demo2026/README.md

1. Произведите базовую настройку устройств

● Настройте имена устройств согласно топологии. Используйте полное доменное имя

HQ-RTR | BR-RTR:  
conf t
hostname {hq-rtr.au-team.irpo, br-rtr.au-team.irpo}    
HQ-SRV | HQ-CLI | BR-SRV:  
hostnamectl set-hostname {hq-srv, hq-cli, br-srv}.au-team.irpo; exec bash  

● На всех устройствах необходимо сконфигурировать IPv4

Настройка адресов производится через nmtui  

● IP-адрес должен быть из приватного диапазона, в случае, если сеть локальная, согласно RFC1918

RFC 1918 включает себя следующие адреса:  
10.0.0.0/8  
172.16.0.0/12  
192.168.0.0/16  

● Локальная сеть в сторону HQ-SRV(VLAN100) должна вмещать не более 32 адресов

маска /27 255.255.255.224 - 32 адреса (30 используемых)
192.168.0.0/27 192.168.0.1 – 192.168.0.30	192.168.0.31 - Broadcast  

● Локальная сеть в сторону HQ-CLI(VLAN200) должна вмещать не менее 16 адресов

маска /27 255.255.255.224 - 32 адреса (30 используемых)
192.168.0.32/27	192.168.0.33 – 192.168.0.62	192.168.0.63 - Broadcast  

● Локальная сеть в сторону BR-SRV должна вмещать не более 8 адресов

маска /29 255.255.255.248 - 8 адресов (6 используемых)
192.168.0.64/29	192.168.0.65 – 192.168.0.70	192.168.0.71 - Broadcast  
Сразу назначим адрес в сторону сервера
Настройка производится на BR-RTR:
en   
conf t   
port te1   
service-instance toSRV   
encapsulation untagged   
end   
wr mem      
conf t   
int SRV   
ip add 192.168.0.65/29   
connect port te1 service-instance toSRV   
end   
wr mem   

● Локальная сеть для управления(VLAN999) должна вмещать не более 16 адресов

маска /28 255.255.255.240 - 16 адресов (14 используемых)
192.168.0.72/28	192.168.0.73 – 192.168.0.86	192.168.0.87 - Broadcast  

● Сведения об адресах занесите в отчёт, в качестве примера используйте Таблицу 2, в качестве примера используйте Прил_3_О1_КОД 09.02.06-1-2026-М1

Имя Устройства	IPv4	Интерфейс	NIC	Шлюз
ISP	NAT (inet)	ens3	Internet
	172.16.1.14/28	ens4	ISP_HQ
	172.16.2.14/28	ens5	ISP_BR
HQ-RTR	172.16.1.1/28	te0	ISP_HQ	172.16.1.14
	192.168.0.73/28	te1.999	HQ_NET
	192.168.0.1/27	te1.100	-
	192.168.0.33/27	te1.200	-
	172.16.0.1/30	GRE	TUN
HQ-SW	192.168.0.74/28	ens3	HQ_NET
	-	ens4	SRV_NET
	-	ens5	CLI_NET
HQ-SRV	192.168.0.2/27	ens3	SRV_NET	192.168.0.1
HQ-CLI	192.168.0.34/27(DHCP)	ens3	CLI_NET	192.168.0.33
BR-RTR	172.16.2.1/28	te0	ISP_BR	172.16.2.14
	192.168.0.65/29	te1	BR_NET
	172.16.0.2/30	GRE	TUN
BR-SRV	192.168.0.66/29	ens3	BR_NET	192.168.0.65

2. Настройте доступ к сети Интернет, на маршрутизаторе ISP:

● Настройте адресацию на интерфейсах:

Интерфейс, подключенный к магистральному провайдеру, получает адрес по DHCP  
o Настройте маршруты по умолчанию там, где это необходимо   
Маршруты по умолчанию настраиваются на роутерах:  
HQ-RTR - ip route 0.0.0.0/0 172.16.1.14  
BR-RTR - ip route 0.0.0.0/0 172.16.2.14  
o Интерфейс, к которому подключен HQ-RTR, подключен к сети 172.16.1.0/28  
Настройка производится на HQ-RTR(EcoRouter):  
en  
conf t  
port te0  
service-instance toISP  
encapsulation untagged  
end  
wr mem  
en  
conf t  
int ISP  
ip add 172.16.1.1/28  
connect port te0 service-instance toISP  
end  
wr mem  
o Интерфейс, к которому подключен BR-RTR, подключен к сети 172.16.2.0/28  
Настройка производится на BR-RTR(EcoRouter):  
en  
conf t  
port te0  
service-instance toISP  
encapsulation untagged  
end  
wr mem  
en  
conf t  
int ISP  
ip add 172.16.2.1/28  
connect port te0 service-instance toISP  
end  
wr  mem  
o На ISP настройте динамическую сетевую трансляцию в сторону HQ-RTR и BR-RTR  
для доступа к сети Интернет:  
echo net.ipv4.ip_forward=1 > /etc/sysctl.conf
dnf install iptables-services –y   
systemctl enable ––now iptables  
iptables –t nat –A POSTROUTING –s 172.16.1.0/28 –o ens3 –j MASQUERADE  
iptables –t nat –A POSTROUTING –s 172.16.2.0/28 –o ens3 –j MASQUERADE  
iptables-save > /etc/sysconfig/iptables  
systemctl restart iptables  
nano /etc/sysconfig/iptables - не должно быть ничего лишнего - только настройка нашего ната, все остальное удаляем.    
в случае если там есть то, что вы не добавляли - удалить, затем убрать из буфера старые правила с помощью iptables -F, далее перезагружаем службу iptables  
iptables –L –t nat - должны высветится в Chain POSTROUTING две настроенные подсети.  

3. Создайте локальные учетные записи на серверах HQ-SRV и BR-SRV

● Создание пользователя sshuser на серверах HQ-SRV | BR-SRV:

useradd -m -u 2026 sshuser  
o Пароль пользователя sshuser с паролем P@ssw0rd  
echo "sshuser:P@ssw0rd" | sudo chpasswd  
o Идентификатор пользователя 2026  
o Пользователь sshuser должен иметь возможность запускать sudo
без дополнительной аутентификации.  
usermod -aG wheel sshuser  

● Создайте пользователя net_admin на маршрутизаторах HQ-RTR и BR-RTR

Настройка производится на EcoRouter HQ-RTR | BR-RTR:  
conf t  
username net_admin  
o Пароль пользователя net_admin с паролем P@ssw0rd  
password P@ssw0rd   
o При настройке на EcoRouter пользователь net_admin должен обладать максимальными привилегиями  
role admin  
o При настройке ОС на базе Linux, запускать sudo без дополнительной аутентификации  

4. Настройте коммутацию в сегменте HQ следующим образом:

● Предусмотреть возможность передачи трафика управления в VLAN 999

Настройка на HQ-RTR:  
port te1  
Service-instance toSW  
Encapsulation dot1q 999  
rewrite pop 1  
end  
wr mem  
en  
conf t  
Int te1.999  
ip add 192.168.0.73/28      
connect port te1 service-instance toSW   
end  
wr mem  
Настройка на HQ-SW:  
Адресации так не должно быть  
ovs-vsctl add-br hq-sw  
ovs-vsctl add-port hq-sw ens3  
ovs-vsctl set port ens3 vlan_mode=native-untagged tag=999 trunks=999,100,200  
ovs-vsctl add-port hq-sw ovs0-vlan999 tag=999 -- set interface ovs0-vlan999 type=internal  
ifconfig ovs0-vlan999 inet 192.168.0.74/28 up   

● Трафик HQ-SRV должен принадлежать VLAN 100

Настройка на HQ-RTR:  
conf t  
port te1   
service-instance te1.100   
encapsulation dot1q 100   
rewrite pop 1   
end   
wr mem   
int te1.100  
ip add 192.168.0.1/27  
connect port te1 service-instance te1.100  
end  
wr mem  
Настройка на HQ-SW:  
Адресации не должно быть
Так как при настройке на HQ-SW бридж hq-sw уже создан, его создавать не нужно
ovs-vsctl add-port hq-sw ens4  
ovs-vsctl set port ens4 tag=100 trunks=100  

● Трафик HQ-CLI должен принадлежать VLAN 200

Настройка на HQ-RTR:  
conf t  
port te1  
service-instance te1.200  
encapsulation dot1q 200  
rewrite pop 1  
end  
wr mem  
int te1.200  
ip add 192.168.0.33/28  
connect port te1 service-instance te1.200 
end  
wr mem  
Настройка на HQ-SW: 
Адресации не должно быть
Так как при настройке на HQ-SW бридж hq-sw уже создан, его создавать не нужно
ovs-vsctl add-port hq-sw ens5  
ovs-vsctl set port ens5 tag=200 trunks=200   

● Сведения о настройке коммутации внесите в отчёт

5. Настройте безопасный удаленный доступ на серверах HQ-SRV и BR-SRV:

● Для подключения используйте порт 2026

Перед настройкой выполните команду setenforce 0, далее проверяем командой: getenforce   
должно быть состояние Permissive  
dnf install openssh - если не установлен
systemctl enable --now sshd
echo Port 2026 >> /etc/ssh/sshd_config

● Разрешите подключения только пользователю sshuser

echo AllowUsers sshuser >> /etc/ssh/sshd_config

● Ограничьте количество попыток входа до двух

echo MaxAuthTries 2 >> /etc/ssh/sshd_config

● Настройте баннер «Authorized access only»

echo «Authorized access only» > /etc/ssh/sshd_banner
echo Banner /etc/ssh/sshd_banner >> /etc/ssh/sshd_config
systemctl restart sshd

6. Между офисами HQ и BR, на маршрутизаторах HQ-RTR и BR-RTR необходимо сконфигурировать ip туннель:

o На выбор технологии GRE или IP in IP - используем GRE

Настройка на HQ-RTR:  
Interface tunnel.1   
Ip add 172.16.0.1/30   
Ip mtu 1476   
ip ospf network broadcast   
ip ospf mtu-ignore   
Ip tunnel 172.16.1.1 172.16.2.1 mode gre   
end    
wr mem    
Настройка на BR-RTR:  
Interface tunnel.1  
Ip add 172.16.0.2/30  
Ip mtu 1476  
ip ospf mtu-ignore  
ip ospf network broadcast  
Ip tunnel 172.16.2.1 172.16.1.1 mode gre  
end    
ПРОВЕРЯЕМ ТУННЕЛЬ ПИНГОМ ОТ РОТУЕРА К РОУТЕРУ, БЕЗ ЭТОГО НЕ ПЕРЕХОДИМ К НАСТРОЙКЕ OSPF!!!
Проверка на HQ-RTR: 
ping 172.16.0.2  
Проверка на BR-RTR:  
ping 172.16.0.1
Должно быть успешно с 2-х сторон!!!

o Сведения о туннеле занесите в отчёт

7. Обеспечьте динамическую маршрутизацию на маршрутизаторах HQ-RTR и BR-RTR: сети одного офиса должны быть доступны из другого офиса и наоборот. Для обеспечения динамической маршрутизации используйте link state протокол на усмотрение участника: Будем использовать OSPF

● Разрешите выбранный протокол только на интерфейсах в ip туннеле

● Маршрутизаторы должны делиться маршрутами только друг с другом:

Настройка на HQ-RTR:  
Conf t
Router ospf 1
Ospf router-id  172.16.0.1
network 172.16.0.0 0.0.0.3 area 0
network 192.168.0.0 0.0.0.31 area 0
network 192.168.0.32 0.0.0.31 area 0
passive-interface default
no passive-interface tunnel.1
Настройка на BR-RTR:  
Conf t
Router ospf 1
Ospf router-id 172.16.0.2
Network 172.16.0.0 0.0.0.3 area 0
Network 192.168.0.64 0.0.0.7 area 0
Passive-interface default
no passive-interface tunnel.1  

● Обеспечьте защиту выбранного протокола посредством парольной защиты

Настройка производится на EcoRouter HQ-RTR:  
router ospf 1  
area 0 authentication  
ex  
interface tunnel.1   
ip ospf authentication-key ecorouter  
wr mem   
Настройка производится на EcoRouter BR-RTR:  
router ospf 1   
area 0 authentication  
ex   
interface tunnel.1   
ip ospf authentication-key ecorouter   
wr mem   

● Сведения о настройке и защите протокола занесите в отчёт

8. Настройка динамической трансляции адресов маршрутизаторах HQ-RTR и BR-RTR

● Настройте динамическую трансляцию адресов для обоих офисов в сторону ISP.

Настройка производится на EcoRouter HQ-RTR: 
ip nat pool nat1 192.168.0.0-192.168.0.31  
ip nat source dynamic inside-to-outside pool nat1 overload interface ISP 
ip nat pool nat2 192.168.0.32-192.168.0.63  
ip nat source dynamic inside-to-outside pool nat2 overload interface ISP   
Настройка производится на EcoRouter BR-RTR: 
ip nat pool nat3 192.168.0.64-192.168.0.71  
ip nat source dynamic inside-to-outside pool nat3 overload interface ISP 

● Все устройства в офисах должны иметь доступ к сети Интернет

Настройка производится на EcoRouter HQ-RTR:
en
conf t
int ISP
ip nat outside
ex
int te1.999
ip nat inside
ex
int te1.100
ip nat inside
ex
int te1.200
ip nat inside
Настройка производится на EcoRouter BR-RTR: 
en
conf t
int ISP
ip nat outside
ex
int SRV
ip nat inside
ex  
Настройка производится на HQ-SRV:
В nmtui прописывеем шлюз - 192.168.0.1  
Настройка производится на BR-SRV:  
В nmtui прописывет шлюз - 192.168.0.65  

9. Настройте протокол динамической конфигурации хостов для сети в сторону HQ-CLI:

● Настройте нужную подсеть

● Для офиса HQ в качестве сервера DHCP выступает маршрутизатор HQ-RTR

Настройка производится на EcoRouter HQ-RTR:  
ip pool dhcpHQ 192.168.0.34-192.168.0.62  
en  
conf t  
dhcp-server 1  
mask 255.255.255.224  
pool dhcpHQ 1  
domain-name au-team.irpo  
mask 255.255.255.224  
dns 192.168.0.2     
gateway 192.168.0.33     
end  
wr mem  

● Клиентом является машина HQ-CLI.

interface te1.200
dhcp-server 1

● Исключите из выдачи адрес маршрутизатора
● Адрес шлюза по умолчанию – адрес маршрутизатора HQ-RTR.
● Адрес DNS-сервера для машины HQ-CLI – адрес сервера HQ-SRV.
● DNS-суффикс для офисов HQ – au-team.irpo
● Сведения о настройке протокола занесите в отчёт

10. Настройте инфраструктуру разрешения доменных имён для офисов HQ и BR:

● Основной DNS-сервер реализован на HQ-SRV    
  dnf install bind -y  
  systemctl enable --now named  
  cp /etc/named.conf /etc/named.conf.backup - делаем бэкап файла  
  nano /etc/named.conf  

mkdir /var/named/master
nano /var/named/master/au-team

nano /var/named/master/168.192.zone
можно сделать через cp /var/named/master/au-team /var/named/master/168.192.zone, чтобы конфиг с нуля не писать

chown -R root:named /var/named/master/
chown -R named:named /var/named
chown -R root:named /etc/named.conf
chmod 750 /var/named/
chmod 750 /var/named/master/
systemctl restart named
Проверить зоны можно командой named-checkconf -z

Для полной работоспособности на HQ-CLI нужно установить в качестве dns севрера HQ-SRV:
nano /etc/resolv.conf на всех устройствах должен иметь следюущий вид:

resolvectl dns ens3 192.168.0.2
Для полной работоспособности на HQ-RTR нужно установить в качестве dns севрера HQ-SRV:
ip name-server 192.168.0.2
На остальных устройствах делаем подобным образом.
● Сервер должен обеспечивать разрешение имён в сетевые адреса устройств и обратно в соответствии с таблицей 3

Таблица 3. Таблица имен

Устройство	Запись	Тип
HQ-RTR	hq-rtr.au-team.irpo	A,PTR
BR-RTR	br-rtr.au-team.irpo	A
HQ-SRV	hq-srv.au-team.irpo	A,PTR
HQ-CLI	hq-cli.au-team.irpo	A,PTR
BR-SRV	br-srv.au-team.irpo	A
ISP (интерфейс направленный в сторону HQ-RTR)	docker.au-team.irpo	A
ISP (интерфейс направленный в сторону BR-RTR)	web.au-team.irpo	A

● В качестве DNS сервера пересылки используйте любой общедоступный DNS сервер

11. Настройте часовой пояс на всех устройствах, согласно месту проведения экзамена.

Настройка проивзодится на всех устройствах:

timedatectl set-timezone Europe/Moscow  

Необходимые приложения для модуля 1:

Прил_1_О1_КОД 09.02.06-1-2026-М1: Шаблон отчета
Прил_3_О1_КОД 09.02.06-1-2026-М1: Пример заполнения таблицы адресов
Прил_4_О1_КОД 09.02.06-1-2026-М1: Инструкции по оформлению отчёта

Модуль № 2:Организация сетевого администрирования операционных систем

1. Настройте доменный контроллер Samba на машине BR-SRV.

Настройка проивзодится на BR-SRV:

Предварительная настройка сервера:

 выставляем 192.168.0.2 в качестве нащего днс сервера на линке в nmtui и домен поиска au-team.irpo  
 setenforce 0  
 nano /etc/selinux  
 Замените в файле конфигурации /etc/selinux/config режим enforcing на permissive   
 dnf install samba* krb5* -y  

Создание домена под управлением контроллера домена Samba DC:

 nano /etc/krb5.conf
 # Меняем следующие строки
 default_realm = au-team.irpo
 [realms]
 au-team.irpo = {
 kdc = dc1.au-team.irpo
 admin_server = dc1.au-team.irpo
 }
 [domain_realm]
 .au-team.irpo = AU-TEAM.IRPO
 au-team.irpo = AU-TEAM.IRPO

Конфигурирование сервера с помощью утилиты samba-tool

  Файла /etc/samba/smb.conf быть не должно, он сам создаст.
  rm -rf /etc/samba/smb.conf
  samba-tool domain provision --use-rfc2307 --interactive
  1.REALM [AU-TEAM.IRPO]:
  2.DOMAIN [AU-TEAM]:
  3.Server Role: DC
  4.DNS backend: BIND9_DLZ
  Запустите и добавьте в автозагрузку службы samba:  
  systemctl status samba  

• Создайте 5 пользователей для офиса HQ: имена пользователей формата user№.hq. Создайте группу hq, введите в эту группу созданных пользователей

 sudo samba-tool group add hq  
 for i in {1..5}; do  
 sudo samba-tool user create user$i.hq P@ssw0rd$i  
 sudo samba-tool group addmembers hq user$i.hq  
 done    

• Введите в домен машину HQ-CLI

  Ввод в домен HQ-CLI
  Переводим DHCP в полуавтоматический режим и указываем собственный DNS

2. Сконфигурируйте файловое хранилище:

Настройка проивзодится на HQ-SRV:

Перед тем как начать проверяем, что установлены следюущие пакеты dnf install mdadm nfs-utils -y

• При помощи трёх дополнительных дисков, размером 1Гб каждый, на HQ-SRV сконфигурируйте дисковый массив уровня 5

mdadm --create --verbose /dev/md0 --level=5 --raid-devices=3 /dev/sdb /dev/sdc /dev/sdd     

• Имя устройства – md0, конфигурация массива размещается в файле /etc/mdadm.conf

mdadm --detail --scan >> /etc/mdadm.conf      

• Обеспечьте автоматическое монтирование в папку /raid

Добавляем в /etc/fstab:    
nano /etc/fstab  
/dev/md0 /raid ext4 defaults 0 0  

• Создайте раздел, отформатируйте раздел, в качестве файловой системы используйте ext4

 mkfs.ext4 /dev/md0  

• Создаем точку монтирования и примонтируемся

mkdir -p /raid   
mount -a   

3. Настройте сервер сетевой файловой системы(nfs) на HQ-SRV

Настройка проивзодится на HQ-SRV:

• в качестве папки общего доступа выберите /raid/nfs, доступ для чтения и записи для всей сети в сторону HQ-CLI

• Создаем папку для NFS

mkdir -p /raid/nfs  
chmod 777 /raid/nfs  

Настройка экспорта

Добавляем в /etc/exports:  
nano /etc/exports  
/raid/nfs 192.168.0.32/27(rw,sync,no_root_squash,no_all_squash,subtree_check)

Применяем изменения и перезагружаем службу

exportfs -rav  
systemctl restart nfs-server  

Настройка проивзодится на HQ-CLI:

• На HQ-CLI настройте автомонтирование в папку /mnt/nfs

  Добавляем в /etc/fstab:    
  nano /etc/fstab  
  hq-srv:/raid/nfs /mnt/nfs nfs defaults 0 0

Создаем точку монтирования и примонтируемся

mkdir -p /mnt/nfs  
mount -a 

Проверка монтирования

  После этого при создании файла на клиенте, он должен появляться и на сервере

• Основные параметры сервера отметьте в отчёте

4. Настройте службу сетевого времени на базе сервиса chrony на маршрутизаторе ISP

Настройка проивзодится на ISP:

 •	Стратум сервера - 5   
 В РЕД ОС сервис Chrony уже установлен по умолчанию.  
 Вносим изменения в файл конфигурации:    
 Добавляем сети, которые необходимы и выставляем stratum 5   
 nano /etc/chrony.conf    

Переводим службу в автозапуск и запускаем:
systemctl enable --now chronyd

• В качестве клиентов ntp настройте: HQ-SRV, HQ-CLI, BR-RTR, BR-SRV.

Настройка проивзодится на HQ-RTR:

 en  
 conf t  
 ntp server 172.16.1.14  
 ex  
 wr mem  

Настройка проивзодится на HQ-CLI:

 В РЕД ОС сервис Chrony уже установлен по умолчанию. 
 Вносим изменения в файл конфигурации:  
 Комментируем/удаляем строки, где указаны ntp сервера и добавляем наш сервер 172.16.1.14  
 nano /etc/chrony.conf  

Переводим службу в автозапуск и запускаем:
systemctl enable --now chronyd
Проевряем настройку командой chronyc sources -v, должен отобразиться наш сервер:

Не паникуем, может сразу не появится, рестартим сервис несколько раз командой systemctl restart chronyd

Настройка проивзодится на HQ-SRV:

Вносим изменения в файл конфигурации:  
Комментируем/удаляем строки, где указаны ntp сервера и добавляем наш сервер 172.16.1.14   
nano /etc/chrony.conf  

Переводим службу в автозапуск и запускаем:
systemctl enable --now chronyd
Проевряем настройку командой chronyc sources, должен отобразиться наш сервер:

Не паникуем, может сразу не появится рестартим сервис несколько раз командой systemctl restart chronyd

Настройка проивзодится на BR-RTR:

en  
conf t  
ntp server 172.16.2.14  
ex  
wr mem  

Настройка производится на BR-SRV:

Вносим изменения в файл конфигурации:  
Комментируем/удаляем строки, где указаны ntp сервера и добавляем наш сервер 172.16.2.14   
nano /etc/chrony.conf  

Переводим службу в автозапуск и запускаем:
systemctl enable --now chronyd
Проевряем настройку командой chronyc sources, должен отобразиться наш сервер:

Не паникуем, может сразу не появится рестартим сервис несколько раз командой systemctl restart chronyd

5. Сконфигурируйте ansible на сервере BR-SRV

Настройка подключения по ssh BR-RTR | HQ-RTR

 Настройка производится на HQ-RTR:  
 en  
 conf  
 security-profile 1  
 rule 1 permit tcp any eq 22 any  
 end  
 wr mem  
 configure
 ip vrf vrf0  
 transport input ssh    
 security 1 vrf vrf0  
 end  
 wr mem  
 conf
 no security default  
 Настройка производится на BR-RTR: 
 conf  
 security-profile 1  
 rule 1 permit tcp any eq 22 any  
 end  
 wr mem  
 configure
 ip vrf vrf0  
 transport input ssh    
 security 1 vrf vrf0  
 end  
 wr mem  
 conf
 no security default

• Сформируйте файл инвентаря, в инвентарь должны входить HQ-SRV, HQ-CLI, HQ-RTR и BR-RTR

Настройка производится на HQ-SRV:

   sudo dnf install ansible sshpass -y 

Настройка производится на BR-SRV:

• Рабочий каталог ansible должен располагаться в /etc/ansible  
  dnf install ansible sshpass -y  
  1) В файле можно прописывать как ip адреса так и имена хостов, сделаем следующим образом.  
  Так как у нас порт для покдлючения к серверам 2026 и клиентам 22, укажим необходимые переменные для подключения  
  Для роутера так же указываем переменные, для подключения к роутерам будем использовать пользователя net_admin
  nano /etc/ansible/inventory.ini  
  [clients]
  hq-cli ansible_host=192.168.0.34
    
  [servers]
  hq-srv ansible_host=192.168.0.2
     
  [routers]
  hq-rtr ansible_host=172.16.1.1
  br-rtr ansible_host=172.16.2.1
     
  [clients:vars]
  ansible_port=22
  ansible_user=student
  ansible_password=student
     
  [servers:vars]
  ansible_port=2026 
  ansible_user=sshuser 
  ansible_password=P@ssw0rd 

  [routers:vars]  
  ansible_port=22  
  ansible_user=net_admin    
  ansible_password=P@ssw0rd  
  ansible_connection=network_cli  
  ansible_network_os=ios  

• Все указанные машины должны без предупреждений и ошибок отвечать pong на команду ping в ansible посланную с BR-SRV

Пингуем удаленные хосты с помощью Ansible находясь в пользователе sshuser:  
ansible -i /etc/ansible/inventory.ini all -m ping  
В результате под каждым хостом должно быть написано "ping": "pong".    

6. Развертывание приложений в Docker на сервере BR-SRV.

Установка необходимых пакетов:  
dnf install docker-ce docker-ce-cli docker-compose -y  
systemctl enable docker --now
Добавляем текущего пользователя в группу докер, текущий пользователь - student   
usermod -aG docker $USER  

• Средствами docker должен создаваться стек контейнеров с веб приложением и базой данных

 • Используйте образы site_latest и mariadb_latest располагающиеся в
 директории docker в образе Additional.iso 

• Основной контейнер testapp должен называться testapp • Контейнер с базой данных должен называться db

• Импортируйте образы в docker, укажите в yaml файле параметры подключения к СУБД, имя БД - testdb, пользователь testс паролем P@ssw0rd, порт приложения 8080, при необходимости другие параметры

  docker load < /mnt/docker/docker/mariadb_latest.tar
  docker load < /mnt/docker/docker/site_latest.tar
  Для написания web.yaml в качестве подсказки можно использовать файл readmetxt, который лежит в месте образов:   

Готовим наш yaml файл

  nano web.yaml
   services:
web:
  container_name: testapp
  image: site:latest
  restart: always 
  ports: 
    - 8080:8000 
  networks: 
    - testapp-net 
  environment: 
    DB_HOST: db 
    DB_PORT: "3306" 
    DB_NAME: testdb 
    DB_USER: testc 
    DB_PASS: P@ssw0rd 
    DB_TYPE: maria 
  depends_on: 
    - db 
db: 
  container_name: testdb 
  image: mariadb:10.11 
  restart: always 
  ports: 
    - "3306:3306" 
  environment: 
    MARIADB_ROOT_PASSWORD: Passw0rd  
    MARIADB_DATABASE: testdb  
    MARIADB_USER: testc  
    MARIADB_PASSWORD: P@ssw0rd 
  networks: 
    - testapp-net     

Конфигурационный файл:

Поднимаем стек контейнеров с помощью команды:

   docker compose -f web.yml up -d   
 • Приложение должно быть доступно для внешних подключений через порт 8080   

7. Разверните веб приложениена сервере HQ-SRV:

Подготовка

Переводим selinux в состояние Permissive:  
setenforce 0    
Проверяем:  
getenforce  
Должно быть состояние: Permissive  
Далее устанавливаем необходимые пакеты:  
dnf install httpd mariadb-server mariadb php php-cli php-common php-fpm php-gd php-intl php-json php-mysqlnd php-pdo php-xml php-xmlrpc php-soap -y    

• Используйте веб-сервер apache

systemctl enable --now httpd   
Создаем конфигурационный файл:   
nano /etc/httpd/conf.d/web.conf   
<VirtualHost *:80>   
    DocumentRoot "/var/www/html"   
    ServerName hq-srv  
    <Directory "/var/www/html/">   
        AllowOverride All   
        Require all granted   
    </Directory>   
</VirtualHost>  

• В качестве системы управления базами данных используйте mariadb

 systemctl enable --now mariadb  
 mysql_secure_installation  
 Там везде вводим y, задаем пароль для пользователя root - P@ssw0rd  

• Файлы веб приложения и дамп базы данных находятся в директории web образа Additional.iso

• Выполните импорт схемы и данных из файла dump.sql в базу данных webdb

 Для начала создадим базу данных:  
 mariadb -u root -p  
 CREATE DATABASE webdb;
 •	Создайте пользователя webс паролем P@ssw0rd и предоставьте ему права доступа к этой базе данных   
 CREATE USER 'webc'@'localhost' IDENTIFIED BY 'P@ssw0rd';   
 GRANT ALL PRIVILEGES ON webdb.* TO 'webc'@'localhost';   
 FLUSH PRIVILEGES;    
 EXIT;   
 Делаем импорт базы данных:     
 mariadb -u root -p webdb < ./dump.sql  

• Файлы index.php и директорию images скопируйте в каталог веб сервера apache

• В файле index.php укажите правильные учётные данные для подключения к БД

• Запустите веб сервер и убедитесь в работоспособности приложения

 Перезапускаем веб-сервер:  
 systemctl restart httpd  

• Основные параметры отметьте в отчёте

• На главной странице должен отражаться номер рабочего места в виде арабской цифры, других подписей делать не надо
• Основные параметры отметьте в отчёте

8. На маршрутизаторах сконфигурируйте статическую трансляцию портов

• Пробросьте порт 8080 в порт приложения testapp BR-SRV на маршрутизаторе BR-RTR, для обеспечения работы приложения testapp извне

 Настройка производится на EcoRouter BR-RTR:  
 ip nat source static tcp 192.168.0.66 8080 172.16.2.1 8080

• Пробросьте порт 8080 в порт веб приложения на HQ-SRV на маршрутизаторе HQ-RTR, для обеспечения работы веб приложения извне

 Настройка производится на EcoRouter HQ-RTR:  
 ip nat source static tcp 192.168.0.2 80 172.16.1.1 8080

• Пробросьте порт 2026 на маршрутизаторе HQ-RTR в порт 2026 сервера HQ-SRV, для подключения к серверу по протоколу ssh из внешних сетей

 Настройка производится на EcoRouter HQ-RTR:  
 ip nat source static tcp 192.168.0.2 2026 172.16.1.1 2026  

• Пробросьте порт 2026 на маршрутизаторе BR-RTR в порт 2026 сервера BR-SRV, для подключения к серверу по протоколу ssh из внешних сетей.

  Настройка производится на EcoRouter BR-RTR:  
 ip nat source static tcp 192.168.0.66 2026 172.16.2.1 2026  

9. Настройте веб-сервер nginx как обратный прокси-сервер на ISP

 Переводим selinux в состояние Permissive:  
 setenforce 0    
 Проверяем:  
 getenforce  
 Должно быть состояние: Permissive
 dnf install nginx -y  
 systemctl enable --now nginx  
 Перед настройкой конфига укажем значение server_names_hash_bucket_size 64

• При обращении по доменному имени web.au-team.irpo у клиента должно открываться веб приложение на HQ-SRV

  nano /etc/nginx/nginx.conf  
  server {
    server_name web.au-team.irpo; 
    location / { 
        proxy_pass http://172.16.1.14:8080; 
        proxy_redirect     off; 
        proxy_set_header   Host             $host; 
        proxy_set_header   X-Real-IP        $remote_addr; 
        proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for; 
        auth_basic "Restricted area"; 
        auth_basic_user_file /etc/nginx/.htpasswd;  
    } 
 }

• При обращении по доменному имени docker.au-team.irpo клиента должно открываться веб приложение testapp

   nano /etc/nginx/nginx.conf
   server { 
    server_name docker.au-team.irpo; 
    location / { 
        proxy_pass http://172.16.2.14:8080; 
        proxy_redirect     off; 
        proxy_set_header   Host             $host; 
        proxy_set_header   X-Real-IP        $remote_addr; 
        proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for; 
    }
  }

10. На маршрутизаторе ISP настройте web-based аутентификацию:

• При обращении к сайту web.au-team.irpo клиенту должно быть предложено ввести аутентификационные данные

  • В качестве логина для аутентификации выберите WEBс паролем P@ssw0rd
  • Выберите файл /etc/nginx/.htpasswd в качестве хранилища учётных записей  
  dnf install httpd-tools -y
  htpasswd -c /etc/nginx/.htpasswd WEBc  
  Вводим P@ssw0rd
  • При успешной аутентификации клиент должен перейти на веб сайт.  

11. Удобным способом установите приложение Яндекс Браузер для организаций на HQ-CLI

• Установку браузера отметьте в отчёте

Модуль № 3:Эксплуатация объектов сетевой инфраструктуры

1. Выполните импорт пользователей в домен au-team.irpo:

• В качестве файла источника выберите файл users.csv располагающийся в образе Additional.iso

mkdir -p /mnt/samba  
mount /dev/sr1 /mnt/samba  

• Пользователи должны быть импортированы со своими паролями и другими атрибутами

Настройка производится на серверве BR-SRV:   
nano import.sh   
#!/bin/bash   
tail -n +2 /mnt/samba/Users.csv | while IFS=';' read -r firstName lastName _ _ ou _ _ _ _ password    
do  
samba-tool ou create "OU=$ou"  
samba-tool user create "${firstName}${lastName}" "P@ssw0rd1" \   
--userou="OU=$ou"    
done  
chmod +x import/sh  
./import.sh  

• Убедитесь, что импортированные пользователи могут войти на машину HQ-CLI

Вход выполнен для пользователя выполнен

2. Выполните настройку центра сертификации на базе HQ-SRV:

• Необходимо использовать отечественные алгоритмы шифрования

• Сертификаты выдаются на 30дней

• Обеспечьте доверие сертификату для HQ-CLI

• Выдайте сертификаты веб серверам

• Перенастройте ранее настроенный реверсивный прокси nginx на

протокол https

• При обращении к веб серверам https://web.au-team.irpo и

https://docker.au-team.irpo у браузера клиента не должно возникать предупреждений.

3. Перенастройте ip-туннель с базового до уровня туннеля, обеспечивающего шифрование трафика

• Настройте защищенный туннель между HQ-RTR и BR-RTR

• Внесите необходимые изменения в конфигурацию динамической маршрутизации, протокол динамической маршрутизации должен возобновить работу после перенастройки туннеля

• Выбранное программное обеспечение, обоснование его выбора и его

основные параметры, изменения в конфигурации динамической
маршрутизации отметьте в отчёте.

4. Настройте межсетевой экран на маршрутизаторах HQ-RTR и BR-RTR на сеть в сторону ISP

• Обеспечьте работу протоколов http, https, dns, ntp, icmp или

дополнительных нужных протоколов

• Запретите остальные подключения из сети Интернет во внутреннюю

сеть. 72

5. Настройте принт-сервер cups на сервере HQ-SRV:

• Опубликуйте виртуальный pdf-принтер

dnf isntall cups -y
systemctl enable --now cupsd cupspdf
делаем бэкап файла cp /etc/cups/cupsd.conf /etc/cups/cupsd.conf.backup
nano /etc/cups/cupsd.conf
Нужно изменить строку Listen localhost:631 на Listen *:631
В строке Restrict access to server... добавить Allow all

Order allow, deny
Allow all

В строке Restrict access to admin pages... добавить Allow all

Order allow, deny
Allow all


systemctl restart cupsd

• На клиенте HQ-CLI подключите виртуальный принтер как принтер по умолчанию.

Настройка производится на HQ-CLI:  
Переводим SELinux в состояние Permissive  
setenforce 0  
getenforce  

Далее заходим по админской учеткой student:student, должен появится принтер

6. Реализуйте логирование при помощи rsyslog на устройствах HQ-RTR, BR-RTR, BR-SRV:

• Сервер сбора логов расположен на HQ-SRV, убедитесь, что сервер не

является клиентом самому себе

• Приоритет сообщений должен быть не ниже warning

• Все журналы должны находиться в директории /opt. Для каждого

устройства должна выделяться своя поддиректория, которая совпадает с именем машины

• Реализуйте ротацию собранных логов на сервере HQ-SRV:

• Ротируются все логи, находящиеся в директории и

поддиректориях /opt

• Ротация производится один раз в неделю

• Логи необходимо сжимать

• Минимальный размер логов для ротации – 10МБ.

7. Насервере HQ-SRV реализуйте мониторинг устройств с помощью открытого программного обеспечения

• Обеспечьте доступность по URL - http://mon.au-team.irpo для сетей

офиса HQ, внесите изменения в инфраструктуру разрешения доменных имён

• Мониторить нужно устройства HQ-SRV и BR-SRV

• В мониторинге должны визуально отображаться нагрузка на ЦП, объем

занятой ОП и основного накопителя

• Логин и пароль для службы мониторинга admin P@ssw0rd

• Организуйте доступ к мониторингу для HQ-CLI, без внешнего доступа

73

• Выбор программного обеспечения, основание выбора и основные

параметры с указанием порта, на котором работает мониторинг, отметьте в отчёте

8. Реализуйте механизм инвентаризации машин HQ-SRV и HQ-CLI через Ansible на BR-SRV:

• Плейбук должен собирать информацию о рабочих местах:

• Имя компьютера

• IP-адрес компьютера

• Плейбук, должен быть размещен в директории /etc/ansible, отчёты в

поддиректории PC-INFO, в формате .yml. Файлы должны называется именем компьютера, который был инвентаризирован

• Файл плейбука располагается в образе Additional.iso в директории

playbook

9. На HQ-SRV настройте программное обеспечение fail2ban для защиты ssh

  Настройка производится на HQ-SRV:  
  dnf install fail2ban  
  systemctl enable --now fail2ban  
  Все конфигурационные файлы программы находятся в каталоге /etc/fail2ban. Для установки собственных настроек необходимо создать файл с таким же именем и расширением .local.  

• Укажите порт ssh

• При 3 неуспешных авторизациях адрес атакующего попадает в бан

• Бан производится на 1минуту

  Сначала копируем содержимое jail.conf в jail.local:  
  cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local  
  nano /etc/fail2ban/jail.local  
  [sshd]  
  enabled  = true  
  filter   = sshd  
  action   = iptables[name=SSH, port=ssh, protocol=tcp]  
  logpath  = /var/log/auth.log  
  findtime    = 600  
  maxretry    = 3  
  bantime     = 60  
  systemctl restart fail2ban  
  Можно проверить введя 3 раза неправильно пароль при подключении к ssh,  
  после этого пробуем подключиться еще раз, должно быть Connection refused  

10.Настройка резервного копирования директории сервера HQ-SRV:

• На HQ-SRV развернуть программное обеспечение для резервного

копирования и восстановления данных с защитой от вирусов- шифровальщиков

• В качестве решения рекомендуется использовать программное

обеспечение Кибер Бэкап версии 17.4 или аналог

• Настройте организацию irpo

• Настройте пользователя с правами администратора на сервере

HQ-SRV, имя пользователя irpoadmin с паролем P@ssw0rd

• Установите на HQ-CLI агент с функциями узла хранилища и

подключите его к серверу управления 74

• На узле хранилища HQ-CLI создайте директорию /backup и

выберите её в качестве устройства хранения

• Создайте два плана резервного копирования для сервера HQ-SRV

• план для резервного копирования директории /etc и всех её

поддиректорий

• план для резервного копирования базы данных webdb типа

mysql

• Выполните резервное копирование директории /etc и всех её

поддиректорий сервера HQ-SRV на узел хранения HQ-CLI

• Выполните резервное копирование базы данных webdb сервера

HQ-SRV на узел хранения HQ-CLI