Cisco 200-301: Bezpieczeństwo sieci i kontrola dostępu — Przewodnik do nauki

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Część Cisco CCNA 200-301 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Cisco, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Bezpieczeństwo sieci i kontrola dostępu zapewniają, że tylko autoryzowane podmioty korzystają z zasobów sieciowych w zamierzony sposób, chroniąc jednocześnie dane i usługi przed naruszeniem lub zakłóceniem. Efektywne projekty dostosowują techniczne mechanizmy kontroli do podstawowych zasad poufności, integralności, dostępności i najmniejszych uprawnień. Mechanizmy kontroli muszą obejmować płaszczyznę zarządzania (sposób administrowania urządzeniami), płaszczyznę sterowania (sposób, w jaki urządzenia tworzą sąsiedztwa i wymieniają informacje o routingu) oraz płaszczyznę danych (sposób przekazywania ruchu użytkowników), z warstwowymi mechanizmami obronnymi w warstwie 2, warstwie 3 i wyższych. Ta sekcja przedstawia praktyczne mechanizmy — AAA, ACL, zabezpieczenia warstwy 2, VPN, zapory sieciowe/IPS, wzmacnianie zabezpieczeń (hardening) i monitorowanie operacyjne — wraz z uzasadnieniem projektowym, typowymi trybami awarii i zwięzłymi przykładami konfiguracji.

Zasady bezpieczeństwa i podstawy kontroli dostępu

• Poufność: Zapobieganie nieautoryzowanemu ujawnieniu. Wymuszana za pomocą szyfrowania w tranzycie (SSH, IPsec), szyfrowania w spoczynku (at rest) i precyzyjnie zdefiniowanych polityk dostępu.
• Integralność: Zapobieganie nieautoryzowanym modyfikacjom. Osiągana za pomocą kontroli kryptograficznych (HMAC, podpisy cyfrowe), kontroli konfiguracji i niezmienności zapisów audytowych.
• Dostępność: Utrzymanie osiągalności usług pomimo awarii lub ataków. Realizowana za pomocą redundancji, ograniczania przepustowości (rate-limiting), nadzorowania ruchu (policing) oraz odpornych architektur, które utrzymują ciągłą łączność podczas awarii.
• Zasada najmniejszych uprawnień: Przyznawanie minimalnych niezbędnych uprawnień, ograniczonych do roli, urządzenia, protokołu, czasu i lokalizacji. Implementowana przy użyciu kontroli dostępu opartej na rolach (RBAC), segmentacji i autoryzacji na poziomie pojedynczych poleceń.

Uzasadnienie projektowe:

• Twórz polityki dostępu w oparciu o role biznesowe. RBAC w infrastrukturze (np. network-operator vs. network-admin) zmniejsza promień rażenia (blast radius) w przypadku niewłaściwego użycia poświadczeń i błędów operacyjnych.
• Rozdziel obowiązki (np. operacje bezpieczeństwa vs. operacje sieciowe). Wymuszaj to za pomocą odrębnych grup AAA i autoryzacji poleceń.
• Preferuj postawę domyślnego odrzucania (deny-by-default). Jawnie zezwalaj na zamierzone przepływy i źródła zarządzania, z logowaniem wyjątków.

Częste pułapki:

• Nadmierne uprawnienia dla wygody (np. ogólny privilege 15). Ułatwia to ruch boczny (lateral movement) i prowadzi do nieodwracalnych błędów.
• Płaskie sieci bez segmentacji. Wspólne domeny rozgłoszeniowe i niezróżnicowane granice polityk wzmacniają ataki (np. ARP spoofing).
• Zbyt restrykcyjne kontrole bez telemetrii. Brak liczników/logowania utrudnia rozwiązywanie problemów i może wydłużać przestoje.

AAA i bezpieczne zarządzanie urządzeniami

Przegląd AAA:

• Uwierzytelnianie (Authentication) weryfikuje tożsamość. Autoryzacja (Authorization) określa, co dana tożsamość może zrobić. Rozliczanie (Accounting) rejestruje, co i kiedy zostało zrobione.
• Lokalne uwierzytelnianie: Urządzenie przechowuje użytkowników i hasła. Przydatne w sytuacjach awaryjnych (break-glass); nie skaluje się i nie centralizuje polityk.
• TACACS+: TCP/49, szyfruje cały ładunek (payload), wspiera szczegółową autoryzację na poziomie pojedynczych poleceń; preferowany do administracji urządzeniami.
• RADIUS: UDP/1812 (uwierzytelnianie/autoryzacja), UDP/1813 (rozliczanie), szyfruje tylko pole hasła; dobrze integruje się z 802.1X i dostępem do sieci, oferuje mniej szczegółową autoryzację dla CLI.

Typowa konfiguracja AAA z TACACS+ i lokalnym fallbackiem:

undefined

Dostęp oparty na rolach:

• Mapuj atrybuty TACACS+/RADIUS na poziomy uprawnień (privilege levels) urządzenia lub zestawy poleceń. Używaj autoryzacji na poziomie pojedynczych poleceń, aby ograniczyć ryzykowne działania (np. reload, write, edycje policy-map).
• Weryfikuj RBAC za pomocą kont testowych; upewnij się, że lokalne konto awaryjne (break-glass) jest udokumentowane, zabezpieczone i monitorowane.

Zabezpieczanie płaszczyzny zarządzania:

• Preferuj SSHv2 dla CLI. Wyłącz Telnet i nieużywane serwery.

undefined

• Ogranicz zarządzanie do dedykowanej sieci pozapasmowej (out-of-band) lub dedykowanych VLAN-ów/VRF-ów do zarządzania. Zastosuj listy ACL na interfejsie SVI lub fizycznym interfejsie zarządzania, aby zezwolić na dostęp tylko z autoryzowanych źródeł.
• Control-plane policing (CoPP) w celu ochrony protokołów routingu, zarządzania i sterowania przed atakami typu flood:

undefined

Uzasadnienie i przestrogi: Używaj mechanizmu police, a nie bezwarunkowego odrzucania (blanket-drop) w class-default; błędna klasyfikacja może zerwać sąsiedztwa routingu lub sesje BFD i spowodować awarie. Zacznij od wysokich limitów (rates), obserwuj liczniki, a następnie je zacieśniaj.

Wzmacnianie haseł i integralność urządzenia:

• Używaj enable secret (haszowane) zamiast enable password.
• Wymuszaj minimalną długość i ograniczaj ataki na logowanie:

undefined

• Preferuj lokalne hasła użytkowników w formacie secret (PBKDF2/scrypt na wspieranych platformach). Pamiętaj, że service password-encryption jedynie zaciemnia (obfuscates) starsze hasła typu 7.
• Bezpieczny rozruch i konfiguracja:

undefined

• Chroń i wersjonuj konfiguracje; rozważ okresową archiwizację na lokalnym nośniku oraz w bezpiecznym zdalnym repozytorium. Używaj SCP lub SFTP do transferu plików; unikaj jawnego tekstu (plaintext) w TFTP dla wrażliwych plików.

Filtrowanie ruchu za pomocą list ACL dla IPv4/IPv6

Podstawy list ACL dla IPv4:

• Standardowe listy ACL (1–99, 1300–1999) dopasowują tylko źródłowy adres IPv4. Rozszerzone listy ACL (100–199, 2000–2699) dopasowują na podstawie źródła/przeznaczenia, protokołu i portów L4.
• Maski wildcard: bit 0 musi się zgadzać; bit 1 oznacza „dowolny” („don’t care”). Oblicza się je jako odwrotność maski podsieci (np. /24 => 0.0.0.255). Skróty: host 192.0.2.5 jest równoznaczne z 192.0.2.5 0.0.0.0; any jest równoznaczne z 0.0.0.0 255.255.255.255.
• Kierunek: ruch przychodzący (inbound) jest przetwarzany przed routingiem na wejściu; ruch wychodzący (outbound) jest przetwarzany po routingu na wyjściu. Pakiety są sprawdzane od góry do dołu aż do pierwszego dopasowania; listę ACL kończy niejawna reguła deny any.
• Zalecenia dotyczące umiejscowienia: umieszczaj rozszerzone listy ACL blisko źródła, aby wcześnie odrzucać niechciany ruch; umieszczaj standardowe listy ACL blisko celu, aby uniknąć nadmiernego blokowania. Nowoczesne platformy używają TCAM; mimo to preferuje się precyzję blisko źródła.

Przykłady:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Użyteczne udoskonalenia: używaj remark do dokumentacji; używaj established dla podstawowego zezwolenia na ruch powrotny TCP (ograniczona wartość pod względem bezpieczeństwa); włączaj logowanie przy regułach deny oszczędnie, aby unikać nagłych skoków użycia CPU.

Zasady list ACL dla IPv6:

• Logika jest podobna, ale listy ACL dla IPv6 są wyłącznie nazwane i stosowane za pomocą ipv6 traffic-filter. Domyślna reguła deny jest również niejawna.
• Zawsze uwzględniaj niezbędne typy ICMPv6 (neighbor solicitation/advertisement, router solicitation/advertisement, PMTU). Zbyt restrykcyjne listy ACL, które odrzucają ICMPv6, psują działanie ND i powodują powstawanie czarnych dziur.

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Weryfikacja i operacje:

• show access-lists APP-POLICY i show ipv6 access-lists V6-EDGE-IN do przeglądania liczników trafień i numerów sekwencyjnych.
• show ip interface lub show ipv6 interface do potwierdzenia przypisania i kierunku.
• Testuj na wąską skalę przed szerokim wdrożeniem; źle umieszczona reguła deny ip any any może spowodować rozległe awarie.

Typowe przyczyny awarii:

• Błędy w obliczeniach masek wildcard, które niezamierzenie dopasowują zbyt szeroki zakres ruchu.
• Stosowanie list ACL w złym kierunku lub na niewłaściwym interfejsie/SVI.
• Pomijanie kluczowych zezwoleń dla ICMPv6, co prowadzi do awarii mechanizmu neighbor discovery.

Zabezpieczenia warstwy 2, VPN i obrona perymetru

Mechanizmy kontroli zagrożeń w warstwie 2:

• DHCP snooping: Buduje tabelę powiązań IP–MAC–VLAN–port dla adresów poznanych przez DHCP; odrzuca odpowiedzi od fałszywych serwerów na niezaufanych portach; ogranicza szybkość zapytań/ofert.

undefined

undefined

undefined

undefined

undefined

undefined

Przyczyny awarii: Zapomnienie o zaufaniu dla uplinków do prawdziwych serwerów/przekaźników DHCP psuje proces przydzielania adresów; niezapisanie tabeli powiązań między restartami może wpłynąć na działanie DAI/IPSG do czasu odnowienia dzierżaw.

• Dynamic ARP Inspection (DAI): Weryfikuje pakiety ARP w oparciu o tabelę powiązań DHCP snooping (lub statyczne powiązania). Odrzuca sfałszowane pakiety ARP.

undefined

undefined

undefined

Uwaga: Hosty z adresami statycznymi wymagają statycznych powiązań; w przeciwnym razie prawidłowe pakiety ARP mogą być odrzucane.

• IP Source Guard (IPSG): Używa tabeli powiązań, aby zezwalać tylko na prawidłowy źródłowy adres IP (i opcjonalnie MAC) na danym porcie.

undefined

undefined

! Opcjonalnie powiąż z weryfikacją MAC przez port-security: !

undefined

• Przykład statycznego powiązania dla urządzenia ze stałym adresem IP:

undefined

Podstawy VPN i koncepcje IPsec:

• Sieci VPN typu site-to-site zazwyczaj używają IPsec w trybie tunelowym do szyfrowania i uwierzytelniania prywatnych podsieci w niezaufanych sieciach. Główne elementy: Faza 1 IKE (np. IKEv2) do ustanowienia ISAKMP SA; Faza 2 do budowy IPsec SA z transformacjami (np. AES-GCM dla trybu połączonego lub AES-CBC z HMAC-SHA2); PFS (Perfect Forward Secrecy) do zapewnienia poufności w przód; czasy życia (lifetimes) do odświeżania kluczy; NAT-T przez UDP/4500, jeśli występuje NAT.
• VPN zdalnego dostępu mogą być oparte na SSL/TLS (klienckie lub bezklienckie) lub IPsec. Split tunneling zmniejsza obciążenie łącza w centrali i poprawia doświadczenie użytkownika, ale zwiększa powierzchnię ataku; full tunneling centralizuje kontrole bezpieczeństwa kosztem przepustowości i opóźnień.
• Zweryfikuj path MTU i włącz wykrywanie PMTU; narzut związany z szyfrowaniem zmniejsza efektywne MTU i bez odpowiedniej konfiguracji może powodować fragmentację.

Zapory sieciowe i prewencja intruzów:

• Zapory sieciowe egzekwują reguły zezwalające/blokujące z wykorzystaniem inspekcji stanowej i świadomości aplikacji (NGFW). Na routerach zapora strefowa (zone-based firewalling) zapewnia stanową politykę między strefami; same listy ACL są bezstanowe.
• IPS analizuje ruch pod kątem sygnatur, anomalii lub zachowań; IPS w trybie inline może blokować ruch, podczas gdy pasywny IDS tylko generuje alerty. Dostrajanie jest kluczowe, aby zredukować liczbę fałszywych alarmów (false positives).
• Projektuj z myślą o symetrycznych przepływach przez urządzenia stanowe; routing asymetryczny niszczy tabele stanów. Umieszczaj sensory tam, gdzie widzą odpowiedni ruch (np. między strefami niezaufaną a zaufaną).

Operacje bezpieczeństwa: Monitorowanie, logowanie i wstępna klasyfikacja incydentów

Logowanie audytowe i czas:

• Synchronizuj zegary dla dokładności analizy śledczej (forensic): ntp server 10.20.20.20 service timestamps log datetime msec localtime show-timezone
• Włącz lokalne i zdalne logowanie z odpowiednim poziomem ważności (severity): logging buffered 16384 informational logging host 10.30.30.5 logging trap informational
• Zwiększ widoczność zdarzeń uwierzytelniania i użycia poleceń dzięki accountingowi AAA: aaa accounting commands 15 default start-stop group TAC-GRP
• Używaj logowania ACL dla reguł ‘deny’ rozważnie; duża objętość logów może powodować skoki użycia CPU. Rozważ próbkowanie (sampling) za pomocą NetFlow/IPFIX do tworzenia bazowego profilu ruchu (baselining).

Przepływ pracy podczas wstępnej klasyfikacji incydentów:

• Wykryj i określ zakres: Użyj syslog, trapów SNMP i danych przepływu (flow data) do identyfikacji anomalnych źródeł, portów i wolumenów. Koreluj liczniki w ACL, CoPP i na interfejsach.
• Powstrzymaj: Tymczasowo zastosuj ukierunkowane reguły ‘deny’ w ACL, wyłącz naruszone porty przełącznika lub poddaj kwarantannie sieci VLAN. W przypadku DDoS na płaszczyznę sterowania (control plane), dostosuj policing CoPP i rozważ rate-limiting lub blackholing u dostawcy (upstream).
• Wyeliminuj i przywróć: Usuń złośliwe artefakty, dokonaj rotacji poświadczeń (w tym kluczy i współdzielonych sekretów), włączaj usługi stopniowo, jednocześnie je monitorując.
• Po incydencie: Zachowaj logi/migawki konfiguracji, przeprowadź analizę przyczyn źródłowych (root-cause analysis) i skodyfikuj mechanizmy prewencyjne (np. rozszerz zabezpieczenia warstwy 2, doprecyzuj RBAC).

Częste luki operacyjne:

• Brak NTP prowadzi do nieużytecznych osi czasu.
• Logowanie wszystkiego i wszędzie generuje szum; dostosuj poziom ważności (severity) i filtry w zależności od roli urządzenia.
• Brak przetestowanej procedury awaryjnego dostępu (break-glass) wydłuża przestoje, gdy serwery AAA są nieosiągalne.

Praktyczny scenariusz problemowy

Grupa Orion Retail musi zabezpieczyć administrację urządzeniami, segmentować ruch użytkownik-aplikacja dla IPv4/IPv6, zatrzymać nieautoryzowaną aktywność DHCP/ARP w sklepach, włączyć bezpieczny zdalny dostęp dla personelu i poprawić widoczność na potrzeby reagowania na incydenty — bez zakłócania działalności operacyjnej.

1. Wdróż scentralizowane AAA z TACACS+ i lokalnym fallbackiem

• Konfiguracja: Uruchom serwery TACACS+; zdefiniuj aaa new-model z grupą TAC-GRP, uwierzytelnianiem/autoryzacją/accountingiem; utwórz lokalnego użytkownika awaryjnego (breakglass) z uprawnieniami privilege-15.
• Uzasadnienie: Scentralizowane tożsamości i autoryzacja per-polecenie wymuszają zasadę najmniejszych uprawnień (least privilege), zapewniają ścieżki audytowe działań administracyjnych i umożliwiają szybkie unieważnianie poświadczeń. Lokalny fallback zachowuje dostęp podczas awarii AAA.

2. Zmigruj dostęp zarządczy do SSH i ogranicz go według źródła

• Konfiguracja: Wygeneruj klucze RSA, wymuś ip ssh version 2, wyłącz Telnet, ustaw line vty na transport input ssh z login authentication default; zastosuj access-class MGMT_VTY in, aby zezwolić na dostęp tylko z hostów pośredniczących (jump hosts) NOC.
• Uzasadnienie: Szyfrowanie ruchu zarządczego zapobiega przechwytywaniu poświadczeń; listy ACL dla zarządzania zmniejszają powierzchnię ataku do małego, znanego zestawu źródeł.

3. Chroń płaszczyznę sterowania za pomocą konserwatywnego CoPP

• Konfiguracja: Utwórz class-map dla SSH, SNMP, NTP; zastosuj policy-map COPP-POLICY, która nadzoruje (polices) znany ruch zarządczy/sterujący i ogranicza przepustowość (rate-limits) dla class-default; podłącz do wejścia płaszczyzny sterowania (control-plane input).
• Uzasadnienie: Ograniczanie przepustowości ruchu płaszczyzny sterowania podtrzymuje dostępność podczas zalewu pakietów (floods), nie blokując kluczowych protokołów. Rozpoczęcie od łagodnych limitów (relaxed rates) pozwala uniknąć przypadkowej blokady własnego dostępu (self-denial).

4. Wymuś integralność warstwy 2 w sklepach

• Konfiguracja: Włącz DHCP snooping w dostępowych sieciach VLAN, ufaj tylko uplinkom do WAN/przekaźnika (relay); zastosuj rate-limiting dla żądań/ofert. Włącz DAI w tych samych sieciach VLAN; dodaj statyczne powiązania (bindings) dla urządzeń o stałym IP. Włącz IP Source Guard na portach dostępowych.
• Uzasadnienie: Te funkcje blokują nieautoryzowane serwery DHCP, ARP spoofing i podszywanie się pod adresy IP (IP impersonation) na pierwszym skoku (first hop), zapobiegając ruchowi bocznemu (lateral movement) i atakom man-in-the-middle.

5. Segmentuj aplikacje za pomocą precyzyjnych list ACL (IPv4 i IPv6)

• Konfiguracja: Wdróż rozszerzone listy ACL IPv4 na interfejsach skierowanych do użytkowników, aby zezwalać tylko na wymagane protokoły (np. HTTPS do serwerów aplikacji) i blokować/logować całą resztę. Wdróż listy ACL IPv6 z jawnymi zezwoleniami dla ICMPv6 (dla ND/RA/RS) i zezwoleniami specyficznymi dla aplikacji; zastosuj za pomocą ipv6 traffic-filter.
• Uzasadnienie: Filtry bliskie źródła i specyficzne dla protokołu minimalizują niechciany ruch i zmniejszają marnotrawstwo pasma; zachowanie ICMPv6 zapewnia niezawodne działanie mechanizmów neighbor discovery i PMTU.

6. Włącz bezpieczny zdalny dostęp i szyfrowanie site-to-site

• Konfiguracja: Zbuduj tunele IPsec site-to-site w trybie tunelowym między sklepami a centrami danych, używając IKEv2, AES-GCM, PFS i czasów życia (lifetimes) zgodnych z oknami operacyjnymi. Zapewnij personelowi zdalny dostęp VPN oparty na SSL/TLS z tunelowaniem dzielonym (split tunneling) w celu zmniejszenia obciążenia urządzenia końcowego (headend), w połączeniu z weryfikacją stanu zabezpieczeń punktu końcowego (endpoint posture checks).
• Uzasadnienie: Szyfrowanie niezaufanych ścieżek chroni poufność/integralność; tunelowanie dzielone (split tunneling) równoważy bezpieczeństwo z wydajnością, gdy jest połączone z kontrolą punktów końcowych.

7. Wdróż firewall i IPS na brzegu sieci (perimeter) i w agregacji centrum danych (DC aggregation)

• Konfiguracja: Wdróż stanową politykę firewalla między strefami niezaufaną, użytkownika i serwerową; umieść IPS w trybie inline na krytycznych ścieżkach z sygnaturami dostrojonymi do aplikacji detalicznych. Zapewnij symetrię ścieżki lub włącz współdzielenie stanu (state sharing).
• Uzasadnienie: Firewalle egzekwują politykę stref na wysokim poziomie; IPS wykrywa/blokuje exploity wykorzystujące słabości aplikacji i protokołów. Prawidłowe umiejscowienie i dostrojenie zapobiegają fałszywym alarmom (false positives) i problemom z asymetrycznym stanem.

8. Wzmocnij hardening, logowanie i reagowanie

• Konfiguracja: Ustaw enable secret, wymuś minimalną długość hasła i ograniczanie prób logowania (login throttling); włącz secure boot-image/config. Skonfiguruj NTP, buforowany i zdalny syslog na poziomie informational oraz AAA command accounting. Dodawaj instrukcje deny log oszczędnie w kluczowych listach ACL. Przetestuj procedurę awaryjnego dostępu (break-glass).
• Uzasadnienie: Silne poświadczenia i integralność urządzeń zmniejszają ryzyko kompromitacji; zsynchronizowane, trwałe logi i accounting przyspieszają wstępną klasyfikację. Przećwiczone procedury odzyskiwania minimalizują przestoje podczas incydentów.

Wykonując te kroki w odpowiedniej kolejności — od tożsamości i płaszczyzny zarządzania, przez hardening warstwy 2, po segmentację i szyfrowany transport, a na końcu po inspekcję na brzegu sieci i widoczność operacyjną — Orion osiąga warstwowe bezpieczeństwo oparte na zasadzie najmniejszych uprawnień, z mierzalnymi mechanizmami kontroli i minimalnymi zakłóceniami.

← Projektowanie i operacje Wireless LAN · Wszystkie domeny · WAN →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →