим для технической поддержки и обслуживания

144. Можно ли сохранить образ диска в ОС Diопis-NХ на флешку? Почему?

Да, образ диска в ОС Dionis-NX можно сохранить на флешку, поскольку ОС Dionis-NX является модифицированным дистрибутивом Linux, что допускает использование полного функционала ОС Linux. Кроме того, это НЕОБХОДИМАЯ часть функционала для резервного копирования конфигурации Dionis-NX перед обновлением или восстановлением системы.

145. По каким протоколам возможна передача файлов между узлами Dionis?

IPv4/IPv6, FTP, SSH.

146. По какой команде и как происходит обновление версии?

Удалённое обновление:

Dionis-NX# ssh get <учётная запись> <адрес удалённого хоста>/<путь до пакета обновления *.dip>

Локальное обновление:

Dionis-NX# copy flash0.1:/<путь до пакета обновления dionisnx1.1-0.x86_64.dip> file:

Далее всё одинаково:

Dionis-NX# os install file:/dionisnx1.1-0.x86_64.dip

Dionis-NX# show boot

0 dionisnx—1.0—0 (D) (F) (С)

1 dionisnx—1.1—0

Dionis-NX# boot default dionisnx1.1-0

Dionis-NX# boot fallback dionisnx1.0-0

Dionis-NX# show boot

0 dionisnx—1.0—0 (F) (С)

1 dionisnx—1.1—0 (D)

Новая версия теперь запускается по умолчанию, а старая – в случае сбоя.

147. Что можно восстановить из архива DBU?

Из архива DBU можно восстановить резервную копию текущих настроек системы, данных и файлов системы протоколирования. Кроме того, в нём содержится текстовое описание резервной копии.

148. Сколько может быть установлено ОС Dionis-NX на изделие? Сколько достаточно для работы?

На изделие можно установить сколько угодно (ограничено ёмкостью жёсткого диска устройства) ОС Dionis-NX. Для работы достаточно 2 ОС (одна основная, одна резервная) или 1 ОС.

149. Какую роль выполняет служба DiWeb?

Доступ к визуальному Web-интерфейсу Dionis-NX по протоколу HTTP.

150. Где можно посмотреть или создать правила фильтрации?

Правила фильтрации можно посмотреть или создать во вложенном режиме конфигурирования списков доступа (access-list) или NAT-спискам (nat-list).